Nous scannons vos systèmes, priorisons les vulnérabilités selon leur exposition et leur exploitabilité réelle, fixons des délais de correction et vérifions que chaque correctif est appliqué.
Toutes les vulnérabilités ne se valent pas : une faille critique sur un serveur isolé pèse moins qu’une faille moyenne sur un service exposé et activement exploitée. Trier par le seul score mène à corriger beaucoup, mais pas ce qui compte.
Nous priorisons donc par exposition et exploitabilité, fixons des délais par niveau, et suivons chaque vulnérabilité jusqu’à sa correction vérifiée, ou jusqu’à une acceptation de risque explicite et datée.
Un cycle régulier, avec des délais de correction connus de tous et des exceptions décidées, pas subies.
Vous obtenezUn inventaire des vulnérabilités
Vous obtenezUne liste courte, par délai de correction
Vous obtenezUn plan de correction et ses exceptions
Vous obtenezDes indicateurs de délai de correction
Les textes ne demandent pas seulement de scanner : ils demandent de prioriser, de corriger dans des délais et de vérifier.
Les entités financières documentent et appliquent des procédures de gestion des vulnérabilités : balayages automatisés à une fréquence proportionnée à la criticité des actifs, priorisation des correctifs, vérification de la remédiation, et délais d’installation des correctifs avec procédure d’escalade.12345
Elles disposent des capacités et du personnel nécessaires pour recueillir les informations sur les vulnérabilités et les cybermenaces, et en analyser l’impact.6
La directive range le traitement des vulnérabilités parmi les mesures que les États membres doivent exiger des entités ; le ReCyF (version de travail) leur fixe l’objectif d’un processus de maintien en condition de sécurité qui applique les correctifs de sécurité.78
La CNIL recommande de déployer les mises à jour de sécurité au plus tôt, sans délai pour les failles critiques publiques, et d’utiliser des outils de détection des vulnérabilités sur les serveurs.910
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous scannons à la fréquence convenue et documentons les vulnérabilités, leur ancienneté et leur correction.
LivrablesNous priorisons les vulnérabilités dans votre contexte et recommandons correctifs et mesures de contournement.
LivrablesNous animons le traitement avec vos équipes et votre infogérant jusqu’à la correction vérifiée, sans effectuer les changements dans votre SI.
LivrablesLes vulnérabilités croisées avec leur exploitation constatée et votre exposition, pour corriger d’abord ce qui est attaqué.
Des délais de correction par niveau de priorité, avec la procédure d’exception, à adapter à votre organisation.
Avec l’option Action Kit, des scripts et procédures de correction que vos équipes relisent et appliquent.
Non. Certaines se corrigent, d’autres se contournent, d’autres encore s’acceptent, explicitement et pour une durée limitée. L’important est que chaque décision soit prise et tracée.
Ils dépendent de la priorité et de vos contraintes de production ; nous proposons une grille au cadrage. Pour une entité financière soumise à DORA, ces délais et la procédure d’escalade en cas de dépassement doivent être fixés dans les procédures de gestion des correctifs.5
Les scans sont configurés et planifiés avec vos équipes, sur le périmètre et les créneaux convenus par écrit ; les systèmes fragiles sont identifiés et traités à part.
L’isoler, en réduire l’exposition, renforcer sa surveillance, et planifier son remplacement ; le risque résiduel est accepté par écrit par qui de droit, avec une date de revue.
Décrivez votre parc et vos outils actuels. Nous revenons vers vous avec une proposition de périmètre et de fréquence.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32024R1774-a10-p1As part of the ICT security policies, procedures, protocols, and tools referred to in Article 9(2) of Regulation (EU) 2022/2554, financial entities shall develop, document, and implement vulnerability management procedures.32024R1774-a10-p2-2ensure the performance of automated vulnerability scanning and assessments on ICT assets, whereby the frequency and scope of those activities shall be commensurate to the classification established in accordance with Article 8(1) of Regulation (EU) 2022/2554 and the overall risk profile of the ICT asset;32024R1774-a10-p2-10prioritise the deployment of patches and other mitigation measures to address the vulnerabilities identified;32024R1774-a10-p2-11monitor and verify the remediation of vulnerabilities;32024R1774-a10-p4-4set deadlines for the installation of software and hardware patches and updates and escalation procedures in case those deadlines cannot be met.32022R2554-a13-p1Financial entities shall have in place capabilities and staff to gather information on vulnerabilities and cyber threats, ICT-related incidents, in particular cyber-attacks, and analyse the impact they are likely to have on their digital operational resilience.32022L2555-a21-p2-5security in network and information systems acquisition, development and maintenance, including vulnerability handling and disclosure;recyf:obj-5Les entités [importantes ou essentielles] disposent d’au moins une cartographie de leurs systèmes d’information suffisamment détaillée pour faciliter :
1° Le maintien en condition opérationnelle et de sécurité de leurs systèmes d’information ; et
2° L’amélioration de la réactivité de ces entités en cas d’incident de sécurité affectant leurs systèmes d’information.
Ces entités définissent et mettent en œuvre un processus de maintien en condition opérationnelle et de sécurité de leurs systèmes d’information visant à appliquer les correctifs de sécurité liés à des vulnérabilités affectant ces systèmes et ainsi à limiter l’exposition des entités aux risques numériques résultant de ces vulnérabilités.F06-PE-04Déployer les mises à jour de sécurité au plus tôt, le cas échéant après les avoir testées. Les mises à jour venant corriger des failles critiques publiques doivent d’autant plus être installées sans délais.F09-MC-05S’agissant des logiciels s’exécutant sur des serveurs, il est conseillé d’utiliser des outils de détection des vulnérabilités (logiciels de scans de vulnérabilités tels que nmap, nessus ou nikto) ou audits pour les traitements les plus critiques afin de détecter d’éventuelles failles de sécurité. Des systèmes de détection et prévention des attaques sur des systèmes ou serveurs critiques peuvent aussi être utilisés.