Vous recevez une alerte : une faille critique touche un logiciel que votre entreprise utilise tous les jours. L'éditeur a publié un correctif. Question simple, réponse souvent floue : dans combien de temps sera-t-il installé sur tous vos postes et serveurs ? Une semaine ? Un mois ? Sur ce vieux serveur que personne n'ose redémarrer, peut-être jamais.
Le patch management — la gestion des mises à jour de sécurité — souffre d'une mauvaise réputation. On l'imagine chronophage, risqué, réservé aux grandes DSI. Dans une PME sans équipe dédiée, il finit trop souvent en tâche qu'on repousse jusqu'à l'incident. Pourtant, la majorité des intrusions connues exploitent des vulnérabilités pour lesquelles un correctif existait déjà. Le problème n'est presque jamais le manque de patch : c'est l'absence de processus pour l'appliquer.
Bonne nouvelle : il ne faut ni outil hors de prix ni équipe pléthorique pour tenir la route. Il faut un processus léger, écrit, et surtout régulier. Voici comment transformer une corvée subie en routine maîtrisée.
1. Savoir ce qu'on possède : l'inventaire des actifs
On ne protège que ce que l'on connaît. Avant de parler correctifs, il faut une liste — même imparfaite — de ce qui compose votre système d'information. Sans inventaire, chaque mise à jour devient une devinette, et le vieux serveur oublié dans un placard reste une porte ouverte.
Votre inventaire n'a pas besoin d'un outil sophistiqué pour démarrer. Un tableur partagé suffit la première fois. Listez, pour chaque actif :
- Le matériel et les systèmes d'exploitation (postes, serveurs, équipements réseau, pare-feu)
- Les logiciels et leurs versions, y compris les briques moins visibles (bibliothèques, CMS, plugins)
- Les services exposés sur Internet (site web, VPN, messagerie, accès distant)
- Le responsable de chaque actif et sa criticité pour l'activité
L'inventaire est vivant : il se met à jour à chaque nouveau serveur, chaque nouvel outil SaaS. C'est le socle de tout le reste.
2. Prioriser : tout ne se vaut pas
Vous ne patcherez jamais tout, tout de suite — et ce n'est pas le but. L'enjeu est de traiter d'abord ce qui compte. Trois critères se combinent pour décider de l'urgence :
- La gravité de la faille : le score CVSS, de 0 à 10, donne une première indication
- L'exploitation active : la vulnérabilité est-elle déjà utilisée par des attaquants ? Une faille exploitée activement, même de gravité moyenne, passe en tête
- L'exposition : l'actif concerné est-il accessible depuis Internet, ou isolé au fond du réseau interne ?
Une faille critique sur un serveur web public, exploitée activement, se corrige en heures ou en jours. La même faille sur un poste isolé, sans exposition, peut attendre la prochaine fenêtre planifiée. Cette hiérarchisation évite deux écueils symétriques : la panique permanente et l'immobilisme.
3. Tester avant de déployer
Un correctif mal maîtrisé peut casser une application métier — c'est la crainte légitime qui bloque tant d'entreprises. La réponse n'est pas de ne rien faire, mais de déployer par étapes :
- Testez d'abord sur un poste ou un serveur pilote, non critique
- Vérifiez que vos applications métier fonctionnent toujours après la mise à jour
- Déployez ensuite par vagues, en gardant une possibilité de retour arrière (sauvegarde ou point de restauration)
Pour les correctifs vraiment urgents et activement exploités, on accepte un test plus court : le risque d'attendre dépasse alors celui de la régression. C'est un arbitrage assumé, pas une règle absolue.
4. Des fenêtres de maintenance, et de l'automatisation
Une routine tient parce qu'elle est planifiée. Fixez des fenêtres de maintenance régulières — par exemple un créneau mensuel pour les correctifs courants, et une procédure accélérée pour les urgences. Communiquez ces créneaux : une mise à jour attendue dérange moins qu'une coupure surprise.
L'automatisation allège la charge sans vous déposséder du contrôle. Les mises à jour automatiques des postes de travail et des navigateurs sont aujourd'hui fiables et devraient être activées par défaut. Pour les serveurs, un déploiement orchestré et supervisé reste préférable à l'application manuelle, machine par machine, qui finit toujours par en oublier une.
5. Le cas des systèmes non patchables
Certains systèmes ne peuvent pas être corrigés : une application métier ancienne, un automate industriel, un logiciel dont l'éditeur a disparu. Les ignorer serait dangereux ; les remplacer, parfois impossible à court terme. La parade s'appelle mesures compensatoires :
- Isoler le système dans un segment réseau dédié, coupé d'Internet
- Restreindre au strict minimum qui peut y accéder, et depuis où
- Renforcer la surveillance autour de lui pour détecter tout comportement anormal
- Documenter le risque résiduel et planifier le remplacement
Un système non patchable n'est pas une fatalité — c'est une décision de risque, à prendre consciemment et à réévaluer.
Votre plan d'action
Sept étapes pour installer une routine qui tient dans le temps :
- Dressez l'inventaire de vos actifs et de leurs versions — un tableur suffit pour commencer
- Identifiez vos actifs exposés sur Internet : ce sont vos priorités absolues
- Définissez une règle de priorisation simple : gravité, exploitation active, exposition
- Fixez une fenêtre de maintenance mensuelle et une procédure d'urgence distincte
- Testez les correctifs sur un pilote avant tout déploiement large
- Activez les mises à jour automatiques là où c'est fiable (postes, navigateurs)
- Recensez vos systèmes non patchables et appliquez-leur des mesures compensatoires
Écrivez ce processus, même en une page. Un processus écrit survit aux vacances, aux départs et aux mauvais jours.
Comment Sedona peut aider
Prioriser suppose de savoir ce qui est réellement exposé — et c'est souvent l'angle mort. Sedona Radar cartographie votre surface d'attaque externe (ports ouverts, sous-domaines, configuration DNS et TLS) et met en évidence les vulnérabilités connues visibles depuis Internet : précisément les actifs à corriger en premier. Le Scan de Contrôle en donne une photographie en quinze à vingt minutes, et un plan gratuit permet de commencer sans engagement. Pour replacer ces constats dans votre contexte métier, notre audit de surface manuel prend le relais. Le déploiement des correctifs, lui, reste entre vos mains — Radar éclaire simplement l'ordre des priorités.
Découvrez Sedona Radar, parcourez nos ressources ou écrivez-nous.
