Vos failles : qui les surveille ?

Chaque semaine, des centaines de nouvelles failles de sécurité sont découvertes. Certaines sont exploitées en quelques heures seulement. Le véritable défi n'est plus de savoir qu'elles existent, mais de les détecter, les prioriser et les corriger avant qu'un attaquant ne le fasse à votre place.

L'essentiel en 5 points

1. Le volume n'est pas le problème. 48 000 failles publiées en 2025, mais moins de 1 % sont réellement exploitées : l'enjeu est le tri, pas l'exhaustivité.
2. Le seul chiffre qui compte, c'est votre délai de correction. Entre la publication d'une faille et l'application du correctif, votre entreprise est exposée  et 29 % des failles exploitées le sont dès le jour de leur publication.
3. Trois critères suffisent à prioriser, sans expertise technique : l'exposition sur Internet, la criticité métier, et l'exploitation réellement constatée.
4. L'erreur la plus coûteuse est organisationnelle, pas technique. Dans la plupart des PME, personne n'est nommément responsable du suivi des vulnérabilités — donc personne ne le fait.
5. C'est une mission d'alternance idéale. Scans, inventaire, veille, tableau de bord mensuel : un travail récurrent et méthodique qui se dilue dans un poste chargé, mais qui structure parfaitement un parcours en cybersécurité.

👉 Recrutez un alternant en Cybersécurité · 👉 Découvrir la filière Cybersécurité · 👉 Télécharger la brochure entreprise

‍

Introduction

Posez la question autour de la table de votre comité de direction : qui, dans l'entreprise, reçoit les alertes de sécurité ?

Dans la plupart des PME et ETI, trois réponses reviennent. « C'est le prestataire. » « C'est notre informaticien. » Ou, plus souvent qu'on ne l'imagine, un silence.

La plupart des entreprises pensent que leurs systèmes sont à jour. En réalité, personne ne le vérifie vraiment.

Ce n'est pas un problème de compétence. C'est un problème d'organisation : la surveillance des failles est une tâche quotidienne, ingrate, sans échéance visible  donc toujours reportée par des équipes déjà en tension. Jusqu'au jour où elle devient urgente. Le point de départ, c'est de savoir ce que vous exposez réellement : c'est tout l'objet de la cartographie de votre surface d'attaque.

Cet article n'est pas destiné aux RSSI. Il est destiné aux dirigeants qui veulent savoir si ce sujet est traité chez eux, et comment le confier à quelqu'un  en interne, ou via un alternant en cybersécurité recruté avec NEXA.

‍

À retenir

48 185 failles publiées en 2025, soit environ 130 par jour Analyse des données CVE 2025 (Jerry Gamblin, janvier 2026)

29 % des failles exploitées l'ont été le jour même de leur publication, voire avant ANSSI, Panorama de la cybermenace 2025

moins de 1 % des failles publiées sont réellement exploitées : tout l'enjeu est de savoir lesquelles

6 200 équipements encore vulnérables en France fin 2025 à des failles connues depuis 2023 ou 2024 Sophos, The State of Ransomware 2025

‍

Une faille ne devient dangereuse que lorsqu'elle reste ouverte

Trois mots suffisent à comprendre le sujet.

Une vulnérabilité, c'est un défaut dans un logiciel ou un équipement. Une erreur de conception qui permet de faire quelque chose qui n'était pas prévu : entrer sans mot de passe, lire un fichier interdit, prendre la main sur une machine.

Un exploit, c'est le mode d'emploi qui permet d'en tirer parti. Il est souvent publié, parfois gratuitement, quelques jours après la faille. Lorsqu'il circule avant même que l'éditeur ait publié un correctif, on parle d'attaque zero day.

Un correctif, c'est la mise à jour publiée par l'éditeur pour refermer le défaut.

Entre le moment où la faille est publiée et celui où vous appliquez le correctif, votre entreprise est exposée. Cette fenêtre s'appelle le délai de correction, et c'est le seul chiffre qui compte vraiment dans ce sujet.

Une faille connue et corrigée n'est pas un risque. Une faille connue et non corrigée est une porte ouverte dont l'adresse est publique  et le point de départ le plus fréquent d'un cyber incident.

‍

Pourquoi les cybercriminels vont plus vite que les entreprises

L'asymétrie est brutale, et elle est d'abord industrielle.

Ils automatisent. Dès qu'une faille est publiée, des scanners balaient Internet en continu pour trouver les machines qui ne sont pas encore corrigées. Ce travail ne demande aucune intervention humaine et tourne 24 heures sur 24.

Ils n'ont pas besoin de vous connaître. La très grande majorité des attaques ne sont pas ciblées. Elles ne cherchent pas votre entreprise : elles cherchent une machine vulnérable, et la vôtre en fait partie ou non. Comprendre qui sont les acteurs de la menace aide à mesurer à quel point le processus est industrialisé.

Ils exploitent l'écart de rythme. Un attaquant peut agir dans l'heure. Une entreprise doit tester la mise à jour, planifier une fenêtre d'intervention, prévenir les utilisateurs, redémarrer un serveur en dehors des heures de production. C'est légitime, mais cela prend des jours.

Ils visent en priorité vos équipements de sécurité. VPN, pare-feux, passerelles d'accès distant  des équipements devenus critiques avec la généralisation du télétravail : ce sont eux qui sont exposés sur Internet, et ce sont eux qui, en 2025, ont concentré les campagnes d'exploitation les plus massives. Le paradoxe est cruel : l'équipement censé vous protéger devient la porte d'entrée.

Et cette porte, une fois franchie, mène souvent au même endroit : une violation de données, puis une attaque par rançongiciel  celles qui arrêtent l'activité pendant plusieurs jours, comme nous l'avons détaillé dans notre article sur la continuité d'activité après une cyberattaque. Les grandes attaques passées suivent presque toutes ce schéma : voir 8 incidents de cybersécurité qui ont marqué l'histoire.

‍

Toutes les failles ne doivent pas être corrigées en priorité

C'est le point que la plupart des articles sur le sujet oublient de dire, et c'est pourtant le plus rassurant.

Sur les 48 000 failles publiées en 2025, moins de 1 % ont fait l'objet d'une exploitation avérée. Corriger tout, tout le temps, est impossible  et inutile.

Le sujet n'est donc pas la quantité. C'est la priorisation. Trois critères suffisent à trancher, sans expertise technique poussée.

L'exposition. L'équipement concerné est-il accessible depuis Internet, ou seulement depuis le réseau interne ? Une faille sur un serveur exposé est infiniment plus urgente que la même faille sur un poste isolé.

La criticité métier. L'application concernée fait-elle tourner l'activité ? Une faille sur l'ERP ne se traite pas comme une faille sur l'outil de réservation des salles de réunion.

La gravité et l'exploitation réelle. Chaque faille reçoit un score, le CVSS, noté de 0 à 10. Au-delà de 9, on parle de faille critique. Mais le score ne dit pas si la faille est réellement attaquée : pour cela, il faut regarder si elle figure dans les listes de vulnérabilités activement exploitées publiées par les organismes de référence. Une faille notée 7 et massivement exploitée est plus urgente qu'une faille notée 9,8 que personne n'attaque.

Croisez ces trois critères et vous passez de 48 000 failles à une poignée de décisions par mois. C'est exactement ce travail de tri que l'IA appliquée à la cybersécurité commence à accélérer  sans jamais remplacer la décision métier. Et c'est précisément ce travail qui manque dans la plupart des entreprises.

C'est exactement le type de mission qu'un alternant en cybersécurité peut prendre en charge dès sa première année.

Télécharger la brochure entreprise · Échanger avec un conseiller

‍

Les trois étapes d'une bonne gestion des vulnérabilités

Étape 1 : scanner

On ne corrige que ce que l'on connaît. Et on ne connaît que ce que l'on a inventorié.

La première étape n'est pas technique : c'est la liste de ce que vous possédez. Serveurs, postes, équipements réseau, applications, services hébergés, accès distants, et surtout tout ce qui est visible depuis Internet.

Un scan automatisé passe ensuite cette liste au crible et remonte les failles connues. Une fréquence mensuelle constitue un plancher raisonnable ; hebdomadaire sur le périmètre exposé. La centralisation des résultats dans un outil de type SIEM devient utile dès que le parc dépasse quelques dizaines de machines.

Le piège : l'inventaire oublie presque toujours quelque chose. Un serveur de test monté il y a trois ans, une imprimante avec une interface web, un vieux boîtier VPN d'un site fermé. Ce sont précisément ces oubliés que les scanners des attaquants trouvent en premier.

Étape 2 : prioriser

Le scan produit une liste longue et décourageante. Sans tri, elle ne sera jamais traitée.

C'est ici que s'appliquent les trois critères précédents : exposition, criticité métier, exploitation réelle. Le résultat tient sur une page : les failles à corriger cette semaine, celles du mois, celles que l'on accepte de laisser en l'état — en le documentant. Cette formalisation du risque accepté relève de la démarche GRC, et c'est elle que vos donneurs d'ordre vous demanderont de prouver.

Le piège : traiter la liste dans l'ordre où elle sort de l'outil. C'est la meilleure façon de passer trois semaines sur des correctifs sans importance pendant qu'une faille exposée reste ouverte.

Étape 3 : corriger

Reste le plus concret : appliquer, vérifier, tracer.

Fixez un délai cible par niveau de gravité  par exemple 72 heures pour une faille critique exposée sur Internet, un mois pour le reste. Prévoyez des fenêtres de maintenance régulières plutôt que des interventions au coup par coup. Et vérifiez après coup que le correctif est bien en place : un correctif planifié n'est pas un correctif appliqué.

Le piège : corriger sans tracer. Sans trace écrite, vous ne pouvez ni prouver votre diligence à votre assureur ou à un donneur d'ordre, ni mesurer votre délai réel de correction.

‍

Les erreurs les plus fréquentes

Elles se ressemblent d'une entreprise à l'autre.

Personne n'est nommément responsable. Le sujet appartient à tout le monde, donc à personne. C'est de loin l'erreur la plus coûteuse, et la plus simple à corriger.

L'inventaire est incomplet. On protège soigneusement ce qui est connu, et on oublie ce qui ne l'est pas.

Les mises à jour sont repoussées. Par crainte de casser une application métier  une crainte souvent légitime, mais qui doit se traiter par un environnement de test, pas par l'inaction.

Les équipements sont oubliés. Caméras, imprimantes, automates industriels, objets connectés : ils ont une adresse IP, un logiciel embarqué, et presque jamais de suivi.

Le VPN n'a jamais été mis à jour. Il fonctionne, donc personne n'y touche. C'est pourtant l'un des équipements les plus attaqués, et le point d'entrée classique d'une fuite de données.

Les alertes arrivent dans une boîte mail que personne ne lit. Souvent celle d'un salarié parti depuis deux ans. C'est aussi par cette boîte qu'arrivent les tentatives de phishing  et c'est la même question de fond : qui regarde, chez vous ?

‍

À mettre en œuvre dès cette semaine

Identifier les équipements exposés sur Internet. La liste tient rarement sur plus d'une page, et elle surprend presque toujours.

Vérifier la date des dernières mises à jour critiques sur ces équipements. Une date, pas une impression.

Désigner un responsable du suivi des vulnérabilités. Un nom, et un créneau récurrent dans son agenda.

Les indicateurs à suivre

Quatre chiffres suffisent à savoir si le sujet est tenu. Demandez-les une fois par mois, sur une seule page.

Le délai moyen de correction des failles critiques. Le plus important des quatre. Il se compte en jours, il se compare d'un mois sur l'autre, et il se dégrade dès que le sujet n'est plus suivi.

Le nombre de failles critiques ouvertes. Celles qui sont identifiées et pas encore corrigées. La tendance compte plus que la valeur absolue : elle doit baisser ou rester stable, jamais s'accumuler.

Le nombre d'équipements exposés sur Internet. Il devrait être connu, court, et n'évoluer que sur décision. Toute nouvelle entrée dans cette liste mérite une explication.

La part du parc réellement couverte par les scans. Un scan qui ne couvre que la moitié des machines donne une fausse tranquillité, ce qui est pire que pas de scan du tout.

Ces quatre chiffres tiennent dans un tableau de bord d'une page. C'est précisément le type de livrable qu'un alternant peut produire chaque mois.

‍

Les 5 questions que tout dirigeant devrait se poser

À poser en comité de direction, pas en réunion informatique.

1. Qui reçoit les alertes de sécurité, et qui les lit ? Un nom, pas une adresse générique.
2. Combien de temps mettons-nous à appliquer un correctif critique ? Si personne ne connaît ce délai, c'est qu'il n'est pas mesuré, donc pas maîtrisé.
3. Savons-nous quels équipements sont exposés sur Internet ? La réponse doit être une liste, tenue à jour.
4. Avons-nous un inventaire à jour de nos actifs ? Y compris les équipements que plus personne n'utilise mais que personne n'a débranchés.
5. Qui décide des priorités quand tout ne peut pas être corrigé ? Cet arbitrage engage l'activité : il ne devrait pas être délégué par défaut au prestataire.

Si vous n'avez de réponse claire qu'à deux de ces cinq questions, vous avez déjà votre feuille de route.

Nos équipes Relations Entreprises cadrent le poste avec vous, présélectionnent les profils et gèrent l'administratif  OPCO, contrat, conformité.

Prendre rendez-vous avec un conseiller entreprise · Voir comment recruter avec NEXA

‍

Ce que font les entreprises les plus matures

Elles ne corrigent pas plus vite parce qu'elles ont plus de moyens. Elles corrigent plus vite parce que le sujet est organisé.

Elles automatisent les scans. La détection ne dépend pas de la disponibilité d'une personne.

Elles tiennent un inventaire vivant. Toute nouvelle machine y entre le jour de sa mise en service, et en sort le jour de son arrêt.

Elles pilotent par les chiffres. Les quatre indicateurs ci-dessus sont regardés en comité, au même titre qu'un indicateur commercial ou financier.

Elles testent. Un audit ou un test d'intrusion périodique vérifie que la théorie correspond à la réalité c'est le métier du hacker éthique et du red teamer. Certaines vont plus loin en ouvrant un programme de bug bounty.

Aucune de ces quatre pratiques ne demande un budget considérable. Toutes demandent de la régularité et quelqu'un pour s'en occuper.

‍

Quel rôle peut jouer un alternant en cybersécurité ?

C'est un sujet particulièrement bien adapté à l'alternance en cybersécurité, pour une raison simple : la gestion des vulnérabilités est un travail récurrent et méthodique, précisément le type de mission qui se dilue dans un poste déjà chargé mais qui structure parfaitement un parcours d'apprentissage.

Un alternant en cybersécurité peut prendre en charge, sous supervision :

• réaliser les scans de vulnérabilités et en exploiter les résultats ;
• construire et maintenir l'inventaire des actifs, y compris la surface exposée sur Internet ;
• suivre les bulletins de l'ANSSI, du CERT-FR et des éditeurs, et alerter sur ce qui vous concerne réellement ;
• préparer les campagnes de correctifs et vérifier leur application ;
• produire un tableau de bord mensuel avec les délais réels de correction ;
• documenter les vulnérabilités critiques et les décisions prises ;
• participer aux audits techniques et aux tests d'intrusion.

Ces missions correspondent aux premières responsabilités confiées à un administrateur systèmes et réseaux ou à un expert en cybersécurité junior, et préparent à des trajectoires plus larges  du consultant GRC au RSSI, en passant par le cybercombattant.

Elles ne remplacent pas un RSSI ou un prestataire : elles leur donnent la matière fiable sans laquelle ils travaillent à l'aveugle. Et elles produisent, mois après mois, exactement les preuves que réclament les assureurs, les donneurs d'ordre et les référentiels de conformité. Nos équipes vous accompagnent sur le cadrage du poste et la présélection.

Quel niveau recruter selon vos besoins ?

• le BTS Services Informatiques aux Organisations pour l'inventaire, l'exploitation et l'application des correctifs ;
• le Bachelor Cybersécurité pour les scans et la veille ;
• le Mastère Cybersécurité pour la priorisation, les audits et le pilotage par indicateurs ;
• le Mastère DPO & Risk Management pour la conformité NIS2, la gestion du risque et le suivi des tiers.

Les fiches métiers de la filière cybersécurité vous aideront à cadrer l'intitulé du poste et les missions confiées. Pour la vue d'ensemble du cursus, consultez la filière cybersécurité complète.

‍

Chez NEXA

Nos étudiants en cybersécurité ne découvrent pas ces sujets en entreprise. Ils les travaillent en formation, sur des cas concrets : scans et analyses de vulnérabilités, veille sur les bulletins officiels, exercices d'audit, projets réels menés en équipe avec livrables et contraintes de temps, format NexChamp en situation d'entreprise, et un accompagnement structuré tout au long de l'alternance.

Le résultat : un alternant qui, dès les premières semaines, sait lire un bulletin de sécurité, distinguer une faille urgente d'une faille secondaire, et produire un tableau de bord lisible par un dirigeant.

👉 Découvrir le Bachelor Administrateur Réseau & Cybersécurité · 👉 Découvrir le Mastère Cybersécurité · 👉 Découvrir NexChamp

Les mêmes enjeux traversent nos autres filières : la gouvernance de la donnée côté IA & Data, la protection des outils et des accès côté Marketing Digital.

Nos campus de Paris, Lyon et Lille accueillent la filière, et notre offre à distance permet de recruter partout en France.

‍

Pourquoi plus de 1 250 entreprises font confiance à NEXA

Former des étudiants, c'est une chose. Les voir prendre en charge un sujet aussi structurant que la gestion des vulnérabilités en est une autre.

Aujourd'hui, plus de 1 250 entreprises partenaires recrutent les alternants NEXA en cybersécurité, marketing digital, développement web et intelligence artificielle : des PME, des ETI, des startups, mais aussi des acteurs publics confrontés à des enjeux majeurs de transformation numérique. C'est notamment le cas de la Ville de Lille, qui accueille des alternants formés par NEXA  voir la formation cybersécurité à Lille en alternance.

Cet accompagnement est porté par des équipes reconnues, avec une 2ᵉ place au classement Best Employer Experience 2026.

92 % d'insertion professionnelle, plus de 30 ans d'expérience, une équipe Relations Entreprises qui gère la présélection et l'administratif, et un financement aidé pouvant atteindre 6 000 € d'aide à l'embauche selon votre situation. Nos entreprises partenaires en parlent mieux que nous.

Vous souhaitez, vous aussi, structurer votre recrutement d'alternants ? Découvrez notre espace dédié aux entreprises

‍

Pour aller plus loin dans la série

• Sauriez-vous qu'on vous attaque, là, maintenant ? (détection)
• Le phishing en entreprise : la faille, c'est l'humain
• La continuité d'activité après une cyberattaque
• Comprendre votre surface d'attaque
• Tous nos articles Alternance & Entreprises