Plan de reprise informatique en PME : que faut-il réellement tester ?

Distinguez la continuité de la reprise

La continuité organise un fonctionnement temporaire, éventuellement dégradé, pendant l’incident. La reprise décrit comment remettre en service les systèmes arrêtés. La CNIL recommande de formaliser ces deux dimensions, même dans un document sommaire, avec la liste des intervenants et sans réduire la protection des données pendant le mode dégradé.

Commencez donc par les activités indispensables : recevoir les demandes, produire, facturer, accéder aux dossiers ou communiquer avec les équipes. Pour chacune, notez ce qui peut continuer manuellement, ce qui dépend absolument de l’informatique et ce qui peut attendre.

Fixez les objectifs avec les responsables métier

Le référentiel MonServiceSécurisé de l’ANSSI propose de formaliser la durée maximale d’interruption et la perte de données maximales admissibles. Ces objectifs ne doivent pas être choisis uniquement par l’informatique : la direction et les personnes qui utilisent le service doivent expliquer les conséquences d’une heure, d’une journée ou de plusieurs jours d’arrêt.

Évitez une priorité unique pour tout le système. La messagerie, l’application de gestion, les fichiers partagés, la téléphonie et le site public peuvent avoir des besoins différents. Cette hiérarchie aide ensuite à comparer les sauvegardes, les équipements de secours et les délais réalisables, sans promettre un redémarrage instantané.

Listez ce qui permet vraiment de redémarrer

Une procédure limitée aux serveurs oublie souvent les dépendances : accès administrateurs, DNS, connexion Internet, licences, postes disponibles, fournisseurs, documentation et moyens de communication. L’ANSSI rappelle qu’une préparation à la crise doit aussi fonctionner lorsque les moyens informatiques et de communication habituels sont indisponibles.

Conservez une copie accessible du plan et des coordonnées utiles selon un mode protégé adapté. Indiquez qui décide du passage en mode dégradé, qui contacte les prestataires, qui informe les équipes et qui valide le retour à la normale. Les responsabilités doivent rester compréhensibles même si la personne habituelle n’est pas disponible.

Testez un parcours complet, pas seulement un fichier

La CNIL conseille de tester la restauration des sauvegardes et l’application du plan. Des exercices ciblés peuvent limiter l’impact sur la production : restaurer un dossier, préparer un poste de remplacement, vérifier un accès de secours ou simuler l’indisponibilité d’un service. Le scénario doit inclure les utilisateurs concernés, les critères de réussite et le retour au fonctionnement normal.

Cybermalveillance.gouv.fr recommande, en cas de cyberattaque, d’isoler les systèmes touchés, de constituer une équipe de crise, de tenir un registre et de remettre les services en route progressivement après correction. Un exercice utile vérifie donc aussi la circulation de l’information, les décisions et la traçabilité, pas uniquement la technique.

Un exemple illustratif pour une petite entreprise

Exemple fictif : une entreprise de quinze personnes utilise Microsoft 365, un logiciel de gestion hébergé et un NAS pour certains dossiers. Elle décide que les commandes en cours sont prioritaires, tandis que les archives peuvent rester indisponibles plus longtemps. Elle prépare une liste de contacts, un poste de secours, une méthode temporaire de prise de commande et une procédure de restauration des dossiers utiles.

Lors du test, l’équipe découvre que le code de double authentification du compte fournisseur dépend du téléphone d’une seule personne. Le plan est corrigé avant l’incident : un second responsable est défini et la procédure d’accès est revue avec le fournisseur. Ce scénario ne décrit aucun client SOLYTI ; il montre pourquoi un exercice révèle des dépendances invisibles dans un simple inventaire.

Transformez le plan en outil de pilotage

Après chaque exercice ou changement important, notez ce qui a fonctionné, ce qui a bloqué, le responsable de la correction et son échéance. Un plan court, tenu à jour et connu des personnes concernées vaut mieux qu’un document détaillé devenu inexploitable.

SOLYTI peut intégrer cette préparation à un audit et à un accompagnement informatique global : compréhension des usages, analyse des dépendances, priorisation, coordination des prestataires et suivi des actions. Le périmètre et les tests restent à définir selon l’environnement, les contraintes et les décisions de l’entreprise.

• Quels services doivent repartir en premier, et pourquoi ?
• Quelles personnes et quels accès sont nécessaires si les outils habituels sont indisponibles ?
• Quel scénario ciblé peut être testé sans perturber inutilement la production ?