Dans cet article
Les correctifs logiciels non appliqués sont devenus la porte d'entrée préférée des attaquants, et les combler coûte bien moins cher qu'une journée d'entreprise à l'arrêt. La règle que nous appliquons dans les parcs que nous gérons est simple : pare-feu, accès à distance, système d'exploitation et navigateur se corrigent en quelques jours ; tout le reste suit un calendrier mensuel, avec test préalable. Ce qui ne doit pas arriver, c'est que la décision attende que quelqu'un « ait le temps ».
Cliquer sur « me le rappeler plus tard » semble anodin sur un ordinateur. Additionné sur 40 postes, trois serveurs et un pare-feu que personne n'a touché depuis son installation, cela devient une vulnérabilité à date fixe.
Combien coûte le report, en chiffres ?
Le rapport de Verizon sur les violations de données 2026 livre trois indicateurs que toute direction devrait connaître :
- 31 % La part des violations analysées qui ont commencé par l'exploitation d'une faille logicielle. C'est désormais la porte d'entrée la plus fréquente, devant les identifiants volés.
- 26 % La proportion des failles critiques du catalogue des vulnérabilités exploitées de la CISA, l'agence américaine de cybersécurité, entièrement corrigées en 2025.
- 43 jours Le délai médian pour achever ces corrections, contre 32 l'année précédente. Les attaquants n'attendent pas aussi longtemps.
Chaque correctif publié par un éditeur est aussi l'annonce publique que la faille existe. À partir de là, qui n'a pas mis à jour est une cible identifiée.
Pour les décideurs : le catalogue de la CISA est, en pratique, la liste des serrures que les cambrioleurs savent déjà ouvrir. L'agence elle-même recommande à toutes les organisations de le suivre et de corriger en priorité ce qui y figure. Un équipement de l'entreprise sur cette liste, c'est un sujet de cette semaine, pas du prochain trimestre.
Simulation : le prix d'une journée sans systèmes
Hypothèses illustratives, et non données client : 30 postes à l'arrêt pendant une journée ouvrée de 8 heures après une attaque entrée par une faille connue, avec un coût moyen de 20 € par heure de travail. Rien qu'en temps perdu, cela fait 30 × 8 × 20 = 4 800 €, sans compter la facturation interrompue, la récupération des données, les heures techniques et les clients mécontents. Une fenêtre de maintenance mensuelle en coûte une fraction.
Quel délai pour chaque type de mise à jour ?
La distinction qui compte est entre les correctifs de sécurité, qui comblent des failles, et les mises à jour fonctionnelles, qui modifient le comportement des logiciels.
| Composant | Exemples | Délai recommandé | Raison |
|---|---|---|---|
| Pare-feu et VPN | Firmware, portail d'accès à distance | Quelques jours — quelques heures si la faille est déjà exploitée | Visibles depuis internet ; ils sont attaqués en premier |
| Système d'exploitation | Correctifs mensuels de Windows et macOS | Jusqu'à deux semaines après la publication | La faille devient publique le jour du correctif |
| Navigateur | Chrome, Edge, Safari | Automatique, avec redémarrage obligatoire | Concentre le travail quotidien et l'essentiel du phishing |
| Applications bureautiques | Microsoft 365, lecteurs PDF | Automatique | Cible préférée des pièces jointes malveillantes |
| Serveurs | Fichiers, logiciel de gestion | Fenêtre mensuelle, avec sauvegarde préalable | Critiques pour l'activité ; on n'y touche qu'avec un plan |
| Changements de version | Nouveau Windows, nouvelle version de l'ERP | Planifiés, après tests | Peuvent modifier les processus et exiger une validation |
Peuvent attendre, avec discernement : les mises à jour fonctionnelles du système jusqu'à leur validation par un groupe pilote, les nouvelles versions du logiciel de gestion jusqu'à ce que l'éditeur confirme la compatibilité, et les pilotes ou firmwares sans composante de sécurité. Attendre n'est pas oublier — chaque exception a une date et un responsable.
Qui approuve et qui exécute ?
La politique tient en une page et fixe quatre rôles :
- Direction — approuve les délais et la fenêtre de maintenance. C'est une décision de gestion du risque, pas un détail technique.
- Équipe IT ou partenaire managé — applique les correctifs et consigne quoi, quand et avec quel résultat.
- Éditeurs de logiciels — valident la compatibilité avant les changements de version.
- Utilisateurs — redémarrent quand on le leur demande ; un redémarrage reporté est un correctif qui n'est pas passé.
C'est la logique de la maintenance préventive face à la maintenance corrective : planifier coûte toujours moins cher que réagir.
À quoi ressemble le calendrier mensuel ?
Microsoft publie les correctifs de sécurité de Windows le deuxième mardi de chaque mois et diffuse des correctifs exceptionnels lorsque la situation l'exige. Il en découle un cycle prévisible :
- Première semaine Application à un groupe pilote de 3 à 5 ordinateurs.
- Deuxième semaine Si le pilote ne pose pas de problème, application au reste du parc, en dehors des heures de forte activité.
- Serveurs Fenêtre mensuelle fixe, toujours après avoir vérifié la sauvegarde.
- Urgences Les failles exploitées sur le pare-feu ou le VPN se traitent le jour même, sans attendre la fenêtre.
Il y a aussi des équipements qui ne reçoivent plus de correctifs : Windows 10 a perdu son support le 14 octobre 2025. S'il en reste dans l'entreprise, voyez comment traiter les postes sous Windows 10. Le point de départ est un inventaire fiable, comme celui de la checklist d'audit du parc informatique.
Pourquoi la supervision passe-t-elle avant la mise à jour ?
Parce qu'on ne corrige pas ce qu'on ne voit pas. Boost Portugal — 12 marques touristiques opérant à Lisbonne, Porto, dans le Douro et à Madrid — a conclu avec DataRoad un contrat annuel au forfait mensuel avec supervision continue de tous ses systèmes d'information : surveillance à distance, alertes et rapports de disponibilité. Le même contrat couvre les sauvegardes, le standard téléphonique, la gestion du VPN et la redondance internet avec basculement automatique vers la seconde connexion.
Avec tout sous supervision, l'entreprise sait quels équipements elle possède, dans quelle version se trouve chacun et lesquels sont restés en arrière. La différence avec le fait d'attendre la panne est expliquée dans supervision proactive et support réactif, côte à côte.
Questions fréquentes
Suffit-il d'activer les mises à jour automatiques ?
Non, pour le pare-feu, le VPN et les serveurs. Pour le navigateur et les applications bureautiques, l'automatique règle presque tout ; pour les équipements critiques, il faut quelqu'un qui suive les avis des éditeurs, planifie l'intervention et confirme le retour à la normale.
Et si une mise à jour casse quelque chose ?
C'est à cela que servent le groupe pilote et la sauvegarde préalable : la panne reste limitée à quelques postes et il est possible de revenir en arrière. Le risque de ne pas mettre à jour est presque toujours bien plus grand.
Pourquoi le pare-feu et le VPN passent-ils en priorité ?
Parce qu'ils sont exposés à internet. N'importe qui peut tenter de s'y connecter, et les failles de ces équipements sont recherchées de manière automatisée peu après leur divulgation.
Que faire des ordinateurs qui ne reçoivent plus de correctifs ?
Les isoler du réseau principal jusqu'à leur remplacement et changer d'abord les plus exposés : ceux qui touchent aux données clients, à la facturation ou à internet sans restriction.
Prochaine étape : un rapport des correctifs en retard en 5 jours ouvrés
DataRoad - IT Services and Consulting analyse le pare-feu, l'accès à distance, les serveurs et un échantillon de postes, croise le résultat avec les failles connues et remet la liste des priorités. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.
La gestion des mises à jour est incluse dans les formules IT Unlimited : Essential (à partir de 395 €/mois HT) offre un support à distance et téléphonique ; Premium (à partir de 750 €/mois HT) ajoute une assistance sur site illimitée, déplacements inclus. La surveillance continue relève du service NOC et supervision.
Demandez une proposition sans engagement : +351 211 459 950* · sales@dataroad.pt. Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique.
*Appel vers un fixe portugais.
