vulnerability management
Pourquoi le CVSS ne suffit pas pour prioriser les vulnérabilités
Comprendre pourquoi le score CVSS doit être complété par l’exploitabilité, l’exposition, la criticité des actifs et le contexte métier.
Une vulnérabilité CVSS 9.8 doit-elle toujours être corrigée avant une vulnérabilité 8.1 ? Non. Le score décrit une sévérité technique, pas le risque complet pour votre organisation.
Réponse courte
Une priorisation utile combine au minimum quatre signaux : la sévérité, la probabilité d’exploitation, l’exposition réelle et la criticité métier de l’actif. Le CVSS reste une base commune, mais il ne doit pas devenir une file d’attente automatique.
Ce que mesure réellement le CVSS
Le CVSS fournit un langage partagé pour décrire les caractéristiques techniques d’une vulnérabilité. Son score de base répond surtout à la question : quel impact cette vulnérabilité pourrait-elle avoir dans des conditions génériques ?
Il ne connaît ni votre architecture, ni les compensations déjà en place, ni les données manipulées par l’actif. Deux organisations peuvent donc attribuer des priorités radicalement différentes à la même CVE.
Passer d’un score à une décision
Un modèle simple peut croiser quatre dimensions :
- Sévérité technique avec CVSS ;
- Menace active avec EPSS, CISA KEV et les renseignements internes ;
- Exposition de l’actif et présence de contrôles compensatoires ;
- Impact métier en cas de compromission.
L’objectif n’est pas de produire un nouveau nombre parfait. Il est de rendre la décision explicable, reproductible et révisable lorsque le contexte change.
Exemple pratique
Une faille CVSS 8.1 exploitée dans la nature sur une passerelle exposée à Internet peut être plus urgente qu’une faille 9.8 sur un système isolé, non accessible et protégé par plusieurs contrôles. La priorité vient du scénario de risque, pas du classement brut.
Limites
Les données EPSS et KEV restent incomplètes. L’inventaire des actifs et leur criticité sont eux-mêmes sujets à erreur. Toute méthode de priorisation doit donc afficher la fraîcheur et la confiance de ses données, puis conserver une voie d’escalade humaine.
Recommandations
- Définir les signaux utilisés et leur provenance.
- Séparer clairement sévérité, menace, exposition et impact.
- Mesurer le délai de remédiation par niveau de risque, pas seulement par CVSS.
- Réévaluer les priorités lorsque l’exposition ou la menace évolue.
Conclusion
Le CVSS est un vocabulaire, pas une stratégie. Une gouvernance de remédiation solide commence quand le score technique rencontre la réalité de l’actif, de la menace et du métier.