Chapitre 1312 minIntermédiaire
Rédiger un PRA et organiser un exercice de crise
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- lister le contenu d'un PRA ;
- établir un ordre de restauration à partir des dépendances ;
- rédiger une fiche de reprise qui tient le RTO ;
- organiser une cellule de crise et un exercice de crise.
3 exercices corrigés1 schéma
Un PRA rédigé est le document opérationnel qui dit qui fait quoi, dans quel ordre, avec quelles ressources, pour remettre le système d'information en service après un sinistre, dans le respect des RTO et des RPO. Il doit pouvoir être suivi par quelqu'un qui ne l'a pas écrit, un soir de crise, sans accès au réseau. Un plan qui n'a jamais été exercé reste une hypothèse : l'exercice de crise vérifie qu'il fonctionne et que les équipes savent l'appliquer. Ce chapitre donne le contenu d'un PRA, l'ordre de restauration, une fiche de reprise type et la façon de préparer un exercice.
Le contenu d'un PRA
- Objet, périmètre et scénarios : ce que couvre le plan et les situations prévues (perte d'un serveur, perte de la salle serveur, rançongiciel, perte de l'accès Internet, indisponibilité d'un fournisseur).
- Déclenchement : les critères qui font passer de l'incident au PRA (par exemple, une application critique arrêtée depuis plus d'une heure sans solution, ou un chiffrement constaté), et qui décide.
- Organisation de crise : la cellule de crise, ses rôles, les suppléants, l'annuaire des contacts (personnes, prestataires, assureur, hébergeur), avec des numéros de téléphone.
- Ressources : où sont les sauvegardes et les cartouches, où sont les clés de chiffrement et les mots de passe de secours, quel matériel de remplacement, quels contrats (support, garantie de délai d'intervention, hébergement de secours).
- Ordre de restauration : quels services reviennent d'abord, et pourquoi.
- Fiches de reprise par service : les étapes détaillées, avec le responsable et la durée prévue de chacune.
- Communication : qui informe les salariés, les clients, les partenaires, et par quel canal quand la messagerie est arrêtée.
- Retour à la normale : comment quitter le mode dégradé, ressaisir les données perdues, réintégrer ce qui a été fait sur papier.
- Maintenance du plan : qui le tient à jour, à quel rythme, et comment les exercices le font évoluer.
L'ordre de restauration
On ne restaure pas les serveurs dans l'ordre alphabétique. Chaque service dépend d'autres services, et le redémarrer trop tôt ne sert à rien : l'ERP ne fonctionne pas sans l'annuaire pour authentifier les utilisateurs, ni sans le DNS pour trouver sa base. L'ANSSI recommande de définir une stratégie et un ordre de restauration qui tiennent compte des dépendances vis-à-vis des services d'infrastructure (DNS, NTP, annuaire), de la criticité des applications métier, des durées de restauration et de resynchronisation, et du mode de restauration (R23).
Pour Alvéa, après la perte de la salle serveur, l'ordre est le suivant : le réseau et le pare-feu de secours, les nœuds Proxmox de remplacement, Proxmox Backup Server ou l'import des sauvegardes depuis la copie hors site, puis le contrôleur de domaine (avec le DNS), la base puis la VM de l'ERP, le serveur de fichiers, puis GLPI et l'intranet. Le serveur de sauvegarde passe avant l'annuaire : il est hors du domaine (R5) et c'est lui qui contient la sauvegarde du contrôleur de domaine.
Une fiche de reprise
Chaque service critique a sa fiche (runbook), écrite pour être suivie pas à pas. La somme des durées doit tenir dans le RTO.
Fiche de reprise : ERP d'Alvéa (RTO 4 h, RPO 1 h). Scénario : perte de SRV-ERP, cluster disponible.
| N° | Étape | Responsable | Durée prévue |
|---|---|---|---|
| 1 | Constater l'arrêt, prévenir la responsable informatique, décider le déclenchement | Technicien d'astreinte, responsable informatique | 20 min |
| 2 | Démarrer la réplique de la VM sur le second nœud, ou, à défaut, lancer la restauration depuis PBS | Technicien | 15 min (réplique) ou 1 h 10 (restauration) |
| 3 | Rejouer les journaux de transactions de la base jusqu'au dernier disponible | Administrateur de la base | 20 min |
| 4 | Vérifier la base : dernières commandes présentes, comptages de contrôle | Administrateur de la base, référent logistique | 20 min |
| 5 | Vérifier l'application : connexion, saisie d'une commande test, impression d'une étiquette | Référent logistique | 15 min |
| 6 | Annoncer la reprise aux utilisateurs, noter l'heure, ouvrir la ressaisie des opérations faites sur papier | Responsable informatique | 10 min |
Avec la réplique, la reprise prend 20 + 15 + 20 + 20 + 15 + 10 = 1 h 40 ; avec une restauration depuis PBS, 20 + 70 + 20 + 20 + 15 + 10 = 2 h 35. Les deux tiennent le RTO de 4 heures. Le RPO est tenu par les journaux de transactions, envoyés en continu hors de la VM.
La cellule de crise et la communication
Une crise informatique sérieuse (un rançongiciel, la perte de la salle) n'est pas qu'une affaire technique. La cellule de crise réunit les décideurs :
| Rôle | Mission |
|---|---|
| Directeur de crise (un membre de la direction) | Décide : déclenchement, priorités, dépenses, communication externe, dépôt de plainte |
| Responsable technique | Pilote la reprise informatique et rend compte de l'avancement |
| Responsables métier | Organisent le mode dégradé, valident les données restaurées |
| Communication | Informe les salariés, les clients et les partenaires, avec des messages validés |
| Main courante | Note chaque décision et chaque action avec l'heure : c'est la mémoire de la crise et une preuve |
Les outils de la crise doivent fonctionner sans le système d'information : téléphones portables, annuaire imprimé, groupe de messagerie de secours, salle de repli. En cas de cyberattaque, des obligations s'ajoutent : notification à la CNIL sous 72 heures en cas de violation de données personnelles, signalement à l'ANSSI pour les entités concernées, dépôt de plainte. Elles sont détaillées dans le chapitre Notifier un incident du cours Réponse à incident.
Le mode dégradé
Pendant la reprise, l'activité ne s'arrête pas forcément : le PCA prévoit des procédures dégradées. Chez Alvéa, les commandes urgentes sont prises sur des bons papier numérotés, les étiquettes de transport sont éditées depuis le portail web du transporteur sur un portable connecté en 4G, et la liste des commandes du jour est imprimée chaque matin à 7 h, justement pour ce cas. Le retour à la normale prévoit la ressaisie de ces bons dans l'ERP, par ordre chronologique, avec un contrôle croisé.
Organiser un exercice
L'ANSSI a publié en 2020, avec le Club de la continuité d'activité, le guide Organiser un exercice de gestion de crise cyber, qui propose une démarche pas à pas. Plusieurs formats existent, du plus simple au plus lourd :
| Format | Principe | Ce qu'il vérifie |
|---|---|---|
| Exercice sur table | La cellule de crise, autour d'une table, réagit à un scénario déroulé par un animateur, sans toucher aux systèmes | Les rôles, les décisions, la communication, la connaissance du plan |
| Test technique | On restaure ou l'on bascule réellement un ou plusieurs services, dans un environnement isolé ou en heures creuses | Les procédures techniques et les durées réelles |
| Simulation | Les équipes jouent un scénario réaliste, avec des événements injectés au fil du temps (les « stimuli » : un appel de journaliste, une alerte, une demande de rançon) | La coordination entre technique, métiers et direction |
| Exercice grandeur nature | Le PRA est déroulé en vrai, de bout en bout, parfois avec une bascule réelle sur le site de secours | L'ensemble du dispositif |
Les étapes de préparation : fixer des objectifs précis (« vérifier que l'ERP repart en moins de 4 heures depuis la copie hors site »), écrire un scénario crédible et un chronogramme des stimuli, désigner un animateur et des observateurs qui notent ce qui se passe, prévenir les personnes concernées (sauf si la surprise fait partie de l'objectif), et protéger la production.
Le retour d'expérience
Chaque exercice, et chaque incident réel, se termine par un retour d'expérience (RETEX) : ce qui a fonctionné, ce qui a bloqué, les écarts entre les durées prévues et mesurées, puis un plan d'actions avec un responsable et une échéance pour chaque point. Le PRA est mis à jour en conséquence. Un exercice qui « se passe parfaitement » est souvent un exercice trop facile.
Exercices
Exercice 1 sur 3 Remettre dans l'ordre Réussi À revoir
Après un incendie de sa salle serveur, une PME doit tout reconstruire sur du matériel de secours. Remets ces opérations dans l'ordre et justifie la place de l'annuaire : (a) restaurer le serveur de fichiers ; (b) remettre en service le pare-feu et les commutateurs ; (c) restaurer le contrôleur de domaine et le DNS ; (d) restaurer la base de données du logiciel de gestion ; (e) installer l'hyperviseur sur les serveurs de remplacement ; (f) restaurer la VM du logiciel de gestion ; (g) importer les sauvegardes depuis la copie hors site.
Voir la réponseMasquer la réponse de l'exercice 1
Un ordre cohérent : (b) réseau et pare-feu → (e) hyperviseur → (g) import des sauvegardes → (c) contrôleur de domaine et DNS → (d) base de données → (f) VM du logiciel de gestion → (a) serveur de fichiers.
L'annuaire et le DNS viennent juste après le socle et la récupération des sauvegardes, car presque tout en dépend : l'authentification des utilisateurs et des comptes de service, la résolution des noms (l'application trouve sa base par son nom), les droits sur les partages. Restaurer l'application avant l'annuaire ne servirait à rien. (g) peut se faire en parallèle de (b) et (e) si l'équipe est assez nombreuse.
Tu avais trouvé ?
Exercice 2 sur 3 La fiche tient-elle le RTO ? Réussi À revoir
La fiche de reprise du serveur de fichiers prévoit : décision 30 min, préparation d'une VM vide 20 min, restauration de 1,2 To depuis le serveur de sauvegarde à 200 Mo/s, contrôle des droits et des partages 40 min, communication 10 min. Le RTO est de 4 heures.
- Calcule la durée totale.
- Après la perte du site, la restauration se fait depuis la copie hors site, à 50 Mo/s. Que devient la durée ?
Voir la réponseMasquer la réponse de l'exercice 2
- Restauration : 1 200 000 Mo ÷ 200 Mo/s = 6 000 s = 1 h 40 min = 100 min. Total : 30 + 20 + 100 + 40 + 10 = 200 min = 3 h 20 min. Le RTO est tenu, avec 40 minutes de marge.
- Restauration : 1 200 000 ÷ 50 = 24 000 s = 6 h 40 min = 400 min. Total : 30 + 20 + 400 + 40 + 10 = 500 min = 8 h 20 min. Le RTO n'est plus tenu pour ce scénario : il faut soit un objectif spécifique « perte du site » validé par la direction, soit une solution plus rapide (restaurer d'abord les dossiers les plus utilisés, démarrer les VM chez le prestataire hors site, améliorer le débit).
Tu avais trouvé ?
Exercice 3 sur 3 Préparer un exercice sur table Réussi À revoir
Tu prépares un exercice sur table de deux heures pour la cellule de crise d'Alvéa, sur le thème du rançongiciel. Propose trois objectifs et cinq stimuli à injecter au fil de l'exercice, avec leur moment.
Voir la réponseMasquer la réponse de l'exercice 3
Objectifs possibles : vérifier que chacun connaît son rôle et son suppléant ; vérifier que la décision de déclencher le PRA est prise en moins de 30 minutes ; vérifier que la cellule pense aux obligations légales (CNIL, plainte, assureur) ; vérifier que la communication interne fonctionne sans la messagerie.
Stimuli possibles :
- T0 : le technicien d'astreinte signale à 7 h 10 des fichiers renommés avec une extension inconnue sur le serveur de fichiers ;
- T + 15 min : la supervision indique que la sauvegarde de la nuit a pesé trois fois plus que d'habitude ;
- T + 30 min : une note de rançon apparaît sur plusieurs postes, avec une menace de publication de données ;
- T + 50 min : un client important appelle, il n'a pas reçu sa livraison et a entendu parler d'une attaque ;
- T + 70 min : on découvre que le NAS de sauvegarde, joint au domaine, est lui aussi chiffré ; seule la cartouche du mois est disponible ;
- T + 90 min : un journaliste local demande une réaction.
On termine par un débriefing à chaud, puis un RETEX écrit avec un plan d'actions.
Tu avais trouvé ?