On trie les vulnérabilités ouvertes selon qu'elles sont déjà exploitées, et on suit le délai de chaque classe, pas leur nombre. Le volume dit la charge, le délai des exploitées dit le risque.
Une vulnérabilité exploitée ailleurs et ouverte chez vous est une porte que d'autres savent ouvrir. L'équipe ferme d'abord ce qui se ferme vite : le compteur baisse, le risque reste.
Comptez-le avec le CISO. Le chiffrage en euros se fait scénario par scénario.
Quand le stock tient sur une page et que chaque vulnérabilité se ferme dans la semaine. Le tri n'a rien à départager.
On corrige d'abord l'exploité, puis le probable, et on suit le délai de chaque classe.
Les scans datés et l'inventaire des systèmes. NIS2 charge les États de veiller à ce que les entités qu'elle vise prennent des mesures, dont « le traitement et la divulgation des vulnérabilités » (art. 21, § 2, point e).
En comité, le CISO donne sans chercher l'âge de la plus ancienne KEV ouverte.
Au lancementPiloter au volume
Le nombre total reste plat, ou baisse. Il ne dit rien des exploitées.
Suivre le délai par classe, celui du KEV en premier.
Au lancementTrier sur le seul score CVSS
Une vulnérabilité du KEV attend derrière d'autres mieux notées.
Le KEV d'abord, puis EPSS. Dans chaque classe, exposition et gravité départagent.
PendantDonner une cible de volume
« Moins de 3 000 en juin. » On ferme les postes en série. Le serveur exposé attend.
Mesurer le délai sans cible primée. Un écart interroge le flux (fiche P-12).
PendantAttendre la fenêtre
Correctif prêt en deux jours, fenêtre dans deux mois. Le délai, c'est l'attente.
Le COO cale les fenêtres sur le délai cible du KEV, et arbitre la gêne.
Dans la duréeGarder sans date ce qu'on ne corrige pas
L'application hors support reste au stock et fausse le délai de sa classe.
Une acceptation signée par le métier, avec échéance (fiche P-14).
Les vulnérabilités ouvertes d'un fournisseur d'énergie, comptées une fois par système touché, suivies chaque mois au comité des risques.
Les serveurs de facturation ne se corrigent que pendant une fenêtre de maintenance par trimestre.
Un graphique du nombre de vulnérabilités ouvertes, plat autour de 4 200 depuis un an.
Le délai moyen au KEV : 90 ouvertes ÷ 18 corrections par mois = 5 mois. Après, 9 ouvertes ÷ 18 = 0,5 mois, environ 15 jours.
Le délai moyen au-dessus du seuil EPSS : 240 ÷ 60 = 4 mois. Après, 60 ouvertes ÷ 60 = 1 mois.
Le volume total ne bouge pas : 1 400 entrées, 1 400 corrections. Le reste attend un peu plus : 3 870 ÷ 1 322 = 2,9 mois, puis 4 131 ÷ 1 322 = 3,1 mois.
Ce que ça a coûté : 26 fenêtres par an au lieu de 4, soit 22 de plus × 4 personnes × 3 h = 264 h, à 70 € l'heure (hypothèse).
Refaites-le avec votre stock : par classe, divisez les ouvertes par les corrections du mois. Posez le délai de chaque KEV corrigée sur une carte de contrôle, en tête du comité.
À gauche le tri en trois classes, le calcul du délai et le partage des rôles. À droite le graphique que recevait le comité, puis le même stock trié : délai moyen par classe, avant et après.