Il y a un peu plus d'un an, le soutien régulier de Windows 10 a pris fin. Dans bien des PME, les postes qui restent accomplissent encore un travail que personne n'a trouvé facile à déplacer : une imprimante d'étiquettes, un numériseur de laboratoire, un logiciel que personne n'ose retester. Le plan doit commencer là. (Les éditions LTSC suivent leurs propres dates de cycle de vie ; cet article vise les éditions courantes.)
Oui. Selon la FAQ de Microsoft sur le cycle de vie, les ordinateurs sous Windows 10 continuent de fonctionner. Le poste démarre, Outlook s'ouvre et la comptabilité roule : rien à l'écran n'indique que quelque chose a changé. La différence se trouve en dessous, là où personne ne regarde avant qu'elle compte.
Cela dépend du poste. Un poste inscrit aux ESU reçoit les mises à jour de sécurité Windows applicables, de niveau critique et important. Un poste sans ESU n'en reçoit aucune : il garde toutes les failles qu'il a déjà et acquiert celles qui seront découvertes plus tard.
Votre équipe TI doit répondre à deux questions pour chaque poste : est-il couvert pour les mises à jour de sécurité Windows, et peut-elle démontrer que les mises à jour applicables s'installent ? Acheter une couverture n'installe rien ; demandez un rapport de votre outil de gestion.
Si un employé clique sur un lien d'hameçonnage sur l'un de ces postes, comme dans Un employé a cliqué sur un lien d'hameçonnage : que faire maintenant ?, le poste devient une chose de plus à vérifier.
Les mises à jour de sécurité prolongées (ESU, pour Extended Security Updates) forment un abonnement annuel payant qui donne aux postes Windows 10 admissibles les mises à jour de sécurité critiques et importantes après la fin du soutien.
Les applications Microsoft 365 sont un cas distinct. Microsoft indique que leurs mises à jour de sécurité sous Windows 10 se poursuivent jusqu'au 10 octobre 2028, avec des limites de soutien ([source Microsoft : lien à ajouter]). Ces mises à jour visent les applications ; elles ne signifient pas que Windows lui-même en reçoit.
La première vérification porte sur le matériel. Windows 11 exige un processeur compatible, un module TPM 2.0 et un système capable de démarrage sécurisé (Secure Boot). Microsoft publie les exigences complètes. Demandez à votre équipe TI de vérifier chaque modèle.
Admissible ne veut pas automatiquement dire « vaut la peine d'être mis à niveau ». Pesez l'état du poste, la compatibilité des applications, les périphériques, le travail de migration et la durée de vie utile qu'il lui reste. Un poste admissible et en bon état se met à niveau selon un calendrier ; un poste qui échoue à la vérification ou approche la fin de sa vie se remplace généralement. Les ESU conviennent à un poste que vous ne pouvez pas encore retirer.
Prévoyez un court avis au personnel avant une mise à niveau. Le menu Démarrer paraît différent, et un mot à l'avance évite quelques appels à l'équipe TI.
Cette partie est la plus souvent oubliée, et c'est souvent là que se trouve le vrai problème. Imaginez une imprimante d'étiquettes d'entrepôt dont le logiciel n'a été conçu que pour Windows 10, ou un numériseur de laboratoire que personne n'ose toucher. Le poste n'est pas négligé. Il porte la charge.
Lancez l'enquête auprès des fournisseurs maintenant. Pour chaque machine, nommez la vraie dépendance : une application, un pilote, une connexion physique, une licence ou la politique de soutien du fournisseur. Demandez par écrit ce qui fonctionne sous Windows 11. En attendant, conservez ce qu'il faudrait pour tout reconstruire : fichiers d'installation, détails de licence, paramètres de configuration et une méthode de récupération testée.
Choisissez ensuite une voie pour chaque machine :
Une exception à usage restreint peut accompagner les ESU : le poste ne navigue pas sur le Web, ne reçoit pas de courriel et n'a que les connexions dont l'équipement a besoin. L'équipe TI doit évaluer et tester ces restrictions, car une règle trop stricte peut bloquer l'équipement. Les restrictions réduisent l'exposition, mais elles ne réparent pas les vulnérabilités. Chaque exception exige un responsable, des mesures de protection écrites et une date de révision.
Sur un poste, ouvrez Paramètres, puis Système, puis À propos de : la page indique l'édition et la version de Windows. Dans tout un bureau, l'équipe TI peut obtenir les mêmes renseignements d'un outil de gestion des appareils, bien plus vite qu'avec une planchette à pince. Faites quand même le tour pour les machines que les outils manquent souvent, comme la réception ou le placard qui commande la porte.
Gardez la liste simple. Cinq colonnes suffisent pour commencer :
L'équipe TI ajoute ensuite deux colonnes : la couverture ESU de chaque poste et son admissibilité à Windows 11. La quatrième colonne est celle qui travaille le plus. « Personne n'a planifié le remplacement » et « le fournisseur ne prend pas en charge Windows 11 » mènent à des plans très différents.
Au Québec, la liste sert une deuxième fin. L'article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé exige des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité des renseignements. La loi ne nomme pas Windows 10 et n'impose aucun produit, mais un poste qui donne accès à des dossiers de clients ou d'employés sans mises à jour de sécurité est à évaluer et à documenter.
Par défaut, la responsabilité de la protection des renseignements personnels revient à la plus haute autorité de l'entreprise, sauf délégation écrite. Dans une PME, c'est souvent le dirigeant.
Répartissez la liste dans les quatre voies et classez-la selon l'exposition, l'effet sur les activités, la couverture des mises à jour et les options de récupération. Les postes utilisés tous les jours pour le courriel et la navigation passent en premier, tout comme les postes sans couverture de mises à jour. Les machines liées à de l'équipement sont classées de la même façon : leurs questions aux fournisseurs commencent maintenant, même si leur date de migration vient plus tard.
Avant de migrer un groupe, faites un projet pilote sur un poste représentatif, après avoir confirmé que des sauvegardes récupérables existent. Demandez aux utilisateurs d'exécuter leurs tâches essentielles du début à la fin, puis retirez les anciens appareils de façon sécurisée. Dans le budget, incluez le coût complet de la migration : matériel, licences, frais des fournisseurs, temps de l'équipe TI, transfert des données et disposition.
Votre revendeur Microsoft peut confirmer l'admissibilité, les droits et les conditions canadiennes ; votre courtier peut dire comment décrire les postes restants dans un formulaire de renouvellement. Les questionnaires comme celui de Votre assurance cyberrisques se renouvelle bientôt. Vos TI sont-elles prêtes pour le questionnaire ? portent sur l'allure de votre environnement, et une vraie liste vaut mieux que la mémoire.
Voici l'ensemble du plan sous forme de courtes actions :
Si vous aimeriez un second regard sur votre liste, l'équipe de Syslogic à Montréal peut vous aider.
