Pendant des années, les organisations ont utilisé le score CVSS comme principal indicateur pour évaluer la gravité des vulnérabilités. Toutefois, cette approche montre aujourd’hui ses limites.
Avec la publication de la directive BOD 26-04, la Cybersecurity and Infrastructure Security Agency (CISA) introduit une nouvelle méthode de priorisation des vulnérabilités fondée sur le risque réel.
Cette évolution marque un changement important dans les stratégies de cybersécurité des organisations. En effet, toutes les vulnérabilités ne présentent pas le même niveau de risque pour une entreprise.
La directive officielle est disponible sur le portail de la CISA.
Pourquoi le CVSS ne suffit plus ?
Le CVSS reste un outil utile pour mesurer la sévérité théorique d’une vulnérabilité. Cependant, il ne tient pas compte du contexte opérationnel propre à chaque organisation.
Une faille critique avec un score CVSS élevé peut avoir un impact limité si l’actif concerné n’est pas exposé à Internet.
À l’inverse, une vulnérabilité jugée moyenne peut représenter un risque majeur lorsqu’elle affecte un système critique exposé.
Cette réalité pousse désormais les équipes de sécurité à adopter une approche plus contextuelle de la priorisation des vulnérabilités.
Les travaux du Forum of Incident Response and Security Teams (FIRST) rappellent d’ailleurs que le CVSS doit être complété par une analyse du risque métier.
Les quatre critères clés de la CISA
La directive BOD 26-04 repose sur quatre facteurs principaux.
1. L’exposition de l’actif
Un serveur exposé sur Internet présente généralement un risque plus élevé qu’un système isolé.
Les organisations doivent donc identifier précisément leur surface d’attaque externe.
2. L’exploitation active
Les vulnérabilités déjà exploitées dans la nature doivent être traitées en priorité.
Le catalogue KEV de la CISA Known Exploited Vulnerabilities Catalog constitue une référence essentielle pour identifier ces failles.
3. L’automatisation de l’exploitation
Certaines vulnérabilités peuvent être exploitées facilement à grande échelle grâce à des scripts ou à des outils automatisés.
Cette caractéristique augmente considérablement le niveau de risque.
4. L’impact technique
Enfin, les équipes doivent évaluer les conséquences potentielles d’une exploitation, notamment :
- l’exécution de code à distance ;
- l’élévation de privilèges ;
- le vol de données ;
- le déni de service ;
- la compromission d’infrastructures critiques.
La connaissance de la surface d’attaque devient stratégique
La nouvelle approche de priorisation des vulnérabilités place la visibilité des actifs au cœur des stratégies cyber.
Une organisation ne peut protéger efficacement que les systèmes qu’elle connaît.
Par conséquent, les solutions d’External Attack Surface Management (EASM) gagnent en importance. Elles permettent d’identifier les actifs exposés et de détecter les risques avant qu’ils ne soient exploités.
Cette approche s’inscrit également dans les principes du Continuous Threat Exposure Management (CTEM) promus par Gartner Research.
Des implications pour NIS2 et DORA
Cette évolution ne concerne pas uniquement les États-Unis.
Les réglementations européennes, notamment NIS2 et DORA, encouragent elles aussi une gestion des risques fondée sur le contexte et l’exposition réelle.
Les entreprises africaines collaborant avec des partenaires européens pourraient donc être indirectement concernées par ces nouvelles pratiques.
Par ailleurs, les autorités de régulation exigent désormais des organisations qu’elles démontrent leur capacité à prioriser les correctifs selon le risque métier.
Corriger les bonnes vulnérabilités plutôt que toutes les vulnérabilités
La question n’est plus : « Combien de vulnérabilités avez-vous corrigées ? »
La véritable question devient désormais : « Avez-vous corrigé les plus dangereuses ? »
Face à la multiplication des CVE et à l’essor de l’intelligence artificielle, les équipes de sécurité doivent optimiser leurs ressources.
Une stratégie de priorisation des vulnérabilités basée sur le risque permet d’améliorer la résilience tout en réduisant les coûts opérationnels.
Conclusion
La directive BOD 26-04 marque un tournant dans la cybersécurité moderne. Le score CVSS demeure un indicateur utile, mais il ne peut plus constituer l’unique critère de décision.
Les organisations doivent désormais intégrer l’exposition des actifs, les exploitations actives et l’impact métier afin de prioriser efficacement leurs efforts de remédiation. Cette approche permettra de corriger les vulnérabilités les plus critiques avant qu’elles ne soient exploitées.
Source :
- CISA BOD 26-04 : https://www.cisa.gov/
