Les 7 étapes du processus d’évaluation des vulnérabilités expliquées

Une évaluation des vulnérabilités est l’un des éléments les plus importants du cycle de gestion des vulnérabilités d’une entreprise, car il est impossible de corriger des failles de sécurité dont on ne connaît pas l’existence.

Dans le cadre du processus d’évaluation des vulnérabilités, les réseaux et les actifs sont analysés, tandis que les vulnérabilités récemment découvertes sont étudiées et évaluées en fonction du risque. Une fois les évaluations des vulnérabilités terminées, les spécialistes de la cybersécurité et des vulnérabilités disposent des connaissances nécessaires pour apporter des ajustements de sécurité réellement efficaces.

Mais l’efficacité des évaluations des vulnérabilités dépend entièrement des plans qui les sous-tendent. Si vous ne disposez pas des bonnes équipes, des bons outils et des bonnes stratégies, vous risquez de manquer une étape importante et de laisser votre réseau aussi vulnérable qu’avant, sans même vous en rendre compte. Ce guide vous aidera à identifier les étapes du processus d’évaluation des vulnérabilités, à comprendre comment elles s’appliquent à votre organisation et à déterminer si votre organisation doit ou non évaluer ses vulnérabilités (spoiler : oui).

À lire aussi : Gestion des vulnérabilités : définition, processus et outils

Étape 1 : définir les paramètres et planifier l’évaluation

Avant de commencer le processus d’évaluation, vous devez d’abord en déterminer le périmètre ainsi que les composants précis de votre réseau à évaluer, notamment le matériel, les appareils des utilisateurs, les applications et l’infrastructure réseau.

Une étape importante de la planification consiste en une phase initiale de découverte, durant laquelle vous identifiez les actifs et définissez des référentiels pour leurs capacités de sécurité propres, leur tolérance au risque, les autorisations des utilisateurs, leur configuration et d’autres facteurs. Le processus de découverte des actifs peut être particulièrement laborieux si votre réseau comprend des appareils mobiles BYOD ou des appareils IoT, mais certains outils de gestion des vulnérabilités facilitent l’identification et l’évaluation de ce type d’actifs.

Vous devez ensuite déterminer qui participera au processus d’évaluation, quels outils vous utiliserez, quel sera le calendrier de l’évaluation et de la remédiation, ainsi que la fréquence à laquelle ces évaluations devront être réalisées. Si vous n’utilisez pas encore d’outils tiers pour analyser et étudier les vulnérabilités, le moment est venu d’étudier le marché et de déterminer si vous disposez de toutes les ressources nécessaires à une évaluation réussie.

Découvrez les meilleurs outils de gestion des actifs informatiques (ITAM) pour la sécurité

Étape 2 : analyser le réseau à la recherche de vulnérabilités

Il est maintenant temps d’analyser votre réseau à la recherche de vulnérabilités de sécurité, manuellement ou à l’aide d’outils automatisés d’analyse des vulnérabilités. Même si certains outils d’analyse des vulnérabilités destinés aux entreprises peuvent être extrêmement coûteux, il existe également des solutions gratuites et open source susceptibles de convenir à votre organisation.

Parallèlement à l’analyse proprement dite, vous utiliserez des données de renseignement sur les menaces et des bases de données de vulnérabilités pour identifier les failles et les faiblesses de sécurité, et écarter les faux positifs. Ne vous inquiétez pas outre mesure si les résultats de votre analyse font apparaître de nombreuses vulnérabilités réseau : c’est normal, en particulier la première fois que votre organisation commence à s’intéresser à la gestion et à la remédiation des vulnérabilités.

À lire aussi : Qu’est-ce que l’analyse des vulnérabilités ? Définition, types et guide

Étape 3 : analyser les résultats

L’analyse des vulnérabilités de votre réseau a probablement généré une quantité considérable de données sur les vulnérabilités, dont une grande partie n’est pas structurée. Il est maintenant temps d’analyser et d’organiser ces données. Tenez compte non seulement de la criticité d’une vulnérabilité et de la probabilité qu’elle soit exploitée, mais aussi des ressources réseau qui seraient affectées si une attaque ciblait cette vulnérabilité. Ces données seront particulièrement importantes lorsque vous expliquerez aux parties prenantes de l’entreprise les mesures que vous souhaitez prendre pour remédier à certaines vulnérabilités.

À titre complémentaire, il est recommandé d’aller au-delà des résultats de l’analyse des vulnérabilités. Dans l’idéal, vous disposerez également de données issues des journaux de pare-feu, des tests d’intrusion, ainsi que des analyses du réseau, à examiner également.

À lire aussi : Tests d’intrusion ou tests de vulnérabilité ?

Étape 4 : établir les priorités entre les vulnérabilités

Les vulnérabilités les plus graves relevées lors de vos analyses doivent être identifiées et traitées en premier. Les vulnérabilités critiques sont des problèmes de sécurité qui causent déjà des dommages et/ou permettent un accès indu au réseau ; elles doivent donc figurer en tête de votre liste de priorités en matière de risques. Juste après elles viennent les vulnérabilités susceptibles d’être exploitées à l’avenir par des acteurs malveillants.

Même si toutes les vulnérabilités devront être traitées à un moment ou à un autre, votre première analyse en révélera un nombre écrasant que vous ne pourrez pas corriger d’un seul coup. Cette étape est essentielle pour rendre les données de votre évaluation des vulnérabilités mesurables et exploitables.

À lire aussi : Plus de 15 millions de systèmes exposés à des vulnérabilités connues et exploitées

Étape 5 : créer le rapport d’évaluation des vulnérabilités

Maintenant que vous avez terminé les étapes d’analyse des vulnérabilités, d’étude des résultats et de hiérarchisation des risques, il est temps de consigner vos conclusions dans un rapport d’évaluation des vulnérabilités. Ce rapport détaillera toutes les vulnérabilités découvertes, leur gravité, les vecteurs d’attaque potentiels au sein du réseau et les solutions envisageables.

Certaines parties de ce rapport peuvent employer un jargon technique et contenir des instructions destinées aux spécialistes de la cybersécurité ou des vulnérabilités chargés de remédier aux vulnérabilités et d’en réduire les risques. Le rapport doit toutefois également inclure des visualisations et des explications permettant aux dirigeants moins techniques, comme le PDG, de comprendre le travail réalisé et sa raison d’être.

Étape 6 : exploiter les résultats pour orienter la remédiation et l’atténuation

Vous avez identifié et hiérarchisé les vulnérabilités de sécurité présentes sur et dans votre réseau. Maintenant que vous avez rendu compte de ces problèmes et de vos plans pour les résoudre, il est temps d’agir. Vous pourrez peut-être remédier à certaines de vos vulnérabilités les plus critiques au moyen de correctifs, mais d’autres nécessiteront des techniques d’atténuation moins poussées. Quelles que soient les solutions retenues, reportez-vous régulièrement à votre évaluation des vulnérabilités afin de vous assurer que vous vous concentrez sur les bonnes vulnérabilités, dans le bon ordre.

Découvrez les meilleurs logiciels et outils de gestion des correctifs

Étape 7 : répéter régulièrement les évaluations des vulnérabilités

Les évaluations des vulnérabilités offrent un excellent instantané de votre environnement de sécurité réseau lors de leur première réalisation. Mais presque aussitôt l’évaluation terminée, de nouvelles applications, de nouveaux utilisateurs, de nouvelles autorisations, de nouveaux jeux de données et d’autres éléments modifient l’environnement de votre réseau et l’exposent à des menaces supplémentaires. Il est nécessaire de poursuivre le cycle du processus d’évaluation des vulnérabilités, car de nouvelles vulnérabilités apparaîtront et les vulnérabilités existantes pourront devenir plus graves avec le temps.

En savoir plus sur la gestion des risques :

• Qu’est-ce que la gestion des risques liés à la cybersécurité ?
• Meilleurs logiciels de gestion des risques
• Meilleurs outils de gestion des risques liés aux tiers (TPRM)

Comment utiliser les outils d’évaluation des vulnérabilités

Les outils d’évaluation des vulnérabilités peuvent automatiser, voire prendre en charge, certaines étapes du processus d’évaluation des vulnérabilités, permettant ainsi à votre équipe de sécurité réseau de consacrer davantage de temps à des tâches stratégiques plus complexes. Parmi les types d’outils d’évaluation des vulnérabilités les plus courants figurent les outils de découverte des actifs, les outils d’analyse des vulnérabilités, les outils d’évaluation et de création de rapports sur les vulnérabilités, les outils de gestion des vulnérabilités et les outils de hiérarchisation des risques. Chacune de ces solutions se concentre sur différentes étapes du processus d’évaluation des vulnérabilités et peut être extrêmement utile aux équipes qui souhaitent automatiser leurs flux de travail d’évaluation et de gestion des vulnérabilités.

Mais avant d’investir dans des outils d’évaluation des vulnérabilités, il est important de commencer par comprendre leur fonctionnement. Utilisez ces conseils et bonnes pratiques pour exploiter plus efficacement vos outils d’évaluation des vulnérabilités :

• Examinez vos suites de cybersécurité existantes : De nombreux outils d’évaluation des vulnérabilités font partie d’une suite plus vaste de gestion des vulnérabilités ou de cybersécurité. Si vous travaillez déjà avec un MSSP ou un autre fournisseur de sécurité privilégié, commencez par lui demander s’il propose des outils d’évaluation des vulnérabilités adaptés aux besoins de votre réseau.
• Choisissez le format d’outil adapté à votre réseau : Certains outils d’évaluation des vulnérabilités sont proposés dans des formats qui peuvent ne pas convenir à votre réseau particulier. Par exemple, certains appareils ne fonctionnent pas sur les réseaux cloud et doivent être remplacés par un appareil virtuel. D’autres peuvent ne pas respecter les normes de conformité réglementaire auxquelles votre organisation est soumise.
• Utilisez plusieurs outils d’analyse des vulnérabilités lorsque cela est pertinent : Votre organisation peut tirer profit de l’utilisation conjointe de plusieurs outils d’analyse et de gestion des vulnérabilités. Par exemple, de nombreuses organisations choisissent d’utiliser à la fois un outil d’analyse tiers payant et un outil d’analyse open source afin de comparer les résultats et de mieux comprendre les vecteurs d’attaque susceptibles d’être utilisés par les pirates.
• Intégrez les outils d’évaluation des vulnérabilités au reste de votre pile de solutions : Si vous souhaitez tirer le meilleur parti de votre investissement dans l’évaluation des vulnérabilités, recherchez des outils capables de s’intégrer aux outils DevOps, ITSM et de gestion des tickets que vous utilisez déjà.

À lire aussi : Les 8 meilleurs outils d’analyse des vulnérabilités

Tout le monde doit-il réaliser des évaluations des vulnérabilités ?

Toutes les entreprises devraient réaliser des évaluations des vulnérabilités, quelle que soit la taille et la complexité de leur réseau. Tout type de réseau peut être exploité à tout moment par des acteurs malveillants ; il est donc important d’évaluer régulièrement les parties les plus faibles de votre infrastructure réseau et de les renforcer. En particulier si vous travaillez avec des données sensibles soumises à des réglementations de conformité telles que HIPAA ou GDPR, les évaluations des vulnérabilités vous aident à documenter les mesures prises pour protéger les données des utilisateurs et respecter les exigences réglementaires.

Les petites entreprises peuvent hésiter à réaliser des évaluations des vulnérabilités parce qu’elles ne disposent ni du personnel spécialisé en cybersécurité ni du budget nécessaires pour investir dans des outils destinés aux grandes entreprises. Heureusement, il existe de nombreux outils d’analyse des vulnérabilités gratuits et d’autres outils qui peuvent simplifier le processus. Même si vous devez finalement faire appel aux services d’un fournisseur ou utiliser un outil tiers, l’amélioration de votre niveau de sécurité justifiera son coût. Éviter une seule compromission majeure peut suffire à couvrir la dépense.

En résumé : le processus d’évaluation des vulnérabilités

Lorsqu’une personne est malade, elle doit être soignée, mais il est important que les professionnels de santé commencent par déterminer ce qui ne va pas et quels traitements seront les plus efficaces. De même, pour une personne qui semble en bonne santé, consulter régulièrement un médecin est l’un des meilleurs moyens d’identifier et de traiter rapidement les maladies potentiellement mortelles avant qu’elles ne s’aggravent.

Les évaluations des vulnérabilités remplissent la même fonction pour les réseaux d’entreprise : elles aident les professionnels de la sécurité réseau à identifier les types, le nombre, l’emplacement et la gravité des différentes vulnérabilités de sécurité avant qu’elles ne se transforment en problèmes plus importants. Quelle que soit la taille de votre réseau, vous devez à votre équipe interne et à vos clients de réaliser régulièrement des évaluations des vulnérabilités complètes afin de mieux protéger les données sensibles, les applications et les autres actifs de l’entreprise.

Pour aller plus loin :

• Les meilleurs outils de gestion des vulnérabilités
• La gestion des correctifs en tant que service est-elle la réponse aux vulnérabilités ?

Cet article met à jour un article du 17 avril 2019 de Jeff Goldman