Gestion des correctifs : conseils et bonnes pratiques

La gestion des correctifs est un des éléments clés de la protection des systèmes informatiques. Dans notre précédent article sur le sujet, nous expliquions combien la gestion des correctifs, ou patch management, était devenu aujourd’hui un élément crucial de l’activité des MSP. 

En effet, avec la multiplication des risques et des cyberattaques, le périmètre vulnérable s’est élargi à l’ensemble du système informatique et toute machine devient une cible potentielle d’attaque. Une mauvaise gestion des correctifs a une grande incidence sur le fonctionnement entier d’un système d’information. La gestion des correctifs a un “effet boule de neige” : un logiciel non mis à jour peut entraîner une succession d’effets indésirables sur différents secteurs d’un système informatique. 

Une bonne gestion des correctifs permet donc de maintenir l’ensemble des terminaux d’un parc informatique en toute sécurité. 

Certes, c’est une activité qui peut parfois paraître chronophage mais son importance ne peut être niée. C’est ainsi qu’il existe toutes sortes de bonnes pratiques pour fluidifier cette gestion et appliquer correctement l’ensemble des patchs au système informatique.

Quelles sont ces bonnes pratiques ? C’est le sujet de notre article.

Pour accéder à un résumé de l’article, cliquez ici. 

1. Connaître son parc informatique et son système de sécurité

Le premier élément essentiel à appliquer pour une gestion efficace des correctifs est de connaître son parc informatique et son système de sécurité.

Combien de PC disposent votre système informatique ? Combien de Mac ? Combien de périphériques externes type imprimante ? Qu’en est-il des serveurs ? 

Vous devez avoir un inventaire précis de tous les terminaux matériels mais aussi de tous les logiciels qui composent le système informatique. C’est la seule façon de s’assurer que toutes les applications et les appareils sont bien corrigés. 

Vous devez avoir une visibilité complète et constante sur l’ensemble du parc informatique et ceci même si vous n’appliquez des correctifs et mises à jour que sur certains appareils ou logiciels. Comme nous le disions en introduction à cet article, gardez en tête l’effet boule de neige d’une mauvaise gestion des correctifs qui peut avoir des conséquences dévastatrices.

De même, vous devez connaître l’ensemble des correctifs de sécurité déjà mis en place pour savoir quand les mettre à jour et comment les intégrer à votre stratégie de gestion des correctifs. 

Pour être sûr de n’avoir rien laissé de côté, notre fonction Découverte du réseau permet d’identifier tous les appareils et terminaux connectés à votre réseau et dont vous devrez ainsi en assurer la sécurité. Ce qui s’avère particulièrement utile lorsque de nouveaux appareils se connectent au parc informatique. 

Sur le plan sécuritaire, nous proposons également depuis peu l’intégration sur notre console de la dernière fonctionnalité de Bitdefender, la Ransomware Mitigation. Cette fonctionnalité surveille les activités suspectes sur un système informatique et crée des copies sécurisées de fichiers cryptés qui peuvent être restaurés en cas d’attaque. De quoi renforcer la prévention et la connaissance complète de votre parc informatique.

2. Se tenir informé constamment

De la même façon que vous devez connaître ce qui se passe “à l’intérieur” de votre parc informatique, vous devez également être au courant de ce qui se passe à l’extérieur.

La gestion des correctifs en entreprise exige un juste équilibre entre préparation et rapidité. De ce fait, il est important de se tenir au courant régulièrement des annonces de correctifs faites par les fournisseurs tiers et éditeurs de logiciels. Abonnez-vous à toutes les notifications et autres newsletters vous permettant d’être au fait des dernières mises à jour à mettre en place. 

Adobe, Google Chrome, Firefox, Apple, nombreux sont les logiciels et applications présentes dans un système informatique et il peut être utile en tant que MSP de vous créer un système d’organisation interne afin d’être sûr de ne négliger aucune nouveautés et mises à jour. Ceci en intégrant notamment à votre organisation, Chocolatey pour Windows et Homebrew pour Mac qui mettront automatiquement à jour tous ces types de logiciels. 

3. Etablir une stratégie de gestion des correctifs

ne fois que vous avez analysé l’ensemble d’un parc informatique et que vous êtes à jour sur l’ensemble des correctifs, il va vous falloir établir une stratégie de gestion des correctifs :

• Procédures différentes

La mise en place de correctifs varie selon les applications et les logiciels. S’agit-il d’une mise à niveau de logiciel ? Ou d’un nouveau logiciel à mettre en place ? Ou encore d’une nouvelle version de logiciel en cours d’utilisation ?

Selon les logiciels ou les appareils et leur impact sur le système informatique, il existe des procédures différentes. Certains déploiement peut se faire de manière “silencieuse” c’est-à-dire pendant les heures de travail sans perturber la continuité des activités. D’autres correctifs, comme les mises à jour serveur par exemple, sont plus délicates et il sera préférable de les réaliser en dehors des heures de travail. 

Enfin, certains correctifs peuvent parfois requérir des procédures d’application d’urgence.

• Chronologie des correctifs

Après avoir fait l’inventaire de vos logiciels et machines, vous avez donc une vue générale sur les correctifs à mettre en place. Certains correctifs peuvent être mis en place rapidement (en quelques jours), d’autres peuvent prendre plus de temps (plusieurs semaines, voire plusieurs mois). Vous devez donc établir une chronologie et prioriser les correctifs.

Les correctifs qui prennent du temps à être appliqués concernent en général des éléments clés d’un système informatique, par exemple les serveurs. Ces derniers conservant les données sensibles, il va alors être primordial de le mettre à jour et de le sécuriser au plus vite. 

Tous les correctifs ne peuvent être mis en place en même temps. Une bonne stratégie de gestion des correctifs se fait sur le long terme, d’autant que vous devez être à même de gérer les éventuels problèmes qui pourraient survenir une fois les correctifs mis en place. Il va donc falloir espacer et prioriser selon les besoins et les urgences.  

La chronologie des correctifs c’est aussi connaître les dates de diffusion des correctifs. Par exemple, les correctifs Windows sont généralement publiés mensuellement là où d’autres logiciels vont publier des correctifs plus souvent ou au contraire de manière plus ponctuelle. 

• Examiner les processus et résultats

L’idée d’établir une chronologie dans la gestion des correctifs est là pour vous octroyer un temps d’analyse. Est-ce que le correctif a été correctement déployé ? Comment se comporte mon système informatique suite au déploiement ? Quels en sont les résultats directs ? 

Toutes ces questions doivent être analysées de près. 

Pour cela, n’hésitez pas à utiliser les ressources de nos différents rapports qui suivent et mesurent l’état de vos systèmes informatiques et leurs performances.

Par exemple, nous disposons d’un rapport récapitulatif de l’état des correctifs qui fournit de précieuses informations sur l’état de vos correctifs, ceux qui manquent et votre niveau de vulnérabilité.

En parallèle, consultez également notre rapport de suivi sur les correctifs et l’automatisation.

Ceci va vous permettre également de rationaliser votre système informatique. En effet, suite à la mise en place de certains correctifs vous pouvez vous apercevoir que l’utilisation de certains logiciels ou certaines applications complémentaires n’est plus utile et que vous pouvez donc vous en débarrasser. De quoi apporter plus de cohésion et de sécurité dans le parc informatique de vos clients et surtout de réduire les frais. 

4. Limiter les risques d’exposition

Il arrive très souvent que vous ne puissiez pas déployer un correctif immédiatement. Il se peut que vous deviez dans un premier temps effectuer des modifications sur votre système informatique afin de créer un environnement entièrement sécurisé pour vos correctifs. Ou encore qu’il vous faut attendre le prochain correctif qui correspondra mieux aux besoins de votre parc informatique.

Quoi qu’il en soit, durant cet espace-temps, les appareils et terminaux nécessitant le déploiement dudit correctif sont à risque car non pleinement sécurisés. 

Ainsi, le rôle d’un fournisseur de services gérés est également de s’assurer que pendant cette période délicate, les appareils en question ne soient pas surexposés. Par exemple, en limitant le nombre de personnes ayant accès à ces appareils en strict nécessaire. 

5. Automatiser la gestion des correctifs au maximum

Nous l’avons dit dès le départ, la gestion des correctifs peut parfois s’avérer chronophage et redondante. Ce qui peut être propice aux erreurs humaines ou aux oublis. 

L’un des plus importants conseils que nous pouvons vous donner est donc d’automatiser au maximum la gestion des correctifs. 

L’automatisation se présente ici comme un outil d’application des correctifs. Les systèmes informatiques étant de plus en plus complexes, vous avez à gérer de multiples logiciels et applications. Vous ne pouvez donc pas tout déployer manuellement au risque de faire de ces déploiement votre activité principale de MSP. 

Avec notre outil RMM mis en place par Atera, vous pouvez automatiser de nombreuses tâches de routine et décider ainsi du moment où vous souhaitez déployer des correctifs sur certains appareils. Les déploiement se font automatiquement au jour et à l’heure que vous avez choisi. 

Nous disposons également de modules d’automatisation pour Chocolatey (Windows) et Homebrew (Mac) ce qui permettra de mettre à jour automatiquement des applications telles que Chrome, Firefox, Dropbox etc. 

Cette automatisation vous permet un gain de temps et de productivité mais aussi minimise les interruptions d’activité pour vos clients. 

Attention cependant à ne pas tout automatiser et garder une part de contrôle manuel lorsque cela est nécessaire, notamment dans certaines situations délicates. 

6. Concevoir un environnement de test

Dernier conseil, testez vos correctifs avant de les déployer sur l’intégralité de votre parc informatique. En effet, chaque système informatique dispose de ses propres particularités et même si vous pouvez anticiper les éventuelles réactions, vous n’êtes jamais à l’abri d’une réaction imprévue. C’est pour cela que nous recommandons de déployer vos correctifs dans un environnement restreint dans un premier temps. Cela vous permet en tant que MSP, de surveiller les différentes réactions, d’analyser en toute confiance et de déployer à grande échelle en toute sécurité et sérénité. 

L’important est de ne pas se précipiter pour appliquer un correctif sous prétexte qu’il est censé apporter une meilleure sécurité. Là encore, l’effet boule de neige est présent. D’autant que cette précaution sera grandement appréciée par vos clients qui y verront un gage d’expertise et de responsabilité. 

La gestion des correctifs demande donc réflexion et analyse. Il ne s’agit pas uniquement de déployer des correctifs mais au contraire de développer toute une stratégie finement élaborée pour agir en toute sécurité.

Dans cet article, nous avons établi 6 bonnes pratiques concernant la gestion des correctifs. Des conseils qui agissent aussi bien en amont qu’en aval du déploiement des correctifs et qui donneront aux MSP toutes les clés pour gérer les parcs informatiques de leurs clients en toute sécurité.