Les développeurs de navigateurs ont publié une nouvelle série de correctifs de sécurité cette semaine, et de nombreux propriétaires de sites ignorent toujours leur politique de mise à jour. C'est important car les attaquants ciblent désormais les failles des navigateurs plus rapidement que la plupart des équipes n'appliquent les correctifs. Une politique de mise à jour laxiste met vos visiteurs en danger, même si votre propre site web reste sécurisé. Cet article explique ce qui a changé dans le dernier cycle de correctifs et comment vous pouvez améliorer votre politique avant l'arrivée du prochain.
Pourquoi votre politique de mise à jour nécessite une attention immédiate
Google et Mozilla ont publié des correctifs ce mois-ci pour des vulnérabilités que les attaquants utilisaient déjà dans des incidents réels. Par conséquent, de nombreuses entreprises font face à un délai plus court entre la divulgation et l'attaque. Les attaquants peuvent copier un correctif et découvrir la faille en quelques jours. Par conséquent, une politique de mise à jour lente crée un réel risque de sécurité.
De plus, les éditeurs de navigateurs publient désormais des correctifs selon un calendrier plus rapide et moins prévisible. Chrome, Firefox et Edge ont tous publié des correctifs d'urgence en dehors de leur calendrier habituel ce mois-ci. En conséquence, une politique de mise à jour basée sur des vérifications mensuelles ne correspond plus à ce modèle. Au lieu de cela, les équipes ont besoin d'une politique qui réagit immédiatement aux alertes, et non d'une politique qui attend une date fixe.
Ce qui a changé dans le cycle de correctifs des navigateurs
Les éditeurs de navigateurs avaient l'habitude de publier des correctifs de sécurité lors de mises à jour planifiées et prévisibles. Cependant, le dernier cycle montre une tendance vers des correctifs rapides et non planifiés pour les vulnérabilités faisant l'objet d'attaques actives. Google a confirmé que plusieurs correctifs corrigeaient des failles déjà exploitées par les attaquants. Ce changement signifie que votre politique de mise à jour ne peut plus dépendre d'un examen mensuel fixe.
De plus, la plupart des navigateurs se mettent désormais à jour automatiquement pour les utilisateurs réguliers, mais de nombreux réseaux d'entreprise désactivent cette fonctionnalité. Certaines équipes informatiques retardent les mises à jour pour tester d'abord la compatibilité avec les logiciels internes. Pendant ce temps, ce délai crée une fenêtre que les attaquants peuvent exploiter. Par conséquent, une politique de mise à jour efficace nécessite un processus de test plus rapide, et non plus lent.
Élaborer une politique de mise à jour qui fonctionne réellement
Une politique de mise à jour pratique commence par une responsabilité claire. Quelqu'un dans votre équipe, ou votre hébergeur, doit être chargé de vérifier et d'appliquer les mises à jour du navigateur. Sinon, les équipes retardent souvent les mises à jour pendant des semaines. Par conséquent, attribuez cette tâche clairement et examinez le processus chaque trimestre.
Ensuite, définissez un délai maximum pour les correctifs de sécurité critiques, idéalement dans les 48 heures suivant leur publication. Gardez également une trace simple de ce que vous avez mis à jour et quand, car cet historique est utile lors d'une analyse d'incident. Les petites entreprises sans personnel informatique dédié peuvent demander à un hébergeur géré de prendre en charge ce volet. Par conséquent, ce choix élimine les incertitudes et maintient votre politique de mise à jour cohérente, même pendant les périodes chargées.
Les risques liés à l'ignorance de votre politique de mise à jour
Les navigateurs obsolètes créent un point d'entrée facile pour les attaquants qui ciblent votre personnel ou vos clients. Un seul ordinateur portable non corrigé peut exposer les données des clients via une session compromise. De plus, de nombreuses petites entreprises supposent que la sécurité de leur site web couvre ce risque, mais les vulnérabilités des navigateurs existent en dehors de cette limite. En fait, de nombreuses équipes ne remarquent cette lacune qu'après qu'un incident a forcé un examen.
De plus, les assureurs cyber demandent de plus en plus souvent quelles sont les pratiques de mise à jour lors des réclamations. Sans politique de mise à jour documentée, une entreprise peut avoir du mal à prouver qu'elle a fait preuve d'une diligence raisonnable après un incident. Traiter cette politique comme une simple formalité crée donc un réel risque financier. En résumé, une politique documentée et appliquée protège à la fois vos données et votre position juridique.
Dernières réflexions sur la politique de mise à jour
La sécurité des navigateurs change plus vite que la plupart des équipes ne le prévoient, et une politique de mise à jour conçue pour les menaces de l'année dernière ne vous protégera pas aujourd'hui. Examinez votre politique de mise à jour actuelle cette semaine, attribuez une responsabilité claire et réduisez votre fenêtre de correctif dans la mesure du possible. Si vous gérez une petite entreprise sans support informatique dédié, demandez à votre hébergeur de gérer ce processus pour vous. STACKwebzine continuera de suivre ces cycles de correctifs, alors revenez nous voir avant l'arrivée du prochain.
