Quand on évoque la « réduction de la surface d'attaque », on pense souvent segmentation réseau, EDR ou durcissement des annuaires. Ces sujets sont légitimes. Mais dans une PME, le levier le plus rentable est ailleurs, et il est moins spectaculaire : savoir précisément quels logiciels tournent sur le parc, n'en garder que ceux qui servent, et les maintenir à jour.
Chaque logiciel inutile est une porte laissée entrouverte
Sur un parc qui n'a jamais fait l'objet d'un inventaire sérieux, on trouve immanquablement trois catégories de logiciels problématiques : les versions obsolètes d'outils encore utilisés (un vieux Java, un lecteur PDF de 2022), les logiciels installés « pour tester » et jamais désinstallés, et les utilitaires préinstallés par les constructeurs. Chacun ajoute des vulnérabilités potentielles sans apporter de valeur. L'inventaire n'est pas une fin en soi : c'est ce qui permet de décider quoi retirer.
Corriger vite ce qui reste
Une fois le parc réduit aux logiciels réellement utiles, la question devient le délai d'application des correctifs. Les attaquants n'ont pas besoin de vulnérabilités zero-day : les analyses de compromissions montrent que les failles exploitées ont souvent un correctif disponible depuis plusieurs semaines. L'écart entre la publication d'un correctif et son application effective — le « délai de remédiation » — est probablement l'indicateur de sécurité le plus parlant pour un dirigeant.
Les trois mesures qui changent tout
- Inventorier en continu, pas une fois par an : le parc évolue chaque semaine, un inventaire figé est un inventaire faux.
- Désinstaller proactivement : tout logiciel non justifié par un usage métier doit pouvoir être retiré à distance.
- Suivre le délai moyen de correction et le présenter mensuellement, comme n'importe quel indicateur d'activité.
Ces trois mesures ne remplacent ni l'antivirus ni la sensibilisation des utilisateurs. Mais elles traitent le vecteur d'attaque le plus courant, pour un coût modeste — et elles constituent exactement le socle que les référentiels ISO 27001 et NIS2 attendent en matière de gestion des vulnérabilités.