Pourquoi Guardian360 remplace son moteur de scan, et pourquoi « moins » signifiera « plus sûr »

Si vous travaillez avec des scanners de vulnérabilités depuis un certain temps, vous connaissez le schéma : lancer un scan, obtenir une liste interminable, trier par gravité, et commencer à traquer les alertes rouges.

Cela fonctionne, jusqu'au jour où ce n'est plus le cas.

Car la réalité de 2026 est la suivante : les données de vulnérabilités explosent, le comportement des attaquants évolue rapidement, et la ressource la plus rare dans la plupart des équipes IT n'est pas l'outillage, c'est le temps.

C'est pourquoi Guardian360 apporte deux changements majeurs à Lighthouse :

1. Nous remplaçons notre arsenal de scanners (notre « salle des machines » de scan).
2. Nous introduisons une approche basée sur le risque qui relie les constats techniques au risque métier, en cohérence avec ISO 27001, NIS2 et d'autres référentiels.

Et oui : pour de nombreux partenaires et clients, cela soulèvera une question légitime :

« Allons-nous voir moins de vulnérabilités… et est-ce réellement plus sûr ? »

Décortiquons le « pourquoi » derrière ces décisions, et expliquons pourquoi des constats moins nombreux mais plus pertinents mènent généralement à de meilleurs résultats, de meilleures analyses et une utilisation bien plus efficace d'heures coûteuses.

1. Pourquoi nous remplaçons notre arsenal de scanners

Nous reconstruisons les fondations pour rendre le scan :

• Plus fiable (résultats cohérents, moins de surprises liées aux cas limites)
• Plus rapide (moins d'attente, une visibilité plus continue)
• Plus léger (empreinte et charge opérationnelle réduites)

Il y a également une raison stratégique :

Dépasser les machines virtuelles au profit d'un agent

Aujourd'hui, de nombreuses solutions de scan reposent encore largement sur des machines virtuelles et des déploiements lourds. Notre orientation est claire : rendre possibles des capacités basées sur un agent, afin que les partenaires et clients puissent bénéficier d'une couverture sans devoir systématiquement maintenir des appliances virtuelles comme approche par défaut.

Il ne s'agit pas de changement pour le principe du changement. Il s'agit de bâtir une plateforme de scan prête pour la prochaine phase de Lighthouse : des informations continues, moins de friction opérationnelle et des résultats plus exploitables.

2. Pourquoi nous introduisons une approche basée sur le risque (et pourquoi elle correspond mieux à ISO 27001 et à NIS2)

La plupart des scanners sont conçus pour répondre à une question technique :

« Quelle est la gravité de cette vulnérabilité ? »

Mais ISO 27001, NIS2 et la gouvernance de sécurité moderne exigent de répondre à une question différente :

« Qu'est-ce que cela signifie concrètement pour notre organisation, et que devons-nous faire en premier ? »

Ce changement de perspective compte, car la gravité technique seule ne décrit pas le risque métier. Le risque métier dépend du contexte : où se trouve la vulnérabilité, ce qu'elle touche, et ce qui se passe si elle est exploitée.

La triade CIA : l'ingrédient manquant d'une gestion des vulnérabilités fondée uniquement sur la gravité

Un moyen concret de rendre ce contexte explicite est la triade classique CIA (confidentialité, intégrité, disponibilité) :

• Confidentialité : l'exploitation exposerait-elle des informations sensibles (données clients, propriété intellectuelle, identifiants, dossiers médicaux) ?
• Intégrité : l'exploitation permettrait-elle une altération (modification de données, manipulation de transactions, altération de configurations, corruption de journaux) ?
• Disponibilité : l'exploitation pourrait-elle provoquer une interruption ou une perturbation (impact d'un ransomware, panne de service, arrêt de production) ?

Autrement dit : un même CVE peut signifier des choses très différentes selon le profil CIA de l'actif concerné.

Exemple : même vulnérabilité, risque métier différent

Une vulnérabilité de « gravité élevée » sur un serveur de test à faible valeur peut être gênante, sans pour autant menacer l'activité.

Cette même vulnérabilité, présente sur :

• un système qui traite la paie (intégrité),
• un portail client contenant des données personnelles (confidentialité),
• ou une application critique pour un hôpital (disponibilité),

…devient soudainement un risque métier substantiel.

 Plutôt que de traiter chaque constat de manière égale et de trier uniquement par score CVSS, une approche basée sur le risque pose les questions suivantes :

• Quel actif est concerné ?
• Quelle est l'importance de cet actif pour la confidentialité, l'intégrité et la disponibilité ?
• Est-il accessible et exploitable dans cet environnement ?
• Quel est l'impact réel en cas d'exploitation ?
• Quelle est l'action suivante la plus efficace ?

Pourquoi cela correspond mieux à ISO 27001 et à NIS2

ISO 27001 n'est pas une norme qui consiste à « collecter toutes les vulnérabilités ». Il s'agit de faire fonctionner un SMSI qui identifie, évalue et traite le risque de manière contrôlée et reproductible. Une approche basée sur le risque soutient directement cet objectif : vous pouvez démontrer pourquoi vous avez priorisé un élément, ce que vous avez fait, et comment cela a réduit le risque.

NIS2 pousse les organisations vers une résilience mesurable et une gestion des risques responsable, pas uniquement vers des résultats techniques. Une approche basée sur le risque aide les partenaires et clients à communiquer en termes métier, car les conseils d'administration et les auditeurs ne veulent pas entendre « nous avions 8 000 constats », mais « nous avons réduit le risque pesant sur les services critiques ».

Le résultat : de meilleures décisions, de meilleures preuves, moins d'efforts gaspillés

En reliant les constats à la triade CIA et au contexte métier, Lighthouse peut passer de :

• « Voici une liste effrayante »

à :

• « Voici les problèmes qui menacent réellement ce qui compte pour vous, et voici l'ordre le plus judicieux pour les corriger. »

C'est là le cœur de l'approche basée sur le risque : non pas moins de contrôles, mais une meilleure priorisation et une gouvernance plus solide.

3. La vérité qui dérange : tous les CVE ne concernent pas votre environnement

Voici l'aspect souvent oublié dans la gestion des vulnérabilités : l'univers des CVE est immense, et la grande majorité ne concernera jamais l'environnement spécifique de votre client.

• La National Vulnerability Database (NVD) recense plusieurs centaines de milliers de CVE (plus de 326 000 au moment de la rédaction) ( https://nvd.nist.gov/general/nvd-dashboard).
• Parallèlement, le catalogue Known Exploited Vulnerabilities (KEV) de la CISA, une référence pratique de type « exploité activement », contient environ 1 484 entrées (données de fin 2025) ( https://www.securityweek.com/cisa-kev-catalog-expanded-20-in-2025-topping-1480-entries).

Ce contraste ne signifie pas « ignorez tout le reste ». Il signifie que :

La gravité n'équivaut pas au risque

Un score CVSS indique à quel point une situation pourrait être grave sous certaines hypothèses. Il n'indique pas la probabilité qu'elle soit exploitée dans les jours ou semaines à venir.

C'est pourquoi des modèles comme EPSS existent : ils estiment la probabilité d'exploitation à partir de signaux et de tendances observés. La documentation EPSS du FIRST montre que l'activité d'exploitation tend à se concentrer sur un petit sous-ensemble des CVE publiés (leur exemple indique environ 2,7 % avec une activité d'exploitation observée sur une fenêtre de 30 jours) ( https://www.first.org/epss/model).

Et les rapports de menace continuent de montrer que l'exploitation constitue un vecteur d'accès initial majeur, mais là encore concentré là où les attaquants obtiennent le meilleur retour sur investissement. Le rapport DBIR 2025 de Verizon met en évidence l'exploitation des vulnérabilités comme l'un des principaux vecteurs de compromission (20 %) et note une augmentation significative d'une année sur l'autre (https://www.verizon.com/about/news/2025-data-breach-investigations-report).

Donc oui : les vulnérabilités comptent. Mais pas de manière égale, et pas toutes en même temps.

4. Pourquoi « moins de vulnérabilités » peut mener à de meilleurs résultats en sécurité

Une liste massive de constats crée trois problèmes prévisibles :

1) Le bruit enterre le signal

Quand tout paraît urgent, plus rien ne l'est vraiment. Les équipes consacrent leur énergie à trier des éléments techniquement valides mais concrètement sans importance.

2) Le temps est consacré à ce qui est facile, pas à ce qui est risqué

Sans contexte métier, la remédiation devient un concours de popularité du correctif : « le CVSS le plus élevé en premier », même si le système concerné n'est pas critique ou n'est pas accessible.

3) Le reporting devient performatif

Vous finissez par prouver que vous avez travaillé dur, au lieu de prouver que vous avez réduit le risque.

Une approche basée sur le risque inverse cette logique :

• Se concentrer sur ce qui est exploitable, accessible et substantiel
• Relier les constats à l'impact métier
• Rendre la remédiation mesurable, explicable et auditable

 C'est ainsi que la gestion des vulnérabilités devient durable, et non héroïque.

5. Ce que les partenaires peuvent attendre de Lighthouse

Avec la nouvelle fondation de scan et l'approche basée sur le risque, les partenaires bénéficieront de :

• Une meilleure visibilité sur le risque métier (en complément des niveaux de gravité technique)
• Des résultats de scan plus pertinents, réduisant les efforts inutiles
• Une remédiation plus efficace, car les actions sont priorisées selon le risque réel et le contexte métier
• Des preuves de conformité plus solides, car les décisions et actions peuvent être expliquées et rattachées aux exigences de gouvernance

C'est ainsi que nous donnons un sens concret à notre mission :

« La gouvernance et la résilience numériques à portée de main. »

Et à notre vision :

« Donner aux décideurs les informations nécessaires pour sécuriser, mettre en conformité et optimiser leur activité. »

6. En résumé

Notre objectif n'est pas de montrer davantage de constats.

Notre objectif est de montrer les bons constats, au bon moment, dans le bon contexte, afin que les partenaires et clients puissent consacrer leur temps limité là où il réduit le plus le risque.

Si vous avez l'habitude de scanners qui affichent fièrement « 10 000 problèmes détectés », ce changement peut sembler contre-intuitif au premier abord.

Mais en pratique, moins de bruit + plus de pertinence = de meilleures analyses + une réduction plus rapide du risque.

Et c'est exactement la direction que prend Lighthouse.