Gestion des mises a jour et correctifs

Une politique de patch management efficace definit des delais maximaux selon la severite : Critical (CVSS ≥ 9.0) : 72 heures, High (7.0-8.9) : 7 jours, Medium (4.0-6.9) : 30 jours, Low (< 4.0) : prochain cycle de maintenance. Ces delais s'appliquent a partir de la date de publication du correctif par le fabricant. Des exceptions documentees et approuvees par la direction peuvent s'appliquer quand l'application immediate est techniquement impossible.

Deployer un correctif sans test peut casser des applications critiques (effect souvent surnomme 'Patch Tuesday, Break Wednesday'). L'approche en anneaux (ring deployment) : deployer d'abord sur un environnement de test, puis sur un sous-ensemble de postes pilotes, puis en production generalisee. Pour les correctifs critiques, le delai de test doit etre reduit au minimum vital. Pour les systemes OT/industriels, toujours tester en environnement de staging car un redemarrage peut avoir des consequences physiques.

On ne peut pas patcher ce qu'on ne connait pas. Un inventaire des actifs (CMDB ou equivalent) liste tous les systemes, leurs versions logicielles, et leur niveau de criticite. Des outils de scan de vulnerabilites (Nessus, Qualys, OpenVAS) identifient les vulnerabilites presentes sur l'infrastructure. L'inventaire doit inclure les appareils personnels acces au reseau d'entreprise (BYOD) et les appareils IoT.

Votre progression est sauvegardée localement dans votre navigateur.