Gestion des correctifs
patch management · gestion des mises à jour · patching · correctifs de sécurité · gestion des vulnérabilités · mises à jour de sécurité
Processus qui recense les logiciels, suit les correctifs de sécurité publiés et les déploie dans des délais adaptés au risque, sans casser la production.
En pratique
Tout part d’un inventaire à jour : on ne corrige pas ce qu’on ignore posséder. Viennent ensuite la veille et la priorisation selon la gravité (CVSS), la probabilité d’exploitation (EPSS) et l’exploitation avérée (catalogue KEV). Les équipements exposés à Internet (VPN, pare-feu, messagerie) passent en premier, parfois en urgence. Les correctifs sont testés sur un échantillon, déployés par vagues, puis le résultat est vérifié. Le guide NIST SP 800-40 Rev. 4 présente cette discipline comme de la maintenance préventive.
En mars 2017, Equifax a reçu l’alerte sur une faille d’Apache Struts et demandé à ses équipes de corriger sous 48 heures. Un portail est pourtant resté vulnérable pendant des mois : les attaquants y sont entrés et ont dérobé les données d’environ 147 millions de personnes. L’accord conclu avec les autorités américaines s’élève à au moins 575 millions de dollars.
