Actualités : pourquoi “ plus tard je ferai ça ” coûte cher

7 min de lecture · DataRoad

Les mises à jour informatiques Les retards sont aujourd'hui l'une des manières les moins coûteuses pour un attaquant d'entrer dans une entreprise. La réponse directe : les correctifs de sécurité pour le pare-feu, l'accès à distance, le système d'exploitation et le navigateur doivent être appliqués dans des jours, pas des mois. Le reste peut — et doit — suivre un calendrier avec des tests. Ce qui ne peut pas se faire, c'est compter sur quelqu'un qui “ a le temps ”.

Le bouton “ m’en souvenir plus tard ” semble inoffensif. Multiplié par 40 ordinateurs, trois serveurs et un pare-feu que personne ne met à jour depuis son installation, c’est une porte ouverte avec une date bien précise.

Pourquoi “ après je fais ” coûte cher

Le rapport sur les violations de données de Verizon de 2026 présente trois chiffres que tout administrateur devrait connaître :

• 31% Parmi les violations analysées, l’exploitation d’une faille logicielle a été la voie d’entrée la plus courante, devant l’utilisation de données de connexion volées.
• Seul 26% les failles critiques de la liste des vulnérabilités exploitées par la CISA (l’agence américaine de cybersécurité) ont été entièrement corrigées en 2025.
• Le temps moyen pour les réparer complètement est passé à 43 jours (il y avait 32 personnes l'année précédente).

Lorsque un fabricant publie une correction, il annonce également au monde que cette faille existe. À partir de ce moment-là, toute personne qui n'a pas mis à jour ses logiciels devient un objet connu.

Exemple : combien coûte une journée de travail interrompue

Exemple (hypothèses illustratives, pas des données d’un client) : une entreprise avec 30 postes de travail tombe sans systèmes pendant une journée de travail de 8 heures en raison d’une attaque qui a pénétré par une faille à réparer. Si le coût moyen d’une heure de travail est de 20 euros, le temps perdu coûte seulement 30 × 8 × 20 = 4 800 euros — avant de compter les factures bloquées, la récupération des données, les heures de techniciens et les clients mécontents. La fenêtre de maintenance mensuelle qui aurait évité le problème coûte une fraction de cela.

Qu'il faut actualiser dès maintenant — et ce que l'on peut attendre

Tous les mises à jour ne sont pas identiques. La règle pratique est de les séparer. Corrections de sécurité (réparer les défauts) de Mise à jour des fonctionnalités (ils apportent des nouveautés et des changements).

Qu’on peut (à titre indicatif) s’attendre à voir

• Mises à jour de fonctionnalités du système d’exploitation, jusqu’à ce qu’elles soient testées dans un groupe pilote.
• Nouveaux versions du logiciel de gestion, jusqu'à ce que le fournisseur confirme la compatibilité.
• Controllers et firmware sans correctifs de sécurité.

“ Espérer ” n’est pas “ oublier ” : chaque exception a une date et un responsable.

Qui décide — et qui exécute

Une politique d'actualisations se résume sur une seule page et répond à quatre questions :

1. L'administration approuve les délais et la fenêtre de maintenance. C’est une décision risquée, non technique.
2. Le IT exécute et enregistre : ce qui a été mis à jour, quand et avec quel résultat.
3. Les fournisseurs de logiciels Ils confirment la compatibilité avant les versions majeures.
4. Les utilisateurs Ils redémarreront lorsque cela sera demandé. Un redémarrage reporté est une correction à appliquer.

Cette politique fait partie d'une logique de maintenance préventiveIl est beaucoup moins cher d’agir en prévision que de réagir en situation d’urgence.

La fenêtre de maintenance, en particulier

Microsoft publie les correctifs de sécurité mensuels de Windows le deuxième mardi de chaque mois, et lance des correctifs extraordinaires lorsque des circonstances exceptionnelles le nécessitent. Cela permet un calendrier simple :

• Semaine 1 après la publication — des corrections appliquées à un groupe pilote de 3 à 5 ordinateurs.
• Semaine 2 — si rien n'a échoué, application à l'ensemble de l'entreprise, en dehors de l'heure de travail la plus intense.
• Serveurs — dans une fenêtre fixe mensuelle, toujours avec un backup vérifié préalablement.
• Urgences — Les failles exploitées dans le pare-feu ou la VPN n’attendent pas la fenêtre : elles sont corrigées le jour même.

Et il existe des équipements qui ne bénéficient plus de mises à jour. Windows 10 ne sera plus compatible le 14 octobre 2025 : si vous en avez encore dans votre entreprise, lisez Que faire à la fin du support de Windows 10. Un inventaire actualisé — comme celui de notre entreprise liste de contrôle d'audit du parc informatique — c’est le point de départ.

Un cas réel : surveiller pour éviter de devoir deviner

A Booster le Portugal, entreprise de tourisme avec 12 marques et activité à Lisbonne, Porto, Douro et Madrid, a conclu un contrat annuel avec DataRoad pour une provision mensuelle comprenant une surveillance continue de tous ses systèmes informatiques, avec une surveillance à distance, des alertes et des rapports de disponibilité. Le contrat couvre également les sauvegardes, la centrale téléphonique, la gestion de VPN et la redondance Internet avec passage automatique vers la deuxième connexion.

Le message à retenir concernant les mises à jour est simple : ne mettez à jour ce qui n’est pas visible. Avec les systèmes surveillés, on sait qu’il existe des équipements, dans quelles versions ils sont et lesquels sont obsolètes. La différence entre cette approche et l’attendre que quelque chose tombe en panne est expliquée dans Suivi proactif vs support réactif.

Foire aux questions

Les mises à jour automatiques ne sont pas disponibles ?

Pour le navigateur et les applications bureautiques, ils arrivent presque toujours. Pour la sécurité réseau, la VPN et les serveurs, non : ils ont besoin de quelqu'un qui surveille les mises à jour des fabricants, planifie l'intervention et confirme que tout est redevenu opérationnel.

Et si une mise à jour gâche quelque chose ?

C’est pour ça que le groupe pilote et le système de sauvegarde sont utiles avant de mettre à jour les serveurs. Si quelque chose tombe en panne, cela ne touche que quelques ordinateurs et il existe des moyens de revenir en arrière. Le risque de ne pas mettre à jour est en règle générale beaucoup plus grand.

Pourquoi la sécurité de votre pare-feu et votre VPN ont-ils la priorité maximale ?

C’est parce qu’elles sont orientées vers Internet. Toute personne du monde peut essayer de s’y connecter, et les défauts de ces appareils sont détectés automatiquement peu après leur publication.

Que dois-je faire avec des ordinateurs qui ne reçoivent plus de mises à jour ?

Séparer les utilisateurs de la base de données principale jusqu'à ce qu'ils soient remplacés et planifier le remplacement selon l'ordre de priorité : d'abord ceux qui accèdent aux données clients, à la facturation ou à Internet sans restriction.

Rapport des mises à jour en retard dans 5 jours ouvrables

Nous avons vérifié la sécurité réseau, l’accès à distance, les serveurs et une sélection des postes de travail, nous avons vérifié les failles connues et avons présenté une liste des tâches à effectuer en priorité. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique. La gestion des mises à jour fait partie des plans. IT Unlimited — dans l’offre Essential, le service est à distance et téléphonique et les déplacements sur place sont facturés séparément ; dans l’offre Premium, l’assistance sur place est incluse. La surveillance permanente est proposée dans notre service de Suivi et NOC.

Sources

• Verizon — Rapport d’enquête sur les violations de données 2026, résumé exécutif
• CISA — Catalogue des vulnérabilités exploitées connues
• Microsoft Learn — Cycle de lancement des mises à jour de Windows
• Microsoft Learn — Cycle de vie de Windows 10 (fin de la prise en charge le 14 octobre 2025)