Chaque découverte d'un audit peut être assignée à une ou plusieurs personnes, suivie par un statut de triage et discutée dans un fil de résolution. Ce suivi est attaché à la vulnérabilité elle-même : il est repris automatiquement d'un audit au suivant, tant que la vulnérabilité reste présente.

Où se trouve le bloc « Triage et suivi »

Ouvrez les résultats d'un audit (voir Consulter les résultats d'un audit), puis cliquez sur une découverte dans le tableau. Le panneau de détail qui s'ouvre contient le bloc Triage et suivi, juste sous la criticité.

Les personnes à qui une vulnérabilité est assignée retrouvent ce même bloc depuis la page Plan de traitement, décrite en fin d'article.

Le statut de triage

Le statut décrit l'avancement du traitement. Les cinq premiers statuts forment le parcours normal d'une correction :

Nouveau : découverte non encore prise en charge. C'est le statut par défaut.
En cours de qualification : analyse en cours pour déterminer si la découverte doit être traitée.
Confirmé, à corriger : vulnérabilité confirmée, une correction est attendue.
En cours de correction : une correction est en cours de déploiement.
Corrigé : la correction a été appliquée.

Le statut Risque accepté sort de ce parcours : il clôt le suivi sans correction, lorsque le risque est connu et assumé.

ℹ️ Le triage ne remplace pas la réévaluation. Si vous estimez qu'une découverte n'est pas une vulnérabilité, marquez-la en faux positif (voir Réévaluer ou marquer en faux positif une découverte).

Assigner une ou plusieurs personnes

Dans le bloc Triage et suivi, le champ Assigné à permet de désigner une ou plusieurs personnes responsables de la correction.

Les personnes proposées remplissent les deux conditions suivantes :

elles font partie des utilisateurs que vous pouvez gérer (votre périmètre d'utilisateurs) ;
elles ont accès aux résultats de cet audit.

Les contributeurs font exception à la seconde condition : ils n'ont accès à aucun audit, et c'est précisément l'assignation qui leur ouvre l'accès à cette seule vulnérabilité. Ils apparaissent dans la liste avec la mention (contributeur). Voir Rôles disponibles sur l'application.

⚠️Les lecteurs et les contributeurs ne peuvent pas modifier les personnes assignées. Un contributeur ne peut donc ni se retirer d'une vulnérabilité, ni la transmettre à quelqu'un d'autre.

Le fil de résolution

Le fil rassemble, dans l'ordre chronologique, tout ce qui s'est passé sur la vulnérabilité :

les commentaires écrits par les intervenants ;
les changements de statut, avec leur auteur et leur date ;
les ajouts et retraits de personnes assignées.

Vous pouvez modifier ou supprimer vos propres commentaires ; un commentaire modifié est signalé comme tel. En revanche, les changements de statut et d'assignation ne sont pas modifiables : ils constituent l'historique du traitement.

Chaque évènement indique l'audit dans lequel il a eu lieu, ce qui permet de relire l'historique d'un audit à l'autre.

Le suivi d'un audit au suivant

Une vulnérabilité est reconnue d'un audit à l'autre par le même rapprochement que celui utilisé pour les réévaluations : même organisation, même adresse IP et mêmes domaines, même port, même service et même intitulé. Lorsque ces éléments n'ont pas changé, le statut, les personnes assignées et le fil de résolution sont automatiquement repris dans le nouvel audit.

ℹ️ Si vous avez réévalué la découverte en changeant son intitulé, le rapprochement continue de se faire sur l'intitulé d'origine : le fil de résolution n'est pas perdu.

Filtrer les découvertes par statut ou par personne

Dans le tableau des résultats d'un audit, le filtre Triage permet de n'afficher que certains statuts, ou uniquement les découvertes assignées à une personne donnée. Seules les personnes ayant au moins une découverte assignée dans cet audit sont proposées, ainsi qu'un choix Non assigné.

La page « Plan de traitement »

Accessible depuis le menu latéral, cette page rassemble le plan de traitement : les vulnérabilités qui ont été confiées à quelqu'un pour correction, tous audits et toutes organisations confondus. Ce qu'elle affiche dépend de votre profil :

Les utilisateurs, gestionnaires et lecteurs y voient toutes les vulnérabilités assignées dans leur périmètre, quelle que soit la personne assignée. Un gestionnaire ne voit que ses propres organisations.
Un contributeur n'y voit que les vulnérabilités qui lui sont personnellement assignées.

⚠️Cette page n'est pas la liste de tout ce qui reste à corriger : elle ne montre que les vulnérabilités déjà assignées à une personne. Une page vide signifie donc qu'aucune assignation n'a encore été faite, et non qu'il n'y a rien à corriger. Les découvertes non assignées se retrouvent dans les résultats de vos audits, où vous pouvez les assigner à leur tour.

Pour s'y retrouver quand la liste s'allonge :

Les vulnérabilités encore à traiter apparaissent dans une première liste, celles déjà corrigées dans une seconde liste en dessous.
Des filtres sur le statut de triage et sur la personne assignée, un bouton Assignées à moi et un tri par date de découverte sont disponibles en haut de page.
Cliquez sur une ligne pour déplier le détail complet de la vulnérabilité (description, recommandation, score CVSS, CVEs, éléments techniques) et son bloc de triage.

ℹ️ Une vulnérabilité qui n'a pas été retrouvée dans le dernier audit reste affichée, avec un message le signalant et le détail du dernier audit où elle a été observée. Elle a peut-être été corrigée, ou sa cible est peut-être sortie du périmètre : c'est à vous de clôturer son suivi.

Le tableau de bord reprend ce plan de traitement dans une carte Plan de traitement : nombre de vulnérabilités en cours de traitement, répartition par statut et vulnérabilités les plus critiques. Les contributeurs, eux, disposent d'un tableau de bord entièrement dédié aux vulnérabilités qui leur sont assignées.

🛠️Assigner et suivre la correction d'une vulnérabilité