Procédure de maintenance
Tenir à jour Windows sur tous les postes de l'entreprise
Tenir Windows à jour, c'est vérifier chaque mois que la mise à jour de sécurité publiée par Microsoft est installée sur tous les postes, y compris les portables rarement allumés, après des redémarrages planifiés.
Tenir les mises à jour Windows d'une PME, c'est vérifier chaque mois que la mise à jour de sécurité publiée par Microsoft est installée sur tous les postes, y compris ceux qu'on allume rarement. Microsoft publie cette mise à jour le deuxième mardi de chaque mois, ce qui donne un rendez-vous fixe. Le prestataire d'infogérance suit le parc depuis une console ; l'entreprise accepte les redémarrages et signale tout poste qui reste éteint.
Le rythme de Windows, selon Microsoft et l'ANSSI
La documentation de Microsoft sur le cycle de publication indique que la mise à jour de sécurité mensuelle est publiée le deuxième mardi de chaque mois. La mesure 34 du guide d'hygiène informatique de l'ANSSI demande de définir une politique de mise à jour et recommande d'appliquer les correctifs de sécurité dans le mois qui suit leur publication par l'éditeur. Pour un poste Windows, le mois qui suit le deuxième mardi est donc le délai à tenir.
Les bonnes pratiques de Cybermalveillance.gouv.fr sur les mises à jour complètent ce rythme par trois gestes : activer le téléchargement et l'installation automatiques, planifier les mises à jour pendant les périodes d'inactivité, et vérifier à la main que la mise à jour a bien fonctionné.
Les postes qui échappent aux mises à jour
Un portable rarement allumé manque facilement le rendez-vous mensuel, car une mise à jour ne s'installe pas sur une machine éteinte. Un poste dont le redémarrage est sans cesse reporté reste lui aussi sans correctif appliqué. Le contrôle poste par poste, après le deuxième mardi, sert à repérer ces deux cas avant qu'ils ne durent.
Windows 10 sort de ce rythme : Microsoft a fixé la fin de son support au 14 octobre 2025, et un poste resté sous Windows 10 ne reçoit plus de correctifs en dehors du programme de mises à jour de sécurité étendues. La procédure sortir de Windows 10 traite ces postes. Les logiciels installés sur chaque poste ont leur propre rythme, décrit dans mettre à jour les logiciels et les navigateurs.
Mises à jour Windows : ce que fait le prestataire, ce que garde l'entreprise
Le prestataire d'infogérance pilote les mises à jour du parc depuis sa console, relance chaque poste en retard et traite ceux qui refusent un correctif. L'entreprise garde le calendrier des redémarrages, qui doit tomber hors des moments de travail, et un réflexe : brancher et allumer les portables après le deuxième mardi. Avant une mise à jour importante, une sauvegarde contrôlée évite qu'un correctif ne devienne une panne.
La procédure
Tenir les mises à jour Windows, étape par étape
Prévoyez la liste des postes de l'entreprise, l'accès à la console de gestion du prestataire ou aux paramètres Windows Update de chaque poste, et un créneau de redémarrage hors des heures de travail.
Régler les mises à jour automatiques
La plupart des correctifs doivent s'installer sans intervention ; le réglage se fait une fois, poste par poste.
-
#
Un poste absent de la liste n'est vérifié par personne et finit par accumuler les correctifs manquants.
Le détail de l'étape
C'est fait quand : La liste nomme chaque poste, son utilisateur et sa version de Windows.
Comment vérifier : La liste correspond à l'inventaire du parc et à ce que voit la console du prestataire.
Le piège : Oublier le poste d'un salarié absent, d'un remplaçant ou d'un portable rangé dans un tiroir.
-
#
Cybermalveillance.gouv.fr recommande l'installation automatique quand elle existe : le correctif arrive sans attendre qu'une personne y pense.
Le détail de l'étape
C'est fait quand : Les paramètres de Windows Update de chaque poste, ou la règle posée depuis la console, activent l'installation automatique.
Comment vérifier : Un poste pris au hasard montre ces paramètres actifs et non modifiables par l'utilisateur.
Le piège : Laisser un salarié suspendre les mises à jour parce qu'elles le gênent.
-
#
Une mise à jour peut exiger un redémarrage, et un redémarrage au mauvais moment fait perdre du travail et pousse à la repousser.
Le détail de l'étape
C'est fait quand : Une plage de redémarrage, hors des heures de travail, est écrite et connue des salariés.
Comment vérifier : Les postes redémarrent dans cette plage et non pendant une réunion ou une saisie.
Le piège : Ne rien annoncer aux salariés : ils découvrent le redémarrage à l'écran et le repoussent.
Vérifier après le deuxième mardi
Microsoft publie la mise à jour de sécurité mensuelle le deuxième mardi de chaque mois : le contrôle suit ce rendez-vous.
-
#
Une installation automatique peut échouer sans bruit, et seul le contrôle le révèle.
Le détail de l'étape
C'est fait quand : La console, ou l'écran Windows Update de chaque poste, ne montre plus de mise à jour de sécurité en attente.
Comment vérifier : Le contrôle porte sur chaque poste de la liste, pas sur un échantillon.
Le piège : Se fier à un tableau de bord global qui affiche un pourcentage sans nommer les postes en retard.
-
#
Un poste en retard cache un problème précis : machine éteinte, redémarrage reporté, espace disque plein ou échec d'installation.
Le détail de l'étape
C'est fait quand : Chaque poste en retard porte une cause notée et une action, avec le nom de la personne qui s'en charge.
Comment vérifier : Le poste est revérifié après l'action et ne figure plus parmi les retards.
Le piège : Relancer l'installation sans chercher pourquoi elle a échoué, ce qui répète l'échec le mois suivant.
-
#
Un portable éteint ne reçoit aucun correctif et rejoint le réseau de l'entreprise avec des failles connues.
Le détail de l'étape
C'est fait quand : Chaque portable de la liste a été allumé, connecté à Internet et laissé en marche le temps de l'installation.
Comment vérifier : Le portable apparaît ensuite sans mise à jour en attente dans la console ou dans Windows Update.
Le piège : Ne vérifier que les postes de bureau, qui sont allumés tous les jours, et laisser les portables de côté.
Tenir le délai et traiter les exceptions
Le délai recommandé par l'ANSSI est d'un mois après la publication ; ce qui le dépasse devient une exception à décider.
-
#
La mesure 34 du guide d'hygiène de l'ANSSI recommande ce délai pour que les failles connues ne restent pas ouvertes.
Le détail de l'étape
C'est fait quand : Aucun poste ne porte un correctif de sécurité publié depuis plus d'un mois sans installation.
Comment vérifier : La date du dernier correctif installé de chaque poste est lue dans la console ou dans Windows Update.
Le piège : Accepter qu'un poste reste en retard au motif qu'il sert peu.
-
#
Un poste qui ne reçoit plus de correctifs ne rattrapera jamais son retard : il faut le remplacer, le mettre à niveau ou l'isoler.
Le détail de l'étape
C'est fait quand : Chaque poste concerné a une décision écrite, une date et un responsable.
Comment vérifier : La liste des postes concernés correspond à celle de la procédure sur la sortie de Windows 10.
Le piège : Laisser ces postes sur le réseau principal en attendant de trancher.
Questions fréquentes
Quand Microsoft publie-t-il les mises à jour de sécurité de Windows ?
La mise à jour de sécurité mensuelle de Windows est publiée le deuxième mardi de chaque mois, selon la documentation de Microsoft sur le cycle de publication. Ce rendez-vous fixe la date du contrôle mensuel : passé ce mardi, chaque poste doit avoir installé le correctif du mois. Le rythme des autres contrôles de maintenance figure dans le calendrier de maintenance.
Dans quel délai faut-il installer un correctif de sécurité ?
Dès que possible, dit l'ANSSI dans son guide pour les TPE et PME, qui juge indispensable de faire les mises à jour dès que les éditeurs publient leurs correctifs. Son guide d'hygiène informatique précise un horizon : appliquer les correctifs dans le mois qui suit leur publication. Le poste mises à jour détaille la répartition des tâches entre l'entreprise et son prestataire.
Faut-il laisser les mises à jour Windows se faire automatiquement ?
Oui, quand l'option existe : Cybermalveillance.gouv.fr recommande d'activer le téléchargement et l'installation automatiques, puis de vérifier à la main que la mise à jour a fonctionné. L'automatique évite l'oubli, le contrôle repère l'échec silencieux. Le prestataire d'infogérance règle et suit cela depuis une console ; l'entreprise accepte les redémarrages planifiés.
Que faire d'un ordinateur portable rarement allumé ?
Le faire allumer et connecter à Internet après chaque deuxième mardi, le temps que les mises à jour s'installent, puis vérifier qu'il n'a plus rien en attente. Un portable éteint ne reçoit aucun correctif. Si l'appareil est utilisé hors des locaux, le poste postes et parc décrit comment suivre l'ensemble des machines de l'entreprise.