Ressources · Vulnérabilités
Processus de gestion des vulnérabilités : du constat à la correction
La gestion des vulnérabilités est le processus récurrent qui consiste à trouver les vulnérabilités des systèmes, à les évaluer selon le risque, à les corriger et à prouver la correction. Ce qui compte n’est pas le nombre de constats, mais le bon ordre de traitement.
Mis à jour le 14 novembre 2026
FIGProcessus de gestion des vulnérabilités
Les six étapes du processus
- Inventaire : sans inventaire complet des actifs, des systèmes restent non contrôlés (voir attack surface management).
- Détecter : scanners, agents et connexions cloud fournissent les constats.
- Évaluer : réunir gravité, exploitabilité, accessibilité et valeur métier.
- Prioriser : fixer l’ordre selon le risque et attribuer des délais.
- Corriger : correctif, modification de configuration ou mesure compensatoire.
- Vérifier et prouver : scanner à nouveau, documenter le résultat.
Pourquoi le CVSS seul ne suffit pas
Le score CVSS décrit la gravité technique d’une vulnérabilité, pas le risque pour votre entreprise. Une grande partie des vulnérabilités au score CVSS élevé n’est jamais exploitée ou concerne des systèmes qui ne sont même pas accessibles. Travailler strictement selon le CVSS mobilise des capacités aux mauvais endroits.
De meilleurs signaux : EPSS, KEV et chemins d’attaque
- EPSS (Exploit Prediction Scoring System du FIRST) estime la probabilité qu’une vulnérabilité soit exploitée dans les 30 prochains jours.
- Le catalogue KEV de l’agence américaine CISA recense les vulnérabilités dont l’exploitation active est avérée.
- L’accessibilité et les chemins d’attaque montrent si une vulnérabilité est accessible depuis l’extérieur et mène à des systèmes critiques ; c’est le rôle de l’exposure management.
Délais et preuves
Les délais de correction devraient dépendre du risque, par exemple quelques jours pour des vulnérabilités activement exploitées et accessibles sur des systèmes critiques. Pour les audits ISO/IEC 27001 (annexe A 8.8 « Gestion des vulnérabilités techniques ») et pour NIS2, il importe que le processus, les délais et la correction soient documentés de façon traçable.
Ce qui compte dans un logiciel de gestion des vulnérabilités
- Consolidation de toutes les sources sans doublons
- Priorisation selon l’exploitabilité et l’accessibilité, pas seulement selon le CVSS
- Tâches avec contexte pour les équipes responsables
- Vérification automatique après la correction
- Rapports avec historique pour les auditeurs et la direction
01Plateforme
Produits associés
02FAQ
Questions fréquentes
Qu’est-ce que la gestion des vulnérabilités basée sur le risque ?
Une approche qui priorise les vulnérabilités non seulement selon leur gravité technique, mais selon le risque réel : exploitabilité, accessibilité et importance du système concerné.
Quelle différence entre CVSS et EPSS ?
Le CVSS évalue la gravité technique d’une vulnérabilité. L’EPSS estime la probabilité de son exploitation dans un avenir proche. Ensemble, ils donnent une meilleure image que l’un ou l’autre seul.
À quelle fréquence faut-il scanner ?
En continu pour les systèmes critiques et exposés à Internet, au moins chaque semaine pour les systèmes internes, et toujours après des changements importants.
Know your exposure.
Control your risk.
3Contact
Parlons de votre surface d’attaque, de vos priorités et de la meilleure façon de démarrer avec XMfortress.