Calendrier de maintenance informatique d'une PME
La maintenance informatique d'une PME suit quatre rythmes : dès qu'un correctif de sécurité paraît, chaque semaine ou chaque mois selon le volume de données, chaque mois pour Windows, et au moins une fois par an pour les contrôles de fond. Ce calendrier ne reprend que les rythmes publiés par l'ANSSI, Cybermalveillance.gouv.fr ou Microsoft, avec leur source. Quand une recommandation dit seulement « régulièrement », le rythme revient à l'entreprise, qui le fixe avec son prestataire et l'écrit.
| Rythme | Geste | Source |
|---|---|---|
| Dès la publication du correctif | Installer les mises à jour de sécurité des systèmes et des logiciels | ANSSI, guide pour les TPE et PME |
| Chaque jour, chaque semaine ou chaque mois | Sauvegarder, à un rythme fixé selon le volume de données produites | ANSSI, guide pour les TPE et PME |
| Chaque semaine, pendant le déploiement | Lire les rapports agrégés DMARC du domaine | Microsoft Learn, configurer DMARC |
| Chaque mois | Vérifier que la mise à jour de sécurité Windows, publiée le deuxième mardi, est installée sur tous les postes | Microsoft Learn, cycle de publication |
| Chaque mois, une fois DMARC stabilisé | Lire les rapports agrégés DMARC | Microsoft Learn, configurer DMARC |
| Au moins une fois par an | Faire un exercice de restauration des données et en garder la trace | ANSSI, guide d'hygiène informatique |
| Au moins une fois par an | Mettre à jour le bilan du parc, des logiciels et des accès | ANSSI, guide pour les TPE et PME |
| Au moins une fois par an | Faire contrôler la sécurité du système d'information par un audit | ANSSI, guide d'hygiène informatique |
| À chaque arrivée et chaque départ | Créer, modifier ou fermer les comptes et les accès | ANSSI, guide d'hygiène, mesure 6 |
Dès qu'un correctif paraît : les mises à jour de sécurité
Les mises à jour de sécurité n'attendent pas une date du calendrier. L'ANSSI écrit dans son guide pour les TPE et PME qu'« Il est indispensable d’effectuer, dès que possible, les mises à jour » des systèmes et des logiciels, dès que leurs éditeurs publient les correctifs. Cybermalveillance.gouv.fr recommande d'activer l'installation automatique quand elle existe et de planifier les mises à jour pendant les périodes d'inactivité.
Les procédures du poste mises à jour détaillent les gestes : tenir les mises à jour Windows de tous les postes, mettre à jour les logiciels et les navigateurs, mettre à jour la box, le pare-feu et le NAS.
Chaque jour, chaque semaine ou chaque mois : les sauvegardes
Le rythme des sauvegardes dépend du volume de données que l'entreprise produit, et l'ANSSI le laisse à chaque entreprise. Ses exemples bornent le choix : une entreprise artisanale « pourra choisir une fréquence mensuelle de sauvegarde de ses factures et de son fichier client », une entreprise de services dont la valeur tient aux échanges dématérialisés « pourra choisir une fréquence accrue avec des sauvegardes hebdomadaires voire quotidiennes ». Pour une sauvegarde différentielle, l'ANSSI cite des points de restauration « chaque jour ou chaque semaine pour les données métier, et chaque mois pour les données techniques ».
Le contrôle des sauvegardes suit le même rythme que les sauvegardes elles-mêmes : Cybermalveillance.gouv.fr demande de s'assurer « régulièrement » qu'elles fonctionnent, sans fixer d'intervalle. Le rythme retenu s'écrit dans le plan de sauvegarde de l'entreprise, et le contrôle des sauvegardes s'y cale.
Chaque semaine : seulement quand une source le dit
Deux gestes ont un rythme hebdomadaire publié, et tous deux sont conditionnels. Les sauvegardes hebdomadaires sont l'un des exemples de l'ANSSI pour une entreprise qui produit beaucoup de données. Microsoft conseille, dans sa documentation DMARC, d'« Examiner les rapports agrégés chaque semaine pendant le déploiement initial, puis tous les mois une fois le système stabilisé. » La procédure configurer SPF, DKIM et DMARC reprend ce suivi.
Chaque mois : la mise à jour de sécurité de Windows
Microsoft publie la mise à jour de sécurité mensuelle de Windows le deuxième mardi de chaque mois, selon sa documentation sur le cycle de publication. Ce rendez-vous fixe sert de repère pour vérifier, chaque mois, qu'aucun poste n'a de mise à jour en attente, en particulier les portables rarement allumés. Un poste encore sous Windows 10, dont le support a pris fin le 14 octobre 2025, ne reçoit plus ces correctifs sans abonnement : la procédure sortir de Windows 10 traite ce cas.
Au moins une fois par an : les contrôles de fond
Trois contrôles ont un minimum annuel publié par l'ANSSI. Le guide d'hygiène informatique recommande de planifier « au moins une fois par an un exercice de restauration des données et de conserver une trace technique des résultats », et des audits réguliers du système d'information, « au moins une fois par an ». Le guide pour les TPE et PME demande que le bilan du parc et des accès soit « mis à jour régulièrement, et au moins une fois par an ».
Ces trois contrôles ont leurs procédures : tester une restauration de fichiers, tenir l'inventaire du parc, faire la revue des comptes et des droits. Le contrôle annuel est aussi le bon moment pour relire, avec le prestataire, la répartition des tâches de maintenance.
À chaque événement : arrivées, départs, fins de support, incidents
Certains gestes ne suivent pas le calendrier mais un événement. La mesure 6 du guide d'hygiène de l'ANSSI demande d'organiser les procédures d'arrivée, de départ et de changement de fonction des utilisateurs : fermer les accès au départ d'un salarié se fait le jour du départ. La mesure 35 demande d'anticiper la fin de la maintenance des logiciels et systèmes, avant qu'elle n'arrive.
Un incident, enfin, se traite avec les fiches réflexes, qui se lisent avant d'en avoir besoin.
Ce que les sources laissent à l'entreprise
Beaucoup de recommandations publiques disent « régulièrement » sans donner d'intervalle : vérifier les sauvegardes, revoir les comptes privilégiés, tester les restaurations. Ce calendrier n'invente pas de chiffre à leur place. Le bon réflexe est de fixer ce rythme avec le prestataire d'infogérance, de l'écrire dans le contrat ou le plan de sauvegarde, puis de vérifier qu'il est tenu ; la méthode du site explique pourquoi aucune fréquence n'est donnée sans source.