{"id":1356,"date":"2026-09-09T15:18:24","date_gmt":"2026-09-09T13:18:24","guid":{"rendered":"https:\/\/www.cybi.fr\/?page_id=1356"},"modified":"2026-09-09T15:18:25","modified_gmt":"2026-09-09T13:18:25","slug":"bod-26-04","status":"publish","type":"page","link":"https:\/\/www.cybi.fr\/index.php\/bod-26-04\/","title":{"rendered":"BOD 26 04"},"content":{"rendered":"\n
\n

BOD 26-04 : priorisation des vuln\u00e9rabilit\u00e9s par l’accessiblit\u00e9<\/h1>\n<\/div><\/div>\n\n\n\n
\n\n\n\n
\n
\n
\n
\n

Les backlogs de vuln\u00e9rabilit\u00e9s ne mentent pas. Les listes de priorit\u00e9s, si.<\/h2>\n<\/div>\n\n\n\n
\n

La norme BOD 26-04 de la CISA remplace le scoring bas\u00e9 uniquement sur le CVSS par quatre signaux de risque \u00e9valu\u00e9s conjointement. T\u00e9l\u00e9chargez le livre blanc pour d\u00e9couvrir ce qui change, pourquoi c’est plus difficile \u00e0 mettre en \u0153uvre qu’il n’y para\u00eet, et o\u00f9 se situe l’analyse bas\u00e9e sur l’accessibilit\u00e9.<\/p>\n<\/div>\n\n\n\n

\n
\n
T\u00e9l\u00e9charger le livre blanc <\/div><\/a><\/div><\/div>\n\n\n\n
Lire le r\u00e9sum\u00e9<\/div><\/path><\/svg><\/span><\/a><\/div><\/div>\n<\/div><\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n
\n
\"\"<\/figure>\n<\/div>\n<\/div><\/div>\n\n\n\n
\n
\n

3 jours<\/h2>\n\n\n\n

Fen\u00eatre de rem\u00e9diation quand les quatre crit\u00e8res sont r\u00e9unis<\/p>\n<\/div>\n\n\n\n

\n

4<\/h2>\n\n\n\n

Signaux de risques \u00e9valu\u00e9s conjointement, et non additionn\u00e9s<\/p>\n<\/div>\n\n\n\n

\n

2019<\/h2>\n\n\n\n

Mandat pilot\u00e9 par le CVSS, remplac\u00e9 apr\u00e8s sept ans<\/p>\n<\/div>\n<\/div><\/div>\n\n\n\n

\n
\n
\n
\n
\n

Au sommaire<\/p>\n\n\n\n

\n
    \n
  1. Ce qui a chang\u00e9 : la directive, en d\u00e9tail<\/li>\n\n\n\n
  2. Pourquoi c’est plus difficile qu’il n’y para\u00eet<\/li>\n\n\n\n
  3. O\u00f9 se situe l’analyse d\u00e9terministe des chemins d’attaque<\/li>\n\n\n\n
  4. \u00c9tude de cas : un sc\u00e9nario concret<\/li>\n\n\n\n
  5. Points cl\u00e9s \u00e0 retenir<\/li>\n<\/ol>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n\n\n
    \n

    Ce qui a chang\u00e9<\/h2>\n<\/div>\n\n\n\n
    \n

    Le 10 juin 2026, la CISA a publi\u00e9 la \u00ab\u00a0Binding Operational Directive 26-04\u00a0\u00bb, rempla\u00e7ant le mandat de rem\u00e9diation pilot\u00e9 par le CVSS en vigueur depuis 2019. Les vuln\u00e9rabilit\u00e9s sont d\u00e9sormais prioris\u00e9es selon quatre signaux \u00e9valu\u00e9s conjointement comme l’exposition des actifs, l’exploitation connue, l’automatisabilit\u00e9 et l’impact technique, avec une fen\u00eatre de rem\u00e9diation de trois jours pour toute vuln\u00e9rabilit\u00e9 r\u00e9pondant aux quatre crit\u00e8res.<\/p>\n<\/div>\n\n\n\n

    \n

    Pourquoi c’est plus difficile qu’il n’y para\u00eet<\/h2>\n<\/div>\n\n\n\n
    \n

    Chaque crit\u00e8re ressemble \u00e0 une simple v\u00e9rification. En pratique, chacun se ram\u00e8ne \u00e0 la m\u00eame question : \u00e0 quoi ressemble r\u00e9ellement votre r\u00e9seau, en ce moment m\u00eame. Un flux de CVE et un tableur ne peuvent pas r\u00e9pondre \u00e0 cela, il faut mod\u00e9liser le r\u00e9seau sous forme de graphe d’accessibilit\u00e9 et de privil\u00e8ges.<\/p>\n<\/div>\n\n\n\n

    \n

    O\u00f9 se situe l’analyse d\u00e9terministe des chemins d’attaque<\/h2>\n<\/div>\n\n\n\n
    \n

    Plut\u00f4t que de scorer les vuln\u00e9rabilit\u00e9s individuellement, cette approche mod\u00e9lise les actifs, les identit\u00e9s et les relations de confiance sous forme de graphe, et calcule, au lieu d’estimer, quelles vuln\u00e9rabilit\u00e9s se trouvent sur un chemin r\u00e9el et accessible vers une cible significative. Le livre blanc d\u00e9taille les m\u00e9canismes ainsi qu’un sc\u00e9nario concret.<\/p>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n

    \n

    T\u00e9l\u00e9charger le livre blanc<\/h2>\n\n\n\t\t\t
    \n\t\t\t\t\t\t