Gestion des vulnérabilités

Le cycle

détection → corrélation SBOM → triage → qualification d'exploitabilité (VEX)
   → priorisation → remédiation → vérification → publication d'un avis
   → clôture → archivage

Chaque transition est horodatée. C’est cette chronologie qui démontre, en cas de contrôle, le traitement « sans délai » exigé par l’annexe I.

Les sources à agréger

Source	Nature	Rôle
EUVD	Base européenne de vulnérabilités, opérée par l’ENISA	Source européenne de référence, alimentée par les signalements CRA
NVD	Base américaine, corrélation par CPE	Couverture large, latence et imprécision d’appariement
OSV	Base par écosystème, corrélation par PURL	Précision élevée sur les paquets
Catalogues d’exploitation avérée	Vulnérabilités effectivement exploitées	Déclencheur prioritaire
Avis des éditeurs et distributions	Correctifs et rétroportages	Évite les faux positifs de version
Avis des projets amont	Souvent en avance sur les bases	Détection précoce
CERT nationaux	Alertes et contexte de menace	Contexte régional

L’agrégation est le rôle de la plateforme de pilotage, pas d’un tableur.

Le triage

Trois questions, dans cet ordre :

1. Le composant est-il réellement présent ? Vérification par purl et empreinte. Beaucoup d’alertes s’arrêtent ici — voir Identifiants.
2. Le code vulnérable est-il atteignable ? Analyse d’atteignabilité, examen du chemin d’exécution. C’est ici que se décide le statut VEX.
3. Quelle est l’urgence réelle ? Priorisation, ci-dessous.

La priorisation

Aucun indicateur pris isolément ne suffit.

Indicateur	Ce qu’il dit	Ce qu’il ne dit pas
Gravité (CVSS de base)	La sévérité intrinsèque	Ni l’exploitation réelle, ni votre contexte
Score environnemental	La sévérité chez vous	Suppose un travail de contextualisation
Probabilité d’exploitation	La vraisemblance d’une exploitation à court terme	Ni la présence chez vous, ni l’impact
Exploitation avérée	Qu’elle est exploitée dans la nature	Ni chez vous, ni sur ce chemin
Atteignabilité	Que le code est appelé	Ni l’exploitabilité, ni l’impact
Exposition réseau	Que le composant est accessible	—
Criticité métier du produit	L’impact d’un incident	—

Score composite recommandé, à pondérer une fois et à documenter :

priorité = gravité contextualisée
         × facteur d'exploitation (avérée > probable > théorique)
         × atteignabilité (appelé > présent non appelé)
         × exposition (réseau > local)
         × criticité métier du produit

L’important n’est pas la formule mais le fait qu’elle soit écrite, stable et appliquée uniformément : c’est ce qui rend les décisions comparables et défendables.

Les SLA de remédiation

À définir, à publier en interne, et à mesurer :

Niveau	Déclencheur	Délai de correction cible
Urgence absolue	Exploitation active constatée sur votre produit	Contournement immédiat, correctif sous 72 h
Critique	Exploitable à distance sans authentification, atteignable	7 jours
Élevé	Exploitable, atteignable, conditions particulières	30 jours
Moyen	Exploitable dans un scénario restreint	90 jours
Faible ou non exploitable	Documenté en VEX	Traité à la prochaine version

Ces délais sont internes ; le règlement exige un traitement « sans délai », sans le chiffrer. Des SLA écrits et tenus sont la meilleure démonstration de ce que vous entendez par « sans délai ».

Le déclencheur du signalement

C’est le point d’articulation entre la technique et le droit.

Dès qu’une vulnérabilité de votre produit est qualifiée activement exploitée, le délai de 24 heures de l’article 14 court. Le passage du triage à l’obligation juridique ne doit pas dépendre de l’initiative d’un analyste de garde.

Mise en œuvre : un statut dédié dans l’outil de suivi, dont l’activation déclenche automatiquement une alerte vers l’astreinte juridique et l’ouverture d’une entrée au registre des décisions. Voir Procédure 24 h et Obligations de signalement.

La séparation des correctifs

L’annexe I demande, lorsque c’est techniquement possible, que les correctifs de sécurité soient fournis séparément des évolutions fonctionnelles. Cela suppose :

• une stratégie de branches de maintenance par ligne de version supportée ;
• une capacité de rétroportage vers les branches anciennes ;
• une numérotation qui distingue clairement un correctif de sécurité ;
• des tests de non-régression exécutables sur des branches anciennes, donc un environnement de construction conservé.

C’est une contrainte d’ingénierie lourde, à décider à la conception et non lors du premier incident.

Les indicateurs

Délai médian de triage, délai médian de remédiation par niveau, âge moyen des vulnérabilités ouvertes, part des alertes traitées en VEX, part des SLA respectés, nombre de vulnérabilités héritées de composants abandonnés. Voir Indicateurs.