Points clés
- La gestion des vulnérabilités est un processus cyclique en quatre étapes (évaluation, notation, remédiation, réévaluation) qui s’appuie sur les CVE et les scores CVSS.
- La gestion de l’exposition adopte le point de vue de l’attaquant sur le risque et vérifie si des erreurs de configuration, des failles système et des dépendances tierces peuvent réellement nuire à l’activité.
- La gestion de l’exposition et la gestion des vulnérabilités sont complémentaires : la première s’appuie sur les données de vulnérabilité et l’infrastructure de sécurité déjà en place.
- Les équipes informatiques doivent évaluer la maturité de leurs outils, leur capacité de remédiation et les angles morts liés au cloud, à l’identité et au SaaS avant d’aller au-delà de la gestion des vulnérabilités classique.
Un programme de sécurité protège les fondations de votre activité. Comprendre ce qui distingue la gestion de l’exposition de la gestion des vulnérabilités (et savoir quand recourir à l’une ou à l’autre) permet aux équipes informatiques de prioriser et de corriger efficacement, tout en optimisant leurs ressources au service de la conformité et de la continuité d’activité.
La gestion des vulnérabilités : définition et différences avec la gestion de l’exposition
Ce qui caractérise la gestion des vulnérabilités
La gestion des vulnérabilités est un processus continu et cyclique qui consiste à identifier, évaluer, prioriser et corriger les faiblesses connues des terminaux et des applications de votre infrastructure. Il s’agit d’une approche plus traditionnelle de la surveillance de la sécurité, centrée sur les failles du système d’exploitation et des logiciels.
La gestion des vulnérabilités comporte six étapes :
- Réaliser la découverte et l’inventaire des actifs.
- Utiliser le système CVSS (Common Vulnerability Scoring System) pour évaluer les risques associés et classer les résultats.
- Tester régulièrement vos systèmes afin de détecter les failles exploitables cachées et les vulnérabilités majeures.
- Utiliser des plateformes de renseignement sur les menaces pour rechercher en continu de nouvelles failles système.
- Accepter, atténuer ou corriger les vulnérabilités détectées.
- Planifier la prochaine réévaluation de votre système pour détecter de nouveaux risques.
Cette pratique contribue à sécuriser les fondations opérationnelles de la plupart des environnements d’entreprise et crée une piste d’audit cohérente pour le suivi de la conformité. Cela étant, une surveillance basée sur le CVSS peut signaler des milliers de systèmes comme critiques, ce qui aboutit à des campagnes de correctifs indifférenciées s’étalant sur des jours voire des semaines.
Ce qui caractérise la gestion de l’exposition
La gestion de l’exposition est une stratégie proactive qui consiste à valider les failles exploitables à forte valeur d’un système afin de protéger les fonctions essentielles à l’activité. Cette approche moderne vise à renforcer la sécurité au maximum, en se plaçant du point de vue de l’attaquant.
L’étude State of Exposure Management de Brinqa a interrogé 200 responsables de la cybersécurité : une très large majorité (93 %) s’accorde à dire que la gestion de l’exposition constitue une priorité majeure pour l’entreprise, et on comprend aisément pourquoi.
La gestion de l’exposition examine l’ensemble des facteurs de risque d’une entreprise et distingue les risques acceptables de ceux qui exigent une action immédiate. Les politiques informatiques, l’ingénierie sociale, les erreurs de configuration, les services SaaS externes et les contrôles d’accès privilégié font tous partie de son cadre d’analyse.
Pour intégrer la gestion de l’exposition, les équipes informatiques doivent :
- Réaliser un inventaire complet des actifs à l’aide d’un outil de gestion de la surface d’exposition externe aux attaques (EASM).
- Y ajouter la gestion de la posture de sécurité du cloud (CSPM) pour repérer les erreurs de configuration dans les environnements AWS, Azure et GCP.
- Intégrer des outils de sécurité des identités afin de détecter les comptes disposant de trop de privilèges, les identifiants obsolètes et les failles d’Active Directory.
- Relier les résultats aux chemins d’attaque possibles pour comprendre comment les faiblesses s’enchaînent.
- Prioriser les efforts de remédiation en fonction des composants les plus essentiels à l’activité (les actifs dits « joyaux de la couronne »).
Capacité clé : détection et correction des vulnérabilités
La gestion des vulnérabilités a un mérite incontestable : sa méthode systématique pour détecter les failles système et éliminer ces risques à grande échelle. De plus, elle constitue un inventaire de toutes les failles logicielles que vous devrez analyser après la mise sur le marché d’un produit ou d’un service.
Capacité clé : priorisation des risques en fonction du contexte
La gestion de l’exposition fait le tri dans le bruit des jeux de données massifs pour se concentrer sur les failles de sécurité susceptibles d’avoir un impact important sur votre activité. De plus, elle privilégie le contexte, l’exploitabilité et la hiérarchisation afin d’optimiser réellement vos ressources.
Réduire le risque sur toute la surface d’exposition aux attaques
Une différence fondamentale entre les deux disciplines réside dans leur périmètre respectif. Là où la gestion des vulnérabilités est par nature centrée sur les actifs, la gestion de l’exposition pose une autre question : « Jusqu’où un attaquant peut-il réellement aller et quels dégâts peut-il causer ? »
À mesure que les écosystèmes numériques s’étendent rapidement, entre dépendance au SaaS, adoption du cloud et services numériques interconnectés, les approches traditionnelles montrent leurs limites dès qu’on sort des listes de contrôle de conformité. La gestion continue de l’exposition aux menaces (CTEM) vient combler ce vide.
De plus, la gestion de l’exposition cartographie la manière dont les faiblesses individuelles se relient entre elles, ce qui offre une vision plus globale. Un bucket S3 mal configuré, les identifiants de son compte de service et le déplacement latéral vers les environnements de production ne sont pas trois problèmes distincts, mais un seul et même chemin.
Avec ce cadre, les équipes de cybersécurité peuvent :
- utiliser des outils d’analyse des chemins d’attaque ;
- traiter en priorité les points de passage critiques ;
- examiner leur surface d’exposition externe chaque trimestre ;
- intégrer le risque lié aux services SaaS tiers dans leur périmètre d’exposition.
Intégration aux opérations de sécurité existantes
La gestion de l’exposition est conçue pour venir compléter les mesures de sécurité déjà en place, en enrichissant les données de vulnérabilité et en y ajoutant le contexte métier. Cette extension réduit le risque au final, mais seulement si elle tire pleinement parti de votre stack existant.
Prenez en compte les résultats liés aux CVE et hors CVE, les failles exploitables détectées par d’autres plateformes de sécurité, les erreurs de configuration et le renseignement sur les menaces pour une gestion continue et complète de l’exposition aux menaces.
🥷🏻| Automatisez la détection : corrélation assistée par l’IA et zéro pic de charge lié aux agents.
Découvrez comment NinjaOne simplifie la gestion des vulnérabilités des terminaux.
Les points à examiner par les équipes informatiques
Avant de remplacer, d’intégrer ou d’élargir vos stratégies de gestion, posez-vous les questions suivantes :
- Votre outillage de gestion des vulnérabilités est-il suffisamment mature pour une transition ?
- Votre équipe informatique est-elle en mesure de corriger les menaces qu’elle détecte ?
- Existe-t-il des risques liés au cloud, aux identités ou au SaaS qui échappent au périmètre des CVE ?
- Savez-vous exprimer le risque en termes métier ?
Les idées fausses les plus répandues sur la gestion de l’exposition et des vulnérabilités
« La gestion de l’exposition remplace la gestion des vulnérabilités. »
Cette croyance peut conduire les entreprises à abandonner trop tôt leurs programmes d’analyse fondamentaux. Si la gestion de l’exposition et la gestion des vulnérabilités diffèrent par leur fonction, elles jouent des rôles complémentaires qui renforcent tous deux votre cybersécurité.
« Le score CVSS suffit à déterminer les priorités de remédiation. »
Sans prise en compte de l’exploitation active, de la faisabilité de l’attaque et du contexte métier, la plupart des systèmes de gestion des vulnérabilités ne fournissent que des listes de priorités qui ne reflètent pas le risque réel.
« Un scanner de vulnérabilités suffit à obtenir une visibilité complète sur le risque. »
Là où la gestion des vulnérabilités se concentre souvent sur les logiciels exposés à l’extérieur et les CVE connues, la gestion de l’exposition couvre les surfaces d’exposition internes et externes ainsi que les risques liés aux tiers, comme le SaaS.
« Les risques liés aux identités et aux configurations sont l’affaire de quelqu’un d’autre. »
La gestion de l’exposition évalue tous les types d’exposition afin de déterminer lesquels représentent la plus grande menace pour votre entreprise. Cette approche globale vous permet d’affecter vos ressources de manière stratégique à la protection de vos opérations, plutôt que de vous focaliser sur des scores de gravité.
« La gestion de l’exposition ne concerne que les grandes entreprises. »
Les entreprises qui adoptent une démarche proactive en retirent généralement de nombreux bénéfices :
- une réduction des risques hiérarchisée ;
- une posture de sécurité renforcée ;
- une efficacité accrue ;
- une mise en conformité simplifiée.
Bien saisir la différence entre gestion de l’exposition et gestion des vulnérabilités
La gestion des vulnérabilités s’intéresse aux actifs pris individuellement et traite les problèmes sur la base des CVE. La gestion de l’exposition, elle, adopte une approche plus proactive : réduire votre exposition aux attaques et traiter le risque métier réel. Étendre votre programme de sécurité demande des ressources, mais une surveillance centralisée peut simplifier la démarche.
Sujets connexes :
