Ce texte a été généré par l'intelligence artificielle (IA).
La gestion des vulnérabilités organise la gestion des failles techniques connues. La gestion de l'exposition élargit le champ d'action aux actifs accessibles, aux erreurs de configuration, aux identités, aux ressources cloud, aux vecteurs d'attaque et à d'autres éléments susceptibles de favoriser une attaque. Ces deux disciplines poursuivent le même objectif global : réduire de manière traçable les cyber-risques pertinents. Elles se distinguent principalement par leur périmètre, leur modèle de données et leur logique de priorisation.
Gestion de l'exposition aux cyberrisques est utilisé comme terme de marché avec différentes connotations. Gestion des vulnérabilités basée sur les risques Il s'agit en revanche d'une évolution de la gestion des vulnérabilités fondée sur les risques. Elle complète la gravité technique par le contexte des menaces, des actifs et de l'activité, tout en restant axée sur les vulnérabilités. Ces termes ne doivent donc pas être considérés comme interchangeables.
L'essentiel en bref
La gestion des vulnérabilités pilote le cycle de vie des vulnérabilités connues, depuis leur détection jusqu'à leur correction vérifiée.
La gestion des expositions prend également en compte les expositions non liées à des vulnérabilités et les vecteurs d'attaque potentiels couvrant plusieurs domaines de sécurité.
La gestion des vulnérabilités basée sur les risques reste un élément essentiel et permet déjà de prendre en compte de nombreux éléments de contexte dans la hiérarchisation des priorités.
Le CVSS, le CISA KEV et l'EPSS répondent à différentes sous-questions ; aucun indicateur ne reflète à lui seul le risque organisationnel.
Le CTEM est un modèle de programme et de processus défini par Gartner. Il s'agit d'une structure possible pour la gestion des risques, mais n'est pas synonyme de toutes les activités liées à la gestion des risques.
Ce que recouvre la gestion des vulnérabilités
La gestion des vulnérabilités est un processus itératif qui porte sur les vulnérabilités connues des systèmes, des applications et des composants. Elle comprend la définition des actifs et des cibles, la détection, la validation, la hiérarchisation, le traitement, le suivi et le reporting. Les données proviennent notamment de scans authentifiés et non authentifiés, d'agents de terminaux, d'API cloud, d'inventaires logiciels, d'avis des éditeurs, de SBOM et de contrôles manuels.
La norme NIST SP 800-40 Rev. 4 décrit la gestion des correctifs d'entreprise comme un processus consistant à identifier, hiérarchiser, acquérir, installer et vérifier l'installation des correctifs, des mises à jour et des mises à niveau. La gestion des correctifs constitue une voie de traitement essentielle dans la gestion des vulnérabilités. Toutes les vulnérabilités ne peuvent pas être corrigées immédiatement. Les mesures correctives possibles comprennent également les modifications de configuration, la mise hors service, la segmentation, une surveillance supplémentaire, les mesures prises par le fabricant ou l’acceptation documentée du risque.
Un programme efficace repose sur une couverture fiable des actifs. Un scanner ne peut évaluer que les cibles qu’il connaît et auxquelles il a accès. Dans de nombreux systèmes, les identifiants d’accès permettent d’approfondir l’analyse. C’est pourquoi la CISA fait la distinction entre la découverte des actifs (Asset Discovery) et le recensement des vulnérabilités (Vulnerability Enumeration). Dans la directive BOD 23-01 édictée à l’intention des agences fédérales américaines, la CISA mentionne les analyses privilégiées ou l’installation d’un client sur le terminal comme moyens appropriés pour une détection plus approfondie des vulnérabilités.
La gestion des vulnérabilités basée sur les risques ne établit pas ses priorités uniquement en fonction d'un score de base. Elle prend en compte à la fois la gravité, l'exploitation actuelle, la probabilité d'exploitation, l'accessibilité, la criticité des actifs, les contrôles compensatoires et l'impact. Elle répond ainsi à une grande partie des questions de hiérarchisation au sein de son périmètre de vulnérabilités.
Autres éléments pris en compte par la gestion des risques de marché
La gestion des expositions utilise le terme „ exposition “ comme terme générique pour désigner les situations dans lesquelles un attaquant pourrait atteindre une cible pertinente ou perturber un processus métier. Cela inclut les vulnérabilités connues, mais aussi les services accessibles au public, les erreurs de configuration, les autorisations excessives, les relations de confiance non sécurisées, les actifs non gérés, les chemins d'accès au cloud et les identités insuffisamment contrôlées. Le périmètre exact dépend de l'organisation, des sources de données et des procédures mises en œuvre.
Le processus commence donc par une question plus générale : quels sont les objectifs commerciaux, les actifs et les points de vulnérabilité qui présentent un intérêt pour d'éventuels attaquants ? La découverte externe, les inventaires internes, la sécurité du cloud, les systèmes d'identité, les scanners de vulnérabilités, les contrôles de configuration, les renseignements sur les menaces et les techniques de validation fournissent des aperçus partiels. Les données doivent être mises en correspondance avec les actifs communs, les propriétaires et les processus métier.
Gestion de la surface d'attaque externe constitue une source de données importante pour la partie liée au site Internet. L'EASM permet de mettre en évidence les ressources inconnues ou gérées en dehors des inventaires centraux, ainsi que leurs modifications. Il ne couvre ni toutes les expositions internes, ni l'ensemble des chemins d'identité et des chemins cloud. La gestion des expositions nécessite, selon son périmètre, des données supplémentaires et des responsables opérationnels.
LocateRisk apporte un point de vue externe grâce à des analyses sans agent des systèmes accessibles, à des indications sur les logiciels utilisés et à des évaluations basées sur des indicateurs clés de performance (KPI). Cela ne permet toutefois pas de tirer automatiquement des conclusions sur chaque vulnérabilité présente en interne. De même, il n'est pas toujours possible de déterminer depuis l'extérieur si une version logicielle est concrètement vulnérable. La valeur ajoutée du produit réside dans la découverte, l'observation externe et la mise en évidence de signaux permettant de hiérarchiser les contrôles en aval.
Comparaison de la portée, des sources de données et des résultats
Dans les programmes concrets, la frontière entre les disciplines n'est pas clairement définie. Une gestion des vulnérabilités bien conçue peut déjà prendre en compte la criticité des actifs, l’accessibilité externe et les données relatives aux menaces. La gestion de l’exposition reprend ces capacités et les associe à d’autres catégories d’exposition. Le tableau comparatif suivant décrit des cas typiques et ne constitue pas une définition officielle du produit.
Dimension
Gestion des vulnérabilités
Gestion de l'exposition
Objet principal
Vulnérabilités techniques connues
Vulnérabilités et autres expositions exploitables
Données types
Scanners, agents, inventaires, notices du fabricant, SBOM
Ainsi que des données EASM, relatives au cloud, à l'identité, à la configuration, aux vecteurs d'attaque et aux menaces
Hiérarchisation des priorités
Gravité, exploitation, contexte des actifs et prise en charge
Accessibilité des objectifs métier, voies d'attaque et contexte inter-domaines
Résultat typique
Vulnérabilités classées par ordre de priorité, avec mesures correctives et vérification
Scénarios d'exposition prioritaires et mesures de réduction des risques
Équipes opérationnelles
Sécurité, exploitation informatique, développement et responsables des actifs
En outre, des fonctionnalités liées au cloud, à l'identité, à l'architecture, à la « red team » et aux risques, en fonction du périmètre
Le type de résultats diffère également. La gestion des vulnérabilités fournit souvent une liste de tâches classée par actifs et par vulnérabilités. La gestion des expositions regroupe plutôt les résultats par scénario d'attaque, par impact potentiel ou par objectif métier. Un ensemble de mesures peut traiter plusieurs constatations à la fois, par exemple en limitant un accès externe, en réduisant les autorisations et en mettant à jour un composant concerné.
La même distinction s'applique aux indicateurs clés. Le nombre de vulnérabilités critiques non corrigées, le délai moyen de traitement et la couverture des analyses permettent de mesurer l'efficacité du programme de gestion des vulnérabilités. Les indicateurs d'exposition peuvent porter sur la durée des expositions critiques accessibles au public, les vecteurs d'attaque validés ou la réduction des risques au regard d'objectifs métier prioritaires. Les indicateurs doivent reposer sur des définitions stables afin que les tendances restent fiables.
Hiérarchisation des priorités à l'aide des indices CVSS, KEV et EPSS, en tenant compte du contexte métier
Le CVSS est une norme ouverte permettant de communiquer les caractéristiques et la gravité d'une vulnérabilité logicielle. La version 4.0 distingue les métriques de base, de menace, d'environnement et supplémentaires. FIRST souligne que la pertinence d'un score numérique dépend des métriques utilisées. Une valeur de base à elle seule ne permet pas de connaître ni l'importance de l'actif concerné, ni l'ensemble des mesures de protection locales.
Le catalogue des vulnérabilités connues pour avoir été exploitées (Known Exploited Vulnerabilities Catalog) de la CISA répertorie les vulnérabilités dont l'exploitation en milieu réel a été avérée. La CISA recommande d'utiliser ce catalogue comme base pour établir des priorités dans la gestion des vulnérabilités. L’EPSS de FIRST évalue, pour un CVE donné, la probabilité d’une exploitation au cours des 30 jours suivants. Cette valeur décrit la probabilité, et non les dommages potentiels pour votre entreprise.
Ces sources se complètent mutuellement. Le CVSS structure les caractéristiques techniques et peut intégrer des indicateurs liés à l'environnement et aux menaces. Le KEV fournit des preuves vérifiées concernant les exploitations actives connues. L'EPSS fournit une probabilité fondée sur des données. Le contexte métier permet de déterminer quels processus, données et dépendances sont concernés. L'accessibilité et les contrôles en place indiquent s'il existe une voie d'accès réaliste vers l'actif.
Preemptive Intelligence peut recouper des indices précoces supplémentaires provenant de plusieurs sources avec la surface d'attaque observée avant qu'un enrichissement NVD définitif ne soit disponible. Un tel indice doit être marqué comme « preuve préliminaire » et réévalué à la lumière de nouvelles informations. En avril 2026, le NIST a annoncé qu’il allait hiérarchiser les enrichissements NVD en fonction des risques ; ainsi, tous les CVE entrants ne bénéficieront pas immédiatement du même niveau de détail dans les métadonnées. Cela renforce l’importance de la transparence des sources et des indications de date de mise à jour.
Où le CTEM doit-il figurer dans la comparaison ?
La gestion continue de l'exposition aux menaces (Continuous Threat Exposure Management, ou CTEM) est un concept de programme défini par Gartner. Gartner décrit une approche itérative comportant cinq phases : cadrage, découverte, hiérarchisation, validation et mobilisation. Ces termes proviennent de la méthodologie des analystes et ne constituent pas une norme indépendante des éditeurs, à l’instar d’une norme NIST. Le CTEM n’est pas non plus un outil unique. Les organisations peuvent utiliser ce modèle comme structure pour un programme de gestion de l’exposition aux menaces, tandis que plusieurs sources de données, procédures de validation et flux de travail opérationnels viennent étayer chacune des phases.
La gestion des expositions (Exposure Management) désigne en revanche la discipline ou la compétence au sens large. La gestion des vulnérabilités (Vulnerability Management) reste pertinente dans ce cadre et fournit des conclusions techniques, des compétences en matière de traitement et des processus opérationnels bien établis. L’EASM apporte la perspective externe ; les équipes chargées du cloud, de l’identité et des applications complètent d’autres domaines. Un processus axé sur le CTEM relie ces contributions à travers le périmètre et les priorités, mais ne remplace pas le travail technique des disciplines concernées. Quiconque utilise ce modèle de manière détaillée doit définir son propre périmètre, des critères de transition entre les phases et des résultats mesurables. Le simple fait d’attribuer les outils existants à cinq phases ne suffit pas à créer un cycle de pilotage continu.
Intégrer judicieusement ces deux disciplines
Une entreprise n'a pas besoin de renommer son système actuel de gestion des vulnérabilités pour appliquer les principes d'exposition. La première étape consiste à dresser un état des lieux : quels actifs sont recensés ? Quelles classes d'exposition manquent à l'appel ? Quelles équipes détiennent les données ? Où les priorités se perdent-elles lors du passage de la sécurité à l'exploitation ? Cela permet de définir un projet pilote ciblé, axé sur un objectif métier pertinent.
Dans le cadre du projet pilote, les résultats des analyses de sécurité sont mis en relation avec le niveau de criticité des actifs, leur accessibilité depuis l'extérieur, le KEV, l'EPSS et les contrôles existants. Des données complémentaires issues de l'EASM ou du cloud mettent en évidence des ressources inconnues et des expositions non liées à des vulnérabilités. Une petite équipe pluridisciplinaire examine les principaux chemins d’attaque supposés et convient de mesures concrètes. Le succès est mesuré à l’aune de la réduction des risques et des résultats clôturés, et non en fonction de la quantité de données collectées.
En fonctionnement normal, chaque résultat priorisé doit être associé à un responsable de l'actif, à un responsable technique, à un délai et à une catégorie de traitement. Les exceptions doivent être justifiées, approuvées et assorties d'une date d'expiration. Une fois la mise en œuvre effectuée, un nouveau contrôle confirme le changement d'état. Ce cycle fermé est commun aux deux disciplines.
Le modèle de données a lui aussi besoin d’une gouvernance. Plusieurs outils peuvent référencer un même élément sous différents noms ou signaler plusieurs fois le même résultat. La normalisation, les règles anti-doublons et une référence commune au propriétaire permettent d’éviter toute distorsion des priorités. Parallèlement, la source d’origine et l’horodatage doivent être conservés afin que les analystes puissent vérifier la validité d’une information. Pour chaque source de données intégrée, il convient de documenter la portée, la fréquence de mise à jour et les limites connues. Ce travail détermine si un programme de gestion des expositions génère des tâches fiables ou se contente de diffuser de nouvelles listes.
L'architecture cible appropriée dépend de la taille, du profil de risque et des outils disponibles. Certaines organisations commencent par améliorer la couverture des scanners et la hiérarchisation des priorités en fonction des risques. D'autres ont d'abord besoin d'une découverte externe des actifs ou d'une connexion entre les données du cloud et celles relatives aux identités. Une analyse externe des risques informatiques peut constituer un point de départ limité. Elle ne remplace pas les données internes ni les processus de traitement propres à la gestion des vulnérabilités.
La gestion des vulnérabilités se concentre sur les failles techniques connues et leur traitement. La gestion des expositions prend en compte, en outre, d'autres situations exploitables et voies d'attaque potentielles, telles que les erreurs de configuration, les identités, les relations avec le cloud et les actifs externes inconnus.
Non. La gestion des vulnérabilités fournit des données essentielles, des processus métier et une expertise en matière de traitement. La gestion de l'exposition associe ces éléments de base à des classes d'exposition supplémentaires et à un contexte plus large en matière de risques et de vecteurs d'attaque.
Non. Le CTEM est un cadre de programme itératif en cinq phases, défini par Gartner. La gestion des risques (Exposure Management) est le terme générique utilisé dans le domaine et sur le marché. Une organisation peut également mettre en œuvre la gestion des risques selon une autre structure de processus.
Un score CVSS décrit les caractéristiques techniques clés et peut inclure le contexte de la menace et de l'environnement. Toutefois, la hiérarchisation opérationnelle doit également tenir compte des exploitations connues, de la probabilité d'exploitation, de l'accessibilité, de la criticité des actifs, des mesures de protection et des impacts potentiels.
EASM assure la détection et la surveillance continue de la surface d'attaque externe. Il est capable d'identifier les ressources Internet inconnues et les modifications qui y sont apportées. Pour les expositions internes, liées au cloud ou aux identités, la gestion des expositions nécessite des sources de données supplémentaires.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English