Gestion des vulnérabilités
Programme continu qui recense les failles du parc, les classe selon leur exploitabilité et fixe un délai de correction ; le questionnaire cyber en demande la cadence et le délai pour les failles critiques.
La gestion des vulnérabilités est le programme continu par lequel une entreprise recense les failles de ses systèmes, les classe et les fait corriger dans un délai qu'elle s'est fixé. Le correctif n'en est que la dernière étape. Octobre 2023 : Citrix publie le correctif de Citrix Bleed pour ses boîtiers NetScaler. Les entreprises qui l'appliquent sans fermer les sessions ouvertes restent exposées, parce que les jetons de session volés avant la mise à jour restent valides. Un programme qui suit les avis de l'éditeur l'avait lu ; un simple calendrier de mises à jour, non. Le cycle part de l'inventaire des actifs, puis du scan, de préférence authentifié, qui lit les versions installées au lieu de les deviner de l'extérieur. Vient la priorisation. Le score CVSS (Common Vulnerability Scoring System) mesure une gravité théorique. Le catalogue KEV (Known Exploited Vulnerabilities) de l'agence américaine CISA (Cybersecurity and Infrastructure Security Agency) et le score EPSS (Exploit Prediction Scoring System) disent si la faille est exploitée ou a des chances de l'être, et c'est ce qui trie vraiment une file de dix mille alertes. Le questionnaire de souscription demande la fréquence des scans, le délai de correction des failles critiques exposées sur Internet, parfois le nombre de failles critiques ouvertes depuis plus de trente jours. Le souscripteur confronte la réponse à son propre balayage externe : une faille connue sur un VPN ou une messagerie exposée pèse plus lourd que tout ce qui est déclaré. Certains contrats ajoutent une exclusion de vulnérabilité non corrigée, ou une participation de l'assuré qui croît avec l'ancienneté de la faille. Réserve de praticien : le meilleur programme ne protège pas d'un zero-day. MOVEit, en 2023, a été exploité avant qu'un correctif existe, et la seule chose qui distinguait alors les entreprises était leur vitesse de réaction après la publication.
Cas d'école, chiffres inventés : un distributeur déclare corriger les failles critiques sous quatorze jours. Le scan externe du souscripteur trouve un VPN qui porte une faille du catalogue KEV publiée il y a soixante jours. L'assuré dit en avoir corrigé quarante dans l'année ; celle-là suffit à contredire la déclaration. Le souscripteur pose une question de suivi et demande la preuve de correction avant la prise d'effet. Sans réponse, il cote le dossier comme si le délai réel était de soixante jours.
programme de gestion des vulnérabilités, vulnerability management, scan de vulnérabilités authentifié, délai de remédiation des failles
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.