PCA/PRA Quizz v2

Quelle est la finalité première d'un Plan de Continuité d'Activité (PCA) selon la norme ISO 22301 ?

• Garantir la reprise et la continuité des activités critiques après un sinistre.
• Réduire les primes d'assurance en démontrant la préparation organisationnelle.
• Documenter l'ensemble des processus métiers et leurs interdépendances.
• Se conformer aux exigences réglementaires sectorielles et normatives.

Le Business Impact Analysis (BIA) est une étape cruciale du PCA. Quel est son objectif principal ?

• Calculer le budget nécessaire pour implémenter le PCA et ses solutions techniques.
• Identifier les vulnérabilités techniques et organisationnelles du système d'information.
• Déterminer les activités critiques et quantifier les impacts de leur interruption dans le temps.
• Définir la politique de sécurité informatique et les mesures de protection associées.

Qu'est-ce que la Durée Maximale d'Interruption Admissible (DMIA) ou RTO ?

• La durée pendant laquelle une sauvegarde reste valide avant corruption des données.
• Le temps maximum de fonctionnement continu d'un système avant maintenance obligatoire.
• Le délai contractuel de réponse d'un fournisseur en cas d'incident majeur.
• La durée au-delà de laquelle les conséquences d'une interruption deviennent inacceptables.

Dans le cadre d'un BIA, comment prioriser efficacement les processus métiers ?

• Se baser principalement sur le chiffre d'affaires direct généré par chaque processus.
• Analyser l'évolution temporelle des impacts financiers, réglementaires, opérationnels et réputationnels.
• Consulter principalement l'équipe informatique sur la complexité technique de restauration.
• Appliquer une méthode forfaitaire standardisée pour tous les secteurs d'activité.

La différence entre RPO (Recovery Point Objective) et RTO est cruciale. Laquelle de ces affirmations est correcte ?

• Le RPO définit la perte de données maximale acceptable, le RTO le temps de reprise maximal toléré.
• Le RPO définit la durée de récupération des systèmes, le RTO la quantité maximale de données perdues.
• Le RPO et le RTO doivent être identiques pour toutes les applications critiques d'une entreprise.
• Le RPO concerne principalement les sauvegardes tandis que le RTO concerne les infrastructures physiques.

Lors d'un BIA, vous identifiez qu'un processus génère peu de revenus directs mais son interruption causerait des pénalités contractuelles exponentielles après 2 heures. Quelle stratégie recommanderiez-vous ?

• Classer ce processus comme non-critique en raison de ses faibles revenus directs générés.
• Définir un RTO inférieur à 2 heures avec une solution technique de haute disponibilité.
• Transférer entièrement ce processus à un prestataire externe pour éviter les responsabilités.
• Accepter le risque et provisionner financièrement le montant des pénalités potentielles maximales.

Dans l'analyse des risques pour un PCA, quelle approche est la plus mature selon ISO 22301 ?

• Une approche focalisée sur les incidents historiques ayant déjà impacté l'organisation.
• Une approche centrée prioritairement sur les cybermenaces, principales sources de crises.
• Une approche globale intégrant les dimensions stratégiques, opérationnelles et de gouvernance.
• Une approche basée sur les standards sectoriels appliqués sans adaptation contextuelle.

Une entreprise dispose d'un RPO de 4 heures et d'un RTO de 8 heures pour son ERP. Quelle architecture technique est la plus appropriée ?

• Sauvegardes quotidiennes sur bandes magnétiques avec stockage externalisé sécurisé.
• Réplication synchrone permanente en temps réel vers un site distant actif-actif.
• Snapshots horaires locaux sans réplication externe ni redondance géographique.
• Réplication asynchrone toutes les 2-3 heures vers site de secours avec bascule.

Comment intégrer efficacement les fournisseurs critiques dans votre stratégie de continuité ?

• Imposer des SLA contractuels alignés sur vos DMIA et auditer leurs dispositifs.
• Exiger principalement une attestation d'assurance couvrant les interruptions de service.
• Développer systématiquement des solutions internes remplaçant chaque fournisseur critique.
• Se fier aux certifications ISO 9001 comme garantie suffisante de continuité.

Lors de la définition du mode dégradé, quel principe est fondamental selon les meilleures pratiques ?

• Le mode dégradé doit maintenir l'intégralité des fonctionnalités avec des performances réduites.
• Il doit être défini par l'équipe IT selon les contraintes techniques identifiées.
• Il doit être validé par les métiers et permettre de tenir jusqu'au retour normal.
• Il représente systématiquement une solution temporaire limitée à 24 heures maximum.