Votre scanner de vulnérabilités sort un rapport de 847 CVE. Votre équipe IT en corrige 12 cette semaine. Lesquelles ? Sur quels critères ? Et les 835 autres, on en fait quoi ?
C’est tout le défi de la gestion des vulnérabilités : non pas scanner, mais prioriser, corriger et mesurer dans la durée. Ce guide vous explique comment mettre en place un programme structuré en PME.
Gestion des vulnérabilités : plus qu’un simple scan
Un scan de vulnérabilités est une photo à un instant T. Un programme de gestion des vulnérabilités est un processus continu en 5 phases :
- Découverte : inventorier tous les actifs (serveurs, postes, applications, API, cloud)
- Scan : identifier les vulnérabilités connues sur chaque actif
- Priorisation : classer par risque réel (pas juste le score CVSS)
- Remédiation : corriger, atténuer ou accepter
- Vérification : confirmer que la correction est effective
Pourquoi le CVSS ne suffit pas pour prioriser
Le score CVSS mesure la sévérité technique d’une vulnérabilité. Mais un CVSS 9.8 sur un serveur de test isolé est moins urgent qu’un CVSS 7.5 sur votre serveur de paiement exposé à Internet.
Pour prioriser efficacement, combinez :
- CVSS : sévérité technique de base
- EPSS : probabilité d’exploitation réelle dans les 30 prochains jours (score 0-1). Un EPSS de 0.95 signifie que la CVE a 95% de chances d’être exploitée
- KEV (CISA Known Exploited Vulnerabilities) : la CVE est-elle activement exploitée dans la nature ?
- Contexte métier : l’actif concerné est-il critique ? Exposé à Internet ? Contient-il des données sensibles ?
Règle pratique : traitez en priorité les vulnérabilités qui cumulent CVSS élevé + EPSS élevé + actif exposé/critique.
Outils de scan recommandés
| Outil | Type | Forces | Prix |
|---|---|---|---|
| OpenVAS / Greenbone | Open source | Gratuit, complet, bonne base de vulnérabilités | Gratuit |
| Nessus Professional | Commercial | Référence du marché, interface claire | ~3 500 EUR/an |
| Qualys VMDR | Cloud | Scalable, EPSS intégré, patch management | Sur devis |
| Nuclei | Open source | Rapide, templates communautaires, CI/CD friendly | Gratuit |
| Trivy | Open source | Conteneurs, IaC, SBOM, CI/CD | Gratuit |
Mettre en place le programme en 6 étapes
1. Inventorier les actifs
Vous ne pouvez pas protéger ce que vous ne connaissez pas. Utilisez un outil de découverte réseau (Nmap, Lansweeper) et croisez avec votre CMDB. N’oubliez pas le shadow IT et les instances cloud.
2. Définir la fréquence de scan
- Actifs exposés à Internet : scan hebdomadaire minimum
- Serveurs internes critiques : scan bimensuel
- Postes de travail : scan mensuel
- Après chaque mise en production : scan systématique
3. Définir les SLA de remédiation
Fixez des délais de correction contraignants par niveau de risque :
- Critique (CVSS >= 9 + exploitée activement) : 48 heures
- Haute (CVSS >= 7) : 7 jours
- Moyenne (CVSS >= 4) : 30 jours
- Basse (CVSS < 4) : 90 jours ou prochaine fenêtre de maintenance
4. Attribuer les responsabilités
Chaque vulnérabilité doit avoir un propriétaire clairement identifié. L’équipe sécurité détecte et priorise, les équipes infra/dev corrigent, la direction valide les acceptations de risque.
5. Suivre les KPI
- Mean Time to Remediate (MTTR) : temps moyen de correction par sévérité
- Taux de couverture : pourcentage d’actifs scannés
- Vulnérabilités ouvertes par criticité : tendance mensuelle (doit baisser)
- SLA respectés : pourcentage de corrections dans les délais
6. Automatiser ce qui peut l’être
- Scans automatiques programmés
- Création automatique de tickets (Jira, ServiceNow) pour chaque vulnérabilité critique
- Patch management automatisé (WSUS, Intune, Ansible) pour les correctifs OS
- Rapports automatiques hebdomadaires pour la direction
Les pièges à éviter
- Scanner sans corriger : un scan par trimestre sans suivi ne sert à rien
- Tout traiter avec la même urgence : vous ne corrigerez jamais 847 CVE en même temps. Priorisez.
- Ignorer le shadow IT : les instances cloud, les VM de test et les applications SaaS non référencées sont souvent les plus vulnérables
- Pas de validation post-correction : re-scannez après chaque patch pour confirmer la correction
FAQ
Quelle différence entre scan de vulnérabilités et pentest ?
Le scan identifie les vulnérabilités connues automatiquement. Le pentest exploite ces vulnérabilités manuellement pour mesurer l’impact réel. Les deux sont complémentaires : scan en continu, pentest 1 à 2 fois par an.
Faut-il scanner en production ?
Oui, c’est là que sont les vrais risques. Utilisez des scans authentifiés (avec credentials) en heures creuses pour minimiser l’impact sur les performances.
Besoin d’aide pour structurer votre gestion des vulnérabilités ? Contactez RM3A pour un diagnostic personnalisé.
