--- title: "RTO et RPO : le plan de continuité qui rétablit l'activité" description: "Continuité d'activité gérée : fixer RTO et RPO par système, protéger les sauvegardes contre le ransomware et prouver la restauration. Sans engagement." language: fr url: https://www.dataroad-it.com/fr/continuite-activite-rto-rpo-sauvegardes/ source: https://www.dataroad-it.com/fr/continuite-activite-rto-rpo-sauvegardes/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Continuité d'activité gérée : fixer RTO et RPO par système, protéger les sauvegardes contre le ransomware et prouver la restauration. Sans engagement. # RTO et RPO : le plan de continuité qui rétablit l'activité En bref Pour les décideurs pressés. - 01 Sauvegarder, c'est avoir des copies ; la continuité, c'est refacturer dans un délai défini. - 02 La direction fixe le RTO (durée d'arrêt) et le RPO (données perdues) pour chaque système. - 03 Contre les ransomwares : 3-2-1 avec une copie immuable et des tests de restauration consignés. ### Dans cet article Un plan de continuité bien conçu donne à la direction deux garanties écrites : en combien d'heures l'entreprise recommence à facturer après un incident, et quelle quantité de travail, au maximum, devra être refaite. Ces deux engagements s'appellent RTO et RPO. Disposer de sauvegardes est une condition nécessaire, mais pas suffisante : ce qui protège le chiffre d'affaires, c'est la capacité à tout restaurer dans le délai fixé, et un exercice documenté qui le prouve. ## Pourquoi « nous avons des sauvegardes » ne répond pas au risque Parce que la copie n'est qu'un point de départ. Imaginez un serveur qui rend l'âme un lundi matin, avec une sauvegarde faite la veille sur un disque USB. La copie existe ; l'entreprise reste à l'arrêt. Pour rétablir l'activité, il manque quatre choses : - **Du matériel de remplacement** Le serveur en panne ne peut pas recevoir les données en retour. - **Des compétences et des identifiants** Un technicien qui connaît le système et dispose des mots de passe et des clés de licence. - **Des heures de travail** Transférer les données, relancer les applications et valider le résultat. - **Reconnecter le bureau** Postes, imprimantes et autorisations qui pointaient vers l'ancienne machine. C'est dans ces quatre étapes qu'une panne d'une matinée se transforme en une semaine sans facturation. Beaucoup de PME ne le découvrent qu'une fois l'incident survenu. ## Quels sont les deux chiffres que la direction doit fixer ? **RTO: Recovery Time Objective.** La durée maximale d'arrêt que l'activité tolère avant que les pertes ne deviennent sérieuses. **RPO: Recovery Point Objective.** La fenêtre de données que l'on accepte de perdre, comptée à rebours à partir de l'incident. Avec une dernière sauvegarde à minuit, un problème à 17 h coûte toute la journée de travail. Lus ensemble : un RTO de 4 heures et un RPO d'1 heure signifient « nous sommes opérationnels en 4 heures et, au pire, nous perdons la dernière heure ». C'est une décision métier. Le partenaire IT traduit ces valeurs en architecture et en prix, et plus elles sont serrées, plus c'est cher. Exiger une reprise instantanée pour tous les systèmes, c'est gaspiller le budget. ### Quatre étapes pour les définir en une réunion - **Lister les dépendances**: messagerie, ERP et facturation, dossiers partagés, logiciel métier, téléphonie, site web. - **Interroger sur l'impact**: à chaque responsable : « à partir de combien d'heures d'arrêt commençons-nous à perdre des clients ou du chiffre d'affaires ? » La réponse donne le RTO. - **Interroger sur le travail à refaire**: « combien d'heures de travail sommes-nous prêts à refaire ? » On en déduit le RPO. - **Exiger une preuve**: transmettre la liste au prestataire et demander la solution accompagnée de l'exercice qui la valide. ## À quoi ressemblent les valeurs dans une entreprise réelle ? Scénario illustratif : société de services, 40 postes, facturation quotidienne, une partie de l'équipe en télétravail. Les chiffres servent de repère, pas de recette. | Service | RTO | RPO | Architecture habituelle | | --- | --- | --- | --- | | ERP et facturation | 2 à 4 heures | 15 minutes à 1 heure | Plusieurs sauvegardes par jour et un système miroir prêt à passer en production | | Messagerie et agendas Microsoft 365 | 4 heures | 24 heures | Sauvegarde quotidienne hors de l'infrastructure de Microsoft | | Dossiers partagés | 1 jour ouvré | 4 à 24 heures | Sauvegardes au fil de la journée, au bureau et sur un site externe | | Logiciel métier (clinique, hôtel, bureau d'études) | 2 à 8 heures | 1 à 4 heures | Serveur virtuel répliqué, capable de démarrer sur un autre matériel | | Téléphonie | 1 heure | Sans objet | PBX dans le cloud avec renvoi vers les mobiles | | Site web de l'entreprise | 1 à 2 jours | 1 semaine | Sauvegarde hebdomadaire chez l'hébergeur | | Historique des années précédentes | 1 semaine | 1 semaine | Sauvegarde mensuelle sur un support distinct | L'écart entre la première et la dernière ligne est l'argument économique : protéger l'archive comme l'ERP, c'est dépenser sans gain ; protéger l'ERP comme l'archive, c'est accepter un risque que personne n'a validé. ## Quelle architecture de sauvegarde résiste aux ransomwares ? La base reste la règle 3-2-1 : trois copies, deux supports distincts, dont une hors des locaux. Aujourd'hui, cela ne suffit plus. Les attaques modernes localisent et détruisent les sauvegardes accessibles par le réseau avant de chiffrer les serveurs ; il faut donc une copie immuable, que personne ne peut supprimer pendant une durée fixée, et un dernier test de restauration sans erreur. L'agence américaine CISA recommande de conserver des sauvegardes chiffrées et déconnectées du réseau pour les données critiques, et de vérifier régulièrement leur intégrité et leur disponibilité. Ceux qui travaillent sur Microsoft 365 ont un angle mort supplémentaire : la corbeille native ne conserve les données que peu de temps. Nous expliquons le problème dans [pourquoi Microsoft 365 a besoin de sa propre sauvegarde](https://www.dataroad-it.com/fr/sauvegarde-microsoft-365-delais-restauration/). ## Contre quels incidents le plan doit-il protéger ? - **Panne matérielle** Disque, serveur, switch ou pare-feu qui cesse de répondre. - **Attaque informatique** Ransomware ou accès frauduleux qui chiffre ou supprime les données, sauvegardes comprises lorsqu'elles sont sur le même réseau. - **Erreur d'un utilisateur** Dossier supprimé, document écrasé, compte effacé par erreur. - **Coupure d'électricité ou de connexion** Plusieurs heures sans réseau électrique, comme le 28 avril 2025. Nous analysons cette journée dans [huit heures sans électricité ni internet : le bureau aurait-il tenu ?](https://www.dataroad-it.com/fr/panne-electrique-reseau-resilience-entreprise/) - **Sinistre dans le bâtiment** Incendie, dégât des eaux ou vol de matériel. ## À quoi cela ressemble-t-il dans un projet concret ? L'[União de Freguesias de Massamá e Monte Abraão](https://www.dataroad-it.com/fr/massama-monte-abraao-serveur-sauvegardes/) a retenu DataRoad en 2022, par procédure publique, pour un projet qui réunit les trois couches évoquées : un nouveau serveur d'entreprise, installé et configuré ; un onduleur pour protéger les systèmes et les maintenir en fonctionnement ; et une sauvegarde d'entreprise sur deux fronts, locale et cloud, mise en place puis validée. Les informations et configurations précédentes ont été migrées vers la nouvelle infrastructure sans perte. La couche locale garantit une restauration rapide. La couche cloud couvre le sinistre dans le bâtiment. La validation transforme les deux en engagements vérifiés, et non en suppositions. ## À quelle fréquence faut-il prouver la reprise ? Au minimum chaque trimestre, avec la restauration d'un serveur dans un environnement isolé et le temps consigné. Chaque année, avec un exercice complet auquel assiste la direction. Sans ce registre, RTO et RPO ne sont que des intentions. Nous avons décrit la procédure dans [le test de restauration de 30 minutes à exiger de votre prestataire](https://www.dataroad-it.com/fr/sauvegarde-geree-test-restauration-30-minutes/). Si l'incident est déjà en cours, lisez d'abord [que faire dans les premières heures d'une récupération de données](https://www.dataroad-it.com/fr/perte-donnees-premiere-heure-sauvegardes/). ## Que fournit DataRoad dans un service managé de continuité ? Dans le cadre d'un contrat IT Unlimited, DataRoad - IT Services and Consulting fixe les objectifs de reprise avec la direction, dimensionne les [sauvegardes managées et supervisées](https://www.dataroad-it.com/fr/sauvegarde-geree-entreprises-portugal/) pour les atteindre et conserve le registre de chaque test. La couche [continuité d'activité et reprise après sinistre](https://www.dataroad-it.com/fr/reprise-apres-sinistre-continuite-portugal/) ajoute la séquence de redémarrage, les priorités et le plan de communication pendant l'incident. Lorsque l'activité ne peut pas attendre le jour ouvré suivant, la [formule Premium 365](https://www.dataroad-it.com/fr/it-unlimited-premium-365-it-gere-24-7/) étend la couverture aux nuits, week-ends et jours fériés. ## Les questions de ceux qui décident ### Qu'est-ce qui distingue le RTO du RPO ? Le RTO mesure la durée d'arrêt ; le RPO mesure les données perdues. Le premier dicte la rapidité de la restauration, le second la fréquence des sauvegardes. ### À quelle fréquence faut-il sauvegarder ? Celle qu'impose le RPO de chaque système. Un ERP avec un RPO d'une heure a besoin de sauvegardes au moins horaires ; pour la documentation historique, une fréquence hebdomadaire ou mensuelle suffit généralement. ### Un disque externe suffit-il ? Non, s'il s'agit de la seule copie. Branché au serveur, il peut être chiffré lors de la même attaque et il est exposé au même incendie ou à la même inondation ; une copie externe et une autre immuable sont indispensables. ### Quel investissement exige la reprise après sinistre ? Il dépend directement des objectifs fixés : restaurer en quatre heures coûte bien moins cher que restaurer en quinze minutes. On définit d'abord RTO et RPO système par système ; ce n'est qu'ensuite que l'on choisit la technologie. ## Prochaine étape : la carte de continuité de votre entreprise en 10 jours ouvrés Nous fixons avec vous les objectifs de chaque système, mesurons ce que votre infrastructure de sauvegarde permet aujourd'hui et vous remettons le plan de correction par priorités. Proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt. One Step Ahead of IT. **Appel vers un fixe portugais.* ## Sources - [NIST SP 800-34 : définition du RTO](https://csrc.nist.gov/glossary/term/recovery_time_objective) - [NIST SP 800-34 : définition du RPO](https://csrc.nist.gov/glossary/term/recovery_point_objective) - [CISA : guide de réponse aux ransomwares](https://www.cisa.gov/stopransomware/ransomware-guide) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · IT géré pour entreprises ## One StepAhead of IT. Un seul partenaire responsable de toute l’informatique de l’entreprise, avec des délais écrits au contrat et un forfait mensuel qui ne bouge pas. - **11** ans d’activité, depuis 2015 - **0** incident de sécurité chez DataRoad en 11 ans - **1** contrat et un responsable pour tout We do **IT** right. DataRoad IT Unlimited ## Vos sauvegardes ont-elles déjà été mises à l’épreuve ? Sauvegardes automatiques et supervisées, conservées hors des locaux. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/continuite-activite-rto-rpo-sauvegardes/