Comment mettre en place une gestion des vulnérabilités en PME : ma méthode en 7 étapes pour diviser par 2 vos urgences

Quand l'IA permet à un éditeur comme Cisco de scanner 1,8 milliard de lignes de code en huit semaines, le volume de failles découvertes — et donc de correctifs à appliquer — explose. Pour une PME française, la question n'est plus « faut-il gérer les vulnérabilités ? » mais « comment le faire sans y noyer son unique administrateur système ? ». Voici la méthode que nous déployons chez nos clients, étape par étape, pensée pour une équipe IT réduite.

— Étape 1 : construire un inventaire des actifs à jour

On ne protège que ce que l'on connaît. La première cause d'échec d'un programme de gestion des vulnérabilités, ce n'est pas le manque d'outils, c'est l'absence d'inventaire fiable. Recensez l'ensemble de vos actifs : serveurs (physiques et virtuels), postes de travail, équipements réseau (pare-feu, switches, VPN), applications métier, conteneurs, et services cloud. Pour chacun, notez la version, le responsable et surtout l'exposition Internet.

Un actif exposé sur Internet avec une faille exploitée n'a pas le même niveau d'urgence qu'un serveur interne isolé. Sans cette information de contexte, toute priorisation est faussée. Si vous partez de zéro, notre guide dédié à la réalisation d'un inventaire des actifs numériques détaille la démarche.

— Étape 2 : déployer un scan de vulnérabilités continu

Un scan annuel ne sert à rien quand des failles critiques apparaissent chaque semaine. Mettez en place un scanner de vulnérabilités planifié (hebdomadaire au minimum, idéalement quotidien sur la surface exposée). Privilégiez les scans authentifiés : un scanner qui se connecte aux machines voit infiniment plus de failles qu'un scan externe non authentifié.

Couvrez à la fois l'interne (réseau local, serveurs) et l'externe (votre surface d'attaque exposée). Pour les organisations qui veulent passer à l'échelle, l'IA aide désormais à trier le bruit : nous détaillons cette approche dans notre guide sur le déploiement d'un scanner de vulnérabilités assisté par IA.

— Étape 3 : prioriser avec CVSS, EPSS et CISA KEV

C'est l'étape qui fait toute la différence. Traiter toutes les failles « critiques » au sens CVSS est impossible pour une PME : la priorisation par CVSS seul ne cible qu'une infime fraction des CVE réellement exploitées. La bonne pratique 2026 consiste à croiser trois signaux complémentaires :

• CVSS : la sévérité technique intrinsèque de la faille (de 0 à 10).
• EPSS (Exploit Prediction Scoring System) : la probabilité qu'une faille soit exploitée dans les 30 jours.
• CISA KEV (Known Exploited Vulnerabilities) : le catalogue des failles dont l'exploitation active est confirmée.

La règle d'or : filtrez d'abord par les actifs réellement présents dans votre parc (étape 1), puis traitez en priorité absolue tout ce qui est dans la KEV ou affiche un EPSS élevé. Une faille CVSS 9.8 sans exploit connu et sur un service interne isolé peut attendre ; une faille CVSS 7.5 dans la KEV sur un actif exposé est une urgence.

— Étape 4 : définir des SLA de remédiation écrits

Une vulnérabilité sans délai de traitement reste ouverte indéfiniment. Formalisez par écrit des SLA (engagements de délai) par niveau de criticité. Voici les repères que nous recommandons à nos clients PME :

Ces engagements ne sont pas qu'une bonne pratique : ils constituent la colonne vertébrale d'une posture de gestion des risques documentée, exactement ce que la directive NIS2 attend des entités concernées. Pour savoir si vous êtes dans le périmètre, consultez notre page audit de périmètre NIS2.

— Étape 5 : remédier et appliquer des mesures compensatoires

La remédiation, c'est d'abord du patch — mais pas seulement. Avant de déployer un correctif en production, testez-le sur un environnement de pré-production pour éviter qu'un patch ne casse une application métier. Pour les actifs critiques, planifiez une fenêtre de maintenance et prévoyez un plan de rollback.

Surtout, n'oubliez pas la fenêtre découverte-patch : entre le moment où une faille est connue et celui où votre parc est corrigé, il peut s'écouler des jours. Pendant ce délai, des mesures compensatoires réduisent le risque : virtual patching via WAF ou IPS, segmentation réseau, désactivation temporaire d'un service exposé, durcissement de la configuration. C'est exactement la logique du produit Live Protect que Cisco a annoncé, transposable à toute organisation.

— Étape 6 : vérifier et mesurer (MTTR)

Un correctif non vérifié n'est pas un correctif. Après chaque remédiation, re-scannez l'actif pour confirmer que la faille a bien disparu. Cette boucle de vérification évite les « faux corrigés » — ces cas où l'on croit avoir patché alors qu'un service n'a pas redémarré ou qu'une version intermédiaire reste vulnérable.

Pilotez ensuite votre programme avec des indicateurs simples. Le plus parlant est le MTTR (Mean Time To Remediate) : le délai moyen entre la détection et la correction. Suivez aussi le taux de SLA tenus et le nombre de vulnérabilités critiques ouvertes. Sur nos missions, l'industrialisation du processus réduit typiquement le MTTR de l'ordre de 40 % en quelques mois — un gain directement visible sur l'exposition au risque.

— Étape 7 : automatiser et documenter pour NIS2

Avec le volume de CVE qui grimpe vers 70 000 par an, l'automatisation n'est plus un luxe. Automatisez la collecte des bulletins (CERT-FR, NVD, avis éditeurs, flux EPSS et KEV), la création de tickets de remédiation et le reporting. L'objectif : que votre administrateur passe son temps à corriger, pas à compiler des rapports.

Enfin, documentez tout : décisions de priorisation, exceptions acceptées (avec justification et date de revue), preuves de correction. Cette traçabilité est exigée par NIS2 et vous sera précieuse en cas d'audit comme en cas d'incident. Pour aller plus loin sur l'automatisation du suivi des CVE dans la chaîne logicielle, voyez notre guide sur l'audit des dépendances et le scan des CVE.

— Erreurs fréquentes à éviter

1. 1
   Prioriser par CVSS seul

   Vous traitez des failles théoriquement graves mais jamais exploitées, et passez à côté de celles activement utilisées. Croisez toujours avec EPSS et KEV.

2. 2
   Scanner sans inventaire

   Sans contexte d'exposition, impossible de prioriser correctement. L'inventaire passe avant tout.

3. 3
   Des SLA non écrits

   Un délai « dès que possible » n'est pas un SLA. Sans engagement formel et responsable désigné, rien n'avance.

4. 4
   Oublier de vérifier

   Sans re-scan, vous accumulez des « faux corrigés » qui faussent vos indicateurs et votre posture réelle.

Un programme de gestion des vulnérabilités bien mené est l'un des investissements cybersécurité au meilleur rapport coût/efficacité pour une PME. Il s'inscrit dans une démarche plus large d'innovation responsable et de maîtrise technique que portent des acteurs de l'écosystème comme d-open.org et plug-tech.fr, qui aident les organisations à mieux outiller leurs équipes.