Ne pas laisser la fin de Windows 10 représenter un en danger

Le contexte

Le support de Windows 10 a officiellement pris fin le 14 octobre 2025. Depuis de cette date, Microsoft ne fournit plus d'assistance technique, de mises à jour de fonctionnalités ou de correctifs de sécurité pour ce système d'exploitation. Plus de 400 millions d'ordinateurs sont concernés dans le monde. 

Les appareils sous Windows 10 continuent de fonctionner, mais ils sont désormais exposés à un éventail croissant de cybermenaces, sans correctifs officiels en cours. Pour les organisations, cela signifie que chaque machine Windows 10 non corrigée accumulera progressivement des vulnérabilités exploitables, augmentant ainsi la probabilité et l'impact des incidents cybernétiques. Et ce risque est déjà là. 

Les cybercriminels ciblent activement les systèmes en fin de vie, sachant que les failles ne seront pas corrigées. L'exécution de logiciels non pris en charge peut également mettre les organisations en infraction avec les cadres de conformité en cybersécurité tels que le RGPD ou des normes sectorielles.

Options immédiates

Les options immédiates sont claires et seules trois voies sont disponibles :

• passer à Windows 11, qui offre un environnement informatique plus moderne et sécurisé, à condition que le matériel réponde aux exigences techniques ;
• s’inscrire au programme Extended Security Updates (ESU) de Microsoft, qui étend la couverture des mises à jour de sécurité critiques jusqu'à un an après la fin du support, c'est-à-dire jusqu'au 14 octobre 2026. C'est une solution limitée dans le temps, pas une option à long terme.
• remplacer les appareils ne supportant pas Windows 11 par du matériel répondant aux exigences actuelles.

Plan d'action pragmatique

Les fabricants font face à un défi accru. De nombreux environnements de technologie opérationnelle (OT) incluent encore des systèmes Windows hérités comme XP, 7 ou 10 non supporté. 

Ces «systèmes hérités à haut risque» manquent souvent de correctifs et de support moderne des antivirus (AV) ou de la détection et réponse des terminaux (EDR), ce qui en fait des cibles privilégiées pour les ransomwares et les attaques perturbatrices sur les chaînes de production. 

Parce que l'OT a de longs cycles de vie et des exigences strictes de disponibilité, les contrôles compensateurs deviennent essentiels lorsque les mises à niveau ne sont pas immédiatement possibles.

Voici un plan d'action pragmatique pour réduire les risques dès maintenant :

• mettre à jour vers les versions prises en charge autant que possible. Remplacer l'équipement si nécessaire pour répondre aux spécifications Windows 11;
• appliquer des contrôles compensateurs lorsqu’une mise à jour n’est pas possible et documenter la période d'acceptation du risque;
• Segmenter les réseaux pour isoler les actifs hérités de l'informatique et d'internet;
• Imposer des listes strictes d'autorisation pour les appareils, services et connexions sortantes;
• Utiliser des comptes verrouillés, à privilège minimum, avec authentification multifacteur lorsque cela est supporté;
• Restreindre et négocier l'accès à distance via des serveurs de saut, un réseau privé virtuel (VPN) avec authentification multifacteur (MFA) et des approbations temporelles;
• améliorer la surveillance grâce à la détection OT-aware, l'agrégation de logs et l'alerte sur les comportements anormaux;
• réaliser des évaluations ciblées des risques et tester les procédures d'incident et de crise avec des exercices sur table.

Il convient de prioriser par criticité et exposition: d'abord des systèmes connectés en ligne ou accessibles de l'extérieur, puis des actifs de production à fort impact. 

Combiner correctifs, durcissement de configuration et visibilité permet de réduire le temps d'attente. 

Enfin, aligner les décisions de la feuille de route du cycle de vie des actifs permet que les solutions temporaires d'aujourd'hui évoluent vers des plateformes durables et prises en charge.

Le soutien du Luxembourg Digital Innovation Hub

Évaluer sa maturité en matière de cybersécurité et planifier un parcours de migration sécurisé peut être complexe. Le Luxembourg Digital Innovation Hub (L-DIH), géré par Luxinnovation et ses partenaires, dont la Luxembourg House of Cybersecurity, soutient les entreprises manufacturières et industrielles du Luxembourg dans l'évaluation de leurs risques cybernétiques et l'identification des solutions appropriées. 

L-DIH peut aider une organisation à évaluer son exposition, planifier la migration ou les mesures de compensation, et la mettre en relation avec des prestataires de solutions de confiance. 

Pour des conseils experts adaptés à n’importe quel environnement de production, contacter L-DIH.