Sauvegarde · 11/11/2025
RPO et RTO : les chiffrer avec les métiers, pas contre eux
Demander à une direction métier combien de données elle accepte de perdre produit toujours la même réponse : aucune. La question est mal posée. Elle devient exploitable quand on présente trois paliers avec leur coût, leur délai et leurs conséquences, et qu'on laisse le métier arbitrer en connaissance de cause.
Deux sigles, deux natures différentes. L'objectif de point de reprise mesure ce que l'on accepte de perdre, exprimé en durée de travail : quinze minutes de saisie, une heure, une journée. L'objectif de temps de reprise mesure la durée d'arrêt acceptable avant retour au service. Le premier se paie en infrastructure de réplication, le second en organisation et en capacité de remontée.
Pourquoi la question ouverte ne marche jamais
Une question sans contrepartie appelle une réponse maximaliste, et c'est rationnel du point de vue de celui qui répond. Un directeur commercial à qui l'on demande sa tolérance à la perte de données répond zéro, parce que rien dans la question ne lui indique que zéro coûte trente fois plus cher qu'une heure.
La méthode qui fonctionne inverse la charge. On ne demande pas un besoin, on présente des paliers construits, chiffrés, avec leurs implications techniques et leur coût annuel, puis on demande un choix. Le métier arbitre alors dans les mêmes termes qu'il arbitre le reste de ses dépenses.
| Palier | Perte acceptée | Ce qu'il suppose techniquement |
|---|---|---|
| Standard | Une journée de travail | Sauvegarde quotidienne, restauration depuis le dépôt |
| Renforcé | Une à quatre heures | Captures intermédiaires, journaux de transaction conservés |
| Continu | Quelques minutes | Réplication synchrone ou asynchrone courte, second site actif |
Chiffrer le coût d'une heure d'arrêt
Le chiffrage se fait processus par processus, jamais globalement. Quatre composantes suffisent. La perte directe de production ou de chiffre d'affaires pendant l'arrêt. Le coût de rattrapage, souvent supérieur à la perte directe, car il faut ressaisir, vérifier et traiter le retard en heures supplémentaires. Les pénalités contractuelles éventuelles vis-à-vis des clients. Et l'impact réglementaire ou sanitaire quand il existe.
Le résultat n'est pas un chiffre unique mais une courbe : la première heure coûte souvent peu, la quatrième change de régime parce qu'une journée de production est perdue, et la vingt-quatrième change encore de régime parce que les engagements clients tombent. Les seuils de cette courbe donnent les paliers, et ce sont eux qu'il faut présenter, pas une échelle continue.
Le RPO n'est pas la fréquence de sauvegarde
C'est l'erreur la plus répandue. Une sauvegarde toutes les quatre heures ne garantit pas un objectif de quatre heures. Il faut y ajouter le temps de propagation vers la copie qui sera réellement utilisée, en général la copie hors site, puis le temps de vérification de cette copie. Une capture locale à minuit répliquée hors site à six heures du matin offre un objectif réel de bien plus de quatre heures si le site local disparaît.
Le même raisonnement s'applique aux copies immuables : une copie verrouillée mais écrite une fois par jour ne raccourcit pas la perte potentielle. C'est l'articulation que nous détaillons dans notre relecture de la règle 3-2-1 à l'heure de l'immuabilité, où l'ordre des cinq points compte autant que leur contenu.
Le RTO se décompose en cinq temps
- Détection de l'incident, qui dépend de la supervision et des seuils d'alerte.
- Décision de déclencher la reprise, qui dépend d'une personne joignable et habilitée.
- Restauration proprement dite, qui dépend du volume, du débit et du support.
- Redémarrage ordonné des dépendances, qui dépend de l'inventaire des relations.
- Vérification fonctionnelle avant réouverture aux utilisateurs.
Les étapes deux et quatre sont celles qui dérapent, et aucune ne s'achète. La deuxième relève de l'organisation d'astreinte, sujet traité dans nos notes sur l'organisation d'une astreinte de nuit. La quatrième relève de la connaissance des dépendances. Les durées réelles ne s'obtiennent que par exercice, ce que nous décrivons dans nos notes sur le test de restauration trimestriel.
Ce que le support impose comme plancher
Un objectif de reprise ne peut pas descendre sous le temps physique de remontée. Quarante téraoctets rapatriés sur un lien à un gigabit par seconde demandent plusieurs heures, quelle que soit la qualité de l'organisation. Une remontée depuis un support hors ligne ajoute le temps de manipulation et de positionnement, sujet que nous détaillons dans notre point sur le rôle actuel de la bande magnétique.
C'est pourquoi les paliers courts imposent presque toujours une copie locale en plus de la copie distante : la première sert à la reprise rapide, la seconde à la survie du site. Cette double exigence se retrouve dans tous les retours d'expérience de sinistres physiques, que nous avons repris dans notre bilan des cinq ans qui ont suivi un sinistre de centre de données.
Le détail qui coûte cher
Faites signer le palier retenu par le responsable métier, avec la date et le coût associé. Ce n'est pas une formalité administrative : c'est ce qui évite, après l'incident, la conversation où chacun se souvient d'un engagement différent. La cohérence avec les engagements pris auprès des prestataires se vérifie ensuite selon la méthode exposée dans nos repères sur les garanties de temps d'intervention et de rétablissement.