Score de gravité des vulnérabilités

Définition

Le score de gravité des vulnérabilités est une notation standardisée qui mesure l'impact potentiel et la facilité d'exploitation d'une faille de sécurité informatique. Le référentiel le plus utilisé est le Common Vulnerability Scoring System, ou CVSS, maintenu par le FIRST, qui produit une note de zéro à dix calculée à partir de métriques de base comme le vecteur d'attaque, la complexité d'exploitation, les privilèges requis et l'interaction utilisateur nécessaire, ainsi que l'impact sur la confidentialité, l'intégrité et la disponibilité. Des métriques temporelles et environnementales permettent d'affiner ce score selon la disponibilité d'un exploit public ou le contexte spécifique de l'organisation. Ce score sert de base à la priorisation dans la gestion des vulnérabilités, souvent complété par d'autres approches comme l'Exploit Prediction Scoring System, qui estime la probabilité d'exploitation réelle dans les prochains jours, ou par des critères métier propres à chaque organisation. Un score CVSS élevé ne signifie pas systématiquement un risque immédiat si l'actif concerné n'est pas exposé ou n'a pas de valeur critique, d'où l'intérêt d'une approche de priorisation contextualisée combinant gravité technique, exploitabilité observée et criticité métier. Les équipes sécurité l'utilisent pour définir des délais de remédiation différenciés, souvent alignés sur les exigences des référentiels normatifs comme le NIST 800-53.