Les vulnérabilités critiques ne sont pas les seules menaces
Le mois dernier, un CISO d’une entreprise du Fortune 500 a autorisé un plan d’urgence à 2 millions de dollars pour corriger toutes les vulnérabilités CVSS 10 dans leur infrastructure. La semaine suivante, un attaquant a exploité l’une des vulnérabilités critiques notée CVSS 6.5 dans leur système de paiement, causant une perturbation de 5 millions de dollars sur l’activité. Interrogé sur l’incident, le CISO a admis : « Nous connaissions cette vulnérabilité depuis des mois, mais elle n’est jamais arrivée en tête de notre liste de priorités. »
Ce n’est pas un cas isolé : c’est l’aboutissement prévisible d’une approche fondamentalement biaisée de la gestion des vulnérabilités, ancrée depuis longtemps dans l’ADN de notre secteur.
1. Le piège de la course au score
L’industrie de la gestion des vulnérabilités a engendré une conséquence inattendue : des équipes de sécurité qui mesurent leur réussite au pourcentage de vulnérabilités à CVSS élevé corrigées, indépendamment de leur impact réel sur l’entreprise. Cette approche, guidée par des métriques, partait d’une bonne intention : vouloir quantifier et standardiser l’évaluation des risques. Mais elle s’est transformée en un jeu contre-productif de « course au score », détournant souvent les ressources des véritables risques métier.
Les équipes de sécurité se félicitent de « couvrir 100 % des vulnérabilités notées CVSS 9+ » tout en laissant exposés des systèmes critiques pour l’entreprise à des menaces tout aussi dangereuses mais moins bien notées. Ce décalage entre indicateurs de sécurité et réalité opérationnelle ne doit rien au hasard : il résulte d’un ensemble de facteurs qui se renforcent mutuellement, créant une « tempête parfaite » d’incitations mal alignées.
[Lire la suite : Des chercheurs en sécurité découvrent des failles profondes dans le système de notation CVSS]
2. Pourquoi des personnes compétentes continuent de prendre de mauvaises décisions
La persistance de la priorisation basée sur les scores ne découle pas de l’ignorance. La plupart des responsables de la sécurité en connaissent les limites. Cependant, plusieurs parties prenantes profitent du statu quo :
Le piège des audits: Les cadres traditionnels de risque IT établissent des « seuils acceptables » basés sur les scores CVSS, car ils sont faciles à mesurer et standardisés. Les auditeurs les adorent car ils fournissent des critères clairs de conformité. Ce système crée une incitation perverse où les équipes de sécurité optimisent pour la conformité aux audits plutôt que pour la réduction effective des risques.
Un directeur de la sécurité dans une grande enseigne de distribution a récemment confié : « Je sais que notre système d’inventaire critique présente des vulnérabilités inquiétantes, mais je dois d’abord m’occuper des patches à CVSS élevé, car c’est ce que les auditeurs vérifient. »
L’argumentaire des fournisseurs: Les éditeurs de solutions de sécurité ont construit toute leur stratégie produit autour des scores CVSS. Leurs tableaux de bord affichent en bonne place le nombre de « vulnérabilités critiques », et leurs équipes commerciales mettent en avant des indicateurs comme le « pourcentage de vulnérabilités de haute gravité corrigées ». Changer ce modèle imposerait une refonte majeure du produit et de nouveaux moyens de démontrer sa valeur.
L’échange avec les assureurs: Les fournisseurs d’assurance en cybersécurité, en quête de métriques quantifiables, lient souvent les primes à la présence de vulnérabilités à CVSS élevé. Cela ajoute encore une pression pour privilégier les scores élevés plutôt que l’impact métier, car les coûts d’assurance pèsent directement sur les résultats financiers.
L’approche XRATOR
Chez XRATOR, nous sommes conscients qu’il est difficile de passer du CVSS à une solution plus pauvre, au bout du compte, quand on additionne contraintes et exigences. C’est pourquoi nous avons étendu la norme CVSS pour y intégrer la pondération de l’impact sur le business : les équipes de sécurité n’ont pas besoin de changer leurs habitudes, les CISO n’ont pas besoin de revoir toute leur technologie de sécurité, et la gouvernance des risques de l’entreprise est automatiquement mise en place.
3. Les impacts métier cachés
Le coût réel de la priorisation basée sur le score va bien au-delà de simples métriques trompeuses :
Le dilemme des systèmes hérités: De nombreux systèmes métiers critiques fonctionnent sur des infrastructures anciennes accumulant des vulnérabilités « moyennes » qui ne peuvent être corrigées facilement sans risquer la stabilité du système. Ces systèmes traitent souvent des millions de dollars de transactions par jour, ce qui en fait des cibles de choix malgré leurs scores « modérés ».
L’engrenage de la dette technique: Le déploiement précipité de correctifs pour les vulnérabilités à CVSS élevé conduit souvent à des tests insuffisants et à des mises à jour bâclées. Une entreprise de télécommunications a récemment indiqué que 30 % de ses pannes de service critiques au cours de la dernière année étaient dues à des correctifs de sécurité d’urgence, et non à des attaques.
Le chemin banal vers la compromission: L’analyse des principales brèches révèle un constat récurrent : les attaquants exploitent souvent des vulnérabilités « banales » dans des systèmes critiques plutôt que des zero-days spectaculaires. Ils ciblent l’intersection entre la valeur métier et la faiblesse de la sécurité, plutôt que de s’en tenir aux scores CVSS les plus élevés.
Un nouveau paradigme : La sécurité centrée sur les processus métier avec XRATOR
La solution ne consiste pas à abandonner complètement la notation traditionnelle des vulnérabilités, mais à transformer radicalement notre approche de la priorisation :
Du technique au contexte métier
Au lieu de partir des scores de vulnérabilité, commencez par cartographier les processus métiers critiques et les systèmes qui les soutiennent. Comprendre le fonctionnement opérationnel réel est plus précieux que de connaître par cœur les formules CVSS.
Une quantification du risque qui compte
Intégrez des cadres de priorisation qui s’appuient sur :
- L’impact sur le chiffre d’affaires vs. le coût de remédiation
- La sensibilité des données et les obligations réglementaires
- Les dépendances système et les perturbations des processus métier
- La probabilité réelle d’exploitation, en tenant compte du contexte métier
Effectuer la transition
Passer d’une gestion basée sur les scores à une gestion centrée sur le métier nécessite une conduite du changement rigoureuse :
Actions immédiates
- Cartographiez vos cinq processus métiers les plus générateurs de revenus et les systèmes qui les soutiennent.
- Créez une superposition de « l’impact métier » sur votre tableau de bord de gestion des vulnérabilités.
- Commencez à suivre les décisions de correction en regard des métriques de perturbation métier.
Indicateurs de réussite
Délaissez les taux de fermeture de vulnérabilités pour des mesures plus pertinentes :
- Diminution des perturbations métiers liées à la sécurité
- Délai moyen de correction pondéré par l’impact métier
- Corrélation entre les priorités de patching et les incidents réels
Intégrer XRATOR à votre pile de cybersécurité
La transition peut être rapide :
- Lancez un programme de preuve de concept (PoC) avec nous, axé sur une unité métier critique.
- Documentez l’impact technique et métier des décisions liées aux vulnérabilités.
- Constituez une bibliothèque de contexte métier qui orientera les futures priorités.
- Déployez progressivement cette approche à l’échelle de l’entreprise.
L’industrie de la gestion des vulnérabilités a développé des outils sophistiqués pour détecter et noter les failles techniques. Il est temps d’aller au-delà d’une simple notation et de construire des programmes de sécurité véritablement conscients des risques, protégeant ce qui compte le plus pour l’entreprise.
Souvenez-vous : L’objectif est d’éviter les perturbations métier tout en maximisant le retour sur investissement en matière de sécurité.
