Questions préalables
Chaque organisme, qu’il s’agisse d’une administration ou d’une entreprise privée, trouve
sa raison d’être dans la fourniture de biens ou de services. Ne pas fournir ces biens et
services est donc impensable. Pourtant, comme un sinistre majeur (tel qu’un dégât des
eaux, un incendie) peut rendre inopérationnelle une part importante des moyens de
production, un plan de reprise ou de continuité d’activité est toujours nécessaire. Avant
d’approfondir ce sujet, il convient de clarifier très rapidement deux questions.
La première question qui se pose est : qu’est-ce qu’on entend par plan de continuité
d’activité et par plan de reprise d’activité ? Il est amusant de constater que lorsque la
question est posée en réunion, les esprits s’échauffent très rapidement, chacun ayant sa
propre définition, convaincu d’avoir raison contre les autres. D’ailleurs, la multiplicité
des termes et des sigles n’arrange rien à l’affaire. Si les sigles les plus fréquemment
rencontrés sont PCA (pour Plan de continuité d’activité), PRA (pour Plan de reprise
d’activité) et PSI (pour Plan de secours informatique), il en existe bien d’autres. Il n’est
pas souhaitable que le RSSI s’engage dans un tel débat de vocabulaire. La clé de la
question n’est pas dans les mots ou les sigles que l’on retient, mais dans le fait d’être
bien d’accord sur ce que l’on veut. Ce point sera approfondi dans la section suivante.
La seconde question que l’on peut se poser est : quel est le rôle du RSSI dans de tels
plans ? La réponse varie beaucoup d’un organisme à l’autre. Dans certains cas, le RSSI
est le garant de la conception et du bon fonctionnement du plan. On parle alors de RPCA,
pour Responsable du plan de continuité d’activité. Dans d’autres cas, le RSSI ne joue
qu’un rôle secondaire, se contentant uniquement de vérifier que le plan tient bien compte
des contraintes de sécurité de l’organisme. Ce qu’il faut retenir, c’est que le RSSI n’a
aucune raison d’être systématiquement le RPCA. RSSI et RPCA ont des responsabilités
bien distinctes qui peuvent éventuellement être portées par une seule personne, mais qui
n’ont aucune raison d’être liées nécessairement. En revanche, même dans les cas où il ne
joue qu’un rôle secondaire, le RSSI se doit tout de même de connaître les principaux
axes d’un plan de continuité ou de reprise.
Chaque organisme, qu’il s’agisse d’une administration ou d’une entreprise privée, trouve
sa raison d’être dans la fourniture de biens ou de services. Ne pas fournir ces biens et
services est donc impensable. Pourtant, comme un sinistre majeur (tel qu’un dégât des
eaux, un incendie) peut rendre inopérationnelle une part importante des moyens de
production, un plan de reprise ou de continuité d’activité est toujours nécessaire. Avant
d’approfondir ce sujet, il convient de clarifier très rapidement deux questions.
La première question qui se pose est : qu’est-ce qu’on entend par plan de continuité
d’activité et par plan de reprise d’activité ? Il est amusant de constater que lorsque la
question est posée en réunion, les esprits s’échauffent très rapidement, chacun ayant sa
propre définition, convaincu d’avoir raison contre les autres. D’ailleurs, la multiplicité
des termes et des sigles n’arrange rien à l’affaire. Si les sigles les plus fréquemment
rencontrés sont PCA (pour Plan de continuité d’activité), PRA (pour Plan de reprise
d’activité) et PSI (pour Plan de secours informatique), il en existe bien d’autres. Il n’est
pas souhaitable que le RSSI s’engage dans un tel débat de vocabulaire. La clé de la
question n’est pas dans les mots ou les sigles que l’on retient, mais dans le fait d’être
bien d’accord sur ce que l’on veut. Ce point sera approfondi dans la section suivante.
La seconde question que l’on peut se poser est : quel est le rôle du RSSI dans de tels
plans ? La réponse varie beaucoup d’un organisme à l’autre. Dans certains cas, le RSSI
est le garant de la conception et du bon fonctionnement du plan. On parle alors de RPCA,
pour Responsable du plan de continuité d’activité. Dans d’autres cas, le RSSI ne joue
qu’un rôle secondaire, se contentant uniquement de vérifier que le plan tient bien compte
des contraintes de sécurité de l’organisme. Ce qu’il faut retenir, c’est que le RSSI n’a
aucune raison d’être systématiquement le RPCA. RSSI et RPCA ont des responsabilités
bien distinctes qui peuvent éventuellement être portées par une seule personne, mais qui
n’ont aucune raison d’être liées nécessairement. En revanche, même dans les cas où il ne
joue qu’un rôle secondaire, le RSSI se doit tout de même de connaître les principaux
axes d’un plan de continuité ou de reprise.