Gestion des vulnérabilitésCe qu’exigent NIS 2, DORA, ISO 27001 et HDS
Entre 30 et 40 % des compromissions initiales exploitent des vulnérabilités connues pour lesquelles un correctif existait au moment de l’attaque. Ce chiffre, régulièrement rappelé par les autorités de cybersécurité, illustre une réalité simple : la majorité des incidents cyber qui auraient pu être évités ne l’ont pas été, non par manque de solution, mais par manque de processus. Le CERT-FR et d’autres publient chaque semaine des bulletins recensant les vulnérabilités significatives détectées sur les systèmes les plus répandus, et recommande leur prise en compte immédiate dans un plan d’action.
Qu’est-ce que la gestion des vulnérabilités ?
La gestion des vulnérabilités est la démarche structurée qui permet à une organisation d’identifier en continu les failles de sécurité de son système d’information, de les évaluer selon leur criticité, et de les corriger dans des délais proportionnés au risque qu’elles représentent. Elle repose sur trois piliers complémentaires : le patch management, les scans de vulnérabilités réguliers, et les tests d’intrusion.
C’est aussi une exigence explicite de la quasi-totalité des référentiels de cybersécurité : ISO 27001, NIS 2, DORA, LPM, HDS, PCI DSS, et désormais le Cyber Resilience Act (CRA). DSI, RSSI, responsables conformité : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
La gestion des vulnérabilités désigne l’ensemble des processus permettant d’identifier, d’évaluer, de prioriser et de corriger les failles de sécurité affectant les composants d’un système d’information : systèmes d’exploitation, applications, équipements réseau, firmwares, conteneurs, services cloud…
Elle s’inscrit dans une logique de réduction continue de la surface d’attaque. Une vulnérabilité non corrigée est une porte ouverte que les attaquants savent trouver et exploiter, souvent en quelques jours après la publication d’un correctif. Le CERT-FR, entité gouvernementale rattachée à l’ANSSI, publie chaque semaine des bulletins d’actualité recensant les vulnérabilités significatives et recommandant leur correction prioritaire.
Une démarche de gestion des vulnérabilités efficace répond à quatre questions fondamentales :
- Quelle est leur criticité et quel risque représentent-elles réellement ? (évaluation, priorisation et exploitabilité)
- Comment et quand les corriger ? (patch management, plan de remédiation et priorisation selon l’exploitabilité)
- Suis-je réellement protégé ? (tests d’intrusion, vérification et validation de l’exploitabilité réelle)
Pourquoi la gestion des vulnérabilités est-elle stratégique ?
Une gestion des vulnérabilités bien structurée produit des bénéfices concrets et mesurables :
- Elle réduit significativement la surface d’attaque exposée aux acteurs malveillants
- Elle permet de concentrer les efforts de correction sur les vulnérabilités les plus dangereuses
- Elle démontre aux régulateurs et aux parties prenantes que l’organisation maîtrise activement ses risques techniques
- Elle constitue une condition préalable à plusieurs certifications et conformités réglementaires
- Elle alimente le processus d’amélioration continue du SMSI
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de gestion des vulnérabilités conforme aux standards reconnus.
Un processus de patch management avec SLA
Le patch management est le processus d’identification, de test et de déploiement des correctifs de sécurité sur l’ensemble des composants du système d’information. Il doit être formalisé, documenté, et assorti de délais maximaux de correction (SLA) définis selon la criticité de chaque vulnérabilité.
Le CERT-FR recommande que les vulnérabilités fassent l’objet d’un plan d’action dès lors qu’elles génèrent des risques sur le système d’information. En pratique, les délais de correction doivent être adaptés à la criticité de la vulnérabilité et à la nature de l’actif concerné. Une organisation mature définit des niveaux de priorité clairs :
- Critique (P0) : correction sous 48 heures pour les vulnérabilités activement exploitées sur des actifs critiques
- Haut (P1) : correction sous 7 jours pour les vulnérabilités à risque élevé
- Moyen (P2) : correction sous 30 jours
- Standard (P3) : correction sous 90 jours
Le processus de patch management doit couvrir l’ensemble de la surface à corriger : systèmes d’exploitation, applications métiers, middlewares, équipements réseau, firmwares, environnements cloud et conteneurs.
Des scans de vulnérabilités réguliers
Les scans de vulnérabilités permettent d’identifier automatiquement les failles connues affectant les composants du système d’information, en les comparant aux bases de données de vulnérabilités publiées (CVE). Ils doivent être réalisés régulièrement, sur l’ensemble du périmètre, et leurs résultats doivent alimenter directement le processus de patch management.
La fréquence des scans doit être adaptée à la criticité des systèmes concernés. Les systèmes exposés sur internet ou hébergeant des données sensibles doivent faire l’objet de scans plus fréquents que les systèmes internes à faible criticité.
Des tests d’intrusion annuels
Les tests d’intrusion (pentests) complètent les scans de vulnérabilités en simulant le comportement d’un attaquant réel. Là où les scans automatisés identifient les vulnérabilités connues, les tests d’intrusion permettent de découvrir des failles logiques, des erreurs de configuration et des chemins d’attaque que les outils automatisés ne détectent pas.
L’ANSSI a mis en place un référentiel de qualification pour les Prestataires d’Audit de la Sécurité des Systèmes d’Information (PASSI), qui couvre cinq domaines d’audit : architecture, configuration, code source, tests d’intrusion, et audit organisationnel et physique. Pour les Opérateurs d’Importance Vitale (OIV), le recours à un prestataire qualifié PASSI est une obligation réglementaire imposée par la Loi de Programmation Militaire.
Un programme de divulgation coordonnée (CVD)
La divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure, CVD) est le processus par lequel un chercheur en sécurité ou un tiers signale une vulnérabilité à l’organisation concernée, qui dispose alors d’un délai pour la corriger avant toute divulgation publique.
Le Cyber Resilience Act (CRA), dont les premières obligations s’appliquent à partir de 2026, impose aux fabricants de produits numériques de mettre en place un programme de divulgation coordonnée des vulnérabilités, de notifier les vulnérabilités activement exploitées aux autorités compétentes, et de maintenir un inventaire des composants logiciels (SBOM, Software Bill of Materials). L’ANSSI est l’autorité nationale compétente pour recevoir ces notifications en France.
La priorisation selon la criticité (CVSS) et l’exploitabilité
Face au volume croissant de vulnérabilités publiées, plus de 40 000 CVE ont été recensées en 2024, la priorisation est indispensable. Le CVSS (Common Vulnerability Scoring System) est le système de notation standardisé utilisé par le CERT-FR et les autorités de cybersécurité pour évaluer la criticité théorique d’une vulnérabilité sur une échelle de 0 à 10.
Le CVSS seul ne suffit cependant pas à prioriser efficacement les corrections. Une approche mature combine plusieurs métriques complémentaires :
- Le CVSS : score de sévérité technique intrinsèque de la vulnérabilité
- Le contexte de l’actif : criticité du système affecté pour l’activité de l’organisation
- La menace active : présence de la vulnérabilité dans les listes de vulnérabilités activement exploitées
- L’exploitabilité : existence d’un exploit public, facilité d’exploitation et présence de contrôles compensatoires limitant l’impact d’une exploitation réelle
Cette approche permet de concentrer les efforts de correction sur les vulnérabilités qui représentent un risque réel et immédiat, plutôt que de traiter mécaniquement toutes les vulnérabilités par ordre de score.
Ce qu’en disent les référentiels
La gestion des vulnérabilités est l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSLes exigences 6 et 11 du standard PCI DSS v4 couvrent respectivement le développement et la maintenance de systèmes sécurisés, et les tests réguliers des systèmes et processus de sécurité. L’exigence 11 impose notamment des scans de vulnérabilités trimestriels et des tests d’intrusion annuels sur les environnements de données de cartes de paiement.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Le contrôle A.8.8 couvre explicitement la gestion des vulnérabilités techniques. Il impose l’identification en temps utile des vulnérabilités techniques des systèmes d’information, l’évaluation de l’exposition de l’organisation à ces vulnérabilités, et la prise de mesures appropriées pour y remédier. C’est le référentiel structurant pour bâtir un processus complet et documenté.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose une gestion des vulnérabilités rigoureuse pour les systèmes hébergeant des données de santé, incluant des scans réguliers et des tests d’intrusion. La disponibilité et l’intégrité des données de santé imposent une correction rapide de toute vulnérabilité susceptible de les compromettre.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale imposent des audits de sécurité périodiques des SIIV, réalisés obligatoirement par des prestataires qualifiés PASSI par l’ANSSI. Ces audits couvrent notamment les tests d’intrusion et la vérification de la gestion des vulnérabilités. L’ANSSI publie la liste des prestataires qualifiés PASSI sur son site.
-
CRA
Règlement (UE) 2024/2847Voir les exigences de CRALes articles 10 et 11 du Cyber Resilience Act imposent aux fabricants de produits numériques de gérer les vulnérabilités de façon proactive tout au long du cycle de vie du produit : programme de divulgation coordonnée (CVD), notification des vulnérabilités activement exploitées aux autorités compétentes, et maintien d’un inventaire des composants logiciels (SBOM). Les premières obligations du CRA s’appliquent à partir de septembre 2026.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORALes articles 9 et 10 du règlement DORA imposent aux entités financières des mesures de protection des systèmes TIC incluant la gestion des vulnérabilités, ainsi que des tests de résilience opérationnelle numérique réguliers. DORA impose des tests de pénétration basés sur la menace (TLPT) pour les grandes entités financières, réalisés par des testeurs qualifiés.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(e) impose aux entités essentielles et importantes de mettre en place des politiques et procédures pour évaluer l’efficacité des mesures de gestion des risques, incluant la gestion des vulnérabilités. L’article 21.2(f) couvre les pratiques de base en matière de cyberhygiène, dont la gestion des correctifs fait partie intégrante. La directive NIS 2 introduit également un cadre de divulgation coordonnée des vulnérabilités au niveau européen.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les exigences héritées de l’ISO 27001 en matière de gestion des vulnérabilités techniques s’appliquent intégralement dans une dimension protection des données à caractère personnel. L’organisation doit s’assurer que les vulnérabilités susceptibles d’affecter la confidentialité ou l’intégrité des données personnelles sont identifiées et corrigées en priorité.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. La gestion des vulnérabilités y contribue de façon partielle : elle réduit le risque d’accès non autorisé aux données personnelles résultant de l’exploitation de failles connues.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC7.1 du référentiel SOC 2 évalue la capacité de l’organisation à détecter et à traiter les vulnérabilités de sécurité. Une démarche de gestion des vulnérabilités documentée, incluant des scans réguliers et un processus de correction formalisé, y répond de façon partielle.
Gestion des vulnérabilités en 4 questions
Quelle est la différence entre un scan de vulnérabilités et un test d’intrusion ?
Un scan de vulnérabilités est un processus automatisé qui identifie les failles connues en comparant les composants du système d’information aux bases de données de vulnérabilités publiées (CVE). Un test d’intrusion est une démarche manuelle conduite par des experts qui simulent le comportement d’un attaquant réel pour découvrir des failles logiques, des erreurs de configuration et des chemins d’attaque que les outils automatisés ne détectent pas. Les deux sont complémentaires et ne se substituent pas l’un à l’autre.
Qu’est-ce que la qualification PASSI et quand est-elle obligatoire ?
La qualification PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) est délivrée par l’ANSSI aux prestataires d’audit de sécurité qui répondent à des critères stricts de compétence, d’impartialité et de fiabilité. Elle est obligatoire pour les OIV souhaitant faire auditer leurs SIIV dans le cadre de la LPM. Elle constitue également un indicateur de confiance essentiel pour toute organisation souhaitant s’assurer de la qualité de ses audits de sécurité.
Qu’est-ce que le CVSS et comment l’utiliser pour prioriser les corrections ?
Le CVSS (Common Vulnerability Scoring System) est un système de notation standardisé qui évalue la criticité théorique d’une vulnérabilité sur une échelle de 0 à 10. Il est utilisé par le CERT-FR dans ses bulletins hebdomadaires. Le CVSS seul ne suffit pas à prioriser efficacement : il doit être complété par une évaluation de la criticité de l’actif affecté et par la vérification de l’existence d’une exploitation active de la vulnérabilité.
Qu’est-ce que le Cyber Resilience Act (CRA) et quelles sont ses obligations en matière de vulnérabilités ?
Le Cyber Resilience Act est un règlement européen qui impose des obligations de cybersécurité aux fabricants de produits numériques tout au long du cycle de vie de leurs produits. En matière de vulnérabilités, il impose la mise en place d’un programme de divulgation coordonnée (CVD), la notification des vulnérabilités activement exploitées aux autorités compétentes, et le maintien d’un inventaire des composants logiciels (SBOM). Les premières obligations s’appliquent à partir de septembre 2026.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
