Saison cyclonique en Guadeloupe et en Guyane : PCA et PRA, préparer l'informatique de votre PME

La saison cyclonique aux Antilles et en Guyane dure de juin à novembre, avec un pic entre août et octobre. Elle n'a rien d'imprévisible : elle revient chaque année, à la même période. Pourtant, beaucoup de PME (petites et moyennes entreprises) découvrent leur plan de continuité informatique au moment de l'alerte. À ce stade, il n'est plus temps de choisir, seulement d'appliquer ce qu'on aurait dû préparer des mois plus tôt.

PCA et PRA : deux plans différents

Les deux sigles se ressemblent, et on croit souvent qu'un seul document couvre tout. En réalité, ce sont deux plans qui se complètent.

Le PCA, plan de continuité d'activité, décrit comment l'entreprise continue à travailler, même à petite vitesse, pendant la crise. Qui fait quoi, avec quels moyens, pendant que les outils informatiques ne sont pas tous disponibles.

Le PRA, plan de reprise d'activité, est la partie technique : comment et en combien de temps on remet les systèmes en marche une fois l'incident passé.

Pour vous représenter la différence, pensez à une coupure d'électricité après une tempête. Le PCA, c'est ce que vous faites pour continuer à servir vos clients à la bougie. Le PRA, c'est ce qui permet de rétablir le courant.

Une PME qui n'a qu'un PRA sait relancer ses serveurs, mais pas comment facturer, payer les salaires ou répondre aux clients d'ici là. À l'inverse, un PCA sans PRA solide repose sur de bonnes intentions, sans garantie que les données existent encore. Les deux se construisent ensemble.

Combien de temps pouvez-vous tenir sans votre informatique ?

La plupart des dirigeants n'ont jamais mis de chiffre sur cette question, et c'est pourtant le point de départ. Deux mesures suffisent.

Le RTO (recovery time objective, soit la durée maximale d'interruption acceptable) indique combien de temps l'entreprise peut rester sans accès à un système avant que cela devienne grave.

Le RPO (recovery point objective, soit la perte de données maximale acceptable) indique jusqu'à quelle ancienneté on accepte de perdre des données lors d'une restauration. Si votre dernière sauvegarde date de la nuit dernière, vous acceptez de perdre la journée écoulée.

Sans ces deux chiffres, la fréquence des sauvegardes et le choix de l'hébergement se décident au hasard. Et une PME n'a jamais un seul RTO : elle en a un par fonction.

Protéger chaque fonction selon son importance

Appliquer le même niveau de protection à tout mène soit à trop dépenser, soit, plus souvent, à ne rien faire faute de budget pour tout couvrir.

Pour les fonctions vitales (facturation, paie, relation client), visez un RTO de quelques heures. Cela suppose une copie continue des données vers un autre site (on parle de réplication), et une bascule vers ce système de secours testée pour de vrai, pas seulement décrite dans un document.

Pour les fonctions importantes, qui peuvent attendre un jour ou deux, une sauvegarde quotidienne suffit dans la plupart des cas, à condition d'avoir déjà essayé de la restaurer réellement.

Pour le reste, le confort et la modernisation, une sauvegarde hebdomadaire classique fait l'affaire. Inutile d'y investir davantage.

Pourquoi héberger ses données ailleurs ne suffit pas

Le premier réflexe est de placer ses données hors de la zone cyclonique, par exemple dans un centre de données situé en Europe, ce qui est aussi cohérent avec le RGPD (le règlement européen sur la protection des données personnelles). C'est une bonne pratique, mais elle ne règle que la moitié du problème.

Si la connexion internet du territoire est dégradée après le passage d'un cyclone, vos données sont en sécurité mais inaccessibles, précisément quand vous en avez besoin pour reprendre. Il faut donc traiter deux risques séparément.

La perte de données se traite par la copie hors zone, avec un RPO défini et vérifié. La perte de connexion se traite autrement : par un mode dégradé qui ne dépend pas d'un accès réseau permanent, ou par une liaison de secours indépendante du réseau principal, comme un boîtier 4G ou 5G, voire une liaison satellite pour les activités qui ne supportent aucune coupure longue.

Un dispositif qui ne couvre que la perte de données donne un faux sentiment de sécurité : il est conforme sur le papier, et inutile le jour où c'est l'accès au réseau qui manque.

Ce qui distingue une entreprise préparée

La différence tient rarement à la technique. Elle tient à quelques habitudes prises avant la saison, pas pendant.

Chiffrez le RTO et le RPO de chaque fonction, même approximativement : un chiffre discuté vaut mieux qu'aucun chiffre. Testez le plan une fois par an, avant juin, avec une vraie restauration et une simulation de bascule, plutôt que de vous fier à un document rédigé une fois et jamais revérifié. Et décidez à l'avance qui fait quoi en cas d'alerte : qui déclenche le mode dégradé, qui prévient les clients, qui a l'autorité pour trancher en l'absence du dirigeant.

Poser ce cadre se fait généralement à l'occasion d'un diagnostic de l'existant, qui sert ensuite à dimensionner un PCA et un PRA réalistes plutôt que théoriques. Une entreprise qui l'a fait avant juin aborde une alerte tout autrement que celle qui découvre, l'alerte déjà lancée, qu'elle n'a jamais vérifié si ses sauvegardes fonctionnaient.