Points cl\u00e9s<\/p>\n
- \n
- Le CVSS fournit une base technique. <\/strong> Le score de base refl\u00e8te la gravit\u00e9 intrins\u00e8que, mais sans contexte op\u00e9rationnel, la situation des actifs et la disponibilit\u00e9 d\u2019exploits, il ne convient pas comme unique crit\u00e8re de gestion des files d\u2019attente.<\/li>\n
- Trois axes de priorisation pour la file d\u2019attente. <\/strong> L\u2019exposition, la proximit\u00e9 d\u2019un exploit et la criticit\u00e9 des actifs peuvent \u00eatre int\u00e9gr\u00e9s dans les champs des tickets et les r\u00e8gles SLA (Service Level Agreement) pour d\u00e9terminer l\u2019ordre de traitement avant le score brut.<\/li>\n
- Le contexte des actifs d\u00e9termine les d\u00e9lais. <\/strong> Les actifs expos\u00e9s \u00e0 Internet, les privil\u00e8ges associ\u00e9s et la classe de donn\u00e9es doivent \u00eatre document\u00e9s dans la CMDB (Configuration Management Database) et dans les tickets ; l\u2019exemple du CVE-2024-0012 sur PAN-OS illustre comment la segmentation r\u00e9duit la priorit\u00e9 imm\u00e9diate.<\/li>\n
- Une vision des risques plut\u00f4t qu\u2019un engorgement des tickets dans les rapports. <\/strong> Les chemins de correction et de compensation n\u00e9cessitent une date cible, une validation et une exposition r\u00e9siduelle ; les rapports du RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d\u2019Information) s\u2019appuient sur des classes d\u2019exposition et des actifs critiques.<\/li>\n<\/ul>\n<\/div>\n
Articles associ\u00e9s :<\/strong> CTEM : pourquoi le Continuous Threat Exposure Management remplace le scan de vuln\u00e9rabilit\u00e9s<\/a> \u00b7 Priorisation des correctifs : pourquoi le CVSS seul freine votre SOC<\/a><\/p>\n
Ce que mesure le CVSS et ce qu’il exclut d\u00e9lib\u00e9r\u00e9ment<\/h2>\n
Le CVSS (Common Vulnerability Scoring System) \u00e9value la gravit\u00e9 technique d’une vuln\u00e9rabilit\u00e9. Ses m\u00e9triques prennent notamment en compte le vecteur d’attaque, la complexit\u00e9, les privil\u00e8ges n\u00e9cessaires, l’interaction utilisateur ainsi que les impacts sur la confidentialit\u00e9, l’int\u00e9grit\u00e9 et la disponibilit\u00e9. Selon la sp\u00e9cification CVSS v4.0 de FIRST (Forum of Incident Response and Security Teams), le cadre se structure en quatre groupes de m\u00e9triques : Base, Menace (Threat), Environnement (Environmental) et Compl\u00e9mentaire (Supplemental). Le score de base refl\u00e8te les caract\u00e9ristiques intrins\u00e8ques d’une vuln\u00e9rabilit\u00e9, stables dans le temps et ind\u00e9pendantes du contexte d’utilisation. Les m\u00e9triques Menace et Environnement ajustent l’\u00e9valuation en fonction de l’exploitation actuelle et du contexte op\u00e9rationnel sp\u00e9cifique. Il en r\u00e9sulte une base comparable pour classer techniquement les vuln\u00e9rabilit\u00e9s \u00e0 travers diff\u00e9rents produits et environnements.<\/p>\n
Ce que le score de base exclut d\u00e9lib\u00e9r\u00e9ment, c’est le contexte op\u00e9rationnel. Il ne conna\u00eet ni l’actif concret dans le r\u00e9seau, ni la classe de donn\u00e9es concern\u00e9e, ni si la composante vuln\u00e9rable est accessible depuis Internet. L’exploitation active, la maturit\u00e9 des exploits et les compensations sp\u00e9cifiques \u00e0 l’entreprise ne sont pas non plus int\u00e9gr\u00e9es au score de base. La National Vulnerability Database (NVD) am\u00e9ricaine le pr\u00e9cise clairement : \u00ab Le CVSS n’est pas une mesure du risque. \u00bb La NVD fournit g\u00e9n\u00e9ralement uniquement les m\u00e9triques de base pour les entr\u00e9es CVE. Les valeurs Menace, Environnement et Compl\u00e9mentaire doivent \u00eatre d\u00e9finies par les organisations elles-m\u00eames. Le guide utilisateur de FIRST pour le CVSS v4.0 souligne le m\u00eame point : le score de base mesure la gravit\u00e9 plut\u00f4t que le risque et ne suffit pas \u00e0 lui seul pour \u00e9valuer le risque.<\/p>\n
Appliquer le m\u00eame score CVSS \u00e0 un syst\u00e8me de test isol\u00e9 et \u00e0 un courtier d’identit\u00e9 expos\u00e9 sur Internet aboutit au m\u00eame point de d\u00e9part, mais \u00e0 deux niveaux de risque radicalement diff\u00e9rents. C’est pr\u00e9cis\u00e9ment ici que na\u00eet la mauvaise orientation dans de nombreuses files d’attente de gestion des vuln\u00e9rabilit\u00e9s.<\/p>\n
Trois axes prioritaires suppl\u00e9mentaires pour l’exploitation<\/h2>\n
Pour un triage op\u00e9rationnel efficace, trois dimensions doivent \u00eatre ajout\u00e9es au score, et pouvoir \u00eatre refl\u00e9t\u00e9es dans les champs des tickets ainsi que dans les r\u00e8gles SLA : l’exposition, la proximit\u00e9 d’exploitation et la criticit\u00e9 des actifs. L’exposition d\u00e9crit \u00e0 quel point un attaquant peut facilement acc\u00e9der \u00e0 la vuln\u00e9rabilit\u00e9. La proximit\u00e9 d’exploitation \u00e9value dans quelle mesure la vuln\u00e9rabilit\u00e9 est techniquement exploitable dans votre propre environnement. La criticit\u00e9 des actifs indique ce qui est en jeu, sur les plans op\u00e9rationnel et r\u00e9glementaire, en cas de compromission.<\/p>\n
L’exposition constitue la premi\u00e8re question de filtrage au quotidien. Une vuln\u00e9rabilit\u00e9 affectant un service accessible publiquement sera prioritaire par rapport \u00e0 une vuln\u00e9rabilit\u00e9 \u00e9quivalente dans un backend strictement segment\u00e9. L’exposition interne compte \u00e9galement, notamment lorsque des mouvements lat\u00e9raux sont possibles via des chemins d’administration ou des interfaces de gestion. La question ne se limite pas \u00e0 une \u00e9valuation binaire \u00ab haute ou basse \u00bb. L’essentiel r\u00e9side dans : d’o\u00f9 provient l’acc\u00e8s et avec quelles connaissances pr\u00e9alables.<\/p>\n
La proximit\u00e9 d’exploitation distingue la gravit\u00e9 th\u00e9orique de la menace actuelle. Les indications issues des avis de s\u00e9curit\u00e9, les codes d’exploitation publics, les campagnes actives et la compatibilit\u00e9 avec votre propre infrastructure modifient l’urgence. L’Office f\u00e9d\u00e9ral allemand de la s\u00e9curit\u00e9 des syst\u00e8mes d’information (BSI) exige, dans son paquet d’information NIS-2 sur les mesures de s\u00e9curit\u00e9 et la gestion des vuln\u00e9rabilit\u00e9s, un traitement prioritaire des vuln\u00e9rabilit\u00e9s critiques pour la s\u00e9curit\u00e9, ainsi qu’une hi\u00e9rarchisation en fonction des risques et de leur impact sur les processus m\u00e9tiers. L’agence am\u00e9ricaine de cybers\u00e9curit\u00e9 CISA compl\u00e8te cette approche avec son catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV) : les organisations sont invit\u00e9es \u00e0 corriger en priorit\u00e9 les vuln\u00e9rabilit\u00e9s faisant l’objet d’une exploitation active av\u00e9r\u00e9e. Sans cette dimension, des vuln\u00e9rabilit\u00e9s bruyantes mais difficilement exploitables pourraient prendre le pas sur des chemins d’attaque silencieux mais tangibles.<\/p>\n
La criticit\u00e9 des actifs emp\u00eache que la file d’attente soit tri\u00e9e uniquement selon la densit\u00e9 des tickets. Une vuln\u00e9rabilit\u00e9 class\u00e9e CVSS \u00e9lev\u00e9e sur un simple h\u00f4te de d\u00e9monstration ne n\u00e9cessite pas le m\u00eame d\u00e9lai de traitement qu’une vuln\u00e9rabilit\u00e9 moyenne sur un syst\u00e8me g\u00e9rant l’authentification, les donn\u00e9es de paiement ou la commande de production. La criticit\u00e9 doit \u00eatre d\u00e9finie avant le lancement du scan. Sinon, elle reste une r\u00e9flexion tardive lors de l’incident.<\/p>\n
Contexte des actifs : exposition Internet, privil\u00e8ges et classe de donn\u00e9es<\/h2>\n
Trois crit\u00e8res contextuels suffisent pour affiner la premi\u00e8re analyse op\u00e9rationnelle : l\u2019exposition Internet (oui\/non), les privil\u00e8ges requis et accessibles, ainsi que la classe de donn\u00e9es de l\u2019actif. L\u2019exposition Internet d\u00e9signe les syst\u00e8mes accessibles sans VPN ni acc\u00e8s Zero Trust. Les privil\u00e8ges d\u00e9terminent si la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e sans authentification, si elle permet une \u00e9l\u00e9vation de droits, ou si l\u2019identit\u00e9 concern\u00e9e dispose de droits administratifs ou de service \u00e9tendus. La classe de donn\u00e9es classe l\u2019actif selon qu\u2019il contient des contenus publics, des donn\u00e9es internes ou des donn\u00e9es sensibles \u00e0 caract\u00e8re personnel ou op\u00e9rationnel.<\/p>\n
Ces crit\u00e8res doivent figurer dans la CMDB (Configuration Management Database) ou l\u2019inventaire des actifs, et \u00eatre int\u00e9gr\u00e9s \u00e0 chaque ticket de vuln\u00e9rabilit\u00e9. Leur absence force l\u2019\u00e9quipe \u00e0 prioriser en fonction du score et de l\u2019anciennet\u00e9. Leur pr\u00e9sence permet d\u2019\u00e9tablir une matrice transparente : une exposition \u00e9lev\u00e9e combin\u00e9e \u00e0 des privil\u00e8ges impactants et une classe de donn\u00e9es critique place l\u2019actif en premi\u00e8re ligne, ind\u00e9pendamment du titre marketing du CVE.<\/p>\n
Un exemple concret illustre cette approche. En novembre 2024, Palo Alto Networks a publi\u00e9 son avis concernant CVE-2024-0012 (PAN-SA-2024-0015) : un contournement d\u2019authentification dans l\u2019interface web de gestion de PAN-OS. Le vecteur CVSS v4 indique un vecteur d\u2019attaque r\u00e9seau, des privil\u00e8ges requis nuls et aucune interaction utilisateur ; le niveau de maturit\u00e9 de l\u2019exploit est qualifi\u00e9 d\u2019attaqu\u00e9, avec un score CVSS-BT de 9,3 (Critique). Le 18 novembre 2024, la CISA a int\u00e9gr\u00e9 cette CVE dans son catalogue KEV. L\u2019avis pr\u00e9cise que le risque diminue fortement si l\u2019acc\u00e8s \u00e0 l\u2019interface de gestion est restreint aux adresses internes de confiance. Si le m\u00eame composant est prot\u00e9g\u00e9 par un acc\u00e8s administrateur MFA et une segmentation stricte au sein de l\u2019entreprise, la priorit\u00e9 imm\u00e9diate s\u2019en trouve r\u00e9duite. En revanche, s\u2019il est expos\u00e9 sur Internet avant le parcours IdP, le cas doit \u00eatre trait\u00e9 dans le prochain cycle de maintenance et de communication \u2013 m\u00eame si d\u2019autres tickets sont plus anciens.<\/p>\n
Documenter le parcours de correctif versus le parcours de compensation<\/h2>\n
Tous les constats critiques ne se terminent pas par un correctif appliqu\u00e9 le jour m\u00eame. Les fen\u00eatres de changement, les d\u00e9pendances aux \u00e9diteurs, les exigences de certification et les effets secondaires sur les applications m\u00e9tiers imposent parfois un parcours de compensation. Une d\u00e9cision n’est op\u00e9rationnellement viable que si les options de correctif et de compensation sont document\u00e9es de mani\u00e8re \u00e9quivalente : que faire, jusqu’\u00e0 quand, qui valide et quelle exposition r\u00e9siduelle subsiste.<\/p>\n
Le parcours de correctif d\u00e9crit la version, la date cible, le retour arri\u00e8re et la v\u00e9rification. Le parcours de compensation d\u00e9taille les contr\u00f4les comme les restrictions r\u00e9seau, les r\u00e8gles WAF, la d\u00e9sactivation d’une fonctionnalit\u00e9, une authentification renforc\u00e9e ou la surveillance des indicateurs d’exploitation. Les deux parcours n\u00e9cessitent une date de fin. Une compensation sans \u00e9ch\u00e9ance devient une solution permanente silencieuse et fausse la perception des risques pour le RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information).<\/p>\n
Pour la logique de file d’attente, cela se traduit par une r\u00e8gle simple : la priorit\u00e9 d\u00e9termine le lancement du traitement, mais pas n\u00e9cessairement l’application imm\u00e9diate du correctif en production. Un ticket hautement prioritaire peut basculer en compensation si l’exposition diminue de mani\u00e8re av\u00e9r\u00e9e et que la date du correctif est report\u00e9e de mani\u00e8re contraignante. Un ticket \u00e0 faible priorit\u00e9 peut attendre si l’exposition et le niveau de criticit\u00e9 le permettent. Ainsi, la logique de substitution reste op\u00e9rationnelle et \u00e9vite l’accumulation pure de scores.<\/p>\n
Rapport du RSSI : le risque plut\u00f4t que l’accumulation de tickets<\/h2>\n
Un rapport du RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information) qui se limite \u00e0 afficher les tickets ouverts et le score CVSS moyen mesure l’activit\u00e9, et non le risque. Une approche plus pertinente consiste \u00e0 adopter une vision par classes d’exposition, aux vuln\u00e9rabilit\u00e9s accessibles depuis Internet pr\u00e9sentant un fort potentiel d’exploitation, ainsi qu’aux actifs contenant des donn\u00e9es critiques sans mesure de compensation efficace. L’anciennet\u00e9 des tickets reste un indicateur de processus, mais ne r\u00e9pond pas \u00e0 la question essentielle : quelle est la surface d’attaque r\u00e9ellement expos\u00e9e ?<\/p>\n
Une vue synth\u00e9tique du risque permet de r\u00e9pondre \u00e0 trois questions directrices : quelles vuln\u00e9rabilit\u00e9s accessibles impactent les actifs critiques ? O\u00f9 les mesures de compensation sont-elles en place, et o\u00f9 sont-elles en retard ? Quelles d\u00e9cisions n\u00e9cessitent une capacit\u00e9 de changement dans les prochains cycles ? Ainsi, la direction peut piloter la capacit\u00e9 et l’acceptation des risques, plut\u00f4t que de commenter une liste croissante de tickets en attente.<\/p>\n
Les implications pour l’exploitation sont claires : le score CVSS reste une valeur technique de d\u00e9part. La file d’attente est g\u00e9r\u00e9e en fonction de l’exposition, du potentiel d’exploitation et de la criticit\u00e9 des actifs. En int\u00e9grant ces axes dans les champs des tickets, les SLA (Service Level Agreements) et les rapports du RSSI, les priorit\u00e9s sont \u00e9tablies en fonction de la surface d’attaque accessible, et non de l’intensit\u00e9 du score.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nComment int\u00e9grer l\u2019exposition aux risques, la proximit\u00e9 avec les vuln\u00e9rabilit\u00e9s et la criticit\u00e9 des actifs dans les syst\u00e8mes de tickets existants ?<\/strong><\/summary>\n
Les trois axes sont mod\u00e9lis\u00e9s comme champs obligatoires dans le ticket de vuln\u00e9rabilit\u00e9 et sont aliment\u00e9s \u00e0 partir de la CMDB (base de donn\u00e9es de gestion des configurations) ou de l\u2019inventaire des actifs. Les r\u00e8gles de SLA (niveau de service) s\u2019appuient sur la classe d\u2019exposition, la classe de donn\u00e9es et la proximit\u00e9 d\u2019exploit pour fixer les \u00e9ch\u00e9ances correspondantes. Si ces caract\u00e9ristiques manquent dans l\u2019inventaire, l\u2019\u00e9quipe doit les compl\u00e9ter avant le lancement du scan. \u00c0 d\u00e9faut, le groupe est contraint de prioriser en fonction du score et de l\u2019anciennet\u00e9 du ticket.<\/p>\n<\/details>\n
\nDans quelles circonstances une vuln\u00e9rabilit\u00e9 class\u00e9e comme priorit\u00e9 critique peut-elle \u00eatre int\u00e9gr\u00e9e dans un processus de compensation plut\u00f4t que de faire l\u2019objet d\u2019un correctif imm\u00e9diat ?<\/strong><\/summary>\n
Lorsque les fen\u00eatres de changement, les d\u00e9pendances des fournisseurs ou les obligations de certification retardent le correctif de production, l\u2019\u00e9quipe documente les contr\u00f4les mis en place, comme les restrictions r\u00e9seau, les r\u00e8gles de pare-feu applicatif (WAF), la d\u00e9sactivation de fonctionnalit\u00e9s ou un renforcement de l\u2019authentification. Les \u00e9l\u00e9ments contraignants incluent la date cible, la validation et l\u2019exposition r\u00e9siduelle restante. La priorit\u00e9 d\u00e9termine le lancement du traitement ; la compensation r\u00e9duit effectivement l\u2019exposition et recule la date du correctif. Sans date d\u2019\u00e9ch\u00e9ance, la mesure devient une solution permanente non d\u00e9clar\u00e9e.<\/p>\n<\/details>\n
\nComment les directives CISA-KEV et celles du BSI s\u2019int\u00e8grent-elles dans l\u2019\u00e9valuation de la proximit\u00e9 des exploits ?<\/strong><\/summary>\n
La proximit\u00e9 d\u2019un exploit s\u00e9pare la gravit\u00e9 th\u00e9orique d\u2019une menace tangible. La CISA exige, via son catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (Known Exploited Vulnerabilities Catalog), la fermeture prioritaire des failles actuellement exploit\u00e9es. Pour sa part, le BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik) pr\u00e9conise, dans son paquet d\u2019informations relatif \u00e0 la directive NIS-2, un traitement prioritaire des r\u00e9sultats critiques pour la s\u00e9curit\u00e9, en fonction du risque et de leur impact sur les processus m\u00e9tiers. Les avis de s\u00e9curit\u00e9, les codes d\u2019exploit publics, les campagnes actives et l\u2019ad\u00e9quation avec son propre environnement technique compl\u00e8tent cette m\u00eame logique.<\/p>\n<\/details>\n
\nPourquoi l\u2019anciennet\u00e9 des tickets ne suffit-elle pas comme indicateur central dans le rapport du RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d\u2019Information) ?<\/strong><\/summary>\n
L\u2019anciennet\u00e9 des tickets reste un indicateur de processus pour le temps de traitement et la pression li\u00e9e au backlog, sans \u00e9valuer la surface d\u2019attaque r\u00e9ellement expos\u00e9e. Des rapports exploitables classent les vuln\u00e9rabilit\u00e9s par niveaux d\u2019exposition, les r\u00e9sultats accessibles depuis Internet avec un risque d\u2019exploitation \u00e9lev\u00e9, ainsi que les actifs critiques d\u00e9pourvus de mesures de compensation efficaces. La direction pilote la capacit\u00e9 et l\u2019acceptation des risques \u00e0 travers trois questions cl\u00e9s : les vuln\u00e9rabilit\u00e9s exploitables sur les actifs critiques, les compensations appliqu\u00e9es ou en retard, et la capacit\u00e9 de changement n\u00e9cessaire pour les prochains cycles.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/infostealer-credential-theft-2026-250x375.jpg\")
<\/span>\u00c0 lire<\/span>CTEM : Pourquoi le Continuous Threat Exposure Management remplace le scan de vuln\u00e9rabilit\u00e9s<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/patch-priorisierung-cvss-allein-ueberfordert-das-soc-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Priorisation des correctifs : Pourquoi CVSS seul freine votre SOC<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/iso-27001-nis2-bsig-zertifikat-luecken-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Pourquoi le certificat ISO ne suffit pas au BSI \u00e0 lui seul<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>AI Act de l\u2019UE \u00e0 partir d\u2019ao\u00fbt 2026 : ce que les PME doivent \u00e9tiqueter maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVSS allein steuert Schwachstellenpriorisierung falsch. Exposition, Exploit-N\u00e4he und Asset-Kritikalit\u00e4t ordnen die Queue nach erreichbarer Angriffsfl\u00e4che.","protected":false},"author":50,"featured_media":22689,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Schwachstellenpriorisierung","_yoast_wpseo_title":"Schwachstellen-Triage: CVSS allein steuert falsch","_yoast_wpseo_metadesc":"CVSS allein steuert Schwachstellenpriorisierung falsch. Exposition, Exploit-N\u00e4he und Asset-Kritikalit\u00e4t ordnen die Queue nach erreichbarer Angriffsfl\u00e4che.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/schwachstellen-triage-cvss-allein-steuert-falsch-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/schwachstellen-triage-cvss-allein-steuert-falsch-cover-hero.jpg","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22793","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":13,"wpml_language":"fr","wpml_translation_of":22686,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22793","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22793"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22793\/revisions"}],"predecessor-version":[{"id":22797,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22793\/revisions\/22797"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22689"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22793"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22793"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22793"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Trois axes de priorisation pour la file d\u2019attente. <\/strong> L\u2019exposition, la proximit\u00e9 d\u2019un exploit et la criticit\u00e9 des actifs peuvent \u00eatre int\u00e9gr\u00e9s dans les champs des tickets et les r\u00e8gles SLA (Service Level Agreement) pour d\u00e9terminer l\u2019ordre de traitement avant le score brut.<\/li>\n