Continuité du Service et Plan de Reprise des Activités - Retour d'expérience

Arnaud Pain, nous vous remercions pour votre présence sur notre Blog avec cette intervention concernant la mise en place des solutions de PRA (ou Disaster Recovery Plan, DRP).

Avant de commencer, pourriez-vous nous dire quelques mots sur vous, sur votre société / ses activité?
MTRC-Consulting est une SSII du Nord de la France créée en mai 2005. Nous intervenons principalement sur les technologies Microsoft, Citrix, le Stockage et la Virtualisation ; tant en France qu’à l’étranger. Nos références clients sont diverses et variés (Finance, Santé, Collectivité territoriale, …).

Comment vous vous êtes orienté vers le PRA?
Avec l’un de nos clients parisien qui travaille dans la finance, nous avons été confrontés à la problématique de mise en place d’un PRA. Nous avons donc conseillé notre client sur les solutions possibles et nous avons retenu le choix qui nous semblait le plus judicieux et le moins onéreux, à savoir la mise en place d’une copie de ses serveurs en environnement virtuel.
Nous avons ensuite travaillé sur une offre globale incluant l’hébergement du PRA (serveurs virtuels, …) dans nos locaux.

Selon vous, y-a-t-il des spécificités pour les PME/PMI, dans ce domaine?
Nous ne pensons pas qu’il faille faire 2 poids 2 mesures en ce qui concerne le DRP, les petites structures ont tout autant besoin de DRP que les grands groupes.
La principale différence réside dans les moyens financiers qu’ont les uns et les autres, c’est pourquoi nous avons voulu proposé à nos clients et prospects une offre adaptée à leurs besoins et surtout à leurs budgets.

Pour ce faire, nous proposons 2 types de solutions de Virtualisation, l’une basée sur le leader du marché à savoir VMware, l’autre sur un acteur en devenir XenSource.

Toutefois, certaines entreprises sont dans l’obligation de mettre en place un PRA ou un PCA:
a) Société cotée sur les marchés Américain
Loi : Sarbanes-Oxley Act de 2002 / NYSE Rule 446 / NASD Rule 3510 & 352;
Obligations en matière de PCA : Assurer la mise en place et le maintien en condition opérationnelle d'un PCA (NYSE Rule 446 / NASD Rule 3510 & 3520). D'une façon générale mettre en oeuvre les solutions et processus permettant d'éviter une situation de faillite financière ( Sarbanes-Oxley Act )
b) Une banque, un établissement de crédit ou d'investissement
Loi : Règlement CRBF 97-02 et 2004-02 (retranscription française de l'accord Bâle II)
Obligations en matière de PCA : Vous devez assurer la continuité de l'exploitation informatique en cas de difficulté grave dans le fonctionnement des systèmes. Vous devez assurer la continuité de l'activité des établissements financiers en élaborant et décrivant de façon détaillée un PCA documenté, cohérent et testé. Etre en mesure d'apporter la preuve des éléments indiqués ci-dessus en cas d'audit par la Commission Bancaire.
c) Une société d'assurance ou mutuelle d'assurance
Loi : Accord de Solvency II en préparation, sur le modèle des accords de Bâle II

Comment est-ce que vos clients vous approchent? Décrivez-nous, le cas échéant, leur profil-type.
Le besoin d’un DRP n’était pas jusqu’ici un des principaux objectifs des DSI mais, il commence à le devenir. En général le facteur critique n'est pas le coût de mise en œuvre d’un tel projet mais les coûts d'un éventuel « crash » du système.
Après, dans notre approche, nous mettons en avant les outils que nous utilisons, notamment des outils de calcul de charges des serveurs (sans installation d’agents), qui vont nous permettre de dimensionner au plus juste l’infrastructure nécessaire à la mise en place du DRP.

Avec votre retour d'expérience, quelles seraient les« meilleures pratiques » pour une telle démarche?
Il est évident que dans ce genre de projet, l’équipe du client doit être impliqué dès le départ, il est intéressant, lors d’un rendez-vous de pouvoir discuter avec le DSI et tout ou partie de son équipe pour leur expliquer les tenants et les aboutissants ainsi que la maîtrise technique que nous avons des produits que nous proposons.

Quels sont les solutions du marché, dans ce domaine?
Il est existe plusieurs logiciels permettant de gérer un DRP, nous avons fait le choix de ne retenir qu’un petit nombre d’entre eux, ce qui nous permet de mieux maîtriser l’ensemble des éléments à mettre en œuvre, puisque nos ingénieurs sont certifiés par les éditeurs de ces logiciels.

Est-ce que des gains qualitatifs et/ou quantitatifs peuvent être identifiés?
Il est difficile de quantifier les gains pour les clients, d’une part parce que chaque client à des problématiques différentes (notamment par rapport au temps d’indisponibilités de son IT qu’il peut « supporter ») mais aussi parce que cela dépendra des solutions retenues. Toutefois, on peut avancer quelques chiffres issus d’études réalisées par Gartner Group, à savoir 70% des entreprises ayant vécu un sinistre sans avoir mis en place auparavant un plan de secours, déposent le bilan dans les 2 ans.

Pouvez-vous identifier des points particulièrement significatifs pour ce type de projet?
Les points importants sont les délais nécessaires pour remettre en route tout ou partie d’un système d’information, sachant qu’il est possible soit d’avoir un site distant soit une salle machine distante (mais sur le même site).