Fenêtre de correction

Définition

La fenêtre de correction désigne le délai maximal toléré entre la découverte d'une vulnérabilité et l'application effective du correctif qui la neutralise. Ce délai est généralement fixé par la politique de gestion des vulnérabilités de l'organisation et différencié selon la criticité de la faille, souvent alignée sur son score CVSS et sur la sensibilité de l'actif concerné : une vulnérabilité critique sur un système exposé sur Internet peut exiger une correction en quarante-huit heures, tandis qu'une faille mineure sur un poste interne peut disposer de plusieurs semaines. Ces exigences sont fréquemment formalisées dans des référentiels comme le NIST 800-53 ou les directives sectorielles, et deviennent contractuelles dans le cadre de la directive européenne NIS2 pour les entités essentielles et importantes. Le respect de la fenêtre de correction est un indicateur clé de performance suivi par les RSSI, souvent mesuré via le temps moyen de remédiation. Un dépassement récurrent expose l'organisation à un risque accru d'exploitation, notamment lorsque la vulnérabilité figure dans un catalogue de failles activement exploitées. La fenêtre de correction s'articule étroitement avec le déploiement de correctifs d'urgence pour les cas les plus critiques, et nécessite une coordination entre les équipes sécurité, exploitation et métier pour concilier réactivité et continuité d'activité.