Gestion des vulnérabilités

Définition

La gestion des vulnérabilités est le processus continu d'identification, d'évaluation, de priorisation et de correction des faiblesses de sécurité présentes dans les systèmes, réseaux et applications d'une organisation. Elle s'appuie sur des scanners automatisés qui interrogent les actifs recensés dans l'inventaire pour détecter des failles connues, référencées dans des bases publiques comme le CVE, puis évaluées selon le score CVSS. Le processus classique suit un cycle : découverte des actifs, analyse des vulnérabilités, priorisation selon la criticité métier et l'exploitabilité, remédiation via des correctifs ou des mesures compensatoires, puis vérification. La gestion des vulnérabilités se distingue de la gestion des correctifs, qui n'en est qu'une composante : elle inclut aussi les erreurs de configuration, les mots de passe par défaut et les architectures non conformes. Les référentiels comme le NIST 800-53 ou les CIS Controls imposent des exigences précises sur la fréquence des analyses et les délais de remédiation selon la criticité, notamment pour les systèmes exposés sur Internet. Une gestion efficace nécessite une collaboration étroite entre les équipes sécurité, infrastructure et développement, ainsi qu'un pilotage par indicateurs comme le temps moyen de remédiation. Elle constitue l'un des piliers fondamentaux de toute stratégie de cybersécurité défensive, aux côtés de la détection et de la réponse à incident.