Ce que le score mesure, et ce qu’il ne mesure pas
Le Security Score évalue la surface d’attaque visible de l’extérieur de vos domaines. Il s’agit de tout ce qu’une personne extérieure peut voir sans identifiants : votre site web, vos serveurs de messagerie, vos enregistrements DNS et la réputation de vos adresses. Il en découle les catégories sécurité réseau, sécurité applicative, DNS, réputation IP, sécurité de la messagerie et fuites de données, chacune avec sa propre valeur de 0 à 100.
C’est délibérément une vue de l’extérieur. Les attaquants commencent par là, et de nombreux incidents remontent à de simples erreurs de configuration : en-têtes de sécurité manquants, authentification de la messagerie insuffisante, logiciel obsolète sur un serveur oublié. Ces constats se corrigent souvent rapidement, dès lors qu’on les connaît.
Ce que le score ne mesure pas est tout aussi important. Il ne voit pas ce qui se trouve derrière l’authentification, comment vos collaborateurs sont formés ni si vos sauvegardes fonctionnent. Il ne remplace ni un test d’intrusion ni un système de management. Une bonne note signifie une vue de l’extérieur propre, pas une entreprise sûre. C’est pourquoi, dans Sightadel, le score figure à côté de l’avancement de la conformité par framework, et non à sa place.
Comment traiter les problèmes
Commencez par les problèmes qui ont le plus d’effet. La liste peut être filtrée par gravité, et chaque problème indique son impact sur le score. Les constats critiques et élevés passent en premier, puis les moyens. Les signalements faibles et informatifs, vous les traitez quand vous en avez le temps, ou vous décidez sciemment de les ignorer.
Ouvrez chaque problème dans la vue détaillée. Vous y trouvez la description, les détails de détection, les actifs concernés et une proposition de correction. Vérifiez d’abord si l’actif concerné vous appartient encore et s’il est encore utile. Parfois, la meilleure correction consiste à désactiver un ancien service.
Passez le statut à « En cours » dès que quelqu’un s’en occupe. Pour les changements plus importants, créez un plan d’action avec un responsable et une échéance, et liez-le au contrôle correspondant. Une fois le problème corrigé, marquez-le comme tel. Une nouvelle analyse confirme la correction avant que le problème soit clôturé.
Si un constat est voulu dans votre cas, passez-le à « Ignoré » et justifiez la décision. Le score reste ainsi honnête et la décision traçable.
Bien communiquer le score
Une valeur de 0 à 100 et une note de A à F sont plus faciles à comprendre pour la direction qu’une liste de noms d’en-têtes. Tirez-en parti, mais expliquez la valeur. Plus important que le chiffre lui-même est son évolution. L’historique sur 7, 30, 60 et 90 jours ou sur un an montre si la situation s’améliore.
Présentez le score avec les catégories. Une bonne valeur globale peut masquer une sécurité de la messagerie solide et une sécurité applicative faible. Les catégories montrent où se situe le problème et qui en est responsable : développement web, exploitation de la messagerie ou réseau.
Ne faites pas du score un objectif en soi. Qui ne regarde que le chiffre est tenté d’ignorer les constats gênants. Un objectif comme celui-ci est plus pertinent : les problèmes critiques et élevés ne restent pas ouverts au-delà d’un délai que vous fixez dans votre politique.
Vers l’extérieur, vous montrez votre niveau via le Trust Center. Le sceau Sightadel qui y figure renvoie à votre scorecard. Vos clients voient ainsi que vos informations proviennent d’un système tenu à jour.
Ce que les auditeurs en retirent
En matière de gestion des vulnérabilités, un auditeur ne vérifie pas que vous n’avez aucune vulnérabilité. Personne n’en est exempt. Il vérifie que vous disposez d’un processus pour les détecter, les évaluer et les traiter, et que ce processus est réellement appliqué.
Le Security Score fournit des preuves à cet effet. La liste des problèmes indique quand un constat a été détecté pour la première et la dernière fois, quel est son statut et quel est son impact sur le score. Un plan d’action lié au contrôle montre comment le constat technique est devenu une mesure pilotée. L’historique du score montre l’effet dans le temps.
Veillez à la cohérence avec vos documents. Si votre politique prévoit que les vulnérabilités critiques sont corrigées dans un délai donné, l’auditeur voudra en voir des exemples. Les constats ignorés sans justification se remarquent également.
Ici aussi, la délimitation est importante. La vue de l’extérieur ne couvre qu’une partie de la gestion des vulnérabilités. Les systèmes internes, les postes de travail et les applications derrière l’authentification nécessitent leurs propres contrôles. Vous en déposez les résultats comme preuves dans la bibliothèque.
