ISO 27001 nous demande de la "gestion des vulnérabilités" — concrètement, avec quel process et quels outils on fait ça ?

Côté open source, les scanners réseau en version communautaire distribués sous forme d'images de conteneur font le job. Vous pouvez scanner les paquets de l'OS et les ports exposés de vos serveurs et obtenir un rapport basé sur les CVE. Mais la plus grosse difficulté, c'est de nettoyer les faux positifs. Si vous arrivez à rattacher le scan à une tâche cron hebdomadaire et à exporter les résultats en JSON, le process devient totalement automatique.

On est passés par là pour notre infra de 20 serveurs à Madrid. Les gros outils d'entreprise nous avaient fait un devis à 6 500 EUR par an. À la place, on a installé un plugin de sécurité cloud qui nous coûte 8 EUR par serveur et par mois. Ça nous revient à environ 1 900 EUR par an, et l'auditeur a validé le process dès le premier audit sans relever la moindre non-conformité.

Les consultants ont souvent tendance à dramatiser le truc pour vous refourguer des logiciels hors de prix sur lesquels ils touchent une com. Ce que l'auditeur regarde, ce n'est pas le dashboard de l'outil, mais qui a corrigé telle vulnérabilité dans le fichier Excel et à quelle date. Avant de claquer une fortune dans des outils, clarifiez d'abord la documentation de vos process.

Voici le cycle que vous devez mettre en place : 1) Lancez le scan automatique en début de mois. 2) Isolez les vulnérabilités critiques et élevées dans la liste des CVE qui ressortent. 3) Assignez-les sous forme de tickets à l'équipe de dev. 4) Relancez un scan de vérification une fois le patch appliqué. 5) Archivez le rapport et la date de clôture en PDF dans le dossier d'audit.

Vous êtes chez quel fournisseur cloud pour vos serveurs ? Les grands acteurs proposent déjà des services de sécurité intégrés pour scanner les VM et les conteneurs. La plupart du temps, activer ces options natives revient bien moins cher que de payer un outil tiers.

N'oubliez pas les failles dans les dépendances côté code. Scanner uniquement les serveurs ne suffit pas intégrez aussi des outils gratuits d'analyse de dépendances directement dans votre pipeline CI/CD. Les auditeurs adorent voir qu'on gère les vulnérabilités open source, et ça ne coûte quasiment rien à mettre en place.

le plus gros piège c'est de vouloir tout scanner d'un coup. le premier mois t'as 1000 alertes et les devs paniquent. commencez par scanner uniquement les ports ouverts sur l'extérieur puis avancez petit à petit vers l'interne sinon le dev quotidien va être totalement bloqué.

Dans la version ISO 27001:2022, la clause 8.8 traite directement de la gestion des vulnérabilités techniques. Il est impératif que l'organisation formalise sa capacité à évaluer les vulnérabilités et à déclencher les actions correctives adéquates. À ce titre, la rédaction d'une Procédure de Gestion des Vulnérabilités dûment approuvée constitue une exigence clé lors de l'audit.

Je me pose aussi la question.

Chez nous ça s'est passé comme ça... Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Voilà, désolé si je me suis étendu.

Je ne savais pas ça.

J'ai vécu exactement la même chose il y a deux ans. L'erreur commise du côté de outils de gestion des vulnérabilités est généralement réversible, mais coûteuse.

Je le note au cas où.

Comment avez-vous résolu ce point ? La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Si vous avez des questions écrivez-moi, je répondrai au mieux.

C'est exactement ça. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. C'est mon avis, je ne l'écris pas comme une vérité absolue.

Pour entrer dans le détail : Le temps que vous mettez à détecter un problème détermine directement son coût.

L'erreur commise du côté de outils de gestion des vulnérabilités est généralement réversible, mais coûteuse.

Chez nous ça s'est passé comme ça. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Tout va bien les trois premiers mois les problèmes arrivent au quatrième.

Je vais expliquer comment c'est fait en pratique. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Quand on essaie de tout changer en même temps, rien ne prend. À votre place, j'irais par cette voie.

Le point le plus souvent négligé concernant outils de gestion des vulnérabilités est : Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Bon courage.