Introduction

Vulnérabilité : Faiblesse d’un bien ou d’un groupe de biens pouvant faire l’objet d’une menace [ISO/CEI 13335-1:2004] Gestion des vulnérabilités techniques [chapitre 12.6, ISO/CEI 27002:2005]

Objectif: réduire les risques liés à l’exploitation des vulnérabilités techniques ayant fait l’objet d’une publication.

Il convient de mettre en œuvre une gestion des vulnérabilités techniques de manière efficace, systématique et répétable et d’effectuer des mesurages pour confirmer son efficacité. Il s’agit ici des systèmes d’exploitation et de toute autre application en cours d’utilisation.

Menaces couvertes [annexe C, ISO/CEI 27005:2011]

• Piégeage de logiciel (D)
• Corruption de données (I)
• Espionnage à distance (C)
• Déni d’actions (T)

Le produit VulnManager

Objectif : gestion des vulnérabilités techniques

• Référentiel basé sur des mots clés
• Veille centralisée des vulnérabilités techniques
  • Source : http://www.cert.ssi.gouv.fr/cert-fr/certfr.html
• Classification automatique des alertes
• Gestion du traitement des vulnérabilités
• Tableaux de bord opérationnels et stratégiques

Pour qui :

• Un RSSI qui souhaite une aide stratégique au pilotage de son activité
• Un administrateur qui souhaite une aide à la gestion opérationnelle

Fonctionnalités

Classification des vulnérabilités :

• Par criticité : « critique » / « majeur » / « modéré » / « mineur » / « indéterminé » / « non concerné »
• Par traitement : « à traiter » / « traité » / « réduction d’impact » / « surveillance » / « impossible »

Gestion des utilisateur :

• Gestion de profils : « administrateur » / « superviseur » / « contributeur » / « utilisateur »
• Traçabilité des actions et gestion des logs
• Possibilité d’authentification forte et de SSO
• Possibilité de gestion multi sites

Interfaçage avec des plateformes de gestion de tickets :

• Mantis
• Redmine

Personnalisation de l’affichage, historique des traitements, reporting, exports CSV

Points forts

Approche stratégique et opérationnelle en un seul outil

Démarche simple et pragmatique

• Rapide à mettre œuvre
• Convient à toutes les tailles de structures (TPE, PME…)
• Référentiel restreint à gérer
• 40 mots-clés couvrant 80% des vulnérabilités publiées annuellement

Démarche peu coûteuse

• Pas d’analyses de risques
• Peu de ressources nécessitées pour l’exploitation

Visibilité en temps réel du niveau de risque

• Exposition du SI aux vulnérabilités publiées
• Traitement du risque : « traité » / « réduit » / « non traité »

Offres de services associées

Offres de services associées

Utilisation libre avec support payant

• Assistance téléphonique
• Plateforme Mantis à disposition pour la gestion des demandes

Utilisation en mode SaaS

• Serveurs hébergés en France, administration pour le client
• URL personnalisé
• Possibilité d’authentification forte

Offres d’accompagnement

• Suivi des vulnérabilités publiées et alerte en temps réel
• Application de mesures techniques
• Consolidation des informations et reporting personnalisé
• Service d’aide à la décision