[{"data":1,"prerenderedAt":544},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fpolitique-gestion-correctifs-pme":45,"post-alt-\u002Fblogue\u002Fpolitique-gestion-correctifs-pme":521,"post-rel-\u002Fblogue\u002Fpolitique-gestion-correctifs-pme":523},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":472,"date":473,"description":474,"extension":475,"faq":476,"keyword":489,"meta":490,"minutes":27,"navigation":400,"path":491,"rawbody":492,"seo":493,"sources":494,"stem":513,"tags":514,"translationKey":515,"updated":519,"__hash__":520},"blog_fr\u002Fblogue\u002Fpolitique-gestion-correctifs-pme.md","Politique de gestion des correctifs : modèle et délais pour PME",{"type":49,"value":50,"toc":463},"minimark",[51,55,58,61,82,87,90,136,139,143,146,245,248,252,255,269,272,281,285,289,297,327,330,334,337,340,354,357,361,364,378,386,389,453,460],[52,53,54],"p",{},"Vendredi, 15 h. Le fabricant de votre pare-feu publie un avis : une faille critique permet de contourner l'authentification du VPN. Votre technicien externe est en congé, la mise à jour exige un redémarrage et la fin de semaine commence. Qui décide ? Dans quel délai ? Sans politique écrite, la réponse est presque toujours « on verra lundi ».",[52,56,57],{},"Ce flou est exactement ce dont profitent les attaquants. Ils n'ont pas besoin de failles inédites : l'agence américaine CISA tient un catalogue public des vulnérabilités connues et activement exploitées (KEV), mis à jour en continu. Pour un groupe criminel, une faille corrigée par l'éditeur mais pas par vous est une porte entrouverte.",[52,59,60],{},"Une bonne politique de gestion des correctifs tient sur deux pages. Elle répond à trois questions : quoi corriger, dans quel délai, et que faire quand on ne peut pas. Voici comment la bâtir pour une PME.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Une politique utile fixe des délais par niveau de gravité, pas une vague intention de « rester à jour ».",[70,74,75],{},"La cote CVSS ne suffit pas : une faille exploitée (KEV) sur un appareil exposé à Internet passe devant tout le reste.",[70,77,78],{},"Chaque exception (logiciel désuet, poste de production) doit être documentée, compensée et revue à date fixe.",[70,80,81],{},"Deux indicateurs mensuels suffisent pour savoir si la politique fonctionne vraiment.",[83,84,86],"h2",{"id":85},"ce-que-la-politique-doit-contenir","Ce que la politique doit contenir",[52,88,89],{},"Une politique de correctifs n'est pas un document juridique. C'est une entente claire entre la direction et ceux qui exécutent, qu'il s'agisse d'un employé TI ou d'un fournisseur de services gérés. Elle couvre sept éléments.",[91,92,93,100,106,112,118,124,130],"ol",{},[70,94,95,99],{},[96,97,98],"strong",{},"La portée."," Postes, serveurs, mais aussi pare-feu, routeurs, VPN, NAS, imprimantes, téléphones, micrologiciels (BIOS) et applications tierces : navigateurs, lecteur PDF, logiciel comptable, extensions du site web.",[70,101,102,105],{},[96,103,104],{},"Les rôles."," Qui applique, qui vérifie, qui approuve les exceptions.",[70,107,108,111],{},[96,109,110],{},"L'inventaire."," On ne corrige pas ce qu'on ne connaît pas.",[70,113,114,117],{},[96,115,116],{},"La veille."," Les avis du Centre canadien pour la cybersécurité, ceux des éditeurs et le catalogue KEV.",[70,119,120,123],{},[96,121,122],{},"Les délais."," Par gravité et par exposition (voir le tableau ci-dessous).",[70,125,126,129],{},[96,127,128],{},"Le déploiement."," Groupe pilote, redémarrages, sauvegarde préalable des serveurs.",[70,131,132,135],{},[96,133,134],{},"Les exceptions et le suivi."," Registre, mesures compensatoires, rapport mensuel.",[52,137,138],{},"Prenons un cabinet d'architectes de Québec de 18 employés. Son fournisseur gérait bien les mises à jour Windows, mais personne n'était responsable du NAS de sauvegarde ni des extensions WordPress du site. Ces deux angles morts n'apparaissaient nulle part. La politique les a simplement nommés et attribués.",[83,140,142],{"id":141},"les-délais-cibles-par-niveau-de-gravité","Les délais cibles par niveau de gravité",[52,144,145],{},"Voici les délais que notre équipe recommande comme point de départ pour une PME. Ce sont des cibles internes, pas des normes légales : ajustez-les à votre réalité, mais écrivez-les.",[147,148,149,168],"table",{},[150,151,152],"thead",{},[153,154,155,159,162,165],"tr",{},[156,157,158],"th",{},"Situation",[156,160,161],{},"Exemples",[156,163,164],{},"Délai cible",[156,166,167],{},"Si impossible dans le délai",[169,170,171,190,204,218,232],"tbody",{},[153,172,173,181,184,187],{},[174,175,176,177,180],"td",{},"Critique, activement exploitée (KEV) ",[96,178,179],{},"et"," exposée à Internet",[174,182,183],{},"VPN, pare-feu, passerelle de courriel, site web",[174,185,186],{},"72 heures au maximum, idéalement 24 à 48 h",[174,188,189],{},"Appliquer l'atténuation de l'éditeur ou couper le service le jour même",[153,191,192,195,198,201],{},[174,193,194],{},"Critique (CVSS 9,0 à 10,0), non exposée",[174,196,197],{},"Serveur de fichiers, contrôleur de domaine",[174,199,200],{},"7 jours",[174,202,203],{},"Restreindre l'accès réseau au système",[153,205,206,209,212,215],{},[174,207,208],{},"Élevée (CVSS 7,0 à 8,9)",[174,210,211],{},"Navigateurs, suite bureautique",[174,213,214],{},"14 jours",[174,216,217],{},"Désactiver la fonction vulnérable",[153,219,220,223,226,229],{},[174,221,222],{},"Moyenne (CVSS 4,0 à 6,9)",[174,224,225],{},"Logiciels internes",[174,227,228],{},"30 jours (cycle mensuel)",[174,230,231],{},"Exception documentée",[153,233,234,237,240,243],{},[174,235,236],{},"Faible (CVSS 0,1 à 3,9)",[174,238,239],{},"Composants peu utilisés",[174,241,242],{},"90 jours ou prochain cycle",[174,244,231],{},[52,246,247],{},"La première ligne est celle qui compte le plus. Quand une faille de VPN est exploitée massivement, les attaquants ont souvent une longueur d'avance. Après la mise à jour, vérifiez donc les journaux de l'appareil pour des connexions suspectes : corriger ne chasse pas un intrus déjà entré. La directive BOD 26-04 publiée par la CISA en juin 2026 va dans le même sens, en exigeant des agences fédérales américaines une correction et une analyse forensique en trois jours pour les cas les plus graves.",[83,249,251],{"id":250},"prioriser-la-cote-cvss-ne-raconte-pas-toute-lhistoire","Prioriser : la cote CVSS ne raconte pas toute l'histoire",[52,253,254],{},"La cote CVSS mesure la gravité technique d'une faille, sur une échelle de 0 à 10. Elle ne dit pas si quelqu'un l'exploite réellement. Deux autres sources complètent le portrait :",[67,256,257,263],{},[70,258,259,262],{},[96,260,261],{},"Le catalogue KEV"," confirme qu'une faille est exploitée dans la nature.",[70,264,265,268],{},[96,266,267],{},"Le score EPSS",", publié par FIRST, estime la probabilité qu'une faille soit exploitée dans les 30 prochains jours.",[52,270,271],{},"La directive BOD 26-04 a d'ailleurs abandonné les délais fondés uniquement sur la cote CVSS. Elle priorise selon quatre questions, faciles à reprendre dans une PME : l'appareil est-il exposé à Internet ? La faille figure-t-elle dans le KEV ? L'exploitation peut-elle être automatisée ? L'attaquant obtient-il un contrôle partiel ou total ?",[52,273,274,275,280],{},"Exemple : chez un distributeur alimentaire de Lévis, le rapport de balayage affiche une faille notée 9,8 sur une imprimante interne et une autre notée 7,5 sur le VPN, inscrite au KEV. Le VPN passe en premier, sans hésitation. C'est d'ailleurs par ce type de porte d'entrée que débutent bien des ",[276,277,279],"a",{"href":278},"\u002Fblogue\u002Francongiciel-pme-anatomie-attaque","attaques par rançongiciel",".",[282,283],"cta",{"variant":284},"audit",[83,286,288],{"id":287},"le-cycle-mensuel-en-pratique","Le cycle mensuel, en pratique",[52,290,291,292,296],{},"Microsoft publie ses correctifs le deuxième mardi de chaque mois (le ",[293,294,295],"em",{},"Patch Tuesday","). C'est un bon métronome pour toute l'entreprise.",[67,298,299,305,311,321],{},[70,300,301,304],{},[96,302,303],{},"Semaine 1 : le groupe pilote."," Deux ou trois postes, dont celui de la personne la plus à l'aise avec l'informatique, reçoivent les correctifs en premier.",[70,306,307,310],{},[96,308,309],{},"Semaine 2 : le déploiement général."," Si rien ne brise, tous les postes suivent. Fixez un délai de grâce, puis forcez le redémarrage.",[70,312,313,316,317,280],{},[96,314,315],{},"Fenêtre planifiée : les serveurs."," Un soir de semaine, après avoir confirmé que la sauvegarde de la veille a réussi. Si vous doutez de vos copies, relisez notre guide sur les ",[276,318,320],{"href":319},"\u002Fblogue\u002Fsauvegardes-3-2-1-1-0-rancongiciel","sauvegardes 3-2-1-1-0",[70,322,323,326],{},[96,324,325],{},"Chaque mois : le reste du parc."," Applications tierces, micrologiciels du pare-feu, du NAS et des imprimantes, extensions du site web.",[52,328,329],{},"Le Centre canadien pour la cybersécurité recommande d'activer les mises à jour automatiques partout où c'est possible et de remplacer les produits que l'éditeur ne prend plus en charge. Pour une PME, c'est le meilleur rapport effort-sécurité : on automatise le courant et on garde l'énergie humaine pour les urgences.",[83,331,333],{"id":332},"les-exceptions-quand-on-ne-peut-pas-corriger","Les exceptions : quand on ne peut pas corriger",[52,335,336],{},"Certains systèmes ne peuvent pas être mis à jour rapidement. Un poste qui pilote une machine-outil, un logiciel métier qui exige une ancienne version de Java, un ordinateur encore sous Windows 10, dont le support a pris fin le 14 octobre 2025.",[52,338,339],{},"L'exception est acceptable. L'exception oubliée ne l'est pas. Chaque entrée du registre précise :",[67,341,342,345,348,351],{},[70,343,344],{},"le système et la raison de l'exception;",[70,346,347],{},"le risque, en une phrase compréhensible par la direction;",[70,349,350],{},"la mesure compensatoire : isolement réseau, retrait de l'accès Internet, authentification multifacteur, liste blanche d'applications;",[70,352,353],{},"la date d'expiration et la personne qui l'a approuvée.",[52,355,356],{},"Pour les appareils de périphérie en fin de vie (pare-feu, routeurs, VPN), il n'y a pas de mesure compensatoire satisfaisante : on les remplace. La CISA a d'ailleurs consacré une directive distincte (BOD 26-02) à ce seul problème.",[83,358,360],{"id":359},"mesurer-et-prouver-que-ça-fonctionne","Mesurer et prouver que ça fonctionne",[52,362,363],{},"Une politique qu'on ne mesure pas devient vite un vœu pieux. Deux indicateurs suffisent :",[67,365,366,372],{},[70,367,368,371],{},[96,369,370],{},"Le taux de conformité"," : le pourcentage d'appareils à jour à l'intérieur des délais du tableau.",[70,373,374,377],{},[96,375,376],{},"L'âge du plus vieux correctif critique manquant",", sur l'ensemble du parc.",[52,379,380,381,385],{},"Présentez-les chaque mois à la direction, sur une page. Ces chiffres serviront aussi à répondre au ",[276,382,384],{"href":383},"\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur","questionnaire de votre assureur cyber"," sans improviser.",[52,387,388],{},"Checklist de mise en place :",[67,390,393,404,411,418,425,432,439,446],{"className":391},[392],"contains-task-list",[70,394,397,403],{"className":395},[396],"task-list-item",[398,399],"input",{"disabled":400,"type":401,"aria-label":402},true,"checkbox","L'inventaire couvre aussi le pare-feu, le NAS, les imprimantes et les applications tierces."," L'inventaire couvre aussi le pare-feu, le NAS, les imprimantes et les applications tierces.",[70,405,407,410],{"className":406},[396],[398,408],{"disabled":400,"type":401,"aria-label":409},"Les délais par gravité sont écrits et approuvés par la direction."," Les délais par gravité sont écrits et approuvés par la direction.",[70,412,414,417],{"className":413},[396],[398,415],{"disabled":400,"type":401,"aria-label":416},"Une personne est abonnée aux avis du Centre canadien et surveille le catalogue KEV."," Une personne est abonnée aux avis du Centre canadien et surveille le catalogue KEV.",[70,419,421,424],{"className":420},[396],[398,422],{"disabled":400,"type":401,"aria-label":423},"Un groupe pilote reçoit les correctifs avant tout le monde."," Un groupe pilote reçoit les correctifs avant tout le monde.",[70,426,428,431],{"className":427},[396],[398,429],{"disabled":400,"type":401,"aria-label":430},"Les redémarrages sont forcés après un délai de grâce."," Les redémarrages sont forcés après un délai de grâce.",[70,433,435,438],{"className":434},[396],[398,436],{"disabled":400,"type":401,"aria-label":437},"Le registre des exceptions existe, avec dates d'expiration."," Le registre des exceptions existe, avec dates d'expiration.",[70,440,442,445],{"className":441},[396],[398,443],{"disabled":400,"type":401,"aria-label":444},"Un balayage de vulnérabilités vérifie le résultat au moins chaque trimestre."," Un balayage de vulnérabilités vérifie le résultat au moins chaque trimestre.",[70,447,449,452],{"className":448},[396],[398,450],{"disabled":400,"type":401,"aria-label":451},"Le rapport mensuel est présenté à la direction."," Le rapport mensuel est présenté à la direction.",[52,454,455,456,459],{},"Si votre parc accumule du retard ou des exceptions sans fin, notre équipe peut prendre en charge le rattrapage et le durcissement des systèmes dans le cadre de notre service de ",[276,457,458],{"href":21},"remédiation et durcissement",". L'important est de commencer : un tableau de délais écrit vaut mieux qu'une intention parfaite.",[282,461],{"variant":462},"devis",{"title":464,"searchDepth":11,"depth":15,"links":465},"",[466,467,468,469,470,471],{"id":85,"depth":11,"text":86},{"id":141,"depth":11,"text":142},{"id":250,"depth":11,"text":251},{"id":287,"depth":11,"text":288},{"id":332,"depth":11,"text":333},{"id":359,"depth":11,"text":360},"threats","2026-10-24","Délais par gravité, priorisation des failles exploitées, exceptions et indicateurs : bâtissez une politique de gestion des correctifs réaliste pour votre PME.","md",[477,480,483,486],{"q":478,"a":479},"Les mises à jour automatiques de Windows suffisent-elles pour une PME ?","Elles couvrent une bonne partie du risque et le Centre canadien pour la cybersécurité recommande de les activer partout où c'est possible. Elles ne touchent toutefois ni le pare-feu, ni le NAS, ni les imprimantes, ni la plupart des logiciels tiers. Il faut aussi vérifier qu'elles s'installent vraiment : un poste qui n'a pas redémarré depuis trois semaines n'est pas à jour.",{"q":481,"a":482},"Que faire si un correctif brise notre logiciel comptable ou métier ?","Désinstallez le correctif sur les postes touchés, documentez le problème et ouvrez un billet chez l'éditeur du logiciel. Le système devient alors une exception temporaire, avec une date de révision. C'est précisément pour limiter ce genre de surprise qu'on déploie d'abord sur un petit groupe pilote.",{"q":484,"a":485},"Mon assureur cyber peut-il exiger une politique de gestion des correctifs ?","Les questionnaires d'assurance cyber demandent fréquemment comment et dans quels délais vous appliquez les correctifs, en particulier sur les systèmes exposés à Internet. Une politique écrite, appuyée par un rapport de conformité récent, rend vos réponses vérifiables. Répondez avec exactitude : une déclaration inexacte peut compliquer une réclamation.",{"q":487,"a":488},"Qui doit approuver la politique de correctifs dans une PME sans service informatique ?","La direction, idéalement la personne qui assume le risque d'affaires. Le fournisseur de services gérés peut rédiger la politique et l'exécuter, mais c'est l'entreprise qui fixe les délais acceptables et qui approuve les exceptions. Prévoyez une révision annuelle.","politique de gestion des correctifs",{},"\u002Fblogue\u002Fpolitique-gestion-correctifs-pme","---\ntitle: \"Politique de gestion des correctifs : modèle et délais pour PME\"\ndescription: \"Délais par gravité, priorisation des failles exploitées, exceptions et indicateurs : bâtissez une politique de gestion des correctifs réaliste pour votre PME.\"\ndate: 2026-10-24\ncategory: threats\ntags: [\"correctifs\", \"vulnérabilités\", \"pme\", \"mises à jour\"]\ntranslationKey: correctifs\nkeyword: \"politique de gestion des correctifs\"\nfaq:\n  - q: \"Les mises à jour automatiques de Windows suffisent-elles pour une PME ?\"\n    a: \"Elles couvrent une bonne partie du risque et le Centre canadien pour la cybersécurité recommande de les activer partout où c'est possible. Elles ne touchent toutefois ni le pare-feu, ni le NAS, ni les imprimantes, ni la plupart des logiciels tiers. Il faut aussi vérifier qu'elles s'installent vraiment : un poste qui n'a pas redémarré depuis trois semaines n'est pas à jour.\"\n  - q: \"Que faire si un correctif brise notre logiciel comptable ou métier ?\"\n    a: \"Désinstallez le correctif sur les postes touchés, documentez le problème et ouvrez un billet chez l'éditeur du logiciel. Le système devient alors une exception temporaire, avec une date de révision. C'est précisément pour limiter ce genre de surprise qu'on déploie d'abord sur un petit groupe pilote.\"\n  - q: \"Mon assureur cyber peut-il exiger une politique de gestion des correctifs ?\"\n    a: \"Les questionnaires d'assurance cyber demandent fréquemment comment et dans quels délais vous appliquez les correctifs, en particulier sur les systèmes exposés à Internet. Une politique écrite, appuyée par un rapport de conformité récent, rend vos réponses vérifiables. Répondez avec exactitude : une déclaration inexacte peut compliquer une réclamation.\"\n  - q: \"Qui doit approuver la politique de correctifs dans une PME sans service informatique ?\"\n    a: \"La direction, idéalement la personne qui assume le risque d'affaires. Le fournisseur de services gérés peut rédiger la politique et l'exécuter, mais c'est l'entreprise qui fixe les délais acceptables et qui approuve les exceptions. Prévoyez une révision annuelle.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n  - title: \"Centre canadien pour la cybersécurité : Application des mises à jour sur les dispositifs (ITSAP.10.096)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fapplication-des-mises-jour-sur-les-dispositifs-itsap10096\"\n  - title: \"CISA : Known Exploited Vulnerabilities Catalog\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog\"\n  - title: \"CISA : BOD 26-04, Prioritizing Security Updates Based on Risk (juin 2026)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fdirectives\u002Fbod-26-04-prioritizing-security-updates-based-risk\"\n  - title: \"FIRST : Common Vulnerability Scoring System v4.0\"\n    url: \"https:\u002F\u002Fwww.first.org\u002Fcvss\u002Fv4.0\u002F\"\n  - title: \"FIRST : Exploit Prediction Scoring System (EPSS)\"\n    url: \"https:\u002F\u002Fwww.first.org\u002Fepss\u002F\"\n---\n\nVendredi, 15 h. Le fabricant de votre pare-feu publie un avis : une faille critique permet de contourner l'authentification du VPN. Votre technicien externe est en congé, la mise à jour exige un redémarrage et la fin de semaine commence. Qui décide ? Dans quel délai ? Sans politique écrite, la réponse est presque toujours « on verra lundi ».\n\nCe flou est exactement ce dont profitent les attaquants. Ils n'ont pas besoin de failles inédites : l'agence américaine CISA tient un catalogue public des vulnérabilités connues et activement exploitées (KEV), mis à jour en continu. Pour un groupe criminel, une faille corrigée par l'éditeur mais pas par vous est une porte entrouverte.\n\nUne bonne politique de gestion des correctifs tient sur deux pages. Elle répond à trois questions : quoi corriger, dans quel délai, et que faire quand on ne peut pas. Voici comment la bâtir pour une PME.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Une politique utile fixe des délais par niveau de gravité, pas une vague intention de « rester à jour ».\n- La cote CVSS ne suffit pas : une faille exploitée (KEV) sur un appareil exposé à Internet passe devant tout le reste.\n- Chaque exception (logiciel désuet, poste de production) doit être documentée, compensée et revue à date fixe.\n- Deux indicateurs mensuels suffisent pour savoir si la politique fonctionne vraiment.\n::\n\n## Ce que la politique doit contenir\n\nUne politique de correctifs n'est pas un document juridique. C'est une entente claire entre la direction et ceux qui exécutent, qu'il s'agisse d'un employé TI ou d'un fournisseur de services gérés. Elle couvre sept éléments.\n\n1. **La portée.** Postes, serveurs, mais aussi pare-feu, routeurs, VPN, NAS, imprimantes, téléphones, micrologiciels (BIOS) et applications tierces : navigateurs, lecteur PDF, logiciel comptable, extensions du site web.\n2. **Les rôles.** Qui applique, qui vérifie, qui approuve les exceptions.\n3. **L'inventaire.** On ne corrige pas ce qu'on ne connaît pas.\n4. **La veille.** Les avis du Centre canadien pour la cybersécurité, ceux des éditeurs et le catalogue KEV.\n5. **Les délais.** Par gravité et par exposition (voir le tableau ci-dessous).\n6. **Le déploiement.** Groupe pilote, redémarrages, sauvegarde préalable des serveurs.\n7. **Les exceptions et le suivi.** Registre, mesures compensatoires, rapport mensuel.\n\nPrenons un cabinet d'architectes de Québec de 18 employés. Son fournisseur gérait bien les mises à jour Windows, mais personne n'était responsable du NAS de sauvegarde ni des extensions WordPress du site. Ces deux angles morts n'apparaissaient nulle part. La politique les a simplement nommés et attribués.\n\n## Les délais cibles par niveau de gravité\n\nVoici les délais que notre équipe recommande comme point de départ pour une PME. Ce sont des cibles internes, pas des normes légales : ajustez-les à votre réalité, mais écrivez-les.\n\n| Situation | Exemples | Délai cible | Si impossible dans le délai |\n|---|---|---|---|\n| Critique, activement exploitée (KEV) **et** exposée à Internet | VPN, pare-feu, passerelle de courriel, site web | 72 heures au maximum, idéalement 24 à 48 h | Appliquer l'atténuation de l'éditeur ou couper le service le jour même |\n| Critique (CVSS 9,0 à 10,0), non exposée | Serveur de fichiers, contrôleur de domaine | 7 jours | Restreindre l'accès réseau au système |\n| Élevée (CVSS 7,0 à 8,9) | Navigateurs, suite bureautique | 14 jours | Désactiver la fonction vulnérable |\n| Moyenne (CVSS 4,0 à 6,9) | Logiciels internes | 30 jours (cycle mensuel) | Exception documentée |\n| Faible (CVSS 0,1 à 3,9) | Composants peu utilisés | 90 jours ou prochain cycle | Exception documentée |\n\nLa première ligne est celle qui compte le plus. Quand une faille de VPN est exploitée massivement, les attaquants ont souvent une longueur d'avance. Après la mise à jour, vérifiez donc les journaux de l'appareil pour des connexions suspectes : corriger ne chasse pas un intrus déjà entré. La directive BOD 26-04 publiée par la CISA en juin 2026 va dans le même sens, en exigeant des agences fédérales américaines une correction et une analyse forensique en trois jours pour les cas les plus graves.\n\n## Prioriser : la cote CVSS ne raconte pas toute l'histoire\n\nLa cote CVSS mesure la gravité technique d'une faille, sur une échelle de 0 à 10. Elle ne dit pas si quelqu'un l'exploite réellement. Deux autres sources complètent le portrait :\n\n- **Le catalogue KEV** confirme qu'une faille est exploitée dans la nature.\n- **Le score EPSS**, publié par FIRST, estime la probabilité qu'une faille soit exploitée dans les 30 prochains jours.\n\nLa directive BOD 26-04 a d'ailleurs abandonné les délais fondés uniquement sur la cote CVSS. Elle priorise selon quatre questions, faciles à reprendre dans une PME : l'appareil est-il exposé à Internet ? La faille figure-t-elle dans le KEV ? L'exploitation peut-elle être automatisée ? L'attaquant obtient-il un contrôle partiel ou total ?\n\nExemple : chez un distributeur alimentaire de Lévis, le rapport de balayage affiche une faille notée 9,8 sur une imprimante interne et une autre notée 7,5 sur le VPN, inscrite au KEV. Le VPN passe en premier, sans hésitation. C'est d'ailleurs par ce type de porte d'entrée que débutent bien des [attaques par rançongiciel](\u002Fblogue\u002Francongiciel-pme-anatomie-attaque).\n\n::cta{variant=\"audit\"}\n::\n\n## Le cycle mensuel, en pratique\n\nMicrosoft publie ses correctifs le deuxième mardi de chaque mois (le *Patch Tuesday*). C'est un bon métronome pour toute l'entreprise.\n\n- **Semaine 1 : le groupe pilote.** Deux ou trois postes, dont celui de la personne la plus à l'aise avec l'informatique, reçoivent les correctifs en premier.\n- **Semaine 2 : le déploiement général.** Si rien ne brise, tous les postes suivent. Fixez un délai de grâce, puis forcez le redémarrage.\n- **Fenêtre planifiée : les serveurs.** Un soir de semaine, après avoir confirmé que la sauvegarde de la veille a réussi. Si vous doutez de vos copies, relisez notre guide sur les [sauvegardes 3-2-1-1-0](\u002Fblogue\u002Fsauvegardes-3-2-1-1-0-rancongiciel).\n- **Chaque mois : le reste du parc.** Applications tierces, micrologiciels du pare-feu, du NAS et des imprimantes, extensions du site web.\n\nLe Centre canadien pour la cybersécurité recommande d'activer les mises à jour automatiques partout où c'est possible et de remplacer les produits que l'éditeur ne prend plus en charge. Pour une PME, c'est le meilleur rapport effort-sécurité : on automatise le courant et on garde l'énergie humaine pour les urgences.\n\n## Les exceptions : quand on ne peut pas corriger\n\nCertains systèmes ne peuvent pas être mis à jour rapidement. Un poste qui pilote une machine-outil, un logiciel métier qui exige une ancienne version de Java, un ordinateur encore sous Windows 10, dont le support a pris fin le 14 octobre 2025.\n\nL'exception est acceptable. L'exception oubliée ne l'est pas. Chaque entrée du registre précise :\n\n- le système et la raison de l'exception;\n- le risque, en une phrase compréhensible par la direction;\n- la mesure compensatoire : isolement réseau, retrait de l'accès Internet, authentification multifacteur, liste blanche d'applications;\n- la date d'expiration et la personne qui l'a approuvée.\n\nPour les appareils de périphérie en fin de vie (pare-feu, routeurs, VPN), il n'y a pas de mesure compensatoire satisfaisante : on les remplace. La CISA a d'ailleurs consacré une directive distincte (BOD 26-02) à ce seul problème.\n\n## Mesurer et prouver que ça fonctionne\n\nUne politique qu'on ne mesure pas devient vite un vœu pieux. Deux indicateurs suffisent :\n\n- **Le taux de conformité** : le pourcentage d'appareils à jour à l'intérieur des délais du tableau.\n- **L'âge du plus vieux correctif critique manquant**, sur l'ensemble du parc.\n\nPrésentez-les chaque mois à la direction, sur une page. Ces chiffres serviront aussi à répondre au [questionnaire de votre assureur cyber](\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur) sans improviser.\n\nChecklist de mise en place :\n\n- [ ] L'inventaire couvre aussi le pare-feu, le NAS, les imprimantes et les applications tierces.\n- [ ] Les délais par gravité sont écrits et approuvés par la direction.\n- [ ] Une personne est abonnée aux avis du Centre canadien et surveille le catalogue KEV.\n- [ ] Un groupe pilote reçoit les correctifs avant tout le monde.\n- [ ] Les redémarrages sont forcés après un délai de grâce.\n- [ ] Le registre des exceptions existe, avec dates d'expiration.\n- [ ] Un balayage de vulnérabilités vérifie le résultat au moins chaque trimestre.\n- [ ] Le rapport mensuel est présenté à la direction.\n\nSi votre parc accumule du retard ou des exceptions sans fin, notre équipe peut prendre en charge le rattrapage et le durcissement des systèmes dans le cadre de notre service de [remédiation et durcissement](\u002Fservices\u002Fremediation-durcissement). L'important est de commencer : un tableau de délais écrit vaut mieux qu'une intention parfaite.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":474},[495,498,501,504,507,510],{"title":496,"url":497},"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations",{"title":499,"url":500},"Centre canadien pour la cybersécurité : Application des mises à jour sur les dispositifs (ITSAP.10.096)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fapplication-des-mises-jour-sur-les-dispositifs-itsap10096",{"title":502,"url":503},"CISA : Known Exploited Vulnerabilities Catalog","https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog",{"title":505,"url":506},"CISA : BOD 26-04, Prioritizing Security Updates Based on Risk (juin 2026)","https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fdirectives\u002Fbod-26-04-prioritizing-security-updates-based-risk",{"title":508,"url":509},"FIRST : Common Vulnerability Scoring System v4.0","https:\u002F\u002Fwww.first.org\u002Fcvss\u002Fv4.0\u002F",{"title":511,"url":512},"FIRST : Exploit Prediction Scoring System (EPSS)","https:\u002F\u002Fwww.first.org\u002Fepss\u002F","blogue\u002Fpolitique-gestion-correctifs-pme",[515,516,517,518],"correctifs","vulnérabilités","pme","mises à jour",null,"y8IkMwDIRlj2HMTj2EEldFVO74yJ304oaFITB6A-SZ8",{"path":522},"\u002Fen\u002Fblog\u002Fpatch-management-policy-small-business",[524,531,538],{"path":525,"title":526,"description":527,"category":472,"minutes":23,"tags":528},"\u002Fblogue\u002Ffin-support-windows-10-entreprise","Fin du support de Windows 10 : que faire en entreprise en 2026","Windows 10 n'est plus supporté depuis le 14 octobre 2025. Mises à jour ESU, coûts, migration vers Windows 11 : le plan d'action de votre PME en 2026.",[529,515,530,517],"windows","fin de vie",{"path":532,"title":533,"description":534,"category":472,"minutes":27,"tags":535},"\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise","Sécuriser le site WordPress de l'entreprise : la checklist","Extensions à jour, 2FA, pare-feu applicatif, sauvegardes testées : la checklist pour sécuriser le site WordPress de votre PME, selon WordPress et le Centre.",[536,537,515,517],"wordpress","site web",{"path":539,"title":540,"description":541,"category":284,"minutes":27,"tags":542},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","Audit vs pentest vs scan de vulnérabilités : lequel choisir ?","Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.",[284,543,516,517],"pentest",1792972904924]