80 % des cyberattaques exploitent des failles que vous auriez pu corriger.
Selon le rapport Verizon DBIR 2024, 80 % des intrusions réussies exploitent des vulnérabilités pour lesquelles un correctif existait déjà. Le patch management, c'est l'application systématique de ces correctifs avant qu'un attaquant ne les utilise. Pour une PME sans infogérance, ce processus est presque toujours insuffisant — non par négligence, mais par manque de visibilité et de temps.
En mars 2023, une PME de 18 postes dans la Meurthe-et-Moselle est chiffrée par un ransomware un jeudi matin. L'analyse forensique révèle que l'attaquant a exploité une faille dans Windows, corrigée par Microsoft six semaines plus tôt. La mise à jour n'avait pas été appliquée. Deux semaines d'arrêt partiel, 23 000 euros de coûts directs, et une relation client dégradée pour plusieurs mois.
Ce cas n'est pas une exception. C'est le scénario standard.
Qu'est-ce que le patch management et pourquoi ça concerne votre PME
Le patch management désigne le processus de détection, téléchargement et installation des correctifs de sécurité sur l'ensemble d'un parc informatique. Ces correctifs sont publiés par les éditeurs dès qu'une faille est découverte.
Le problème pour une PME sans équipe IT dédiée :
- Aucune visibilité centralisée : sans outil de supervision, personne ne sait quels postes ont reçu leurs mises à jour et lesquels sont en retard
- Des mises à jour désactivées ou reportées : les utilisateurs cliquent sur "Remettre à plus tard" ou éteignent leur poste avant la fin de l'installation
- Des logiciels tiers oubliés : Windows se met à jour, mais Adobe Reader, Java, les navigateurs et les logiciels métier restent souvent en retard — et ce sont des cibles privilégiées
- Pas de test avant déploiement : une mise à jour peut créer une incompatibilité avec un logiciel métier. Sans test préalable, le déploiement sauvage peut bloquer la production
Ce que les attaquants font avec une faille non corrigée
Une faille non corrigée n'attend pas. Dès qu'un correctif est publié par un éditeur, les groupes cybercriminels analysent le patch pour identifier exactement quelle vulnérabilité il corrige — et construisent un exploit en conséquence. Ce délai s'appelle la fenêtre d'exposition.
Chronologie type d'une attaque par faille connue :
- Jour 0 : Microsoft publie un correctif de sécurité le Patch Tuesday (second mardi de chaque mois)
- Jour 3 à 7 : les premiers exploits ciblant la faille corrigée apparaissent dans les forums cybercriminels
- Jour 14 à 30 : des campagnes automatisées scannent internet à la recherche de machines non patchées
- Jour 30+ : les PME non patchées deviennent des cibles actives
Pour une PME qui applique ses mises à jour manuellement "quand elle y pense", la fenêtre d'exposition dépasse fréquemment 60 jours. Parfois 6 mois.
Les assureurs cyber le savent. Depuis 2023, plusieurs contrats d'assurance cyber excluent explicitement les sinistres liés à des failles pour lesquelles un correctif existait depuis plus de 30 jours.
En cas de sinistre, votre assureur cyber analysera les journaux système pour déterminer si la faille exploitée avait fait l'objet d'un correctif disponible. Si un patch existait depuis plus de 30 jours et n'avait pas été appliqué, la garantie peut être refusée ou réduite. Le patch management n'est plus seulement une bonne pratique : c'est une condition de couverture.
Ce que change un patch management structuré
Un patch management structuré ne consiste pas à cliquer manuellement sur "Mettre à jour" sur chaque poste. Il repose sur un agent de supervision installé sur chaque machine, qui automatise le cycle complet.
Les étapes d'un patch management professionnel :
- Inventaire permanent : l'agent remonte en temps réel la liste de tous les logiciels installés et leur version, sur chaque poste et serveur
- Détection des vulnérabilités : comparaison automatique avec les bases de données CVE pour identifier les composants vulnérables
- Téléchargement et test : les correctifs sont téléchargés et testés dans un environnement contrôlé avant déploiement
- Déploiement planifié : installation automatique hors heures ouvrées pour ne pas interrompre l'activité
- Rapport de conformité : tableau de bord indiquant le taux de patching, les postes en retard et les failles critiques en attente
Résultat concret : le délai moyen entre la publication d'un correctif et son installation passe de plusieurs semaines à moins de 72 heures.
80 % des brèches exploitent des vulnérabilités pour lesquelles un correctif était disponible depuis au moins un mois au moment de l'attaque.
— Verizon Data Breach Investigations Report 2024
Patch management selon votre profil
Patrick (TPE 5-15 postes) — Mises à jour manuelles, souvent reportées. Risque : faille Windows non corrigée = porte d'entrée ransomware. Recommandation : Offre Essentiel, patch automatique inclus à 28 euros/poste/mois.
Sophie (PME 20-50 postes) — Parc hétérogène, pas de supervision centralisée. Risque : postes en retard invisibles, assurance cyber en risque. Recommandation : Offre Essentiel ou Pro selon niveau de sécurité souhaité.
Maxime (IT solo 30-60 postes) — Patch partiel, logiciels tiers oubliés. Risque : failles sur navigateurs et lecteurs PDF non suivies. Recommandation : Offre Pro, supervision applicative étendue.
Trois questions simples :
- Savez-vous exactement quels postes n'ont pas reçu leurs mises à jour ce mois-ci ?
- Vos logiciels tiers (navigateurs, PDF, logiciels métier) sont-ils inclus dans vos mises à jour ?
- Avez-vous un rapport de conformité patch mensuel ?
Si vous répondez non à l'une d'elles, votre fenêtre d'exposition est ouverte.
Ce qu'inclut l'offre Essentiel pour le patch management
L'offre Essentiel à 28 euros/poste/mois de Copernic Systèmes intègre la gestion des mises à jour et patches comme composante de base, pas comme option.
Inclus dans l'offre Essentiel :
- Inventaire permanent de tous les logiciels installés sur chaque poste
- Détection des vulnérabilités connues (base CVE mise à jour quotidiennement)
- Déploiement automatique des correctifs Windows et des principaux logiciels tiers
- Planification hors heures ouvrées pour ne pas interrompre l'activité
- Rapport mensuel de conformité patch (taux de couverture, failles critiques traitées)
Pour une PME de 15 postes, l'offre Essentiel représente 420 euros/mois. Une seule journée d'arrêt sur ransomware coûte statistiquement entre 5 000 et 20 000 euros pour une structure de cette taille.
Questions fréquentes : patch management PME
Qu'est-ce que le patch management pour une PME ?
Le patch management est le processus d'installation systématique des correctifs de sécurité publiés par les éditeurs de logiciels. Pour une PME, il s'agit de s'assurer que Windows, les navigateurs, les lecteurs PDF et les logiciels métier reçoivent leurs mises à jour dans un délai court — idéalement sous 72 heures pour les correctifs critiques.
Pourquoi les mises à jour automatiques Windows ne suffisent-elles pas ?
Windows Update ne couvre que les produits Microsoft. Les navigateurs, Adobe Reader, Java, les logiciels métier et le firmware des équipements réseau ne sont pas inclus. Ces composants tiers représentent une part significative des failles exploitées. Un patch management professionnel couvre l'ensemble du parc.
Combien de temps faut-il pour appliquer un correctif après sa publication ?
Sans outil de gestion centralisé, le délai moyen dans une PME dépasse 30 jours, parfois 60 à 90 jours. Avec un agent de supervision automatique, ce délai passe à moins de 72 heures pour les correctifs critiques.
Le patch management est-il obligatoire pour l'assurance cyber ?
Pas formellement obligatoire, mais les contrats d'assurance cyber incluent de plus en plus des clauses de bonne gestion des vulnérabilités. En cas de sinistre, un assureur peut refuser la garantie si une faille exploitée avait fait l'objet d'un correctif disponible depuis plus de 30 jours.
Quelle est la différence entre patch management et antivirus ?
L'antivirus détecte et bloque les logiciels malveillants connus une fois qu'ils tentent de s'exécuter. Le patch management supprime la faille avant qu'elle soit exploitée. Les deux sont complémentaires : l'antivirus est le filet de sécurité, le patch management est la barrière.
La faille qu'un attaquant exploitera demain a peut-être déjà son correctif depuis ce matin.
Un audit de 30 minutes suffit pour savoir où en est votre parc.
Copernic Systèmes, infogéreur MSP, Nancy, Grand Est.
Voir aussi : infogérance postes de travail, cybersécurité PME, infogérance Nancy.
Besoin d'un accompagnement ?
Discutons de votre projet IT
Notre équipe peut auditer votre infrastructure, vous conseiller sur la conformité NIS2/RGPD et mettre en place une infogérance adaptée à votre taille.
