Comment mettre en place une gestion des vulnérabilités selon l'ANSSI avec une équipe de 12 personnes en France ?

Les grands comptes industriels refilent souvent tels quels leurs questionnaires internes aux sous-traitants. Si vous cochez oui à chaque ligne avec 12 salariés, vous serez bloqués dès que l'auditeur réclamera des preuves. Présentez simplement un calendrier de patch management adapté à votre échelle, ça suffira.

On est une équipe de 15 dévs. On a pris un contrat de maintenance avec notre prestataire info pour 400 EUR par mois. Ils nous sortent un rapport de scan système une fois par mois et signent un doc attestant que les patchs critiques sont appliqués. On a passé deux gros audits d'entreprises sans aucun souci grâce à ça.

Ouvrez un tableur dès demain. Listez les 12 PC de la boîte, le serveur commun et le routeur avec marque, modèle et OS. Ajoutez à côté la date du dernier patch appliqué. Et voilà, votre premier inventaire de vulnérabilités est déjà prêt.

Les achats chez le client ne lisent presque jamais ces formulaires en détail. L'essentiel, c'est de ne pas laisser de cases vides et d'expliquer votre propre démarche de manière claire et logique en faisant référence aux standards du secteur.

Voici les 3 preuves concrètes que l'auditeur voudra voir : 1) Un inventaire à jour du matériel et des logiciels. 2) Des captures d'écran prouvant que les mises à jour automatiques sont bien activées. 3) Les rapports d'intervention du prestataire informatique externe sur les 3 derniers mois.

sur le site de l'anssi ya un super guide d'hygiene en 12 regles special pme, faites reference au point sur les vulnerabilites pour repondre c'est le meilleur bouclier contre les questionnaires des grands groupes.

En droit des contrats en France, les procédures de sécurité que vous déclarez ont une valeur contraignante. Je vous conseille donc vivement d'éviter de vous engager sur des tests d'intrusion hebdomadaires ou des scans de vulnérabilités en continu que vous ne pourriez pas honorer.

Exact.

Ce sujet est archivé.

Je me permets une petite mise en garde. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Je le note au cas où.

Nous avons aussi bloqué au même endroit à une époque. Quand on décide sans mesurer, on revient toujours au même point.

Tous ceux qui se pressent sur gestion des vulnérabilités se heurtent au même obstacle. Je le note au cas où.

Je suis intéressé. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. Bien sûr, cela change si votre situation est différente.

Pour entrer dans le détail : Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard.

Désolé, mais ce n'est pas vrai dans tous les cas. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Tous ceux qui se pressent sur gestion des vulnérabilités se heurtent au même obstacle.

Chez nous aussi.

Il faut faire une distinction ici. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

J'aurais une question, sans vouloir m'éloigner du sujet. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Voilà, désolé si je me suis étendu.

La discussion part dans tous les sens, je recentre. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Je suis aussi curieux de savoir si d'autres font autrement.