BIA (Business Impact Analysis)

Méthode BIA — entretiens et ateliers

La BIA se réalise par des entretiens structurés avec les responsables de chaque processus métier (Finance, Commercial, Production, RH, Juridique, IT). Un questionnaire type couvre : description du processus et son rôle dans l'activité, ressources nécessaires (personnes clés, systèmes, fournisseurs, locaux), impact quantifié de l'interruption (€/heure, €/jour), et seuils de tolérance (RTO, RPO, MTO). Les ateliers multi-directions permettent de valider les interdépendances entre processus — un processus commercial peut dépendre d'un processus comptable qui dépend du SI financier. Ces interdépendances sont souvent sous-estimées en entretiens individuels.

RTO et RPO — définition et implications techniques

Le RTO (Recovery Time Objective) est le délai maximum acceptable avant qu'un processus soit restauré après un incident. Un RTO de 4h signifie que le processus doit être opérationnel dans les 4h suivant l'incident. Le RPO (Recovery Point Objective) est la perte de données maximale acceptable exprimée en durée — un RPO de 1h signifie qu'on peut perdre au maximum 1h de données. Ces deux paramètres ont des implications directes sur les choix techniques : RTO = 1h → réplication synchrone, clustering actif-actif ; RTO = 4h → réplication asynchrone, site chaud ; RPO = 4h → sauvegardes toutes les 4h. Le coût de la solution de continuité croît exponentiellement quand RTO et RPO diminuent — la BIA permet de valider que les coûts sont proportionnés aux impacts réels.

BIA cyber — focus incidents de sécurité

La BIA dans le contexte cyber doit spécifiquement analyser les scénarios d'incidents de sécurité : infection ransomware de masse, compromission d'un compte administrateur critique, exfiltration de données suivie d'une notification RGPD, attaque DDoS sur les services exposés Internet, compromission d'un fournisseur de services cloud. Ces scénarios ont des spécificités différentes des pannes techniques classiques : la restauration peut être plus longue (investigation forensics requise avant restauration pour éviter la réinfection), l'impact réglementaire est immédiat (72h RGPD, 24h NIS 2), et l'impact réputationnel peut être plus sévère (couverture médiatique, perte de confiance des clients). La BIA cyber doit être un exercice spécifique au sein de la BIA globale.