Dernière mise à jour : 6 août 2026

EASM, CAASM et DRPS : différences et domaines d'application

L'essentiel en bref

• Gestion de la surface d'attaque externe (EASM) examine les actifs et les expositions accessibles au public selon une approche « outside-in ».
• Gestion de la surface d'attaque des actifs informatiques (CAASM) Il rassemble et met en corrélation, principalement via des interfaces, les données issues des outils informatiques et de sécurité existants.
• Services de protection contre les risques numériques (DRPS) surveiller les risques numériques au-delà des frontières traditionnelles de l'entreprise, par exemple l'utilisation abusive de marques, les faux noms de domaine ou les données divulguées.
• Ces catégories se recoupent. La gamme de produits et les appellations varient selon les fournisseurs ; la source de données concrète est donc plus révélatrice que l'étiquette.
• Une combinaison peut s'avérer utile lorsque l'exposition externe, les données internes sur les actifs et les menaces numériques doivent être intégrées conjointement dans des workflows hiérarchisés.

Trois catégories avec des points de départ différents

Les termes EASM, CAASM et DRPS sont souvent cités côte à côte, car ces trois catégories promettent toutes une visibilité sur les risques numériques. Elles partent toutefois de points de départ différents. L'EASM cherche à déterminer quels systèmes d'une organisation sont identifiables et accessibles depuis Internet. Le CAASM s'intéresse aux actifs et aux informations de sécurité déjà disponibles dans les outils internes, et à la manière dont ces données peuvent être regroupées pour former un inventaire fiable. Le DRPS s'intéresse aux risques numériques qui surviennent en dehors de l'infrastructure propre à l'organisation, par exemple en raison de la contrefaçon de marques, des domaines de phishing ou de la divulgation d'identifiants d'accès.

Ces termes proviennent du marché de la gestion de la surface d'attaque (Attack Surface Management) et ont été largement popularisés par les analystes. Gartner classe l'EASM, le CAASM et le DRPS comme des domaines d'application distincts au sein de ce marché. Cela ne signifie pas pour autant que chaque solution dispose exactement des mêmes fonctionnalités. Les fournisseurs élargissent leurs produits, combinent des catégories ou utilisent leurs propres définitions. Un achat ne devrait donc pas reposer uniquement sur un acronyme.

Cinq questions permettent de cerner la situation : quels sont les actifs concernés ? D’où proviennent les données ? Faut-il mettre en place un accès interne ? Quels risques peut-on déduire de ces données ? Et quelle équipe doit traiter les résultats ? Ces questions permettent de mettre en évidence les chevauchements et les lacunes.

EASM : surveiller la surface d'attaque externe depuis l'extérieur

La gestion de la surface d'attaque externe (EASM) recense et surveille les ressources exposées sur Internet du point de vue d'un observateur externe. La documentation officielle de Microsoft décrit l'EASM comme une détection et une cartographie continues de la surface d'attaque numérique. Les points de départ peuvent être des domaines connus, des plages d'adresses IP, des hôtes, des numéros de systèmes autonomes ou des données organisationnelles. Les relations entre ces éléments permettent d'identifier d'autres actifs potentiellement associés.

L'approche « outside-in » s'avère utile lorsque l'inventaire interne ne reflète pas fidèlement la réalité telle qu'elle est visible publiquement. Cela peut s'expliquer par de nouvelles ressources cloud, des achats décentralisés, des systèmes de test, des acquisitions d'entreprises ou des enregistrements DNS obsolètes. L'EASM permet de collecter systématiquement ces informations et d'évaluer les services accessibles en fonction de caractéristiques de sécurité observables. Il s'agit par exemple des configurations TLS, des caractéristiques de sécurité des e-mails, des interfaces exposées ou des indications sur les technologies utilisées.

Cette approche a des limites évidentes. L'attribution d'un actif détecté à une organisation peut nécessiter une vérification. De même, la détection d’une indication technologique ne prouve pas automatiquement qu’une version vulnérable spécifique est active. L’EASM ne remplace ni les analyses internes authentifiées ni les tests d’intrusion. Il complète ces procédures en apportant un éclairage sur ce qui est visible en dehors de la propre sphère de contrôle de l’entreprise. Vous trouverez une analyse plus détaillée dans l’article Qu'est-ce que l'EASM ?.

Pour ses analyses automatisées des risques informatiques, LocateRisk s'appuie sur des informations techniques accessibles au public et ne nécessite l'installation d'aucun agent sur les systèmes concernés. Les résultats obtenus permettent d'établir des priorités et d'effectuer un suivi régulier. Ils doivent ensuite être mis en relation avec la responsabilité des actifs, la criticité métier et les constatations internes.

CAASM : corréler les données existantes relatives aux actifs et à la sécurité

La gestion de la surface d'attaque des actifs informatiques (CAASM) s'appuie principalement sur les données existantes. Les outils CAASM visent à améliorer la visibilité des actifs et à répondre aux questions relatives à leur exposition, notamment grâce à des intégrations avec les systèmes existants. Les sources typiques sont les plateformes cloud, les outils de gestion des terminaux, les services d’identité, les bases de données de gestion de configuration, les scanners de vulnérabilités et les systèmes de tickets.

Une plateforme CAASM normalise les différents modèles de données et tente d’associer les ensembles de données à un même actif. Cela permet de répondre à des questions qui restent sans réponse dans les outils individuels : quels appareils manquent dans l’EDR ? Quelle ressource cloud n’a pas de responsable désigné ? Quels actifs apparaissent dans le scanner, mais pas dans la CMDB ? Quelles identités ou contrôles de sécurité sont associés à un système ?

Sa force réside dans la corrélation. Celle-ci suppose toutefois des sources exploitables, des interfaces adaptées et des responsabilités bien définies. Un actif externe inconnu, qui n’apparaît dans aucune source connectée, peut échapper à une vision purement basée sur l’intégration. C'est pourquoi certains produits CAASM complètent leurs propres fonctions de découverte ou les données EASM. Cela élargit l'éventail des fonctionnalités, sans pour autant modifier le principe de base : le CAASM apporte de l'ordre et du contexte aux données distribuées relatives aux actifs et à la sécurité.

Pour les entreprises disposant de nombreux outils, le CAASM peut faciliter la recherche des inventaires contradictoires et des lacunes en matière de contrôle. Les petites et moyennes entreprises devraient vérifier au préalable si le nombre et la qualité de leurs sources de données justifient la mise en place d’une couche d’intégration supplémentaire. Dans un environnement de taille raisonnable, un inventaire bien géré, associé à l’EASM et à un processus de gestion des vulnérabilités, peut s’avérer suffisant.

DRPS : les risques numériques au-delà de l'infrastructure propre à l'entreprise

Les services de protection contre les risques numériques élargissent la vision des risques qui n'apparaissent pas comme des actifs classiques au sein de votre propre réseau. Google décrit la protection contre les risques numériques comme un ensemble de produits et de services destinés à protéger les actifs et les données essentiels contre les menaces externes. Selon le fournisseur, cela peut inclure des domaines similaires, des sites web frauduleux, l'usurpation de marque, des identifiants compromis, des fuites de données ou la planification d'attaques.

Le DRPS est donc particulièrement pertinent pour les équipes chargées du renseignement sur les menaces, de la lutte contre la fraude, de la protection des marques et des opérations de sécurité. Un processus type commence par des objets à protéger tels que des noms de marque, des noms de domaine, des dirigeants ou des noms de produits. Un service recherche ensuite des occurrences suspectes, leur attribue un contexte et, selon les termes du contrat, apporte son soutien dans le cadre des procédures de retrait ou d’escalade.

L'étendue concrète des sources varie considérablement. Certaines offres se limitent à l'observation de sources accessibles au public et d'enregistrements de domaines. D'autres incluent des domaines fermés ou difficilement accessibles. Ces capacités ne doivent pas être déduites de la désignation de la catégorie, mais doivent être attestées dans l'étendue des prestations. LocateRisk ne propose pas de surveillance du darknet ni des forums clandestins. Le produit porte sur l'analyse des expositions techniques observables publiquement, et non sur l'ensemble des cas d'utilisation du DRPS.

Le DRPS ne résout pas non plus tous les problèmes liés à la gestion de la surface d'attaque. Une alerte concernant un domaine trompeusement similaire ne donne que peu d'indications sur l'état des correctifs de son propre serveur web. À l'inverse, un système EASM technique ne détecte pas nécessairement l'utilisation abusive d'une marque sur une plateforme sociale. Les responsabilités opérationnelles et le processus de réaction attendu doivent donc être clarifiés dès la phase de sélection.

Interaction au sein d’un processus de gestion des risques solide

Ces trois catégories peuvent être utilisées comme modules de données au sein d’un processus commun d’évaluation de l’exposition. L’EASM fournit des indications sur les actifs visibles de l’extérieur et les erreurs de configuration. Le CAASM relie ces indications aux actifs internes, aux propriétaires et aux informations de contrôle. Le DRPS complète ces signaux en apportant des données sur les abus numériques et la sélection des cibles externes. Le résultat ne constitue pas encore une hiérarchisation des priorités. Pour cela, il faut tenir compte de la criticité métier, de l’accessibilité, du contexte de la menace et d’une décision prise par la personne responsable.

Exemple possible : EASM détecte un hôte qui n'avait pas encore été répertorié. Après corrélation, CAASM indique que l'abonnement cloud correspondant appartient à une équipe produit et qu'aucun outil de gestion des terminaux n'y est associé. Dans le même temps, DRPS signale un domaine de phishing imitant le nom du produit. Ces constatations peuvent être liées, mais ce n’est pas nécessairement le cas. Seule une validation permet de clarifier le lien entre elles et de déterminer les mesures à prendre.

Pour le choix de l'outil, il est recommandé de s'appuyer sur un catalogue de critères liés à l'utilisation. Commencez par identifier les décisions que l'outil doit faciliter. Vérifiez ensuite le champ de vision, les sources de données, la fréquence de mise à jour, la traçabilité de l'affectation des actifs, les possibilités d'exportation et d'intégration, ainsi que les responsabilités en cas de fausses alertes. Un Note de sécurité peut offrir un premier regard extérieur. Pour une analyse structurée des systèmes réalisables, la page décrit Analyse des risques informatiques une bonne introduction.

Les fournisseurs peuvent également être associés au processus. Les observations externes ne remplacent pas l'examen des contrats ou des questionnaires, mais fournissent des preuves techniques récurrentes. La page suivante montre comment cette approche peut être mise en œuvre dans la gestion des risques liés aux tiers : Gestion des risques par des tiers.

Quelle catégorie correspond à quel besoin ?

L'EASM est adapté lorsque l'accent est mis sur des expositions Internet inconnues ou non contrôlées. Le CAASM est adapté lorsque de nombreuses sources de données internes fournissent des inventaires d’actifs contradictoires et qu’il s’agit de mettre en évidence les lacunes en matière de contrôle. Le DRPS est adapté lorsque des risques liés à la marque, à l’identité ou aux données doivent être surveillés et gérés en dehors de l’infrastructure technique de l’entreprise.

De nombreuses organisations ont besoin de plusieurs points de vue, mais pas nécessairement de trois plateformes distinctes. Les facteurs déterminants sont l’environnement logiciel existant, les principales lacunes en matière d’information et les équipes chargées de traiter les résultats. Un projet pilote clairement défini, avec un nombre restreint de cas d’utilisation prioritaires, s’avère plus solide qu’un achat fondé sur un maximum de listes de fonctionnalités.

Pour le projet pilote, il convient de poser des questions quantifiables : combien d’actifs externes pertinents étaient auparavant inconnus de l’équipe ? Combien d’enregistrements internes peuvent être attribués sans ambiguïté à un propriétaire ? À quelle fréquence un signal DRPS a-t-il conduit à une mesure de protection confirmée ? Outre le nombre de résultats, recensez également les erreurs d’attribution, le temps de traitement et le pourcentage de mesures mises en œuvre. Cela permettra de déterminer si une source de données supplémentaire améliore le flux de travail ou si elle ne fait que générer davantage d’alertes. Documentez également le périmètre choisi.

Questions fréquentes

---

Quelle est la principale différence entre l'EASM et le CAASM ?

L'EASM commence par adopter une approche « outside-in » (de l'extérieur vers l'intérieur) des actifs exposés sur Internet. Le CAASM exploite principalement les données issues des systèmes informatiques et de sécurité internes existants. Les solutions peuvent combiner ces deux approches ; c'est pourquoi les sources de données et les procédures de détection doivent être examinées au cas par cas.

---

Le DRPS, c'est la même chose que l'EASM ?

Non. Le DRPS permet notamment de traiter les cas d'usurpation de marque, les domaines de phishing ou les données exposées. L'EASM se concentre quant à lui sur la surface d'attaque technique accessible au public. Il existe certes des recoupements, mais l'étendue des prestations varie selon les prestataires.

---

L'EASM peut-il remplacer un inventaire interne des actifs ?

L'EASM permet de mettre en évidence des actifs externes inconnus ou qui ne sont plus gérés, mais ne dispose pas automatiquement du contexte interne en matière de propriété, de processus et d'activité. Un processus fiable relie les observations externes à un inventaire interne à jour.

---

Une entreprise doit-elle utiliser simultanément les systèmes EASM, CAASM et DRPS ?

Non. Le choix doit se fonder sur des lacunes concrètes en matière d'informations et sur les processus de travail. Certaines plateformes couvrent plusieurs cas d'utilisation. Un projet pilote permet de déterminer si des données supplémentaires conduisent effectivement à de meilleures décisions et à des délais de traitement plus courts.

Vous souhaitez identifier les risques externes visibles liés à votre organisation ou à vos fournisseurs stratégiques ? Commencez par une analyse des risques informatiques réalisée par LocateRisk et discutez des résultats avec notre équipe.