Rarement, et jamais partout. Doubler l'ensemble de son infrastructure double le coût et la complexité, alors que la plupart des activités d'une PME supportent très bien quelques heures d'interruption.
La question utile est celle du coût de l'arrêt, activité par activité. Une ligne de production stoppée se chiffre à l'heure, une messagerie indisponible une demi-journée est une gêne. Ces deux situations n'appellent pas la même réponse ni la même dépense.
Redondance et sauvegarde ne traitent pas le même risque
C'est la confusion la plus coûteuse, et elle se paie au moment de l'incident.
La redondance protège de la panne. Un disque lâche, un serveur s'arrête, un lien réseau tombe, et le service continue parce qu'un équipement équivalent prend le relais.
La sauvegarde protège de la perte. Un fichier est supprimé, une base est corrompue, un rançongiciel chiffre les données, et vous revenez à un état antérieur.
Un système redondant réplique fidèlement les erreurs. Un fichier effacé disparaît des deux côtés dans la seconde, et des données chiffrées par un rançongiciel sont chiffrées partout. La redondance ne remplace donc jamais la sauvegarde, et l'inverse est également vrai.
Déterminer ce qui la mérite
L'exercice se mène avec les responsables d'activité et non avec l'informatique. La question posée est concrète, si ce service s'arrête à neuf heures un mardi, que se passe-t-il, et à partir de quand cela devient-il grave.
Les réponses trient d'elles-mêmes. Dans une PME industrielle, la supervision de la ligne, le serveur qui distribue les programmes machine et parfois le système de gestion de production sortent en tête. La messagerie et la bureautique suivent, avec une tolérance bien plus grande.
Ce tri évite la dépense uniforme, qui consiste à protéger fortement des choses qui n'en avaient pas besoin tout en laissant sans protection ce qui arrête réellement l'entreprise.
Les niveaux, du plus simple au plus coûteux
La redondance interne d'un serveur, disques en miroir et double alimentation, coûte peu et traite les pannes matérielles les plus fréquentes. C'est le minimum raisonnable pour tout serveur qui porte une activité.
La virtualisation avec plusieurs hôtes permet de redémarrer automatiquement une machine virtuelle sur un autre serveur en cas de panne. L'interruption dure quelques minutes, ce qui convient à la grande majorité des besoins d'une PME.
La haute disponibilité réelle, sans aucune interruption perceptible, demande une architecture double et un stockage partagé. Elle se justifie pour une poignée de systèmes, rarement plus.
Le site de secours distant, enfin, protège du sinistre qui détruit le bâtiment. Dans une PME, il prend souvent la forme d'une capacité de redémarrage chez un hébergeur plutôt que d'un second site complet.
Les points de défaillance uniques que l'on oublie
Doubler les serveurs sans regarder le reste laisse subsister des dépendances qui annulent l'effort.
L'accès Internet en est le cas le plus courant. Une entreprise dont la bureautique, la téléphonie et les applications sont en ligne s'arrête complètement si le lien tombe. Un second accès, même d'une technologie différente et de moindre débit, change la situation pour un coût modeste.
L'alimentation électrique en est un autre. Un onduleur dont les batteries n'ont jamais été vérifiées donne une fausse assurance, ce qui est pire que pas d'onduleur du tout.
La climatisation du local technique constitue le troisième. Elle est presque toujours unique, et son arrêt en été provoque l'extinction des serveurs en quelques heures.
Enfin, la personne qui sait. Une PME où un seul individu connaît la procédure de redémarrage est exposée à un risque au moins aussi élevé qu'une panne matérielle.
Le test, sans lequel rien n'est prouvé
Une redondance jamais éprouvée est une hypothèse. Les mécanismes de bascule échouent régulièrement lors de leur première utilisation réelle, pour des raisons banales, une licence liée à un matériel, une configuration réseau absente sur le second équipement, une dépendance oubliée.
Un test annuel suffit dans une petite structure, à condition d'être réellement effectué et consigné. Il consiste à provoquer la bascule sur une fenêtre prévue, à mesurer le temps réel d'indisponibilité et à noter ce qui n'a pas fonctionné comme prévu.
C'est aussi le moment de vérifier que la procédure écrite est compréhensible par quelqu'un d'autre que son auteur.
Ce qui suffit dans une petite structure
Une revue annuelle convient, portant sur trois points. La liste des activités et leur tolérance à l'arrêt a-t-elle changé, ce qui arrive après un nouveau marché ou une nouvelle ligne. Les mécanismes en place ont-ils été testés. Et les points de défaillance uniques hors informatique, accès Internet, électricité, climatisation et compétence, sont-ils toujours acceptés en connaissance de cause.
Questions fréquentes
La redondance remplace-t-elle les sauvegardes ?
Non, et c'est une confusion qui se paie cher. Un système redondant réplique fidèlement les erreurs, un fichier supprimé disparaît des deux côtés instantanément et des données chiffrées par un rançongiciel le sont partout. La redondance traite la panne, la sauvegarde traite la perte. Les deux sont nécessaires et aucune ne dispense de l'autre.
Comment décider ce qui doit être redondé ?
En posant la question aux responsables d'activité plutôt qu'à l'informatique. Si ce service s'arrête un mardi à neuf heures, que se passe-t-il et à partir de quand cela devient-il grave. Les réponses trient naturellement, et dans une PME industrielle la supervision et la distribution des programmes machine ressortent presque toujours avant la bureautique.
Faut-il un second accès Internet ?
C'est souvent la dépense la plus rentable, surtout si votre bureautique, votre téléphonie et vos applications sont en ligne. Une coupure du lien unique arrête alors l'entreprise entière. Un second accès de technologie différente, même avec un débit moindre, suffit à maintenir l'essentiel pour un coût modeste.
À quelle fréquence tester une bascule ?
Une fois par an convient à une petite structure, sur une fenêtre prévue, à condition que le test soit réellement effectué et consigné avec le temps d'indisponibilité mesuré. Les mécanismes de bascule échouent souvent à leur première utilisation réelle, pour des raisons banales comme une licence liée à un matériel ou une configuration absente sur le second équipement.