Points clés
- Les fenêtres de maintenance sont des périodes de vulnérabilité accrue — les contrôles habituels sont souvent suspendus ou affaiblis.
- La maintenance doit inclure une vérification systématique de l'état de sécurité avant et après l'opération.
- Les accès accordés aux prestataires de maintenance doivent être strictement délimités, surveillés et révoqués à la fin de l'intervention.
- La documentation de l'état de sécurité avant maintenance est le référentiel contre lequel l'état post-maintenance est comparé.
La fenêtre de maintenance comme période de vulnérabilité
Les fenêtres de maintenance — périodes planifiées pour réaliser des opérations techniques sur les systèmes — créent des conditions de vulnérabilité spécifiques. Des systèmes sont arrêtés et redémarrés, modifiant temporairement leurs configurations de sécurité. Des accès exceptionnels sont accordés pour des opérations qui ne peuvent pas être réalisées en production normale. Des outils de diagnostic avec des privilèges élevés sont déployés temporairement. Ces conditions, normales dans le contexte de la maintenance, créent une surface d'attaque temporairement élargie que les organisations doivent surveiller activement plutôt que de réduire leur vigilance pendant ces périodes.
La vérification de l'état de sécurité : avant et après
Chaque opération de maintenance significative doit s'accompagner d'une vérification de l'état de sécurité du système concerné — avant l'intervention pour établir un état de référence, et après l'intervention pour confirmer que l'état de sécurité a été maintenu ou amélioré. Cette vérification peut être automatisée par des outils de scan de configuration qui comparent l'état avant et après. Elle doit couvrir au minimum : les services actifs, les ports ouverts, les comptes existants et leurs privilèges, et les règles de sécurité applicables. Toute déviation par rapport à l'état de référence doit être expliquée ou corrigée avant la clôture de la fenêtre de maintenance.
La gestion des accès prestataires pendant la maintenance
Les prestataires de maintenance — constructeurs matériels, éditeurs logiciels, sous-traitants IT — nécessitent des accès aux systèmes pendant leurs interventions. Ces accès doivent respecter le principe du moindre privilège : accès uniquement aux systèmes concernés par l'intervention, pour la durée de l'intervention, avec une surveillance active de toutes les actions réalisées. Les sessions des prestataires sur les systèmes critiques doivent être enregistrées — les solutions PAM modernes permettent l'enregistrement vidéo des sessions administrateur. Les accès doivent être révoqués immédiatement à la fin de l'intervention, pas conservés pour de potentielles interventions futures.
La maintenance des systèmes OT : des risques spécifiques
Les systèmes opérationnels (OT) — automates industriels, SCADA, systèmes de contrôle — présentent des défis de maintenance spécifiques en matière de sécurité. Ils tournent souvent 24/7 avec des fenêtres de maintenance extrêmement restreintes. Ils utilisent des protocoles de communication anciens qui ne supportent pas les outils de sécurité modernes. Leur mise à jour peut nécessiter des certifications du constructeur qui allongent considérablement les délais de patching. Ces contraintes ne dispensent pas d'une approche de sécurité rigoureuse — elles imposent d'adapter les pratiques de maintenance aux contraintes spécifiques de ces environnements, plutôt que d'appliquer les mêmes standards que l'IT traditionnelle.
Documenter les opérations de maintenance pour la traçabilité
La traçabilité des opérations de maintenance — qui a fait quoi, quand, sur quel système, avec quels accès — est une exigence de gouvernance et une aide à l'investigation en cas d'incident. Si un problème de sécurité apparaît sur un système dans les semaines suivant une maintenance, la traçabilité des actions réalisées permet de déterminer rapidement si elles pourraient être liées à l'incident observé. Sans cette traçabilité, l'investigation commence dans le flou et peut prendre des jours à s'orienter. Les systèmes de gestion des changements (CMDB, ITSM) doivent capturer les détails des opérations de maintenance comme une information sécuritaire autant qu'opérationnelle.