L'Expert de vos Sauvegardes et de la Protection de vos Données !La Solution adaptée à vos besoins
PRA et PCA
PRA ou PCA : lequel choisir ?
Choisissez un PCA pour les services dont l’arrêt, même d’une heure, coûte plus que le secours payé toute l’année ; un PRA pour ceux qui peuvent rester arrêtés le temps d’une restauration maîtrisée. Dans les deux cas, gardez contre le ransomware une sauvegarde historique que la bascule ne peut pas avoir écrasée.
L’essentiel
- Le choix se fait service par service, pas pour toute l’entreprise d’un coup.
- Comparez le coût d’une heure d’arrêt multiplié par la durée réelle d’une restauration au coût annuel du secours : c’est l’arbitrage que décrivent le NIST et le SGDSN.
- Si vous n’avez jamais mesuré une restauration, faites d’abord cet essai : sans lui, vous ne savez pas encore choisir.
- Contre le ransomware, un PCA seul ne suffit pas : il faut pouvoir revenir à une version saine.
La question d’argent, dite simplement
Estimez le coût d’une heure d’arrêt : salaires présents qui ne produisent pas, ventes perdues, pénalités, patients ou clients non servis. Multipliez par le nombre d’heures qu’une restauration classique prendrait chez vous (souvent une demi-journée à deux jours pour un serveur physique sans image testée).
Comparez au coût annuel du PCA (instances allumées douze mois) et au coût du PRA (préparation, plus une activation seulement les jours de sinistre).
- Si une panne de quatre heures coûte 8 000 € et qu’elle est plausible une fois par an, un PCA à quelques milliers d’euros par an est rationnel.
- Si la même panne coûte 400 € parce que l’équipe peut saisir sur papier un après-midi, le PRA suffit, et parfois la sauvegarde seule.
- Si vous n’avez jamais mesuré la restauration, vous ne savez pas encore choisir. Faites un essai de restauration avant d’acheter un PCA.
C’est exactement l’arbitrage que décrit le NIST : chercher le point d’équilibre entre le coût de l’indisponibilité, qui croît avec la durée de l’arrêt, et le coût des moyens de reprise, qui croît quand on veut redémarrer plus vite. Le SGDSN propose la même démarche : comparer le coût du maintien de ressources de secours au coût de l’arrêt de l’activité pour définir la stratégie de continuité.
Deux seuils à fixer avant de choisir
L’ANSSI demande que la stratégie de sauvegarde tienne compte de deux valeurs, à fixer par service :
| Seuil | Question | Ce qu’il oriente |
|---|---|---|
| DMIA (ou RTO) : durée maximale d’interruption admissible | Combien de temps ce service peut-il rester arrêté ? | PRA si l’on parle d’heures, PCA si l’on parle de minutes |
| PDMA (ou RPO) : perte de données maximale admissible | Combien de saisies peut-on perdre ? | Fréquence des sauvegardes ou de la réplication |
La méthode est dans Comment déterminer son RTO ? et Comment déterminer son RPO ?.
Grille par situation
| Situation | Choix le plus cohérent |
|---|---|
| Serveur de fichiers, arrêt d’une demi-journée acceptable | Sauvegarde + PRA |
| Application de production ou de caisse, arrêt immédiat très coûteux | PCA, plus une sauvegarde historique |
| Crainte principale : ransomware | Sauvegarde immuable + PRA capable de revenir à une date saine. Le PCA seul ne suffit pas |
| Serveur physique unique, pas de matériel de rechange | PRA vers des instances, pour ne pas attendre un achat de serveur |
| Deux serveurs dont un seul est vital | PCA ou PRA sur le vital, sauvegarde simple sur l’autre |
| Équipe de deux personnes, pas de procédure écrite | PRA simple et testé, plutôt qu’un PCA que personne ne saura rebasculer |
Sur le ransomware, Cybermalveillance.gouv.fr est clair : la sortie passe par une restauration depuis une sauvegarde antérieure à l’attaque. Un secours qui suit la production en temps réel ne la remplace pas.
Les signes qu’un PCA est trop tôt
- Personne ne peut dire quelles applications doivent rester ouvertes.
- Les licences interdisent de tourner ailleurs.
- Le lien Internet du site est unique et faible : les utilisateurs locaux n’atteindront pas le secours cloud dans de bonnes conditions, sauf à prévoir ce chemin.
- Le retour arrière (secours vers production) n’a jamais été décrit.
Les signes qu’un PRA est insuffisant
- Des engagements clients ou des soins en cours interdisent plusieurs heures d’arrêt.
- Le dernier test de restauration a duré plus longtemps que ce que la direction accepte.
- Le serveur est physique, ancien, et le délai de remplacement matériel dépasse le RTO.
Chez WeDoBack
Le PRA et le PCA existent côte à côte, sur la même logique de copies chiffrées hors site, clé détenue par le client. On peut protéger un serveur en PCA et les autres en sauvegarde INTEGRAL ou SMART, sans mettre toute l’entreprise au niveau le plus cher. Le choix se fait serveur par serveur. Repères publics : stockage PRA dès 175 € HT par To et par mois, activation facturée à la journée ; PCA avec stockage dès 8,75 € HT par mois pour 50 Go et instances dès 50,22 € HT par mois, plus un agent par serveur. La réplication ou la synchronisation des données entre l’instance PCA et le serveur d’origine n’est pas native : elle passe par un processus spécifique, adapté au besoin, que WeDoBack peut mettre en place sur devis.
Questions fréquentes
Comment estimer le coût d’une heure d’arrêt ?
Additionnez les salaires des personnes bloquées, le chiffre d’affaires non réalisé, les pénalités contractuelles et le coût de rattrapage. Le SGDSN recommande de mesurer les conséquences d’une interruption pour chaque activité essentielle et de fixer la durée d’interruption au-delà de laquelle elles deviennent inacceptables.
Un PCA est-il utile si mon lien Internet est faible ?
Moins qu’il n’y paraît. Si le secours est dans le cloud, les utilisateurs du site doivent l’atteindre par ce lien. Un accès unique et lent peut rendre le secours inutilisable ; il faut alors prévoir un second accès ou un mode dégradé.
Peut-on commencer par un PRA et passer au PCA plus tard ?
Oui, c’est même souvent la démarche la plus saine. Le PRA oblige à écrire la procédure, à mesurer la restauration et à identifier les services vraiment critiques. Ces informations servent ensuite à dimensionner un PCA sur les seuls services qui le justifient.
Pour aller plus loin
Sources
Documents consultés en octobre 2026.
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
- Guide pour réaliser un plan de continuité d’activité (édition 2013) — SGDSN
- Sauvegarde des systèmes d’information – Les fondamentaux (ANSSI-BP-100, v1.1, 27 novembre 2025) — ANSSI
- Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ? — Cybermalveillance.gouv.fr
- Offres et tarifs de sauvegarde externalisée — WeDoBack
Un projet de sauvegarde, de PRA ou de PCA ?
Plus de 20 ans d’expérience dans la protection des données des entreprises.
Demander un devis09 72 50 78 28Protégez vos données avec WeDoBack
Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.