Expliquez le BCP par rapport au DRP, et définissez le RTO et le RPO.

La planification de la continuité et de la reprise est un domaine fortement évalué au CISSP car il oblige à penser à l'activité, et pas seulement à la technologie. Les recruteurs veulent entendre la différence de périmètre et les deux métriques clés définies précisément.

BCP par rapport au DRP

Le plan de continuité d'activité (BCP) est la discipline globale : il garantit que les fonctions métier critiques de l'organisation se poursuivent pendant et après une perturbation — personnes, processus, locaux, communications et chaîne d'approvisionnement, pas uniquement les ordinateurs. Le plan de reprise après sinistre (DRP) est un sous-ensemble du BCP centré spécifiquement sur la restauration des systèmes informatiques, des données et de l'infrastructure après un incident. En clair, le DRP remet les serveurs en marche ; le BCP fait tourner l'entreprise.

Piloté par la BIA

Les deux plans découlent de l'analyse d'impact sur l'activité (BIA), qui identifie les fonctions critiques et le coût de leur perte au fil du temps. La BIA produit les cibles par rapport auxquelles tout le reste est conçu.

RTO et RPO

• RTO (Recovery Time Objective) — le temps maximal acceptable pendant lequel une fonction peut être indisponible avant un préjudice inacceptable. Il pilote la rapidité de reprise : un RTO court oriente vers des sites chauds et un basculement automatisé.
• RPO (Recovery Point Objective) — le volume maximal acceptable de perte de données mesuré en temps. Un RPO de 15 minutes signifie des sauvegardes ou une réplication toutes les 15 minutes.
• MTD (Maximum Tolerable Downtime) — le plafond absolu ; le RTO doit être plus court que le MTD.

Un piège courant consiste à inverser RTO et RPO. Pour s'en souvenir : le RTO concerne le temps de reprise, le RPO concerne la quantité de données.

Ce que recherchent les recruteurs

Que vous présentiez le DRP comme un sous-ensemble technique du BCP plus large, que vous définissiez le RTO et le RPO sans les confondre, et que vous reliiez les deux métriques à la BIA ainsi qu'à des choix concrets comme la cadence des sauvegardes et les niveaux de site de reprise.