Prioriser les vulnérabilités — de l'exposition réelle à la remédiation prouvée

La sévérité technique ne dit pas quoi faire cette semaine : l'exposition, l'exploitation observée et la criticité métier décident

Prioriser les vulnérabilités — de l'exposition réelle à la remédiation prouvée La sévérité technique ne dit pas quoi faire cette semaine : l'exposition, l'exploitation observée et la criticité métier décident 01 / Étape 02 / Ce que ça change 03 / Décision et preuve 1 · Inventorier · joignable ? des données ? · Étape · exposition 1 · Inventorier joignable ? des données ? exposition 2 · Sévérité · gravité intrinsèque · Étape · note 2 · Sévérité gravité intrinsèque note 3 · Exploitation · EPSS, KEV, exploit public · Étape · probabilité 3 · Exploitation EPSS, KEV, exploit public probabilité 4 · Contexte métier · criticité, atteignabilité · Étape · contexte 4 · Contexte métier criticité, atteignabilité contexte 5 · Arbitrer · réduire ou accepter · Étape · décision 5 · Arbitrer réduire ou accepter décision 6 · Corriger · correctif et preuve · Étape · action 6 · Corriger correctif et preuve action Note intrinsèque · identique partout · Ce que ça change · CVSS Note intrinsèque identique partout CVSS Le métier tranche · service critique ou non · Ce que ça change · contexte Le métier tranche service critique ou non contexte Décision datée · P0 à P3, écrit et daté · Décision et preuve · SLA Décision datée P0 à P3, écrit et daté SLA 7 · Vérifier · re-scan, registre à jour · Décision et preuve · preuve 7 · Vérifier re-scan, registre à jour preuve registre à jour exposition gravité probabilité impact traitement Legend User UI Agent logic Policy Context / trace Cloud service External system

Les trois notes qui comptent

  • • CVSS : la gravité intrinsèque de la faille, identique pour tous les actifs
  • • EPSS : la probabilité d'une exploitation observée dans les 30 jours (0 à 1)
  • • KEV : le catalogue des vulnérabilités déjà exploitées en campagne — l'exploitation est un fait, pas une hypothèse

Ce qui ne se priorise pas au CVSS seul

  • • Un 9,8 sur un actif injoignable n'est pas un P0
  • • Un 6,5 exploité dans la nature passe avant un 9,4 théorique
  • • Sans propriétaire nommé, une échéance n'est qu'un vœu

Preuve

  • • Re-scan daté ou exploitation contrôlée qui démontre la correction
  • • Registre à jour : décision, motif, échéance, propriétaire
  • • Une acceptation de risque est écrite, datée et attribuée