1. Qu'est-ce qu'une liste de contrôle pour l'audit de la gestion des correctifs ?

2. Liste de contrôle pour l'audit de la gestion des correctifs - dix étapes importantes

3. Comment éviter les temps d'arrêt lors de la mise à jour des systèmes de l'entreprise ?

4. Choix des outils logiciels de la liste de contrôle de l'audit de la gestion des correctifs

5. Blogs

6. Ressources complémentaires

Qu'est-ce qu'une liste de contrôle pour l'audit de la gestion des correctifs ?

La gestion des correctifs consiste à analyser les ordinateurs, les appareils mobiles ou d'autres machines d'un réseau pour détecter les mises à jour logicielles manquantes, connues sous le nom de "correctifs", et à résoudre le problème en déployant ces correctifs à un moment déterminé. Les correctifs sont nécessaires pour garantir que les systèmes sont corrigés, mis à jour et protégés contre les vulnérabilités et les bogues de sécurité présents dans le logiciel.

En raison de l'importance de la gestion des correctifs, une organisation trouvera avantageux d'effectuer régulièrement des audits internes de gestion des correctifs afin d'évaluer le succès de son programme de gestion des correctifs. Il est préférable d'effectuer ces audits de manière systématique, en suivant un certain nombre d'étapes sur une liste de contrôle afin de garantir un audit complet et approfondi.

Liste de contrôle pour l'audit de la gestion des correctifs - dix étapes importantes

La liste de contrôle d'un audit de gestion des correctifs peut varier en fonction de la taille et des actifs d'une organisation, mais l'essentiel est que les mises à jour ne soient pas installées au fur et à mesure qu'elles sont disponibles. Elles doivent au contraire suivre un processus défini par l'organisation. Cette approche orientée processus facilitera le respect de certaines des meilleures pratiques en matière de gestion des correctifs.

1. Inventaire de tous les actifs du réseau
   
   Une grande entreprise peut avoir des centaines d'actifs, notamment des serveurs, des stations de travail, des PC, des versions de systèmes d'exploitation, des applications tierces et des dispositifs d'accès à distance. La première étape consiste à dresser l'inventaire de tous les actifs, afin de connaître l'étendue de l'opération de correction. Un inventaire complet des actifs permet d'établir ce que vous possédez et de savoir ce qui doit être corrigé.
   
   Conservez les données d'inventaire de chaque système, y compris des informations telles que le nom d'hôte, l'emplacement, l'adresse IP, l'adresse MAC, le système d'exploitation et le niveau de révision actuel. Ces informations peuvent être recueillies manuellement, mais il existe des outils de gestion des correctifs qui permettent d'analyser un réseau et de dresser un inventaire complet de tous les actifs du réseau, en fournissant des mises à jour si nécessaire. L'inventaire doit être mis à jour régulièrement dans le cadre du processus de gestion des correctifs.

2. Établissez des priorités en matière de correctifs
   
   Les actifs doivent être classés par ordre de priorité en fonction de l'exposition et de la vulnérabilité au risque. Quel est l'impact sur l'organisation si un appareil particulier est hors service ? Ce dispositif nécessite-t-il un déploiement immédiat des correctifs ou un déploiement standard (qui peut prendre des semaines) ? Quelle est la sensibilité des informations contenues dans un appareil donné (comme les numéros de sécurité sociale ou les données privées des patients) ? L'appareil est-il utilisé pour des opérations commerciales critiques, telles que le traitement des paiements ? Est-il utilisé pour la "face publique" critique d'une entreprise, comme le site web principal.                                                             Mettre en place un personnel habilité à décider de l'urgence des activités de correction, tout en procédant à des examens de la vulnérabilité et de l'exposition des systèmes. L'examen de l'urgence doit permettre de décider s'il faut prendre des mesures immédiates pour appliquer des correctifs ou mettre en œuvre une solution de contournement..

3. Établir une politique de gestion des correctifs
   
   Une politique de gestion des correctifs établie et documentée aidera une organisation à se protéger contre les virus et les failles de sécurité. Cette politique doit préciser qui est responsable du processus de gestion des correctifs, ce qui doit être corrigé, quand et comment. Elle doit comprendre un processus formel de déploiement des correctifs, mais être suffisamment adaptable pour répondre aux besoins ponctuels en matière de correctifs. Elle crée un modèle cohérent que le personnel informatique peut suivre, tout en offrant une certaine flexibilité en cas de problème au cours du processus de déploiement des correctifs.
   
   Outre le déploiement des correctifs, une politique de gestion des correctifs doit couvrir des sujets tels que:

   • Traiter les cas où un correctif n'est pas disponible. Indiquez en détail ce que l'équipe de sécurité doit faire lorsqu'un composant d'une application ou d'un système d'exploitation nécessite un correctif, mais que celui-ci n'est pas encore disponible.
   • Répondre à toutes les exigences en matière de correctifs. Les applications qui ne sont pas liées au système d'exploitation doivent également être corrigées, car elles peuvent présenter un risque pour la sécurité. Il est important de s'assurer qu'aucune application n'est oubliée au cours du processus de gestion des correctifs.
   • Calendrier de déploiement des correctifs. La politique de gestion des correctifs doit préciser les horaires et les limites d'intervention de l'équipe chargée de la gestion des correctifs. La politique doit inclure une notification aux utilisateurs lorsqu'ils peuvent s'attendre à des redémarrages ou lorsqu'ils doivent avoir leurs machines disponibles pour déployer les correctifs.

4. Contrôler l'état des correctifs de toutes vos applications Soyez toujours au courant lorsque de nouveaux correctifs sont nécessaires. Le moyen le plus simple d'y parvenir est d'utiliser une solution qui surveille l'état des correctifs de votre réseau et vous avertit automatiquement lorsque des correctifs sont disponibles. Si le budget est un problème, une autre possibilité consiste à suivre les applications que vous utilisez et à vérifier périodiquement les sites web respectifs pour voir si de nouvelles mises à jour ont été publiées.
   
   La politique doit inclure le suivi des événements actuels. Il n'est pas toujours possible de publier un correctif avant qu'une vulnérabilité ne soit largement connue. Elle doit également prévoir une procédure d'évaluation des correctifs d'urgence.

5. Testez toujours les correctifs Les correctifs sont conçus pour fonctionner correctement de manière isolée, mais dans le monde réel, tout ordinateur contient plus d'un type de logiciel. Cela signifie qu'il existe toujours un risque d'incompatibilité entre un correctif et d'autres logiciels. Lorsque vous déployez des correctifs sans les tester correctement, vous risquez qu'un des correctifs entre en conflit et cause des problèmes dans l'infrastructure de l'organisation.
   
   Testez les correctifs dans un environnement qui reflète votre environnement de production. Examinez les descriptions des correctifs afin que l'environnement de test puisse inclure tous les problèmes connus. Il est conseillé de tester le correctif sur une poignée d'ordinateurs avant de l'appliquer à l'ensemble du réseau. Inclure les redémarrages du système lors des tests afin que les redémarrages imprévus après le déploiement du correctif n'affectent pas les opérations régulières de l'entreprise.

6. Documentez tous les efforts de correction
   
   La documentation est essentielle au cas où des problèmes de déploiement de correctifs surviendraient après les tests initiaux. Limitez l'accès à la documentation de configuration, y compris les schémas et les listes d'inventaire. Réservez l'accès - y compris les possibilités de mise à jour - au personnel autorisé.

7. Déploiement de correctifs
   
   Comme indiqué précédemment, la politique doit inclure une notification aux utilisateurs lorsqu'ils peuvent s'attendre à des redémarrages ou lorsqu'ils doivent rendre leurs machines disponibles pour le déploiement d'un correctif. Appliquer le correctif à l'ensemble de l'organisation, si aucun problème n'a été découvert pendant la phase de test.
   
   Le plus grand défi du déploiement est de ne pas perturber la production. Si le budget le permet, évaluez les outils de gestion automatisée des correctifs pour le déploiement et la maintenance des correctifs. Trouvez et utilisez l'outil le mieux adapté à la taille et à la complexité de votre opération de gestion des correctifs.

8. Audit du déploiement des correctifs
   
   Effectuer un audit de la gestion des correctifs pour évaluer le déploiement des correctifs et identifier les problèmes qui doivent être résolus. Analyser les journaux de déploiement et les exceptions et valider formellement que tous les déploiements se sont déroulés correctement. Surveiller les éventuels problèmes de compatibilité ou de performance.

9. Soyez prêts à faire face aux catastrophes
   
   Établissez une procédure de reprise après sinistre, y compris des détails sur la manière de revenir aux mauvais correctifs ou sur ce que l'équipe doit faire s'il n'est pas possible de revenir à une version antérieure. Créez un plan de retour en arrière qui vous permette d'annuler immédiatement les correctifs et de revenir à l'état antérieur à l'application des correctifs. Une fois encore, passez en revue les outils de gestion des correctifs pour vous aider à effectuer ces éventuels retours en arrière.

10. Générez des rapports sur les correctifs Documentez vos efforts en matière de correctifs afin de démontrer votre conformité aux réglementations et d'assurer la transparence de vos efforts. Des rapports efficaces peuvent également aider à identifier les problèmes potentiels, ce qui permettra à l'équipe d'éviter les écueils à l'avenir. Créer une documentation et des rapports détaillés sur le téléchargement, le test et l'installation des correctifs à des fins d'audit et de conformité.

Une fois que votre organisation a franchi ces étapes, il devrait être plus facile de suivre la liste de contrôle de l'audit à plusieurs reprises. Chaque itération de l'audit devrait comprendre l'évaluation des machines éventuellement obsolètes, un examen de la politique et la décision de savoir si certaines exceptions à la politique sont encore nécessaires.

Comment éviter les temps d'arrêt lors de la mise à jour des systèmes de l'entreprise ?

Les temps d'arrêt peuvent être coûteux, c'est pourquoi il est important de suivre des procédures préventives avant de mettre à niveau un serveur. La liste suivante n'est pas exhaustive, mais elle fournit de nombreux conseils sur la manière de minimiser les conséquences des temps d'arrêt et d'assurer la continuité des activités.

• Veillez à disposer de sauvegardes                                                                                                                                        Il est préférable de ne pas effectuer de mises à niveau du réseau avant d'avoir la certitude qu'il existe une sauvegarde vérifiée. Inspectez régulièrement les sauvegardes des machines physiques et virtuelles pour vérifier si elles peuvent effectuer une restauration. Les mises à niveau pouvant échouer, il convient d'utiliser des technologies de clonage de disque ou des images de disque pour récupérer les données ainsi que la configuration d'un serveur.

• Contrôler étroitement avant et après la mise à niveau
  Surveillez les serveurs pour détecter les problèmes avant qu'ils ne tombent en panne. Il est utile de disposer d'une solution de surveillance du réseau qui émet des alertes en cas d'événements inhabituels tels qu'une utilisation élevée de l'unité centrale ou de la mémoire ou un redémarrage soudain du serveur. Après la mise à niveau, surveillez les événements critiques tels que les fichiers journaux, les rapports d'erreur et les opérations de sauvegarde. Vérifiez périodiquement les autres dispositifs tels que les commutateurs, les postes de travail et les pare-feu pour vous assurer que les paramètres sont tous corrects. Ces tâches peuvent également être automatisées à l'aide de logiciels d'inventaire et de gestion de la configuration du réseau.

• Ne faites pas confiance ... vérifiez
  Veillez à confirmer le système d'exploitation en effectuant un audit rapide du système que vous mettez à niveau afin de confirmer la compatibilité du système d'exploitation. Vérifiez également que le châssis prend en charge la mise à niveau. Il est préférable d'ouvrir le boîtier pour savoir si le serveur déployé fonctionnera avec la mise à niveau. Enfin, ne faites pas de suppositions sur les capacités plug-and-play d'un périphérique avec le système d'exploitation du serveur. Vérifiez que le composant du périphérique figure sur la liste de compatibilité matérielle du fournisseur du système d'exploitation.

• Mise à niveau progressive et non pas simultanée
  Bien qu'à première vue, la réduction des redémarrages du serveur semble être une bonne idée, il est préférable de ne pas effectuer plusieurs mises à niveau simultanées lors d'un seul arrêt. Qu'il s'agisse d'ajouter des disques, de remplacer la mémoire ou d'installer des cartes supplémentaires, il est plus sûr d'effectuer ces tâches séparément. En cas de problème, il peut être difficile d'isoler la modification à l'origine de l'erreur s'il y a eu plusieurs modifications simultanées.

• Documentez ce que vous faites
  Une fois que vous avez mis à niveau un serveur, mettez à jour la documentation avec des informations telles que le composant mis à niveau, le fabricant, le fournisseur, les numéros de commande, les numéros de série, ainsi que les informations relatives à la garantie et à l'assistance. Documentez également vos procédures d'exploitation et rendez-les facilement accessibles aux employés afin d'éviter les temps d'arrêt dus à l'erreur humaine.

• Créez un plan de reprise après sinistre détaillé
  Un plan de reprise bien préparé - où le personnel sait exactement ce qu'il doit faire en cas d'urgence - est essentiel pour minimiser les temps d'arrêt. Certaines organisations disposent d'un centre de données secondaire, de sorte que si le site principal tombe en panne, le site secondaire permet à l'organisation de continuer à fonctionner. D'autres utilisent des services de sauvegarde des données et des services en nuage pour éviter la perte permanente de données et pour aider l'organisation à se remettre rapidement d'un sinistre.

Choix des outils logiciels de la liste de contrôle de l'audit de la gestion des correctifs

Au cours des dernières années, des outils automatisés de gestion des correctifs sont apparus pour soulager les administrateurs et améliorer l'efficacité globale du téléchargement et de l'installation des correctifs sur les différents appareils. En conséquence, chaque organisation peut mettre à jour tous ses terminaux avec les derniers correctifs et avec peu d'intervention humaine, quelles que soient les spécifications de son matériel et sa situation géographique.

Mais comment choisir le bon logiciel de gestion des correctifs, étant donné le grand nombre d'outils de gestion des correctifs disponibles aujourd'hui ? Voici quelques caractéristiques que devrait posséder tout bon logiciel de gestion automatisée des correctifs:

• Fonctionne sur différentes plateformes et systèmes d'exploitation - y compris les systèmes d'exploitation Microsoft®, MAC OS X® et Linux®, Amazon Web Services (AWS), d'autres plateformes sur le cloud, ainsi que des applications tierces.

• Analyse l'ensemble du réseau pour identifier les correctifs manquants dans les différents logiciels

• Télécharge les correctifs directement à partir des sites des fournisseurs

• Inclut des tests et des déploiements de correctifs efficaces

• Fournit des rapports détaillés pour donner aux administrateurs une idée complète des correctifs manquants, téléchargés, testés et installés.

• S'installe facilement sur tous les appareils tels que les ordinateurs de bureau, les ordinateurs portables et les serveurs.

• Intégré à la gestion automatisée des correctifs pour vous faire gagner du temps

• Génère des rapports sur l'état de chaque mise à jour et des statistiques pertinentes sur l'installation et la mise à jour des correctifs à des fins d'audit.

Blogs

Ressources complémentaires