Vulnerability Management

Définition

Le Vulnerability Management (gestion des vulnérabilités) est un processus continu et cyclique visant à identifier, évaluer, prioriser et remédier systématiquement aux failles de sécurité présentes dans l'infrastructure technique d'une organisation, se distinguant d'une simple campagne ponctuelle de scan par sa nature récurrente et structurée dans le temps. La phase d'identification s'appuie sur des scanners automatisés comme Nessus, Qualys ou OpenVAS, qui interrogent régulièrement l'infrastructure — serveurs, postes de travail, équipements réseau, applications web — pour détecter les vulnérabilités connues répertoriées sous identifiants CVE. L'évaluation combine le score CVSS intrinsèque de chaque vulnérabilité, mesurant sa gravité technique théorique, avec un contexte métier propre à l'organisation : exposition réelle de l'actif concerné sur internet, criticité du système pour l'activité, existence d'un exploit public activement utilisé (renforçant la priorité au-delà du seul score CVSS via des référentiels complémentaires comme le KEV de la CISA). La priorisation qui en résulte détermine l'ordre de traitement, les ressources de remédiation étant généralement limitées face au volume détecté. La remédiation implique l'application de correctifs, la modification de configurations ou des contrôles compensatoires lorsqu'un correctif n'est pas immédiatement disponible. Le pilotage du processus s'appuie sur des indicateurs de suivi comme le MTTR (Mean Time To Remediate), mesurant le délai moyen entre découverte et correction, indicateur clé de la maturité sécurité d'une organisation.