TL;DR
- Une vulnérabilité est une faiblesse qui pourrait être exploitée pour compromettre un système informatique.
- La gestion des vulnérabilités consiste à détecter ces faiblesses, à évaluer les risques, à établir les priorités et à apporter les corrections nécessaires.
- Des outils spécialisés peuvent automatiser une partie de la recherche de vulnérabilités.
- Une vulnérabilité considérée comme critique n’est pas nécessairement celle qu’une organisation doit corriger en premier.
- La gestion des correctifs, l’analyse des risques et la vérification des corrections font partie du processus.
- Ces activités donnent un bon aperçu du travail effectué par les professionnels de la cybersécurité au Québec.
Imaginez une PME québécoise qui possède une boutique en ligne, des ordinateurs pour ses employés, plusieurs logiciels et quelques services infonuagiques.
Une nouvelle vulnérabilité est annoncée dans un logiciel qu’elle utilise.
L’entreprise est-elle touchée? Quels ordinateurs utilisent ce logiciel? Un correctif existe-t-il? Faut-il intervenir immédiatement?
Ce sont des questions auxquelles les équipes des technologies de l’information (TI) et de cybersécurité doivent régulièrement répondre.
C’est ce qu’on appelle la gestion des vulnérabilités. Dans les ressources anglophones, vous rencontrerez également l’expression vulnerability management.
Pour une personne qui envisage une carrière en cybersécurité au Québec, ce processus permet de découvrir une réalité importante du métier : protéger une organisation ne consiste pas uniquement à intervenir après une cyberattaque. Il faut aussi repérer les faiblesses avant qu’elles ne soient exploitées.
Qu’est-ce que la gestion des vulnérabilités?
Une vulnérabilité est une faiblesse présente dans un système, un logiciel ou sa configuration qui pourrait être exploitée.
La gestion des vulnérabilités consiste à rechercher ces faiblesses et à déterminer comment les traiter.
On peut résumer le processus ainsi :
Identifier → Détecter → Évaluer → Prioriser → Corriger → Vérifier
Prenons l’exemple d’une entreprise de Montréal.
Elle utilise 50 ordinateurs, un serveur, une boutique en ligne et plusieurs logiciels. Son équipe TI doit savoir quels systèmes elle possède, rechercher les vulnérabilités qui les concernent, déterminer lesquelles représentent le plus grand risque et apporter les corrections nécessaires.
Le processus recommence ensuite régulièrement.
Pourquoi?
Parce que de nouvelles vulnérabilités sont découvertes et que l’environnement informatique de l’entreprise évolue.
Vulnérabilité, menace et risque : quelle différence?
Ces trois termes sont liés, mais ils ne veulent pas dire la même chose.
Prenons un exemple simple.
Une entreprise utilise un logiciel qui contient une faille de sécurité.
La vulnérabilité, c’est la faiblesse du logiciel.
La menace, ce peut être un cybercriminel qui cherche à exploiter cette faiblesse.
Le risque tient compte de la possibilité que cela se produise et des conséquences pour l’entreprise.
Le contexte est donc important.
Une vulnérabilité sur un ordinateur de test isolé n’a pas nécessairement la même importance que la même vulnérabilité sur un site transactionnel accessible au public et contenant des renseignements sur les clients.
C’est pourquoi les professionnels de la cybersécurité doivent faire plus que simplement trouver des failles : ils doivent comprendre ce qu’elles représentent pour l’organisation.
Comment détecter les vulnérabilités?
Avant de chercher les failles, une équipe doit savoir ce qu’elle protège.
Elle peut commencer par dresser un inventaire de ses actifs informationnels :
- ordinateurs;
- serveurs;
- applications;
- systèmes d’exploitation;
- équipements réseau;
- services infonuagiques;
- systèmes accessibles depuis Internet.
Supposons maintenant qu’une vulnérabilité importante soit annoncée dans une version précise d’un logiciel.
L’équipe doit pouvoir répondre rapidement à trois questions :
Utilisons-nous ce logiciel?
Sur quels appareils?
Quelle version est installée?
Le Centre canadien pour la cybersécurité recommande notamment aux organisations de maintenir un inventaire de leurs actifs afin de mieux déterminer les systèmes qui doivent être corrigés lorsqu’une mise à jour devient disponible.
À quoi sert un scanneur de vulnérabilité?
Un scanneur de vulnérabilité est un outil qui recherche automatiquement certaines faiblesses dans un environnement informatique.
Selon l’outil utilisé, il peut notamment repérer :
- des logiciels qui ne sont pas à jour;
- des vulnérabilités connues;
- certains services exposés;
- des ports ouverts;
- certaines erreurs de configuration.
Mais l’outil ne prend pas toutes les décisions à la place du professionnel.
Si une analyse produit une liste de 200 vulnérabilités potentielles, quelqu’un doit encore examiner les résultats et déterminer leur importance.
C’est ce qu’on appelle notamment l’évaluation des vulnérabilités, ou vulnerability assessment dans les ressources anglophones.
Vous souhaitez découvrir d’autres technologies utilisées dans le domaine? Consultez notre article sur les logiciels en cybersécurité.
Comment savoir quelles vulnérabilités corriger en premier?
Voici une situation très concrète.
Une entreprise québécoise effectue une analyse et découvre plusieurs dizaines de vulnérabilités.
Doit-elle simplement commencer par celle qui possède la cote de gravité la plus élevée?
Pas nécessairement.
Le CVSS est un système utilisé pour attribuer une cote de gravité technique aux vulnérabilités. Cette information est utile, mais elle ne représente qu’une partie de l’analyse.
L’équipe doit aussi se demander :
- Le système est-il accessible depuis Internet?
- La vulnérabilité est-elle déjà exploitée par des attaquants?
- Le système contient-il des renseignements sensibles?
- Est-il essentiel aux activités de l’entreprise?
- Combien de personnes pourraient être touchées?
- Existe-t-il déjà des mesures de protection?
Un exemple
Une PME découvre deux vulnérabilités.
Vulnérabilité À : gravité technique très élevée, mais présente sur un ordinateur de laboratoire isolé.
Vulnérabilité B : gravité moins élevée, mais présente sur un portail utilisé quotidiennement par les clients et accessible depuis Internet.
La vulnérabilité A semble plus importante lorsqu’on regarde uniquement sa cote.
Mais la vulnérabilité B pourrait représenter un risque plus urgent pour l’entreprise.
C’est là qu’intervient le jugement du professionnel en cybersécurité.
Trouver une vulnérabilité est une tâche technique. Déterminer quoi corriger en premier demande aussi de comprendre l’organisation.
Comment corriger une vulnérabilité?
Une fois les priorités établies, il faut agir.
Dans plusieurs cas, la solution consiste à installer un correctif de sécurité fourni par l’éditeur du logiciel.
L’ensemble du processus est appelé gestion des correctifs. Dans la documentation anglophone, vous rencontrerez aussi l’expression patch management.
Une équipe TI peut devoir :
- vérifier qu’un correctif est disponible;
- le tester;
- planifier son installation;
- l’installer sur les appareils concernés;
- vérifier que les systèmes fonctionnent correctement;
- confirmer que la vulnérabilité a été corrigée.
Pourquoi ne pas simplement installer toutes les mises à jour immédiatement?
Parce qu’une organisation doit parfois vérifier qu’une mise à jour ne perturbera pas un logiciel essentiel à ses activités.
Une entreprise québécoise peut, par exemple, devoir coordonner une mise à jour avec son fournisseur informatique ou prévoir une période d’entretien afin de ne pas interrompre un service utilisé par ses employés ou ses clients.
Et lorsqu’aucun correctif n’existe?
Il faut parfois utiliser une mesure temporaire.
L’équipe pourrait :
- désactiver une fonction vulnérable;
- limiter l’accès au système;
- modifier une configuration;
- isoler temporairement un appareil;
- renforcer la surveillance.
Ces mesures permettent de réduire le risque en attendant une correction permanente.
Pourquoi faut-il vérifier après la correction?
Installer une mise à jour ne signifie pas automatiquement que le problème est réglé.
L’équipe doit vérifier le résultat.
Elle peut effectuer une nouvelle analyse afin de confirmer que la vulnérabilité n’est plus détectée.
Le suivi pourrait ressembler à ceci :
Vulnérabilité détectée → priorité établie → correctif appliqué → nouvelle analyse → correction confirmée
Cette étape est particulièrement importante dans une organisation qui possède de nombreux appareils.
Elle permet également de documenter les interventions et de savoir quelles vulnérabilités restent à traiter.
À quelle fréquence faut-il rechercher les vulnérabilités?
Il n’existe pas une fréquence idéale pour toutes les organisations.
Une petite entreprise de cinq employés et une grande organisation québécoise possédant des centaines de systèmes n’auront pas les mêmes besoins.
La fréquence peut notamment dépendre :
- de l’importance du système;
- de son exposition à Internet;
- des renseignements qu’il contient;
- des changements apportés à l’environnement informatique;
- de la découverte de nouvelles vulnérabilités.
Un site transactionnel accessible au public peut, par exemple, nécessiter une surveillance plus étroite qu’un ordinateur isolé servant occasionnellement à des essais.
La gestion des vulnérabilités est donc un processus continu, et non une tâche effectuée une seule fois.
À quoi ressemble ce travail en cybersécurité?
Pour une personne qui envisage une formation ou une reconversion au Québec, la gestion des vulnérabilités donne un aperçu très concret du travail en cybersécurité.
Un professionnel pourrait être appelé à :
- utiliser un outil d’analyse des vulnérabilités;
- examiner les résultats;
- rechercher de l’information sur une nouvelle faille;
- déterminer quels systèmes sont concernés;
- évaluer le niveau de risque;
- collaborer avec les administrateurs de systèmes;
- appliquer ou recommander des correctifs;
- vérifier les corrections;
- documenter les interventions.
Le travail ne consiste donc pas seulement à « trouver des failles ».
Il faut combiner compétences techniques, analyse, résolution de problèmes et compréhension des risques.
La gestion des vulnérabilités fait elle-même partie d’une stratégie plus large. Découvrez les principales étapes pour bâtir un plan de cybersécurité.
Pourquoi développer ces compétences au Québec?
Les entreprises et organisations québécoises dépendent de plus en plus de systèmes numériques : sites transactionnels, logiciels de gestion, applications, services infonuagiques et outils de collaboration.
Tous ces systèmes doivent être entretenus et protégés.
Pour les équipes TI et de cybersécurité, cela signifie notamment être capables de :
connaître les systèmes → détecter les faiblesses → évaluer les risques → intervenir → vérifier
Pour une personne qui souhaite entrer dans le domaine, la gestion des vulnérabilités permet donc de voir comment les connaissances techniques peuvent servir à résoudre des problèmes concrets dans les organisations d’ici.
Vous aimeriez développer des compétences en cybersécurité?
Détecter une vulnérabilité n’est que le début.
Il faut ensuite comprendre ce qu’elle signifie, déterminer son importance, choisir une réponse appropriée et vérifier que le risque a bien été réduit.
Ce processus illustre le type de raisonnement et de compétences techniques que les professionnels peuvent utiliser pour contribuer à la protection des systèmes informatiques.
Développez des compétences pratiques en outils de sécurité, évaluation des risques et protection des systèmes grâce à l’AEC en Cybersécurité du Collège Cumberland.
FAQ
Qu’est-ce que la gestion des vulnérabilités?
La gestion des vulnérabilités est un processus continu qui consiste à identifier les faiblesses présentes dans les systèmes, à les évaluer, à déterminer lesquelles traiter en priorité, à apporter les corrections nécessaires et à en vérifier les résultats. L’expression anglaise vulnerability management est également courante dans le domaine.
Quelle est la différence entre une vulnérabilité, une menace et un risque?
Une vulnérabilité est une faiblesse pouvant être exploitée. Une menace représente ce qui pourrait exploiter cette faiblesse. Le risque tient compte de la possibilité que cela se produise et des conséquences potentielles pour l’organisation.
Comment fonctionne un scanneur de vulnérabilité?
Un scanneur de vulnérabilité examine les systèmes afin de repérer certaines vulnérabilités connues, des logiciels qui ne sont pas à jour, des services exposés ou des configurations potentiellement problématiques. Les résultats doivent ensuite être analysés et interprétés.
Comment prioriser les vulnérabilités?
Il faut tenir compte de leur gravité technique, mais aussi du contexte : exposition à Internet, importance du système, renseignements concernés, exploitation connue et conséquences potentielles. La vulnérabilité ayant la cote technique la plus élevée n’est donc pas nécessairement la première à corriger.
Qu’est-ce que la gestion des correctifs?
La gestion des correctifs consiste à identifier, tester, installer et vérifier les mises à jour nécessaires pour corriger des vulnérabilités ou améliorer la sécurité des systèmes. Le terme anglais patch management est également utilisé dans certaines ressources techniques.
À quelle fréquence faut-il évaluer les vulnérabilités?
Cela dépend de l’organisation et de ses systèmes. Des analyses peuvent être réalisées périodiquement, mais aussi lorsqu’une nouvelle vulnérabilité importante est découverte ou lorsqu’un changement est apporté à l’environnement informatique.
