2.3 Choisir sa stratégie de continuité

Un site froid (cold site) est un local de secours équipé uniquement de l'infrastructure de base : alimentation électrique, climatisation, réseau, mais sans serveurs ni données pré-installés. Tout doit être reconstruit après le sinistre.

Caractéristiques :

• RTO typique : 1 à 7 jours (le temps de livrer, installer, configurer les équipements et restaurer les données).
• RPO : déterminé par la fréquence des sauvegardes externalisées (typiquement 24 h).
• Coût : le plus bas des quatre options — on ne paie que l'hébergement de l'espace, pas le matériel ni les licences.
• Avantage : économique pour les organisations dont les processus tolèrent un arrêt prolongé.
• Inconvénient : très dépendant de la disponibilité d'équipements de remplacement (rupture chaîne d'approvisionnement = retard).

Cas d'usage typiques : administrations communales, cabinets d'experts-comptables, PME sans contrainte temps réel, fonctions support (RH, paie, archivage).

Le site froid se loue généralement chez un opérateur de centres de données, qui commercialise des espaces techniques mutualisés équipés du strict minimum (énergie, refroidissement, raccordement réseau).

Un site tiède (warm site) dispose des serveurs, du réseau et des applications pré-installés, mais sans les données récentes. Au sinistre, on restaure depuis les sauvegardes externalisées.

Caractéristiques :

• RTO typique : 12 à 48 heures.
• RPO : 4 à 24 heures selon la fréquence des sauvegardes.
• Coût : intermédiaire — on paie le matériel et les licences à l'arrêt, mais pas la réplication permanente des données.
• Avantage : compromis coût/délai raisonnable pour la majorité des organisations.
• Inconvénient : exige une maintenance régulière (mises à jour OS, applicatifs, tests de configurations).

C'est la solution la plus répandue pour les ETI et grandes PME. Elle s'adapte bien aux fonctions critiques mais non vitales : ERP de production, CRM, applications collaboratives.

Variantes techniques :

• Site tiède virtualisé : machines virtuelles éteintes prêtes à démarrer, données en cours de réplication asynchrone.
• Site tiède containers : images Docker/Kubernetes prêtes, déploiement en quelques minutes.
• Site tiède SaaS : applications fournies en SaaS avec basculement contractuel rapide.

Le site chaud (hot site) est un site de secours totalement opérationnel en permanence, avec données répliquées en temps quasi-réel. En cas de sinistre, la bascule (failover) est automatique ou semi-automatique en quelques minutes.

Caractéristiques :

• RTO typique : 15 minutes à 4 heures.
• RPO : 0 à 15 minutes (réplication synchrone ou asynchrone fréquente).
• Coût : équivalent au coût du site principal (parfois plus en cas d'infrastructure miroir complète).
• Avantage : réactivité maximale, transparent pour la plupart des utilisateurs.
• Inconvénient : très onéreux, complexité technique élevée, exige une discipline opérationnelle stricte.

Pour les processus les plus critiques, on va jusqu'à l'architecture actif/actif (active/active) :

• Deux datacenters fonctionnent en parallèle, le trafic est réparti dynamiquement.
• En cas de panne d'un site, le second absorbe automatiquement la charge.
• RTO : 0 minutes (continuité transparente).
• RPO : 0 (réplication synchrone).
• Coût : 2 à 5 fois le coût d'un seul site.
• Usage typique : salles de marché, paiement bancaire, infrastructure cloud des hyperscalers (AWS, Azure, GCP).

Contraintes techniques actif/actif :

• Distance entre sites limitée par la latence réseau (typiquement < 50 km pour réplication synchrone) — d'où la pratique des « régions » et « zones de disponibilité » du cloud.
• Réseau redondé entre les sites avec double routage.
• Cohérence des données (théorème CAP : on choisit 2 parmi Consistency, Availability, Partition tolerance).
• Tests fréquents de bascule.

Le cloud public a transformé la doctrine PCA en rendant accessible, à la demande, une capacité de secours qu'il fallait auparavant acheter et héberger. Il offre :

• Élasticité : ressources à la demande, paiement à l'usage.
• Redondance native : zones de disponibilité multiples par région, réplication entre régions.
• Géographies : sites disponibles dans le monde entier (mais attention à la souveraineté).
• Services managés : sauvegardes, réplication, basculement automatiques.
• Coût variable : pas d'investissement initial, mais coût récurrent.

Stratégies cloud pour la continuité :

• Sauvegarde vers le cloud : copies externalisées sur un stockage objet. Le RPO dépend de la fréquence, le RTO reste élevé — il faut rapatrier les données, ce que l'on sous-estime presque toujours (calculer le volume divisé par le débit réel avant de s'engager sur un RTO).
• Pilot Light : minimum d'infrastructure dans le cloud (BDD répliquée, services dormants), démarrage à la demande. RTO 1-4 h.
• Warm Standby : environnement complet dans le cloud à capacité réduite, montée en charge à la bascule. RTO < 1 h.
• Multi-site Active/Active : trafic réparti entre on-premise et cloud, ou entre deux régions cloud. RTO = 0.

Souveraineté et conformité :

• SecNumCloud (label ANSSI) : qualification de haute exigence pour les données sensibles d'État. Cloud souverain certifié.
• CISPE Code de conduite : engagement européen sur la protection des données.
• HDS (Hébergeur de Données de Santé) : certification obligatoire pour héberger les données de santé.
• Exposition au droit extraterritorial : le Cloud Act américain de 2018 permet, sous conditions, à des autorités américaines d'obtenir des données détenues par un fournisseur relevant du droit américain, quel que soit le lieu de stockage. C'est un point d'analyse juridique pour les données sensibles, à ne pas confondre avec la localisation physique des serveurs.
• Sortie de cloud (cloud exit) : obligation DORA d'avoir un plan de réversibilité chez tout prestataire critique.

La pandémie COVID-19 a installé le télétravail comme la stratégie de continuité humaine par excellence. Au-delà de la crise sanitaire, il permet de faire face à :

• Inaccessibilité physique des locaux (incendie, inondation, manifestation, attentat).
• Pandémie ou épidémie nécessitant la distanciation physique.
• Conditions météo extrêmes empêchant les déplacements.
• Grève des transports (cas SNCF/RATP).
• Risque chimique ou industriel avec confinement.

Pour fonctionner comme stratégie de continuité, le télétravail demande :

• Équipement individuel : ordinateur portable (PC pro, pas BYOD), webcam, casque.
• Connectivité : VPN, ou architecture Zero Trust + SaaS sécurisé.
• Applications accessibles à distance : ERP, CRM et suite collaborative utilisables depuis un navigateur.
• Téléphonie sur IP : pouvoir rediriger les lignes professionnelles (accueil, service client, astreinte) vers des postes distants ou des mobiles.
• Procédures et politiques : règlement intérieur télétravail, chartes IT, gestion temps de travail, sécurité informatique.
• Formation initiale : maîtrise des outils, hygiène cybersécurité.
• Cadre juridique : accord d'entreprise ou charte sur le télétravail (article L.1222-9 du Code du travail).

Indicateur clé : la « capacité de bascule télétravail » = pourcentage des salariés capables de travailler depuis chez eux dans les 24 h. Objectif standard : ≥ 70 % pour une organisation tertiaire, plus faible pour l'industrie (où la production reste sur site).

Pour les métiers sur site obligatoirement (production, hôpital, supermarché) : prévoir des équipes de secours, des sites de repli, des rotations, et le maintien des compétences clés.

Trop souvent, le PCA se réduit à un PRA technique. Pour être robuste, il doit intégrer aussi :

• Continuité humaine : plans de succession, formations croisées (un poste tenu par deux personnes), documentation des savoir-faire critiques, gestion des absences imprévues.
• Continuité immobilière : locaux de repli (espaces de coworking partenaires, bureaux secondaires, salles louables ponctuellement), bureau mobile.
• Continuité fournisseurs : multi-sourcing systématique sur les composants critiques (au minimum 2 fournisseurs pour toute matière première stratégique), stocks de sécurité, contrats de continuité avec clauses SLA.
• Continuité financière : trésorerie de précaution (3 à 6 mois de charges fixes), lignes de crédit disponibles, assurances cyber et pertes d'exploitation.
• Continuité juridique : pouvoirs de signature délégués, accès aux contrats hors site, conseil juridique d'astreinte.
• Continuité logistique : transporteurs alternatifs, entrepôts de secours, flottes de véhicules.
• Continuité de la chaîne d'approvisionnement : exigence renforcée par NIS2 et DORA.

Trois questions qui révèlent les angles morts non informatiques :

• Pour chaque matière première ou composant critique, existe-t-il un second fournisseur qualifié — c'est-à-dire déjà audité et capable de livrer sans requalification ? Un fournisseur « identifié » sur un tableur n'est pas un fournisseur qualifié.
• Quelles tâches ne sont maîtrisées que par une seule personne ? La paie, la clôture comptable et l'administration d'un progiciel métier sont les trois réponses les plus fréquentes — et les trois s'anticipent par de la documentation et un binôme.
• Si le site principal devient inaccessible demain matin, où vont physiquement les équipes qui ne peuvent pas télétravailler, et qui décide ?

Ces exemples soulignent que la continuité d'activité est holistique — elle ne peut pas être déléguée à la seule DSI. La direction générale doit en porter la vision globale.