Patch Management

SLA de patching — standards de délai selon la sévérité

Les organisations matures définissent des SLAs (Service Level Agreements) de patching selon la sévérité des vulnérabilités. Standards courants : Critical (CVSS 9-10, exploitée activement — CISA KEV) : 24-72 heures. High (CVSS 7-8.9) : 7-14 jours. Medium (CVSS 4-6.9) : 30 jours. Low (CVSS < 4) : 90 jours. Ces SLAs doivent être documentés, approuvés par la direction, et mesurés via des indicateurs de conformité (% de vulnérabilités patchées dans le délai SLA par sévérité). Les assureurs cyber demandent de plus en plus ces métriques lors des souscriptions. ISO 27001 A.8.8 exige la gestion des vulnérabilités techniques avec des délais de remédiation définis. Les organisations qui ne respectent pas leurs propres SLAs risquent des problèmes de conformité et d'assurabilité.

Patching des systèmes legacy — contraintes opérationnelles

Le patching des systèmes legacy (anciens systèmes industriels, équipements médicaux, OS hors-support) pose des défis particuliers. Systèmes sous Windows XP/7 (hors support) : Microsoft ne publie plus de patches — sauf exceptions payantes (Extended Security Updates pour XP/7 en environnements critiques). Systèmes OT/ICS (automates, SCADA) : les patches peuvent interrompre des processus industriels continus, les équipementiers imposent parfois une validation avant patching qui prend des mois. Systèmes certifiés (médical, aéronautique) : les certifications sont parfois liées à une version logicielle spécifique — un patch invalidant la certification nécessite une re-certification. Mesures compensatoires pour les systèmes non patchables : isolation réseau maximale (VLAN dédié, pas d'accès Internet), systèmes de détection d'intrusion (IDS/IPS) compensant les vulnérabilités connues, surveillance renforcée des journaux, et revue régulière du risque résiduel accepté.

Vulnerability Management Program — au-delà du patching

Un programme de gestion des vulnérabilités (VMP — Vulnerability Management Program) est plus large que le simple patching. Il englobe : la découverte continue des actifs (asset inventory automatisé), les scans de vulnérabilités réguliers (hebdomadaires pour les actifs critiques, mensuels pour les actifs standard), la gestion des exceptions (pour les vulnérabilités qui ne peuvent pas être patchées — documentation du risque accepté, mesures compensatoires, revue périodique), le patching des applications tierces (navigateurs, Java, Adobe, etc. — aussi critique que les patches OS), les CVEs zero-day (surveillance des nouveaux CVEs et déploiement de mesures d'atténuation même avant le patch officiel), et les métriques de programme (Mean Time to Remediate par sévérité, pourcentage de conformité SLA). CISA KEV (Known Exploited Vulnerabilities Catalog) est la référence pour identifier les vulnérabilités à traiter en priorité absolue.