Les risques liés aux équipements oubliés ou non maintenus

L'équipement oublié : portrait type

L'équipement oublié n'est pas un équipement qui ne fonctionne plus — c'est un équipement qui fonctionne, qui est utilisé, mais qui n'est plus dans l'inventaire actif et ne fait plus l'objet de maintenance. Il peut s'agir d'un serveur déployé pour un projet pilote qui n'a jamais été formellement adopté ni décommissionné, d'une imprimante réseau oubliée dans un couloir, d'un équipement IoT installé pour une expérimentation et jamais retiré, d'une machine virtuelle créée pour des tests et jamais supprimée. Ces équipements cumulent deux risques : ils ne reçoivent pas de patches de sécurité, et ils ne sont pas surveillés — ce qui les rend particulièrement attractifs pour des attaquants cherchant une entrée discrète.

L'accumulation exponentielle des vulnérabilités

Un équipement non maintenu accumule des vulnérabilités à un rythme qui croît avec le temps. Les premières semaines après l'arrêt de la maintenance, quelques CVE sont publiées et non patchées. Après six mois, des dizaines. Après un an, des centaines. Certaines de ces vulnérabilités sont critiques — des failles d'exécution de code à distance, des élévations de privilège, des contournements d'authentification. Un équipement avec deux ans de maintenance abandonnée concentre souvent plus de vulnérabilités exploitables qu'une cible spécifiquement conçue pour les tests d'intrusion. Et puisqu'il n'est pas surveillé, sa compromission peut rester non détectée pendant une longue période.

Les catégories d'équipements les plus souvent oubliées

Certaines catégories d'équipements sont systématiquement sous-représentées dans les programmes de maintenance de sécurité. Les équipements IoT — capteurs, caméras IP, contrôleurs d'accès, systèmes de climatisation connectés — sont déployés par des équipes non-IT et oubliés dans les inventaires IT. Les équipements OT — automates industriels, systèmes SCADA, machines de production connectées — sont gérés par des équipes industrielles qui n'ont pas toujours les compétences et les processus pour les maintenir au niveau de sécurité requis. Les équipements réseau anciens — vieux routeurs, switches en fin de support — continuent de fonctionner sans patch parce que leur remplacement est perçu comme non urgent.

Détecter les équipements sans maintenance récente

Un processus simple de détection des équipements sans maintenance récente peut être mis en place à partir de l'inventaire existant. Il suffit d'identifier les actifs dont la date de dernière mise à jour des patches (ou la date de dernier audit de configuration) dépasse un seuil défini — 90 jours pour les actifs standards, 30 jours pour les actifs critiques. Ces actifs constituent la liste de priorité pour une campagne de vérification et de remédiation. Pour les actifs non couverts par les processus de gestion des patches, une investigation pour déterminer leur état réel et décider de leur remédiation ou décommission est la réponse appropriée.

Traiter les équipements oubliés : remédier ou décommissionner

Face à un équipement oublié identifié, l'organisation doit choisir entre deux voies : le remettre dans les processus de maintenance active (remédiation) ou le décommissionner. Ce choix est guidé par la valeur fonctionnelle de l'équipement — est-il encore utilisé, et par qui ? — et par le coût de sa remédiation sécuritaire. Pour les équipements anciens dont le niveau de vulnérabilité est trop élevé pour être rattrapé économiquement, la décommission est souvent la voie la plus sûre. Pour les équipements encore utiles, la remédiation passe par une mise à jour complète, une reconfiguration selon les baselines de sécurité actuelles et une intégration dans les processus de maintenance continue.