Une liste de vulnérabilités peut contenir des centaines de lignes. Les traiter uniquement dans l’ordre de leur score technique risque de laisser de côté une ressource réellement exposée ou indispensable à l’activité.
Relier la faille à un actif connu
Pour chaque vulnérabilité importante, identifiez le système concerné, son responsable, son exposition et le service métier associé. Vérifiez les recommandations de l’éditeur et les informations de veille disponibles. Une version présente dans un inventaire ancien ne prouve pas que le système est encore utilisé.
Décider du traitement
Le référentiel ANSSI souligne l’importance des correctifs sans délai injustifié et de mesures d’atténuation lorsque leur installation est impossible. Une restriction d’accès peut réduire temporairement le risque, mais elle doit avoir un responsable et une échéance de réexamen.
Contrôler après l’intervention
Une mise à jour annoncée n’est pas nécessairement appliquée partout. Vérifiez la version effective et le retour au fonctionnement normal. Documentez les exceptions, plutôt que de les faire disparaître du tableau de suivi.
Une méthode de travail proposée
Exemple fictif : une application interne et un équipement exposé présentent des failles comparables. La discussion doit porter sur les chemins d’attaque et les conséquences possibles, puis aboutir à une séquence d’intervention justifiée.
Le regard Aztechnix
Le tableau de bord peut rester simple : actif, risque, traitement choisi, responsable, échéance et preuve de correction. L’objectif est de rendre les retards visibles et les arbitrages vérifiables.
Source et méthode
ANSSI — MonServiceSécurisé, référentiel de mesures. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.