Ressources · 02

Audit d’exposition cyber : checklist priorisée

Inventorier ce qui est visible, relier chaque exposition à un actif métier et transformer les constats en plan de réduction du risque.

Mis à jour le 6 novembre 2026 · 4 min

Illustration · scène fictive

Ce que ce guide permet

Retrouver les actifs oubliés
Distinguer exposition et risque réel
Traiter d’abord les chemins d’attaque crédibles
Prouver la fermeture d’un constat

Contrôle express

Tous les domaines ont-ils un propriétaire ?
Les comptes administrateurs utilisent-ils une MFA résistante au phishing ?
Les services de test sont-ils exposés ?
Une restauration a-t-elle été testée ?
Chaque exception a-t-elle une date de fin ?

Méthode pas à pas

01
Définir le périmètre autorisé
Listez entités, domaines, plages, applications cloud et exclusions. Fixez les techniques permises, les horaires et le contact d’urgence avant toute vérification.
Livrable : lettre de cadrage et règles d’engagement.
02
Inventorier depuis l’extérieur
Rapprochez DNS, certificats, services publiés, technologies visibles, dépôts publics et comptes officiels. Attribuez un propriétaire à chaque actif.
Livrable : inventaire daté.
03
Examiner identités et accès
Vérifiez la couverture MFA, les comptes orphelins, les privilèges permanents, les mécanismes de récupération et les secrets exposés.
Livrable : carte des accès critiques.
04
Relier vulnérabilité et contexte
Une faiblesse devient prioritaire si elle est atteignable, exploitable, liée à une donnée ou fonction critique et insuffisamment détectée.
Livrable : scénarios de risque.
05
Vérifier résilience et détection
Contrôlez sauvegardes, restauration, journalisation, alertes, dépendances et procédure de crise. Une sauvegarde non restaurée reste une hypothèse.
Livrable : preuves de test.
06
Piloter la remédiation
Pour chaque action, fixez propriétaire, date, preuve attendue et risque résiduel. Revalidez depuis l’extérieur après correction.
Livrable : backlog priorisé.

Exemple d’application

Situation illustrative

Une filiale découvre un ancien sous-domaine dans ses résultats de recherche. Avant de lancer des scans, elle confirme le propriétaire, l’hébergement, la fonction et la présence éventuelle de données réelles.

Décision et preuve attendue

La fiche d’exposition distingue actif autorisé, service abandonné et tiers inconnu ; elle attribue une action et une preuve de fermeture à chaque cas.

Indicateurs de pilotage

Indicateur	Ce qu’il mesure	Première action
Couverture d’inventaire	Actifs observés avec un propriétaire et une criticité	Traiter d’abord les actifs sans propriétaire
Exposition critique	Services sensibles accessibles depuis Internet	Réduire l’accès, segmenter ou ajouter un contrôle fort
Délai de correction	Temps entre validation du constat et preuve de fermeture	Débloquer les actions à fort impact et faible effort
Risque résiduel	Expositions acceptées avec responsable et échéance	Faire expirer les exceptions plutôt que les laisser ouvertes

Erreurs fréquentes

Scanner sans autorisation ni fenêtre définie
Classer uniquement par score technique
Oublier les SaaS et sous-domaines historiques
Clore une action sans test de confirmation

Questions fréquentes

Un audit d’exposition est-il un test d’intrusion ?

Non. Il cartographie et qualifie ce qui est visible avec des méthodes non intrusives ou explicitement autorisées. Un test d’intrusion valide certains scénarios dans un cadre séparé.

À quelle fréquence refaire l’inventaire ?

Après toute transformation importante et de manière régulière. Les actifs externes changent vite ; la fréquence doit suivre le rythme de vos mises en production.

Pourquoi tester les sauvegardes ?

Parce que la présence d’un fichier ou d’une tâche réussie ne garantit ni son intégrité ni la capacité à restaurer le service dans le délai attendu.

Références : données, usages et limites

Documentation consultée le 2026-10-22.

Références : données, usages et limites
Source et objet	Donnée ou repère vérifié	Comment l’utiliser	Limite à conserver
NIST · Cybersecurity Framework Structurer les résultats attendus d’un programme de cybersécurité.	CSF 2.0 comporte six fonctions : Govern, Identify, Protect, Detect, Respond et Recover. Le cadre ne prescrit pas une unique façon d’obtenir les résultats.	Décrivez un profil actuel et un profil cible avec preuves, écarts et responsables. Rattachez chaque priorité aux services qu’elle aide à protéger. Approfondir la méthode →	Une correspondance avec le cadre n’équivaut pas à une certification ni à la preuve que chaque contrôle fonctionne.

security.txt et divulgation

Vérifier qu’un signalement externe trouve une équipe

L’exposition cyber comprend aussi la capacité à recevoir un signalement utile. Un fichier security.txt peut rendre le contact visible, mais sa présence seule ne démontre pas la disponibilité du canal ni le suivi du dossier.

Vérifier l’emplacement /.well-known/security.txt, HTTPS, les Contact et l’unique Expires.
Conserver l’hôte exact, les redirections et le lien vers la politique ; ne pas étendre le périmètre aux sous-domaines par défaut.
Attribuer un propriétaire à la publication et un responsable au traitement des rapports ; distinguer réception, qualification et correction.

Lire la fiche security.txt et les cas de divulgation →

Sources vérifiées le 2026-10-22 · IETF · RFC 9116 · §2.5, §3, §5

CVSS, EPSS, KEV et VEX

Conserver les faits qui justifient l’ordre de traitement

Une revue d’exposition devient plus utile lorsque chaque vulnérabilité est reliée à une instance et à une décision. Les scores génériques doivent rester identifiables et datés, puis être rapprochés du service réellement exposé.

Séparer gravité CVSS, probabilité EPSS, présence dans KEV et déclaration d’applicabilité VEX.
Établir produit, version, chemins d’accès et propriétaire avant de conclure à une exposition locale.
Documenter décision, mesure transitoire et preuve de validation ; un correctif disponible n’est pas une correction déployée.

Consulter la lecture CVSS, EPSS, KEV et VEX →

Sources vérifiées le 2026-10-22 · FIRST · CVSS 4.0 Specification · FIRST · EPSS Frequently Asked Questions · CISA · KEV official data schema · OpenVEX · Specification v0.2.0

Explorer le catalogue KEV de CISA

Relier une exposition à une notice officielle

Commencer par une CVE ou un nom de produit dans le catalogue daté, puis vérifier l’avis fournisseur, la version déployée et la voie d’accès. La présence dans KEV ajoute un signal d’exploitation connue ; elle ne remplace pas l’analyse de votre périmètre.

Conserver la notice avec sa version de catalogue.
Documenter la correspondance produit/version et les éventuels écarts.
Séparer correction, mitigation et investigation.

Consulter le catalogue et sa méthode →

CISA KEV · 2026.11.04 · Consultation documentaire : 2026-11-05

Explorer les résultats du NIST CSF 2.0

Relier un constat d’exposition à un résultat attendu

Un inventaire ou une liste de vulnérabilités décrit une partie de la situation. Le CSF 2.0 permet de discuter aussi de la responsabilité, des protections, de la détection et de la reprise.

ID.AM : rapprocher actifs observés, données, services et propriétaires.
ID.RA : décrire un scénario de risque avec ses conséquences métier.
PR.PS : vérifier la maintenance et l’état réel des plateformes.
Documenter une preuve et son périmètre ; ne pas convertir un nombre de constats en score de conformité.

Explorer les résultats et les preuves à examiner →

NIST CSWP 29 · CSF 2.0 · 2024-02-26 · 2026-10-22

Certificats TLS et renseignement ouvert

CT : une piste de découverte à qualifier

Les journaux publics aident à examiner des certificats associés à un périmètre. Un résultat CT est un signal documentaire, pas le constat d’une vulnérabilité exploitable.

Rapprocher chaque nom d’un inventaire autorisé.
Éviter de compter les doublons entre journaux comme des actifs distincts.
Séparer émission, déploiement, expiration et exposition observée.

Consulter le dossier CT et la liste datée →

Google Chrome · Certificate Transparency for Site Operators · Domain Privacy · consulted 2026-10-23

Références officielles

Date de consultation des références : 06/11/2026. La méthode et la fiche de travail proposent des contrôles à adapter à votre contexte ; elles ne constituent pas une certification.