Comment prioriser les vulnérabilités en fonction du risque

En matière de gestion des vulnérabilités, de nombreuses équipes de sécurité optent pour une stratégie simple qui consiste à suivre leur nombre. Les compter fournit une mesure facile à surveiller et à communiquer, ce qui permet de comparer aisément la posture de sécurité d’une organisation à celle de ses pairs ou aux références du secteur. Cette approche est également utile à des fins de conformité, car certaines normes exigent de déclarer le nombre de vulnérabilités découvertes.

Mais c’est là que s’arrêtent les avantages. Le décompte des vulnérabilités présente des limites qui le rendent peu adapté à l’évaluation des risques liés à la cybersécurité. Il peut notamment créer un faux sentiment de sécurité (ou d’urgence). Un nombre élevé de vulnérabilités ne signifie pas nécessairement un niveau de risque élevé si elles sont difficiles à exploiter ou peu graves. À l’inverse, un nombre faible n’est pas synonyme de risque faible si elles sont faciles à exploiter ou graves.

D’autres problèmes liés au décompte des vulnérabilités, comme le chevauchement entre elles, compliquent le calcul précis de leur nombre total. De plus, certaines vulnérabilités n’ont peut-être pas encore été découvertes ou signalées, ce qui empêche de comprendre réellement les risques de sécurité auxquels une organisation peut être confrontée.

Les équipes de sécurité des applications (AppSec) ne devraient pas se fier uniquement au décompte des vulnérabilités pour protéger leur entreprise. Elles doivent plutôt apprendre à utiliser une approche appelée priorisation fondée sur le risque, qui évalue le risque réel que présente chaque vulnérabilité. Dans ce guide, nous expliquons les avantages de cette approche et vous indiquons comment la mettre en œuvre au sein de votre organisation.

Pourquoi la priorisation fondée sur le risque est indispensable à une gestion efficace des vulnérabilités

La priorisation fondée sur le risque remédie aux lacunes du décompte traditionnel des vulnérabilités, car elle consiste à évaluer, classer et traiter les vulnérabilités en fonction du risque qu’elles présentent, plutôt qu’à additionner toutes les menaces potentielles — dont certaines ne sont peut-être ni immédiates ni importantes. Elle tient compte de facteurs tels que la facilité d’exploitation, l’impact sur l’activité et la sensibilité des données, afin que les équipes AppSec puissent consacrer leurs ressources limitées aux menaces les plus dommageables.

En outre, la priorisation fondée sur le risque réduit la fatigue liée aux alertes. La surveillance de toutes les vulnérabilités tend à submerger les équipes de sécurité sous un flot d’alertes, ce qui conduit souvent à ignorer ou à manquer des avertissements importants. La priorisation fondée sur le risque permet de résoudre ce problème en aidant les équipes de sécurité à se concentrer sur les menaces les plus risquées.

Autre avantage de la priorisation fondée sur le risque : elle favorise une meilleure collaboration entre les équipes en créant une compréhension commune des risques. Lorsque toutes les parties prenantes, y compris les équipes AppSec et de développement, comprennent clairement les conséquences potentielles des vulnérabilités, elles peuvent s’entendre sur la meilleure façon de traiter les problèmes les plus critiques.

Étapes clés pour mettre en œuvre la priorisation fondée sur le risque

Vous pouvez renforcer la posture de cybersécurité de votre organisation en adoptant une approche de priorisation fondée sur le risque en sept étapes simples :

1. Obtenir une visibilité complète

2. Intégrer le contexte métier

3. Analyser les résultats des tests de sécurité

4. Évaluer les indicateurs de risque à l’exécution

5. Élaborer un modèle de calcul du risque

6. Définir des critères de priorisation

7. Améliorer continuellement l’approche

1. Obtenir une visibilité complète

Pour repérer les vulnérabilités, vous devez savoir où elles peuvent se trouver. La première étape consiste donc à obtenir une vue d’ensemble claire de votre environnement applicatif. Pour cela, dressez la liste de toutes les applications utilisées par votre organisation, puis détaillez les composants logiciels de chacune, comme les bibliothèques open source, les outils tiers et les API, afin de mieux repérer où les vulnérabilités peuvent apparaître ou se cacher. Enfin, comprenez comment les différents composants de votre système interagissent pour mieux évaluer l’étendue des risques potentiels.

2. Intégrer le contexte métier

Toutes les vulnérabilités sont indésirables, mais elles ne présentent pas toutes le même niveau de risque. Prioriser les risques consiste à déterminer quelles applications sont les plus essentielles aux activités de votre entreprise. Plus une application est critique pour les fonctions clés de l’entreprise et la génération de revenus, plus elle mérite d’attention. Évaluez les conséquences potentielles d’une interruption de service, de pertes financières ou d’une atteinte à la réputation dans le pire des cas. Donnez la priorité aux vulnérabilités qui menacent les applications traitant des données sensibles (par exemple, des données financières sur les clients et des informations personnelles identifiables [PII]) ainsi qu’à celles qui disposent d’un accès étendu à vos systèmes.

3. Analyser les résultats des tests de sécurité

Vous êtes maintenant prêt à effectuer des tests de sécurité des applications (AST). Utilisez des outils AST, comme les tests statiques de sécurité des applications (SAST) et les tests dynamiques de sécurité des applications (DAST), pour repérer les vulnérabilités potentielles, puis combinez les résultats afin d’obtenir une vue d’ensemble de votre posture de sécurité. Puisque l’objectif n’est pas de compter les vulnérabilités, vous devez plutôt repérer celles qui sont les plus susceptibles d’être exploitées et/ou de causer des dommages importants à votre entreprise.

4. Évaluer les indicateurs de risque à l’exécution

Vous ne pouvez pas vous contenter d’examiner une liste de vos applications dans un tableur pour évaluer les risques : vous devez les exécuter dans des environnements réels et rechercher les anomalies ou les comportements inattendus. Analysez la fréquence d’utilisation des différentes parties du système et repérez les composants exposés aux menaces externes afin de vous concentrer sur les vulnérabilités présentant la plus grande surface d’attaque. Prenez l’habitude de recueillir des données actualisées sur les renseignements sur les menaces, notamment sur les vulnérabilités activement exploitées par les attaquants, et intégrez ces informations à vos évaluations.

5. Élaborer un modèle de calcul du risque

Élaborez un modèle de notation pour standardiser l’évaluation de vos vulnérabilités. Rassemblez toutes les données recueillies sur la visibilité des applications, le contexte métier, les résultats des tests de sécurité et les indicateurs à l’exécution, puis attribuez à chacune un coefficient en fonction de son importance. Créez ensuite un système qui attribue une valeur numérique à chaque vulnérabilité selon le risque qu’elle présente, afin de pouvoir les comparer et les prioriser de façon cohérente.

6. Définir des critères de priorisation

Après avoir évalué les vulnérabilités, vous devez définir lesquelles nécessitent une attention immédiate. Pour cela, établissez des seuils ou des niveaux de risque élevé, moyen et faible. Tenez compte du temps et des ressources disponibles pour corriger les vulnérabilités. Votre équipe de développement se chargera des correctifs : donnez-lui donc des consignes claires pour prioriser les efforts de remédiation. Fournissez-lui notamment les informations et le contexte liés aux risques afin qu’elle puisse traiter d’abord les problèmes les plus critiques.

7. Améliorer continuellement votre approche

La priorisation fondée sur le risque exige agilité et flexibilité, car les menaces évoluent et les priorités de votre organisation changent au fil du temps. Réexaminez votre modèle de risque chaque trimestre pour déterminer s’il produit toujours les résultats souhaités en matière de gestion des risques. Demandez aux membres des différentes équipes ce qui fonctionne et ce qui pourrait être amélioré, puis apportez les ajustements nécessaires.

Maîtrisez l’ASPM avec Snyk et Accenture

Maintenant que vous comprenez bien comment utiliser la priorisation fondée sur le risque pour mieux gérer les vulnérabilités, allez plus loin sur le sujet avec Snyk et Accenture. Téléchargez notre livre blanc, Donnez aux développeurs les moyens d’agir, réduisez les risques : comment l’ASPM libère le potentiel du DevSecOps, pour découvrir comment améliorer votre posture de sécurité applicative.

Snyk fait progresser la sécurité des applications

Simplifiez la priorisation fondée sur le risque avec Snyk, une solution qui permet aux équipes AppSec de déployer, gérer et développer un programme moderne et performant de sécurité pour les développeurs. Réservez une démo dès aujourd’hui et découvrez comment les outils de priorisation fondée sur le risque de Snyk peuvent protéger votre programme de développement contre les cybermenaces.