La ges­tion des cor­rec­tifs dans les PME

L’installation des mises à jour de sécu­rité est une mesure effi­cace pour cor­riger les vul­né­ra­bi­lités des sys­tèmes numé­riques com­plexes. Une bonne ges­tion des cor­rec­tifs permet leur déploie­ment à l’échelle de toute l’entreprise.

Les mises à jour de sécurité

Les sys­tèmes infor­ma­tiques évo­luent à une vitesse folle : les fonc­tion­na­lités des appli­ca­tions ne cessent d’augmenter et les cycles de vie des logi­ciels et du maté­riel infor­ma­tique de rac­courcir. C’est pour cette raison que les fabri­cants s’efforcent de mettre rapi­de­ment leurs der­nières trou­vailles en cir­cu­la­tion à tra­vers le sys­tème des mises à jour.

Dans le cas des PME, il convient cepen­dant d’exercer une cer­taine pru­dence, dans la mesure où toutes les nou­veautés ne pour­ront pas for­cé­ment être appli­quées effi­ca­ce­ment sur les pro­cessus opé­ra­tion­nels. La seule excep­tion stricte concerne tou­te­fois les mises à jour de sécu­rité qui doivent pour le coup être ins­tal­lées dans les plus brefs délais.

Tout sys­tème com­plexe recèle des erreurs cachées ou des failles. Celles-ci res­tent la plu­part du temps inaper­çues et donc sans consé­quence. Une fois décou­vertes, elles se trans­forment en de véri­tables défaillances (que l’on appelle en lan­gage infor­ma­tique des vul­né­ra­bi­lités) et la course contre la montre com­mence avec les hackers d’une part, et les fabri­cants de l’autre.

Les pre­miers vont essayer de trouver le moyen d’exploiter ces failles pour leurs propres des­seins et mettre au point les fameux exploits. C’est ainsi qu’en cas de réus­site, ils par­viennent à pirater des sys­tèmes et des données.

Les fabri­cants tra­vaillent quant à eux à l’élaboration de mises à jour de sécu­rité ou de cor­rec­tifs visant à cor­riger les failles le plus vite pos­sible et de les publier avant que les hackers n’aient eu le temps d’exploiter leurs exploits, voire même de les mettre au point.

La ges­tion des correctifs

En règle géné­rale, les mises à jour de sécu­rité devraient être sys­té­ma­ti­que­ment ins­tal­lées et ce dans les délais les plus brefs. Mais ce qui est ordi­nai­re­ment facile à réa­liser sur un sys­tème privé auto­nome peut s’avérer plus com­pliqué dès lors qu'il s’agit de l’appliquer dans le contexte d’une PME, d’où la néces­sité de dis­poser d’une pro­cé­dure claire et struc­turée pour la ges­tion des correctifs.

Voici donc les dif­fé­rentes étapes à suivre pour l'installation des mises à jour de sécurité :

• iden­ti­fier les sys­tèmes concernés et des mises à jour de sécu­rité adaptées
• se pro­curer les mises à jour auprès d’une source fiable, notam­ment pour les sys­tèmes ne dis­po­sant pas d'un accès direct à Internet.
• tester à l’avance l’efficacité et les éven­tuels « effets secon­daires » des mises à jour de sécu­rité sur des sys­tèmes non stratégiques.
• dis­tri­buer les mises à jour en fonc­tion de la typo­logie des sys­tèmes et pla­ni­fi­ca­tion de leur ins­tal­la­tion en dehors du temps de travail.
• pour les sys­tèmes stra­té­giques : pré­voir des solu­tions de rechange tem­po­raires et des alternatives.
• docu­menter les modi­fi­ca­tions apportées.

Dans la mesure où il s’agit d’un pro­cessus qui se déroule en continu, il est recom­mandé de définir des plages horaires fixes et régu­lières pour les opé­ra­tions de main­te­nance des sys­tèmes. Les mises à jour de sécu­rité peuvent ainsi être col­lec­tées, véri­fiées et pré­pa­rées pen­dant une période de temps donnée, tandis que leur ins­tal­la­tion pourra être reportée à la pro­chaine fenêtre de temps disponible.