Commencer<\/strong><\/h2>\nTrois faits \u00e0 garder \u00e0 l’esprit avant d’\u00e9tablir un programme efficace de gestion des vuln\u00e9rabilit\u00e9s\u00a0: <\/p>\n
1. Le nombre de vuln\u00e9rabilit\u00e9s d\u00e9couvertes augmente chaque ann\u00e9e. En moyenne, 50 nouvelles vuln\u00e9rabilit\u00e9s sont d\u00e9couvertes chaque jour donc on comprend ais\u00e9ment qu’il est impossible de toutes les patcher.<\/p>\n
2. Seules certaines vuln\u00e9rabilit\u00e9s sont activement exploit\u00e9es et repr\u00e9sentent un risque tr\u00e8s \u00e9lev\u00e9 pour toutes les organisations. Environ 6 % de toutes les vuln\u00e9rabilit\u00e9s sont exploit\u00e9es \u00e0 l’\u00e9tat sauvage[43]: nous devons r\u00e9duire la charge et nous concentrer sur le risque r\u00e9el. <\/p>\n
3. La m\u00eame vuln\u00e9rabilit\u00e9 peut avoir un impact compl\u00e8tement diff\u00e9rent sur l’entreprise et sur l’infrastructure de deux entreprises distinctes, de sorte que l’exposition de l’entreprise et la gravit\u00e9 de la vuln\u00e9rabilit\u00e9 doivent \u00eatre prises en compte. Sur la base de ces faits, nous comprenons qu’il est inutile de corriger chaque vuln\u00e9rabilit\u00e9. Au lieu de cela, nous devrions nous concentrer sur ceux qui pr\u00e9sentent un risque r\u00e9el en fonction du paysage des menaces et du contexte organisationnel<\/p>\n
Le concept de gestion des vuln\u00e9rabilit\u00e9s bas\u00e9e sur les risques<\/strong><\/h2>\nL’objectif est de se concentrer sur les actifs les plus critiques et les actifs pr\u00e9sentant un risque plus \u00e9lev\u00e9 d’\u00eatre cibl\u00e9s par les acteurs de la menace. Pour aborder un programme de gestion des vuln\u00e9rabilit\u00e9s bas\u00e9 sur les risques, nous devons consid\u00e9rer deux environnements.<\/p>\n
L’environnement interne<\/strong><\/h4>\nLe paysage Clients repr\u00e9sente l’environnement interne. Les r\u00e9seaux des entreprises se d\u00e9veloppent et se diversifient, ainsi que leur surface d’attaque. La surface d’attaque repr\u00e9sente l’ensemble des composants du syst\u00e8me d’information qui peuvent \u00eatre atteints par des pirates. Avoir une vision claire et \u00e0 jour de votre syst\u00e8me d’information et de votre surface d’attaque est la toute premi\u00e8re \u00e9tape. Il est \u00e9galement important de tenir compte du contexte commercial. En effet, les entreprises peuvent \u00eatre plus vis\u00e9es selon leur secteur d’activit\u00e9 du fait des donn\u00e9es et documents sp\u00e9cifiques dont elles disposent (propri\u00e9t\u00e9 intellectuelle, petites annonces d\u00e9fense\u2026). Le dernier \u00e9l\u00e9ment cl\u00e9 \u00e0 consid\u00e9rer est le contexte unique de l’entreprise, individuellement. L’objectif est de classer les actifs selon leur criticit\u00e9 et de mettre en \u00e9vidence les plus importants. Par exemple\u00a0: des actifs qui, s’ils n’\u00e9taient pas disponibles, entra\u00eeneraient une perturbation importante de la continuit\u00e9 des activit\u00e9s, ou des actifs hautement confidentiels qui, s’ils \u00e9taient accessibles, rendraient l’organisation passible de multiples poursuites.<\/p>\n
L’environnement ext\u00e9rieur<\/strong><\/h4>\nLe paysage des menaces repr\u00e9sente l’environnement externe. Ces donn\u00e9es ne sont pas accessibles depuis le r\u00e9seau interne. Les organisations doivent disposer des ressources humaines et financi\u00e8res pour trouver et g\u00e9rer ces informations. Alternativement, cette activit\u00e9 peut \u00eatre confi\u00e9e \u00e0 des professionnels qui surveilleront le paysage des menaces au nom de l’organisation. <\/p>\n
Conna\u00eetre les vuln\u00e9rabilit\u00e9s activement exploit\u00e9es est indispensable car elles repr\u00e9sentent un risque plus \u00e9lev\u00e9 pour une entreprise. Ces vuln\u00e9rabilit\u00e9s activement exploit\u00e9es peuvent \u00eatre suivies gr\u00e2ce \u00e0 des capacit\u00e9s de renseignement sur les menaces combin\u00e9es \u00e0 des donn\u00e9es de vuln\u00e9rabilit\u00e9. Pour obtenir les r\u00e9sultats les plus efficaces, il est m\u00eame pr\u00e9f\u00e9rable de multiplier les sources de renseignements sur les menaces et de les corr\u00e9ler. Comprendre l’activit\u00e9 des attaquants est \u00e9galement pr\u00e9cieux, car cela permet d’anticiper les menaces potentielles. Par exemple : les informations concernant une nouvelle attaque de type \u00ab zero-day \u00bb ou une nouvelle attaque de ransomware peuvent \u00eatre trait\u00e9es en temps opportun, afin d’\u00e9viter un incident de s\u00e9curit\u00e9. <\/p>\n
La combinaison et la compr\u00e9hension des deux environnements aideront les organisations \u00e0 d\u00e9finir leur risque r\u00e9el et \u00e0 identifier plus efficacement o\u00f9 les actions de pr\u00e9vention et de rem\u00e9diation doivent \u00eatre d\u00e9ploy\u00e9es. Il n’est pas n\u00e9cessaire d’appliquer des centaines de correctifs mais plut\u00f4t dix d’entre eux, s\u00e9lectionn\u00e9s, qui r\u00e9duiront consid\u00e9rablement la surface d’attaque d’une organisation. <\/p>\n