RTO & RPO : Comprendre leurs rôles dans un Plan de Reprise d'Activité (PRA)

En cas de cyberattaque ou de sinistre, deux indicateurs déterminent la survie informatique de votre entreprise : le RTO (durée maximale d’indisponibilité tolérée) et le RPO (volume maximal de données perdues accepté). Mal définis, ils condamnent votre PRA à l’échec. Bien calibrés, ils transforment la résilience en avantage concurrentiel.

Le RTO ou Recovery Time Objective, correspond au délai maximal acceptable pour restaurer les fonctions critiques après une interruption. En d’autres termes, c’est le temps que votre organisation peut tolérer sans que ses activités soient significativement impactées.

Un RTO trop long expose l’entreprise à des pertes financières directes et immédiates. Selon le Ponemon Institute lors d’une étude menée il y a déjà 10 ans (étude « Cost of Data Center Outages », 2016, menée sur 63 datacenters américains, consultable ici), le coût moyen d’une indisponibilité IT non planifiée s’élevait à 8 851 dollars par minute, soit plus de 740 000 dollars par incident. Un chiffre toujours en hausse qui illustre pourquoi le RTO n’est pas qu’un objectif technique mais un KPI économique à surveiller de très près.

À titre d’exemple, un RTO de 4 heures est souvent toléré pour des fonctions support, tandis qu’un RTO de 15 minutes est imposé dans les environnements financiers ou hospitaliers. Aussi, la définition du RTO doit s’appuyer sur une analyse d’impact métier, réalisée en amont avec les directions métiers.

Le RPO ou Recovery Point Objective, mesure la « fraîcheur » des données à restaurer. Il définit la durée écoulée entre la dernière sauvegarde exploitable et le moment de l’incident.

Si votre RPO est fixé à 4 heures, vous acceptez de perdre jusqu’à 4 heures de production de données en cas d’incident. Un RPO proche de zéro implique une réplication quasi-temps-réel, techniquement exigeante et coûteuse, réservée aux systèmes critiques.

Dans ce contexte, définir un RPO réaliste n’est plus optionnel. Ce qu’il faut savoir également, c’est que le RPO est directement lié à votre politique de sauvegarde. Plus les sauvegardes sont fréquentes, plus le RPO peut être réduit, à condition que les sauvegardes soient testées et stockées selon la règle 3-2-1-1-0 recommandée par les experts en continuité d’activité.

Bien définir le RTO et le RPO est essentiel, mais il ne faut pas oublier le WRT (Work Recovery Time), qui correspond au temps nécessaire pour vérifier et rendre les services opérationnels après la restauration.

RTO + WRT = MTD (Maximum Tolerable Downtime) : Le MTD représente la durée maximale pendant laquelle vos services peuvent être inopérants sans causer des dommages irréversibles.

Cette formule est souvent négligée dans les PRA des PME et ETI françaises. Une erreur courante consiste à fixer un RTO ambitieux (ex. : 2 heures) sans évaluer le WRT réel, qui peut dépasser le RTO lui-même si les équipes ne sont pas formées aux procédures de vérification post-restauration. En termes d’interaction, un faible RTO combiné à un WRT efficace minimise l’impact global d’une crise sur votre entreprise.

En France, le contexte réglementaire renforce la nécessité de prendre ces indicateurs au sérieux. Aussi, la directive NIS2, entrée en vigueur en octobre 2024, impose aux entités de démontrer leur capacité à se remettre d’un incident majeur, à commencer par :

La définition du RTO et du RPO doit reposer sur une méthodologie structurée, alignée sur les réalités métiers et validée par les décideurs de l’entreprise.

La BIA identifie les processus critiques de l’entreprise et quantifie l’impact d’une interruption dans le temps : impact financier, impact réglementaire, impact réputationnel. Pour chaque processus, on détermine le niveau de criticité (P1, P2, P3), le seuil de tolérance à l’interruption et le volume de données générées par unité de temps.

Un processus métier critique dépend souvent de plusieurs composants IT comme les serveurs applicatifs, les bases de données, les connexions réseau ou l’annuaire Active Directory. La cartographie des dépendances permet de définir des RTO et RPO cohérents pour chaque couche de l’infrastructure.

Le RTO et le RPO engagent l’entreprise juridiquement et financièrement. Ils doivent être validés par la direction générale, les directions métiers et bien sûr la DSI. Cette validation garantit que les indicateurs reflètent des engagements réalistes, budgétés et testables.

Les tests de reprise (DR drills) doivent être réalisés au minimum une fois par an (idéalement deux fois) dans des conditions représentatives. Chaque test doit mesurer l’écart entre les objectifs théoriques et les résultats réels, et donner lieu à un plan de remédiation.

Le RTO et le RPO sont des composantes essentielles d’une stratégie de reprise d’activité réussie. Une définition claire et alignée sur les priorités métiers est indispensable pour limiter les impacts d’un sinistre et garantir la résilience de l’organisation.

En intégrant pleinement ces notions dans votre PRA, vous construisez un cadre solide pour sécuriser vos activités, protéger vos données critiques et préserver la confiance de vos clients et partenaires.