Gestion des correctifs de sécurité

Comprendre l’enjeu et le périmètre

Elle réduit la durée d’exposition tout en limitant les régressions qui pourraient interrompre le service.

Couvrir systèmes, applications, bibliothèques, équipements, images et services administrés par des tiers.

Passer à l’action

• Identifier les versions et correctifs pertinents
• Prioriser selon risque et compatibilité
• Déployer puis vérifier le résultat et les exceptions

Reliez chaque mesure à un scénario de risque et à un actif utile. La prévention, la détection, la réaction et la reprise se complètent. Un catalogue d'outils ne suffit pas : précisez qui traite une alerte, en combien de temps et avec quelle autorité.

Responsabilités et moyens

L’exploitation déploie, sécurité priorise, les métiers valident les fenêtres, et les fournisseurs précisent leurs engagements.

Inclure tests, fenêtres, redémarrages, assistance et maintien des systèmes non supportés.

Produire et vérifier

Livrable utile

Un plan de correction, des preuves de déploiement et un registre des exceptions.

Preuve à rechercher

Contrôler la version réellement active après redémarrage ou bascule, puis rejouer les fonctions essentielles.

Indicateur à interpréter

Suivre délai de correction selon criticité, actifs non couverts et exceptions vieillissantes.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Arbitrages et dépendances

Un outil peut indiquer une mise à jour installée alors que l’ancien composant reste utilisé ou exposé.

Le processus dépend de l’inventaire, des versions, des contrats et des capacités de retour arrière.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.