· 5 min de lecture.
Pourquoi une fiche incomplète coûte cher
Prenons deux fiches publiées le même jour pour deux failles de gravité équivalente.
La première précise l'éditeur, le produit, les versions 2.0 à 2.14.1, un identifiant de produit normalisé, un vecteur CVSS et une CWE. Un outil de veille la rapproche de votre inventaire en une fraction de seconde, et vous recevez une alerte ou rien — dans les deux cas, une réponse.
La seconde dit « une vulnérabilité affecte le produit X », sans version. Aucun outil ne peut trancher. Deux issues possibles, mauvaises toutes les deux : on l'écarte et on prend un risque, ou on la remonte et on ajoute du bruit. C'est ce coût-là que la notation cherche à rendre visible.
Les quatre critères
Chaque CNA reçoit une note synthétique calculée sur la part de ses fiches qui renseignent correctement les quatre champs suivants :
| Critère | Question posée à la fiche | Ce qu'il permet |
|---|---|---|
| Éditeur | Le fournisseur affecté est-il identifié ? | Le premier tri, avant même le produit |
| Produit et version | Le produit et sa plage de versions sont-ils présents, sous forme normalisée ? | Le rapprochement automatique avec un inventaire |
| Score CVSS | Un vecteur complet est-il fourni ? | Le tri par gravité, et la lecture du vecteur |
| Faiblesse (CWE) | La classe de défaut est-elle renseignée ? | L'analyse des tendances et le travail de fond |
Ces quatre critères ne jugent pas l'exactitude d'une fiche — nous n'avons aucun moyen de la vérifier à l'échelle. Ils jugent sa complétude, c'est-à-dire sa capacité à être traitée par une machine. C'est une mesure modeste, et c'est justement ce qui la rend honnête.
L'échelle de notes
| Note | Complétude des fiches |
|---|---|
| A | Excellente — presque tous les champs renseignés, presque toujours |
| B | Bonne — un champ manque régulièrement, en général la CWE |
| C | Moyenne — les versions affectées sont inégalement renseignées |
| D | Faible — le rapprochement automatique échoue souvent |
| F | Très incomplète — la fiche doit être reprise à la main |
Le volume n'est pas la qualité
Le constat le plus constant : certaines CNA à très gros volume affichent une complétude faible, tandis que des CNA spécialisées, qui publient dix fois moins, produisent des fiches presque parfaites. La note neutralise l'effet de taille en travaillant sur des proportions, jamais sur des totaux.
Ce n'est pas un procès. Une CNA qui traite des milliers de signalements communautaires par an n'a pas les moyens d'une équipe produit d'éditeur. Le classement sert à savoir à quoi s'attendre, pas à distribuer des bons points.
Et concrètement, pour vous
Même sans classement publié, la grille est réutilisable telle quelle : devant une alerte qui vous laisse perplexe, vérifiez les quatre champs dans l'ordre. Éditeur, version, vecteur, faiblesse. S'il en manque deux ou plus, ne cherchez pas l'erreur dans votre outil : allez lire l'avis de sécurité de l'éditeur, qui contient presque toujours ce que la fiche a omis.
Questions fréquentes
Comment la note est-elle calculée ?
Sur la part des fiches d'une CNA qui renseignent correctement les quatre critères, indépendamment du volume publié. Une CNA qui publie 30 fiches et une autre qui en publie 3 000 sont comparées sur le même terrain.
Une note basse signifie-t-elle une CNA peu sérieuse ?
Non. Elle signale une fiche difficile à traiter automatiquement. Plusieurs CNA publient vite et en masse, ce qui est précieux pour la couverture, au prix de métadonnées incomplètes. Ce sont deux qualités différentes, et on ne peut pas toujours avoir les deux.
Le classement des CNA est-il publié ?
Pas encore. La méthode est appliquée en interne pour pondérer la confiance accordée à chaque source. Nous publierons le classement quand l'historique sera assez profond pour qu'une note publique soit défendable.