Maintenance et suivi de sécurité : des protections vérifiées dans le temps, pas seulement installées une fois.

Versions suivies, signalements qualifiés, correctifs testés, contrôles consignés : un travail organisé, dans le périmètre convenu.

Pas un centre de surveillance permanente : un suivi régulier, dont chaque étape laisse une trace.

Définissons le suivi de sécurité de vos applications Toute la cybersécurité

Le journal de sécurité · plateforme métier d'une entreprisecomposants, versions et signalement fictifs

Inventaire de référenceau 01/10mis à jour le 17/10

Framework web4.2.1concernéeinstallée · à contrôlerà jour · contrôlée
Bibliothèque de traitement d'images2.8.4concernéeinstallée · à contrôlerà jour · contrôlée
Serveur web (Nginx)1.24concernéeinstallée · à contrôlerà jour · contrôlée
Base de données15.4concernéeinstallée · à contrôlerà jour · contrôlée
File de traitements3.1.0concernéeinstallée · à contrôlerà jour · contrôlée

Journal de suiviune ligne par fait, jamais effacée

DateFaitÉtat

01/10Inventaire de référence validéréférence
14/10SIG-0412 reçu : bibliothèque d'images, versions antérieures à 2.8.4à qualifier
14/10Applicabilité examinée : version 2.8.1 utilisée par l'import de documentsapplicable
15/10Correctif 2.8.4 testé en préproduction ; créneau validévalidé · jeudi 07:00
17/10Intervention : 2.8.4 installée en productionIntervention terminée · contrôle à faire
17/10Contrôle : version, import de documents, journauxVérifié et consigné

Signalement SIG-0412aucun signalementà qualifierapplicablecorrection validéeIntervention terminée · contrôle à faireVérifié et consigné

Le journal attend une information de sécurité.Information de sécurité publiée pour la bibliothèque de traitement d'images, versions antérieures à 2.8.4.

Reçu—reçureçu—Information publiée par l'éditeur.
Applicabilité—à examinerapplicable—Version utilisée concernée ; fonction appelée par l'import de documents.
Correction—à préparervalidée—2.8.4 compatible en préproduction ; validée par le responsable technique.
Intervention—planifiéeterminée—Installation au créneau, retour arrière prêt.
Vérification—à fairefaite—Version 2.8.4 en production, import testé, journaux relus.

Calendrier · semaine du signalementcréneaux convenus avec le responsable technique

Lundi 14Signalement reçu
Mardi 15Qualification et test
Mercredi 16Validation du créneau
Jeudi 17 · 07:00Intervention
Jeudi 17 · 09:00Contrôle et consignation

Un signalement n'est pas une faille avérée ; un correctif publié n'est pas un correctif appliqué ; une intervention terminée n'est pas un contrôle fait.Simulation, aucun système réel

Un signalement, six étapes, une trace

État de référence · L'inventaire des composants et de leurs versions est connu et daté.

Information reçue · Un éditeur publie une information de sécurité sur une bibliothèque utilisée. Rien n'est encore établi.

Applicabilité · La version et l'usage réel sont examinés : la plateforme est concernée. Ce n'est pas une attaque constatée.

Correction validée · La version corrigée est testée en préproduction ; le responsable technique valide le créneau.

Intervention · Simulation : la version corrigée est installée. L'intervention est terminée, le contrôle reste à faire.

Vérifié et consigné · Le résultat est vérifié puis consigné. Le suivi continue au prochain contrôle prévu.

Une protection installée ne le reste pas sans entretien.

Des failles sont découvertes dans des composants qui ne l'étaient pas hier ; des éditeurs publient des correctifs ; des accès s'ajoutent au fil des projets ; une configuration est modifiée pour un besoin ponctuel. Sans suivi, l'écart se creuse entre ce qui a été mis en place et ce qui tourne réellement.

Suivre: les composants et leurs versions, à partir d'un inventaire daté.
Qualifier: les informations de sécurité : concernent-elles vraiment la plateforme ?
Corriger: après test et validation, avec un retour arrière prévu.
Consigner: ce qui a été vérifié, décidé et fait, dans un journal.

Le suivi réduit le risque ; il ne l'élimine pas. Il dépend des choix techniques, des mises à jour disponibles, de l'architecture et des engagements du contrat.

Savoir ce qui tourne, et dans quelle version.

On ne suit bien que ce que l'on a inventorié. L'inventaire est le point de départ de chaque contrôle et de chaque correctif.

Un inventaire daté: Frameworks, bibliothèques, serveurs web, bases de données, services : leur version, leur rôle, leur date de mise à jour.
Des sources de veille retenues: Publications des éditeurs et bulletins de sécurité, choisis selon les composants réellement utilisés.
Une correspondance vérifiée: Une information publiée n'est rattachée à la plateforme que si la version et l'usage concernés y sont présents.
Les fins de support signalées: Un composant qui ne reçoit plus de correctifs fait l'objet d'une recommandation.

Un suivi, cinq situations : ce qui est vérifié, décidé, puis consigné.

La même plateforme fictive, le même contrat de suivi. Pour chaque situation : le point de départ, le périmètre convenu, le fait, sa qualification, la décision, l'intervention, la vérification réellement faite et l'état du journal.

État dans le journal

Correctif disponible · non appliqué

Point de départ

Framework web en version 4.2.1 dans l'inventaire.

Périmètre convenu

✓ couvert · Suivi des versions des composants inventoriés
✓ couvert · Application des correctifs de sécurité
✓ couvert · Test en préproduction
✕ non couvert · Évolutions fonctionnelles

Journal de la situationavant décision

Fait ou demandeVersion 4.2.3 publiée : corrige un défaut de sécurité
QualificationApplicable : version utilisée concernée
Décisionen attente
Interventionen attente
Vérification réaliséeen attente

Prochaine action: Elle apparaît après la décision.
À retenir: « Appliqué » vient après l'intervention, « vérifié » après le contrôle ; un correctif ne corrige que ce qu'il annonce.

Sans JavaScript, voici chaque situation telle qu'elle se présente, avant toute décision.

Situation	Point de départ	Fait ou demande	À retenir
A. Contrôle prévu sans écart	Contrôle mensuel prévu au contrat, le troisième mardi.	Contrôle mensuel du 21/10	Le journal dit ce qui a été vérifié, pas que le système est sans défaut.
B. Correctif disponible	Framework web en version 4.2.1 dans l'inventaire.	Version 4.2.3 publiée : corrige un défaut de sécurité	« Appliqué » vient après l'intervention, « vérifié » après le contrôle ; un correctif ne corrige que ce qu'il annonce.
C. Alerte non confirmée	Alertes disponibles : journaux du serveur et alertes de l'hébergeur.	Pic de tentatives de connexion échouées sur l'administration, nuit du 14	La conclusion vaut pour les éléments examinés ; elle ne garantit pas qu'aucun incident n'existe.
D. Accès technique à revoir	Revue trimestrielle des accès techniques prévue au contrat.	Compte « deploy-ancien » sans utilisation depuis 5 mois	La désactivation suit la décision, jamais l'inverse ; la trace de la décision est conservée.
E. Demande hors contrat	Le client demande d'analyser un comportement suspect dans le module de paiement et de tester sa résistance.	Demande reçue le 22/10	Ce qui n'est pas prévu au contrat se propose, se chiffre et se valide avant toute exécution.

Dire ce qui a été vérifié. Jamais « aucune faille » : seulement le périmètre contrôlé.
Qualifier avant d'agir. Un signalement n'est pas une faille avérée.
Terminé n'est pas vérifié. Le contrôle est une étape à part.
Le contrat fixe le périmètre. Le reste se propose, se valide, puis s'exécute.

Plateforme, composants, comptes et dates fictifs. Aucune connexion à un serveur, un journal ou un service de sécurité réel.

Un correctif se prépare, puis se vérifie.

Appliquer un correctif sans préparation crée un autre risque. Chaque étape a sa ligne dans le journal.

Qualifier
La version et la fonction concernées sont-elles utilisées ?
Tester
En préproduction, avec les parcours principaux.
Valider
Le responsable valide le créneau et le retour arrière.
Intervenir
Au créneau convenu : l'intervention est alors terminée.
Contrôler
Une étape distincte : version, parcours, journaux.
Consigner
Le résultat et la décision, datés.

Une intervention terminée n'est pas un contrôle fait : ce sont deux lignes du journal.

Quand un correctif touche le code de l'application elle-même, il relève aussi de la sécurisation des applications et API.

Lire les alertes disponibles, sans conclure trop vite.

Un contrôle prévu, une alerte, un signalement : chacun est qualifié, puis conclu avec ses raisons.

Contrôles prévus: Versions, configurations sensibles, accès techniques lorsque le contrat le prévoit.
Comptes et droits: La revue des accès techniques complète la gestion des droits des utilisateurs, qui relève de l'authentification et de la gestion des accès.
Alertes disponibles: Journaux du serveur, alertes de l'hébergeur : lus aux moments convenus, pas en continu.
Qualification: « À qualifier », puis une conclusion justifiée par les éléments examinés.
Recommandations: Améliorations proposées au fil des contrôles, sans exécution avant décision.

Qui fait quoi, écrit avant le premier incident.

Un suivi tient s'il est clair pour tout le monde : qui reçoit, qui qualifie, qui autorise, qui intervient, qui contrôle.

Recevoir et qualifier: Les signalements et alertes disponibles, aux moments convenus.
Autoriser: Le responsable technique valide chaque intervention et son créneau.
Intervenir et contrôler: Deux étapes distinctes, chacune consignée.
Inclus ou complémentaire: Le contrat dit ce qui est couvert ; le reste se propose à part.

Les protections initiales sont mises en place par la sécurisation des infrastructures web.
Le fonctionnement quotidien du service relève de l'hébergement, de la maintenance et de l'infogérance.
Pour examiner ce que le suivi ne couvre pas, un audit de sécurité web peut être proposé à part.
Le cycle de vie des informations elles-mêmes relève de la protection des données.

Pour l'ensemble de nos expertises, voir la cybersécurité.

Questions fréquentes sur le suivi de sécurité

Contenu, différence avec l'hébergement, fréquences, alertes, audit, traces.

Que comprend concrètement un suivi de sécurité ?

Un inventaire daté des composants, une veille sur leurs publications de sécurité, des correctifs qualifiés, testés puis appliqués, des contrôles prévus et un journal qui consigne chaque fait et chaque décision. Le détail, les fréquences et ce qui est inclus sont fixés au contrat, selon vos applications.

Quelle différence avec la maintenance de notre hébergement ?

L'hébergement fait fonctionner le service au quotidien : disponibilité, sauvegardes, mises à jour d'exploitation. Le suivi de sécurité vérifie et entretient les protections convenues. Les deux se complètent ; l'hébergement, la maintenance et l'infogérance peuvent être confiés à la même équipe ou à une autre.

À quelle fréquence faut-il contrôler ?

Selon l'exposition et les composants : souvent chaque mois pour les versions, chaque trimestre pour les accès techniques, plus espacé pour les configurations sensibles, et à chaque publication pour les correctifs. Ce sont des exemples de cadrage ; le rythme retenu est écrit au contrat.

Que se passe-t-il si une alerte arrive en dehors des contrôles prévus ?

Elle est lue au moment convenu, qualifiée et consignée. Si elle demande une action rapide ou une analyse d'incident, cette intervention relève d'une prestation définie à part, proposée et validée avant d'être exécutée. Le suivi n'inclut ni astreinte permanente ni intervention immédiate garantie.

Le suivi remplace-t-il un audit ?

Non. Le suivi vérifie régulièrement ce qui a été convenu. Un audit de sécurité web examine plus largement l'application et son environnement, puis remet des constats et des recommandations. L'un peut alimenter l'autre.

Comment savoir ce qui a été fait ?

Par le journal : chaque fait, sa qualification, la décision, l'intervention et le contrôle, datés, sans ligne effacée. Un bilan périodique reprend ce qui a été vérifié, ce qui a été corrigé, ce qui reste ouvert et les recommandations d'amélioration.

Le calendrier des protections : ce qui revient, qui s'en charge, et ce qui est prévu.

Une année de suivi · exemple à adapterfréquences définies ensemble

Une année de suivi · exemple à adapter
Suivi	J	F	M	A	M	J	J	A	S	O	N	D
Inventaire et versions · repère 2	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu
Contrôles prévus · repère 3 · 4	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu	prévu
Correctifs · repère 7		selon les publications			selon les publications					selon les publications
Revue des accès techniques · repère 6	prévu			prévu			prévu			prévu
Revue des configurations sensibles · repère 3			prévu						prévu
Bilan et recommandations · repère 9						prévu						prévu

Chaque mois
- Inventaire et versionsrepère 2
- Contrôles prévusrepère 3 · 4
Chaque trimestre
- Revue des accès techniquesrepère 6
Deux fois par an
- Revue des configurations sensiblesrepère 3
- Bilan et recommandationsrepère 9
Selon les publications
- Correctifsrepère 7

● prévu au calendrier · ◇ selon les publications des éditeurs · les repères renvoient au registre.

Fréquences données en exemple de cadrage : elles ne constituent pas des engagements inclus d'office.

Registre des engagementsneuf questions, à remplir ensemble

Question 1 : Quels services et applications suivre ?Inclus ?Complément ?
Question 2 : Quels composants et versions inventorier ?Inclus ?Complément ?
Question 3 : Quels contrôles prévoir ?Inclus ?Complément ?
Question 4 : À quelle fréquence les effectuer ?Inclus ?Complément ?
Question 5 : Qui reçoit et qualifie les signalements ?Inclus ?Complément ?
Question 6 : Qui autorise les interventions ?Inclus ?Complément ?
Question 7 : Comment tester et vérifier les correctifs ?Inclus ?Complément ?
Question 8 : Quelles prestations sont incluses ou complémentaires ?Inclus ?Complément ?
Question 9 : Comment documenter les résultats et les décisions ?Inclus ?Complément ?

Toutes les prestations récurrentes dépendent du périmètre contractuel. Aucune surveillance permanente ni réponse à incident n'est incluse d'office.

Nous fixons avec vous ce qui est suivi, à quel rythme, qui qualifie, qui autorise et comment les résultats sont consignés. Ce qui n'est pas prévu se propose à part.

Définissons le suivi de sécurité de vos applications

Réponse sous 24 à 48 heures ouvrées.

contact@crawleragency.com
+33 4 94 36 20 09

Un inventaire, un contrat d'hébergement, un rapport d'audit ? Mentionnez-les : nous partirons de ce que vous avez.