.svg)
Le patch management, ou gestion des correctifs, consiste à repérer, prioriser, tester, installer puis vérifier les mises à jour de sécurité de tous les postes, serveurs et équipements de l'entreprise. Dans une PME, il tient en quelques règles : savoir ce que l'on possède, trier les correctifs selon le risque, déployer par étapes et contrôler que tout est installé.
Le NIST, l'organisme américain de normalisation, le présente comme de la maintenance préventive : un coût normal de l'activité, à organiser à l'avance plutôt qu'à traiter dans l'urgence quand une faille fait la une.
Pourquoi les mises à jour traînent
Les éditeurs publient des correctifs en permanence : Microsoft chaque deuxième mardi du mois (le Patch Tuesday), les autres à leur rythme ou en urgence. Dans une PME, les mises à jour restent souvent en attente pour des raisons simples :
- personne n'est clairement chargé de les suivre ;
- on craint qu'un correctif bloque un logiciel métier ;
- des postes nomades se connectent rarement au réseau de l'entreprise ;
- des équipements sont oubliés : pare-feu, NAS, imprimantes, bornes Wi-Fi.
Le NIST relève aussi un écart fréquent entre les responsables métier et les équipes techniques sur l'intérêt des mises à jour. Un processus écrit lève la plupart de ces blocages.
Étape 1 : l'inventaire
On ne met pas à jour ce que l'on ne connaît pas. L'inventaire liste les postes, serveurs, équipements réseau et logiciels installés, avec pour chacun : qui l'administre, à quoi il sert, s'il peut être arrêté et quand.
Il se tient à jour automatiquement avec les outils de gestion du parc (Microsoft Intune pour les postes, dans un environnement Microsoft 365) plutôt que dans un tableur relu une fois par an. Repérez au passage les logiciels et systèmes qui ne reçoivent plus de correctifs : ils demandent un traitement à part.
Étape 2 : regrouper et prioriser
Le NIST recommande de répartir le parc en groupes de maintenance : des équipements qui ont les mêmes besoins (mêmes logiciels, mêmes contraintes d'arrêt, même importance pour l'activité). Chaque groupe reçoit son propre plan de mise à jour.
Pour chaque correctif, la priorité dépend de deux questions : la faille est-elle déjà exploitée par des attaquants ? L'équipement est-il exposé à Internet ou indispensable à l'activité ? Une faille exploitée sur un pare-feu ou un accès à distance passe avant tout le reste.
Quand on ne peut pas corriger, d'autres réponses existent : réduire le risque (isoler l'équipement, désactiver la fonction vulnérable), le supprimer (retirer le logiciel) ou l'accepter en connaissance de cause.
Étape 3 : tester et déployer par vagues
- Installer le correctif sur quelques postes témoins.
- Vérifier que les logiciels métier fonctionnent toujours.
- Élargir au reste du parc, groupe par groupe.
- Garder les serveurs critiques pour une fenêtre de maintenance prévue à l'avance, avec une sauvegarde récente.
Fixez un délai au-delà duquel l'installation devient obligatoire : sans lui, les reports s'accumulent.
Deux circuits : la routine et l'urgence
- La routine : les correctifs mensuels suivent le plan, avec tests et vagues.
- L'urgence : pour une faille grave déjà exploitée, le test se réduit à quelques postes témoins et le déploiement suit aussitôt. En attendant un correctif, une mesure provisoire (désactiver un service, couper un accès) limite le risque ; elle est retirée dès que le correctif est installé.
Nos articles d'alerte, comme celui sur le Patch Tuesday d'août 2026, aident à trier ce qui relève de l'urgence.
Étape 4 : vérifier et mesurer
Un correctif n'est pas appliqué tant qu'on n'a pas vérifié qu'il est installé et actif. Un rapport automatique doit montrer, poste par poste, ce qui reste en attente. Surveillez aussi qu'un correctif n'a pas été désinstallé ou remplacé par une ancienne version.
Pour suivre l'avancement, le NIST conseille de croiser le délai de correction avec l'importance des équipements et des failles, plutôt que de regarder un simple pourcentage de correctifs installés.
Les mises à jour font partie d'un ensemble : notre guide du durcissement des postes de travail présente les autres réglages qui réduisent les possibilités d'attaque.
Comment IT Systèmes gère les mises à jour
Dans le cadre de la protection des postes, nous mettons en place une gestion automatisée des correctifs, déployés de façon centralisée, et nous gérons les postes avec Microsoft Intune, qui applique aussi les règles de sécurité (chiffrement BitLocker, verrouillage, applications autorisées). Avec notre infogérance, la gestion des mises à jour fait partie du travail de sécurité, avec le durcissement des configurations et la surveillance des accès.
Pour aller plus loin : la protection des postes de travail et appareils mobiles, la sécurité de l'infrastructure et l'infogérance.
Frequently asked questions
Qu'est-ce que le patch management ?
C'est la gestion des correctifs : repérer, prioriser, tester, installer et vérifier les mises à jour de sécurité de tous les équipements de l'entreprise.
Faut-il installer toutes les mises à jour dès leur sortie ?
Pas pour la routine : on teste d'abord sur quelques postes, puis on déploie par vagues. Pour une faille grave déjà exploitée, oui, avec un test réduit.
Que faire d'un logiciel qui ne reçoit plus de correctifs ?
Le remplacer quand c'est possible. Sinon, l'isoler du reste du réseau, limiter ses accès et réévaluer régulièrement le risque.
Les mises à jour peuvent-elles être automatisées dans une PME ?
Oui. Des outils comme Microsoft Intune déploient les correctifs de façon centralisée et indiquent poste par poste ce qui reste à installer.
.png)
.svg)