Introduction

En juillet, un mois après l’attaque, le prestataire de Verdier Architectes a dressé la liste de tout ce qui, à l’agence, peut recevoir une mise à jour. Il a compté trente et un éléments : ordinateurs, téléphones, NAS, box, imprimante, traceur de plans, site internet, logiciels. Neuf étaient en retard.

Le NAS n’avait rien reçu depuis quatorze mois : c’est par lui que les pirates étaient entrés. L’ordinateur qui pilote le traceur tournait encore sous Windows 10, qui ne reçoit plus de correctifs gratuits depuis octobre 2025. L’imprimante n’avait jamais été mise à jour depuis son achat. Trois extensions du site internet attendaient depuis des mois. Et le téléphone personnel de Sofia, qui reçoit la messagerie de l’agence, était trop ancien pour recevoir encore des correctifs.

Personne n’avait rien négligé volontairement. Simplement, personne n’était chargé de regarder. Les mises à jour sont souvent vécues comme une contrainte : un redémarrage au mauvais moment, un menu qui change. Elles sont pourtant l’une des protections les plus efficaces. Ce module reprend les dix bonnes pratiques de Cybermalveillance.gouv.fr et les transforme en une méthode simple pour une petite entreprise.

1. Pourquoi mettre à jour

Les appareils et les logiciels que nous utilisons contiennent des failles de sécurité : des défauts qu’un pirate peut exploiter pour prendre le contrôle d’un ordinateur, d’un téléphone ou même d’une montre connectée. Quand une faille est découverte, l’éditeur ou le fabricant publie une mise à jour qui la corrige. En anglais, on parle de patch.

Dès qu’un correctif est publié, la faille devient publique. Les pirates comparent souvent l’ancienne et la nouvelle version pour comprendre ce qui a été corrigé, puis attaquent ceux qui n’ont pas mis à jour. Plus on attend, plus on est exposé.

Il existe deux grands types de mises à jour.

Les mises à jour importantes ou critiques corrigent des failles de sécurité. Ce sont elles qu’il faut installer sans tarder.

Les mises à jour de version apportent de nouvelles fonctions et corrigent aussi des failles. Elles peuvent être payantes.

Un seul appareil en retard suffit. La fiche de Cybermalveillance.gouv.fr cite deux exemples. Aux États-Unis, des pirates ont volé des données d’un casino en passant par le thermomètre connecté de son aquarium. En France, une faille sur certaines trottinettes électriques permettait de les déverrouiller ou de contrôler leur freinage sans mot de passe, jusqu’à la publication d’un correctif.

Avec l’IA. Demandez à un assistant d’IA d’expliquer, avec une comparaison de la vie courante, pourquoi une faille corrigée devient plus dangereuse pour ceux qui ne mettent pas à jour. Utilisez son explication en réunion d’équipe : elle rend le prochain redémarrage moins pénible.

Exemples :

• Mise à jour critique du système de l’ordinateur : à installer le jour même.
• Nouvelle version d’un logiciel de dessin, payante : à planifier, sauf si l’ancienne ne reçoit plus de correctifs.
• Mise à jour du micrologiciel de l’imprimante : souvent oubliée, pourtant l’imprimante est connectée au réseau.

2. Faire l’inventaire

On ne met pas à jour ce qu’on a oublié. La fiche recommande d’identifier l’ensemble des appareils et logiciels utilisés. Dans une petite entreprise, la liste est plus longue qu’on ne croit.

Les ordinateurs : système, navigateurs, suite bureautique, logiciels métier, antivirus, lecteurs de documents.

Les téléphones et tablettes, y compris personnels s’ils servent au travail : système et applications.

Le réseau : box internet, borne wifi, commutateur, pare-feu.

Les équipements connectés : NAS, imprimante, traceur, caméra, alarme, écran de salle de réunion. Leur logiciel interne s’appelle un micrologiciel ; il se met à jour aussi.

Le site internet : outil de gestion, thème, extensions.

Les services en ligne : ils se mettent à jour côté éditeur, mais leurs applications installées sur vos appareils, non.

Certains fournisseurs d’accès proposent une application qui liste les appareils connectés au réseau. C’est un bon point de départ.

Autre conseil de la fiche : quand vous achetez un appareil, réinitialisez-le avant de l’utiliser, puis installez les mises à jour proposées par le fabricant et les éditeurs. Un appareil neuf est souvent resté des mois en stock.

Avec l’IA. Décrivez votre activité et votre équipe à un assistant d’IA et demandez-lui une liste de départ de tout ce qui peut recevoir une mise à jour dans une entreprise comme la vôtre. Complétez-la en faisant le tour des bureaux : l’IA oublie toujours l’imprimante du couloir.

Exemples :

• L’inventaire de Verdier Architectes : 6 ordinateurs, 5 téléphones, 1 NAS, 1 box, 1 borne wifi, 1 imprimante, 1 traceur, le site internet avec ses extensions et 14 logiciels, soit 31 éléments.
• Un indépendant : un portable, un téléphone, une box, une imprimante, un site vitrine et six logiciels.
• Un nouvel ordinateur livré : réinitialisation, mises à jour, puis installation des logiciels depuis les sites des éditeurs.

3. Automatiser et télécharger à la bonne source

Activez les mises à jour automatiques partout où c’est possible : système, navigateurs, applications, antivirus, NAS, site internet. Vous disposerez ainsi toujours de la dernière version. La fiche ajoute une précaution : vérifiez de temps en temps, manuellement, que la mise à jour fonctionne bien. Une option automatique peut s’arrêter sans prévenir, comme celle du NAS de l’agence.

Pensez à redémarrer. Beaucoup de correctifs ne s’appliquent qu’au redémarrage. Un ordinateur jamais éteint peut avoir téléchargé une mise à jour sans l’avoir installée.

Téléchargez uniquement depuis les sites ou dispositifs officiels des éditeurs et fabricants : l’outil de mise à jour du système, le magasin d’applications, le site de l’éditeur. Eux seuls garantissent au mieux que la mise à jour n’est pas infectée.

Lisez avant de cliquer sur « Suivant ». À l’installation, des cases précochées ou des conditions d’utilisation peuvent valoir acceptation d’un autre logiciel, publicitaire par exemple. Décochez ce que vous n’avez pas demandé.

Avec l’IA. Demandez à un assistant d’IA comment activer et vérifier les mises à jour automatiques sur votre système, votre navigateur et votre NAS, en précisant les modèles. Comparez chaque procédure à l’aide officielle du fabricant : les menus changent d’une version à l’autre.

Exemples :

• Mises à jour automatiques du NAS réactivées, avec un contrôle le premier lundi de chaque mois.
• Ordinateurs éteints le soir : les correctifs s’installent au redémarrage du matin.
• Installation d’un lecteur de documents : la case « installer aussi une barre d’outils » est décochée.

4. Organiser : qui, quand, comment

En entreprise, la fiche recommande de définir des règles de mise à jour. Qui fait l’inventaire ? Où et comment chercher les mises à jour ? Qui les installe ? À quel moment ?

S’il existe un service informatique ou un prestataire, il s’en charge en général. Sinon, rappelle la fiche, ce sont les collaborateurs qui le font, sous l’autorité du chef d’entreprise. Autrement dit, la responsabilité reste celle du dirigeant, même quand la tâche est partagée.

Planifiez les mises à jour pendant les périodes d’inactivité : pause déjeuner, réunion, nuit. Un message de mise à jour qui interrompt une vidéo ou la rédaction d’un courriel est souvent ignoré. Une mise à jour peut prendre de quelques secondes à plusieurs heures.

Une règle simple tient en quatre lignes. Chaque appareil a un responsable. Les mises à jour automatiques sont activées partout. Un contrôle mensuel vérifie qu’elles fonctionnent et traite ce qui reste. Les mises à jour critiques signalées par l’éditeur ou par une alerte sont installées dans la semaine.

Avec l’IA. Demandez à un assistant d’IA de rédiger votre règle de mise à jour en dix lignes au plus, à partir des questions de ce chapitre : qui, quand, comment, qui contrôle. Adaptez-la à votre équipe. Elle fait partie du livrable de ce module.

Exemples :

• Verdier Architectes : le prestataire gère NAS, box et site internet ; chaque salarié gère son poste et son téléphone ; Inès fait le contrôle mensuel.
• Les mises à jour du site internet sont programmées le mardi à 13 h, après une sauvegarde.
• Une alerte de Cybermalveillance.gouv.fr sur une faille critique déclenche une mise à jour dans la journée.

5. Se méfier des fausses mises à jour

En naviguant, il arrive qu’une fenêtre ou une publicité prenne l’apparence d’une alerte de mise à jour : « Votre navigateur est obsolète », « Votre lecteur vidéo doit être mis à jour », « Votre téléphone est infecté, installez cette application ». La fiche appelle à rester extrêmement vigilant : il peut s’agir d’un virus déguisé en mise à jour.

Une règle suffit : une vraie mise à jour ne s’installe jamais depuis une page web visitée par hasard. Elle passe par les réglages du système, le menu du navigateur, le magasin d’applications ou le site de l’éditeur, que vous ouvrez vous-même.

Si une fenêtre vous propose une mise à jour, fermez-la. Puis allez vérifier dans les réglages. Si une mise à jour existe vraiment, vous la trouverez là.

Ces fausses alertes sont proches de l’arnaque au faux support technique. Le module « Faux support technique » détaille comment en sortir quand elles bloquent l’écran.

Avec l’IA. Demandez à un assistant d’IA de vous indiquer où se trouve, dans votre navigateur et votre système, le menu officiel qui affiche les mises à jour disponibles. Notez les chemins sur la fiche de l’annexe : c’est le seul endroit où cliquer.

Exemples :

• « Votre navigateur est obsolète, cliquez ici » sur un site de recettes : fausse alerte, fermée ; le menu du navigateur indique qu’il est à jour.
• Une publicité « Votre téléphone est infecté, installez ce nettoyeur » : fausse, on ferme l’onglet.
• Une notification du système dans la zone habituelle, sans lien web : vraie.

6. Anticiper la fin de support

Un appareil ou un logiciel qui ne reçoit plus de mises à jour reste vulnérable à toutes les failles découvertes après son abandon. La fiche recommande de s’informer avant d’acheter : l’éditeur publie-t-il des mises à jour régulières ? Jusqu’à quelle date ?

Avant l’achat, vérifiez la politique de mises à jour : durée de support annoncée pour un téléphone ou un ordinateur, rythme des correctifs d’un logiciel, sérieux du fabricant d’un objet connecté.

En cours de vie, surveillez les annonces de fin de support. Windows 10 en est un exemple récent : Microsoft a cessé de fournir des correctifs gratuits en octobre 2025. Un ordinateur resté sous Windows 10 sans programme de correctifs prolongé est désormais exposé.

À l’approche de la fin, estimez le temps et le budget nécessaires pour migrer vers un outil encore suivi. Ne découvrez pas la fin de support le jour où elle arrive.

Les règles vont évoluer dans le bon sens. Le règlement européen sur la cyberrésilience, adopté en 2024, imposera progressivement aux fabricants de produits numériques de fournir des mises à jour de sécurité pendant une durée de support annoncée.

Avec l’IA. Donnez à un assistant d’IA la liste de vos appareils et logiciels, avec leurs modèles et versions. Demandez-lui lesquels risquent d’arriver en fin de support dans les deux ans. Vérifiez chaque date sur le site du fabricant : l’IA peut se tromper sur un calendrier.

Exemples :

• L’ordinateur du traceur, sous Windows 10 : remplacement budgété à l’automne, isolé du réseau en attendant.
• Le téléphone de Sofia, qui ne reçoit plus de correctifs : l’agence lui fournit un téléphone professionnel.
• Avant d’acheter une caméra connectée, Claire vérifie que le fabricant publie des correctifs depuis plusieurs années.

7. Tester, sauvegarder, isoler ce qui ne suit pas

Testez les mises à jour quand c’est possible. Une mise à jour peut avoir des effets inattendus : un logiciel qui ne fonctionne plus avec un autre, un pilote d’imprimante incompatible. Pour un outil critique, installez-la d’abord sur un seul poste.

Sauvegardez avant une mise à jour importante, données et logiciels, pour pouvoir revenir en arrière. Le module « Sauvegardes » en donne la méthode.

Protégez autrement les appareils qui ne peuvent pas être mis à jour : matériel ancien, garantie ou agrément qui interdit toute modification, logiciel métier abandonné par son éditeur. La fiche propose trois solutions :

• Ne pas le connecter à internet.
• Le séparer du reste du réseau informatique, par exemple sur un réseau à part.
• Désactiver les services vulnérables qu’il propose.

Ne pas mettre à jour doit rester une décision consciente et temporaire, avec une protection de remplacement. Jamais un oubli.

Avec l’IA. Décrivez à un assistant d’IA un appareil qui ne peut plus être mis à jour et l’usage que vous en avez. Demandez-lui les options pour l’isoler sans bloquer votre travail. Faites choisir et installer la solution par votre prestataire.

Exemples :

• L’ordinateur du traceur n’a plus accès à internet ; les fichiers d’impression lui arrivent par un dossier partagé contrôlé.
• Le site internet : sauvegarde automatique, puis mise à jour des extensions ; en cas de problème, retour à la sauvegarde.
• Un logiciel métier ancien : conservé sur un poste isolé, en attendant la migration prévue au printemps.

Résumé

Une mise à jour corrige des failles qu’un pirate pourrait exploiter. Dès qu’un correctif est publié, ceux qui ne l’installent pas deviennent des cibles. Un seul appareil en retard peut suffire.

La méthode tient en quatre temps. Faire l’inventaire de tout ce qui se met à jour, sans oublier imprimante, NAS, box et site internet. Activer les mises à jour automatiques, penser à redémarrer, télécharger uniquement aux sources officielles. Écrire une règle : un responsable par appareil, un contrôle mensuel, les correctifs critiques dans la semaine. Planifier pendant les périodes calmes.

Méfiez-vous des fausses mises à jour proposées par une page web. Anticipez la fin de support avant l’achat et avant l’échéance. Testez, sauvegardez, isolez ce qui ne peut plus être mis à jour.

Remplissez l’inventaire de l’annexe : c’est la sixième page du plan de sécurité de votre entreprise.

Questions fréquentes

Faut-il installer les mises à jour tout de suite ?

Les mises à jour de sécurité, oui, dès qu’elles sont disponibles : le risque augmente après leur publication. Les mises à jour de version peuvent être planifiées. Pour un outil critique, testez d’abord sur un poste et sauvegardez avant.

Les mises à jour automatiques suffisent-elles ?

Elles font la plus grande partie du travail, mais elles peuvent s’arrêter sans prévenir, ou ne s’appliquer qu’au redémarrage. Un contrôle mensuel de dix minutes permet de vérifier qu’elles fonctionnent et de traiter les équipements qui n’en proposent pas.

Comment reconnaître une fausse mise à jour ?

Elle apparaît sur une page web, dans une publicité ou une fenêtre surgissante. Elle vous pousse à télécharger un fichier. Une vraie mise à jour passe par les réglages du système, le menu du navigateur ou le magasin d’applications. Fermez la fenêtre et vérifiez vous-même dans les réglages.

Mon ordinateur est encore sous Windows 10 : que faire ?

Windows 10 ne reçoit plus de correctifs de sécurité gratuits depuis octobre

1. Passez à une version suivie si le matériel le permet, souscrivez un

programme de correctifs prolongé en attendant ou remplacez l’ordinateur. S’il doit rester, isolez-le d’internet et du reste du réseau.

Qui est responsable des mises à jour dans une petite entreprise ?

Le dirigeant. Il peut confier la tâche à un prestataire ou aux salariés, mais c’est à lui de s’assurer que quelqu’un s’en occupe. Une règle écrite qui désigne un responsable par appareil évite que chacun pense que l’autre s’en charge.

Termes clés

• Mise à jour de sécurité : correctif publié par un éditeur ou un fabricant pour supprimer une faille de sécurité ; en anglais, patch.
• Faille de sécurité : défaut d’un logiciel ou d’un équipement qu’un pirate peut exploiter pour en prendre le contrôle ; une mise à jour la corrige.
• Inventaire : liste tenue à jour des appareils et logiciels de l’entreprise, avec leur responsable et leur état de mise à jour.
• Mise à jour automatique : option qui télécharge et installe les correctifs sans intervention de l’utilisateur.
• Fausse mise à jour : message frauduleux qui imite une alerte de mise à jour pour faire installer un programme malveillant.
• Fin de support : date à partir de laquelle un éditeur ou un fabricant cesse de publier des correctifs pour un produit.
• Micrologiciel : logiciel interne d’un équipement comme une box, une imprimante ou un NAS ; en anglais, firmware.

Références

• Cybermalveillance.gouv.fr — Les mises à jour
• Cybermalveillance.gouv.fr — Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?
• Cybermalveillance.gouv.fr — L’arnaque au faux support technique
• CNIL — Cybersécurité

QCM (une seule bonne réponse par question)

Question 1 — Une mise à jour de sécurité sert à :

1. Corriger des failles qu’un pirate pourrait exploiter
2. Changer seulement l’apparence du logiciel
3. Collecter vos données personnelles

Question 2 — Où télécharger une mise à jour ?

1. Depuis un lien reçu par courriel
2. Uniquement depuis les sites ou dispositifs officiels de l’éditeur ou du fabricant
3. Depuis un site de téléchargement populaire

Question 3 — Tous vos appareils sont à jour, sauf l’imprimante connectée au réseau :

1. Ce n’est pas grave, puisque les ordinateurs sont à jour
2. Cela peut seulement ralentir les impressions
3. Elle peut suffire à ouvrir une brèche dans le réseau

Question 4 — Vous recevez un nouvel ordinateur. Avant de l’utiliser :

1. Vous le réinitialisez puis installez les mises à jour proposées
2. Vous l’utilisez tel quel, il est neuf
3. Vous attendez la première alerte de sécurité

Question 5 — Les mises à jour automatiques :

1. Sont à désactiver pour garder le contrôle
2. Sont à activer, en vérifiant de temps en temps qu’elles fonctionnent
3. Sont inutiles si l’on a un antivirus

Question 6 — Un site affiche : « Votre navigateur est obsolète, téléchargez la mise à jour ici ». Vous :

1. Cliquez pour rester protégé
2. Fermez la fenêtre et vérifiez dans le menu du navigateur
3. Téléchargez le fichier puis lancez une analyse antivirus

Question 7 — Un appareil ne reçoit plus de mises à jour :

1. Il devient plus vulnérable : il faut le remplacer ou l’isoler
2. Il devient plus sûr, car il ne change plus
3. Rien ne change pour la sécurité

Question 8 — Avant d’acheter un logiciel ou un appareil, vous vérifiez :

1. Seulement qu’il est le moins cher
2. Qu’il reçoit des mises à jour régulières et jusqu’à quelle date
3. Qu’il est sorti le plus récemment possible

Question 9 — Avant une mise à jour importante de votre logiciel de facturation installé sur le poste :

1. Rien de particulier
2. Vous désinstallez l’antivirus
3. Vous faites une sauvegarde et testez si possible sur un seul poste

Question 10 — Le vieil ordinateur qui pilote le traceur ne peut plus être mis à jour. Vous :

1. Le branchez sur le wifi principal pour qu’il soit plus rapide
2. L’utilisez pour naviguer sur internet
3. Le déconnectez d’internet ou l’isolez du reste du réseau

Voir les réponses et les explications

Réponses : 1→1 · 2→2 · 3→3 · 4→1 · 5→2 · 6→2 · 7→1 · 8→2 · 9→3 · 10→3

Explications.

1. Les mises à jour de sécurité ferment des failles connues ; elles sont la base de la protection.
2. Seules les sources officielles garantissent au mieux une mise à jour saine.
3. Un seul équipement connecté en retard peut servir de porte d’entrée, comme le thermomètre de l’aquarium du casino.
4. Un appareil neuf est souvent resté en stock : ses correctifs ont pris du retard.
5. L’automatique fait le travail, le contrôle manuel vérifie qu’il n’a pas cessé.
6. Une vraie mise à jour ne s’installe pas depuis une page web ; c’est peut-être un virus.
7. Les failles découvertes après la fin de support ne seront jamais corrigées.
8. La fiche recommande de vérifier la publication régulière des mises à jour et la date de fin de support.
9. Une mise à jour peut provoquer des incompatibilités : la sauvegarde permet de revenir en arrière.
10. Un appareil qui ne peut plus être mis à jour se protège en le coupant d’internet ou en le séparant du réseau.

Exercices

Exercice 1 — Faire l’inventaire de votre entreprise (20 min) Remplissez le premier tableau de l’annexe : tous vos appareils et logiciels, leur responsable, l’état des mises à jour automatiques, la date de la dernière vérification et la fin de support si vous la connaissez. Faites le tour des bureaux pour ne rien oublier.

Exercice 2 — Prioriser les retards de Verdier Architectes (10 min) Classez ces six retards du plus urgent au moins urgent et proposez une action pour chacun : NAS sans mise à jour depuis quatorze mois ; ordinateur du traceur sous Windows 10 ; imprimante jamais mise à jour ; trois extensions du site internet en retard ; téléphone de Sofia sans correctifs ; logiciel de dessin avec deux versions de retard, payantes.

Exercice 3 — Écrire votre règle de mise à jour (15 min) Complétez le second tableau de l’annexe : qui fait l’inventaire, qui installe quoi, quand, qui contrôle et à quelle fréquence, que faire en cas d’alerte critique.

Corrections des exercices

Exercice 1 — Exemple d’un indépendant : portable (lui-même, automatique activé, vérifié le 27/09) ; téléphone (automatique, fin de support annoncée dans deux ans) ; box (mise à jour par l’opérateur) ; imprimante (aucune option automatique, vérification trimestrielle) ; site vitrine (extensions mises à jour par son prestataire web) ; six logiciels (automatique pour cinq, manuel pour le logiciel de comptabilité). La colonne « fin de support » est souvent vide au début : c’est normal, elle se complète au fil des vérifications.

Exercice 2 — 1. NAS : exposé et déjà exploité ; mises à jour installées, automatique réactivé, accès internet fermé. 2. Extensions du site : exposées à internet ; sauvegarde puis mise à jour dans la semaine. 3. Téléphone de Sofia : il reçoit la messagerie de l’agence ; téléphone professionnel fourni.

1. Ordinateur du traceur : plus de correctifs ; isolé d’internet tout de

suite, remplacement budgété. 5. Imprimante : micrologiciel mis à jour, vérification trimestrielle. 6. Logiciel de dessin : vérifier si l’ancienne version reçoit encore des correctifs ; si oui, migration planifiée, sinon priorité relevée. La priorité dépend de deux questions : l’élément est-il exposé à internet ? Reçoit-il encore des correctifs ?

Exercice 3 — Exemple de Verdier Architectes : inventaire tenu par Inès, mis à jour à chaque achat ; prestataire chargé du NAS, de la box, de la borne wifi et du site ; chaque salarié chargé de son poste et de son téléphone ; mises à jour automatiques partout où elles existent ; contrôle le premier lundi du mois par Inès ; alerte critique : prestataire prévenu, correctif dans la journée. Une règle qui tient en six lignes est appliquée ; une procédure de trois pages est rangée.

Annexe — Inventaire et règle de mise à jour

Inventaire des appareils et logiciels.

Appareil ou logiciel	Responsable	Mises à jour automatiques ?	Dernière vérification	Fin de support connue	Action
Ordinateurs (système, navigateurs)
Logiciels métier et bureautique
Antivirus
Téléphones et tablettes
Box internet et borne wifi
NAS ou serveur
Imprimante, traceur, équipements connectés
Site internet (outil, thème, extensions)
Autres

Règle de mise à jour de l’entreprise.

Question	Notre règle
Qui tient l’inventaire et quand le met-il à jour ?
Qui installe les mises à jour de chaque type d’appareil ?
Mises à jour automatiques activées où ?
Quand installe-t-on (période calme) ?
Qui contrôle et à quelle fréquence ?
Que fait-on en cas d’alerte de faille critique ?
Où cliquer pour une vraie mise à jour (menus officiels) ?
Que fait-on d’un appareil qui ne peut plus être mis à jour ?

Microsoft, Windows et WordPress sont cités à titre d’exemple. Acadigit n’est ni affiliée, ni sponsorisée, ni approuvée par leurs éditeurs, ni par le dispositif Cybermalveillance.gouv.fr. Ce module a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.