Gestion des correctifs : mettre à jour sans désorganiser la PME
La gestion des correctifs consiste à identifier, tester, déployer et vérifier les mises à jour. Un processus utile traite d'abord les failles exploitées, tient compte des logiciels métier et rend visibles les appareils qui échappent au déploiement.
L’essentiel
- Classez les correctifs selon le risque réel : faille exploitée, exposition à Internet, conséquences métier.
- Déployez par groupes, avec un pilote représentatif et une procédure de retour arrière.
- Vérifiez le résultat sur les postes, pas seulement l'envoi de la mise à jour.
- Les exceptions restent visibles dans le suivi, avec une date de réexamen.
Sommaire de l’article
La plupart des attaques réussies n'ont rien de sophistiqué : elles exploitent une faille connue, pour laquelle un correctif existait déjà. Mettre à jour reste pourtant une source d'inquiétude dans les PME, parce qu'une mise à jour ratée peut bloquer un logiciel métier un matin de clôture. Un bon processus concilie les deux.
Que recouvre la gestion des correctifs ?
Le suivi de toutes les mises à jour qui corrigent une faille ou un défaut, sur tout ce qui compose le parc. Le système d'exploitation n'est qu'une partie du sujet : navigateurs, applications, équipements réseau, téléphones et micrologiciels se mettent à jour aussi.
- OS
- Systèmes : Windows, macOS, serveurs.
- App
- Applications : navigateurs, bureautique, logiciels métier.
- Net
- Réseau : pare-feu, bornes WiFi, routeurs, NAS.
- Mob
- Mobiles : téléphones et tablettes de l'entreprise.
Le point de départ est un inventaire fiable. Sans connaître les versions installées et les appareils absents, on ne peut ni mesurer une couverture crédible, ni savoir quelles exceptions demandent une action.
Comment décider de la priorité ?
En croisant la gravité de la faille, son exploitation connue, l'exposition du service et ses conséquences métier. Un équipement directement accessible depuis Internet passe avant un outil isolé, même à score comparable.
- Faille exploitée, service exposé Correction immédiate, ou mesure de contournement le jour même.
- Faille exploitée, service interne Correction rapide, dans le prochain cycle accéléré.
- Faille non exploitée, service exposé Cycle normal, surveillance des alertes.
- Faille non exploitée, service interne Cycle normal, regroupée avec les autres mises à jour.
Exposition croissanteExploitation connue
Les alertes du CERT-FR et le guide des mises à jour de sécurité de Microsoft aident à repérer les situations urgentes. Ils ne remplacent pas l'analyse du contexte local. Si un correctif ne peut pas être appliqué tout de suite, documentez la mesure temporaire, la personne qui accepte le risque et la date de réexamen.
Comment déployer sans tout casser ?
Par groupes, en commençant par un pilote qui représente vraiment les usages. Si la comptabilité utilise un module particulier, le test doit couvrir ce module : un ordinateur qui redémarre ne prouve pas que tout fonctionne.
- Identifier Les produits, versions et appareils concernés.
- Préparer Les prérequis, la sauvegarde utile et le retour arrière.
- Tester Sur un groupe pilote qui inclut les applications sensibles.
- Déployer Par groupes, pendant les fenêtres convenues.
- Contrôler La version effective, le redémarrage et le fonctionnement métier.
Que faire des exceptions ?
Les traiter et les montrer, jamais les retirer du compte. Retirer les appareils difficiles du calcul pour afficher un taux flatteur masque précisément le risque.
| Situation | Traitement attendu |
|---|---|
| Portable souvent hors ligne | rattrapage automatique à la reconnexion |
| Redémarrage reporté | information de l'utilisateur, puis échéance ferme |
| Application incompatible | mesure temporaire validée par son responsable |
| Système hors support | remplacement planifié ou isolement |
Quels indicateurs demander ?
Ceux qui montrent où une action manque. Le délai entre la disponibilité d'un correctif et son application éclaire le processus, à condition de distinguer les niveaux de risque.
- À jour34 postes
- En attente de redémarrage4 postes
- En échec, à traiter2 postes
Exemple illustratif : l'intérêt du tableau est de nommer les 6 postes à traiter, pas d'afficher 85 %.
Intégrez ces informations au suivi de maintenance préventive. Dans une infogérance, ce tableau est produit par la supervision, et les exceptions font l'objet d'un ticket.
Questions fréquentes
Faut-il installer toutes les mises à jour immédiatement ?
Cela dépend du risque et des recommandations de l'éditeur. Un bon processus accélère les urgences tout en testant les changements sensibles ; une règle uniforme s'adapte mal.
L'automatisation dispense-t-elle des contrôles ?
Non. Des appareils restent hors ligne, d'autres échouent. Il faut contrôler les résultats et prévoir une reprise.
Faut-il mettre à jour les équipements réseau ?
Oui, et ce sont souvent les plus oubliés. Un pare-feu ou une borne WiFi exposés avec un micrologiciel ancien sont des cibles connues des attaquants.
Qui décide de reporter un correctif ?
Le responsable de l'application concernée, sur proposition technique, avec une mesure temporaire et une date de réexamen écrites.
Sources et ressources officielles
- Alertes de sécuritéCERT-FR
- Pourquoi et comment bien gérer ses mises à jourCybermalveillance.gouv.fr
- Guide des mises à jour de sécuritéMicrosoft Security Response Center
- Cycle de vie de Windows 10 Famille et ProMicrosoft Learn
