Le Verizon Data Breach Investigations Report (DBIR) 2026 place l'exploitation de vulnérabilités en tête des vecteurs d'accès initial. Elle est à l'origine de 31 % des compromissions analysées, devant le vol d'identifiants. Dans le même temps, le délai médian de correction d'une vulnérabilité connue comme étant exploitée est passé de 32 à 43 jours en un an.
Les attaquants exploitent désormais certaines vulnérabilités plus rapidement que les organisations ne parviennent à les corriger. Face à des milliers de vulnérabilités détectées, à l'accumulation des écarts de sécurité et à l'augmentation des signaux produits par les outils de détection, il est impossible de tout traiter immédiatement.
L'intelligence artificielle peut renforcer ce phénomène. Elle aide les équipes de sécurité à identifier, enrichir et corréler davantage d'alertes et de faiblesses potentielles. Mais, sans processus de qualification et de priorisation adapté, elle peut aussi accroître le volume d'actions à analyser et donc la pression sur les équipes opérationnelles.
La remédiation en cybersécurité repose avant tout sur la capacité à hiérarchiser les risques, à les traiter dans le bon ordre et à suivre l'avancement des plans d'action.
Cet article présente une méthode opérationnelle, conçue pour réduire le temps consacré aux arbitrages, concentrer les efforts sur les risques les plus significatifs et rendre les progrès de remédiation visibles auprès des équipes de direction.
La remédiation en cybersécurité : de quoi parle-t-on ?
Définition et périmètre
La remédiation cybersécurité désigne l'ensemble des actions engagées pour corriger les vulnérabilités et les écarts de sécurité identifiés au sein d'une organisation. Elle intervient après les phases de détection et d'évaluation : analyses de vulnérabilités, audits, tests d'intrusion, notation cyber ou surveillance de la surface d'attaque externe.
Son périmètre couvre deux grandes catégories de sujets :
-
La correction des vulnérabilités techniques : application de correctifs, reconfiguration d'un service exposé, retrait d'un actif obsolète ou renforcement de l'authentification.
-
La gestion des écarts de sécurité : non-conformités au regard de la PSSI, de référentiels tels qu'ISO/IEC 27001, NIS2 ou DORA, ou encore d'engagements contractuels. Ces écarts appellent généralement des plans d'action organisationnels.
Pourquoi les entreprises mettent-elles plus de temps à corriger les vulnérabilités ?
L'allongement des délais de remédiation ne traduit pas nécessairement un manque de maturité ou d'engagement des équipes. Il résulte souvent d'une combinaison de contraintes opérationnelles, humaines et financières.
D'abord, le volume de vulnérabilités augmente plus vite que la capacité de traitement des équipes. Les organisations doivent gérer un parc technologique étendu, composé d'applications historiques, de services cloud, d'équipements réseau, de terminaux, de filiales et de fournisseurs. Chaque correction doit être qualifiée, attribuée, testée, planifiée et vérifiée.
Ensuite, les équipes IT et cybersécurité font face à des ressources limitées. Le manque de profils disponibles, la concurrence entre projets de transformation, les contraintes budgétaires et la dépendance à des prestataires ou à des éditeurs ralentissent la mise en œuvre des corrections.
Enfin, appliquer un correctif n'est pas toujours sans risque. Une mise à jour peut provoquer une indisponibilité, générer une incompatibilité applicative ou perturber un processus métier critique. Les équipes doivent donc arbitrer entre le risque cyber associé à une vulnérabilité et le risque opérationnel lié à sa correction.
La réponse n'est pas de corriger tout, immédiatement et indistinctement. Elle consiste à concentrer les ressources disponibles sur les vulnérabilités dont l'exploitation aurait les conséquences les plus importantes pour l'organisation.
Remédier, atténuer ou accepter : trois réponses possibles au risque
Toutes les vulnérabilités ne peuvent pas, ni ne doivent, être corrigées immédiatement. Certaines corrections nécessitent un arrêt de production, une validation de l'éditeur, un projet de remplacement ou des tests approfondis sur des environnements critiques. Dans ces cas, l'organisation doit choisir une réponse au risque proportionnée et documentée.
Les équipes de sécurité disposent généralement de trois options :
-
La remédiation : le risque est supprimé à la source, par exemple par l'application d'un correctif, la reconfiguration d'un service ou le retrait d'un actif.
Exemple : Microsoft publie un correctif de sécurité pour une vulnérabilité zero-day activement exploitée dans Windows ou Exchange. L'organisation applique le correctif après validation accélérée et vérifie que les systèmes concernés sont bien à jour. -
L'atténuation : des mesures compensatoires réduisent la probabilité ou l'impact d'une exploitation, dans l'attente d'une correction définitive.
Exemple : un correctif ne peut pas être appliqué immédiatement sur un serveur VPN critique. L'organisation limite alors l'accès aux seules adresses IP autorisées, renforce l'authentification multifacteur, désactive les fonctions vulnérables et met en place une surveillance renforcée. -
L'acceptation : le risque résiduel est documenté, validé par le propriétaire du risque et assorti d'une date de réexamen.
Exemple : une application interne ancienne présente une vulnérabilité de gravité modérée, mais elle est isolée du réseau, utilisée par un nombre limité de collaborateurs et doit être remplacée dans les prochains mois. L'organisation peut accepter temporairement le risque, à condition de formaliser les mesures de protection et la date de retrait prévue.
Dans tous les cas, la décision doit être tracée. Un risque résiduel non documenté constitue un angle mort dans la gouvernance cybersécurité.
Pourquoi la priorisation des risques cyber est devenue indispensable
Le volume de vulnérabilités publiées progresse continuellement, mais toutes ne présentent pas le même niveau de risque. Selon les travaux du Cyentia Institute et du FIRST, environ 6 % des CVE publiées font l'objet d'une exploitation observée dans la nature.
Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA recense les vulnérabilités dont l'exploitation est avérée. Il constitue ainsi une source utile pour hiérarchiser les actions de correction.
L'enjeu n'est donc pas de tout corriger indistinctement, mais de traiter en priorité les vulnérabilités les plus susceptibles d'être exploitées et les plus critiques pour l'organisation. Or, les résultats du DBIR 2026 montrent que les organisations rencontrent des difficultés croissantes à réduire leur exposition :
-
seules 26 % des vulnérabilités du catalogue KEV ont été entièrement corrigées, contre 38 % l'année précédente ;
-
une organisation médiane a dû traiter 16 vulnérabilités KEV sur l'année, contre 11 auparavant, soit une hausse de près de 50 % ;
-
dans les compromissions par ransomware, 29 % des victimes ont été compromises par l'exploitation de vulnérabilités non corrigées affectant des équipements de bordure, tels que des VPN, pare-feu ou passerelles d'accès distant.
Une équipe qui traite les vulnérabilités par ordre d'arrivée ou uniquement selon un score CVSS décroissant risque de consacrer une part importante de ses ressources à des failles qui ne seront jamais exploitées. Dans le même temps, des vulnérabilités plus dangereuses peuvent demeurer ouvertes.
La priorisation des risques cyber constitue donc une condition essentielle d'une remédiation efficace. Elle permet de mobiliser les ressources disponibles là où elles réduisent réellement l'exposition de l'organisation, tout en limitant l'accumulation d'un backlog de vulnérabilités non traitées.
Les vulnérabilités les plus fréquentes sur la surface d'attaque externe relèvent d'ailleurs souvent d'erreurs de configuration ou de défauts de maintenance connus. Leur identification et leur correction rapide constituent un levier concret de réduction du risque.
7 conseils pour prioriser les vulnérabilités à corriger
1. Ne pas utiliser le score CVSS seul
Le score CVSS (Common Vulnerability Scoring System) mesure la gravité théorique d'une vulnérabilité. Il ne mesure ni la probabilité qu'elle soit exploitée ni son impact réel dans le contexte de l'organisation.
Une vulnérabilité notée 9,8 sur un serveur isolé, non exposé sur Internet et ne traitant pas de données sensibles peut être moins urgente qu'une vulnérabilité notée 7,5 affectant une passerelle VPN exposée. Fonder la priorisation sur le seul score CVSS revient à évaluer la gravité sans tenir compte du risque réel.
2. Identifier les vulnérabilités activement exploitées
Les vulnérabilités activement exploitées doivent faire l'objet d'un traitement prioritaire, notamment lorsqu'elles concernent des actifs exposés sur Internet ou des systèmes critiques.
Le catalogue KEV (Known Exploited Vulnerabilities) de la CISA recense les vulnérabilités dont l'exploitation est avérée dans la nature. Il constitue une source utile pour orienter les efforts de correction vers les menaces les plus immédiates.
Selon les travaux du Cyentia Institute et du FIRST, environ 6 % des CVE publiées font l'objet d'une exploitation observée dans la nature. Le volume de vulnérabilités publiées progresse continuellement, mais toutes ne présentent donc pas le même niveau de risque.
3. Évaluer la probabilité d'exploitation
Le score EPSS (Exploit Prediction Scoring System) estime la probabilité qu'une vulnérabilité soit exploitée dans les 30 jours. Il complète utilement le CVSS en apportant une vision plus orientée vers la menace.
Une vulnérabilité présentant un score CVSS élevé, un EPSS important et une présence dans le catalogue KEV doit généralement être traitée avant une vulnérabilité techniquement sévère, mais sans signe d'exploitation ni exposition particulière.
4. Intégrer le contexte métier et l'exposition réelle
Une priorisation robuste repose sur le croisement de trois familles de critères :
-
La gravité technique : le score CVSS demeure utile comme socle commun d'évaluation et de communication entre les équipes.
-
La probabilité d'exploitation : l'EPSS aide à estimer la probabilité d'exploitation à court terme. La présence dans le catalogue KEV de la CISA signale qu'une exploitation est avérée et doit conduire à un traitement prioritaire.
-
Le contexte métier : exposition de l'actif sur Internet, criticité du service pour l'activité, sensibilité des données traitées, privilèges associés et interconnexions avec des tiers.
Le croisement de ces dimensions permet d'établir un niveau de risque contextualisé, plus représentatif de l'exposition réelle de l'organisation.
Les solutions de notation cyber peuvent contribuer à cette contextualisation en évaluant les actifs exposés, en qualifiant les problèmes détectés selon leur criticité et en aidant les équipes à hiérarchiser les corrections à engager.
5. Définir des niveaux de priorité et des délais cibles
Une matrice à quatre niveaux suffit généralement à structurer les arbitrages et à définir des délais cibles.
| Niveau de priorité | Critères | Délai de correction cible |
|---|---|---|
| P1 - Critique | Vulnérabilité activement exploitée, inscrite au catalogue KEV, sur un actif exposé sur Internet ou critique pour l'activité | 24 à 72 heures |
| P2 - Élevée | Score CVSS élevé, probabilité d'exploitation significative selon l'EPSS, actif exposé ou traitant des données sensibles | 7 à 30 jours |
| P3 - Moyenne | Gravité modérée, actif interne ou exploitation peu probable dans le contexte considéré | 30 à 90 jours |
| P4 - Faible | Impact limité, aucune exploitation connue et actif non critique | Cycle de maintenance standard |
Ces délais sont indicatifs. Ils doivent être adaptés au secteur d'activité, aux obligations réglementaires, aux contraintes opérationnelles et aux mesures compensatoires disponibles.
La CISA impose notamment aux administrations fédérales civiles américaines de corriger, dans des délais définis, les vulnérabilités inscrites au catalogue KEV. Ce type d'approche peut inspirer les organisations qui souhaitent formaliser leurs propres SLA de remédiation.
6. Attribuer chaque action à un responsable et vérifier sa réalisation
Une fois les priorités établies, le plan de remédiation transforme l'analyse en actions concrètes. Pour être pilotable, chaque action doit comporter au minimum :
-
un responsable clairement identifié, qu'il s'agisse d'une équipe interne, d'un éditeur ou d'un prestataire ;
-
une échéance alignée sur le niveau de priorité et, le cas échéant, formalisée dans des SLA internes ;
-
un statut d'avancement : à traiter, en cours, corrigé, atténué ou risque accepté ;
-
une preuve de correction : nouvelle analyse, réévaluation de l'actif, journal de mise à jour ou recette technique.
Deux écueils fréquents appellent une vigilance particulière.
Ne pas limiter le plan aux seuls correctifs techniques. Les écarts organisationnels, tels qu'une PSSI non appliquée, une exigence de DORA ou de NIS2 insuffisamment couverte, ou encore une clause contractuelle non respectée par un fournisseur, doivent suivre le même cycle de vie : identification, hiérarchisation, plan d'action et vérification.
Les plateformes de GRC, pour gouvernance, risque et conformité, permettent notamment de rapprocher les politiques de sécurité des référentiels applicables et de suivre les plans d'action associés.
Documenter le risque résiduel. Lorsqu'une correction est reportée ou qu'une mesure d'atténuation est retenue, l'arbitrage doit être formalisé et validé par le propriétaire du risque. Cette traçabilité est essentielle en cas d'incident, d'audit ou de contrôle réglementaire.
7. Piloter la remédiation avec des indicateurs partagés
Le suivi de la remédiation repose sur un nombre limité d'indicateurs, mesurés dans la durée et partagés au niveau pertinent de l'organisation :
-
Le délai moyen ou médian de correction, souvent désigné par l'acronyme MTTR (Mean Time To Remediate), décliné par niveau de criticité. Il peut être comparé aux 43 jours médians observés dans le DBIR 2026 pour la correction complète de vulnérabilités connues comme exploitées.
-
Le taux de respect des SLA de remédiation : part des vulnérabilités corrigées dans les délais définis.
-
Le taux de couverture : nombre de vulnérabilités corrigées rapporté au nombre de vulnérabilités détectées sur une période donnée.
-
Le vieillissement du backlog : ancienneté des vulnérabilités critiques et élevées encore ouvertes.
-
Le taux de récurrence : réapparition d'une vulnérabilité déjà corrigée, pouvant révéler un traitement incomplet ou une dérive de configuration.
-
L'évolution du score de risque global, par exemple au travers d'une notation cyber continue, afin d'objectiver la progression auprès du COMEX.
La cadence de correction constitue un indicateur révélateur de la maturité d'une organisation. Security Rating® évalue notamment la maturité corrective en analysant, depuis Internet, la rapidité de correction des vulnérabilités selon leur criticité.
Ces indicateurs prennent tout leur sens dans un tableau de bord partagé, revu selon une fréquence adaptée : chaque semaine pour les équipes opérationnelles, chaque mois ou chaque trimestre pour la direction. La gouvernance est aussi importante que l'outillage : sans revue régulière des plans d'action, le backlog augmente et les échéances sont reportées.
Étendre la remédiation à vos fournisseurs : le prolongement naturel du TPRM
La surface de risque d'une organisation ne s'arrête pas à son système d'information interne. Selon l'Observatoire TPRM 2025 publié par Board of Cyber et le CESIN, 82 % des organisations interrogées considèrent le risque cyber lié aux fournisseurs comme important ou très important.
Une vulnérabilité critique non corrigée chez un prestataire connecté au système d'information peut affecter l'ensemble de la chaîne de valeur. La logique de remédiation doit donc s'étendre aux tiers :
-
détecter les vulnérabilités visibles chez les fournisseurs critiques, au moyen d'une évaluation non intrusive de leur surface d'attaque externe ;
-
partager les constats et demander un plan de remédiation formalisé, assorti de jalons et d'échéances ;
-
suivre la progression dans le temps, notamment au travers de l'évolution de la note cyber du tiers, plutôt que de s'en remettre exclusivement à un questionnaire déclaratif annuel.
Cette démarche transforme l'évaluation fournisseur en boucle d'amélioration continue. Elle constitue l'un des marqueurs d'un programme TPRM mature, comme l'explique notre article consacré aux étapes clés d'un projet de Third-Party Risk Management.
Comment Board of Cyber accompagne la remédiation
Les solutions Board of Cyber contribuent à structurer le cycle de remédiation, de la détection des vulnérabilités au suivi des plans d'action, pour l'organisation comme pour ses tiers.
Security Rating® : détecter, hiérarchiser et mesurer les progrès
Security Rating® fournit une évaluation continue et non intrusive des actifs exposés d'une organisation, de ses filiales ou de ses fournisseurs. Les problèmes détectés sont qualifiés selon leur niveau de criticité et accompagnés de recommandations de remédiation exploitables par les équipes opérationnelles.
Le score global, compris entre 0 et 1 000 et actualisé quotidiennement, permet de suivre l'évolution de la posture cyber externe et de mesurer les effets des actions engagées. Il fournit également un indicateur synthétique pour les reportings auprès du COMEX et le suivi des tiers critiques.
Trust HQ® : piloter les plans d'action et les écarts de sécurité
Trust HQ® centralise les plans de remédiation, les responsables d'action, les échéances, les statuts et les preuves de correction. La plateforme aide les organisations à rapprocher leur PSSI de différents référentiels, tels que DORA, NIS2 ou ISO/IEC 27001, afin d'identifier les écarts et de piloter les plans d'action associés.
Pour les fournisseurs, Trust HQ® facilite l'organisation des campagnes d'évaluation, la collecte de preuves et le suivi des remédiations demandées. Cette approche peut compléter les informations issues de Security Rating® dans le cadre d'un programme de gestion des risques cyber fournisseurs.
Pour découvrir les fonctionnalités de remédiation proposées par les solutions Board of Cyber, vous pouvez demander une démonstration.
Conclusion
Face à un volume de vulnérabilités difficile à traiter intégralement, la performance d'une organisation ne se mesure pas à sa capacité à tout corriger, mais à sa capacité à traiter rapidement les risques les plus importants.
Les délais de remédiation s'allongent sous l'effet combiné de l'augmentation du volume de vulnérabilités, de la complexité des environnements IT, des contraintes budgétaires et du manque de ressources spécialisées. Dans ce contexte, une priorisation fondée sur le risque réel devient indispensable.
Cette démarche suppose de prendre en compte la gravité technique, la probabilité d'exploitation et le contexte métier. Elle nécessite également des plans de remédiation formalisés, des responsables identifiés, des échéances précises et un suivi reposant sur des indicateurs partagés.
La remédiation cybersécurité ne se limite pas à une succession de tâches techniques. Elle constitue un processus de gouvernance qui relie détection, hiérarchisation, action et mesure. En l'appliquant à leur propre système d'information comme à leur écosystème de fournisseurs, les organisations peuvent réduire leur exposition et renforcer la confiance de leurs clients, assureurs et régulateurs.
FAQ
Qu'est-ce que la remédiation en cybersécurité ?
La remédiation cybersécurité regroupe l'ensemble des actions visant à corriger les vulnérabilités techniques et les écarts de sécurité identifiés. Elle peut comprendre l'application de correctifs, la reconfiguration de services, le retrait d'actifs obsolètes ou la mise en œuvre de mesures organisationnelles.
Elle s'inscrit dans un cycle continu : détection, hiérarchisation, plan d'action, vérification de la correction et suivi du risque résiduel.
Comment prioriser les vulnérabilités à corriger ?
La priorisation doit croiser trois dimensions : la gravité technique, notamment le score CVSS, la probabilité d'exploitation, notamment l'EPSS et la présence au catalogue KEV de la CISA, ainsi que le contexte métier.
L'exposition de l'actif, la criticité du service, les privilèges associés et la sensibilité des données sont déterminants pour évaluer le risque réel.
Pourquoi les entreprises mettent-elles plus de temps à corriger les vulnérabilités ?
Les entreprises doivent gérer un volume croissant de vulnérabilités sur des environnements techniques de plus en plus complexes. Elles font aussi face à des ressources humaines limitées, à des contraintes budgétaires, à des dépendances vis-à-vis des éditeurs ou prestataires et au risque opérationnel associé à certaines mises à jour.
Une priorisation fondée sur le risque permet de concentrer les efforts sur les vulnérabilités les plus susceptibles d'être exploitées et les plus critiques pour l'activité.
Quels indicateurs permettent de suivre un plan de remédiation cybersécurité ?
Les principaux indicateurs sont le délai moyen ou médian de correction par niveau de criticité, le taux de respect des SLA, le taux de couverture des vulnérabilités corrigées, le vieillissement du backlog, le taux de récurrence et l'évolution du niveau de risque global.
Ces indicateurs doivent être suivis dans la durée et adaptés aux différents niveaux de gouvernance.
Quel délai prévoir pour corriger une vulnérabilité critique ?
Une vulnérabilité activement exploitée et affectant un actif exposé doit être corrigée ou, à défaut, atténuée dans un délai de 24 à 72 heures.
Ce délai doit toutefois être adapté à la criticité des systèmes, à la faisabilité technique de la correction et aux mesures compensatoires disponibles. Les délais cibles doivent être formalisés dans des SLA internes.
