Les DSI/RSSI font face à un paradoxe : jamais les outils n’ont détecté autant de vulnérabilités, et pourtant il n’a jamais été aussi difficile de savoir quoi traiter en premier. Le score CVSS issu du scan est indispensable, mais insuffisant : il ignore vos protections réellement déployées, l’exposition de vos actifs et leur valeur métier. Résultat : on patche au volume, pas à l’impact.
Notre approche corrige ce biais : nous contextualisons la sévérité CVSS à l’aide d’un questionnaire aligné MITRE ATT&CK, d’une micro‑analyse de risques métier et d’un coefficient de pondération qui reflète vos mesures de sécurité et votre exposition. À la clé : une liste priorisée, un plan d’action clair et des gains rapides.
Ce que vous obtenez (en bref)
- Top 10 des actions prioritaires par environnement : patchs, mitigations, SLO de déploiement.
- Vue avant/après : l’effet de la contextualisation sur la criticité réelle.
- Chemins de compromission plausibles (ou absence de chemin crédible) pour parler risque aux métiers.
- Matrice “risque métier × sévérité” pour arbitrages clairs en comité.
Notre approche conseil en 6 étapes
1) Cadrage & cartographie : segmenter pour rester pertinent
On découpe le SI en environnements homogènes (mêmes mesures de protection : réseau, système, supervision…), afin d’éviter les comparaisons bancales. Un serveur exposé Internet n’a rien à voir avec un batch isolé ; la pondération doit rester cohérente à l’intérieur d’un périmètre.
2) Micro‑analyse de risques métier
Pour chaque groupe d’actifs, on évalue la valeur métier et les impacts (disponibilité, intégrité, confidentialité), afin de relier la sévérité technique à un enjeu business concret. On ne patchera plus “parce que c’est rouge”, mais parce que l’impact métier le justifie.
3) Questionnaire contextualisé aligné MITRE ATT&CK
Nous administrons un questionnaire structuré par grandes tactiques (reconnaissance, accès initial, exécution, persistance/élévation/évasion, découverte/mouvement latéral, exfiltration, impact…). Chaque question vérifie une mesure concrète : cloisonnement, filtrage, MFA, durcissement OS, gestion des comptes, supervision/SOC, CMDB, exposition (Internet/DMZ/interne), accès via bastion, etc.
4) Pondération automatique du CVSS
Nous appliquons un coefficient agrégé au score CVSS de base. Ce coefficient, borné (version réalignée : 0,75 → 1,43), atténue ou rehausse la sévérité selon vos protections et votre exposition réelles. Concrètement :
- Actif bien protégé : un CVSS 10 peut retomber à ~8 (moins prioritaire si impact métier limité).
- Actif exposé/peu protégé : un CVSS 8 peut grimper à ~9,9 (devient prioritaire).
Implémentation légère : un modèle (Excel) ingère l’export CSV du scanner et calcule la pondération automatiquement.
5) Plan d’action & priorisation
Après pondération, nous reclassons les vulnérabilités, produisons une liste d’actions priorisées et une matrice “risque métier × sévérité”. Nous distinguons patch immédiat, mitigation (configuration, segmentation, bastion, WAF…), et planifié avec SLO (définis avec la production).
6) Restitution exécutive
Vous obtenez des KPI lisibles : volumes par niveau, delta avant/après, chemins de compromission probables (ou non), et une feuille de route à 90 jours.
Étude de cas (anonymisée)
Contexte : périmètre postes mobiles d’un industriel. Sans contextualisation, ~50 % des vulnérabilités sont “Haute/Critique”. Après questionnaire et pondération : – 44 % de “critiques” et – 13 % de “hautes”. Pourquoi ? Des mesures réellement en place (MFA généralisé, retrait des droits admin locaux) réduisent de fait la vraisemblance de réussite d’un chemin d’attaque. Les efforts se concentrent sur quelques corrections à fort effet, plutôt que sur une to‑do list interminable.
Message au COMEX : “Voici les 10 corrections qui réduisent le risque le plus vite, pourquoi, et ce que ça coûte.”
Ce qui fait la différence : un modèle transparent et industrialisable
Des questions qui mesurent le réel
Chaque question du questionnaire est rattachée à une tactique/technique MITRE ATT&CK. Les réponses se traduisent en coefficients pondérant la sévérité. Les thèmes couverts :
- Réseau : cloisonnement, filtrage, exposition (Internet/DMZ/interne), accès via rebonds/bastion.
- Système : durcissement, antivirus/EDR, ports/services, comptes/mots de passe.
- Gestion/Supervision : supervision/SOC, CMDB, inventaire.
- Importance/Impact métier : criticité de l’actif pour le business.
Une formule simple et stable
Le score final est calculé en multipliant le CVSS de base par les coefficients (réseau, système, gestion, impact, scénarios) avec une borne basse/haute pour éviter les excès. La formule ne change pas ; seuls les coefficients évoluent au fil des retours terrain.
Des sorties utiles, pas des pages de findings
- Répartition post‑pondération et delta vs base (avant/après), très pédagogiques.
- Matrice risque × sévérité (nuage de points) : ce qui compte le plus remonte visuellement.
- Chemins de compromission générés depuis le questionnaire (techniques MITRE les plus risquées conservées par étape).
- Plan de traitement (patch/mitigation), effort estimé, responsabilités et SLO.
CVSS, EPSS, SSVC : pourquoi nous les utilisons… différemment
- CVSS : mesure universelle de sévérité. Nécessite une contextualisation pour être priorisable.
- EPSS : très utile pour estimer la probabilité d’exploitation au niveau global, mais il faut croiser avec votre exposition.
- SSVC : excellent pour la décision (immédiat/planifié), à condition d’alimenter le modèle avec vos paramètres.
Notre méthode : partir de CVSS (interopérable), le pondérer avec vos contrôles/exposition (questionnaire MITRE) et votre valeur métier (micro‑risque). C’est transparent, reproductible et actionnable.
Gouvernance & pilotage : ancrer la priorisation dans la durée
- Re‑mesure trimestrielle (ou mensuelle) : tendances, trajectoire, KPI ISO 27002.
- Feuille de route 90 jours : patchs critiques, durcissements, cloisonnement, contrôles compensatoires.
- Extension possible : suivi continu et corrélation avec événements sécurité (Micro‑SOC) pour passer de la photo au film.
