Panne de serveur, ransomware, incendie ou erreur humaine : un incident majeur peut interrompre l’activité d’une entreprise et priver ses équipes d’accès aux données critiques. Le PRA cloud (plan de reprise d’activité dans le cloud) prévoit le redémarrage de ses systèmes informatiques depuis une infrastructure cloud distante, selon des délais et des niveaux de perte de données acceptables.
Mais quelle solution PRA choisir ? Veeam, NAKIVO, Proxmox Backup Server, Microsoft Azure et AWS ne répondent pas tous au même besoin. Certains outils privilégient la sauvegarde cloud ; d’autres assurent la réplication des machines et facilitent la bascule. La mise en place d’un plan efficace exige aussi des procédures de secours, un budget maîtrisé, une stratégie de retour à la normale et des tests de restauration.
Ce comparatif présente les options disponibles, leurs avantages et leurs limites, avec un cas concret illustrant comment PCI mobilise son expertise en continuité et reprise d’activité pour accompagner les entreprises dans la préparation de leur PRA.
Qu’est-ce qu’un PRA cloud ?
Un PRA informatique rassemble les ressources, les outils et les procédures permettant de relancer les services essentiels après un sinistre et de limiter l’impact sur l’activité. Dans sa déclinaison cloud, l’entreprise conserve des copies exploitables de ses systèmes sur un site distant et prévoit où, comment et par qui ils seront redémarrés.
Une sauvegarde externalisée protège des données, mais ne constitue pas à elle seule un PRA opérationnel : il faut également disposer de capacités de calcul, d’accès réseau, des configurations nécessaires et d’un ordre de relance documenté.
Le PRA vise la reprise de l’activité après interruption ; le PCA cherche plus largement à maintenir la continuité des activités essentielles pendant une crise. Pour cette distinction, consultez notre article sur les différences entre PCA et PRA.
Quelles solutions de PRA dans le cloud comparer ?
Le marché du cloud associe logiciels de sauvegarde, outils de réplication et services de disaster recovery. Ils ne remplissent pas exactement la même fonction : le tableau ci-dessous compare leur contribution à une architecture PRA, sans les présenter comme des offres équivalentes.
| Solution | Fonctions utiles pour le PRA | Reprise dans le cloud | Principale limite |
|---|---|---|---|
| Veeam Data Platform | Sauvegarde, réplication et récupération ; orchestration possible avec des composants dédiés | Vers des cibles compatibles, selon les produits et licences | Prévoir les ressources et les procédures de relance |
| NAKIVO Backup & Replication | Sauvegarde des VM, réplication et workflows de reprise selon l’édition | Sur une infrastructure cible compatible | Vérifier les hyperviseurs et options pris en charge |
| Proxmox Backup Server (PBS) | Sauvegardes incrémentales, déduplication, synchronisation entre dépôts | VM restaurées vers des hôtes Proxmox VE disponibles | PBS seul n’automatise pas la bascule de production |
| Azure Site Recovery | Réplication de systèmes compatibles et plans de bascule | Vers Microsoft Azure | Dépendance à l’écosystème et à la configuration Azure |
| AWS Elastic Disaster Recovery | Réplication continue, tests et lancement d’instances | Vers AWS à la demande | Prévoir le réseau, les accès et le retour arrière |
Le choix dépend du scénario à couvrir. Pour une PME équipée de Proxmox, PBS peut convenir ; pour une reprise rapide sur cloud public, des services spécialisés facilitent l’orchestration.
Une sauvegarde externalisée et un service de disaster recovery ne se comparent donc pas uniquement sur la quantité de données stockées. Les équipes doivent vérifier le mode de récupération : faut-il reconstruire les serveurs avant de relancer les logiciels, ou des machines répliquées peuvent-elles être démarrées directement ? La fiabilité du PRA doit être mesurée lors d’un test de restauration, pas simplement déduite d’une fiche commerciale.
Quels critères pour choisir un fournisseur et une architecture PRA ?
Avant de retenir une solution de sauvegarde ou un prestataire, l’entreprise doit identifier ses applications prioritaires, ses dépendances techniques et les conséquences d’un arrêt sur l’activité. Deux indicateurs structurent ce PRA :
- RPO (Recovery Point Objective) : ancienneté maximale des données récupérées. Un RPO de huit heures autorise, dans le pire cas prévu, la perte des modifications effectuées depuis H−8.
- RTO (Recovery Time Objective) : délai maximal visé pour rendre un service à nouveau disponible. Ce n’est pas la fréquence des sauvegardes.
Il faut ensuite comparer les niveaux de service : compatibilité des serveurs, capacité de stockage, bande passante, localisation du datacenter, assistance pendant l’incident, fréquence des tests et documentation. Un cloud public peut proposer des mécanismes intégrés ; un cloud privé ou souverain permet d’envisager une architecture adaptée et un support de proximité. Le choix doit aussi intégrer les conditions de réversibilité et la maîtrise des accès aux réseaux. La gestion des dépendances techniques est essentielle pour assurer une reprise en pratique.
Trois niveaux de priorité peuvent être définis : services vitaux, outils à relancer dans la journée et fonctions pouvant attendre. Cette analyse permet de construire une stratégie de reprise réaliste, de sélectionner les ressources cloud adaptées et d’éviter de payer le même niveau de protection pour tous les systèmes, quel que soit leur rôle dans l’activité.
Pourquoi le PRA ne doit-il pas dépendre du site de production ?
Si les copies de sécurité restent sur les mêmes serveurs ou dans le même bâtiment que les données d’origine, une catastrophe naturelle, un incendie ou une cyberattaque peuvent compromettre simultanément les deux. La redondance locale et la haute disponibilité répondent à certaines pannes, mais pas forcément à la disparition d’un site.
Une sauvegarde externalisée, conservée dans un environnement distinct, réduit cette dépendance. Encore faut-il séparer les identifiants d’administration, protéger les dépôts contre les suppressions malveillantes et anticiper les ressources informatiques nécessaires au redémarrage. L’indépendance doit être technique et organisationnelle : si la procédure n’est accessible que depuis un serveur indisponible, le plan est fragilisé.
Cette stratégie de redondance géographique renforce la résilience numérique, sans promettre une reprise instantanée. Le PRA doit rester exploitable lorsque la production est indisponible. La rapidité dépend de l’architecture retenue et des exercices réalisés. Les équipes doivent aussi accéder aux procédures et aux contacts, même si le réseau principal est coupé.
Comment mettre en place un PRA avec Proxmox Backup Server ?
PCI accompagne notamment des clients dont les machines virtuelles sont protégées par un PBS dédié, hébergé dans son datacenter. Leurs sauvegardes externalisées sont ainsi conservées sur son infrastructure cloud, indépendamment de leur site de production. Si un sinistre empêche la poursuite de l’exploitation, le client peut demander à PCI de remettre les VM en fonctionnement sur son cloud.
Le déroulement repose sur cinq étapes :
- Préparer le périmètre : identifier les VM critiques, les dépendances, les accès et les objectifs RTO/RPO.
- Configurer la protection : organiser les sauvegardes à distance, leur fréquence, leur conservation et la vérification des points disponibles.
- Déclencher le plan : l’entreprise constate l’interruption, prend la décision et contacte les équipes PCI selon la procédure convenue.
- Redémarrer les systèmes : PCI restaure les VM concernées sur les ressources cloud prévues, puis vérifie les services et la connectivité.
- Rendre l’activité accessible : adapter si nécessaire les routes, le DNS ou les accès distants et valider les outils métiers avec le client.
Le déclenchement du PRA n’est pas automatique. L’intérêt du dispositif est de disposer de copies hors site et d’une possibilité de relance à la demande, plutôt que d’entretenir systématiquement une seconde production active. La reprise de l’activité dépend néanmoins de la disponibilité des ressources prévues et des tests effectués. Notre article consacré à PBS détaille davantage ses fonctions de sauvegarde.
Un PRA doit-il prévoir une bascule automatique ?
Non. L’automatisation peut réduire les manipulations et le temps d’interruption, mais elle n’est pas indispensable à tous les projets. Elle ajoute de la complexité et demande une supervision fiable. Une organisation acceptant plusieurs heures d’arrêt de son activité peut préférer une procédure manuelle encadrée, à condition d’avoir défini les responsabilités et les délais.
Il faut surtout ne pas confondre RPO et RTO. Retrouver une copie datant de huit heures ne signifie pas redémarrer huit heures après l’incident. Le délai réel inclut la décision, les transferts éventuels, le démarrage des VM dans le cloud, les contrôles des applications et la remise en service des accès.
C’est pourquoi le PRA doit préciser qui autorise la bascule, comment joindre le partenaire et selon quels critères la situation revient à la normale.
Comment garantir la sécurité des sauvegardes face aux cyberattaques ?
Externaliser ne suffit pas : un ransomware peut aussi viser les copies accessibles avec des comptes compromis. La cybersécurité et la gestion des accès doivent être intégrées dès la conception du projet, avec des mesures proportionnées aux risques :
- Comptes distincts, authentification forte et limitation des droits sur les dépôts.
- Chiffrement des transferts et protection des données conservées dans le cloud.
- Copies isolées ou immuables lorsque les outils et l’architecture le permettent.
- Tests réguliers de récupération et vérification de l’intégrité avant la remise en service.
La localisation des données dans un cloud hébergé en France et les engagements contractuels du fournisseur peuvent répondre à des enjeux de souveraineté et de confidentialité. Ils ne suffisent pas, à eux seuls, à établir la conformité RGPD ou une certification ISO 27001. Ces garanties doivent être vérifiées séparément, notamment dans les secteurs réglementés où la conformité et la traçabilité sont décisives.
Quel budget prévoir pour un PRA dans le cloud ?
Le coût dépend des volumes protégés, des licences, des transferts, du stockage cloud et des capacités de calcul mobilisables. Un dispositif cloud à la demande peut limiter les ressources actives en permanence ; une réplication continue avec machines prêtes à démarrer implique généralement un investissement plus élevé.
Deux modèles de facturation peuvent coexister : une capacité de calcul réservée, disponible en permanence, ou des ressources activées en cas d’incident. Dans le second cas, il faut vérifier les conditions de disponibilité et la facturation pendant l’exploitation distante.
Le calcul doit aussi inclure les prestations d’intégration, les tests, la maintenance de la documentation et l’assistance pendant la crise. Pour une PME ou une ETI, l’optimisation des coûts consiste à différencier les systèmes critiques des services pouvant attendre : tous ne nécessitent pas les mêmes niveaux de disponibilité.
Comment préparer le retour à la normale après la reprise ?
Une fois l’activité rétablie dans le cloud, il reste à organiser le retour vers l’infrastructure principale (failback). Cette étape conditionne la fin réelle de l’incident.
Il faut prévoir la récupération des nouvelles données produites dans le cloud, leur cohérence, la remise en état des serveurs initiaux, puis une bascule contrôlée vers l’environnement d’origine. La procédure doit mentionner les intervenants, les vérifications, les conditions d’arrêt et un scénario de repli si le transfert échoue.
Des procédures de secours archivées hors du site principal, une liste de contacts actualisée et des exercices réguliers rendent ces opérations plus sûres. L’entreprise doit aussi déterminer qui valide le retour et quelles vérifications autorisent la fermeture de la cellule de crise. Un PRA n’est crédible que lorsqu’il a été essayé, corrigé puis adapté aux évolutions de l’entreprise.
PCI associe expertise PRA et hébergement cloud souverain
Avec son dispositif reposant sur un Proxmox Backup Server dédié, PCI permet à ses clients de conserver leurs sauvegardes de VM dans un datacenter distant, puis de solliciter leur redémarrage dans le cloud en cas de sinistre.
L’objectif du PRA n’est pas de promettre une bascule immédiate, mais de bâtir une stratégie adaptée permettant la reprise de l’activité, indépendante du site principal et accompagnée de procédures exploitables, y compris pour le retour à la production.
Contactez les équipes PCI pour étudier votre infrastructure, vos objectifs de reprise et les modalités de protection adaptées à votre activité.
