Vulnerability Management (Gestion des Vulnérabilités)

Définition

Le Vulnerability Management, ou gestion des vulnérabilités, est le processus continu et cyclique par lequel une organisation identifie, évalue, priorise, corrige et suit dans le temps les failles de sécurité affectant ses systèmes d'information, plutôt qu'une campagne ponctuelle de scan sans suivi structuré. Le cycle débute par la découverte, via des scanners automatisés (Nessus, Qualys, OpenVAS) qui interrogent périodiquement l'ensemble du parc informatique pour identifier les versions logicielles vulnérables et les défauts de configuration, complétée par des sources de renseignement sur les vulnérabilités émergentes comme les avis CISA KEV (Known Exploited Vulnerabilities) qui signalent les failles activement exploitées en conditions réelles. La priorisation ne se limite pas au seul score CVSS générique, désormais souvent complétée par des modèles contextuels comme EPSS (Exploit Prediction Scoring System) qui estime la probabilité réelle d'exploitation à court terme, ou par la criticité métier de l'actif concerné. La remédiation s'appuie sur des délais cibles (SLA) définis par niveau de criticité, appliqué correctifs, mesures compensatoires ou acceptation formelle du risque, avec vérification effective de la correction par un nouveau scan. Ce processus constitue une exigence explicite de la norme ISO 27001, de PCI DSS et de la directive NIS2, régulièrement audité comme indicateur de maturité de la posture de sécurité d'une organisation.