# Plan de continuité des affaires après une cyberattaque : modèle

Source : https://cybercaribou.com/blogue/plan-continuite-affaires-cyberattaque · Cyber Caribou

> Processus critiques, RTO et RPO, solutions de rechange manuelles : le modèle de plan de continuité pour continuer à servir vos clients après une cyberattaque.

Lundi, 6 h 40, chez un distributeur alimentaire de Saint-Hyacinthe. Trente employés, six camions qui doivent partir à 9 h. Le directeur des opérations ouvre son portable : impossible d'accéder au logiciel de gestion. Sur le serveur, tous les fichiers portent une nouvelle extension, à côté d'une note de rançon.

Le fournisseur TI est en route pour isoler le réseau et restaurer les sauvegardes, ce qui prendra des jours. Pendant ce temps, une question plus simple attend une réponse : comment livre-t-on les épiceries ce matin ?

C'est le rôle du plan de continuité des affaires (PCA). Ce guide vous en donne une structure utilisable, inspirée du Centre canadien pour la cybersécurité et du NIST.

- Le plan de continuité répond à une question : comment continuer à servir vos clients pendant que vos systèmes sont en panne. Il complète le plan de réponse aux incidents, il ne le remplace pas.
- Dans son guide ITSM.10.014 (janvier 2026), le Centre canadien pour la cybersécurité recommande trois plans complémentaires : réponse aux incidents, continuité des activités et reprise après sinistre.
- La base du PCA : vos processus critiques, un délai de rétablissement (RTO) et une perte de données tolérable (RPO) pour chacun, et une solution de rechange manuelle.
- Gardez une copie papier : un plan stocké sur le serveur chiffré ne vous servira à rien.

## Continuité, réponse aux incidents, reprise : quelle différence ?

Le plan de continuité sert à maintenir vos activités essentielles pendant une perturbation, le plan de réponse aux incidents sert à contenir l'attaque, et le plan de reprise après sinistre sert à revenir au fonctionnement normal. Dans sa publication ITSM.10.014 de janvier 2026, le Centre canadien pour la cybersécurité décrit le PCA comme le plan qui s'applique de manière spécifique à la reprise de vos services les plus importants.

| Plan | Question à laquelle il répond | Exemple chez le distributeur |
|---|---|---|
| Réponse aux incidents | Comment arrêter l'attaque et limiter les dégâts ? | Isoler le réseau, aviser l'assureur, préserver les preuves |
| Continuité des affaires | Comment continuer à servir les clients en mode dégradé ? | Prendre les commandes par téléphone, livrer avec des bons papier |
| Reprise après sinistre | Comment revenir à la normale, et dans quel ordre ? | Restaurer le logiciel de gestion, puis la comptabilité, puis le reste |

Pas encore de plan de réponse aux incidents ? Commencez par notre [modèle pour PME](https://cybercaribou.com/blogue/plan-reponse-incidents-pme-modele).

Côté méthode, la référence reste le NIST SP 800-34 Rev. 1 (2010), qui propose sept étapes : politique, analyse d'impact sur les activités, mesures préventives, stratégies de reprise, plan, tests et mise à jour. Une PME n'a pas besoin de tout ce formalisme, mais l'ordre est le bon.

## Étape 1 : déterminer vos processus critiques

Un processus critique est une activité dont l'arrêt cause un tort grave en quelques heures ou en quelques jours : clients perdus, pénalités, obligations légales manquées. Pour les trouver, réunissez la direction pendant deux heures et posez trois questions pour chaque activité :

1. Combien de temps pouvons-nous l'arrêter avant que ce soit grave ?
2. Quelles conséquences : argent, clients, obligations, réputation ?
3. De quels systèmes, fournisseurs et personnes dépend-elle ?

C'est l'analyse d'impact sur les activités. Le NIST parle de durée maximale d'interruption tolérable, toutes conséquences comprises. Le Centre canadien pour la cybersécurité précise que seuls les services critiques figurent au PCA. Visez cinq à huit processus, pas trente.

## Étape 2 : fixer un RTO et un RPO pour chaque processus

Le RTO (objectif de délai de rétablissement, ou ODR) est la durée maximale d'indisponibilité que vous pouvez tolérer ; le RPO (objectif de point de rétablissement, ou OPR) est la quantité maximale de données que vous pouvez perdre, exprimée en temps. Ce sont les définitions du Centre canadien pour la cybersécurité. Le NIST ajoute que le RTO doit être plus court que la durée d'interruption tolérable, puisqu'il faut ensuite rattraper le travail en retard.

Voici le tableau du distributeur de Saint-Hyacinthe :

| Processus critique | Système | RTO | RPO | Solution de rechange manuelle |
|---|---|---|---|---|
| Prise de commandes | Logiciel de gestion, courriel | 4 h | 1 h | Commandes par téléphone sur formulaire papier numéroté |
| Préparation et livraison | Logiciel de gestion, étiquettes | 8 h | 4 h | Liste imprimée des clients et des routes, bons de livraison vierges |
| Paiement des fournisseurs | Banque en ligne | 2 jours | s. o. | Paiements urgents par téléphone avec la banque, deux approbateurs |
| Paie | Service de paie infonuagique | 3 jours | 1 jour | Reconduire la paie précédente avec le fournisseur de paie |
| Facturation | Logiciel comptable | 5 jours | 1 jour | Factures émises à partir des bons de livraison papier |
| Téléphone et courriel | Téléphonie IP, courriel | 4 h | 1 jour | Renvoi des appels vers les cellulaires, liste de contacts imprimée |

Confrontez ensuite ces cibles à la réalité. Si vos sauvegardes roulent chaque nuit, votre RPO réel est d'au moins 24 heures. Si votre dernière restauration complète a pris trois jours, un RTO de 8 heures reste un souhait. L'écart devient votre liste de travaux, qui commence souvent par des [sauvegardes 3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel) testées.

Selon une étude de CDW Canada publiée en 2025, les petites organisations canadiennes ont mis en moyenne 25,7 jours à se rétablir d'un incident. Un PCA ne raccourcit pas forcément ce délai, mais il vous permet de continuer à livrer et à facturer pendant ce temps.

## Étape 3 : prévoir des solutions de rechange manuelles

Une solution de rechange manuelle est une façon d'accomplir un processus critique sans le système habituel ; elle ne fonctionne que si elle est écrite, connue des employés et prête à l'emploi. Celles qui reviennent le plus souvent :

- **Des listes imprimées**, mises à jour chaque mois : clients, fournisseurs, employés, numéros d'urgence.
- **Un ordinateur de secours** isolé du réseau habituel, pour consulter le plan et accéder à la banque.
- **Un canal de communication de rechange** : groupe de messagerie sur les cellulaires ou courriel de secours hors de votre environnement habituel. Une boîte compromise, l'attaquant la lit.
- **Des règles de paiement de crise** : aucun changement de coordonnées bancaires accepté pendant l'incident sans rappel à un numéro connu. Les fraudeurs adorent le chaos.

Et ne rebranchez pas les postes « qui ont l'air corrects » avant le feu vert de votre fournisseur TI.

## Le modèle de PCA, section par section

Un PCA de PME tient en cinq à dix pages ; à cinquante, personne ne le lira pendant la crise. Servez-vous de cette liste comme gabarit :

- [ ] **Déclenchement** : qui active le plan, selon quels critères, et qui le remplace en son absence.
- [ ] **Cellule de crise** : trois à cinq personnes, chacune avec un rôle (décisions, opérations, communications, liaison TI).
- [ ] **Contacts d'urgence** : fournisseur TI, ligne d'incident de l'assureur, banque, conseiller juridique, principaux clients et fournisseurs.
- [ ] **Processus critiques** avec leurs RTO et RPO (le tableau ci-dessus).
- [ ] **Solutions de rechange** et emplacement du matériel : formulaires, listes, ordinateur de secours.
- [ ] **Communications** : messages rédigés d'avance pour les employés, les clients et les fournisseurs, comme le recommande le Centre canadien pour la cybersécurité.
- [ ] **Ordre de reprise** des systèmes, établi avec votre fournisseur TI.
- [ ] **Obligations** : inscription au registre des incidents de confidentialité exigé par la Loi 25 et, si l'incident présente un risque de préjudice sérieux, avis à la Commission d'accès à l'information et aux personnes concernées. Validez ces obligations avec votre conseiller juridique.
- [ ] **Copie papier** à jour, conservée hors des bureaux, comme le recommandent les contrôles de base du Centre canadien pour la cybersécurité.
- [ ] **Date de la dernière révision** et du dernier exercice.

## Tester le plan avant d'en avoir besoin

Un plan de continuité jamais testé n'est qu'une hypothèse : testez-le au moins une fois par année, et après tout changement important de logiciel ou de fournisseur. Le Centre canadien pour la cybersécurité propose plusieurs formats, du séminaire à l'exercice réel en passant par l'exercice sur table.

Pour une PME, l'exercice sur table est le meilleur point de départ : deux heures, un scénario réaliste, la cellule de crise qui déroule le plan. Notre guide de l'[exercice de simulation de cyberattaque](https://cybercaribou.com/blogue/exercice-simulation-cyberattaque-pme) explique comment l'animer. Ajoutez-y un test technique : chronométrez la restauration d'un système critique et comparez le résultat à votre RTO.

Chaque exercice révèle des trous : un numéro périmé, un formulaire introuvable, une personne clé en vacances. Corrigez-les, datez la nouvelle version, imprimez-la.

Notre équipe peut vous aider à bâtir ce plan et à l'éprouver dans le cadre de notre [accompagnement continu](https://cybercaribou.com/services/accompagnement-continu). Vous préférez d'abord en parler ? Réservez une [discussion gratuite](https://cybercaribou.com/discussion-gratuite) avec un expert.

## FAQ

**Quelle est la différence entre un plan de continuité des affaires et un plan de reprise après sinistre ?**
Le plan de continuité des affaires permet de maintenir les activités critiques pendant une panne, souvent en mode dégradé avec des solutions manuelles. Le plan de reprise après sinistre décrit comment restaurer les systèmes et revenir à la normale, et dans quel ordre. Le Centre canadien pour la cybersécurité recommande d'avoir les deux, en plus d'un plan de réponse aux incidents.

**Comment calculer le RTO et le RPO d'une PME ?**
Pour chaque processus critique, demandez combien de temps il peut s'arrêter avant de causer un tort grave : c'est la base du RTO, le délai de rétablissement. Demandez ensuite combien d'heures de données vous pouvez perdre : c'est le RPO. Comparez ces cibles à vos sauvegardes réelles ; une sauvegarde quotidienne signifie un RPO d'au moins 24 heures.

**Une PME de 20 employés a-t-elle vraiment besoin d'un plan de continuité des affaires ?**
Oui, mais il peut tenir en quelques pages : processus critiques, délais tolérables, solutions de rechange, contacts et messages préparés. Une PME sans service TI interne dépend souvent de quelques personnes et de quelques logiciels, ce qui rend une panne prolongée particulièrement coûteuse. Le plan sert à décider d'avance, à froid, ce que vous ferez sous pression.

**À quelle fréquence faut-il tester un plan de continuité des affaires ?**
Nous recommandons au moins un exercice par année, et un nouveau test après tout changement important : nouveau logiciel de gestion, nouveau fournisseur TI, déménagement. Le Centre canadien pour la cybersécurité ne fixe pas de fréquence précise, mais insiste sur des tests réguliers, par exemple des exercices sur table. Un test de restauration chronométré complète bien l'exercice.

## Sources

- [Centre canadien pour la cybersécurité : Renforcement de la cyberrésilience grâce à une préparation en cas d'urgence (ITSM.10.014, janvier 2026)](https://www.cyber.gc.ca/fr/orientation/renforcement-cyberresilience-grace-preparation-cas-durgence-itsm10014)
- [Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [NIST SP 800-34 Rev. 1 : Contingency Planning Guide for Federal Information Systems (en anglais)](https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final)
- [CDW Canada : IT and cybersecurity trends for small businesses in Canada (2025, en anglais)](https://www.cdw.ca/content/cdwca/en/articles/security/it-and-cybersecurity-trends-for-small-businesses-in-canada.html)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)