Vous avez douze mille vulnérabilités ouvertes et une petite équipe de correctifs. Comment priorisez-vous ?

Commencez par la réalité de l'exploitation, pas par le score CVSS brut. Corrigez d'abord tout ce qui figure au catalogue des vulnérabilités exploitées connues de la CISA, puis classez par EPSS pour capter ce qui a des chances d'être exploité bientôt. Pondérez par l'exposition (exposé sur internet passe avant interne) et la criticité de l'actif, et tenez compte des contrôles compensatoires. Regroupez le reste du travail par action de remédiation plutôt que par CVE, parce qu'une seule montée de version d'agent ferme souvent des centaines de constats.

Douze mille constats, ce sont en réalité quelques centaines de correctifs, donc le premier geste c'est la déduplication : regrouper par action de remédiation, parce qu'une montée de version de navigateur ou une mise à jour d'agent fait en général s'effondrer un millier de lignes. Ensuite je classe. Tout ce qui figure au catalogue des vulnérabilités exploitées connues passe devant, quel que soit son score CVSS, parce que c'est de l'exploitation confirmée dans le monde réel. Ensuite j'utilise l'EPSS pour la probabilité et je superpose l'exposition : exposé sur internet d'abord, puis tout ce qui est joignable depuis un poste utilisateur, puis les systèmes internes isolés. Un score critique sur un appareil isolé sans service en écoute n'est pas mon problème ce mois-ci. Pour le reste, je vais voir les propriétaires de systèmes avec une courte liste précise plutôt qu'un export de tableur, parce qu'une liste de six choses se fait corriger et une liste de six cents non. Tout ce qui ne peut vraiment pas être corrigé reçoit une dérogation écrite avec un contrôle compensatoire et une date d'expiration, et je rapporte l'ancienneté des dérogations pour qu'elles ne deviennent pas discrètement permanentes.