Gestion des vulnérabilités pour les PME : scanner, prioriser et corriger de manière ciblée

Chaque semaine, quelque part dans le monde, quelqu'un publie une liste de nouvelles vulnérabilités dans des logiciels que vous utilisez presque certainement. Microsoft, Fortinet, Citrix, des extensions WordPress, le boîtier VPN du bureau. Il est impossible de tout corriger immédiatement, et ce n'est d'ailleurs pas nécessaire. La gestion des vulnérabilités (vulnerability management) est la discipline qui permet d'extraire de ce flux précisément les vulnérabilités qui comptent pour votre entreprise, et de les corriger assez vite pour garder une longueur d'avance sur les attaquants.

Qu'est-ce que la gestion des vulnérabilités, exactement ?

La gestion des vulnérabilités est le processus continu qui consiste à découvrir, évaluer, prioriser, corriger et contrôler les vulnérabilités de votre environnement informatique. Elle va au-delà de la gestion des correctifs : l'application de correctifs n'est que l'une des réponses issues du processus, au même titre que les modifications de configuration, les règles de pare-feu supplémentaires, la désactivation de protocoles obsolètes ou l'acceptation, sous conditions, d'un risque résiduel.

La différence tient à la question posée. La gestion des correctifs demande : « quelles mises à jour sont prêtes et quand les déployons-nous ? » La gestion des vulnérabilités demande : « quelles faiblesses mon entreprise présente-t-elle en ce moment, quelle est leur gravité réelle dans mon contexte, et que vais-je faire pour chacune d'elles ? » Le patching fait partie d'une bonne réponse. Notre article Qu'est-ce que la gestion des correctifs et pourquoi est-elle cruciale détaille ce volet ; celui-ci porte sur le processus plus large qui l'entoure.

Pourquoi les PME doivent prendre le sujet au sérieux

Dans le Verizon Data Breach Investigations Report 2025, l'exploitation de vulnérabilités représentait 20 % de l'ensemble des violations de données, soit une hausse de 34 % par rapport à l'année précédente. L'usage abusif d'identifiants arrivait juste devant avec 22 %, le phishing derrière avec 16 %. Plus frappant encore : les exploits visant les équipements en bordure de réseau et les appareils VPN représentaient 22 % de tous les incidents liés à des vulnérabilités, contre 3 % seulement un an plus tôt.

Ce n'est pas un problème réservé aux grands groupes. Les pare-feu, routeurs et boîtiers VPN visés par ce type d'attaques équipent aussi les bureaux des PME. Et les attaquants scannent l'ensemble d'Internet, pas seulement le Fortune 500. Lorsqu'une vulnérabilité critique dans un équipement très répandu est rendue publique, on observe en quelques heures une exploitation automatisée à l'échelle mondiale.

À cela s'ajoute la réglementation. En vertu de la Cyberbeveiligingswet, la transposition néerlandaise de NIS2, vous devez, en tant qu'entité essentielle ou importante, démontrer que votre gestion des vulnérabilités est en ordre. Consultez notre guide complet de NIS2 pour les PME néerlandaises pour savoir concrètement ce que cela exige de vous.

Les cinq étapes du processus

Voici à quoi ressemble un cycle réaliste pour une PME.

1. Découvrir : sachez ce que vous possédez

On ne peut pas sécuriser ce que l'on ne connaît pas. Commencez par un inventaire de tous vos actifs : serveurs, postes de travail, équipements réseau, abonnements cloud, applications SaaS, appareils mobiles, ainsi que les équipements IoT ou OT souvent oubliés (imprimantes, caméras, contrôle d'accès). Ce n'est qu'ensuite que les scanners pourront produire quelque chose de pertinent. Tenez l'inventaire à jour automatiquement depuis votre outil de gestion des terminaux et votre fournisseur d'identité, sinon il sera dépassé au bout d'un mois.

2. Scanner : repérez les points faibles

Les scanners traduisent votre liste d'actifs en vulnérabilités détectées. On en distingue grosso modo trois types :

• Les scans authentifiés sur les serveurs et postes de travail, via un agent ou des identifiants.
• Les scans externes, depuis Internet, sur vos plages d'adresses IP publiques et vos domaines.
• Les scans de posture cloud, qui évaluent la configuration de Microsoft 365, Azure ou Google Workspace.

Combinez ces sources, car chacune voit une partie différente de votre environnement. Lancez les scans internes au moins une fois par semaine, les scans externes quotidiennement sur les expositions critiques, et la posture cloud en continu via l'API de vos fournisseurs.

3. Prioriser : tout n'est pas urgent

C'est ce qui fait la différence entre un tableur Excel de mille lignes et un plan d'action réaliste. Un score CVSS de 9,8 indique seulement la gravité maximale possible, pas la probabilité d'exploitation ni la criticité de l'actif.

Combinez donc trois signaux :

1. Le CVSS pour la gravité technique.
2. L'EPSS du FIRST pour la probabilité d'exploitation dans les 30 jours, exprimée par un nombre entre 0 et 1.
3. Le catalogue KEV de la CISA pour les vulnérabilités dont l'exploitation active est avérée.

Pondérez le tout par votre propre contexte : l'actif est-il exposé sur Internet, héberge-t-il des données clients, existe-t-il des mesures compensatoires ? Une vulnérabilité CVSS 9,0 sur une machine de développement hors ligne, sans connexion Internet, est moins urgente qu'une vulnérabilité CVSS 7,0 sur votre passerelle VPN publique qui figure dans le catalogue KEV.

4. Corriger : patcher, configurer ou accepter

Pour chaque élément priorisé, vous choisissez l'une de quatre voies.

• Patcher lorsqu'un correctif de l'éditeur existe et peut être appliqué rapidement.
• Modifier la configuration lorsque la désactivation d'une fonctionnalité ou l'ajout d'une règle de pare-feu supprime le risque.
• Compenser par une surveillance renforcée, de la segmentation ou des règles WAF lorsque le patch ne peut pas être appliqué immédiatement.
• Accepter, avec une signature à l'appui, pour un risque résiduel que l'entreprise assume en connaissance de cause.

Consignez ce choix. Un risque accepté sans documentation n'est rien d'autre qu'un risque oublié.

5. Contrôler : ne faites pas confiance, vérifiez

Après chaque correction, relancez un scan pour vérifier que la vulnérabilité a réellement disparu. Un patch bloqué en cours de route, une VM qui n'a pas redémarré, un clone avec un ancien agent : cela arrive plus souvent qu'on ne le croit. Sans cette étape, vos rapports relèvent de la fiction.

Des SLA réalistes par niveau de priorité

Aucune norme officielle n'impose de délais précis aux PME. En pratique, les délais suivants fonctionnent pour la plupart des entreprises, à condition de vous engager à les respecter dans votre politique d'acceptation des risques :

• Critique et activement exploitée (par exemple présente dans le catalogue KEV) : sous 24 à 72 heures.
• Risque élevé sur des actifs exposés à Internet : sous 7 jours.
• Risque élevé en interne : sous 30 jours.
• Moyen : sous 60 à 90 jours, dans le cycle de correctifs habituel.
• Faible : lors du prochain cycle trimestriel, ou accepté.

Ce qui compte, c'est de les tenir. Des SLA systématiquement dépassés ne sont qu'un vœu pieux sur le papier, pas une politique de sécurité.

Des indicateurs qui aident vraiment à piloter

Suivez ces chiffres chaque mois, dans un tableau de bord simple :

• Couverture des scans : pourcentage d'actifs scannés avec succès au cours de la semaine écoulée.
• MTTR par niveau de gravité : délai moyen de correction (mean time to remediate), ventilé entre critique, élevé et moyen.
• Ancienneté des vulnérabilités critiques ouvertes : durée moyenne pendant laquelle les éléments critiques restent ouverts.
• Exposition KEV : nombre d'actifs présentant une vulnérabilité non corrigée issue du catalogue KEV de la CISA.
• Conformité des correctifs : pourcentage d'appareils au niveau de la dernière version de référence approuvée.

Une tendance qui se dégrade en dit plus qu'une mesure isolée. Si votre MTTR pour les éléments critiques double en deux mois, il y a un problème structurel : trop peu de fenêtres de maintenance, une équipe surchargée ou des outils qui ne fonctionnent pas.

Les outils pour les PME en pratique

Les outils d'entreprise matures comme Tenable, Qualys et Rapid7 sont excellents, mais souvent surdimensionnés, en prix comme en complexité, pour une PME de 25 à 150 collaborateurs. En pratique, une pile d'outils en couches fonctionne bien :

• Microsoft Defender Vulnerability Management si vous utilisez déjà Microsoft 365 Business Premium ou E3/E5. Il est inclus, voit tous les appareils Windows enregistrés dans Intune et s'intègre à Defender for Endpoint. Consultez notre guide sur Microsoft Intune pour les PME pour savoir comment déployer les agents.
• OpenVAS ou Nessus Essentials pour les scans du réseau interne, en complément ou en alternative.
• CrowdStrike, SentinelOne ou Defender for Endpoint pour la détection sur les terminaux, avec une visibilité intégrée sur les vulnérabilités.
• Un service de gestion de la surface d'attaque externe (EASM) pour ce que vous exposez à Internet depuis l'extérieur.

Ce qu'il ne faut jamais faire, c'est acheter trois outils sans désigner quelqu'un pour s'en servir. Un scan sans suivi n'est pas de la sécurité, c'est un rapport.

Là où les PME se trompent souvent

Nous retrouvons sans cesse les mêmes schémas.

• Les scans tournent, mais personne n'en fait rien. L'outil remonte mille constats chaque mois, tout le monde se sent submergé, personne ne s'en occupe.
• Les équipements de bordure sont oubliés. Le Fortinet, le Sonicwall ou le Cisco ASA en périphérie du réseau ne reçoit quasiment jamais ses mises à jour de firmware. C'est précisément là que frappent les exploits zero-day.
• Aucun responsable désigné par système. Si une vulnérabilité touche le serveur comptable et que personne ne sait qui doit le patcher, il ne sera pas patché.
• Le système d'exploitation seulement, pas la couche applicative. Les mises à jour Windows s'installent sagement, mais les extensions WordPress, les modules Node et la visionneuse PDF restent figés. Ce sont justement eux qui sont massivement exploités.
• Aucun rituel de test des correctifs. Patcher la production le vendredi sans test préalable, c'est la recette assurée d'un problème le lundi.

Comment démarrer quand vous partez de zéro

Si vous partez de zéro, vous n'allez pas déployer une pile d'outils d'entreprise dès la première semaine. Un plan sur 90 jours fonctionne mieux.

1. Semaines 1 et 2 : inventoriez tous vos actifs. Dressez une liste simple des serveurs, ordinateurs portables, équipements réseau, tenants cloud et applications SaaS. Désignez un responsable par ensemble.
2. Semaines 3 et 4 : activez un premier scanner sur votre réseau interne et sur vos plages d'adresses IP externes. Utilisez ce que vous avez déjà (Defender si vous disposez de M365 Business Premium). Établissez une base de référence.
3. Mois 2 : définissez vos SLA par niveau de gravité, choisissez votre modèle de priorisation et documentez qui décide d'accepter ou de compenser un risque.
4. Mois 3 : instaurez une revue hebdomadaire des corrections. Chaque lundi, première heure : qu'est-ce qui est critique, qui s'occupe de quoi, qu'est-ce qui a été clôturé depuis la semaine dernière. Suivez vos indicateurs.

Au bout de ces 90 jours, ce n'est plus un projet ponctuel mais un processus. Nos services d'infogérance intègrent ce cycle en standard pour les clients qui ne veulent pas traquer eux-mêmes les nouvelles CVE chaque lundi.

Questions fréquentes sur la gestion des vulnérabilités

Quelle est la différence entre gestion des vulnérabilités et gestion des correctifs ? La gestion des correctifs est le processus qui consiste à tester et déployer les mises à jour logicielles. La gestion des vulnérabilités est plus large : elle commence par la découverte des points faibles, les priorise selon le risque et détermine au cas par cas si la bonne réponse est de patcher, de reconfigurer, de compenser ou d'accepter. La gestion des correctifs n'est que l'une de ses issues.

À quelle fréquence faut-il scanner ? Des scans internes authentifiés au moins une fois par semaine, des scans externes quotidiens sur les systèmes exposés à Internet et une analyse continue de la posture cloud via l'API. Pour les environnements à haut risque, comme l'OT en production, des scans passifs en dehors des heures de production sont plus judicieux que des scans actifs agressifs.

Avons-nous besoin de Nessus ou de Qualys si nous avons déjà Microsoft 365 ? Pas nécessairement. Microsoft Defender Vulnerability Management est inclus dans Microsoft 365 Business Premium et les licences supérieures, et couvre les terminaux Windows, macOS et Linux enregistrés dans Defender for Endpoint. Pour les équipements réseau et les serveurs non Microsoft, un scanner complémentaire est souvent nécessaire.

Qu'est-ce que l'EPSS et pourquoi l'utiliser ? L'EPSS, ou Exploit Prediction Scoring System du FIRST, attribue à chaque CVE une estimation (entre 0 et 1) de la probabilité d'exploitation active dans les 30 jours. Combiné au CVSS et au catalogue KEV de la CISA, il vous évite de vous retrouver avec 300 éléments « critiques » dont 290 ne seront jamais attaqués.

Quel budget annuel une PME doit-elle consacrer à la gestion des vulnérabilités ? Cela dépend du périmètre et de la maturité. Une PME de 50 collaborateurs qui confie la gestion des vulnérabilités à un prestataire dans le cadre d'une infogérance paie généralement un forfait mensuel qui couvre aussi la supervision, les correctifs et le helpdesk. Les licences d'outils achetées séparément peuvent rapidement coûter plusieurs dizaines de milliers d'euros par an ; le vrai travail réside dans le suivi.

Est-ce obligatoire au titre de NIS2 ? Si vous relevez de la Cyberbeveiligingswet (la loi néerlandaise transposant NIS2) en tant qu'entité essentielle ou importante, vous devez disposer d'une gestion des vulnérabilités démontrable au titre de vos obligations de gestion des risques. Même si vous n'êtes pas formellement soumis à NIS2, clients et fournisseurs l'inscriront de plus en plus souvent dans leurs contrats.

Conclusion

La gestion des vulnérabilités ne consiste pas à colmater toutes les brèches. C'est la discipline qui détermine où investir votre capacité de maintenance limitée, afin de fermer les failles que les attaquants exploitent réellement. Une PME dotée d'un cycle de découverte, de scan, de priorisation et de correction qui tourne chaque semaine, avec des responsables et des SLA clairs, est mieux protégée qu'un concurrent équipé d'un scanner plus cher que personne ne consulte.

Si vous ne voulez pas mener vous-même ce cycle chaque semaine, nous le prenons en charge. Nos ingénieurs en infogérance surveillent votre environnement, priorisent avec vous ce qui doit être fait chaque semaine et vous restituent les résultats dans un rapport mensuel clair. Vous voulez savoir ce que cela coûterait pour votre environnement ? Planifiez un échange sans engagement via la page contact ou appelez-nous directement au +31 85 303 5869.