Correctifs de sécurité : comment les appliquer à temps ?

Quand un éditeur publie un correctif de sécurité, il décrit généralement la faille qu'il répare. L'information devient donc publique au moment même où la protection devient disponible. Les systèmes non mis à jour sont alors recherchés automatiquement. Le délai entre la publication et l'application est ainsi la fenêtre pendant laquelle vous êtes exposé.

Correctif de sécurité ou évolution : ce n'est pas la même chose

Confondre les deux conduit à deux erreurs symétriques : reporter un correctif urgent par crainte de casser quelque chose, ou déployer sans test une évolution majeure un vendredi soir.

Savoir ce que vous devez suivre

On ne corrige que ce que l'on a recensé. L'inventaire couvre plus que le site lui-même : système du serveur, base de données, langage et bibliothèques, gestionnaire de contenu et extensions, équipements réseau, postes de travail, téléphones professionnels. Pour chaque élément, notez la version installée, le responsable et la date de fin de support annoncée par l'éditeur.

Ce dernier point est décisif : un produit en fin de support ne reçoit plus aucun correctif, quelle que soit la gravité de la faille découverte ensuite. Son remplacement se planifie avant l'échéance, pas après.

Fixer des délais selon la gravité

Tous les correctifs ne se valent pas. Deux critères suffisent à les classer : la gravité annoncée et l'exposition du système concerné.

1. Faille critique sur un service exposé à Internet : traitement en urgence, en quelques jours au plus. Si l'application immédiate est impossible, réduisez temporairement l'exposition en restreignant l'accès.
2. Faille importante sur un système interne : à intégrer au prochain créneau planifié, sans attendre plusieurs mois.
3. Faille mineure ou difficilement exploitable : rythme régulier, mensuel par exemple.
4. Correctif nécessitant une interruption : créneau annoncé à l'avance, en dehors des heures d'activité.

Déployer sans casser

• Sauvegarder avant, en vérifiant que la restauration est possible et non seulement que le fichier existe ;
• Tester sur un environnement séparé quand la mise à jour est importante ;
• Appliquer par étapes : quelques postes ou un serveur d'abord, le reste ensuite ;
• Vérifier après coup : parcours principaux du site, formulaires, envoi d'e-mails, paiement ;
• Redémarrer si nécessaire : certains correctifs ne prennent effet qu'après relance du service, ce qui explique des systèmes réputés à jour mais toujours vulnérables ;
• Consigner ce qui a été fait, avec la date et la version, pour pouvoir remonter le fil ensuite.

Suivre les annonces sans y passer ses journées

Abonnez-vous aux bulletins des éditeurs dont vous dépendez et aux alertes publiques du centre gouvernemental de veille, publiées sur le site de l'ANSSI. Une revue hebdomadaire suffit dans la plupart des cas, complétée par une réaction immédiate aux alertes signalées comme critiques. Pour le seul site, la procédure détaillée figure dans notre article sur les mises à jour d'un CMS et de ses extensions.

NexSecure suit ces correctifs sur l'ensemble des équipements dans le cadre de la gestion de parc informatique.