Conformité patch : pourquoi vos chiffres WSUS et Satellite ne disent pas tout
Un taux de conformité patch peut être juste et trompeur à la fois. Quatre angles morts à vérifier, et la règle de calcul à rendre explicite.
« 96 % de conformité » : le chiffre rassure le comité. Il peut pourtant être exact et trompeur à la fois. Tout dépend de ce qu’il compte, et surtout de ce qu’il ne compte pas.
Un outil de patch ne voit que ce qu’il connaît
WSUS mesure la conformité des machines qui lui parlent. Satellite fait de même pour les hôtes enregistrés. Un serveur jamais inscrit ne fait pas baisser le taux : il n’existe tout simplement pas dans le calcul. Le dénominateur est faux, donc le pourcentage aussi.
Quatre angles morts fréquents
- Les machines absentes de l’outil. Présentes dans l’annuaire ou la CMDB, inconnues de WSUS ou de Satellite.
- Les machines silencieuses. Inscrites, mais sans remontée depuis des semaines.
- Deux mondes séparés. Un taux Windows et un taux Linux, calculés différemment, impossibles à additionner.
- Aucune notion de criticité. Un serveur de test et l’annuaire de l’entreprise pèsent le même poids.
Rendre la règle explicite
Un indicateur utile affiche sa règle. Par exemple : un actif est conforme s’il ne lui manque aucun correctif de sécurité et si son dernier patch date de moins de 30 jours. Peu importe le seuil choisi, pourvu qu’il soit écrit, identique pour Linux et Windows, et accepté par les équipes.
Relier chaque chiffre à une liste
La question qui suit un pourcentage est toujours la même : lesquels ? Un indicateur qui ne mène pas à la liste des serveurs concernés déclenche une nouvelle extraction. Un indicateur cliquable déclenche une action.
Désigner un propriétaire
Un écart de patch se corrige quand quelqu’un en est responsable. En croisant l’outil de patch avec le référentiel applicatif, chaque serveur en retard reçoit une application, une entité et un propriétaire.
C’est le principe d’Univizio Patch : un taux unique pour Linux et Windows, sa règle affichée, la liste derrière chaque chiffre et le propriétaire de chaque écart. Les machines absentes de l’outil de patch apparaissent, elles, dans les écarts entre sources.