Une même faille ne représente pas le même risque dans tous les produits.

Quatre éléments

Chaque niveau repose sur les mêmes quatre éléments. Les deux premiers viennent du résultat. Les deux derniers viennent de ce que vous nous dites de votre produit.

1. 1

   La gravité de la faille

   Nous partons de la gravité de la faille : la plus élevée entre l’étiquette du scanner lui-même et la note publiée de la vulnérabilité. Nous ne partons jamais en dessous de ce que dit le scanner.

2. 2

   Si des attaquants l’utilisent

   Si la faille figure dans la liste de la CISA des vulnérabilités exploitées connues, quelle est la probabilité qu’elle soit exploitée (le score EPSS) et si votre propre code atteint la partie vulnérable.

3. 3

   Ce qu’est votre produit

   Qui l’utilise, y compris les secteurs cités par la directive européenne NIS2. S’il relève d’une catégorie de produits que le règlement européen sur la cyberrésilience juge importante ou critique. S’il fonctionne sur un réseau industriel. Et le pire qu’une attaque pourrait provoquer.

4. 4

   S’il est accessible depuis Internet

   Oui, en partie ou non. Une faille qu’un attaquant peut atteindre depuis Internet est plus urgente qu’une faille protégée par un pare-feu.

Les deux derniers éléments viennent de quatre questions que KROMSE vous pose sur chaque produit : qui l’utilise, de quoi il s’agit, s’il est accessible depuis Internet et le pire qui pourrait arriver en cas d’attaque. Vous pouvez modifier vos réponses à tout moment.

Trois produits, une même faille

La faille : un défaut de gravité Élevée (CVSS 7.5) dans une bibliothèque TLS. Sa probabilité d’exploitation est de 12 %, votre code importe la bibliothèque et elle ne figure pas sur la liste de la CISA. Voici ce que cela signifie pour trois produits différents.

Ce que Votre risque ne vous dit pas

• Ce n’est pas la probabilité d’être attaqué ou victime d’une intrusion.
• Ce n’est pas une qualification juridique. KROMSE ne décide pas si le CRA ou NIS2 s’applique à vous, ni de quelle classe relève votre produit. Votre classe CRA est votre déclaration.
• Un niveau Faible ne veut pas dire sûr. Il désigne une faille connue qui peut attendre, pas l’absence de failles.
• Il ne remplace pas les personnes qui décident quoi corriger et quand.

NIS2 et le règlement sur la cyberrésilience

NIS2 est la directive européenne sur la sécurité des réseaux et des systèmes d’information. Le règlement sur la cyberrésilience (CRA) est le règlement européen sur la cybersécurité des produits comportant des éléments numériques. KROMSE n’utilise leurs listes de secteurs et de catégories de produits que pour comprendre les dégâts qu’une faille pourrait causer. Il ne vous dit pas si l’un ou l’autre texte s’applique à vous.