Mises à jour et correctifs : pourquoi 'me le rappeler plus tard' est le plus grand risque de ta PME

Tu connais la fenêtre : 'Des mises à jour sont disponibles. Installer maintenant ou me le rappeler plus tard ?' Elle apparaît toujours au mauvais moment, alors tu cliques sur plus tard. Une semaine après, rebelote. Dans beaucoup de PME que nous auditons, les appareils ont des mois de retard, non par mauvaise volonté, mais parce que personne n'a de vue d'ensemble. Dans cet article, nous expliquons ce que fait un correctif, ce qui doit être mis à jour et comment l'organiser sans arrêter le travail.

Ce qu'est un correctif et pourquoi les attaquants l'attendent

Un logiciel contient des erreurs. Certaines permettent à un inconnu d'exécuter du code, de lire des mots de passe ou de prendre le contrôle d'un appareil. Dès que l'éditeur découvre une telle faille, il publie une correction, un correctif ou patch, généralement emballé dans une mise à jour ordinaire.

Le problème, c'est que le correctif est aussi une annonce. Dès qu'une faille devient publique, les attaquants savent où chercher et l'essaient automatiquement sur tout ce qui est accessible en ligne. Cela se passe en quelques jours, parfois en quelques heures. Qui n'a pas encore mis à jour est une porte ouverte. Lors d'incidents, nous voyons rarement une astuce nouvelle : le plus souvent, c'est une faille dont le correctif était disponible depuis des semaines.

Tout ce qui doit être mis à jour (et ce qu'on oublie souvent)

Windows et macOS sont généralement en ordre, parce qu'ils insistent eux-mêmes. Le reste est plus silencieux, et c'est là que se trouve le risque.

• Systèmes d'exploitation : Windows et macOS sur chaque portable et PC, y compris celui du gérant et celui de l'accueil.
• Navigateurs : Chrome, Edge, Firefox et Safari. Ils se mettent à jour seuls, mais seulement si on les ferme complètement de temps en temps.
• Office et autres programmes de travail : Word, Excel, Outlook, Teams, lecteurs PDF.
• Téléphones et tablettes : iOS et Android, plus les applications de mail professionnel.
• Routeur et pare-feu : l'appareil qui protège tout ton réseau, souvent plus touché depuis l'installation.
• NAS et serveurs : le stockage de tes fichiers et sauvegardes, cible privilégiée des ransomwares.
• Imprimantes, caméras et autres appareils réseau : tout ce qui a un câble réseau ou du wifi contient du logiciel.
• Logiciels comptables et métier, et les plugins de ton site web. Un plugin obsolète est la raison la plus fréquente du piratage d'un site de PME.

Fais de cette liste un inventaire : quel appareil, quel logiciel, qui est responsable, date de la dernière mise à jour. Sans cette liste, patcher reste un jeu de devinettes.

Pourquoi les gens reportent, et comment y remédier

Reporter est humain et souvent justifié : la mise à jour veut redémarrer pendant un entretien client, ou une précédente a cassé quelque chose. On ne règle pas cela avec un mail sévère, mais avec des accords qui rendent le report inutile.

• Des fenêtres de mise à jour fixes : par exemple chaque mardi soir ou mercredi après-midi. Tout le monde sait que les appareils redémarrent alors, donc personne n'est surpris.
• Des mises à jour automatiques hors des heures : laisse les PC se mettre à jour et redémarrer la nuit, à condition que chacun sauvegarde son travail et laisse le portable sur le chargeur.
• Un groupe de test : deux ou trois appareils reçoivent les mises à jour quelques jours plus tôt. Si quelque chose casse, tu le vois là et pas dans toute l'équipe.
• Les correctifs critiques tout de suite : quand un éditeur ou ton partenaire IT qualifie une faille de grave, tu n'attends pas la fenêtre. Cette exception se convient à l'avance.

Quand ton système ne reçoit plus de mises à jour

Chaque version d'un système d'exploitation a une date de fin. Après, plus aucun correctif ne paraît, alors que de nouvelles failles sont toujours découvertes. Un tel appareil devient chaque mois moins sûr, comme les vieux NAS, routeurs et téléphones que le fabricant ne suit plus. Ce que tu fais alors, par ordre de préférence :

1. Passer à une version prise en charge si le matériel le permet.
2. Remplacer l'appareil si la mise à niveau est impossible. Prévois-le dans ton budget IT annuel, pour éviter la surprise.
3. S'il doit vraiment rester, par exemple parce qu'une machine ou un vieux programme en dépend, isole-le : pas d'internet, pas de mail, un segment réseau séparé et une date de fin claire.

Ce que tu ne fais pas : laisser l'appareil tourner simplement parce qu'il fonctionne encore. Fonctionner et être sûr, ce n'est pas la même chose.

Comment garder une vue d'ensemble, et une politique de correctifs en cinq règles

Le plus difficile avec les correctifs, ce n'est pas l'installation, c'est la vue d'ensemble. Tu l'obtiens de trois manières : un inventaire tenu par toi-même, une gestion centralisée où un partenaire IT met tout à jour à distance et en voit l'état, et un rapport mensuel de ce qui est en retard. Mets en plus cette politique sur une page, à côté de tes autres accords IT :

1. Tous les appareils et logiciels figurent dans un inventaire avec un responsable.
2. Les mises à jour de sécurité sont installées dans la semaine, les critiques dans les 48 heures.
3. Les mises à jour tournent automatiquement en dehors des heures de travail ; les redémarrages ne sont pas reportés au-delà du week-end.
4. Les logiciels sans support sont remplacés ou isolés, jamais simplement conservés.
5. Une fois par mois, quelqu'un vérifie l'état et signale ce qui est en retard.

Les PC lents ou bizarres sont d'ailleurs souvent le signe de mises à jour longtemps reportées. Lis aussi que faire quand un ordinateur fait des siennes. Et n'oublie pas ton environnement Microsoft 365 : ces huit réglages font partie du même entretien.