La gestion des correctifs, un élément crucial de l’activité des MSP

La gestion des correctifs (ou “Patch management”) est une étape importante et récurrente dans le cycle de vie d’un parc informatique. Il s’agit de l’ensemble des mises à jour de systèmes d’exploitations ou logiciels, correctifs de bogues et améliorations qui peuvent intervenir au sein de tout système informatique.

Considéré parfois comme une activité chronophage, il est souvent négligé par les entreprises, ce qui les rend malheureusement plus vulnérables et propices aux cyberattaques. 

La gestion des correctifs représente donc une opportunité clé pour les MSP. En effet, il est du ressort des fournisseurs de services gérés, qui disposent d’une véritable expertise informatique pour leurs clients, d’établir une stratégie et de déterminer quand et comment appliquer les différents correctifs, en fonction des besoins effectifs et des risques encourus.

Pourquoi la gestion des correctifs est-elle une étape si cruciale ? Et surtout, comment l’appliquer de manière efficace et stratégique ?

Voici les deux questions auxquelles nos experts Atera vont aujourd’hui répondre. 

Pour accéder à un résumé de ce billet consacré à la gestion des correctifs, cliquez ici. 

1. La gestion des correctifs, une étape fondamentale

• Côté client : 

La gestion des correctifs permet de maintenir à jour et sécurisé l’ensemble des appareils et terminaux d’un parc informatique. 

Mises à jour, corrections de bogues, actualisation générale, la plupart des logiciels et autres systèmes d’exploitation publient très fréquemment des améliorations et updates de leur mode de fonctionnement. La technologie avance vite, il est donc important de suivre la cadence et d’être constamment au fait des évolutions. 

De prime abord, cela peut paraître une étape simple qui ne nécessite pas d’effort particulier. Or, combien de fois avons-nous assisté à ce type de scénario :  Pris par le rythme effréné d’une journée de travail, les utilisateurs reportent une mise à jour par manque de temps ou par simple oubli.

Ou encore, refusent l’actualisation de leur système d’exploitation pour éviter toute interruption d’activité. Avec pour conséquence principale : la vulnérabilité de leur appareil parc informatique en proie à des cyberattaques de plus en plus fréquentes. Ce qui à terme fragilise le parc informatique dans son intégralité.

Dans le même sens, une étude récente publiée par Ponemon Institute a révélé que 60% des failles de sécurité sont dues à des vulnérabilités connues mais non corrigées, les correctifs n’ayant pas été installés à temps. 

Ainsi, un client n’est pas toujours à même de mesurer le degré d’importance de ces mises à jour parfois primordiales. 

En s’entourant d’un MSP pour gérer leur système informatique, les entreprises font le pas vers plus de sécurité et moins de vulnérabilité. 

Avec un fournisseur de services gérés à ses côtés, ce dernier aura comme responsabilité, la supervision informatique de l’ensemble du système informatique et de développer entre autres une stratégie efficace de patch management. Cela implique d’utiliser les outils nécessaires permettant d’automatiser ces tâches (notamment l’outil RMM) mais également d’éviter toute interruption ou gêne dans l’activité de ses clients. 

• Côté MSP :

L’automatisation est au cœur de l’écosystème MSP.  En plus d’offrir de multiples solutions d’organisation, l’automatisation permet de rationaliser le travail des fournisseurs de services gérés et d’améliorer leur productivité. Dans le cadre de la gestion des correctifs, les tâches sont souvent simples.

Il s’agit principalement de programmer les différentes mises à jour en fonction des différents terminaux et appareils d’un système informatique donné. En automatisant ces tâches, le travail des techniciens est soulagé des tâches quelque peu rébarbatives.

Ils peuvent ainsi se concentrer sur la compréhension globale du parc informatique de leurs clients, sur les différentes analyses et rapports à leurs disposition et améliorer leur stratégie d’application des correctifs au fur et à mesure. 

2. La gestion des correctifs, une application stratégique

• Planification et procédures

La gestion des correctifs exige un équilibre entre organisation et rapidité. Il ne s’agit pas simplement d’automatiser des mises à jour de systèmes et logiciels et de les déployer à l’aveugle. Une planification en amont par les MSP est primordiale. 

Plusieurs étapes sont à respecter : 

• Connaître le parc informatique de vos clients : combien d’appareils et de terminaux contient le parc informatique de votre client ? Quels sont les divers systèmes d’exploitation en place ? Combien de logiciels différents sont installés ? De combien de serveurs dispose votre client ? 

Vous devez absolument connaître toutes les réponses à ces questions avant de déployer toute application de correctifs. Vous devez identifier l’ensemble du système informatique dans ses moindres détails.

Pour vous aider, n’hésitez pas d’ailleurs à utiliser l’outil découverte du réseau mis en place par Atera. Une fonction de surveillance très pratique qui identifie tout nouvel équipement connecté sur le parc informatique de votre client et qui permet d’avoir un inventaire complet.

• Déterminer des procédures précises : en fonction des besoins du système informatique de vos clients, vous devez choisir les correctifs à mettre en place. En effet, selon les vulnérabilités des systèmes, toutes les mises à jour ne sont pas forcément recommandées. Par exemple, chez Microsoft, il existe plusieurs mises à jour dites “quality updates” qui sont optionnelles et qui s’apparentent en réalité à du beta-testing. Il peut donc être pertinent pour un fournisseur de services gérés de retarder la mise à jour et d’attendre que les correctifs soient apportés dans une mise à jour “officielle”. 

Pour le reste, il faut mettre en place des procédures d’application standard, selon un rythme prédéfini, un calendrier déterminé par les dates de diffusions de correctifs par les éditeurs de logiciels et des avertissements utilisateurs précis lorsque les correctifs sont déployés. Il faut également mettre en place des procédures d’urgence dans le cas où certains correctifs auraient été oubliés. 

• Assurer un suivi : une fois que les correctifs sont déployés, votre mission en tant que MSP n’est pas terminée. Le patch management c’est aussi assurer un suivi une fois le correctif installé. Il faut vérifier si tout fonctionne correctement, si les améliorations apportées sont effectives et qu’aucun effet secondaire indésirable n’ait été constaté (par exemple, un ralentissement des serveurs après mise à jour, des failles de sécurité sur certains appareils après la mise à jour de certains logiciels etc.)

• L’automatisation, outil d’application des correctifs

La mise en place d’une politique de gestion de correctifs est facilitée par des outils automatisés et indispensables au travail d’un MSP. 

En tête,  l’outil RMM. Outil précieux pour tout fournisseur de services informatiques gérés, il permet d’assurer une gestion et supervision informatique permanente et à distance.  

L’outil RMM développé par Atera permet une automatisation de nombreuses tâches de routine dont celles rattachées à la gestion des correctifs. Vous pouvez choisir quand les mises à jour seront installées pour minimiser les interruptions et laisser le déploiement se faire par l’outil RMM.

A titre d’information, sachez qu’avec notre console, vous pouvez automatiser vos correctifs de logiciels via Chocolatey pour Windows et Homebrew pour Mac. Toutes les applications contenues dans ces gestionnaires (Chrome, Firefox, Dropbox, CCleaner etc.) pourront alors être mises à jour en un seul clic.

Tout ceci vous permet de vous adapter aux conditions de travail de vos clients. Par exemple, vous prévoyez une mise à jour importante des serveurs de votre client. Une mise à jour généralement délicate. L’ensemble des salariés quittent les bureaux entre 19h et 21h. Il est judicieux de programmer la mise à jour dans la nuit afin de ne pas interrompre l’activité de l’entreprise et risquer la perte de données. 

La console RMM vous affichera également l’état d’exécution des patchs afin que vos techniciens puissent suivre le déploiement et intervenir en cas de besoin.

Notre console RMM permet également de configurer des alertes en temps réel. Avec cette procédure, vous pouvez déterminer des seuils d’alertes, suivre des événements en particulier sur certains appareils etc.

Par exemple, vous pouvez suivre le déploiement d’une mise à jour serveur et décider d’être alerté à partir d’un certain niveau de charge ou d’encombrement serveur. De cette façon, vous pourrez contrôler efficacement la mise à jour et intervenir si celle-ci provoque une surcharge menaçant la sécurité du parc informatique de votre client.

L’automatisation permet ainsi d’augmenter la précision des patchs et configurations tout en réduisant le nombre d’erreurs. Une valeur ajoutée pour vos clients et de quoi permettre à vos techniciens de se concentrer sur la stratégie de gestion de correctifs plutôt que les correctifs en eux-mêmes. 

• Quelques bonnes pratiques 

Bien qu’il n’existe pas de stratégie type, la gestion des patchs dépendant exclusivement des besoins de chaque clients, il y a cependant certaines bonnes pratiques largement utilisées dans la grande majorité des cas :

• Agir selon les habitudes de travail de vos clients : on ne le dira jamais assez, priorité à l’activité de l’entreprise. Vos clients ne doivent en aucun cas ressentir « votre présence » durant la mise en application des correctifs. Si vous avez besoin d’agir pendant les heures habituelles de travail, vous devez permettre aux employés de pouvoir différer la mise à jour ou autre correctif sur leur appareil, et laisser priorité à la continuité de leur travail. 

• Distinguer les correctifs : tous les correctifs ne s’appliquent pas de la même manière. Par exemple, les mises à jour d’ordinateurs sont préférables lorsque les machines sont sous tension, là où les serveurs, qui fonctionnent 24h/24, sont plus couramment mis à jour la nuit. De même qu’une restauration de système n’aura pas le même impact sur l’activité qu’une mise à jour logiciel. Distinguer également tout ce qui a attrait aux suppressions automatiques de fichiers temporaires ou d’historique Internet du reste des correctifs. Nous vous recommandons de créer plusieurs profils d’automatisation en fonction des différents critères de gestion de correctifs.

• Refuser des mises à jour : n’hésitez pas à refuser ou retarder des correctifs si vous pensez que ces derniers ne sont pas efficaces pour le système informatique de votre client ou pire, si cela pourrait lui porter préjudice et entraîner des défaillances. En effet, il se peut que votre client ne dispose pas du matériel suffisant ou que certains de ses appareils soient obsolètes et ne puissent supporter les nouvelles mises à jour de tel ou tel logiciel. Il sera alors judicieux de conseiller d’abord à votre client de changer d’appareil, si cela est nécessaire. Un correctif n’est efficace que s’il fonctionne complètement.

• Agir manuellement : l’automatisation des patchs correctifs ne signifie pas que toute la gestion doit être nécessairement automatisée. Certains appareils ou périphériques ont besoin d’un contrôle ou manipulation manuelle. Créez vous un ticket de rappel de vérification ou redémarrage de ces dits appareils afin de ne pas les oublier dans le flux des mises à jour automatiques. 

Vous l’aurez compris, la gestion des correctifs n’est pas une mince affaire. Mais avec une bonne planification et stratégie de départ et accompagné des bons outils d’automatisation, cette étape devient plus fluide et facile à organiser et renforcera la sécurité des parcs informatiques de vos clients. 

Dans cet article nous avons abordé le thème de la gestion de correctifs ou patch management. Élément clé de tout système informatique et garant de sécurité, elle doit également s’accompagner d’une stratégie, d’outils et de bonnes pratiques qui favorisent son application.