Les délais de correction

Le CRA vous demande de traiter les vulnérabilités sans délai (annexe I, partie II). Délais de correction mesure le temps que vous y mettez réellement, face aux délais cibles que vous fixez, et vous en donne une trace datée. C’est compris dans les offres payantes.

1. Ouvrez Délais de correction, sous Signaler. Pour chaque gravité, et pour les vulnérabilités activement exploitées, vous voyez le délai cible, combien ont été traitées ces 12 derniers mois, combien dans le délai, la durée médiane, et combien restent ouvertes ou sont en retard.
2. En dessous, les vulnérabilités en retard, la plus en retard d’abord.
3. Les propriétaires et administrateurs fixent les délais cibles en jours entiers, de 1 à 365. Par défaut : 7 jours pour une vulnérabilité activement exploitée ou critique, 30 pour une élevée, 90 pour une moyenne, 180 pour une faible. Laissez une case vide pour ne pas fixer de délai. Chaque changement est inscrit au journal de preuves.
4. Cliquez sur Télécharger le journal de preuves (CSV) : une ligne par vulnérabilité, avec le début du décompte, comment et quand elle a été traitée, le nombre de jours et le délai cible. Son empreinte SHA-256 est inscrite au journal de preuves, pour montrer plus tard qu’une copie n’a pas été modifiée.

Comment c’est mesuré. Une vulnérabilité, c’est un avis de sécurité dans une version d’un composant d’un produit, comme une déclaration VEX. Le décompte part du moment où la veille l’a trouvée dans le produit ; pour une vulnérabilité activement exploitée, du moment où un catalogue (CISA KEV, EUVD) l’a signalée pour la première fois, et c’est le délai « activement exploitée » qui s’applique, quelle que soit sa gravité. Elle est traitée quand vous l’évaluez comme non concernée ou corrigée (à la date où vous l’avez fermée : modifier le texte ensuite ne la déplace pas), ou quand plus aucune version supportée du produit ne la contient (quand la veille l’a trouvée disparue). En cours d’analyse et concernée la laissent ouverte. Une vulnérabilité évaluée avant qu’un catalogue la signale comme exploitée est jugée selon sa propre gravité. La gravité retenue est la plus récente : une vulnérabilité passée en critique est mesurée face au délai critique. Les vulnérabilités sans gravité ne sont comptées qu’une fois exploitées, et celles laissées ouvertes dans un produit archivé ne comptent nulle part.

Rien n’est stocké pour cette page : elle est calculée à chaque fois à partir des constats de la veille et de vos déclarations VEX.