Gestion des vulnérabilités et priorisation des correctifs
Corriger d’abord ce qu’un attaquant utilise vraiment, pas ce qui affiche le plus gros score.
Réponse courte
Gestion des vulnérabilités : de quoi s’agit-il, pour qui, à quel prix ?
Mise en place d’un programme de gestion des vulnérabilités : inventaire, scans, priorisation par exploitation réelle (EPSS, catalogue KEV), délais de correction et suivi chiffré. Durée indicative : mise en place de 3 à 6 semaines, puis revue mensuelle en option. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un scanner qui remonte quatre mille constats ne rend pas votre parc plus sûr : il vous remet une file d’attente que personne ne peut vider. Le score CVSS : définition mesure la gravité théorique d’un défaut, pas la probabilité qu’on l’exploite chez vous cette semaine. Trier par score seul revient à corriger dans le désordre.
Le programme que nous mettons en place croise trois informations : ce qui est exposé et critique chez vous, ce qui est réellement exploité dans la nature (catalogue des vulnérabilités exploitées de la CISA, score EPSS : définition du FIRST), et ce qui se corrige sans casser la production. Le résultat est une liste courte et datée, avec un propriétaire par ligne et des délais qui diffèrent selon le cas.
Un programme ne vit que s’il est suivi. Nous définissons avec vous les indicateurs utiles (délai de correction des vulnérabilités exploitées, couverture de l’inventaire, exceptions en cours), la cadence de revue et la manière de traiter les correctifs impossibles : mesure compensatoire, isolement, ou acceptation du risque signée par un responsable.
En résumé
- Durée indicative
- mise en place de 3 à 6 semaines, puis revue mensuelle en option
- Prix
- sur devissur devis après cadrage, selon la taille du parc et les outils déjà en place
- Référentiels appliqués
- NIST SP 800-40 rév. 4CIS Controls v8 (contrôle 7)FIRST CVSS et EPSSCatalogue KEV de la CISAANSSI, guide d’hygiène informatique
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Gestion des vulnérabilités : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Inventaire et périmètre
Ce qui est scanné et ce qui ne l’est pas : serveurs, postes, conteneurs, cloud, équipements réseau, applications exposées. Un actif absent de l’inventaire est une vulnérabilité qu’on ne verra jamais.
Sources et scans
Choix et réglage des scanners, authentifiés quand c’est possible, croisés avec les avis de sécurité des éditeurs et du CERT-FR.
Priorisation
Grille combinant exposition, criticité de l’actif, exploitation connue, probabilité d’exploitation et existence d’un correctif, plutôt que le seul score CVSS.
Délais et responsabilités
Délais de correction par catégorie, propriétaire par actif, circuit d’exception et d’acceptation du risque.
Correctifs urgents
Procédure pour les vulnérabilités activement exploitées sur vos systèmes exposés : décision en quelques heures, mesure d’atténuation avant le correctif.
Suivi et indicateurs
Tableau de bord court, revue mensuelle, repérage des régressions et des vulnérabilités qui reviennent.
Gestion des vulnérabilités : que livre la mission ?
- Politique de gestion des vulnérabilités, de une à trois pages
- Grille de priorisation paramétrée pour votre environnement
- Inventaire initial et carte des écarts de couverture
- Premier cycle de scan priorisé, livré sous forme de liste courte
- Tableau de bord et indicateurs de suivi
- Procédure de correctif urgent et circuit d’exception
Qu’est-ce que cela change pour vous ?
- Une liste de quelques dizaines de lignes à traiter plutôt que des milliers de constats
- Des délais de correction définis, tenus et mesurés
- Un dossier montrable à un client, un assureur ou un auditeur
Gestion des vulnérabilités : pour qui est-ce utile ?
- Équipes informatiques submergées par les rapports de scanners
- Organisations sans délai de correction défini ni propriétaire par actif
- Entreprises devant prouver leur gestion des correctifs à un client ou à un assureur
- Structures soumises à NIS 2 qui doivent documenter la gestion des vulnérabilités
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Gestion des vulnérabilités : combien de temps dure la mission ?
Durée indicative : mise en place de 3 à 6 semaines, puis revue mensuelle en option. Les 5 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Fixer ce qui est couvert, le rythme des échanges et ce qu’un bon résultat signifie pour vous.
- 02
Mise en place
Accès, outils et référentiel de départ : l’état initial est relevé avant le premier cycle.
- 03
Cycles réguliers
Revue, veille ou traitement des alertes, au rythme prévu par le contrat.
- 04
Points de suivi et rapports
Un point à rythme fixe et un compte rendu écrit des décisions, des écarts et des actions.
- 05
Bilan et ajustement
Revoir le périmètre, la fréquence et le budget à chaque échéance prévue au contrat.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Gestion des vulnérabilités : ce qu’on nous demande
Un outil de gestion des vulnérabilités suffit-il à faire un programme ?
L’outil produit des constats. Le programme décide qui corrige quoi, dans quel délai, et ce qui se passe quand le correctif est impossible. Nous travaillons avec l’outil que vous avez déjà, ou une solution open source, et nous ne recommandons un achat que si un manque précis le justifie.
Quel délai de correction fixer pour une vulnérabilité critique ?
Il n’existe pas de délai universel, et un seul délai pour tout est une erreur : il doit dépendre de l’exposition et de l’exploitation. Pour une vulnérabilité activement exploitée sur un système accessible depuis Internet, l’atténuation se décide en quelques heures et le correctif se compte en jours. À titre de repère, la directive américaine qui s’appuie sur le catalogue KEV fixe aux agences fédérales des échéances qui se comptent en semaines, souvent moins. Pour une vulnérabilité sans exploitation connue sur un système interne, un cycle mensuel est défendable.
Que faire des correctifs qu’on ne peut pas appliquer ?
On les traite comme une exception documentée : mesure compensatoire (fonction désactivée, accès filtré, système isolé, règle de détection dédiée), propriétaire nommé, date de revue. Une exception sans échéance devient vite une vulnérabilité permanente, d’où l’acceptation du risque signée par un responsable.
Pour comprendre avant de décider
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
Quelles prestations s’y associent ?
Veille et CTI
Apprendre que vos identifiants circulent ou que votre marque est copiée avant vos clients.
cadrage de 1 à 2 semaines, puis veille continue sous abonnementsur devis
DevSecOps
Faire de la sécurité une étape du pipeline plutôt qu’un contrôle de fin de projet.
mise en place de 3 à 6 semaines, selon le nombre de dépôts et de pipelinessur devis
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
de quelques jours à un accompagnement au trimestredès 990 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Gestion des vulnérabilités » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début