Les termes RTO (Recovery Time Objective) et RPO (Recovery Point Objective) sont étroitement liés au Plan de Reprise d’Activité (PRA), partie intégrante de la stratégie de Cyber-résilience d’une entreprise.
Au préalable de la construction d’un PRA il faut réaliser un bilan d’impact sur l’activité et la définition des RTO et RPO. Ce sont les bases pour identifier et analyser les stratégies à inclure dans votre plan de continuité d’activité.
A première vue les termes RPO et RTO semblent très similaires, en réalité ils définissent deux notions bien spécifiques. Un bonne façon de se souvenir de leur différence est de prendre les 2 premières lettre RT : « Temps de Reprise » et RP : « Paramètres de Reprise »
Le RPO : Recovery Point Objective
Le RPO est l’intervalle de temps correspondant à la quantité maximale de données perdue acceptable par l’entreprise. En d’autres termes, le RPO est la fraîcheur des données à restaurer en cas d'interruption, il détermine les objectifs et la stratégie de sauvegarde.
Par exemple : Un serveur est en panne à 10h, la dernière sauvegarde date de 18h la veille (fraîcheur de données de 16h). L'entreprise a un RPO de 24h. Dans cet exemple l'objectif est validé.
L’entreprise définit le RPO, en fonction de l’analyse des risques et du bilan d’impact sur l’activité, avant la construction du projet PRA.
Un RPO de 24h peut être suffisante pour des serveurs dont la volumétrie est faible. Dans ce cas une seule sauvegarde sera effectuée en fin de journée. Pour des machines où la volumétrie de donnée modifiée est plus importante, type base de données (SQL) un RPO plus court peut-être nécessaire. Dans ce cas, des sauvegardes plus fréquentes sont réalisées (généralement en mode bloc).
Dans un PCA (Plan de continuité d’Activité) le RPO est de quelques secondes, dans ce cas, la réplication est dite synchrone et garantit une correspondance parfaite entre les données de la source et de la cible. La réplication synchrone est au premier abord la meilleure solution, mais en réalité, elle est très coûteuse et exige un débit très important.
Le RTO (Recovery Time Objective)
Le RTO est la durée maximale d’interruption acceptable. Plus précisément, il correspond à l’intervalle de temps maximum entre le moment de la notification de l’incident et la reprise normale du service.
Le RTO est défini en fonction des besoins métier et du temps d’arrêt que peut accepter l’entreprise. Il est possible de définir un RTO différent en fonction des machines dans le périmètre du PRA. En effet, une application nécessaire à la production de l’entreprise devra avoir un RTO plus court, alors qu’un autre serveur moins critique pourra avoir un RTO plus long.
Par exemple : un ERP nécessaire à la production devrait avoir un RTO plus court qu’un serveur de documentation, qui est moins critique à l’activité de l’entreprise.
Autre facteur à analyser pour définir le RTO : la taille des machines à restaurer, car les temps de restauration pourraient être plus longs.
Le RTO et le RPO dans le cadre d'un Plan de Reprise d'Activité Informatique
Les entreprises ayant conscience des risques qui planent sur leurs systèmes d’information (incident, sinistre, panne, cyberattaque) mettent en place un Plan de Reprise d'Activité (PRA). Celui-ci permet de d’organiser les processus qui pourront assurer la reprise des activités métier de l’entreprise et pour cela, la définition du RTO et RPO est un étape obligatoire. A savoir quand même, le RTO et le RPO sont fortement corrélés au prix des solutions de PRA. En effet plus le temps de RTO et RPO seront faibles plus les coûts seront élevés, là aussi il faudra évaluer le budget acceptable avant la mise en place de votre PRA !
Pour aller plus loin :