Comment améliorer la protection informatique de son entreprise grâce au Patch Management ?

Patch Management : les principes d’une sécurité bien ordonnée

Pour beaucoup d’entreprises, la crise sanitaire de Covid-19 a marqué un tournant. Autant en matière d’organisation du travail que de gestion de la sécurité informatique, il y aura un avant et un après ; le télétravail et le confinement ayant favorisé une augmentation remarquable du nombre de cyberattaques.

À ce titre, un rapport émis par Hiscox⁽¹⁾ en 2021 sur la gestion des cyberattaques nous montre que la proportion d’entreprises françaises touchées est passée de 34 % à 50 %, mais également que les entreprises attaquées le sont de plus en plus régulièrement.

Toutefois, le rapport met aussi en avant des données prometteuses : les entreprises se sont mobilisées et ont consacré près de 21% de leur budget informatique à la sécurité des systèmes (un bond de 63%) ; aussi, les entreprises jugées « expertes » en la matière sont aussi les plus résilientes en cas d’attaque, prouvant l’efficacité des moyens mis en place par les DSI bien préparées.

Dans cet article, nous explorons l’une des méthodes les plus efficaces pour identifier et résoudre les failles de sécurité sur l’ensemble du parc informatique (ordinateurs, réseaux, logiciels, applications, systèmes d’exploitation, etc.) : le Patch Management.

Qu’est-ce que le Patch Management, au juste ?

Le Patch Management n’est pas une innovation exclusive et encore moins une technologie révolutionnaire ; il s’agit au contraire d’une méthode de gestion des systèmes d’information et des applications qui garantit l’harmonisation des mises à jour sur l’ensemble des ordinateurs et machines.

Le Patch Management repose donc essentiellement sur une gestion efficace et fluide des correctifs, qui sont le plus souvent la source des failles rencontrées par les entreprises. Négliger ces correctifs, ou ne pas les appliquer rapidement sur l’ensemble des machines, peut en effet affaiblir le niveau de défense : en effet, les mises à jour proposées rendues disponibles par les éditeurs de logiciels sont là pour résoudre des bugs et combler les failles de sécurité préalablement identifiées.

L’idée est donc de protéger son parc informatique de façon méthodique et progressive, en effectuant rapidement des modifications d’ordinaire très chronophages.

Un objectif ambitieux pour de nombreuses entreprises dont le parc se déploie sur plusieurs sites – en France comme à l’étranger – ce qui peut complexifier l’architecture réseau et présenter des failles plus évidentes.

Patch Management : une méthode synonyme de productivité et de conformité

Avec des demandes de rançon qui peuvent dépasser les 10 millions d’euros⁽²⁾, les rançongiciels (« ransomware ») sont devenus l’une des principales menaces pour les entreprises ; pourtant, l’aspect économique est-il le seul avantage présenté par le Patch Management ?

Pas du tout ! Espionnage industriel, productivité des équipes, conformité du parc aux normes juridiques… Le Patch Management a plus d’une conséquence positive pour l’entreprise, car il ne s’agit pas seulement de faire des mises à jour.

En passant en revue l’ensemble des systèmes d’information – ce qui implique une connaissance poussée des ordinateurs et du réseau – et en cartographiant les différentes faiblesses, les DSI sont à même d’assurer un fonctionnement optimal à long terme et d’assurer la productivité des employés au quotidien:

1. Fluidité : grâce au Patch Management, vous êtes assurés d’utiliser la dernière version d’un logiciel, ce qui lui permet de fonctionner de manière fluide et rapide.

2. Compatibilité & modernité : les mises à jour apportent avec elles les dernières fonctionnalités développées par les éditeurs de logiciels : si vous travaillez sur une version ancienne, attention aux problèmes de compatibilité !

3. Simplicité : la patch management vous permet de gérer l’ensemble du parc informatique d’une seule et même interface : définissez quelles applications ou logiciels peuvent être téléchargés et utilisés, bloquez la possibilité d’utiliser des clés USB ou des périphériques externes, ou bien l’accès à certains sites Internet… depuis un endroit unique.

4. Conformité : en maintenant un niveau de protection optimal, les entreprises assurent leur propre « IT compliance » (ou conformité informatique) et respectent des normes juridiques telles que le RGPD qui prévoient des pénalisations financières (entre 2% et 4% du chiffres d’affaires annuel, selon l’article 83) en cas de non-conformité.

Des systèmes d’exploitation résilients

Devant les difficultés posées par le déploiement de mises à jour importantes et le besoin de processus plus simples, les systèmes d’exploitation évoluent pour prendre en charge eux-mêmes les mises à jour.

Chrome OS propose, avec VM Manager (qui comprend les fonctionnalités OS Patch Management, OS Inventory Management, OS Configuration Management), une suite applicative complète permettant de gérer de grands parcs virtuels exécutant Windows et Linux sur Compute Engine. De la même façon, Windows a conçu Windows AutoPilot pour configurer et déployer plus rapidement de nouvelles machines grâce au Cloud, et donc sans intervention humaine. Ces systèmes allient donc sécurité et rapidité, supprimant par là même de nombreux tracas informatiques.

De plus, certains ordinateurs sont équipés de composants spécialement conçus pour augmenter la sécurité informatique de l’utilisateur. C’est le cas de la puce TPM 2.0 intégrée aux ordinateurs ASUS Business, qui possède un niveau de cryptage plus élevé et intégré au hardware. Les fichiers et les dossiers, moins sensibles aux attaques extérieures, ne seront pas dévoilés en cas de vol du disque dur ; un paramètre important, car inhérent à la mise à jour Windows 11. 

Sources :

⁽¹⁾ Hiscox, Cyber-résilience : Ne jouez pas l’avenir de votre entreprise aux dés !, https://www.hiscox.fr/courtage/sites/courtage/files/documents/21486%20-%20Hiscox%20Cyber%20Readiness%20Report%202021%20-%20France.pdf

⁽²⁾ Le Nouvel Obs, Cette violente cyberattaque qui paralyse Bouygues Construction depuis deux semaines, https://www.nouvelobs.com/economie/20200212.OBS24766/cette-violente-cyberattaque-qui-paralyse-bouygues-construction-depuis-deux-semaines.html