CTEM : les cinq étapes expliquées

La gestion continue de l'exposition aux menaces, ou CTEM (continuous threat exposure management), est passée en trois ans du vocabulaire des analystes au cahier des charges des responsables de la sécurité. Le terme est souvent réduit à « de la gestion des vulnérabilités en mieux ». C'est une erreur de lecture : le CTEM est un cycle de cinq étapes dont deux, le cadrage et la validation, n'existent pas dans un programme de correctifs classique.

Ce que disent les sources

Le SANS Institute, dans un livre blanc de Jonathan Risto publié le 16 juillet 2024, pose le cadre : « le CTEM repose sur cinq étapes de processus : cadrage, découverte, priorisation, validation et mobilisation ». Le même document précise que le CTEM ne remplace pas la gestion de la surface d'attaque, mais s'appuie dessus et l'étend, et qu'il « ne réussit que s'il est traité comme une discipline organisationnelle continue plutôt que comme un déploiement unique ou l'achat d'un produit ».

Un an plus tard, le 22 juillet 2025, le même auteur publie chez SANS un modèle de maturité qui décrit chaque étape. Le cadrage consiste à « comprendre le contexte d'affaires, le paysage des menaces et l'environnement réglementaire ». La découverte identifie « les actifs internes et externes, les expositions, les mauvaises configurations et les risques liés aux tiers ». La priorisation « relie les expositions à l'impact métier, aux chemins d'attaque, aux acteurs de menace et à l'exploitabilité ». La validation « teste les contrôles, valide la remédiation, simule des attaques et alimente la détection ». Le modèle rappelle que le CTEM « ne consiste pas seulement à scanner plus souvent ou à corriger plus tôt ».

La Cloud Security Alliance, dans un billet du 24 mai 2024, décrit la mobilisation comme l'étape où les tâches de remédiation sont attribuées et les ressources allouées, en collaboration entre TI, sécurité et affaires. Elle cite la prédiction de Gartner selon laquelle, d'ici 2026, les organisations qui priorisent leurs investissements de sécurité selon un programme CTEM seraient trois fois moins susceptibles de subir une brèche. Le billet souligne aussi ce que le CTEM intègre : test d'intrusion automatisé, simulation de brèche, gestion de la surface d'attaque externe et gestion des vulnérabilités, auparavant traités séparément.

Enfin, CTEM.org se présente comme un standard ouvert : un catalogue public et versionné d'identifiants numérotés pour désigner les expositions, définies comme tout ce qui met en danger des données, des identités ou des infrastructures.

Pourquoi ça compte

Un programme de gestion des vulnérabilités part du scanneur et remonte vers le métier ; il n'y arrive presque jamais. Le CTEM part du métier et descend vers les correctifs. Cette inversion change trois choses.

Le cadrage limite le périmètre à ce qui compte. Au lieu de traiter l'ensemble du parc, le cycle commence par les actifs dont la compromission ferait mal : les systèmes qui portent le chiffre d'affaires, les données réglementées, les accès des fournisseurs critiques.

La découverte dépasse les CVE. Une identité non humaine sans propriétaire, un compartiment de stockage ouvert, un accès fournisseur jamais révoqué sont des expositions au même titre qu'une vulnérabilité logicielle, et souvent plus faciles à exploiter.

La validation transforme une liste en preuve. Avant la mobilisation, on vérifie que le chemin d'attaque existe et que les contrôles en place ne l'arrêtent pas. C'est ce qui permet de demander une correction à une équipe d'exploitation sans se faire répondre « théorique ».

Pour ISO 27001, le cycle alimente directement l'appréciation des risques (clause 6.1.2) et le contrôle 8.8 ; pour NIS2, il documente les mesures de gestion des risques que l'article 21 exige.

Ce que nous en pensons chez Sentrix

Le module CTEM de notre plateforme suit ces cinq étapes, et notre expérience est que les organisations bloquent presque toujours à la première et à la quatrième. Dans l'ordre :

1. Cadrer sur une page : dix actifs ou processus dont la perte serait grave, avec un propriétaire d'affaires pour chacun. Sans ce document, le cycle redevient un scan.
2. Découvrir à partir de toutes les sources : scanneur, inventaire infonuagique, annuaire d'identités, registre des fournisseurs, résultats du dernier test d'intrusion. Une exposition sans actif rattaché retourne à l'étape 1.
3. Prioriser avec une règle écrite qui combine impact métier, exposition et exploitabilité, par exemple le catalogue KEV et l'EPSS pour la partie logicielle.
4. Valider les dix premières expositions par un test ciblé plutôt que par un rapport général : un chemin d'attaque reproduit vaut plus qu'un score.
5. Mobiliser avec un propriétaire et une date par exposition, dans l'outil de billets des équipes qui corrigent, pas dans un tableur de la sécurité.
6. Recommencer à date fixe et mesurer une seule chose : le délai entre découverte et fermeture des expositions validées.

La prochaine étape

Si votre programme actuel commence par le scanneur, écrivez d'abord la page de cadrage. Elle prend une réunion avec les responsables d'affaires et elle change l'ordre de tout ce qui suit. Parlez-nous de votre premier cycle si vous voulez un regard extérieur sur ce cadrage.