Aux urgences d'un hôpital un soir de grande affluence, un médecin ne prend pas les patients dans l'ordre d'arrivée, et surtout pas tous en même temps. Il trie. Une plaie superficielle qui saigne beaucoup impressionne, mais elle attend ; l'infarctus silencieux passe devant, même si le patient a l'air calme. Ce tri, c'est ce qui sépare un service qui sauve des vies d'un service qui s'agite. La gestion des vulnérabilités obéit exactement à la même logique.
Chaque mois, des milliers de vulnérabilités (CVE) sont publiées : c'est la salle d'attente qui déborde. Aucune organisation ne peut tout traiter d'un coup, et vouloir le faire, c'est justement se condamner à mal soigner l'essentiel. La vraie compétence n'est donc pas de « tout patcher », mais de corriger ce qui compte, dans le bon ordre. Voici comment installer, chez vous, ce réflexe de triage.
CVE, CVSS : de quoi parle-t-on ?
Une CVE est l'identifiant unique d'une vulnérabilité connue : le dossier d'admission du patient, en somme. Le score CVSS, lui, attribue une gravité théorique de 0 à 10 : c'est la gravité de la pathologie dans le manuel. Utile, mais trompeur si on s'y arrête. Une faille « critique » sur un composant que vous n'exposez à personne, c'est un diagnostic grave… posé sur un patient qui n'est même pas dans votre hôpital. À l'inverse, une faille « moyenne » sur votre portail public, déjà mitraillé de tentatives, c'est le patient qui se dégrade sous vos yeux. Le score seul ne dit jamais votre risque réel ; il faut le confronter au terrain.
Prioriser par l'exposition et l'exploitabilité
Pour trier le bruit, croisez trois questions :
- Suis-je exposé ? Le composant vulnérable est-il présent, accessible, et depuis où (Internet, interne) ?
- Est-ce exploité ? Le catalogue KEV de la CISA recense les vulnérabilités activement exploitées ; le score EPSS estime la probabilité d'exploitation. Une faille déjà exploitée passe en tête.
- Quel impact métier ? Que protège ou expose le système concerné ?
Cette lecture par le risque rejoint la maîtrise de la surface d'attaque : on ne peut prioriser que ce que l'on a d'abord inventorié.
Traiter chaque CVE critique en urgence sature les équipes et retarde les vrais sujets. Mieux vaut un processus qui remonte en priorité les failles exposées et exploitées, quitte à traiter le reste selon un rythme soutenable.
Un cycle, pas une action ponctuelle
La gestion des vulnérabilités se pilote en boucle :
- Inventorier les actifs et leurs composants (on ne corrige que ce qu'on connaît).
- Détecter les vulnérabilités par des scans réguliers et la veille (CERT-FR, éditeurs).
- Prioriser par le risque réel, pas par le seul CVSS.
- Remédier : correctif, contournement ou réduction d'exposition quand le patch n'est pas disponible.
- Vérifier que la correction est effective, et suivre les dérives dans le temps.
En résumé
Gérer ses vulnérabilités, ce n'est pas courir après chaque CVE en état d'alerte permanente, c'est transformer une salle d'attente qui déborde en une file de triage priorisée par le risque. Inventaire, veille, priorisation par l'exposition et l'exploitabilité, remédiation vérifiée : le même geste, répété sans fin, comme un service d'urgences qui ne ferme jamais. C'est précisément ce qui distingue une organisation qui subit le flux d'une organisation qui le maîtrise.
Kenawek vous aide à cartographier votre exposition, prioriser par le risque et suivre la remédiation jusqu'au bout. Parlons-en.