CVSS, EPSS, catalogue KEV, MTTR : le vocabulaire pour passer d'une longue liste de vulnérabilités à un plan de correction réellement priorisé — et mesurable.
Le cycle continu de détection, d'évaluation, de priorisation et de correction des failles de sécurité dans un système d'information. Contrairement à un audit ponctuel, c'est un processus permanent : de nouvelles vulnérabilités sont découvertes chaque jour dans les logiciels déjà en place.
Le score de référence (0 à 10) mesurant la gravité technique intrinsèque d'une faille — indépendamment de savoir si elle est réellement exploitée. La version 3.1 reste la plus répandue aujourd'hui ; la version 4.0 (publiée fin 2023) corrige un défaut connu de la 3.x : trop de failles finissaient notées 9.8, rendant le score moins utile pour prioriser. Les deux versions ne sont pas directement comparables entre elles pour une même CVE.
Consulter le score CVSS d'une CVE préciseContrairement au CVSS qui mesure la gravité théorique, l'EPSS estime la probabilité réelle (0 à 100%) qu'une faille soit exploitée dans les 30 prochains jours, à partir de signaux de threat intelligence et de caractéristiques de la CVE. Une faille CVSS 9.8 avec un EPSS proche de 0% est, en pratique, souvent moins urgente qu'une faille CVSS 7.0 avec un EPSS de 80%.
Notre score EPSS intégré à chaque scanUne liste tenue par l'agence américaine CISA recensant les failles dont l'exploitation active a été confirmée dans la nature — pas une prédiction comme l'EPSS, un constat. Une CVE présente dans ce catalogue mérite une priorité immédiate, quel que soit son score CVSS.
Le CVSS décrit la gravité technique. L'EPSS estime ce qui sera probablement exploité ensuite. Le KEV enregistre ce qui l'a déjà été. Aucun des trois pris isolément ne suffit à bien prioriser — les combiner donne une image bien plus fiable que la sévérité seule pour décider quoi corriger en premier.
Le MTTD (Mean Time to Detect) mesure le temps entre l'apparition d'une faille et sa découverte. Le MTTR (Mean Time to Remediate) mesure le temps entre sa découverte et sa correction effective. En pratique, la mesure la plus révélatrice du risque réel d'une organisation reste le MTTR : une faille connue mais non corrigée depuis des mois reste une porte ouverte, peu importe qu'elle ait été détectée tôt.
Le processus opérationnel qui applique concrètement les correctifs de sécurité publiés par les éditeurs — tester, planifier, déployer, vérifier. C'est souvent là, pas dans la détection, que se joue le vrai risque : le délai entre la sortie d'un correctif et son installation réelle est presque toujours plus long que le délai entre la sortie de la faille et sa première exploitation.
Plutôt que de traiter toutes les failles au même rythme, un SLA de remédiation fixe des délais différenciés — par exemple 48h pour une faille critique activement exploitée (KEV), 7 jours pour une faille haute avec un EPSS élevé, 30 jours pour le reste. C'est ce qui transforme une liste de vulnérabilités en un vrai plan d'action mesurable.
Voir vos vulnérabilités réelles, scorées et prioriséesUn scan gratuit, en quelques minutes, sans carte bancaire.
Scan gratuit