Audit fournisseur : on nous demande une politique de gestion des vulnérabilités, par quoi commencer ?

Les auditeurs de grands comptes épluchent des centaines de dossiers, ils repèrent un copier-coller dès le premier paragraphe. N'écrivez rien que vous ne puissiez tenir. Si vous mettez « pentest externe tous les mois », ils vont réclamer factures et rapports ; sur un contrat à 45.000 EUR, personne n'a le budget pour un pentest mensuel. Décrivez simplement ce que vous faites pour de vrai.

Ne vous tirez pas une balle dans le pied sur les délais de correction. Les petites équipes qui promettent « patch sous 24h » pour les failles critiques mettent leur contrat en péril dès la première alerte. Mettez 7 jours pour le critique, 30 jours pour le niveau élevé, 90 jours pour le moyen. Distinguez bien le hotfix d'urgence des fenêtres de maintenance habituelles.

Référencez explicitement le score CVSS dans votre document. Fixez des seuils clairs, du genre « tout score CVSS v3 supérieur ou égal à 9.0 est classé critique ». Séparez aussi deux catégories : les dépendances logicielles (packages open source) et les correctifs d'infrastructure/OS. Les deux ne se traitent pas de la même façon.

Poser un modèle vite fait donne un répit temporaire, mais avec un grand compte français, la demande de preuves techniques tombe dès la validation du dossier. Si vous n'avez pas de scanner en place, pas d'historique de versions ni de tickets de résolution, produire un doc creux vous expose à de vrais risques juridiques par la suite.

on est passés par un audit pareil en partant d'un template mais on a collé dedans les vrais exports de nos scanners gratuits. l'auditeur a direct demandé le dernier rapport d'analyse on lui a sorti et c'est passé crème. le doc seul suffit pas faut avoir les rapports sous la main.

En France, les grands donneurs d'ordres sont soumis à des exigences strictes sur la sécurité de leur chaîne logistique et imposent des contrats très engageants. La politique de sécurité paraphée devient une annexe contractuelle. Il est donc indispensable que les délais de remédiation promis correspondent exactement à votre capacité de traitement opérationnelle.

pas besoin d'en faire une montagne personne ne demande une doc de 50 pages niveau défense à une boîte de 9 personnes et du coup un document propre de 3-4 pages, réaliste, avec un responsable identifié et une adresse de contact, ça suffit largement pour satisfaire la plupart des auditeurs.

une fois le document rédigé, faut-il le faire certifier par un auditeur externe ou le faire tamponner par un notaire ou est-ce que le cachet de la société et la signature du fondateru suffisent ?

Le point le plus souvent négligé concernant gestion des vulnérabilités est : La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

C'est confirmé par l'expérience.

Trois avis différents sont sortis ils se complètent tous. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Voilà désolé si je me suis étendu.

Résumé rapide pour les nouveaux : Si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Je le note au cas où.

Oui, la situation est exactement ainsi concernant gestion des vulnérabilités. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

La discussion part dans tous les sens, je recentre. Lors de la prise de décision écrivez aussi le pire scénario pas seulement le meilleur.

Résumé rapide pour les nouveaux : Quand on décide sans mesurer, on revient toujours au même point.

Voilà désolé si je me suis étendu.

Je n'ai aucune expérience en gestion des vulnérabilités, c'est pourquoi je pose la question. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Résumé rapide pour les nouveaux : Quand on essaie de tout changer en même temps, rien ne prend.

Tous ceux qui se pressent sur gestion des vulnérabilités se heurtent au même obstacle. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je suis dans la même situation, c'est pourquoi je pose la question. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Essayer de faire cela seul est la voie la plus coûteuse. Je le note au cas où.

J'écris cela pour éviter que vous ne fassiez la même erreur. L'erreur commise du côté de gestion des vulnérabilités est généralement réversible, mais coûteuse.

C'est confirmé par l'expérience.