Haute disponibilité : que le service continue!

Analyse Une assurance tous risques P18 Zoom Les leçons de l incendie du Lyonnais P21 Métier L ange gardien des entreprises P22 Panorama Des outils et services pour limiter les risques P24 Haute disponibilité : que le service continue! DR Assurer la poursuite des opérations, donc le redémarrage de l informatique, après un sinistre majeur : tel est l objectif du plan de reprise d activité, un ensemble de mesures organisationnelles et techniques. Un projet d envergure, mais pour lequel il est possible de démarrer en douceur, en sécurisant les applications et données réellement vitales. www. lemondeinformatique.fr N 1058 18 février 2005 LE MONDE INFORMATIQUE 17

Haute disponibilité Analyse Le plan de reprise d activité, une assurance tous risques L entreprise doit se prémunir contre les risques extérieurs. En informatique, le plan de reprise d activité remplit ce rôle avec deux volets : la prise en compte de l infrastructure et la mise en place d une organisation appropriée. Paris, un dimanche ensoleillé de mai 1996. La capitale vit au rythme des ponts à cette époque. Soudain, les sirènes des pompiers déchirent l air. Direction boulevard des Italiens, au 19 très précisément, siège du Crédit Lyonnais. Un incendie vient d y être signalé. Une fois le sinistre circonscrit, le bilan se révèle terrible : des dégâts estimés à 150 millions d euros et 40 000 m 2 de bureaux partis en fumée. Cet incident majeur a certainement été le premier élément fort de la prise de conscience des risques informatiques dans l Hexagone. Depuis lors, d autres éléments nationaux et internationaux ont renforcé la sensibilisation des dirigeants d entreprise à cette problématique. A laquelle contribuent aussi les exigences de certaines sociétés d assurances qui commencent à prendre en compte la disponibilité du système informatique dans le calcul de leur prime. Toutefois, après des années d attentisme, il convient de ne pas tomber dans l excès inverse. Le recours aux plans de reprise d activité et/ou de haute disponibilité ne doit pas être perçu comme une fin en soi, mais plutôt s inscrire dans une politique réfléchie de gestion des risques. Il convient de mettre en perspective le coût d un tel projet, avec les risques encourus et les pertes associées, rappelle Silvia Lemaitre, consultante pour le Source : Inflow Semaines Sauvegardes sur bande plusieurs services vitaux et/ou critiques. L expression des besoins techniques se définissant dans un second temps. Cette approche exige une très bonne connaissance des flux et des processus de l entreprise. Or aujourd hui, comme le reconnaît Gilles Florentin, directeur de la division infogérance de la société de services Prosodie, mis à part quelques grands dans les secteurs de la banque, de l assurance, des télécoms et de l industrie qui ont réalisé une cartographie de leur système d information, les entreprises n en sont pas encore à ce stade. Cette étape est escabinet StorageAcademy. Et Eric Debray, directeur marketing de StorageTek, d enchaîner : Personne n accepterait de payer une prime d assurance d un montant disproportionné pour sa voiture ou sa maison. Le calcul est identique pour son système d information. Coupler PRA et PCS RPO et RTO, fondements des plans de reprise d activité Jours Avant le sinistre RPO Perte "acceptable" de données Heures Minutes Secondes Point de reprise Réplication asynchrone Réplication synchrone En appliquant ce principe de bon sens, certaines grandes entreprises ont décidé de laisser de côté, pour leur plan de secours informatique, des pans entiers de leur système d information. Sinistre Après le sinistre RTO Temps d'indisponibilité acceptable par les applications Secondes Minutes Heures Temps de reprise Haute disponibilité Semaines Définition du RPO et du RTO acceptables pour chacune des applications concernées par le PRA Jours Reprise rapide Seulement, l acceptation des risques diffère sensiblement selon les sociétés et les secteurs d activité. De grandes entreprises, surtout dans le secteur banque-assurances, ont profité de la publication de la carte des zones inondables de Paris pour refondre leur plan de reprise d activité. Abandonnant l approche purement technique qui prévalait auparavant, elles ont opté pour une vision orientée service, nettement plus proche de leurs métiers. De façon plus générale, les entreprises cherchent maintenant à conserver la continuité d un ou de Le plan de reprise d activité repose sur deux composants : le délai de reprise (RTO) et le degré de fraîcheur des données (RPO). Le premier correspond au délai entre l arrêt du système et la remise à la disposition des utilisateurs de l outil informatique. Ce délai varie selon le caractère critique des applications. Le degré de fraîcheur des données correspond à la perte de données jugée acceptable par l entreprise. LE PRA LE PCS DÉFINITION Le plan de reprise d activité (PRA) s apparente à une assurance : il est activé en cas de sinistre. Il doit assurer le redémarrage des applications et processus clés de l entreprise, même en mode dégradé, afin qu elle puisse poursuivre son activité. AVANTAGES Un plan de ce type prévient les risques majeurs, tels un incendie ou une inondation, en assurant le basculement de tout ou partie du système d information sur un site distant préalablement défini et équipé. Il limite le temps d indisponibilité des applications et réduit les pertes de données. INCONVÉNIENTS Un tel plan demande un suivi régulier du processus. Le matériel et le logiciel du site de secours évoluent avec le système d information. Les systèmes de transfert synchrone ne permettent pas encore, pour un coût raisonnable, d éloigner son site de plus de 200 km. QUATRE OPÉRATEURS TÉLÉCOMS EN POINTE egetel, Completel, Colt et C France Télécom proposent des services d interconnexion de SAN distants. Afin de séduire les grands comptes, principaux demandeurs de ce type de service, le transport des paquets de données s opère nativement avec le protocole Fibre Channel. Ce choix évite toute rupture de protocole entre les réseaux de stockage. Ensuite, les transferts s opèrent en mode synchrone sur une distance de 190 km. Enfin, le débit des liens d interconnexion atteint, en natif, les 10 Gbit/s. DÉFINITION Un plan de continuité de service (PCS) assure la bonne marche d un ou de plusieurs processus vitaux de l entreprise. Il englobe aussi bien la disponibilité des applications que celle des données. AVANTAGES Ce type de plan permet de pallier les dysfonctionnements d une application ou une défaillance matérielle. Il limite la perte de données au minimum acceptable par l entreprise. Il constitue une offre mature et diversifiée pour les serveurs en grappes et les serveurs haute disponibilité. Un tel plan repose sur une architecture réservée aux données, faisant le plus souvent appel aux SAN. INCONVÉNIENTS Le coût pour atteindre cette continuité de service est souvent très élevé, ce qui restreint sa mise à œuvre à quelques processus de l entreprise. Un PCS ne protège pas contre un sinistre majeur, comme un incendie ou une explosion. 18 LE MONDE INFORMATIQUE N 1058 18 février 2005 www.lemondeinformatique.fr

sentielle pour mener à bien le projet. Elle va permettre de déterminer les équipements techniques à protéger en cas de sinistre. Enfin, Internet accélère ce phénomène. De plus en plus de flux ou d échanges critiques s effectuent par ce moyen de communication. Toutefois, le chemin à parcourir entre la prise de décision et la réalisation du projet reste long. En effet, si les entreprises ont une idée précise du résultat final souhaité, elles ne maîtrisent pas, à l exception de quelques grands comptes précurseurs en France et des filiales de sociétés anglo-saxonnes, les implications techniques et financières nécessaires pour y parvenir. Il y a une marge importante entre la volonté de mettre en place un plan de continuité de service et sa réalisation, reconnaît Gilles Florentin. Surtout que, le plus souvent, nous partons d un historique informatique qui n a pas été pensé pour cela. Une étude préalable se révèle donc indispensable. Elle va permettre de définir très précisément le périmètre de la solution de secours informatique et de mettre en place le comité de pilotage. Cet aspect, trivial de prime abord, revêt une importance particulière. L étude préalable implique les directions générale et opérationnelle de l entreprise, qui doivent impérativement soutenir le projet, après en avoir été le plus souvent les instigatrices. Cette première phase va aussi définir la stratégie à adopter : un plan de reprise d activité couplé à un plan de continuité de service. Des systèmes de serveurs en grappes vite indispensables Ensuite, il faut déterminer l objectif du temps de reprise (Recovery Time Objective, ou RTO) et du point de reprise (Recovery Point Objective, ou RPO) pour chacun des services, des applications et des données critiques (voir schéma page 18). Force est de reconnaître que les sociétés cherchent à réduire au minimum la perte de données, confie Harold Coudeyras, président et fondateur d Algos Network, concepteur de solutions serveurs à haute disponibilité. En cas d incident grave, comme un incendie, tout le monde comprendra que l entreprise ne reparte pas dans l heure qui suit. Cela sera accepté. La perte de données, quant à elle, représente souvent un impact plus négatif, en termes d image et d affaires. Reste à définir la solution convenable. La mise en place d un plan global de continuité d activité repose sur une protection des applications, de l infrastructure réseaux et des données. Pour les applications, le recours aux systèmes de serveurs en grappes se révèle incontournable. Ces derniers assurent une continuité de service aux niveaux applicatifs, avec en cas de défaillance d un nœud un basculement Suite page 20 Source : HP/LMI Source : HP/LMI Trois familles de clusters géographiques D ans le monde de la haute disponibilité, le cluster occupe une place de choix. Il permet de se protéger contre la panne d un élément, qu on appelle un nœud. Initialement reliés par un bus de données dans la même salle informatique, ces serveurs en grappe peuvent s éloigner les uns des autres, pour constituer un véritable dispositif à tolérance de panne entre deux sites, reliés par un lien Fibre Channel ou IP. Le principe est alors un peu différent : à un instant donné, un seul des nœuds du cluster accède aux équipements de stockage, et les données sont répliquées sur un site Commutateur Commutateurs SAN Serveurs stockage "Heartbeat" Serveurs 1. Cluster de campus Cette configuration est souvent utilisée sur de courtes distances, sur un même site Signal "heartbeat" industriel par exemple, même si les deux nœuds peuvent être séparés, comme pour les clusters métropolitains, d une centaine de kilomètres. Le cluster de campus repose sur la duplication Distance < 100 km logicielle, sous la responsabilité du système d exploitation du serveur principal, qui écrit les données sur la baie locale et sur la baie distante, en mode synchrone, et vérifie leur intégrité. Un lieu haut débit, Fibre Channel à 1 Gbit/s, est impératif pour ne pas trop pénaliser les performances des applications. Miroir logiciel stockage Ce type de cluster est davantage adapté à des configurations peu critiques de test ou de développement. Fibre Channel Cette fois, la réplication et la vérification de l intégrité des données sont déléguées aux baies de stockage (plutôt haut de gamme), qui doivent être identiques. Les données sont enregistrées sur la baie principale, puis recopiées sur la baie distante, soit en mode synchrone à haut débit, par Fibre Channel, soit en mode asynchrone, avec la possibilité d utiliser un lien IP plus économique. La capacité du serveur n est pas sollicitée par la réplication. Autre avantage : la mutualisation sur une même baie d un service de réplication pour plusieurs systèmes d exploitation. C est pourquoi ces clusters sont utilisés dans la sécurisation des centres de données. Commutateur Commutateurs SAN stockage 3. Cluster intercontinental Distance illimitée Routeur Réseau IP Convertisseur FC/IP secondaire, en mode synchrone (temps réel) ou asynchrone. La détection d une panne peut s effectuer soit de façon automatique, par l échange entre les serveurs distants d un signal dit de battement de cœur (heartbeat) qui indique la bonne santé du serveur, soit manuellement, lorsque les délais de réponse entre les serveurs sont trop importants du fait de la distance. En cas de problème du serveur sur le site principal, le second nœud sur le site secondaire accède aux données, stockées aussi sur le site de secours, afin de faire redémarrer l application. On parle alors de clusters à Cette solution s affranchit des problèmes de distance car il n y a plus de signal heartbeat entre les deux nœuds. Résultat, il n y a plus non plus de garantie de temps de réponse. C est un mode presse-bouton semiautomatique : la décision de basculer vers le site de secours est humaine. La synchronisation des deux baies de stockage ne s effectue qu à des instants bien précis, en mode push ou pull (dans ce cas, c est la baie du site secondaire qui demande le transfert des données à la baie principale). Ce dispositif s avère inadapté aux activités qui ne tolèrent aucune perte de données (RPO = 0),comme la finance. www.lemondeinformatique.fr N 1058 18 février 2005 LE MONDE INFORMATIQUE 19 Commutateur Commutateurs SAN "Heartbeat" Serveurs stockage basculement, dont l apparition dans le monde Unix date du milieu des années 1990, quelques années plus tôt que dans le monde Windows (Cluster Services) et Linux. Il en existe aujourd hui de plusieurs types, selon l éloignement géographique du site de secours ou le caractère critique des applications. Ils peuvent aussi présenter des différences en termes de perte tolérable de données (RPO) et de temps d arrêt maximal (RTO). Ce dernier dépend du temps de basculement du cluster (qui peut descendre jusqu à quelques secondes), mais aussi du temps de redémarrage de l application. J.-L. R. 2. Cluster métropolitain Signal "heartbeat" Distance < 100 km Fibre Channel Réplication matérielle Source : HP/LMI

Haute disponibilité TROIS QUESTIONS À A VIS D UTILISATEUR Ouro Sama, directeur informatique de la Chambre de commerce internationale Silvia Lemaitre, consultante pour StorageAcademy, société de conseil spécialisée dans les réseaux de stockage Une étude est indispensable pour identifier les risques DR La réplication de données pour sécuriser l intranet DR Les plans de reprise d activité reviennent sur le devant de la scène depuis plusieurs mois et touchent maintenant des entreprises de taille plus modeste. Comment expliquezvous ce phénomène? J identifie deux facteurs clés : la dématérialisation des flux et les catastrophes naturelles ou criminelles nationales et/ou internationales. Certaines entreprises, surtout des PME, ont bâti leur modèle économique sur des flux Internet ou sont fortement dépendantes de ces derniers pour le bon fonctionnement de leur activité. Une rupture dans leur système d information devient alors très rapidement catastrophique. Ces entreprises n ont d autres solutions que de se prémunir. Elles installent des systèmes haute disponibilité et des plans de reprise d activité. Elles n ont pas vraiment le choix. Et le second facteur? Il est facile d imaginer que les images terribles d attentats ou de catastrophes naturelles ont joué un rôle clé dans la prise de conscience des dirigeants quant aux risques encourus par leur entreprise. Ce sentiment a été encore renforcé par un effet secondaire : certains événements internationaux, comme le 11 Septembre, ont eu un impact direct sur des entreprises hexagonales. Cela a mis en lumière la mondialisation des échanges. Les plans de reprise deviennent dès lors évidents. Comment l entreprise sait-elle si elle doit mettre en place un PRA ou non? Avant de se lancer dans un projet de cette envergure, il ne faut pas oublier que nous sommes dans le domaine de l acceptation des risques. Il est dès lors indispensable de réaliser une étude afin d identifier les risques et l exposition de l entreprise. Ensuite, on déterminera s il faut se lancer dans une solution de ce type ou non. Il n y a rien de systématique. PROPOS RECUEILLIS PAR XAVIER BOUCHET aintenir un système M fonctionnant en continu, résistant aux pannes et avec des données toujours disponibles, telle est l obligation de la Chambre de commerce internationale. La CCI est une institution dont la mission consiste à régler les différends commerciaux internationaux. Dans ce cadre, tous les pays du monde ont la possibilité de se connecter sur notre intranet. Cet espace de travail comporte une base de données, une messagerie et un serveur de fichiers commun à tous les pays. Assurer la continuité du service demeure donc une priorité pour notre organisation. Malgré une architecture réseau déjà basée sur des serveurs dupliqués ou en clusters organisés en SAN, l augmentation croissante des données sur l intranet nous a poussés à utiliser un outil de réplication de données. Pour renforcer le niveau de sécurité, nous avons choisi la solution Double Take, de SunBelt Software. Le but étant de pouvoir transférer en temps réel toutes les données, lors de pannes intempestives ou de surcharges réseau, sur un second site de la CCI (situé à 500 m du premier). Après avoir défini un cahier des charges, j ai lancé un appel d offres auprès d une dizaine de prestataires. C est Getronics qui a remporté nos suffrages et qui fut en charge de l implantation de l outil. Outre le prix, l ergonomie du produit a été un facteur décisif pour faire pencher la balance vers Double Take. Le projet a été réalisé en deux mois. Il a réuni au total cinq personnes : deux en interne, deux de Getronics et un consultant de SunBelt. Aujourd hui, grâce à notre nouvelle architecture, 4 500 internautes peuvent se connecter simultanément sur notre intranet sans défaillance du système. PROPOS RECUEILLIS PAR SANDRINE CHILOTTI LA SOLUTION ADOPTÉE Solution : Double Take de SunBelt Software Intervenants : SunBelt, Getronics Coût : n.c. de l activité sur le second qui s opère de manière automatique. Certaines entreprises vont plus loin en retenant des architectures de clusters géographiques (voir page 19). Ces équipements assurent la continuité de service par une liaison étendue. Evidemment, cette approche a un coût élevé. Peu d entreprises et surtout peu de services internes seront concernés. Le plus fréquent est une solution intermédiaire : si le nœud principal reste installé sur le site de production, un serveur assure la reprise en cas de sinistre sur le site de secours. L application fonctionnera alors en mode dégradé, suffisant dans bien des cas. Lorsqu une entreprise vient d être victime d un sinistre majeur, la qualité de service n est pas sa priorité, rappelle très justement Pierre-Emmanuel André, responsable du département plan de continuité chez XP Conseil, société de conseil et d audit spécialisée dans la sécurité. Un fonctionnement en mode dégradé convient parfaitement. La protection des applications s avère indispensable, mais non suffisante. Encore faut-il qu elles soient alimentées avec des informations. L architecture de stockage des données revêt donc une importance toute particulière. L arrivée des solutions de réseau de stockage change la donne. Le SAN est devenu un maillon essentiel dans les plans de continuité de service et de reprise d activité,rappelle Eric Debray. Outre la disponibilité des équipements (baies de disques, commutateurs Fibre Channel ), les constructeurs proposent des mécanismes de transfert en mode synchrone ou asynchrone et de réplication pour copier les données sur un ou des sites distants. Certains, afin de limiter les pertes de données, en cas d arrêt du POUR EN SAVOIR PLUS SAN et NAS, par Xavier Bouchet et Henri Gillarès-Calliat, Editions Dunod. Cet ouvrage généraliste consacre un chapitre entier aux plans de reprise d activité. Serveur multiprocesseurs, clusters et architectures parallèles, par René Chevance, Editions Eyrolles. Ce livre détaille les architectures clusters, indispensables pour créer des PRA et des PCA. www.clusif.asso.fr/fr/production/ catalog/ouvrage.asp?id=125 Le Clusif a publié une étude exhaustive sur les plans de reprise d activité. Elle est disponible en ligne, sur son site, pour 71,76 euros. www.metagroup.com/ Meta Group, récemment racheté par Gartner, publie régulièrement des études ou des recueils de meilleures pratiques autour des PRA et des PCA. système par exemple, utilisent de la sauvegarde sur disque couplée à une fonction de snapshot. Cette dernière effectue une image de la baie de disques, à intervalles réguliers, sur l équipement de sauvegarde (qui peut être répliqué sur le site distant). En cas de problème dans la journée, cette approche limite les pertes de données au laps de temps défini entre deux copies d image. La sauvegarde sur bande complète ce dispositif. Elle reste d ailleurs un des piliers fondateurs des plans de reprise d activité, puisque c est à partir de cette sauvegarde que les équipes informatiques réinstallent le système d information. D autres voies peuvent être explorées. Des sociétés de services proposent ainsi de la sauvegarde en ligne, même si, pour le moment, ces services visent surtout les entreprises qui n ont que peu de données à sauvegarder. Enfin, dernier volet, la gestion des ressources humaines. Un plan de reprise d activité n est rien sans la mise en place d une organisation ad hoc, rappelle Michel Claude, directeur du support aux ventes de SunGard Availibility Services. Les équipements informatiques ne vont pas fonctionner seuls! Cette remarque, frappée au coin du bon sens, est souvent négligée dans les plans de reprise d activité. Pourtant, sa prise en compte conditionne largement la réussite du projet et évite les pertes de temps. En cas de sinistre, il est inutile de perdre une demi-journée afin de pouvoir réunir le comité de crise. C est autant d heures précieuses gâchées. Pour cela, chaque personne concernée doit connaître très précisément son rôle, conclut Pierre-Emmanuel André, de XP Conseil. XAVIER BOUCHET 20 LE MONDE INFORMATIQUE N 1058 18 février 2005 www.lemondeinformatique.fr

Zoom L incendie du Lyonnais, acte fondateur de la continuité d activité En partie en raison de la crise de trésorerie qu elle traverse au milieu des années 1990, la banque s est préparée à surmonter un sinistre de grande ampleur. Elle va montrer la voie à toute la communauté financière de Paris. Dans chaque pays, la continuité de service a besoin d un événement phare pour sortir de l ombre. En France, ce passage à la lumière remonte à l incendie du Crédit Lyonnais, en mai 1996. Le dimanche 5, à 8 h 30, l alerte à incendie résonne au siège de la banque, boulevard des Italiens, à Paris. Alors que l étendue du sinistre semble d abord étroitement limitée, les flammes vont finir par ravager tout l immeuble, causant la disparition d une salle de marchés et du centre de calcul situé au-dessous après l effondrement d une dalle de béton à l intérieur du bâtiment. Mais la principale surprise intervient le lendemain, quand la banque est en mesure de redémarrer ses activités presque comme si de rien n était. Dix jours après la catastrophe, Louis Tréhondart, alors directeur informatique de la DCMC (direction centrale des marchés de capitaux) au Crédit Lyonnais, peut même annoncer le succès du plan de crise mis en place par la banque. Stupeur dans la communauté financière parisienne, dont les DSI, pressés de questions par leur direction générale, sont forcés d admettre qu ils ne sont pas prêts à faire face à ce type d éventualités. Une entité pour replier les utilisateurs Notre niveau de préparation avait deux origines, note Louis Tréhondart, aujourd hui responsable des systèmes d information à la direction des marchés de capitaux de Calyon, la banque de financement et d investissement née de la fusion du Crédit agricole et du Lyonnais. Même si nous n avions jamais imaginé un effondrement de la dalle, le risque de propagation du sinistre, dû à la proximité de la salle de marchés avec le centre de calcul, avait été identifié trois ans avant l incendie. Seconde motivation : à la suite d une dégradation de sa notation, la banque garantit ses opérations auprès d une compagnie d assurances américaine, qui exige des mesures de protection contre les risques. Il a fallu écrire toutes les procédures, bâtir une entité dédiée au repli des utilisateurs la Samis, avec le concours de deux autres sociétés [BIP et Finacor, NDLR], et monter une solution de secours informatique. DR Dès le lendemain du sinistre du 5 mai 1996, 50 des 250 traders travaillant dans les locaux étaient relogés grâce à la solution de secours. Edouard Peltier, associé chez Unilog Management, de retour devant l immeuble du boulevard des Italiens ravagé par les flammes en 1996. L ex-chef de projet continuité de service de la banque enrichit aujourd hui la méthodologie mise au point à l époque. Arrivé au Lyonnais en 1993, Edouard Peltier, aujourd hui associé chez Unilog Management et à la tête d une cinquantaine de consultants spécialisés sur le sujet, se voit confier le plan de continuité. J ai tenté de collecter des données en France sur ce sujet, mais elles n existaient pas, explique-t-il. Avec quelques bribes d information en provenance des Etats-Unis, nous avons Donner la priorité aux données, le patrimoine le plus difficile à reconstituer s il est endommagé par un sinistre. Planifier, à intervalles réguliers, des tests détaillés du plan de continuité d activité. Eclater les risques. Aujourd hui, l essentiel des serveurs serait placé dans un immeuble distinct du site où travaillent les utilisateurs. Mettre en place des accès télécoms redondants. Une LES LEÇONS D UN SINISTRE bâti notre propre méthodologie. A base de bon sens et structurée comme un projet informatique, mais dont les livrables évoluent dans le temps. Objectif : sortir du secours informatique pur, pour englober les aspects portant sur l organisation et répondant à une combinaison de problèmes. On ne pouvait pas raisonner par scénarios isolés les uns des autres, précise Edouard précaution à l époque absente, ce qui avait, pendant deux jours, empêché la connexion des places de marchés asiatiques aux bases de données situées à Paris. Organiser des rotations dans la cellule de crise. Après deux jours non-stop, les membres de la cellule s épuisent et perdent en efficacité. Penser au plan de communication. Afin de rassurer les clients et partenaires, mais aussi les organismes de tutelle. Peltier. Il fallait bâtir une solution à tiroirs pour une organisation de crise. Ce qu on appelle aujourd hui un plan de continuité d activité (PCA). Les débuts du cluster intersites Un ensemble qu il a fallu mettre en branle dans sa totalité ce 5mai 1996. Pour certains serveurs du centre de calcul, la banque peut compter sur une technologie de pointe à l époque : un cluster intersites Digital, le premier en Europe. Nous avions loué un deuxième centre de calcul à Puteaux relié au site primaire par un anneau FDDI, détaille Louis Tréhondart. Par chance, le sinistre se produit un dimanche matin, période de la semaine où toutes les places financières sont inactives. Donc aucune opération n est en cours. Nous avons préservé toutes les données, mais perdu une grosse part de notre puissance de calcul, le centre de Puteaux ne concentrant qu un tiers de la capacité totale, reprend Louis Tréhondart. Côté utilisateurs, 50 traders, sur les 250 hébergés dans la salle détruite, sont immédiatement relogés dans les locaux opérationnels depuis juin 1995, au sein de la Samis. Les autres utilisateurs retrouveront petit à petit un poste de travail, sur la base du plan de remontée en charge inscrit dans le dispositif de réponse aux crises. Neuf ans après ce sinistre, la méthodologie mise au point par Edouard Peltier a gardé toute sa pertinence, même si elle a été progressivement enrichie, notamment pour s adapter à l industrie, un secteur qui pèse aujourd hui plus de 60 % de l activité continuité de service d Unilog Management. Elle est employée dans toute l Europe. Edouard Peltier souligne que 90 % des plans de continuité d activité de Paris s appuient sur elle et qu Unilog Management possède aujourd hui une base de connaissances de 350 PCA. Il explique avoir besoin de neuf mois en moyenne pour répliquer le dispositif qu il a mis au point pendant trois ans au sein du Lyonnais. Et qui a passé l épreuve du feu. REYNALD FLÉCHAUX Plus sur le Web Retrouvez sur notre site l article écrit en mai 1996, au lendemain de l incendie : www.lemondeinformatique.fr/1058 www.lemondeinformatique.fr N 1058 18 février 2005 LE MONDE INFORMATIQUE 21 Marc Guillaumot

Haute disponibilité Métier Le responsable de la continuité d activité, ange gardien des entreprises Business continuity manager, Albert Thomas doit, quoi qu il arrive, pouvoir relancer au plus vite les activités stratégiques de son entreprise. Une fonction qui dépasse largement le cadre de l informatique. Sa plus grosse crainte? L attentat et son scénario catastrophe : pertes humaines, matérielles et informatiques. Albert Thomas doit prévoir le pire. En cas d incident ou de sinistre, il est le premier sur la brèche, avec la mission de relancer, au plus vite, l activité de son entreprise. Depuis mai 2004, il occupe le poste de business continuity manager (BCM), responsable de la continuité d activité, pour le compte de la filiale française de la Deutsche Bank (400 collaborateurs). Son rôle est d assurer la maintenance du plan de continuité d activité (PCA). Elaboré par ses prédécesseurs et passé en mode opérationnel à l automne 2001, ce projet a exigé le recensement des activités des cinquante lignes de produits de l entreprise à travers une analyse d impact métier, EN PRATIQUE Description du métier Le responsable de la continuité d activité, ou business continuity manager (BCM) est chargé de prévoir, et de faire évoluer, avec les différents chefs de service les solutions de secours permettant le redémarrage des activités stratégiques de l entreprise en cas d incident ou de sinistre. Une fonction jusqu à récemment centrée sur l informatique et assurée par le DSI ou le RSSI. Avec la prise en compte d autres risques majeurs (catastrophes naturelles, actions terroristes, mouvements sociaux ), la problématique de continuité d activité a dépassé le périmètre de l informatique. Le BCM veille à la protection de l entreprise dans sa globalité. Il teste et coordonne l ensemble des procédures de secours, auxquelles chaque collaborateur doit être préparé. Marc Guillaumot Compétences requises Intimement lié au métier de l entreprise, le poste est confié à des profils expérimentés, plutôt recrutés en interne (de préférence issus de l informatique, mais pas exclusivement). Doté de solides compétences en informatique et dans le métier de l entreprise, le BCM est avant tout un grand communicant qui doit être capable de convaincre et de motiver les troupes. Formations reconnues Il n existe aucune formation initiale et l offre de formation continue reste limitée. Citons le stage de quatre jours proposé par Learning Tree International sur la mise en œuvre d un plan de reprise après sinistre (plusieurs sessions à Paris). Et le forum Plans de secours, organisé par Development Institute afin de hiérarchiser les besoins, avant de définir le plan de secours (le choix s est porté sur une solution externalisée). Initialement assurée par le responsable sécurité, la fonction de BCM, autrement nommée par la banque coordinateur BCM (la cellule BCM au niveau européen étant basée à Londres), est désormais rattachée au département infrastructure informatique. Mais Albert Thomas rend également compte au président, dont il a le soutien actif. Mon métier est directement lié à l informatique, même s il en dépasse largement le cadre, expose-t-il. Je dois suivre tous les changements de l environnement de production. Et veiller à les répercuter sur l environnement de secours. De fait, c est lui qui négocie International (DDI). Trois jours de conférences étayées de cas pratiques (du 11 au 13 mai 2005 à Paris). Rémunérations Difficile d en avoir une estimation précise. Selon Albert Thomas, elle varie, en fonction du cursus et de l expérience de l intéressé, ainsi que du secteur d activité, de 45 000 à 65 000 euros par an. Secteurs qui recrutent La fonction est très présente dans la banque, secteur sur lequel pèsent le plus de contraintes informatiques. Mais également dans l industrie et l administration. Dans tous les cas, on privilégie le recrutement interne. En revanche, une expérience de BCM (et fonctions assimilées) permettra d intégrer une société de conseil spécialisée. Les métiers de demain Albert Thomas, 44 ans, business continuity manager pour la filiale française de la Deutsche Bank depuis mai 2004 PARCOURS Débuts dans la gestion hôtelière, après deux années d études supérieures. En 1979, en Allemagne, s oriente vers la comptabilité, puis l informatique. En 1982, entre au service informatique de la Deutsche Bank à Hambourg (hot-line, pupitreur, développement ). En 1987, rejoint le service production de la filiale française et participe à de gros projets (basculement à l euro, an 2000, externalisation des services, consolidation des infrastructures ). avec le prestataire lorsqu il faut revoir le périmètre du contrat. Je suis également chargé de sensibiliser tout le personnel aux procédures d urgence. Cela passe par une communication suivie auprès des différents directeurs de département. Pas si simple, cependant, de faire admettre à tous les utilisateurs que le PCA fait partie intégrante de leur activité. Oscillant entre diplomatie et autorité, Albert Thomas s appuie sur la cellule d audit interne. Laquelle peut, à tout moment, contrôler les analyses d impact métier qui doivent être revues régulièrement et les procédures d escalade, afin que chaque responsable sache qui contacter en cas d urgence. Albert Thomas conserve en permanence sur lui le livret de gestion de crise et les coordonnées de tous les contacts qui lui permettent de déclencher l alerte. Deux fois par an, il convoque les utilisateurs sur le site de secours pour un test en règle : depuis le téléphone jusqu à l accès aux fichiers et aux applications, en vérifiant si les données sont bien à J-1, détaille-t-il. Dans le secteur bancaire, l interconnexion des institutions financières rend cette fonction particulièrement critique. Mais Albert Thomas, entré au service informatique de la Deutsche Bank à Hambourg en 1982, dispose de suffisamment de compétences en informatique et dans le métier de la banque pour l exercer sereinement. HÉLÈNE TRUFFAUT 22 LE MONDE INFORMATIQUE N 1058 18 février 2005 www.lemondeinformatique.fr

Haute disponibilité Panorama Des outils et services pour limiter la portée des incidents L exigence de continuité de service prend forme tant dans le serveur qu à des dizaines de kilomètres, et aussi bien dans la réplication logique que dans la duplication physique. SAUVEGARDE À DISTANCE Prestataire Offres Commentaires Adhersis Backupia Sauvegarde de fichiers avec option de restauration de versions antérieures (jusqu à une semaine). Agematis Agematis Sauvegarde Sauvegardes quotidiennes sécurisées de postes de travail. Hébergement chez 9 Télécom. AGS Backup Sauvegarde délocalisée Duplication des données chez le prestataire, qui se protège lui-même en répliquant ses baies dans un centre de données d IBM. Backup Avenue Safe Backup Offre basée sur Tivoli Storage Manager (IBM) pour tous les serveurs ou PC. Des tests de restauration sont effectués régulièrement. CSIG Informatique Sérénité Service de télésauvegarde de PC et de serveurs. Conservation des fichiers modifiés pendant 120 jours. Magic Online Magic Safe Sauvegarde de postes sur deux plates-formes distinctes. Possibilité de restaurer dix versions des données. Oodrive AdBackup Offre de sauvegarde externalisée de fichiers avec restaurations simples, partielles ou totales. SunBelt System Software Double Take de NSI Logiciel de réplication des données et de reprise après sinistre. N est pas proposé par SunBelt sous forme d offre hébergée. Commutateur Fibre Channel B Robot de sauvegarde A ROUTEURS D INTERCONNEXION Constructeur Produits Commentaires Brocade Multi-Protocol Ouvert aux réseaux Router fibre noire, WDM, Sonet et IP au travers des protocoles FCIP et iscsi. Assure un routage Fibre Channel natif. Ciena CN 2000 Interconnexion sur réseaux fibre noire, WDM et Sonet/SDH. Cisco ONS 155xx Réplication sur MAN DWDM. Distance variable selon les équipements utilisés. Jusqu à 200 km avec EMC. CNT Spectrum Routeur (racheté par Optical d interconnexion McData) Networking sur réseaux WDM. Solutions McData Eclipse, IPS Utilisation du protocole ifcp (développé par Nishan) pour! l interconnexion sur IP. Les tableaux de cette double page ne présentent qu'une partie de l'offre en matière de haute disponibilité. stockage Routeur d interconnexion RÉPLICATION DE BAIES DE STOCKAGE Constructeur Produits Commentaires EMC SRDF Famille de logiciels répliquant (Symmetrix et restaurant à distance Remote Data les baies Symmetrix. Facility) Fonctionne en mode asynchrone ou en temps réel. HDS TrueCopy Fonctionne avec les baies Remote maison. Associé à ShadowImage, Replication le logiciel effectue à la fois une réplication synchrone et une copie asynchrone sur deux sites distants. HP Continuous Logiciel de réplication synchrone Access EVA ou asynchrone avec des baies EVA. Possibilité d opérer des réplications entre baies EVA 5000 et EVA 3000. IBM PPRC Outil de réplication entre baies (Peer-to-Peer TotalStorageESS, disponible en Remote Copy) versions synchrone et asynchrone. A B B Cluster/serveurs haute disponibilité SERVEURS HAUTE DISPONIBILITÉ Constructeur Produits Commentaires Algos ServerStack Solution combinant les serveurs de la société Advantech et les logiciels de haute disponibilité d Availix. Bull Express Serveur biprocesseur 5800/320Lb (Intel Xeon à 2,4 GHz) intégrant la technologie Stratus. Aussi au catalogue de NEC. HP NonStop Gamme issue de Tandem Servers (racheté par Compaq). Adaptés à la gestion de bases de données critiques, ces serveurs reposent désormais sur l architecture Itanium. Stratus ftserver et Serveurs à tolérance Continuum de panne doublant ou triplant tous les composants, y compris les cartes mères. Ils fonctionnent sous HP-UX, VOS (système maison) ou Windows. 24 LE MONDE INFORMATIQUE N 1058 18 février 2005 www.lemondeinformatique.fr

CLUSTERS DISTANTS Editeur Produits Commentaires HP MetroCluster Offre disponible avec Continuous Access XP (avec les matrices de disques SureStore de HP) ou SRDF (avec les Symmetrix de EMC). Distance maximale de 100 km. IBM HACMP/XD Solution fonctionnant avec le logiciel PPRC et les sous-systèmes de stockage ESS (Enterprise Storage Subsystem). Sun StorEdge Technologie conçue pour la réplication Availability Suite de volumes logiques entre serveurs StorEdge (ex-sndr) sur des distances maximales de 50 km. OPÉRATEURS DE STOCKAGE À DISTANCE Opérateur Offres Commentaires Cegetel Ix SAN Offre de réplication synchrone. Avec Brocade, Cegetel a validé un test de réplication sur plus de 1 000 km. Colt High Speed Service, entièrement géré, d interconnexion Service sur réseaux métropolitains. Completel SAN to SAN Interconnexion de SAN sur DWDM. Avec une distance maximale de 200 km pour le mode synchrone. France Télécom InterSAN Liaisons point à point entre un site de production et un site de secours avec outils de reprise après sinistre. SECOURS INFORMATIQUE (SERVEURS) Fournisseur Solutions Commentaires Adequat (groupe C2A) Offre BCSR (Recovery Pack) Garantie de mise à disposition, en cas de sinistre, d une configuration iseries ou pseries précise. Bull Services Services de secours Prestations de secours sur GCOS 7 et 8, iseries, et environnements NT, Solaris, AIX, MVS. HP Critical Service HP installe ISEE, un outil de télésurveillance. En cas d incident, engagement de restitution du système sur site dans les 6 heures, 24 heures sur 24 et 7 jours sur 7. IBM (Business and Mise à Livraison d une machine sous 24 heures sur le site du client pour la configuration souscrite. Recovery Services) disposition de moyens IBM (Business and Services de secours 24 heures pour mise à disposition de la configuration sur le site de secours d IBM, sur systèmes mutualisés. Recovery Services) Mirroring asynchrone des données. IBM (Business and Services de continuité Délai de reprise inférieur à 2 heures sur système dédié, sur le site IBM ou le site du client. Recovery Services) Mirroring synchrone des données. SunGard Secours informatique Mise à disposition de matériel informatique en cas de sinistre, dans un délai de 24 à 48 heures. Availability Services mutualisé SunGard Secours informatique Réplication des données en temps réel sur ligne spécialisée pour un redémarrage immédiat en cas de sinistre. Availability Services dédié SunGard Haute disponibilité A mi-chemin entre le secours mutualisé et le secours dédié, avec redémarrage sous 4 heures. Availability Services à la carte Synstar Business Recovery Center Centre situé aux Ulis (91), serveurs moyens systèmes (HP9000, HP3000, RS6000, AS/400, Sun, serveurs Intel ). Web Industrie Plan de reprise Environnement de reprise délocalisé, salle blanche, (groupe Cyres) sur incident module de synchronisation des données en temps réel Mond Sync. Postes clients Postes clients SALLES DE SECOURS ÉQUIPÉES DE POSTES DE TRAVAIL Fournisseur Solutions Commentaires Adequat (groupe C2A) Offre BCDR (SDR Pack 25) Mise à disposition d un site de repli avec 25 espaces de bureaux. IBM Global IBM Business and Avec l acquisition, en avril 2004, de l activité de Schlumberger Business Services Recovery Services Continuity Services, IBM a renforcé ses sites de repli en cas de sinistre, lesquels permettent désormais la reprise de salles de marchés, de centres d appels ou d activités de bureau. SunGard Secours utilisateurs Mise à disposition d environnements de travail complets, Availability Services mutualisés ou réservés. Plusieurs sites en région parisienne. SunGard Centre d appels de secours Postes de travail équipés d une téléphonie spécifique. Availability Services Pour la réception d appels entrants (numéros 0800, notamment). SunGard Salle de marchés de secours Postes de travail de salle de marché avec écrans plats multiples et Availability Services accès aux flux d informations (Reuters, Bloomberg ). Synstar Business Recovery Center Centre de reprise d activité installé aux Ulis (91). Peut recevoir une centaine d employés. Centre d appels de secours. Synstar Unités mobiles de secours Mise à disposition d unités mobiles équipées (serveurs, sauvegarde, postes de travail). Source : pôle technologies / IDG France Réplications synchrones ou asynchrones, matérielles ou logicielles, pilotées par la baie ou par le serveur les options sont nombreuses pour répondre à une exigence de continuité de service. Mais, à l image de HP ou d IBM, les constructeurs ne font pas les choix technologiques à la place de leurs clients. L un comme l autre peuvent se vanter d avoir plusieurs cordes à leur arc. Avec Continuous Access EVA pour la réplication matérielle, MetroCluster pour la mise en grappe de nœuds distants et les serveurs NonStop dans la catégorie des architectures intégrant de fortes exigences de haute disponibilité, HP fait figure de favori. Sans parler du système d exploitation OpenVMS, désormais porté sur Itanium. Côté réseaux, la grande problématique est celle de l affranchissement des distances. Si 50 ou 100 km suffisent amplement pour prévenir l incendie, l inondation ou l attentat, c est bien moins vrai dès lors qu on évoque les risques de tremblement de terre. Poussés par les opérateurs, les spécialistes de la commutation SAN ne sont pas insensibles à la question. Il y a quelques mois, Brocade et Cegetel, en s appuyant sur l offre SRDF d EMC, démontraient la faisabilité d une réplication de base de données Oracle en mode synchrone entre deux baies Symmetrix éloignées de 1 000 km. Et, il y a quelques semaines, en s offrant CNT, McData ne cachait pas que son choix était dicté par l expérience de CNT dans le monde de l interconnexion et du multiplexage optique. Les sociétés qui n auraient pas les moyens de consacrer un centre de données à la sauvegarde peuvent se tourner, vers des offres d hébergement. Les fournisseurs de services de stockage (SSP pour Storage Service Provider), ces prestataires qui se proposaient d héberger les infrastructures de stockage des grandes entreprises, ont fait leur temps. Ou plutôt ne l ont pas fait puisque la plupart ont mis la clé sous la porte avant de trouver leurs premiers clients. Des offres adaptées aux PME Mais côté sauvegarde stricto sensu, l offre est là. Et elle s adresse à tous. Aux PME avec des solutions très simples, parfois complétées par des prestations d archivage. Et aux grandes sociétés, avec des sauvegardes sécurisées, tant au niveau de l accès aux données qu à celui de leur disponibilité. Avec les services d hébergement de salles de serveurs et de salles de postes de travail, les prestataires rappellent également que les données de l entreprise ne représentent pas les seuls éléments à protéger. En cas d incendie, par exemple, l activité ne peut reprendre que si les salariés disposent rapidement d un nouvel environnement de travail. SunGard ou Synstar n interviennent pas dans la réplication logique et dans le virtuel, mais bien dans la réponse physique à l incident, avec des salles de secours prêtes à accueillir des salariés à tout moment. OLIVIER DESCAMPS, AVEC MARYSE GROS www.lemondeinformatique.fr N 1058 18 février 2005 LE MONDE INFORMATIQUE 25