Neutre · CVSS v4 · EPSS · KEV · SSVC
Pilotez la gestion des vulnérabilités comme un centre d'opérations.
Un guide de terrain indépendant des éditeurs pour bâtir un VOC : connaître chaque actif, scanner avec méthode, prioriser avec CVSS v4, EPSS et KEV, tenir les responsables à des SLA fondés sur le risque et rendre compte d'une façon exploitable par la direction.
- domaines
- 8
- guides détaillés
- 12
- termes du glossaire
- 12
Signaux de menace
- CVSS-BTE
- EPSS
- KEV
- SSVC
Contexte de l'actif
- tier-1 asset
- internet-facing
- owner: payments
Décision
Niveau de priorité + SLA + responsable
Cycle de vie
Une boucle, portée de bout en bout
Un VOC gère le cycle de vie des vulnérabilités comme une opération continue avec des passages de relais clairs, et non comme un scan trimestriel suivi d'un tableur.
- 01
Inventorier
Réconcilier chaque actif avec un responsable, une criticité et une exposition.
- 02
Découvrir
Scans authentifiés, agents, cloud et code — avec une couverture mesurée.
- 03
Prioriser
Combiner CVSS, EPSS, KEV et contexte en quelques niveaux de priorité.
- 04
Remédier
Regrouper par correctif, router vers le responsable, suivre un SLA fondé sur le risque.
- 05
Vérifier
Clore sur preuve de scan ; gérer les exceptions avec une date d'expiration.
- 06
Rendre compte
Suivre délais de remédiation, respect des SLA et exposition pour la direction.
Domaine du VOC
La carte du VOC
Huit domaines qui, ensemble, forment un centre des opérations de vulnérabilités opérationnel. Commencez par celui qui fait le plus mal : chacun renvoie à des guides ciblés et concrets.
Principes
Ce qui distingue un VOC d'une équipe de scan
- 01
Le risque, pas la sévérité
Un score CVSS de base décrit une vulnérabilité. La priorité exige aussi des preuves d'exploitation et le poids de l'actif pour le métier.
- 02
Corriger par responsable, pas par CVE
Regroupez les constats dans le changement qui les supprime — un correctif, une mise à niveau, une configuration — et confiez-le à l'équipe capable de le livrer.
- 03
Vérifier, ne pas croire les tickets
Un ticket fermé est une affirmation. Un rescan propre ou des données d'agent récentes sont une preuve. Seule la preuve clôt une vulnérabilité.
- 04
Mesurer le flux, pas le stock
Le nombre brut de constats augmente dès que la couverture s'améliore. Le délai de remédiation, le respect des SLA et les fenêtres d'exposition montrent si le risque baisse réellement.
Guides
Derniers guides
Les guides sont d'abord rédigés en anglais ; les traductions suivront.
Parler le même langage
Des définitions courtes et précises des systèmes de score, catalogues et indicateurs utilisés dans les guides.
Ouvrir le glossaire