Comment lire et exploiter un rapport de vulnérabilités quand on n'est pas technicien
Vous avez fait faire un scan de vulnérabilités. Le rapport arrive : 40 pages, des scores, des codes CVE, des couleurs rouge-orange-jaune. Et maintenant ?
Si vous n'êtes pas technicien, voici comment lire ce rapport et en tirer des décisions concrètes.
Les deux niveaux de lecture d'un rapport
Le résumé exécutif : ce que le dirigeant doit lire
Un rapport de vulnérabilités bien fait contient toujours un résumé exécutif. C'est la partie conçue pour la direction : en langage clair, sans code, sans jargon. Il répond à trois questions essentielles.
Combien de vulnérabilités ont été trouvées, et à quel niveau de criticité ? Une PME de transport de 45 employés qui reçoit un rapport montrant 5 vulnérabilités critiques, 15 élevées, 50 moyennes et 50 faibles sait immédiatement que 5 failles méritent une action urgente.
Quel est l'impact potentiel sur les opérations ? Les vulnérabilités critiques sont celles qui pourraient permettre à un attaquant de prendre le contrôle d'un système, d'accéder à des données sensibles, ou de paralyser une partie de la production.
Quelles sont les premières actions à prendre ? Le résumé exécutif liste les 3 à 5 recommandations prioritaires en langage d'affaires : mettre à jour tel système, corriger telle configuration, restreindre tel accès.
Le rapport technique : ce que l'équipe TI doit lire
Le rapport technique détaille chaque vulnérabilité : identifiant CVE, score CVSS, description de la faille, systèmes affectés, correctif recommandé. C'est l'outil de travail de votre équipe TI ou de votre fournisseur informatique. En tant que dirigeant, vous n'avez pas besoin de le lire en détail — mais votre équipe technique en a besoin pour exécuter les corrections.
Comprendre les niveaux de criticité
Critique, élevée, moyenne, faible — ce que ça signifie en langage d'affaires
Critique (score 9.0 à 10.0). La faille peut être exploitée à distance, sans mot de passe, avec un impact majeur. Concrètement : un attaquant pourrait prendre le contrôle de votre serveur depuis Internet. À corriger dans les jours qui suivent le rapport.
Élevée (score 7.0 à 8.9). Le risque est sérieux mais l'exploitation demande des conditions un peu plus spécifiques. Concrètement : un attaquant avec un accès au réseau interne pourrait compromettre des systèmes. À corriger dans les deux semaines.
Moyenne (score 4.0 à 6.9). Le risque est modéré. La faille existe mais son exploitation est moins directe ou son impact est limité. À planifier dans le mois.
Faible (score 0.1 à 3.9). Le risque est limité. Ce sont souvent des écarts de configuration ou des informations exposées sans impact direct. À corriger quand l'occasion se présente.
Le score CVSS : comment il est calculé et pourquoi il ne suffit pas seul
Le CVSS (Common Vulnerability Scoring System) est un standard de l'industrie maintenu par l'organisme FIRST (Forum of Incident Response and Security Teams). Il calcule un score de 0 à 10 en fonction de plusieurs facteurs : la complexité de l'attaque, les privilèges nécessaires, l'impact sur la confidentialité, l'intégrité et la disponibilité.
Le score CVSS est un bon indicateur, mais il ne tient pas compte de votre contexte spécifique. Une vulnérabilité critique sur un serveur de test isolé n'a pas le même impact qu'une vulnérabilité critique sur votre serveur de production principal. C'est pourquoi un bon rapport contextualise les scores en fonction de votre environnement.
Passer du rapport au plan d'action
Identifier les 3 à 5 actions prioritaires
Ne cherchez pas à tout corriger d'un coup. Commencez par les vulnérabilités critiques et élevées qui touchent vos systèmes les plus importants. Si votre serveur de fichiers a une faille critique et votre imprimante a une faille moyenne, le choix est clair.
Classer par impact business et effort de correction
Certaines corrections prennent 15 minutes (appliquer une mise à jour). D'autres demandent des jours de travail (migrer un logiciel en fin de vie). Le plan d'action classe les corrections en croisant deux critères : l'impact sur votre sécurité et l'effort nécessaire. On commence toujours par les actions à fort impact et faible effort.
Par exemple, une PME manufacturière de 80 employés qui découvre que son VPN n'est pas protégé par le MFA a une correction à fort impact (le VPN est un point d'entrée direct dans le réseau) et à faible effort (activer le MFA prend quelques heures). Cette action passe en priorité 1.
Définir qui corrige quoi
Certaines corrections relèvent de votre fournisseur TI (mises à jour serveurs, reconfiguration réseau). D'autres relèvent de l'interne (changer les mots de passe, désactiver des comptes). Le rapport doit vous permettre de répartir clairement les responsabilités.
Les questions à poser après la lecture
Une fois le résumé exécutif lu, voici les questions concrètes à poser à votre fournisseur TI ou à votre consultant :
Pour chaque vulnérabilité critique : quel est le délai réaliste de correction ? Quel est le coût ? Que se passe-t-il si on ne corrige pas dans les 30 prochains jours ?
Sur les sauvegardes : est-ce que les vulnérabilités détectées pourraient affecter nos sauvegardes ? Est-ce qu'un attaquant qui exploiterait ces failles pourrait accéder aux sauvegardes ?
Sur la priorisation : parmi toutes les recommandations, quelles sont les 3 actions qui réduisent le plus notre risque global ? Quel budget et quel temps ça représente ?
Sur le suivi : quand devrait-on refaire un scan pour vérifier que les corrections sont appliquées ?
Erreurs fréquentes
Ignorer le rapport parce qu'il est technique. Si le rapport n'a pas de résumé exécutif en langage clair, demandez-en un. Un rapport qui n'est lisible que par un technicien ne remplit pas sa fonction.
Corriger les failles faciles au lieu des critiques. C'est tentant de cocher les cases rapides (failles faibles, configurations mineures) pour montrer du progrès. Mais si les 5 failles critiques restent ouvertes, le risque n'a pas bougé.
Ne pas faire de suivi. Un rapport sans suivi est un constat sans effet. Planifiez une date de vérification pour confirmer que les corrections prioritaires ont été appliquées.
Ce qu'il faut faire maintenant
Relisez le résumé exécutif. Si vous avez un rapport récent, reprenez le résumé. Identifiez les vulnérabilités critiques et vérifiez si elles ont été corrigées.
Planifiez une réunion avec votre fournisseur TI. Partagez le rapport (ou les constats principaux) et demandez un plan de correction avec des délais.
Demandez un scan de contrôle. Après les corrections, un nouveau scan confirme que les failles sont réellement fermées. Sans cette vérification, vous n'avez aucune certitude.
Questions fréquentes
C'est quoi un score CVSS ? C'est un score standardisé de 0 à 10 qui mesure la sévérité d'une vulnérabilité. Plus le score est élevé, plus la faille est critique. Il est calculé par l'organisme FIRST et utilisé dans toute l'industrie.
Qui est responsable de corriger les vulnérabilités ? Ça dépend de votre organisation. Si vous avez un fournisseur TI, c'est généralement lui qui exécute les corrections techniques. Le rôle du consultant en cybersécurité est de vous dire quoi corriger, dans quel ordre et pourquoi.
Combien de temps pour corriger une vulnérabilité critique ? Ça varie. Appliquer une mise à jour peut prendre quelques minutes. Migrer un logiciel en fin de vie peut prendre des semaines. Le rapport devrait vous donner une idée de la complexité pour chaque recommandation.