Mettre à jour ses logiciels est la mesure de sécurité la plus rabâchée, et probablement la plus mal appliquée. Pas par négligence : parce que la partie facile, cliquer sur « installer », masque la partie difficile, savoir ce qui tourne réellement dans l’entreprise.
Une PME met à jour ses ordinateurs. Elle oublie presque toujours le routeur installé il y a six ans, l’imprimante réseau, le NAS qui stocke les plans, et le logiciel de gestion qui impose de rester sur une ancienne version de Windows.
Qu’est-ce qu’une faille, en langage clair ?
Un logiciel est un objet fabriqué, et comme tout objet fabriqué, il contient des défauts. Une faille de sécurité (ou vulnérabilité) est un défaut particulier : il permet à quelqu’un d’obtenir du programme un comportement que son concepteur n’avait pas prévu. Lire un fichier auquel il n’a pas droit, exécuter une commande, contourner une demande de mot de passe.
Ces défauts ne sont pas ajoutés par les attaquants. Ils sont là depuis l’origine, parfois depuis des années, et quelqu’un finit par les découvrir. À ce moment, l’éditeur du logiciel écrit une correction et la diffuse : c’est la mise à jour. Elle ne rend pas votre système plus performant, elle rebouche un trou.
D’où un point qui surprend souvent les dirigeants : il n’existe aucune façon de se protéger d’une faille sans installer le correctif. Un antivirus, un pare-feu ou un mot de passe solide ne remplacent pas la réparation, ils ne font que compliquer l’accès au trou resté ouvert.
Pourquoi le délai compte-t-il autant ?
Quand un éditeur publie un correctif, il publie aussi, implicitement, l’existence du défaut qu’il corrige. Les correctifs sont analysés, y compris par des gens mal intentionnés, qui en déduisent précisément ce qui était vulnérable et comment l’exploiter.
À partir de là, la course est lancée. Des programmes automatisés balaient Internet en continu à la recherche d’équipements qui n’ont pas encore été mis à jour. Ils ne visent personne en particulier : ils testent tout ce qui répond, et une PME de six personnes est une cible aussi valable qu’un grand groupe, parfois plus, parce qu’elle mettra plus longtemps à réagir.
Pour les failles les plus exposées, celles qui touchent des équipements directement accessibles depuis Internet, les premières tentatives d'exploitation à grande échelle suivent la publication du correctif de très près. Une mise à jour reportée « au prochain calme » est souvent reportée au-delà de la fenêtre utile. C'est l'argument décisif en faveur de l'automatisation : elle supprime le délai humain.
Activer les mises à jour automatiques sur les postes de travail, les téléphones et les navigateurs prend quelques minutes et règle une bonne partie du problème. C’est la mesure la plus rentable de toute la cybersécurité d’une PME.
Les appareils que tout le monde oublie
Le réflexe « mise à jour » s’applique aux ordinateurs. Il s’arrête là, alors que le réseau d’une PME contient une quantité d’équipements qui exécutent eux aussi des logiciels, sous le nom de micrologiciel ou firmware.
| Équipement | Ce qu’il expose | Ce qui l’empêche d’être mis à jour |
|---|---|---|
| Box ou routeur Internet | Porte d’entrée de tout le réseau | Installé une fois, jamais rouvert |
| NAS, serveur de fichiers | L’intégralité des documents | Interface d’administration peu consultée |
| Imprimante multifonction | Documents scannés, carnet d’adresses, parfois un accès réseau large | Personne ne la considère comme un ordinateur |
| Caméras de surveillance | Images internes, accès distant | Fournies et oubliées par l’installateur |
| Automates, machines connectées | La production elle-même | Peur de casser un équipement en service |
| Téléphones personnels | Courriels et documents professionnels | Matériel privé, hors du contrôle de l’entreprise |
Deux cas méritent une attention particulière. Les caméras de surveillance et les équipements réseau d’entrée de gamme sont régulièrement visés par des attaques automatisées, souvent parce qu’ils conservent leur mot de passe d’origine en plus de leur micrologiciel d’origine. Et les téléphones personnels utilisés au travail échappent complètement à l’inventaire : un appareil qui ne reçoit plus de correctifs et qui lit la boîte mail de la direction est un angle mort sérieux.
Ces équipements sont aussi la porte d’entrée classique d’une compromission plus large, comme le décrivent nos articles sur le rançongiciel et sur la compromission de messagerie.
Que faire quand la mise à jour est impossible ?
Il existe des situations où mettre à jour n’est pas une option. Un logiciel métier qui ne fonctionne que sur une ancienne version de Windows. Une machine de production pilotée par un système que le fabricant ne suit plus. Un outil de comptabilité dont la version récente coûterait une migration complète.
Dans ces cas, la mauvaise réponse est d’attendre en espérant. La bonne réponse porte un nom : l’isolement. Le principe est simple : puisqu’on ne peut pas refermer le trou, on réduit tout ce qui peut l’atteindre et tout ce qu’il peut atteindre.
Concrètement, cela signifie séparer l’équipement du reste du réseau, de sorte qu’un poste infecté ailleurs ne puisse pas l’atteindre. Lui couper l’accès à Internet quand son fonctionnement le permet. Restreindre les comptes autorisés à s’y connecter. Interdire les supports amovibles. Et sauvegarder cet équipement avec le même soin que le reste, selon la règle 3-2-1.
Scénario illustratif. Un atelier de vingt personnes pilote une découpeuse avec un poste sous une version de Windows qui n'est plus suivie. Le fabricant ne certifie pas son logiciel au-delà. Le poste est sur le même réseau que la comptabilité, parce que c'était pratique pour imprimer. Un courriel piégé ouvert au bureau se propage, et la production s'arrête en même temps que la facturation. Le poste obsolète n'était pas le problème : le problème était qu'il partageait le réseau avec tout le reste.
La fin de support, le risque qu’on ne voit pas
Chaque système d’exploitation, chaque logiciel a une date au-delà de laquelle son éditeur cesse de publier des correctifs. C’est la fin de support.
Ce qui rend cette échéance particulière, c’est qu’il ne se passe rien le jour où elle arrive. La machine démarre normalement, les fichiers s’ouvrent, les employés ne remarquent aucune différence. Aucun voyant ne s’allume. Le changement est ailleurs : à partir de cette date, chaque nouvelle faille découverte reste ouverte définitivement sur cet appareil.
L’écart se creuse silencieusement. Un système abandonné depuis deux ans cumule deux ans de vulnérabilités connues, documentées publiquement, et intégrées aux outils d’attaque automatisés. C’est exactement l’inverse d’une panne : la panne se voit et se répare, la fin de support ne se voit pas et ne se répare jamais.
D’où une règle de gestion simple : les dates de fin de support se notent au moment de l’achat, pas au moment où le problème se pose. Un remplacement anticipé se budgète, un remplacement dans l’urgence après un incident se subit.
Organiser tout ça sans informaticien à demeure
La plupart des PME romandes n’ont pas de service informatique interne. Voici une organisation réaliste dans ce contexte.
Automatisez tout ce qui peut l’être. Postes de travail, téléphones, navigateurs, suites bureautiques : mises à jour automatiques activées, sans exception. Ce seul point couvre l’essentiel du volume.
Tenez une liste écrite de vos équipements. Un simple tableau suffit : chaque appareil connecté, qui l’a installé, comment on accède à son administration, et sa date de fin de support si elle est connue. Ce document n’existe presque jamais dans une PME, et c’est lui qui manque le jour de l’incident.
Fixez un rendez-vous trimestriel. Une heure, une fois par trimestre, pour passer en revue ce qui n’est pas automatisé : routeur, NAS, imprimantes, caméras, logiciels métier. Mettez-le au calendrier, sinon il n’aura pas lieu.
Écrivez la mise à jour dans vos contrats. Si un prestataire installe ou maintient un équipement, la question « qui applique les correctifs, et à quelle fréquence ? » doit avoir une réponse écrite. Beaucoup d’appareils ne sont mis à jour par personne parce que chacun pense que c’est l’autre. Le sujet rejoint celui des attaques par les fournisseurs.
Activer les mises à jour automatiques est à la portée de tout le monde. Savoir ce qui tourne réellement dans une entreprise ne l'est pas. Quels appareils sont visibles depuis Internet, quelles versions sont réellement installées, quels systèmes ont dépassé leur fin de support, quel logiciel bloque le reste du parc : cela demande un inventaire technique qu'aucun dirigeant ne peut établir de mémoire. C'est précisément ce qu'un audit met au jour, et la liste comporte presque toujours des appareils que personne ne se rappelait avoir installés.
Ces mesures forment un socle solide, elles ne remplacent pas un état des lieux de votre situation. Pour situer votre niveau actuel, le check-up cyber comporte plusieurs questions sur les mises à jour et la fin de support, et l’outil exposition publique montre ce que vos équipements laissent voir depuis Internet. Les autres priorités sont regroupées dans le pilier Bonnes pratiques, en particulier les 10 mesures essentielles.