À mesure que les réseaux d’entreprise gagnent en taille et en complexité, les erreurs de configuration et les vulnérabilités susceptibles de les exposer à des cyberattaques et à des compromissions dévastatrices se multiplient elles aussi. La gestion des vulnérabilités consiste à hiérarchiser et à réduire ces risques et menaces.
Sachant qu’une entreprise moyenne du Fortune 500 compte près de 500 vulnérabilités critiques, l’importance de la gestion des vulnérabilités devient évidente.
La gestion des vulnérabilités est un processus cyclique de gestion de la cybersécurité qui consiste à identifier, évaluer, corriger et signaler les vulnérabilités de sécurité, conformément aux recommandations d’un cadre de gestion des vulnérabilités. Elle associe des actions de cybersécurité spécifiques, comme l’évaluation des risques et la gestion des correctifs à un plan organisé couvrant un large éventail de vulnérabilités. La hiérarchisation et la correction fondées sur les risques sont au cœur de la gestion des vulnérabilités, qui constitue ainsi une stratégie de cybersécurité globale prenant en compte la conformité, les opérations quotidiennes et les exigences de la stratégie d’entreprise dans les décisions.
Comment fonctionne la gestion des vulnérabilités ?
À la base, la gestion des vulnérabilités est une pratique des équipes de cybersécurité qui consiste à identifier les vulnérabilités d’une organisation et à les hiérarchiser en fonction de métriques de risque et d’autres critères. Pour les vulnérabilités obtenant un score de risque élevé, les équipes de cybersécurité doivent analyser plus en détail les actifs concernés — matériel, logiciels, applications, bases de données, terminaux ou autres actifs informatiques — afin de déterminer la meilleure façon de corriger la vulnérabilité ou, à défaut, de limiter la menace qu’elle représente pour le réseau.
De nombreuses équipes utilisent des logiciels et outils spécialisés pour simplifier et automatiser la gestion des vulnérabilités. L’analyse des vulnérabilités, les tests d’intrusion, la notation des risques, la gestion des correctifs, ainsi que les outils d’évaluation des vulnérabilités sont autant de technologies que les entreprises intègrent à chaque étape du cycle de vie de la gestion des vulnérabilités. Dans de nombreux cas, elles choisissent de réduire la prolifération de leurs outils informatiques en adoptant une plateforme complète de gestion des vulnérabilités pour accompagner leurs efforts.
Voir les meilleurs outils de gestion des vulnérabilités
Tout au long du processus de gestion des vulnérabilités — que vous utilisiez ou non des outils dédiés — un cadre ou une politique de gestion des vulnérabilités est mis en œuvre afin de guider les professionnels de la cybersécurité et les autres parties prenantes concernées.
La gestion des vulnérabilités ne se résume pas à un audit ponctuel du réseau ou à une opération de nettoyage ; c’est un processus continu auquel les équipes de sécurité doivent se consacrer avec rigueur et qu’elles doivent ajuster au fil du temps pour obtenir les meilleurs résultats. Le cadre de gestion des vulnérabilités doit être mis à jour en continu afin de suivre l’évolution de la surface d’attaque de l’entreprise et l’apparition de nouvelles menaces externes.
À lire également : Tests d’intrusion ou tests de vulnérabilité
Processus de gestion des vulnérabilités
La gestion des vulnérabilités comporte une phase de planification et une phase opérationnelle durant laquelle les équipes de sécurité mettent ce plan en œuvre.
Élaborer une politique de gestion des vulnérabilités
Avant de pouvoir gérer efficacement le reste du cycle de vie de la gestion des vulnérabilités, il est important de commencer par définir clairement une politique ou un cadre de gestion des vulnérabilités. Une politique de gestion des vulnérabilités est un ensemble de règles et un guide de référence qui définissent la manière dont les équipes de sécurité doivent identifier et corriger les vulnérabilités. Elle accompagne l’application des bonnes pratiques et précise également les exigences légales ou réglementaires en matière de conformité à respecter lors du traitement des vulnérabilités touchant des données et des systèmes sensibles.
Les bonnes pratiques pour élaborer une politique de gestion des vulnérabilités sont les suivantes :
Préparez votre politique avant toute autre chose
Avant tout, vous devez créer votre politique de gestion des vulnérabilités et la communiquer à tous les décideurs concernés avant d’entreprendre d’autres tâches de gestion des vulnérabilités. Si ce plan n’est pas finalisé avant que les équipes de sécurité commencent à traiter les problèmes de vulnérabilité, votre entreprise risque fortement de se retrouver en situation de non-conformité ou de commettre une autre erreur coûteuse.
Définissez clairement les objectifs et le périmètre de votre programme de gestion des vulnérabilités
Même si votre entreprise souhaite probablement identifier et traiter tous les types de vulnérabilités dans l’ensemble de son réseau, il est vraisemblable que certains types de systèmes et de vulnérabilités doivent être prioritaires. Les dirigeants de tous les services de l’entreprise doivent participer à la définition des objectifs du programme de gestion des vulnérabilités. Cette partie de votre politique est particulièrement importante pour déterminer les éléments à signaler après chaque cycle de correction des vulnérabilités.
Tenez compte des facteurs propres au secteur et à la région en matière de conformité réglementaire
Si vous travaillez dans un secteur ou une région du monde fortement réglementé, votre politique de gestion des vulnérabilités doit préciser ce qui peut et ne peut pas être fait lors de l’évaluation et de la correction des vulnérabilités touchant des actifs sensibles, comme les données personnelles. Pour des réglementations telles que HIPAA, il est particulièrement important de documenter clairement votre situation en matière de conformité ainsi que les mesures prises pour protéger les données des patients.
Identifiez et formez toutes les parties prenantes de la gestion des vulnérabilités
Les professionnels de la cybersécurité effectueront l’essentiel du travail pratique lié à la gestion des vulnérabilités, mais plusieurs autres rôles et responsabilités doivent être définis dans votre politique pour assurer l’efficacité du programme. Les personnes suivantes doivent connaître leur rôle et leurs responsabilités en matière de gestion des vulnérabilités :
- Responsables de la sécurité (CSO) : Ce sont les dirigeants stratégiques de la sécurité qui pilotent le programme de gestion des vulnérabilités, soutiennent l’équipe de cybersécurité et obtiennent en parallèle l’adhésion des autres dirigeants de l’organisation. Cette personne peut parfois jouer le rôle de chef de projet, mais elle sera plus vraisemblablement chargée de la planification stratégique, de la formation dans toute l’organisation et de la communication des principaux résultats et des prochaines étapes au reste du comité de direction.
- Autres dirigeants de l’entreprise : Même si le responsable de la sécurité est le dirigeant qui possède l’expertise et la connaissance quotidienne du fonctionnement de la gestion des vulnérabilités, d’autres dirigeants participeront souvent aux échanges lorsqu’il s’agit de hiérarchiser certains types de mesures de réduction des risques. Ces dirigeants sont également chargés de promouvoir les bonnes pratiques de sécurité à l’échelle individuelle et d’impliquer les propriétaires des actifs de leurs services.
- Ingénieurs en cybersécurité ou en gestion des vulnérabilités : Ce sont les personnes auxquelles on pense d’abord lors de la création d’une équipe de gestion des vulnérabilités. Elles sont responsables de l’identification et de la résolution des vulnérabilités, conformément au cadre de gestion des vulnérabilités. Dans certains cas, elles peuvent également être chargées de former les propriétaires des actifs et de communiquer avec eux au sujet de tâches spécifiques de gestion des risques.
- Propriétaires des actifs et des données : Ces personnes jouent un rôle secondaire dans le processus de gestion des vulnérabilités, mais elles sont essentielles au niveau de chaque actif. Comme les propriétaires connaissent généralement mieux leurs systèmes et bases de données spécifiques et en assurent la responsabilité, ils sont souvent sollicités pour fournir davantage d’informations sur l’actif et/ou accepter une partie des risques liés à la correction et à la gestion de ses vulnérabilités.
- Fournisseurs de services de sécurité managés (MSSP) : Dans certains cas, des équipes tierces sont engagées pour déployer et automatiser certaines étapes du processus de gestion des vulnérabilités. Selon les capacités informatiques et de sécurité internes de l’organisation, ces intervenants peuvent assumer plusieurs des rôles et responsabilités énumérés ci-dessus.
À lire également : Meilleurs fournisseurs de services de sécurité managés
Les 6 étapes du cycle de vie de la gestion des vulnérabilités
Maintenant que votre politique de gestion des vulnérabilités est en place, votre équipe est prête à commencer à identifier et à corriger les vulnérabilités de sécurité du réseau. Le cycle de vie de la gestion des vulnérabilités se décompose en six étapes présentées ci-dessous. Gardez à l’esprit que ces étapes doivent être répétées régulièrement, car les surfaces d’attaque et les tactiques des pirates évoluent constamment :
- Identifiez les vulnérabilités grâce à l’analyse et à l’évaluation des vulnérabilités. L’analyse des vulnérabilités peut être réalisée selon un processus continu et planifié ou au moyen d’une analyse plus limitée portant sur des actifs système spécifiques. Dans de nombreux cas, elle est effectuée conjointement avec des techniques de tests d’intrusion manuels.
- Évaluez et hiérarchisez les vulnérabilités. Avant de commencer à corriger les vulnérabilités identifiées, vous devez déterminer lesquelles sont les plus dangereuses pour le réseau. La notation des risques est une forme de hiérarchisation fondée sur les risques, souvent utilisée pour désigner clairement les vulnérabilités les plus urgentes.
- Corrigez les vulnérabilités. En commençant par les vulnérabilités présentant les risques les plus élevés, votre équipe de cybersécurité doit résoudre les problèmes au moyen de la gestion des correctifs, de la reconfiguration des systèmes et d’autres techniques de réduction des risques. L’application de correctifs aux vulnérabilités est l’un des moyens les plus efficaces d’éliminer les vulnérabilités ; toutefois, les correctifs ne sont pas toujours disponibles. Votre équipe devra donc parfois faire preuve de créativité et recourir à d’autres solutions de réduction des risques. Le processus consistant à mettre en œuvre des contrôles de sécurité lorsque les correctifs ne peuvent pas être appliqués est parfois appelé application de correctifs virtuels.
- Réévaluez et vérifiez l’efficacité de la correction. Cette étape comprend des analyses et des tests d’intrusion supplémentaires. Il est important de réévaluer en permanence les actions menées dans le cadre de la gestion des vulnérabilités, notamment lorsque de nouveaux correctifs deviennent disponibles, et de vérifier que les correctifs et les mesures d’atténuation fonctionnent comme prévu.
- Documentez les vulnérabilités et rendez compte de leur résolution et de leurs résolutions. Chaque étape du processus de gestion des vulnérabilités doit être soigneusement documentée, mais il est particulièrement important de consigner clairement les résultats et les prochaines étapes. L’équipe de cybersécurité peut ensuite présenter ses conclusions et recueillir des informations et un contexte supplémentaires auprès des autres équipes.
- Adaptez votre cadre de gestion des vulnérabilités et vos stratégies au fil du temps. À un certain niveau, votre plan de gestion des vulnérabilités doit être réévalué chaque fois que vous reprenez le cycle de vie de la gestion des vulnérabilités. À intervalles moins réguliers, l’ensemble de votre cadre doit faire l’objet d’un examen approfondi et d’une refonte lorsque de nouvelles techniques ou de nouveaux outils apparaissent pour améliorer le processus.
À lire également : Politique de gestion des correctifs : étapes, avantages et modèle gratuit
Bonnes pratiques de gestion des vulnérabilités
Votre programme de gestion des vulnérabilités aura les meilleures chances de réussir si vous suivez certains principes et bonnes pratiques.
Fixez des objectifs mesurables
La définition des objectifs est l’une des premières étapes de la création de votre politique de gestion des vulnérabilités, mais il est essentiel que ces objectifs soient réellement mesurables. Aux niveaux individuel et collectif, définissez des indicateurs clés de performance (KPI) mesurables afin de maintenir le travail quotidien en phase avec les objectifs généraux. Parmi les KPI à envisager pour votre équipe figurent la fréquence et le type d’analyses requis, le taux de correction des vulnérabilités après leur découverte, le délai moyen de correction (MTTR) et la durée d’application des correctifs. Des accords de niveau de service (SLA) pour certaines vulnérabilités, notamment celles de gravité élevée sur des actifs critiques, peuvent contribuer à garantir qu’aucune ne passe entre les mailles du filet.
Effectuez régulièrement des analyses de vulnérabilités et vérifiez les correctifs
De nouvelles vulnérabilités peuvent apparaître ou évoluer du jour au lendemain. De nouveaux correctifs sont publiés régulièrement — chaque semaine chez certains fournisseurs. Si vous n’analysez pas régulièrement vos actifs et ne recherchez pas les nouvelles possibilités d’application de correctifs, la sécurité de votre réseau se dégradera dès que vous aurez terminé votre dernier cycle de gestion des vulnérabilités. Si votre équipe peine à suivre le rythme constant des analyses et de l’application des correctifs, envisagez d’investir dans un outil qui automatise ou prend en charge d’une autre manière le processus d’analyse.
Intégrez les solutions de gestion des vulnérabilités aux autres outils informatiques et de sécurité
Bon nombre des meilleures solutions logicielles de gestion des vulnérabilités font partie d’une suite de cybersécurité plus vaste. Même pour celles qui n’en font pas partie, plusieurs de ces outils s’intègrent facilement à SIEM et à d’autres logiciels de cybersécurité, ainsi qu’à des solutions ITSM et CI/CD. Si vous choisissez d’utiliser un outil de gestion des vulnérabilités dans votre processus, faites preuve de diligence et vérifiez comment l’intégrer plus harmonieusement à votre environnement technologique existant ; cette étape peut simplifier les tâches des membres de votre équipe et même vous faire économiser de l’argent en réduisant le nombre d’outils utilisés.
Tenez compte des chemins d’attaque
Le nombre de vulnérabilités étant presque toujours supérieur au nombre de celles pouvant être corrigées de manière réaliste, les entreprises doivent créer des grilles de hiérarchisation objectives qui quantifient la gravité de la vulnérabilité et la criticité de l’actif. Toutefois, ces modes de hiérarchisation peuvent également être exploités. On sait par exemple que des acteurs malveillants utilisent des vulnérabilités ayant une note CVE de 5 ou 6, car ils savent que de nombreuses organisations les ignorent. La meilleure approche consiste à demander à des experts du secteur ce qu’ils disent des différentes vulnérabilités, comment les acteurs malveillants les utilisent, avec quelle facilité elles peuvent être exploitées et quel niveau d’accès elles offrent à des ressources sensibles. Ces données doivent être prises en compte au même titre que les notes CVE.
Faites appel à des renforts pour combler les lacunes
Les grandes entreprises disposent peut-être en interne de toutes les ressources nécessaires à la gestion de la sécurité, mais pour une entreprise moyenne, il est difficile de trouver, recruter et fidéliser suffisamment de spécialistes pour gérer les vulnérabilités en parallèle de nombreuses autres tâches informatiques essentielles. Si votre équipe peine à suivre votre plan de gestion des vulnérabilités ou à en établir un, envisagez d’externaliser ce travail auprès d’un MSSP spécialisé dans la gestion des vulnérabilités et des risques.
Gestion des vulnérabilités ou évaluation des vulnérabilités
L’évaluation des vulnérabilités n’est qu’un élément du processus global de gestion des vulnérabilités. Il s’agit d’une étape précoce du cycle de vie de la gestion des vulnérabilités, utilisée pour documenter des vulnérabilités précises et leurs caractéristiques, comme leur emplacement, leur ampleur et leur similitude avec d’autres vulnérabilités connues du fournisseur.
Les évaluations des vulnérabilités sont généralement des documentations ponctuelles et concrètes des problèmes de vulnérabilité. Elles sont suivies de la notation des risques, de la hiérarchisation et de la correction — autant d’étapes du cycle de vie de la gestion des vulnérabilités. La gestion des vulnérabilités est le cadre global utilisé pour gérer toutes ces étapes et éradiquer les vulnérabilités de sécurité.
19 meilleurs outils et logiciels de gestion des vulnérabilités
Les outils de gestion des vulnérabilités vont des solutions à usage unique aux plateformes globales et aux services managés. Nous avons compilé ci-dessous une liste de quelques-unes des meilleures solutions de gestion des vulnérabilités, en indiquant brièvement le domaine dans lequel chacune est spécialisée :
- Qualys VMDR 2.0 with TruRisk : Plateforme de gestion des vulnérabilités également disponible sous forme de service de gestion des vulnérabilités (VMaaS).
- Rapid7 InsightVM : Outil de gestion des vulnérabilités avec hiérarchisation des risques.
- Tenable Nessus : Outil de gestion des vulnérabilités axé sur l’évaluation.
- Tripwire IP360 : Plateforme de gestion des vulnérabilités.
- GFI LanGuard : Outil de gestion des correctifs, d’audit et d’analyse de sécurité.
- BreachLock Vulnerability Assessment : Outil d’évaluation des vulnérabilités.
- WithSecure Elements Vulnerability Management : Plateforme de gestion des vulnérabilités.
- Holm Security VMP : Outil d’analyse des vulnérabilités du cloud, des systèmes, des réseaux et des applications web.
- Digital Defense Frontline Vulnerability Manager :Plateforme de gestion des vulnérabilités.
- Arctic Wolf Managed Risk :Plateforme de gestion des vulnérabilités.
- Risk-Based Vulnerability Management by Balbix :Plateforme de gestion des vulnérabilités.
- Microsoft Defender Vulnerability Management : Outil de gestion des vulnérabilités, principalement destiné aux utilisateurs de Microsoft.
- Ivanti Neurons for RBVM : Détection et correction des menaces fondées sur les risques via un service de gestion des vulnérabilités (VMaaS).
- ServiceNow Vulnerability Response :Orchestration des correctifs et gestion des solutions de vulnérabilité alimentées par un service de gestion des vulnérabilités (VMaaS).
- Syxsense Secure :Services de cybersécurité managés avec analyse des vulnérabilités, gestion des correctifs et gestion de la conformité.
- Flexera Software Vulnerability Management :Services de gestion des chemins et d’automatisation des correctifs.
- Asimily Insight :Services de hiérarchisation des risques et de gestion des vulnérabilités pour les appareils médicaux, de laboratoire et IoT.
- Rapid7 Managed Vulnerability Management : Plateforme de gestion des vulnérabilités avec assistance supplémentaire pour les conseils en matière de correction et le déploiement des services.
- Crowdstrike Falcon Spotlight :Gestion unifiée des menaces et des vulnérabilités sous forme de service (VMaaS).
Pour en savoir plus sur ce que propose chacune de ces solutions, consultez nos guides d’achat approfondis sur les meilleurs outils de gestion des vulnérabilités et la gestion des vulnérabilités sous forme de service (VMaaS).
En résumé : la gestion des vulnérabilités
Que vous gériez un vaste réseau de soins de santé ou une agence locale de marketing numérique, toute entreprise gère des actifs et des informations critiques qui doivent être protégés. La gestion des vulnérabilités constitue une excellente stratégie de cybersécurité pour répondre à tous ces besoins, car les politiques, évaluations, cadres et logiciels de gestion des vulnérabilités peuvent être dimensionnés pour répondre aux exigences spécifiques de chaque organisation.
Aussi tentant que puisse être le recours au logiciel de gestion des vulnérabilités le plus complet ou l’embauche du meilleur fournisseur de services de sécurité managés, il est plus important de trouver des solutions adaptées aux exigences de votre entreprise en matière de sécurité des données et des systèmes. Selon la taille de votre organisation, son expertise interne en sécurité, son budget et ses exigences réglementaires en matière de conformité, un outil ou un fournisseur de services moins connu, spécialisé dans la prise en charge des besoins uniques de votre réseau, peut constituer la meilleure solution. Comme dans tous les domaines de la cybersécurité, le simple fait de commencer constitue déjà un grand pas en avant.
Drew Robb a contribué à ce rapport.
À lire ensuite :