Gestion des vulnérabilités : pourquoi la priorisation est plus importante que l’exhaustivité

Une vulnérabilité non corrigée, c’est une porte entrouverte. Le problème, c’est qu’il y en a des milliers. Aucune entreprise ne peut tout corriger en même temps — et vouloir tout traiter revient souvent à ne rien traiter efficacement. La vraie question n’est donc pas “ai-je des vulnérabilités ?” (la réponse est oui, toujours), mais “lesquelles dois-je traiter en premier ?”

Première étape : savoir ce qu’on expose

On ne peut pas protéger ce qu’on ne connaît pas. Avant toute forme de priorisation, la condition préalable est d’avoir une visibilité sur son système d’information : quels actifs sont exposés, sur quels systèmes tournent quels logiciels, quelles versions sont déployées.

C’est là qu’interviennent les outils de découverte et de scan de vulnérabilités — qu’ils soient déployés en interne (Nessus, OpenVAS, Qualys…) ou via des services de surveillance externe. Ces outils interrogent vos systèmes, identifient les versions logicielles installées et les comparent à des bases de données de vulnérabilités connues.

Le problème de l’exhaustivité

Une organisation de taille moyenne peut avoir plusieurs centaines, voire milliers de vulnérabilités remontées par ses outils. Les corriger toutes est impossible : les équipes sont limitées, les maintenances nécessitent des fenêtres de tir, certaines corrections peuvent casser des applications métier.

Traiter toutes les vulnérabilités avec la même urgence revient à ne pas prioriser du tout. Il faut donc un cadre pour décider où concentrer l’effort en premier.

Les référentiels de scoring : CVE, CVSS, EPSS, CISA KEV

Plusieurs standards existent pour qualifier et prioriser les vulnérabilités. Les comprendre, c’est se donner les outils pour sortir du simple classement par score brut.

CVE — Common Vulnerabilities and Exposures

Le CVE est simplement un identifiant unique attribué à chaque vulnérabilité connue publiquement. Format : CVE-AAAA-NNNNN (ex: CVE-2021-44228 pour Log4Shell). C’est la référence commune qui permet à tous les acteurs de parler de la même faille, quel que soit l’outil utilisé.

CVSS — Common Vulnerability Scoring System

Le CVSS (maintenant en version 4.0) est le score de sévérité technique d’une vulnérabilité, exprimé de 0 à 10. Il évalue des critères comme la complexité d’exploitation, les privilèges requis, l’impact sur la confidentialité, l’intégrité et la disponibilité.

EPSS — Exploit Prediction Scoring System

L’EPSS change de paradigme : au lieu de mesurer la sévérité théorique, il mesure la probabilité qu’une vulnérabilité soit exploitée dans les 30 prochains jours, exprimée en pourcentage (0 à 100%). Ce score est calculé par le FIRST à partir de données réelles : activité des scanners, publications de PoC, forums underground, télémétrie de menaces…

Un CVSS de 9.8 avec un EPSS de 0.3% est moins urgent qu’un CVSS de 6.5 avec un EPSS de 45%.

CISA KEV — Known Exploited Vulnerabilities Catalog

Le CISA KEV référence les vulnérabilités pour lesquelles une exploitation active dans la nature est confirmée. C’est le signal d’alarme le plus direct : si une CVE est dans le KEV, c’est qu’elle est activement utilisée par des attaquants, maintenant. C’est une priorité absolue de facto.

La dimension souvent oubliée : la connaissance de son SI

Les scores CVSS et EPSS sont des indicateurs génériques — ils ne connaissent pas votre entreprise. Une vulnérabilité critique sur un serveur éteint depuis six mois n’a aucune urgence. Une vulnérabilité modérée sur votre application de prise de commande exposée sur internet peut être catastrophique.

C’est pourquoi la connaissance de son système d’information est le facteur le plus déterminant dans la priorisation.

Les questions à se poser pour chaque vulnérabilité

• L’actif est-il exposé sur internet ? Un service directement accessible depuis l’extérieur démultiplie le risque d’exploitation.
• Quel est le niveau de criticité de l’actif pour le business ? Une vulnérabilité sur votre ERP de production n’a pas le même poids que sur un serveur de test isolé.
• Y a-t-il des compensations existantes ? Un WAF, une segmentation réseau, une authentification forte peuvent réduire le risque réel même sans patch.
• L’actif est-il accessible en interne sans authentification ? Un attaquant ayant déjà compromis un poste peut pivoter rapidement.
• Y a-t-il des données sensibles sur cet actif ? Données clients, secrets industriels, données de santé : l’impact d’une compromission est démultiplié.

L’exposition comme multiplicateur de risque

Risque réel = Score de vulnérabilité × Exposition de l'actif × Criticité métier

Un score CVSS de 5.0 sur un actif exposé sur internet, sans authentification, hébergeant des données clients, peut représenter un risque réel supérieur à un CVSS de 9.5 sur un serveur interne isolé, sans données sensibles, dans un segment réseau restreint.

Construire un processus de priorisation pragmatique

1. Constituez votre inventaire d’actifs

Sans inventaire, pas de priorisation possible. Identifiez vos actifs critiques, leur exposition (internet / interne / cloud), et leur niveau d’importance métier. Une feuille de calcul suffit pour commencer.

2. Appliquez une règle de tri en cascade

1. CISA KEV : traitement immédiat, sans discussion
2. EPSS > 30% + CVSS ≥ 7 : haute priorité, à traiter sous 7 jours
3. CVSS ≥ 9 sur actif exposé internet : haute priorité même sans EPSS élevé
4. CVSS ≥ 7 sur actif critique interne : priorité normale, sous 30 jours
5. Reste : traitement planifié dans les cycles de maintenance

3. Enrichissez avec le contexte métier

Croisez le tri technique avec votre connaissance du SI : un actif exposé sur internet monte d’un niveau de priorité, un actif hébergeant des données sensibles aussi.

4. Mesurez et itérez

Suivez votre Mean Time To Remediate (MTTR) par niveau de criticité. C’est l’indicateur qui permet de prouver l’efficacité du programme et d’identifier les blocages organisationnels.

Conclusion

Prioriser les vulnérabilités, c’est accepter qu’on ne peut pas tout traiter — et décider méthodiquement de ce qui compte vraiment. CVE, CVSS, EPSS et CISA KEV fournissent des indicateurs précieux, mais aucun ne remplace la connaissance de son propre système d’information.

L’entreprise qui sait ce qu’elle expose, à qui, et avec quelle criticité métier sera toujours plus efficace dans sa gestion des risques que celle qui trie ses vulnérabilités par score décroissant sans contexte.