MTD (Maximum Tolerable Downtime)

MTD, MTO, MTPD — clarification terminologique

La terminologie varie selon les référentiels. ISO 22301 utilise MTPD (Maximum Tolerable Period of Disruption) — équivalent direct du MTD. La norme BS 25999 (prédécesseur ISO 22301) utilisait MAO (Maximum Allowable Outage). NIST SP 800-34 utilise MTD (Maximum Tolerable Downtime). Ces termes sont tous équivalents : la durée maximale d'interruption tolérable avant conséquences inacceptables. La confusion vient parfois du terme MTO (Maximum Tolerable Outage) utilisé dans certains frameworks comme synonyme de MTPD/MTD. Dans tous les cas, c'est la même mesure conceptuelle : le plafond absolu de la durée d'interruption acceptable, au-delà duquel l'organisation considère que les conséquences sont inacceptables. Pour la cohérence dans un projet BIA, il est préférable de choisir une terminologie et de s'y tenir, en précisant dans la documentation quel terme est utilisé et sa définition exacte.

Secteurs avec MTD extrêmement courts

Certains secteurs ont des MTD qui se comptent en secondes ou minutes. Finance de marché : les systèmes de trading algorithmique ont des MTD de l'ordre de la milliseconde à la seconde — quelques secondes d'interruption peuvent représenter des millions de pertes de trading et des obligations réglementaires (SEC, AMF). Systèmes de contrôle industriel (ICS/SCADA) : les automates contrôlant des processus chimiques ou nucléaires ont des MTD de quelques secondes — une interruption peut entraîner des accidents physiques. Systèmes d'urgence 911/112 : interruption inacceptable quelle que soit la durée si des vies sont en jeu. Ces systèmes nécessitent des architectures de haute disponibilité extrêmes : N+1 voire N+N, réplication synchrone, basculement automatique en millisecondes, et tests mensuels de HA. Le coût de ces architectures est proportionnel aux exigences de MTD — justifié par l'impact catastrophique potentiel.

Révision des MTD post-incident — apprentissage

Les MTD définis lors du BIA initial sont basés sur des estimations des impacts — ils peuvent s'avérer trop optimistes ou trop pessimistes lors d'incidents réels. Un incident majeur est une opportunité de réviser les MTD à la lumière des impacts réels observés. Si un incident a duré 6 heures et que les impacts réels étaient bien inférieurs à ce que le BIA prévoyait pour 4 heures d'interruption, le MTD peut être revu à la hausse — permettant des solutions de reprise moins coûteuses. Inversement, si les impacts à 2 heures d'interruption ont été plus sévères qu'estimés, le MTD doit être revu à la baisse et les investissements en HA augmentés. Cette révision post-incident des MTD fait partie du cycle d'amélioration continue du BCP et est exigée par les certifications ISO 22301.