Gestion des correctifs : mettre à jour sans désorganiser la PME
La gestion des correctifs consiste à identifier, tester, déployer et vérifier les mises à jour. Un processus utile traite les failles prioritaires, tient compte des logiciels métier et rend visibles les appareils qui échappent au déploiement.
L’essentiel, en bref.
- Classez les correctifs selon le risque et les dépendances métier.
- Déployez par groupes avec une procédure de retour arrière.
- Vérifiez le résultat sur les postes, pas seulement l’envoi de la mise à jour.
Dans cet article
Que recouvre le patch management ?
Un correctif peut résoudre une vulnérabilité, une erreur ou un problème de compatibilité. Sa gestion ne se limite pas au système d’exploitation : les navigateurs, applications, équipements réseau et outils de travail doivent aussi être suivis. Une mise à jour disponible n’est utile que lorsqu’elle atteint effectivement les appareils concernés.
Le point de départ est un inventaire fiable. Sans connaître les versions installées, les équipements absents et les dépendances, on ne peut ni calculer une couverture crédible ni déterminer quelles exceptions demandent une action.
Comment décider de la priorité ?
Évaluez la criticité technique, l’exploitation connue de la faille, l’exposition du service et les conséquences métier. Un équipement directement accessible depuis Internet peut exiger une action plus rapide qu’un outil isolé, même si le score affiché semble comparable.
Les avis de l’éditeur et les alertes du CERT-FR aident à repérer les situations urgentes. Ils ne remplacent pas l’analyse du contexte local. Si un correctif ne peut pas être appliqué immédiatement, documentez les mesures temporaires, la personne qui accepte le risque et la date de réexamen.
Un déploiement en cinq étapes
- Identifier : confirmer les produits, versions et appareils concernés.
- Préparer : vérifier les prérequis, la sauvegarde utile et les procédures de récupération.
- Tester : utiliser un groupe pilote représentatif des usages métier.
- Déployer : procéder par groupes pendant les fenêtres convenues.
- Contrôler : vérifier la version effective, le redémarrage et le fonctionnement attendu.
Le groupe pilote doit inclure les applications sensibles. Si la comptabilité utilise un module particulier, le test doit couvrir ce module. Un ordinateur qui redémarre correctement ne prouve pas que tous les usages professionnels fonctionnent.
Traiter les exceptions plutôt que les oublier
| Situation | Traitement attendu |
|---|---|
| Portable souvent hors ligne | Prévoir un rattrapage à la reconnexion |
| Redémarrage reporté | Informer puis convenir d’une échéance |
| Application incompatible | Valider une mesure temporaire avec son responsable |
| Système hors support | Préparer remplacement ou isolement adapté |
Les exceptions doivent apparaître dans le reporting. Retirer les appareils difficiles du dénominateur pour afficher un taux flatteur masque le risque. Distinguez les équipements à jour, en attente, en échec et temporairement exclus avec justification.
Exemple : le correctif arrive pendant la clôture
Une PME reçoit une mise à jour importante au moment d’une clôture comptable. Ce scénario illustratif impose de rapprocher deux besoins : corriger l’exposition et préserver l’accès au logiciel. Le responsable technique vérifie les recommandations de l’éditeur et les possibilités de test ; la direction confirme les contraintes horaires.
La décision peut être une installation rapide après un pilote, ou un report court avec mesures compensatoires documentées. Elle ne doit pas se transformer en report sans date. Un suivi écrit évite que l’exception survive plusieurs mois après la fin de la clôture.
Quels indicateurs demander ?
Demandez le nombre d’équipements réellement suivis, les correctifs prioritaires restants, l’ancienneté des échecs et les exceptions ouvertes. Le temps entre la disponibilité d’un correctif et son application peut aussi éclairer le processus, à condition de distinguer les niveaux de risque.
Intégrez ces informations au suivi de maintenance préventive. L’objectif est de savoir où une décision ou une intervention manque, puis de vérifier sa réalisation.
Questions fréquentes
Faut-il installer toutes les mises à jour immédiatement ?
La réponse dépend du risque et des recommandations de l’éditeur. Un processus permet d’accélérer les urgences tout en testant les changements sensibles. Une règle uniforme peut être mal adaptée.
L’automatisation dispense-t-elle des contrôles ?
Non. Des appareils peuvent rester hors ligne ou échouer. Il faut contrôler les résultats et prévoir une reprise. Échangez avec CWAM pour définir un suivi adapté à votre parc.
Un contenu de la rédaction CWAM, pour aider les entreprises à mieux piloter leur informatique.