Politique Gestion Correctifs Vulnérabilités Patch

Processus de gestion des correctifs

Un processus de patch management mature comprend : (1) Inventaire des actifs — liste exhaustive de tous les systèmes, applications, OS, middlewares et leur version (CMDB — Configuration Management Database ou outil de découverte automatique comme Qualys VMDR, Tenable.io, Rapid7 InsightVM) ; (2) Découverte des vulnérabilités — scan de vulnérabilités régulier (hebdomadaire pour les systèmes exposés, mensuel pour les systèmes internes) corrélé avec les CVE publiées ; (3) Évaluation et priorisation — scoring basé sur CVSS + contexte (exposition Internet, données traitées) + EPSS + CISA KEV ; (4) Test des correctifs — déploiement sur un environnement de pré-production avant production (pour éviter les régressions applicatives) ; (5) Déploiement — déploiement automatisé sur les systèmes standardisés (WSUS/SCCM pour Windows, Ansible/Chef/Puppet pour Linux, Mobile Device Management pour les mobiles) ; (6) Vérification — scan post-patch pour confirmer la remédiation effective des vulnérabilités ciblées ; (7) Reporting — métriques de couverture et de délai de patch pour suivi de performance.

Des outils de déploiement automatisé des correctifs : WSUS (Windows Server Update Services) + SCCM/Intune (Microsoft), Red Hat Satellite (RHEL), Ansible (multi-OS, multi-applications), Ivanti Patch Management, Tanium Patch. Le déploiement automatisé (auto-patching) en production reste risqué sans test préalable — une bonne pratique est l'auto-patching en pré-production (pour les correctifs de sécurité critiques uniquement) avec déploiement en production après validation.

Gestion des vulnérabilités zero-day

Une vulnérabilité zero-day est une vulnérabilité connue des attaquants mais pour laquelle aucun correctif n'est disponible. La réponse à un zero-day exploité activement nécessite des mesures immédiates avant la disponibilité du patch : désactivation temporaire de la fonctionnalité vulnérable si possible, application de mitigations ou de workarounds publiés par l'éditeur (ex. : désactivation d'un module, modification de configuration), déploiement de règles IPS/WAF pour détecter et bloquer les tentatives d'exploitation, surveillance renforcée des systèmes affectés, et isolation des systèmes les plus exposés si le risque est critique.

Le suivi des zero-days actifs est facilité par les sources d'information spécialisées : ANSSI CERT-FR (alertes et avis de sécurité), CISA KEV (Known Exploited Vulnerabilities — list of actively exploited vulnerabilities requiring urgent action), CVE Trends (tracking des CVE les plus discutées dans la communauté de sécurité). Des équipes de sécurité abonnées aux flux d'intelligence sur les menaces (TI) reçoivent des alertes précoces sur les zero-days en cours d'exploitation.

Patch management et conformité

PCI-DSS v4.0 Requirement 6.3.3 impose que tous les composants logiciels du CDE soient protégés contre les vulnérabilités connues en installant les patches de sécurité appropriés dans un délai d'un mois pour les patches « critiques » (définis par les fournisseurs). ISO 27002:2022 contrôle 8.8 (gestion des vulnérabilités techniques) définit les exigences de patch management : information rapide sur les vulnérabilités pertinentes, évaluation de l'exposition, déploiement dans des délais appropriés, et documentation.

NIS2 (article 21) exige des entités essentielles et importantes la gestion des vulnérabilités et des divulgations (incluant le patch management). La responsabilité des organes de direction sur la cybersécurité (NIS2 article 20) implique que les délais excessifs de déploiement des correctifs, exposant l'organisation à des incidents évitables, peuvent engager la responsabilité de la direction. Des tableaux de bord de patch compliance (taux de systèmes patchés dans les délais SLA) permettent au RSSI de rendre compte à la direction de la qualité du patch management.