Sauvegarde et PRA

Sauvegarde et Plan de Reprise d’Activite

La capacité a retablir la disponibilité et l’accès aux données en cas d’incident est une exigence explicite de l’article 32.1.c du RGPD. Le SPST doit disposer d’une politique de sauvegarde et d’un Plan de Reprise d’Activite (PRA).

Politique de sauvegarde

• Frequence : sauvegarde quotidienne au minimum pour les données du DMST
• Regle 3-2-1 : 3 copies, sur 2 supports differents, dont 1 hors site
• Chiffrement : les sauvegardes contenant des données de santé doivent etre chiffrees
• Tests de restauration : tests réguliers (trimestriels minimum) pour vérifier l’intégrité des sauvegardes
• Hébergement : les sauvegardes hors site contenant des données de santé doivent etre hébergées chez un prestataire HDS

Plan de Reprise d’Activite (PRA)

Le PRA doit définir :

• RTO (Recovery Time Objective) : délai maximal de reprise (4h recommandees pour le DMST)
• RPO (Recovery Point Objective) : perte de données maximale acceptable (24h maximum)
• Procedures de basculement vers l’infrastructure de secours
• Roles et responsabilites en cas de declenchement
• Communication de crise : notification aux parties prenantes