Points clés à retenir
- La multiplication rapide des vulnérabilités et les techniques de détection basées sur l’IA réduisent le délai entre la divulgation d’une vulnérabilité et son exploitation active.
- Des cycles de correctifs réguliers et rigoureux contribuent à réduire l’exposition globale et à se préparer aux nouvelles vulnérabilités (CVE).
- La restauration est essentielle à la résilience, mais elle doit s’accompagner d’une application rapide des correctifs afin de corriger les vulnérabilités.
- Les organisations devraient recourir à l’IA pour accélérer la détection et la correction des vulnérabilités, plutôt que de laisser les problèmes s’accumuler dans les listes de tâches en attente.
- Les fournisseurs qui jouent un rôle essentiel communiquent rapidement et en toute transparence les informations relatives aux vulnérabilités et fournissent à leurs clients des consignes claires pour y remédier.
L’année dernière, les rapports du secteur estimaient le volume annuel de CVE à plusieurs dizaines de milliers ; le NIST a par la suite fait état d’une croissance record du nombre de CVE et d’une augmentation de 263 % des signalements entre 2020 et 2025.
Je constate en temps réel les répercussions que cela a sur une équipe de sécurité, car je participe aux conférences téléphoniques lorsque cela se produit. Les questions habituelles – quelle est l’ampleur de notre vulnérabilité et en combien de temps pouvons-nous y remédier ? – laissaient autrefois une certaine marge de manœuvre. Aujourd’hui, elles surgissent plus vite que la plupart des équipes ne peuvent mobiliser les ressources nécessaires pour y répondre. La plupart des organisations disposent de procédures de gestion des vulnérabilités. Rares sont celles qui ont mis en place des procédures adaptées à une telle rapidité. Pendant des années, le secteur a organisé sa réponse autour de vulnérabilités individuelles. Un CVE était publié, les scores de gravité suivaient, l’enrichissement des données rattrapait son retard, et les équipes procédaient au triage avec une certaine marge de manœuvre. Ce rythme supposait un tempo de découverte humain, mais cette hypothèse ne tient plus. Ce volume dépasse déjà les capacités de l’infrastructure mise en place pour le suivre. Le NIST a indiqué que la Base de données nationale sur les vulnérabilités (National Vulnerability Database) adoptait désormais un modèle d’enrichissement basé sur les risques, car le nombre de soumissions de CVE a augmenté plus rapidement que le programme ne peut les traiter dans leur intégralité.
L’IA risque d’aggraver la pression en aidant les cybercriminels à exploiter les vulnérabilités, et en permettant aux défenseurs de les identifier et de les valider plus rapidement que ne le permettent les processus de référencement traditionnels. Le délai entre la découverte d’une vulnérabilité et son exploitation se réduit, et un code d’exploitation fonctionnel peut apparaître avant même qu’un correctif ne soit déployé à grande échelle. Cela bouleverse l’ancien modèle. La gestion structurée des vulnérabilités reste importante, mais de nombreux programmes sont conçus pour une époque où les choses allaient plus lentement : collecter les informations, classer les risques, désigner les responsables, puis mettre en œuvre les mesures correctives. Lorsque la détection s’accélère à ce point, même les équipes les plus rigoureuses prennent du retard, car le modèle opérationnel n’est pas en mesure d’absorber ce volume assez rapidement. Par conséquent, l’organisation du travail doit évoluer. Ce qui importe désormais, ce n’est plus de savoir si vous avez corrigé une faille spécifique, mais si votre organisation est capable d’appliquer les correctifs, de les vérifier et de se remettre en état de marche à la vitesse qu’exige désormais l’environnement de menaces.
Appliquer les correctifs à un rythme régulier
Commencez par la cadence. Les opérations les plus résilientes que j’observe ont cessé de considérer les correctifs comme une interruption et ont commencé à les traiter comme une maintenance de routine : planifiés chaque semaine, attribués à des responsables clairement identifiés et évalués comme n’importe quel autre engagement opérationnel. Un rythme prévisible permet de réduire la période d’exposition à l’échelle de l’infrastructure et d’éliminer la « prime de panique » liée à chaque divulgation. Lorsque les correctifs sont appliqués chaque semaine, les organisations sont préparées à faire face aux vulnérabilités (CVE).
Cette cadence ne signifie toutefois pas que tout doit être traité de la même manière. Une vulnérabilité faisant l’objet d’une exploitation active, du type de celles figurant dans le catalogue des vulnérabilités exploitées de la CISA, continue de faire l’objet d’une réponse immédiate et hors cycle. Le calendrier hebdomadaire permet de gérer ce flux de manière systématique, de sorte que les véritables urgences bénéficient de l’attention qu’elles méritent, sans être noyées dans le bruit de fond.
Combler la vulnérabilité, pas seulement le fossé
C’est là que Recovery ne suffit pas à elle seule. Si une vulnérabilité met un actif en danger, restaurer cet actif sans corriger la vulnérabilité revient simplement à remettre les compteurs à zéro. La vulnérabilité est toujours là, attendant la prochaine tentative. Recovery est important, mais elle ne remplace pas la correction de la brèche qui a permis à l’acteur malveillant de s’introduire.
Cela signifie que le véritable travail doit être effectué plus tôt, au moment où les vulnérabilités sont détectées et corrigées. L’IA change la donne à ces deux niveaux. Les mêmes modèles qui aident un acteur malveillant à repérer une exploitation peuvent aider un fournisseur à la détecter en premier. Le service d’ingénierie de Commvault utilise l’IA pour analyser notre propre base de code afin de détecter les vulnérabilités avant leur mise en production, et nous recourons à l’IA pour aider à résoudre les problèmes identifiés plutôt que de les reléguer dans un backlog. Une vulnérabilité qui reste en attente pendant des semaines parce qu’une équipe manque de ressources reste une vulnérabilité. La rapidité de détection ne sert à rien sans rapidité de résolution.
Exigez davantage de vos fournisseurs
Lorsque le délai entre la découverte d’une faille et son exploitation ne se mesure qu’en heures, les clients ne peuvent pas se permettre d’apprendre l’existence d’une vulnérabilité dans le produit de leur fournisseur par l’intermédiaire d’un tiers. Ils doivent en être informés par le fournisseur lui-même, dès que possible, dans un langage clair, avec une réponse directe aux questions « Suis-je concerné ? » et « Que dois-je faire en premier lieu ? » » Demandez à chaque fournisseur stratégique dans quels délais il divulgue les informations, comment il informe les clients concernés, quelles preuves il fournit pour la correction, et comment les clients peuvent vérifier que la faille a bien été corrigée. La transparence en matière de vulnérabilités fait partie intégrante de la résilience.
L’ère de l’IA de pointe ne sera pas remportée par celui qui présentera le moins de vulnérabilités. Toute entreprise de logiciels sérieuse en divulguera davantage. L’avantage ira à celui qui considère l’application des correctifs comme une discipline permanente et Recovery comme la discipline qui permet de survivre à une fenêtre manquée.
FAQ
Q : Pourquoi le délai entre la découverte d’une vulnérabilité et son exploitation se raccourcit-il ? R :
L’IA accentue probablement la pression en aidant les acteurs malveillants à exploiter les vulnérabilités, et en permettant aux défenseurs d’identifier et de valider ces vulnérabilités plus rapidement que ne le permettent les processus de catalogage traditionnels. Par conséquent, le code d’exploitation peut devenir disponible avant que de nombreuses organisations n’aient eu le temps de déployer des correctifs.
Q : Pourquoi les cycles hebdomadaires de correctifs prennent-ils de plus en plus d’importance ?
R :
Un calendrier hebdomadaire régulier de correctifs contribue à réduire l’exposition de l’entreprise aux vulnérabilités connues. Il permet également aux équipes de sécurité de se concentrer en priorité sur les menaces activement exploitées et de se préparer à de nouveaux CVE. Q : Recovery suffit-il à se protéger contre les cyberattaques ?
R :
Non. Recovery aide les organisations à rétablir leurs opérations après un incident, mais restaurer les systèmes sans remédier à la vulnérabilité sous-jacente les laisse exposées à de futures attaques. Une résilience efficace nécessite à la fois une correction rapide et une Recovery fiable. Q : Comment l’IA peut-elle contribuer à améliorer la gestion des vulnérabilités ?
R :
L’IA permet d’identifier plus tôt les vulnérabilités, de hiérarchiser les mesures correctives et d’accélérer le processus de résolution. Cela aide les équipes de sécurité et d’ingénierie à réagir plus rapidement, plutôt que de laisser les vulnérabilités s’accumuler dans de longues listes de tâches en attente.
Q : Quelles questions les entreprises devraient-elles poser à leurs éditeurs de logiciels concernant la gestion des vulnérabilités ?
R :
Les entreprises devraient demander dans quels délais les éditeurs divulguent les vulnérabilités, comment les clients concernés sont informés, quelles recommandations de correction sont fournies et comment les clients peuvent vérifier que le problème a été entièrement résolu. Une communication transparente est un élément essentiel de la cyber-résilience.
Rajiv Kottomtharayil est directeur des produits chez Commvault.