Le plan de reprise d'activité (PRA) et la reprise informatique

Un plan de reprise d'activité (PRA) est l'ensemble des procédures, moyens et contrats qui permettent de redémarrer le système d'information et de restaurer les données après une interruption grave : sinistre dans un centre informatique, panne majeure, cyberattaque. On parle aussi de PRA informatique, puisqu'il porte avant tout sur les systèmes.

Le PRA n'est pas un document isolé. Le guide du SGDSN déconseille d'ailleurs de construire des plans informatiques ou métiers séparés en dehors d'un PCA global : la reprise informatique n'a de sens que si elle sert les priorités fixées par le bilan d'impact sur l'activité. ISO 22301 range de même les plans de reprise parmi les plans et procédures de son article 8.4.

Ces sigles sont souvent confondus. Ils désignent pourtant des dispositifs qui interviennent à des moments différents :

En pratique, ce que l'on appelle couramment « PCA informatique » recouvre le couple PCI et PRA. Les deux ne suffisent pas seuls : une organisation dont les serveurs redémarrent en quatre heures peut rester paralysée si personne ne sait travailler entre-temps. Notre article plan de continuité d'activité détaille la comparaison sur une ligne de temps interactive.

Les PRA classiques reposent sur la bascule : quand le site principal tombe, on démarre un site de secours, souvent alimenté par réplication. Face à un rançongiciel, ce réflexe peut aggraver la situation. Si les deux sites partagent le même annuaire ou les mêmes comptes d'administration, l'attaquant y a accès aussi ; si la réplication est continue, les données chiffrées ont été recopiées.

L'ANSSI, dans son corpus Cyberattaques et remédiation, définit la remédiation comme le projet de reprise de contrôle d'un système d'information compromis. Elle la décrit en quatre temps :

1. l'endiguement, qui limite la progression de l'attaquant et donne du temps au défenseur ;
2. l'éviction, qui chasse l'attaquant du cœur de confiance, c'est-à-dire des moyens d'administration du système ;
3. l'éradication, qui nettoie les accès qu'il a pu garder dans les systèmes métiers ;
4. la reconstruction, qui rebâtit les fondations de la sécurité pour durcir le système.

Le cœur de confiance est la partie centrale du système d'information dont on est certain que l'attaquant est exclu ; dans la plupart des organisations, c'est l'annuaire Active Directory et les postes d'administration. L'ANSSI souligne que l'échec de sa reconstruction conduit en général à un cycle de compromissions et de remédiations qui peut durer des mois. Elle publie un guide technique dédié à la remédiation du « Tier 0 » Active Directory.

Trois ambitions de reprise, trois coûts

Le volet stratégique de l'ANSSI, Cyberattaques et remédiation : les clés de décision, propose à la direction de choisir explicitement parmi trois objectifs :

Ce choix ne revient pas à la DSI seule : c'est une décision de la cellule de crise, éclairée par le bilan d'impact.

Aucun PRA ne fonctionne sans sauvegardes exploitables. Les textes récents sont explicites :

• la directive NIS 2 cite, parmi les mesures minimales de son article 21, la continuité des activités, « par exemple la gestion des sauvegardes et la reprise des activités » ;
• le règlement DORA (article 12) demande aux entités financières des politiques de sauvegarde, des procédures de restauration testées, une restauration sur des systèmes séparés physiquement et logiquement du système d'origine, et des objectifs de délai et de point de reprise fixés pour chaque fonction.

Pour résister à un rançongiciel, au moins une copie doit être hors d'atteinte d'un attaquant qui aurait pris la main sur le réseau et les comptes d'administration : copie hors ligne, ou stockage dont les droits de suppression ne dépendent pas de l'annuaire principal. Le CERT-FR range d'ailleurs la mise en sécurité des sauvegardes parmi les premiers réflexes d'endiguement en cas d'intrusion.

• le périmètre : applications, infrastructures et données couvertes, rattachées aux activités du BIA ;
• les objectifs de délai et de point de reprise de chaque application, déduits des DMIA et PDMA ;
• l'ordre de redémarrage, en commençant par les briques dont tout dépend (réseau, annuaire, administration) ;
• les procédures de restauration pas à pas, utilisables par une équipe fatiguée ou par un prestataire qui ne connaît pas le système ;
• les critères de déclenchement et la personne qui décide ;
• les contacts : équipes internes, infogérant, éditeurs, prestataires de réponse aux incidents, assureur ;
• le programme de tests et les règles de mise à jour.

Les procédures et les annuaires doivent exister hors ligne, sur papier ou sur un support indépendant : l'ANSSI recommande de conserver ainsi les procédures de crise, l'annuaire de crise et les contacts des prestataires.

Le délai réel du dossier patient, environ trois jours, dépasse de loin ce qu'un PRA classique aurait promis. Il a été tenable parce que le bilan d'impact avait prévu un mode dégradé immédiat pour les soins. Pendant ce temps, la cellule de crise arbitrait les priorités : c'est l'objet du chapitre suivant, gestion de crise cyber.