Mises à jour logicielles : le vrai coût des correctifs reportés

Le rapport de Verizon sur les violations de données 2026 livre trois indicateurs que toute direction devrait connaître :

• 31 % La part des violations analysées qui ont commencé par l'exploitation d'une faille logicielle. C'est désormais la porte d'entrée la plus fréquente, devant les identifiants volés.
• 26 % La proportion des failles critiques du catalogue des vulnérabilités exploitées de la CISA, l'agence américaine de cybersécurité, entièrement corrigées en 2025.
• 43 jours Le délai médian pour achever ces corrections, contre 32 l'année précédente. Les attaquants n'attendent pas aussi longtemps.

Chaque correctif publié par un éditeur est aussi l'annonce publique que la faille existe. À partir de là, qui n'a pas mis à jour est une cible identifiée.

Pour les décideurs : le catalogue de la CISA est, en pratique, la liste des serrures que les cambrioleurs savent déjà ouvrir. L'agence elle-même recommande à toutes les organisations de le suivre et de corriger en priorité ce qui y figure. Un équipement de l'entreprise sur cette liste, c'est un sujet de cette semaine, pas du prochain trimestre.

Simulation : le prix d'une journée sans systèmes

Hypothèses illustratives, et non données client : 30 postes à l'arrêt pendant une journée ouvrée de 8 heures après une attaque entrée par une faille connue, avec un coût moyen de 20 € par heure de travail. Rien qu'en temps perdu, cela fait 30 × 8 × 20 = 4 800 €, sans compter la facturation interrompue, la récupération des données, les heures techniques et les clients mécontents. Une fenêtre de maintenance mensuelle en coûte une fraction.

La distinction qui compte est entre les correctifs de sécurité, qui comblent des failles, et les mises à jour fonctionnelles, qui modifient le comportement des logiciels.

Peuvent attendre, avec discernement : les mises à jour fonctionnelles du système jusqu'à leur validation par un groupe pilote, les nouvelles versions du logiciel de gestion jusqu'à ce que l'éditeur confirme la compatibilité, et les pilotes ou firmwares sans composante de sécurité. Attendre n'est pas oublier: chaque exception a une date et un responsable.

La politique tient en une page et fixe quatre rôles :

1. Direction: approuve les délais et la fenêtre de maintenance. C'est une décision de gestion du risque, pas un détail technique.
2. Équipe IT ou partenaire managé: applique les correctifs et consigne quoi, quand et avec quel résultat.
3. Éditeurs de logiciels: valident la compatibilité avant les changements de version.
4. Utilisateurs: redémarrent quand on le leur demande ; un redémarrage reporté est un correctif qui n'est pas passé.

C'est la logique de la maintenance préventive face à la maintenance corrective : planifier coûte toujours moins cher que réagir.

Microsoft publie les correctifs de sécurité de Windows le deuxième mardi de chaque mois et diffuse des correctifs exceptionnels lorsque la situation l'exige. Il en découle un cycle prévisible :

• Première semaine Application à un groupe pilote de 3 à 5 ordinateurs.
• Deuxième semaine Si le pilote ne pose pas de problème, application au reste du parc, en dehors des heures de forte activité.
• Serveurs Fenêtre mensuelle fixe, toujours après avoir vérifié la sauvegarde.
• Urgences Les failles exploitées sur le pare-feu ou le VPN se traitent le jour même, sans attendre la fenêtre.

Il y a aussi des équipements qui ne reçoivent plus de correctifs : Windows 10 a perdu son support le 14 octobre 2025. S'il en reste dans l'entreprise, voyez comment traiter les postes sous Windows 10. Le point de départ est un inventaire fiable, comme celui de la checklist d'audit du parc informatique.

Parce qu'on ne corrige pas ce qu'on ne voit pas. Boost Portugal (12 marques touristiques opérant à Lisbonne, Porto, dans le Douro et à Madrid) a conclu avec DataRoad un contrat annuel au forfait mensuel avec supervision continue de tous ses systèmes d'information : surveillance à distance, alertes et rapports de disponibilité. Le même contrat couvre les sauvegardes, le standard téléphonique, la gestion du VPN et la redondance internet avec basculement automatique vers la seconde connexion.

Avec tout sous supervision, l'entreprise sait quels équipements elle possède, dans quelle version se trouve chacun et lesquels sont restés en arrière. La différence avec le fait d'attendre la panne est expliquée dans supervision proactive et support réactif, côte à côte.

DataRoad - IT Services and Consulting analyse le pare-feu, l'accès à distance, les serveurs et un échantillon de postes, croise le résultat avec les failles connues et remet la liste des priorités. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.

La gestion des mises à jour est incluse dans les formules IT Unlimited : Essential (à partir de 395 €/mois HT) offre un support à distance et téléphonique ; Premium (à partir de 750 €/mois HT) ajoute une assistance sur site illimitée, déplacements inclus. La surveillance continue relève du service NOC et supervision.

Demandez une proposition sans engagement : +351 211 459 950 * · sales@dataroad.pt. Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique.

*Appel vers un fixe portugais.

• Verizon : résumé exécutif du DBIR 2026
• CISA : catalogue des vulnérabilités exploitées
• Microsoft Learn : calendrier des mises à jour de Windows
• Microsoft Learn : cycle de vie de Windows 10