La gestion des correctifs consiste à appliquer les mises à jour publiées par les fournisseurs pour combler les failles de sécurité et optimiser les performances des logiciels et des appareils. La gestion des correctifs est parfois considérée comme une partie de la gestion des vulnérabilités.

En pratique, la gestion des correctifs consiste à trouver un équilibre entre la cybersécurité et les besoins opérationnels de l'entreprise. Les pirates peuvent exploiter les vulnérabilités de l'environnement informatique d'une entreprise pour lancer des cyberattaques et diffuser des logiciels malveillants. Les fournisseurs publient des mises à jour, appelées « correctifs », pour corriger ces vulnérabilités. Cependant, le processus d'application des correctifs peut interrompre les workflows et créer des temps d'indisponibilité pour l'entreprise. La gestion des correctifs vise à réduire ces temps d'indisponibilité en rationalisant le déploiement des correctifs. 

La gestion des correctifs crée un processus centralisé pour l'application de nouveaux correctifs aux actifs informatiques. Ces correctifs peuvent améliorer la sécurité, les performances et la productivité.

Mises à jour de sécurité

Les correctifs de sécurité traitent de risques de sécurité spécifiques, souvent en corrigeant une vulnérabilité particulière.

Les pirates informatiques s'en prennent souvent aux actifs non corrigés, de sorte que l'absence de mises à jour de sécurité peut exposer une entreprise à des failles de sécurité. Par exemple, le rançongiciel WannaCry de 2017 s'est propagé via une vulnérabilité de Microsoft Windows pour laquelle un correctif avait été publié. Les cybercriminels ont attaqué les réseaux sur lesquels les administrateurs avaient omis d'appliquer le correctif, infectant plus de 200 000 ordinateurs dans 150 pays. 

Mises à jour de fonctionnalités

Certains correctifs apportent de nouvelles fonctionnalités aux applications et aux appareils. Ces mises à jour peuvent améliorer les performances des actifs et la productivité des utilisateurs. 

Corrections de bogues

Les corrections de bogues corrigent des problèmes mineurs liés au matériel ou aux logiciels. En général, ces anomalies n'entraînent pas de problèmes de sécurité mais affectent les performances des actifs.

Réduction des temps d'indisponibilité

La plupart des entreprises estiment qu'il n'est pas pratique de télécharger et d'appliquer chaque correctif à chaque actif dès qu'il est disponible. En effet, l'application de correctifs nécessite un temps d'indisponibilité. Les utilisateurs doivent arrêter de travailler, se déconnecter et redémarrer les principaux systèmes pour appliquer les correctifs.

Un processus formel de gestion des correctifs permet aux organisations de hiérarchiser les mises à jour critiques. L'entreprise peut bénéficier des avantages de ces correctifs en perturbant le moins possible les workflows des employés.

Conformité réglementaire

En vertu de réglementations telles que le règlement général sur la protection des données (RGPD), le Health Insurance Portability and Accountability Act (HIPAA) et la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS), les entreprises doivent suivre certaines pratiques de cybersécurité. La gestion des correctifs peut aider les organisations à maintenir les systèmes critiques conformes à ces mandats.

La plupart des entreprises traitent la gestion des correctifs comme un cycle de vie continu. En effet, les fournisseurs diffusent régulièrement de nouveaux correctifs. En outre, les besoins d'une entreprise en matière de correctifs peuvent changer en fonction de l'évolution de son environnement informatique.

Pour définir les meilleures pratiques de gestion des correctifs que les administrateurs et les utilisateurs finaux doivent suivre tout au long du cycle de vie, les entreprises rédigent des politiques officielles de gestion des correctifs.

Les étapes du cycle de vie de la gestion des correctifs incluent :

1. Gestion des actifs

Pour garder un œil sur les ressources informatiques, les équipes chargées de l'informatique et de la sécurité créent des inventaires des actifs du réseau tels que les applications tierces, les systèmes d'exploitation, les appareils mobiles et les points d'extrémité distants et sur site.

Les équipes informatiques peuvent également indiquer les versions de matériel et de logiciel que les employés peuvent utiliser. Cette normalisation des actifs peut contribuer à simplifier le processus de correction en réduisant le nombre de types d'actifs différents sur le réseau. La normalisation peut également empêcher les employés d'utiliser des applications et des appareils dangereux, obsolètes ou incompatibles.

2. Surveillance des correctifs

Une fois que les équipes informatiques et de sécurité disposent d'un inventaire complet des actifs, elles peuvent surveiller les correctifs disponibles, suivre l'état des correctifs des actifs et identifier les actifs auxquels il manque des correctifs.

3. Priorisation des correctifs

Certains correctifs sont plus importants que d'autres, surtout lorsqu'il s'agit de correctifs de sécurité. Selon Gartner, 19 093 nouvelles vulnérabilités ont été signalées en 2021, mais les cybercriminels n'en ont exploité que 1 554 dans la nature (lien externe à ibm.com). 

Les équipes informatiques et de sécurité utilisent des ressources telles que les flux de renseignements sur les menaces pour identifier les vulnérabilités les plus critiques de leurs systèmes. Les correctifs pour ces vulnérabilités sont prioritaires par rapport aux mises à jour moins essentielles.

L'établissement de priorités est l'un des principaux moyens par lesquels les politiques de gestion des correctifs visent à réduire les temps d'indisponibilité. En déployant les correctifs critiques en premier, les équipes informatiques et de sécurité peuvent protéger le réseau tout en réduisant le temps d'inactivité des ressources pour l'application des correctifs.

4. Tests de correctifs

Les nouveaux correctifs peuvent parfois entraîner des problèmes, perturber les intégrations ou ne pas corriger les vulnérabilités visées. Exceptionnellement, les pirates peuvent même détourner les correctifs. En 2021, des cybercriminels ont utilisé une faille dans la plateforme VSA de Kaseya (lien externe à ibm.com) pour diffuser un rançongiciel aux clients sous couvert d'une mise à jour logicielle légitime. 

En testant les correctifs avant de les installer, les équipes informatiques et de sécurité visent à détecter et à corriger ces problèmes avant qu'ils n'affectent l'ensemble du réseau.

5. Déploiement de correctifs

Le « déploiement de correctifs » désigne à la fois le moment et la manière dont les correctifs sont déployés.

Les fenêtres de correctifs sont généralement définies à des moments où les employé sont peu nombreux ou absents. La publication des correctifs par les fournisseurs peut également influencer les calendriers d'application des correctifs. Par exemple, Microsoft publie généralement des correctifs le mardi, un jour connu sous le nom de « Patch Tuesday » par certains professionnels de l'informatique. 

Les équipes informatiques et de la sécurité peuvent appliquer des correctifs à des lots d'actifs plutôt que de les déployer sur l'ensemble du réseau en une seule fois. De cette façon, certains employés peuvent continuer à travailler pendant que d'autres se déconnectent pour appliquer les correctifs. L'application de correctifs en groupe offre également une dernière chance de détecter les problèmes avant qu'ils n'atteignent l'ensemble du réseau. 

Le déploiement des correctifs peut également inclure des plans de surveillance des actifs après l'application des correctifs et l'annulation de toute modification causant des problèmes imprévus. 

6. Documentation sur les correctifs

Pour garantir la conformité des correctifs, les équipes informatiques et de sécurité documentent le processus d'application des correctifs, y compris les résultats des tests, les résultats du déploiement et les actifs qui doivent encore être corrigés. Cette documentation permet de tenir à jour l'inventaire des actifs et de prouver la conformité aux réglementations en matière de cybersécurité en cas d'audit.    

La gestion des correctifs étant un cycle de vie complexe, les organisations cherchent souvent des moyens de rationaliser les correctifs. Certaines entreprises sous-traitent entièrement le processus à des fournisseurs de services gérés (MSP). Les entreprises qui gèrent les correctifs en interne utilisent un logiciel de gestion des correctifs pour automatiser une grande partie du processus.

La plupart des logiciels de gestion des correctifs s'intègrent aux systèmes d'exploitation courants comme Windows, Mac et Linux. Le logiciel surveille les actifs pour détecter les correctifs manquants et disponibles. Si des correctifs sont disponibles, les solutions de gestion des correctifs peuvent les appliquer automatiquement en temps réel ou selon un calendrier défini. Pour économiser la bande passante, de nombreuses solutions téléchargent les correctifs et les distribuent aux ressources du réseau à partir d'un serveur central. En cas de dysfonctionnement d'un correctif, certains logiciels de gestion des correctifs peuvent également automatiser les tests, la documentation et l'annulation de système.

Les outils de gestion des correctifs peuvent être des logiciels autonomes, mais ils sont souvent fournis dans le cadre d'une solution de cybersécurité plus large. De nombreuses solutions de gestion des vulnérabilités et de la surface d'attaque offrent des fonctions de gestion des correctifs, comme l'inventaire des actifs et le déploiement automatisé des correctifs. De nombreuses solutions de détection et réponse des points de terminaison (EDR)  peuvent également installer automatiquement des correctifs. Certaines organisations utilisent des plateformes de gestion unifiée des points de terminaison (UEM) pour appliquer des correctifs aux appareils sur site et à distance.

Grâce à la gestion automatisée des correctifs, les organisations ne doivent plus surveiller, approuver et appliquer manuellement chaque correctif. Cela permet de réduire le nombre de correctifs critiques non appliqués parce que les utilisateurs ne trouvent pas le moment opportun pour les installer.