CTEM, EAP, CAASM : le vocabulaire qui a émergé pour décrire un changement de logique — passer d'une liste de CVE à corriger, à une réduction continue et priorisée de ce qu'un attaquant peut réellement exploiter.
Une approche qui va au-delà du simple comptage de vulnérabilités (CVE) : elle couvre tout ce qu'un attaquant pourrait réellement exploiter — mauvaises configurations, identités trop permissives, actifs oubliés (« shadow IT »), logiciels en fin de vie, risques liés à des prestataires tiers. La question n'est plus « combien de failles avons-nous ? » mais « lesquelles un attaquant utiliserait vraiment, et dans quel ordre les corriger ? ».
Un cadre en 5 étapes, défini par Gartner en 2022, pensé comme un cycle continu plutôt qu'un projet ponctuel : (1) cadrage — définir avec les métiers ce qui compte vraiment, (2) découverte — inventorier en continu actifs, expositions et mauvaises configurations, (3) priorisation — classer par risque réel pour l'entreprise, pas seulement par score CVSS, (4) validation — prouver l'exploitabilité par un test actif, (5) mobilisation — s'assurer que la correction a bien lieu et mesurer le résultat. Le cycle recommence ensuite en continu.
Notre cycle continu : reconnaissance → exploitation → revalidationUne plateforme qui unifie la découverte, la priorisation, la validation et l'aide à la remédiation de toutes les expositions — pas seulement les CVE, mais aussi les mauvaises configurations, les identités à risque, les actifs oubliés. La différence avec un scanner de vulnérabilités classique : l'EAP ne dit pas seulement « ce qui existe », elle dit « ce qui compte vraiment ».
Une brique souvent associée à l'exposure management : elle agrège les informations d'actifs depuis les outils déjà en place (scanners, cloud, identité) pour donner une vue centralisée — propriétaire, configuration, version logicielle, exposition réseau. On y reviendra plus en détail dans la catégorie dédiée à la gestion de la surface d'attaque.
Consolider dans un seul système les données de vulnérabilités provenant de plusieurs outils de sécurité différents — inventaire d'actifs, résultats de scan, CVE — avec déduplication et normalisation, pour une vue, une priorisation et des rapports cohérents plutôt que des données éparpillées entre outils. Contrairement à la gestion de vulnérabilités classique centrée sur le parc informatique traditionnel, l'UVM cherche aussi à couvrir le cloud, les conteneurs, les applications web et la technologie opérationnelle (OT) — des zones où les équipes manquent souvent de visibilité.
Un score CVSS élevé ne veut pas dire qu'une faille sera exploitée dans la nature — ni qu'elle représente un vrai danger pour votre organisation précise. La priorisation moderne combine plusieurs signaux : gravité technique (CVSS), probabilité réelle d'exploitation (score EPSS), exposition effective (la faille est-elle accessible depuis internet ?), et criticité métier de l'actif touché.
Plutôt que de se fier à un scan passif qui signale une faille théorique, la validation consiste à tenter réellement de l'exploiter — la même logique qu'un test d'intrusion. Une faille qui résiste à une tentative d'exploitation réelle mérite une priorité différente de celle qui cède immédiatement.
Vérifier une CVE précise dans notre baseLa gestion des vulnérabilités classique se concentre sur le scan et le correctif des CVE connues. L'exposure management élargit le regard à tout ce qui expose réellement l'organisation — configuration, identité, actifs oubliés — et priorise selon le risque business plutôt que la seule sévérité technique. La seconde n'annule pas la première : elle l'englobe dans une vision plus large.
Un scan gratuit, en quelques minutes, sans carte bancaire.
Scan gratuit