Catalogue des vulnérabilités exploitées (KEV)

Le catalogue des vulnérabilités exploitées est une liste publiée par l'agence américaine de cybersécurité et de sécurité des infrastructures depuis novembre 2021. Il ne recense pas toutes les failles connues, qui se comptent par dizaines de milliers chaque année, mais seulement celles dont l'exploitation effective par des attaquants est établie, disposant d'un identifiant public et d'une mesure corrective claire. Une directive opérationnelle contraignante oblige les administrations fédérales américaines à les corriger dans des délais fixés, deux semaines pour les plus récentes. Son intérêt pour l'assurance tient à un constat : le score de sévérité théorique d'une faille prédit mal le risque réel, alors que l'exploitation avérée le prédit bien. Le catalogue offre donc un critère simple et vérifiable pour hiérarchiser les correctifs, que les assureurs reprennent dans leurs questionnaires, leurs alertes aux assurés et, parfois, leurs exclusions de vulnérabilités non corrigées. Un assuré exposé sur internet à une faille du catalogue non corrigée présente un risque que le souscripteur peut mesurer de l'extérieur, sans dépendre de ses déclarations.