Le scénario à examiner
Le PRA dépend des identités, DNS, clés, licences, réseaux, prestataires et moyens de communication.
Décrire le scénario : ce qui peut se produire, l’activité affectée, les protections existantes et ce qui reste supporté par l’organisation. La priorité dépend de l’impact, de l’exposition et de l’efficacité réelle des mesures, pas du seul nom de la menace.
Tester séparément chaque composant ne prouve pas que l’ensemble se remettra en service dans le bon ordre.
Application à votre contexte
Reliez une cause ou une menace à un événement et à une conséquence sur une activité. Distinguez le risque initial, les mesures existantes et le risque résiduel accepté ou à traiter.
Les objectifs doivent être compatibles avec la durée d'interruption tolérable et les pertes de données acceptables. Lorsque le budget ne permet pas l'objectif souhaité, faites arbitrer l'écart explicitement. Ne transformez pas une capacité technique existante en exigence métier par défaut.