L’audit est terminé, le rapport est arrivé : 80 pages, une centaine de vulnérabilités, des codes couleur partout. Trois mois plus tard, rien n’a bougé. C’est l’une des situations les plus fréquentes en cybersécurité, et l’une des plus risquées : une faille identifiée mais non corrigée reste une porte ouverte.
La méthode pour en sortir tient en une règle : corriger d’abord les failles à la fois graves, exposées et réellement exploitées, puis traiter le reste par lots, en testant chaque correction. Voici comment l’appliquer.
Pourquoi les rapports d’audit restent dans un tiroir
Les raisons sont presque toujours les mêmes :
- le rapport est trop technique pour la direction et trop vague pour les équipes ;
- tout semble prioritaire, donc rien ne l’est ;
- l’équipe informatique n’a pas le temps de traiter les correctifs en plus du quotidien ;
- chacun craint qu’une correction casse une application en production.
Une bonne priorisation répond à ces quatre blocages à la fois.
Les trois critères pour prioriser
La criticité technique
La plupart des rapports attribuent un score à chaque vulnérabilité, souvent selon le standard CVSS, de 0 à 10. C’est un bon point de départ, mais pas suffisant : un score élevé sur un serveur isolé peut être moins urgent qu’un score moyen sur votre site public.
L’exposition
Posez la question : qui peut atteindre cette faille ?
- Exposée sur Internet (site, messagerie, accès à distance) : n’importe qui, à tout moment.
- Accessible depuis le réseau interne : un attaquant doit d’abord y entrer.
- Limitée à un poste ou à un compte précis : le risque est plus contenu.
L’exploitation réelle
Certaines failles restent théoriques ; d’autres sont activement utilisées par les attaquants. Les agences de sécurité publient des listes de vulnérabilités exploitées, comme le catalogue de la CISA ou les alertes du CERT-FR. Une faille qui y figure passe en tête de liste.
La matrice de priorisation
En croisant ces critères, vous obtenez quatre niveaux d’action :
| Priorité | Situation | Délai indicatif |
|---|---|---|
| P1, urgent | Faille grave, exposée sur Internet ou exploitée activement | Quelques jours |
| P2, élevée | Faille grave en interne, ou moyenne mais exposée | Quelques semaines |
| P3, normale | Faille moyenne, accès limité | Au prochain cycle de maintenance |
| P4, à planifier | Faible risque, bonnes pratiques | Dans la feuille de route annuelle |
Ces délais sont des repères : ils s’ajustent à votre activité et à vos contraintes. L’essentiel est que chaque faille ait un niveau, un responsable et une date.
Les corrections rapides qui réduisent le plus le risque
Certaines actions, simples et peu coûteuses, ferment à elles seules une grande partie des scénarios d’attaque :
- Appliquer les mises à jour de sécurité des systèmes et logiciels exposés.
- Activer l’authentification multifacteur sur la messagerie, les accès à distance et les comptes administrateurs.
- Désactiver les comptes inutilisés, notamment ceux des anciens salariés et des prestataires.
- Retirer les droits administrateur des comptes qui n’en ont pas besoin au quotidien.
- Fermer les services exposés inutilement sur Internet.
- Vérifier que les sauvegardes fonctionnent, et qu’au moins une copie est hors ligne.
Si vous ne savez pas par où commencer, commencez par là. Les guides de l’ANSSI détaillent ces mesures d’hygiène informatique.
Corriger sans casser la production
La peur de casser une application est légitime. Elle se traite avec méthode :
- tester les correctifs sur un environnement de test ou sur un groupe restreint de postes ;
- planifier les interventions en dehors des heures d’activité ;
- prévoir un retour arrière pour chaque modification sensible ;
- regrouper les corrections par lots, plutôt que de tout changer en même temps.
Vérifier, puis recommencer
Une correction n’est terminée que lorsqu’elle est vérifiée. Un nouveau scan ciblé, ou un test d’intrusion sur les points critiques, confirme que les failles sont bien refermées et qu’aucune nouvelle n’est apparue.
La sécurité est un cycle : auditer, corriger, vérifier, puis recommencer après chaque changement important. Notre comparatif audit de sécurité ou test d’intrusion aide à choisir la bonne démarche à chaque étape, et notre article sur les signes qu’une PME est vulnérable donne les premiers points à vérifier.
En résumé
- Tout n’est pas prioritaire : criticité, exposition et exploitation réelle décident de l’ordre.
- Chaque faille reçoit un niveau, un responsable et une date.
- Les corrections rapides (mises à jour, MFA, comptes inutiles) réduisent fortement le risque.
- Chaque correction est testée puis vérifiée.
Votre rapport d’audit dort dans un tiroir ? Nous pouvons partir de votre rapport, même réalisé par un autre prestataire, et nous charger de la correction de vos failles, par ordre de priorité.
Passer à l’action
Besoin d’aide pour corriger vos vulnérabilités ?
Faites appel à nos experts pour sécuriser durablement votre infrastructure.