Vulnérabilités #

Objectif et champs #

Une vulnérabilité est une faiblesse exploitable. Le menu gère nom, description, catégorie, source, sévérité et actifs affectés.

Procédure #

Risk manager crée ou modifie la faiblesse, associe uniquement des actifs du tenant puis l’utilise dans les scénarios. La recherche aide à éviter les doublons ; vérifiez les liens avant suppression.

Bonne pratique #

Distinguez faiblesse durable et événement ponctuel. Documentez la source sans stocker de secret, puis associez les mesures qui réduisent réellement l’exposition.

Description des champs #

Nom et description expliquent la faiblesse ; catégorie et source facilitent la qualification ; sévérité priorise la revue ; Actifs affectés limite la faiblesse aux éléments réellement concernés.

Procédure complète #

Vérifiez si la faiblesse existe déjà, sélectionnez les actifs du tenant, documentez la source puis enregistrez. Reliez-la aux scénarios pertinents et aux mesures qui la compensent. Retirez un actif seulement après vérification de ses risques.

Exemple #

« Authentification sans second facteur » affecte le portail d’administration. La menace associée peut être le vol d’identifiants ; la mesure est le MFA TOTP.

Contrôles #

Une vulnérabilité sans actif peut être un élément de catalogue, mais elle ne décrit pas encore une exposition. Ne copiez pas de secret, de preuve confidentielle ou de détail exploitable inutile dans la description.