Gestion des vulnérabilités
Un résultat de scan sans responsable ne mène nulle part. Faites de chacun un constat que quelqu’un porte.
Le suivi de la remédiation des vulnérabilités dans Acuna GRC. La gestion des vulnérabilités prend la liste des points faibles trouvés par votre scanner, donne à chacun un responsable et une échéance, et relance jusqu’à la correction. Elle fonctionne avec le scanner que vous utilisez déjà : Tenable, Qualys, Rapid7, un fichier CSV ou l’API.
Vulnérabilités
Entreprise fictive · Brenvara AG
Vulnérabilités
Entreprise fictive · Brenvara AGLe problème
Pourquoi les vulnérabilités détectées ne sont-elles jamais corrigées à temps ? Personne n’en est responsable.
Un scanner signale une ligne par vulnérabilité et par actif, souvent des milliers. Sans responsable, sans échéance et sans contrôle, les mêmes résultats reviennent à chaque scan.
Notre scanner remonte des milliers de lignes et personne n’en est responsable.
La solution : un constat par vulnérabilité, sur tous les actifs touchés, avec un responsable.
Nous promettons 14 jours pour les critiques, mais personne ne vérifie.
La solution : l’échéance découle de la sévérité, avec des relances avant et chaque jour après.
Quelqu’un l’a marqué corrigé. Le scanner le voit encore.
La solution : seul le scanner passe le constat à Résolu, jamais une personne, et le même constat se rouvre si la vulnérabilité revient.
Comment ça marche
Comment fonctionne le suivi de la remédiation des vulnérabilités dans Acuna GRC ? Du résultat de scan à la correction vérifiée.
Les résultats du scanner arrivent, chaque vulnérabilité devient un constat avec un responsable, son échéance suit sa sévérité, et seul le scanner peut la marquer corrigée. Vous vérifiez la correction et clôturez le constat.
Comment les résultats Tenable, Qualys ou Rapid7 arrivent-ils dans l’outil GRC ?
Par un connecteur qui récupère seul les éléments vulnérables, environ toutes les 4 heures, configuré sous Admin → Intégrations. Tout autre scanner peut passer par « Importer un CSV » sur la page Vulnérabilités, ou envoyer ses résultats par l’API avec une clé qui porte le droit d’écriture sur les éléments vulnérables. « Nouvelle vulnérabilité » en saisit un à la main.
Le premier chargement peut prendre quelques heures et affiche « Rattrapage » sur la carte du connecteur. Chaque élément est identifié par sa source et l’identifiant du scanner : le renvoyer le met à jour.
Les connecteurs et l’API dans Intégrations et API →Comment des milliers de résultats de scan deviennent-ils un travail dont quelqu’un est responsable ?
Tous les éléments vulnérables d’une même vulnérabilité, sur tous les actifs touchés, deviennent un seul constat de type Vulnérabilité sous Assure → Constats, avec un responsable et une échéance SLA. Seules les vulnérabilités au niveau de votre seuil de sévérité ou au-dessus, Élevée par défaut, créent un constat d’elles-mêmes. En dessous, « Créer un constat » en suit une quand même.
Un élément sans actif correspondant affiche « Absent de votre inventaire d’actifs ». Cliquez sur « Lier » pour choisir le bon actif : tous les éléments du même hôte du scanner sont liés d’un coup.
Les risques liés dans le registre des risques, dans Operate →Comment suivre les délais de remédiation des vulnérabilités selon la sévérité ?
Chaque constat reçoit une échéance selon sa sévérité, comptée depuis la première détection : par défaut 14 jours pour une critique, 30 pour une élevée, 90 pour une moyenne et 180 pour une faible. Le responsable est relancé 7 jours avant, la veille et chaque jour de retard. Après 7 jours de retard, le responsable des vulnérabilités est prévenu aussi.
Impossible de corriger ? Cliquez sur « Demander une exception ». Une exception approuvée affiche « Risque accepté », sort le constat du compte des retards et arrête ses relances jusqu’à sa date de validité. Le constat reste ouvert.
Les constats, actions correctives et exceptions dans Assure →Comment rendre compte de la remédiation des vulnérabilités à la direction ?
Avec le bandeau de la page Vulnérabilités : éléments ouverts par sévérité, constats en retard, respect des SLA, délai moyen de remédiation sur les 90 derniers jours et tendance sur douze semaines des éléments détectés et corrigés. Les mêmes chiffres alimentent vos propres tableaux de bord via quatre sources de données KPI.
Aiko et vos vulnérabilités
Une vulnérabilité change-t-elle la note d’un risque ? Aiko montre les preuves. Vous décidez.
Demandez « RISK-004 correspond-il encore à ses preuves ? » et Aiko inclut les éléments vulnérables ouverts sur les actifs du risque, chacun avec sa source et sa date. Il peut proposer un nouvel impact et une nouvelle vraisemblance ; vous cliquez sur Change Score, un risque à la fois.
Experts suisses
Quelqu’un peut-il assurer le suivi des vulnérabilités pour nous ? Oui, avec un RSSI externalisé.
Pour vous : avec le RSSI externalisé, nos experts suisses prennent en charge le suivi de la remédiation dans Acuna GRC et vous en rendent compte. Vous décidez de ce qui est corrigé et de ce qui est accepté.
.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
Expert en gouvernance de cybersécurité
Jean-Emmanuel Rodriguez
Gouvernance de la cybersécurité.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
CEO du Groupe Abilene
Henri Haenni
Sécurité de l’information et continuité
Vous le faites
Vous pilotez le programme dans Acuna GRC, avec Aiko.
Avec vous
Conseils, revues et préparation d'audit avec votre équipe.
Pour vousPour Gestion des vulnérabilités
Nos experts le pilotent. Vous validez.
Intégrations
À quels scanners de vulnérabilités Acuna GRC se connecte-t-il ? Tenable, Qualys et Rapid7.
Les connecteurs Tenable Vulnerability Management, Qualys VMDR et Rapid7 InsightVM sont disponibles. Tout autre scanner peut envoyer un CSV ou passer par l’API, et un résumé quotidien peut partir vers Microsoft Teams ou Slack.
- Connecteur scanner
Tenable Vulnerability Management
Les éléments vulnérables arrivent seuls, environ toutes les 4 heures, et restent à jour à chaque synchronisation.
- Connecteur scanner
Qualys VMDR
Configuré sous Admin → Intégrations. Le premier chargement affiche « Rattrapage » sur la carte du connecteur.
- Connecteur scanner
Rapid7 InsightVM
Un élément signalé corrigé est marqué corrigé ; un élément qui revient est marqué rouvert.
- CSV et API
Tout autre scanner
« Importer un CSV » sur la page Vulnérabilités, ou envoi des résultats avec une clé qui porte le droit d’écriture sur les éléments vulnérables.
Microsoft Teams
Slack- Plus de 100 connecteurs
Un connecteur manque ? Nous le créons. Voir Intégrations et API
Relié à
Comment la gestion des vulnérabilités s’insère-t-elle dans Acuna GRC ? Elle alimente vos constats et vos risques.
Les éléments sont rapprochés de votre inventaire d’actifs et listés à côté de vos risques, chaque vulnérabilité devient un constat dans Assure, le siège d’un groupe les compte par filiale, et Aiko les cite quand il vérifie un risque.
- ImplementRapprochés de votre inventaire d’actifs
- OperateListés dans Operate, liés aux risques
- AssureUn constat par vulnérabilité
- Gestion de groupeComptés par filiale
- Intégrations et APIConnecteurs Tenable, Qualys, Rapid7
- AikoCités dans l’analyse de risque
FAQ
Quelles autres questions se pose-t-on sur le suivi de la remédiation des vulnérabilités ?
Acuna GRC scanne-t-il nos systèmes ?
Non. Acuna GRC n’est pas un scanner. Il importe les résultats de Tenable Vulnerability Management, Qualys VMDR, Rapid7 InsightVM, d’un fichier CSV ou de l’API, et en fait des constats que votre équipe porte.
Qu’est-ce qui marque un élément vulnérable comme corrigé ?
Uniquement le scanner qui le signale corrigé. Un élément qui cesse simplement d’apparaître reste ouvert, et un risque accepté dans votre scanner ne le ferme pas : utilisez plutôt une exception sur le constat.
Et si un actif n’est pas dans notre inventaire ?
L’élément affiche « Absent de votre inventaire d’actifs ». Cliquez sur « Lier » dans sa section Actif pour choisir le bon actif ; tous les éléments du même hôte du scanner sont liés d’un coup.
Peut-on changer le seuil de sévérité et les délais ?
Oui. Les administrateurs règlent le seuil de sévérité et le délai de correction par sévérité depuis la roue dentée de la page Vulnérabilités. Le changement s’applique au prochain regroupement des éléments ; les constats ouverts gardent leur échéance.
Qui est relancé quand un constat n’a pas de responsable ?
Le responsable des vulnérabilités désigné sous Admin → Notifications, ou les administrateurs si personne n’est désigné.
Les mises à jour des vulnérabilités peuvent-elles aller dans Teams ou Slack ?
Oui, dans le résumé quotidien envoyé à un canal Microsoft Teams ou Slack, une fois qu’un administrateur l’a activé. C’est un résumé, pas une synchronisation dans les deux sens.
Tout le monde voit-il tous les éléments vulnérables ?
Non. Un élément prend les périmètres de son actif une fois lié, et un utilisateur limité à certains périmètres ne voit que les éléments qui en font partie.
La gestion des vulnérabilités est-elle un module complémentaire, et où nos données sont-elles hébergées ?
Oui, c’est un module complémentaire, activé par organisation. Vos données sont hébergées en Suisse, dans l’UE ou aux États-Unis.
Commencez par une étape.
Dites-nous quel scanner vous utilisez. Nous vous montrons ses résultats dans Acuna GRC : un constat par vulnérabilité, avec un responsable, une échéance et les relances qui suivent.
Hébergé en Suisse, dans l'UE ou aux États-Unis