Un scan de vulnérabilités d’entreprise typique renvoie des milliers de résultats, bien plus que ce qu’une équipe peut corriger dans un délai raisonnable. Prioriser purement par score de sévérité traite une vulnérabilité critique sur un serveur de test isolé de la même façon qu’une sur un système de production exposé à internet contenant des données clients.
Prioriser par exploitabilité et exposition, pas seulement par score
Une gestion efficace des vulnérabilités combine sévérité et exploitabilité—si une exploitation active se produit dans la nature—et le contexte métier. Une vulnérabilité de sévérité modérée activement exploitée contre des systèmes exposés à internet mérite une action plus rapide qu’un résultat critique sur un système interne isolé.
Les SLA de remédiation devraient refléter explicitement cette priorisation.
JIG aide les équipes de sécurité à construire des programmes de gestion des vulnérabilités basés sur le risque qui corrigent d’abord ce qui compte.