Les bonnes pratiques en matière de gestion des correctifs ne se limitent pas à l'application des mises à jour selon un calendrier préétabli. Elles nécessitent une visibilité en temps réel sur votre parc de terminaux, une hiérarchisation des priorités fondée sur les risques et tenant compte du contexte métier, des procédures de déploiement par étapes permettant de limiter l'ampleur des incidents, ainsi que des cadres de gouvernance garantissant un contrôle de l'automatisation.
Les enjeux sont bien réels. Les pirates agissent rapidement, et le délai entre la divulgation d'une faille et son exploitation ne cesse de se réduire.
Alors que le nombre de vulnérabilités augmente et que le retard dans l'application des correctifs s'accumule, les processus lents et réactifs ne constituent plus un risque gérable : ils représentent désormais un véritable handicap.
Ce guide présente les pratiques opérationnelles qui distinguent les organisations appliquant les correctifs de manière réactive de celles qui gèrent les risques de manière proactive, ainsi que les éléments fondamentaux d’une politique de gestion des correctifs « » conçue pour accompagner votre organisation lors des audits, des incidents et de sa croissance.
Bénéficiez d'une visibilité en temps réel sur l'ensemble de votre parc de terminaux
On ne peut pas corriger ce qu'on ne voit pas. Il s'agit d'une contrainte opérationnelle, et non d'un slogan. Les meilleures pratiques en matière de gestion des correctifs commencent par la tenue d'un inventaire complet et à jour de tous les actifs informatiques et par l'automatisation du processus de déploiement.
Et dans de nombreux environnements d'entreprise, une part non négligeable des terminaux n'est absolument pas suivie. Chaque entreprise présente des lacunes en matière de mise à jour des correctifs. La question est de savoir si vous savez où se trouve le vôtre avant que les pirates ne le trouvent.
Cette lacune crée des angles morts où des failles de sécurité persistent sans être détectées, et ces failles non détectées constituent précisément les points d'entrée que les cyberattaques exploitent avant que les défenseurs n'aient le temps de réagir. Les terminaux non mis à jour comptent parmi les vecteurs les plus courants de diffusion de logiciels malveillants, de déploiement de ransomware et de propagation latérale au sein des réseaux d'entreprise.
La visibilité en temps réel consiste à pouvoir visualiser l'état actuel des terminaux dans l'ensemble de votre environnement, notamment la version du système d'exploitation, les applications installées, l'état des correctifs et l'emplacement réseau. Les analyses périodiques ou les instantanés mensuels ne suffisent pas, car les configurations des terminaux changent constamment. Les mises à jour de correctifs appliquées entre deux cycles d'analyse rendent immédiatement votre inventaire obsolète. Des mises à jour logicielles sont appliquées, de nouvelles applications sont installées et les configurations évoluent. Les appareils passent d'un réseau à l'autre. Les employés se connectent depuis leur bureau à domicile, depuis des hôtels ou depuis des aéroports.
Un inventaire complet des actifs d' , disponible à l'adresse , comprend :
- Terminaux gérés : Ordinateurs portables, ordinateurs de bureau et serveurs sur site placés sous le contrôle du service informatique
- Appareils non gérés : « Shadow IT », les ordinateurs des prestataires et les systèmes hérités
- Applications tierces : logiciels proposés par des éditeurs n'appartenant pas à l'écosystème de votre système d'exploitation
- des charges de travail dans le cloud : Machines virtuelles, conteneurs et instances sans serveur
- Appareils OT et IoT : Contrôleurs industriels, capteurs et équipements spécialisés
Sans cette base, chaque étape suivante de votre processus de gestion des correctifs repose sur des informations incomplètes. La hiérarchisation des priorités devient alors une question de devinettes. Les rapports de conformité perdent de leur fiabilité. Et des vulnérabilités passent inaperçues, car les terminaux concernés ne figuraient tout simplement pas dans votre inventaire au départ.
Hiérarchisez les correctifs en fonction de l'exposition au risque et du contexte métier
Tous les correctifs n'ont pas le même poids. Une vulnérabilité affectant un serveur web exposé à Internet présente un risque différent de celui que représenterait cette même vulnérabilité sur une machine de développement isolée.
C'est un processus structuré d'évaluation des risques qui distingue la correction réactive de la gestion stratégique des vulnérabilités . Le CVSS constitue un point de départ pour cette évaluation. Les scores varient entre 0 et 10, les scores égaux ou supérieurs à 9,0 étant considérés comme critiques. Mais le CVSS à lui seul ne vous indique pas quels correctifs déployer en priorité. Il évalue la gravité théorique, et non l' , la possibilité d'exploitation dans la réalité ou l'impact sur l'activité.
Alors, qu'est-ce qui compte d'autre ? Intégrez des facteurs supplémentaires dans votre cadre de hiérarchisation des priorités :
- Disponibilité de l'exploit : Y a-t-il des attaques actives dans la nature ? Le catalogue des vulnérabilités connues faisant l'objet d'exploits (CISA KEV) de l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) recense les vulnérabilités actuellement ciblées par des attaques. Le système de notation de prédiction d'exploitation (EPSS) estime la probabilité d'exploitation dans un délai de 30 jours.
- Criticité des actifs : Quels sont les systèmes qui prennent en charge les activités génératrices de chiffre d'affaires, les données clients ou la conformité réglementaire ? Une vulnérabilité sur votre serveur de traitement des paiements nécessite une réaction plus rapide que celle détectée sur une borne installée dans la salle de pause : la première peut en effet entraîner directement des fuites de données, ce qui donne lieu à des sanctions réglementaires, à des obligations de notification des clients et à une atteinte à la réputation.
- Niveau d'exposition : Les systèmes connectés à Internet, les infrastructures d'accès à distance et les fournisseurs d'identité présentent un risque inhérent plus élevé que les systèmes internes isolés.
- Mesures de compensation : La segmentation du réseau, les pare-feu, la détection au niveau des terminaux ou les restrictions d'accès peuvent-ils réduire l'exposition pendant que vous planifiez l'application du correctif ?
| Facteur | Source des données | En quoi cela influe-t-il sur la définition des priorités ? |
|---|---|---|
| Gravité | Score CVSS | Risque technique de référence |
| Exploitabilité | CISA KEV, EPSS | Probabilité d'une attaque à court terme |
| Importance stratégique des actifs | Contexte métier, CMDB | Impact potentiel sur les opérations |
| Exposition | Topologie du réseau | Accessibilité de la surface d'attaque |
Cette approche par niveaux vous permet de concentrer vos efforts là où ils réduisent le plus les risques, plutôt que de vous précipiter sur chaque correctif de gravité « critique » sans tenir compte du contexte. L'objectif n'est pas de tout corriger à la hâte. Il s'agit de corriger en priorité les éléments qui le méritent.
Une hiérarchisation efficace des risques reflète également un principe plus général en matière de cybersécurité : tous les risques ne se valent pas, et une défense efficace nécessite un triage, et pas seulement une approche minutieuse.
Définir les cycles de déploiement et les procédures de déploiement par étapes
Le déploiement simultané de correctifs sur tous les terminaux est la recette du désastre. Une seule mise à jour problématique peut avoir des répercussions en cascade sur l'ensemble de votre environnement, entraînant des temps d'arrêt imprévus, la mise hors service des systèmes de production et la perturbation des activités de l'entreprise. Les procédures de déploiement par étapes sont conçues pour contribuer à limiter la portée de cet impact.
Le déploiement progressif en anneau organise les terminaux en groupes qui reçoivent les correctifs de manière séquentielle. Chaque étape fait office de point de contrôle de validation avant que le correctif ne soit déployé à une population plus large.
Ring 0 : Tests et validation
Un petit ensemble de terminaux non critiques, souvent des machines gérées par le service informatique ou des systèmes de laboratoire, qui, ensemble, constituent votre environnement de test. Ce cycle de test permet de détecter les problèmes de compatibilité évidents avant que les correctifs n'atteignent votre environnement de production.
1er cercle : les précurseurs
Un ensemble plus large de terminaux représentant diverses configurations, mais excluant toujours les systèmes essentiels à l'activité. Surveillez ce circuit afin de détecter toute baisse de performances, tout conflit entre applications ou tout redémarrage inattendu. L'objectif du Ring 1 est de tester les correctifs sur un échantillon représentatif de votre environnement avant qu'un déploiement à plus grande échelle ne vous engage dans une voie dont il est difficile de revenir en arrière.
Anneau 2 : Population générale
La plupart des terminaux de votre environnement informatique. À ce stade, le correctif s'est révélé stable dans de nombreuses configurations.
Ring 3 : Systèmes critiques
Les serveurs de production, les appareils destinés aux cadres dirigeants et les systèmes prenant en charge les fonctions essentielles de l'entreprise. Ceux-ci reçoivent les correctifs en dernier, après validation dans tous les anneaux précédents.
Définissez des critères clairs pour passer d'un niveau à l'autre. Quels indicateurs permettent de mesurer la réussite ? Combien de temps dure chaque cycle avant la promotion ? Qui approuve les promotions ? Consignez ces seuils par écrit afin d'éviter que des décisions ne soient prises au cas par cas lors du déploiement.
Conseil : Préparez vos procédures de restauration avant d'en avoir besoin. Les instantanés, les points de restauration du système et les procédures de récupération documentées vous permettent de revenir rapidement en arrière si un correctif entraîne des problèmes inattendus. Définissez clairement les responsabilités en matière de dépannage des déploiements ayant échoué, afin que, lorsque des problèmes surviennent, la réaction soit rapide et non improvisée.
Gérer l'application automatisée des correctifs en définissant un périmètre et des seuils d'approbation
La gestion automatisée des correctifs accélère le déploiement et réduit les erreurs humaines. Mais l'automatisation sans gouvernance engendre de nouveaux risques. Par ailleurs, se contenter de correctifs manuels à l'échelle de l'entreprise n'est ni viable ni sûr : le volume et la rapidité avec lesquels les vulnérabilités sont aujourd'hui révélées dépassent de loin ce que des processus gérés par l'homme peuvent traiter de manière fiable.
L'application manuelle des correctifs n'est pas seulement chronophage ; elle est également source d'erreurs, manque de cohérence d'un terminal à l'autre et est difficile à contrôler à grande échelle. Un système automatisé qui déploie des correctifs non testés sur des infrastructures critiques peut causer davantage de dégâts que les vulnérabilités qu'il est censé corriger.
À quoi ressemble une gouvernance efficace de l'automatisation ? Elle définit des limites claires :
- Portée : Quels terminaux reçoivent des correctifs automatisés ? Lesquelles nécessitent une validation manuelle ? De nombreuses organisations automatisent les mises à jour de routine des postes de travail tout en exigeant l’approbation du comité consultatif des changements (CAB) pour les correctifs des serveurs d’ — une répartition des tâches qui permet de réduire les frictions lors de déploiements à grand volume et à faible risque, sans pour autant sacrifier la surveillance des systèmes critiques.
- Catégories de correctifs : Les correctifs de sécurité peuvent obéir à des règles d'automatisation différentes de celles des mises à jour qui introduisent de nouvelles fonctionnalités, des modifications de pilotes, des corrections de bogues ou des mises à jour de micrologiciels : chaque catégorie présente des profils de risque et une complexité de restauration différents. Les mises à jour de sécurité critiques justifient souvent un déploiement plus rapide et davantage automatisé que les mises à jour cumulatives.
- Seuils d'approbation : À partir de quel niveau de gravité le déploiement est-il automatique, et à partir de quel niveau une vérification manuelle est-elle requise ? Certaines organisations déploient automatiquement les correctifs classés comme présentant un niveau de risque moyen ou inférieur, tout en exigeant une validation pour ceux classés comme présentant un niveau de risque élevé ou critique. Les responsables de la sécurité, des opérations et de la direction devraient consigner ces seuils dans un document officiel définissant la politique de correctifs et le réexaminer au moins une fois par an.
- Fenêtres de maintenance : À quel moment les correctifs automatisés peuvent-ils être exécutés ? Définissez des créneaux horaires permettant de minimiser les perturbations de l'activité tout en garantissant une résolution rapide des problèmes.
- Gestion des exceptions : Comment documentez-vous et assurez-vous le suivi des systèmes exclus de l'automatisation ? Les exceptions s'accumulent au fil du temps et constituent un risque latent si elles ne sont pas gérées activement.
L'automatisation fonctionne au mieux lorsqu'elle s'inscrit dans un cadre réglementaire qui préserve le contrôle humain pour les décisions à enjeux élevés. L'objectif n'est pas d'exclure totalement les êtres humains de ce processus. L'objectif est de libérer les équipes informatiques des tâches répétitives afin qu'elles puissent se concentrer sur les décisions qui nécessitent une bonne compréhension du contexte et une expertise.
Alignez la fréquence des correctifs et la documentation sur votre cadre de conformité
Les cycles de publication des éditeurs influencent également votre calendrier de mise à jour. Par exemple, Microsoft publie des mises à jour de sécurité le deuxième mardi de chaque mois, dans le cadre d'un cycle de publication appelé « Patch Tuesday », une cadence sur laquelle les équipes des entreprises ont depuis longtemps articulé leurs processus de travail.
Les exigences réglementaires imposent souvent des délais précis pour l'application des correctifs. L'exigence 6,3,3 de la norme PCI DSS impose que les correctifs de sécurité critiques soient installés dans un délai d'un mois à compter de leur publication. La règle de sécurité de la loi HIPAA impose de remédier en temps utile aux vulnérabilités connues. Le document NIST SP 800-40 « » fournit des recommandations détaillées sur les pratiques de gestion des correctifs en entreprise.
Adaptez la fréquence de vos mises à jour aux exigences applicables :
| Cadre | Exigences en matière de correctifs |
|---|---|
| PCI DSS 6,3,3 | Correctifs critiques en l'espace de 30 jours |
| Règle de sécurité HIPAA | Correction rapide des vulnérabilités |
| NIST SP 800-40 | Hiérarchisation des priorités en fonction des risques et gestion du cycle de vie |
| Gestion continue des vulnérabilités |
La documentation est tout aussi importante que la mise en œuvre. Les auditeurs souhaitent disposer de preuves attestant que les correctifs ont été déployés, vérifiés et suivis.
Vous devez tenir à jour les registres suivants :
- Dates de déploiement des correctifs et terminaux concernés
- Vérification de la bonne installation des correctifs
- Les exceptions et leurs justifications documentées
- Événements de retour en arrière et analyse des causes profondes
Votre base de données de gestion de la configuration (CMDB) et vos systèmes de gestion des services informatiques (ITSM) constituent la source de référence pour cette documentation. Veillez à ce qu'elles restent synchronisées avec l'état réel des terminaux afin que votre niveau de conformité « » reflète la réalité, et non des hypothèses.
Coordonner le déploiement des correctifs au cours des fenêtres de maintenance et dans l'ensemble des unités opérationnelles
L'application de correctifs ne se fait pas de manière isolée. Cela recoupe les processus de gestion du changement, les opérations métier et les plannings des équipes au sein de votre organisation.
Commencez par votre processus de gestion du changement. La plupart des organisations exigent des demandes de modification pour toute intervention sur les systèmes de production. Intégrez le patching dans ce flux de travail plutôt que de le traiter comme une étape distincte. Cela garantit la transparence, la responsabilité et le respect des circuits de validation appropriés.
Les créneaux de maintenance varient selon les unités opérationnelles et le niveau de criticité des systèmes. Une entreprise du secteur de la vente au détail pourrait éviter d'appliquer des correctifs aux systèmes de point de vente pendant les heures de pointe : pour les systèmes essentiels au chiffre d'affaires, la disponibilité pendant les heures d'ouverture est incontournable, et une fenêtre de mise à jour mal choisie peut s'avérer aussi préjudiciable que la vulnérabilité qu'elle est censée corriger. Une société de services financiers peut limiter les modifications pendant les heures d'ouverture des marchés. Un professionnel de santé peut organiser son travail en fonction des changements de service afin de limiter au maximum les perturbations cliniques.
La communication est également importante. Prévenez les utilisateurs concernés avant les créneaux de maintenance. Précisez les attentes concernant d'éventuels redémarrages ou de brèves interruptions de service. Une fois le déploiement effectué, veuillez vérifier que les systèmes ont repris leur fonctionnement normal.
Pour les organisations décentralisées, les fuseaux horaires constituent un facteur de complexité supplémentaire. Une plage horaire de maintenance qui convient au siège social peut coïncider avec les heures d'ouverture d'un bureau régional. Envisagez des déploiements échelonnés qui respectent les calendriers locaux tout en garantissant une couverture homogène des correctifs.
Mesurer en continu la conformité des correctifs et établir des rapports par rapport aux SLA définis
On ne peut pas améliorer ce que l'on ne mesure pas. Les indicateurs de conformité des correctifs offrent aux équipes opérationnelles la visibilité dont elles ont besoin pour identifier les lacunes, démontrer les progrès réalisés et justifier la mise en place de changements de processus avant qu'une vulnérabilité ne se transforme en incident.
Suivez ces indicateurs clés :
- Taux de conformité des correctifs : Pourcentage de terminaux sur lesquels tous les correctifs applicables sont installés. Segmentez vos données par système d'exploitation, division ou niveau de criticité pour obtenir des informations exploitables. Portez une attention particulière aux terminaux qui n'ont pas encore reçu le dernier correctif concernant les vulnérabilités à haut niveau de gravité, car ce sont eux qui vous exposent au risque le plus immédiat.
- Délai moyen avant correction (MTTP) : Durée moyenne entre la publication d'un correctif et son déploiement. Suivez séparément les incidents classés par niveau de gravité : critique, élevé, moyen et faible.
- Taux d'exception : Pourcentage de terminaux exclus de l'application standard des correctifs. La hausse du taux d'exceptions est le signe d'un relâchement de la gouvernance et, à terme, l'accumulation de ces exceptions se traduit directement par des correctifs manquants qui laissent des vulnérabilités connues exposées sur l'ensemble de votre parc informatique.
- Taux de réussite des déploiements : Pourcentage des déploiements de correctifs qui s'effectuent sans erreur ni annulation.
Définissez des accords de niveau de service adaptés à votre tolérance au risque et à vos exigences en matière de conformité. Par exemple : les correctifs critiques sont déployés dans un délai de 72 heures, ceux de gravité élevée dans un délai de 7 jours et ceux de gravité moyenne dans un délai de 30 jours.
Présentez les indicateurs à différents publics sous différents formats. Les équipes opérationnelles ont besoin de données détaillées pour identifier les lacunes et y remédier. Les dirigeants ont besoin de graphiques de tendances et de synthèses sur les risques. Les équipes d'audit et de conformité ont besoin de preuves attestant du respect des politiques.
La mesure continue permet également de mettre en évidence des améliorations des processus. Si le MTTP des serveurs Linux affiche systématiquement un retard par rapport à celui des serveurs Windows, vérifiez si cet écart s'explique par des différences au niveau des outils, des effectifs ou des processus. Si une unité opérationnelle donnée affiche des taux de conformité inférieurs, déterminez si elle est confrontée à des contraintes particulières nécessitant des mesures d'adaptation.
Utilisez ces conclusions pour optimiser vos processus de travail, vos outils et vos effectifs. Les lacunes en matière de conformité ne se comblent pas d'elles-mêmes. Ils ont fermé parce que quelqu'un a remarqué cette tendance et a modifié le processus.
[Découvrez en quoi les processus de mise à jour des Mac diffèrent des modèles Windows traditionnels]
Comment Tanium favorise les meilleures pratiques en matière de gestion des correctifs
Les pratiques abordées dans cet article, notamment la visibilité en temps réel des actifs, la hiérarchisation en fonction des risques, le déploiement par étapes et la mesure continue de la conformité, ne sont efficaces que dans la mesure où l'est la solution de gestion des correctifs qui les prend en charge.
Une stratégie de gestion des correctifs aboutie doit articuler tous ces éléments : visibilité, hiérarchisation, automatisation, conformité et amélioration continue. Ces fonctionnalités sont plus efficaces lorsqu'elles sont utilisées conjointement. Lorsque la visibilité, la hiérarchisation des priorités, l'automatisation et la mesure fonctionnent comme un programme unifié plutôt que comme des fonctions isolées, votre niveau de sécurité reflète les risques en temps réel plutôt que les résultats d'analyse de la semaine dernière.
Contrairement aux approches cloisonnées qui ne traitent qu'une seule phase du cycle de vie des correctifs, comme l'inventaire ou le déploiement pris isolément, la plateforme informatique autonome de Tanium relie directement les informations sur les terminaux aux workflows de correction. Il associe, au sein d'un modèle opérationnel unique, des informations en temps réel sur les terminaux, des capacités de correction automatisée et un logiciel de gestion des correctifs de niveau entreprise . Les décisions s'appuient sur des données actuelles, et non sur des instantanés ponctuels.
Tanium contribue à résoudre ce problème en associant une visibilité en temps réel sur les terminaux à des contrôles de déploiement progressifs et en anneau, disponibles sur () , ainsi qu’à un « Confidence Score » calculé à partir de données d’installation réelles. Les équipes peuvent ainsi passer de l’identification à une correction vérifiée en toute confiance, sans avoir à changer d’outil ni à attendre les cycles de rapports par lots.
C'est précisément dans la phase comprise entre le « déploiement du correctif » et la « confirmation que le correctif a bien été appliqué sur le terminal » que de nombreuses organisations perdent confiance. Les journaux de déploiement indiquent qu'un correctif a été envoyé. Tanium vous indique si le message a bien été reçu. C'est cette distinction qui différencie une vulnérabilité corrigée d'une vulnérabilité présumée.
Foire aux questions sur les bonnes pratiques en matière de gestion des correctifs
Que vous mettiez en place un programme de gestion des correctifs à partir de zéro ou que vous perfectionniez un programme existant, les réponses ci-dessous traitent des questions les plus fréquemment posées par les équipes de sécurité et informatiques, depuis les étapes fondamentales jusqu’à l’automatisation et aux normes de conformité.
Quelles sont les meilleures pratiques en matière de gestion des correctifs ?
Une gestion efficace des correctifs nécessite de disposer d'une visibilité en temps réel sur l'ensemble des terminaux, de hiérarchiser les vulnérabilités en combinant les scores CVSS avec la disponibilité des exploits et le contexte métier, de déployer les correctifs selon un processus par étapes permettant de valider leur stabilité avant un déploiement à grande échelle, et de mesurer en permanence la conformité à l'aide d'indicateurs tels que le délai moyen de correction et le taux de conformité des correctifs.
Quelles sont les étapes de la gestion des correctifs ?
Le processus de gestion des correctifs comprend sept étapes : recenser l'ensemble des actifs sur les terminaux gérés et non gérés, évaluer les vulnérabilités à l'aide du système CVSS et des informations sur les menaces, établir des priorités en fonction de l'exposition au risque et de l'impact sur l'activité, tester les correctifs dans des environnements contrôlés, planifier des créneaux de déploiement qui minimisent les perturbations, procéder au déploiement par anneaux progressifs, et surveiller les taux de réussite tout en assurant le suivi de la conformité par rapport aux SLA définis.
En quoi consiste la politique de gestion des correctifs ISO 27001 ?
La norme ISO 27001 relative à la politique de gestion des correctifs définit les exigences en matière de mise à jour des systèmes d'exploitation, des logiciels d'application et des micrologiciels afin de corriger les failles de sécurité connues dans des délais définis. Les organisations doivent consigner les dates de déploiement des correctifs, conserver les registres de vérification, assurer le suivi des exceptions en les justifiant et aligner les calendriers de correction sur les cadres de hiérarchisation des priorités fondés sur les risques.
Quelle pratique est recommandée pour la gestion automatisée des correctifs ?
La mise à jour automatisée est particulièrement efficace lorsqu’elle s’appuie sur une visibilité en temps réel des terminaux et qu’elle est régie par des seuils de gravité clairs permettant de distinguer ce qui doit être déployé automatiquement de ce qui nécessite une validation, des anneaux de déploiement progressif qui permettent de valider la stabilité avant un déploiement à grande échelle, des fenêtres de maintenance définies qui protègent les opérations métier, ainsi que des procédures d’exception documentées pour les systèmes ne relevant pas des flux de travail standard.
La gestion des correctifs à l'échelle de l'entreprise est une activité continue, et non une simple liste de contrôle trimestrielle. Les organisations qui adoptent la bonne approche ne se contentent pas de réduire les risques. Ils renforcent la confiance opérationnelle nécessaire pour agir plus rapidement lorsque cela compte le plus.
Prenez rendez-vous pour une démonstration afin de découvrir comment Tanium peut vous aider à rendre la gestion des correctifs plus efficace et plus évolutive dans les environnements d'entreprise complexes.
