CTEM, au-delà du simple patch

Selon Verizon DBIR 2025, 60 % des organisations victimes d’une intrusion en 2025 disposaient d’un correctif au moment de la compromission. La faille était connue, le patch était prêt, mais il n’a pas été déployé à temps. Ce n’est pas un problème de détection, mais un problème de priorisation.

La plupart des équipes sécurité ne manquent pas d’alertes, elles en ont trop. Entre les scans réseau, les remontées EDR, les bulletins CVE et les audits ponctuels, le vrai risque se noie dans le bruit. Et dans ce bruit, les attaquants trouvent leur chemin.

Les approches traditionnelles, le cycle PDCA, les revues trimestrielles et les correctifs empilés, ont été conçus pour un périmètre stable. Aujourd’hui, ce périmètre s’étend en permanence : cloud, shadow IT, tiers, APIs et le rythme de l’évaluation ne suit plus le rythme de l’exposition.

Le CTEM propose une réponse différente : non pas corriger plus vite, mais réduire l’exposition de l’organisation en permanence, en priorisant les vulnérabilités qui exposent réellement les actifs critiques, au-delà du seul score CVSS.

Le CTEM n’est pas pour tout le monde, et tant mieux

Avant de décrire la méthode, une question honnête s’impose : avez-vous besoin du CTEM ?

Si votre organisation n’a pas encore de processus de gestion des vulnérabilités structuré, d’inventaire d’actifs fiable, de scans réguliers et de responsable clairement désigné, le CTEM n’est pas votre priorité immédiate. Commencez par les fondamentaux : cartographier vos actifs, déployer un scan et établir un cycle de patch. Le CTEM viendra dans un second temps.

Si votre organisation dispose déjà d’un SOC mature, d’une équipe dédiée et d’un outillage complet, vous appliquez probablement déjà une grande partie des principes CTEM sans le nommer. L’enjeu pour vous est moins l’adoption de la méthode que la formalisation et l’optimisation de ce qui existe.

Le CTEM apporte le plus de valeur dans un entre-deux qui concerne la majorité des organisations : celles qui ont dépassé le stade de « on fait ce qu’on peut », qui disposent d’outils de détection, mais qui se noient dans les alertes sans savoir lesquelles traiter en priorité. Celles dont les équipes passent plus de temps à gérer des backlogs de CVE qu’à réduire leur exposition réelle.

C’est précisément pour ces organisations, souvent des ETI, des grandes entreprises en transformation ou des acteurs régulés confrontés à NIS2 ou DORA, que le CTEM change la donne.

Pourquoi les approches traditionnelles ne suffisent plus ?

Pendant longtemps, auditer sa posture de sécurité une à deux fois par an était suffisant. Le périmètre était stable, les CVE publiées se comptaient seulement en quelques milliers, et une faille critique laissait souvent plusieurs semaines avant d’être exploitées.

Ce contexte n’existe plus.

Aujourd’hui, le délai moyen entre la divulgation d’une vulnérabilité critique et sa première exploitation active est tombé à 5 jours. La surface d’attaque s’étend en permanence et à un rythme que les équipes sécurité peinent à suivre. En 2025, plus de 50.000 CVE ont été publiées, soit un rythme de plus en plus insoutenable.

Dans ce contexte, un cycle d’audit trimestriel revient à photographier un périmètre qui a déjà changé le lendemain. La question n’est pas de savoir si la méthode est bonne ou mauvaise : c’est simplement qu’elle n’est plus calibrée pour faire face à des menaces qui évoluent exponentiellement.

Ce que le CTEM apporte n’est pas fondamentalement différent dans ses objectifs : réduire l’exposition, protéger les actifs critiques, allouer les ressources efficacement. La différence tient dans le point de départ. Plutôt que de partir de l’organisation pour cartographier ses risques, le CTEM part du point de vue de l’attaquant : qu’est-ce qui est exploitable aujourd’hui, comment, et avec quel impact sur l’activité ? Ce renversement de perspective change ce qu’on décide de traiter, et surtout dans quel ordre.

Qu’est-ce que le CTEM ?

Le CTEM, ou gestion continue de l’exposition aux menaces, est une stratégie de cybersécurité proactive définie par Gartner. Elle est composée de 5 piliers majeurs et permet de réduire l’exposition réelle aux menaces en fonction de ce qui est crucial pour l’entreprise et de répondre à la complexité croissante des surfaces d’attaque. À l’opposé des méthodes traditionnelles limitées par des audits ponctuels, l’approche CTEM instaure une surveillance continue et proactive de l’exposition aux risques. En s’appuyant sur l’analyse en temps réel du comportement des attaquants et sur l’automatisation, elle élimine les angles morts entre les évaluations pour identifier et corriger rapidement les vulnérabilités émergentes. Ce processus permet une priorisation stratégique des actions correctives, réduisant ainsi drastiquement la probabilité et l’impact des cyberattaques.

Quels sont les 5 piliers du CTEM ?

La méthode s’articule en cinq phases qui forment un cycle continu et c’est précisément cette continuité qui la distingue d’un audit classique.

1- Définition du périmètre

Tout commence par une question simple : qu’est-ce qu’on protège, et pourquoi ? Cette phase aligne les équipes sécurité et les métiers sur les actifs vraiment critiques, ceux dont la compromission aurait un impact réel sur l’activité. Sans ce cadrage, tout le reste repose sur des hypothèses.

2- Découverte

Une fois le périmètre défini, il faut l’observer tel qu’il est et non tel qu’on croit qu’il est. Actifs non inventoriés, shadow IT, services exposés sans le savoir, cette phase permet de cartographier en continu ce qu’un attaquant pourrait voir et atteindre.

3- Priorisation

C’est souvent ici que les organisations perdent du temps. Toutes les vulnérabilités ne méritent pas la même urgence. Cette phase permet de trier les expositions selon leur exploitabilité réelle et leur impact potentiel sur les actifs critiques pas seulement selon leur score CVSS.

4- Validation

Avant d’engager des ressources sur une remédiation, encore faut-il confirmer que la faille est réellement exploitable dans votre contexte. Tests d’intrusion, simulation d’attaque, analyse des chemins d’accès concrets : cette phase permet de transformer une hypothèse de risque en certitude documentée.

5- Amélioration continue

La dernière phase intègre les correctifs directement dans les workflows existants (patch, reconfiguration, contrôle compensatoire) avec un suivi par KPIs pour mesurer la progression réelle de la posture de sécurité dans le temps.

Ces cinq phases ne se déroulent pas une fois par an. Elles tournent en continu, ce qui permet d’absorber les changements de périmètre et les nouvelles menaces sans attendre le prochain audit et ainsi être plus proactif dans la gestion continue de la menace.

Quels sont les objectifs de l’approche CTEM ?

Les objectifs de la stratégie CTEM sont multiples :

• Offrir davantage de visibilité sur les failles pour maintenir une défense plus forte grâce à une évaluation permanente.
• Améliorer la gestion des risques en identifiant et corrigeant les vulnérabilités et les vecteurs d’attaque avant qu’ils ne soient exploités.
• Prioriser et allouer des ressources et concentrer les ressources sur les vulnérabilités les plus critiques en fonction de leur impact potentiel.
• Améliorer la détection et la réponse aux incidents en réduisant le temps de réponse grâce à des informations en temps réel.
• Valider l’efficacité du dispositif en évaluant régulièrement les mesures de sécurité en place pour en garantir l’efficacité réelle et constante.

Quels sont les défis rencontrés ?

L’implémentation du CTEM peut se heurter plusieurs défis majeurs :

• La pénurie de talents et de ressources
• La complexité technique (intégration d’outils et équilibre automatisation/humain)
• Le « bruit » des données face au volume de failles, et la résistance au changement.

Pour réussir, l’organisation doit actionner des leviers stratégiques tels que :

• Une priorisation intelligente axée sur le risque réel
• Un investissement dans le capital humain par la formation des employés
• Le développement d’une culture de collaboration transverse
• Un engagement sur le long terme via l’amélioration continue

En somme, le succès du CTEM réside moins dans l’outil que dans l’alignement des ressources sur les priorités métiers.

Quelles sont les solutions utilisées pour appliquer le CTEM ?

Une précision utile avant de présenter ces solutions : le CTEM n’exige pas un arsenal technologique complet pour démarrer. Certaines organisations avancent avec un scan de vulnérabilités, un outil EASM et une bonne discipline de priorisation et obtiennent des résultats concrets. D’autres, plus matures, s’appuient sur des plateformes plus intégrées. Le point de départ dépend de votre contexte et non d’une liste à cocher.

Ce qui suit est donc un panorama des catégories d’outils qui s’inscrivent dans une logique CTEM pour comprendre ce qu’ils adressent, et identifier ceux qui correspondent à vos lacunes actuelles plutôt qu’à un idéal théorique.

Solutions	Besoin
EASM	Quelle est mon exposition au web ?
CAASM	Quels sont tous mes actifs ?
ASPM	Mon code est-il sûr ?
CNAPP	Mon infrastructure cloud est-elle protégée ?
DSPM	Où sont mes données sensibles et qui les voit ?
Scans de vulnérabilités	Quelles sont les failles logicielles et défauts de configuration connus ?
BAS	Mes contrôles de sécurité fonctionnent-ils réellement face à une attaque ?

Ces catégories ne sont pas toutes au même niveau de priorité. Pour une organisation qui démarre, la combinaison scans de vulnérabilités + EASM couvre déjà une part significative de l’exposition externe. Les autres couches comme CAASM, CNAPP, DSPM prennent tout leur sens une fois que les fondamentaux sont en place et que les équipes ont la capacité de traiter ce que ces outils remontent.

Comment pouvons-nous vous accompagner sur le sujet ?

La priorisation des vulnérabilités

Face à des centaines ou des milliers d’alertes, la vraie difficulté n’est pas technique mais c’est de savoir lesquelles traitent un risque réel pour votre organisation, et lesquelles peuvent attendre.

Notre travail commence par croiser trois dimensions que les approches classiques traitent souvent séparément.

La 1ère est la sévérité intrinsèque d’une faille, mesurée par le score CVSS, qui est un point de départ nécessaire, mais insuffisant. Une vulnérabilité très bien notée qui n’intéresse pas les attaquants dans votre secteur, ou qui touche un actif sans lien avec vos processus critiques, ne mérite pas la même urgence qu’une faille plus modeste exposant votre infrastructure de production.

Nous intégrons donc deux autres dimensions : la probabilité d’exploitation réelle, via l’EPSS, qui mesure dynamiquement les comportements observés des attaquants sur les 30 derniers jours et la criticité métier des actifs concernés, définie avec vos équipes pour refléter ce qui compte vraiment pour votre activité.

Ce croisement produit quelque chose de simple en apparence mais difficile à construire seul : une liste courte. Dix à vingt vulnérabilités sur lesquelles concentrer les efforts dans l’immédiat, avec une justification claire pour chacune ce qui facilite aussi bien la mobilisation des équipes techniques que les arbitrages en COMEX ou les échanges avec un auditeur NIS2 ou DORA.

C’est la prestation que Lovell propose aux organisations qui veulent sortir de la gestion par le volume pour passer à une gestion par le risque réel. Si vous voulez évaluer ce que cette approche changerait concrètement pour votre organisation, nous sommes disponibles pour en discuter.

Image de wayhomestudio sur Freepik