Fixer ses RTO et RPO : partir de l'affaire, pas des serveurs

Les objectifs de reprise sont souvent fixés par la TI, d'après ce que les systèmes savent faire. C'est l'inverse qu'il faut : l'entreprise dit ce qu'elle peut supporter, puis on regarde ce que cela coûte d'y arriver.

Trois questions pour chaque service

• Après combien de temps d'arrêt les dégâts deviennent-ils inacceptables : clients perdus, obligations manquées, sécurité des personnes ?
• Combien de données récentes peut-on perdre, et peut-on les ressaisir à la main ?
• Que se passe-t-il pendant l'arrêt : existe-t-il un mode dégradé, un processus manuel ?

Le coût est le levier de la discussion

Un RTO de quinze minutes n'a pas le même prix qu'un RTO de huit heures. Mettre un chiffre sur le coût d'une heure d'arrêt, même approximatif, transforme une discussion technique en décision d'investissement. Notre calculateur d'ordre de grandeur peut servir de point de départ.

Pièges fréquents

• Tout classer « critique » : si tout est prioritaire, rien ne l'est, et le budget ne suit pas.
• Oublier les dépendances : un service ne repart pas avant l'identité, le DNS ou le réseau dont il dépend.
• Ne jamais mesurer : un objectif jamais testé est une hypothèse.

Fixez des niveaux simples, faites-les valider par la direction, puis testez les services du niveau le plus élevé en premier.