Quelle combinaison décrit correctement les CVE et le CVSS, utilisés dans la gestion des vulnérabilités ?

Réponse : A. Une CVE est un identifiant commun attribué à chaque vulnérabilité, et le CVSS est une méthode commune qui évalue la gravité d'une vulnérabilité par un nombre de 0,0 à 10,0

Une CVE (Common Vulnerabilities and Exposures) est un identifiant de la forme « CVE-année-numéro » attribué à chaque vulnérabilité rendue publique, afin que la même vulnérabilité puisse être désignée par le même numéro quels que soient les produits et les organisations. Le CVSS (Common Vulnerability Scoring System) est une méthode commune qui évalue la gravité d'une vulnérabilité par un nombre de 0,0 à 10,0, à partir de facteurs comme les conditions nécessaires à une attaque et l'impact sur la confidentialité, l'intégrité et la disponibilité. Le score de base du CVSS reflète la nature de la vulnérabilité elle-même ; l'ordre d'application des correctifs se décide donc en tenant compte aussi du danger réel dans son propre environnement (par exemple, si l'appareil est accessible depuis Internet, ou si des attaques ont effectivement été observées). La gestion des vulnérabilités répète un cycle : tenir un inventaire des logiciels et versions utilisés (registre des actifs), recueillir les informations sur les nouvelles vulnérabilités, en évaluer l'impact, appliquer les correctifs et vérifier qu'ils ont bien été appliqués.