Ep. Spécial 788 : Créer un VOC et lui donner sa place dans une ETI

Dans un épisode spécial de RadioCSIRT, Marc Frédéric Gomez, expert en cybersécurité, montre comment une entreprise de taille intermédiaire peut créer un VOC, l'équipe qui pilote la correction des vulnérabilités, sans y engloutir des millions. À partir d'un cas fictif de 1 000 postes et 500 serveurs, il fixe le périmètre, le rattachement, la charte signée par la direction, les trois postes, le calendrier et le budget, puis met la méthode à l'épreuve du Patch Tuesday record d'octobre 2026.

Le goulot s’est déplacé vers la correction

Dans cet épisode spécial de RadioCSIRT, Marc Frédéric Gomez, expert en cybersécurité, construit pas à pas un VOC (Vulnerability Operation Center, centre de pilotage de la gestion des vulnérabilités) pour une entreprise de taille intermédiaire fictive : 1 000 postes, 500 serveurs dont la moitié sur site et l’autre dans Azure, AWS et GCP, des filiales dans plusieurs pays, un RSSI, un alternant et un SOC confié à un prestataire. Il part des chiffres qui justifient la décision. Selon Security Affairs, le Patch Tuesday de Microsoft du 13 octobre 2026 corrige plus de 1 400 CVE, contre 164 en avril 2026 selon Infosecurity Magazine ; SOCRadar compte 74 645 CVE publiées entre janvier et mi-octobre 2026, contre 48 163 sur toute l’année 2025. Il attribue cette vague à la découverte de failles par l’intelligence artificielle et cite le premier bilan du Project Glasswing publié par Anthropic : environ 530 vulnérabilités open source élevées ou critiques signalées aux mainteneurs, dont 75 corrigées à la date du bilan. HackerOne a suspendu son Internet Bug Bounty le 27 mars 2026, Mandiant estime le délai moyen d’exploitation à moins sept jours, soit avant même la sortie du correctif, et, selon le rapport DBIR 2026 de Verizon, l’exploitation de vulnérabilités devient le premier vecteur d’accès initial, avec un délai médian de correction passé de 32 à 43 jours. Sa conclusion : la découverte n’est plus le facteur limitant, et dans l’entreprise fictive personne ne pilote la correction.

Le VOC vient combler ce vide, avec une règle qu’il répète : il prescrit et pilote, les équipes d’exploitation corrigent.

Une charte avant les outils

Le podcasteur détaille le périmètre : le VOC sait ce que l’entreprise possède et expose sur Internet, qualifie les vulnérabilités, fixe l’ordre et les délais de correction, mesure les écarts. Il ne déploie pas les correctifs, ne détecte pas les attaques (c’est le rôle du SOC), ne mène pas la réponse à incident et ne remplace pas les tests d’intrusion. Parmi les rattachements possibles (DSI, direction des risques, RSSI), il retient le RSSI, mais juge ce rattachement insuffisant : le VOC a besoin d’un mandat écrit, une charte courte signée par la direction générale, qui dit qui décide de l’ordre de correction et dans quel délai, avec un engagement chiffré de la DSI sur sa capacité de correction. Viennent ensuite un propriétaire nommé pour chaque actif, une criticité fixée par les métiers, un correspondant par filiale, des délais inscrits dans les contrats des prestataires, un point hebdomadaire consacré aux retards et un passage trimestriel en comité exécutif. Il décrit trois postes (responsable du VOC, analyste vulnérabilités, ingénieur outillage et automatisation), un calendrier de six mois qui tient compte des trois mois de préavis prévus par la convention Syntec, et une grille de priorisation qui croise le catalogue KEV, le score EPSS version 4, l’exposition sur Internet et la criticité métier, plutôt que le seul score CVSS.

« Un actif sans propriétaire n’est jamais corrigé parce que la demande de correction n’arrive chez personne », résume-t-il.

Le Patch Tuesday d’octobre 2026 comme exercice

Il applique ensuite la méthode au Patch Tuesday d’octobre 2026, avec des vulnérabilités réelles rapportées par Security Affairs dans son entreprise fictive. Premier filtre, l’exploitation : la CVE-2026-96951, contournement de Mark of the Web dans le Shell de Windows, exploitée activement, part en tête sur les 1 000 postes, et le prestataire de détection est prévenu. Deuxième filtre, la propagation : parmi 59 vulnérabilités potentiellement wormable (DHCP, DNS, Remote Desktop Gateway), une passerelle exposée dans une filiale reçoit une mesure compensatoire en attendant la maintenance. Troisième filtre, l’exposition : pour la CVE-2026-102866 dans SharePoint, le serveur publié sur Internet passe avant le serveur interne. La CVE-2026-65674 dans SQL Server suit le cycle mensuel tant qu’elle n’entre pas au catalogue KEV. Il chiffre enfin le budget, environ 285 000 euros de masse salariale chargée par an plus des licences selon l’existant, rappelle que la hausse de la capacité de correction relève du budget de la DSI, liste les livrables attendus à six mois et à un an et le cadre réglementaire (NIS2, DORA, RFC 9116), et répond aux questions d’un comité exécutif, dont celle de l’achat d’un modèle d’IA comme Mythos.

Pour lui, la réussite d’un VOC dépend moins de ses outils que de sa place dans l’organisation.

Pour aller plus loin

• Site de RadioCSIRT
• Newsletter de RadioCSIRT

Les références de l’épisode

• Project Glasswing : programme d’Anthropic autour du modèle Mythos Preview, dont le premier bilan est cité.
• Catalogue KEV de la CISA : liste des vulnérabilités exploitées, pilier de la grille de priorisation proposée.
• EPSS version 4 : score de probabilité d’exploitation publié par le FIRST, en service depuis mars 2025 selon l’épisode.
• Rapport DBIR 2026 de Verizon : source du délai médian de correction de 43 jours.
• M-Trends 2026 de Mandiant : source du délai moyen d’exploitation.
• VulnCheck : chiffres sur les vulnérabilités exploitées au jour de la publication de leur CVE.
• HackerOne : suspension de l’Internet Bug Bounty le 27 mars 2026.
• Shadowserver Foundation : rapports gratuits sur les services exposés, cités pour démarrer la cartographie.
• Greenbone et Vulnerability-Lookup du CIRCL : outils open source de gestion des vulnérabilités.
• RFC 9116 : norme du fichier de divulgation coordonnée des vulnérabilités.
• NIS2 et DORA : cadres européens, avec le règlement d’exécution (UE) 2024/2690 et le règlement délégué (UE) 2024/1774.

Au fil de l’épisode

• 00:00:32 : le cas fictif, une entreprise de 1 000 postes et 500 serveurs sans VOC
• 00:01:22 : pourquoi créer un VOC en 2026, le record du Patch Tuesday d’octobre
• 00:02:16 : le bilan du Project Glasswing et la saturation des mainteneurs
• 00:03:32 : délai d’exploitation et délai de correction selon Mandiant, VulnCheck et Verizon
• 00:05:17 : ce que fait un VOC et ce qu’il ne fait pas
• 00:07:24 : le rattachement au RSSI et la charte signée par la direction
• 00:09:05 : propriétaires d’actifs, métiers, filiales et prestataires
• 00:11:44 : le périmètre technique, des postes de travail aux équipements exposés
• 00:15:05 : les trois postes du VOC
• 00:18:23 : recrutement et calendrier de construction sur six mois
• 00:22:41 : la grille de priorisation au-delà du score CVSS
• 00:26:27 : le rythme quotidien, hebdomadaire et mensuel
• 00:29:06 : mise en situation sur le Patch Tuesday du 13 octobre 2026
• 00:34:15 : le budget, personnes, licences et capacité de correction
• 00:37:11 : ce qu’on peut attendre à six mois et à un an
• 00:38:53 : NIS2, DORA et les cinq indicateurs du comité exécutif
• 00:40:58 : les questions récurrentes du comité exécutif
• 00:44:43 : conclusion, la place du VOC compte plus que ses outils

FAQ

Qu’est-ce qu’un VOC en cybersécurité ?

Un VOC, ou Vulnerability Operation Center, est l’équipe qui pilote la gestion des vulnérabilités. Selon Marc Frédéric Gomez, il connaît le parc et sa surface exposée, qualifie les vulnérabilités, fixe l’ordre et les délais de correction puis mesure les écarts. Il ne déploie pas les correctifs, ne détecte pas les attaques et ne mène pas la réponse à incident.

À qui rattacher un VOC dans une entreprise ?

Le podcasteur retient le RSSI, qui porte déjà le risque cyber devant la direction et a besoin d’une mesure indépendante de l’état du parc. Comme le RSSI n’a pas d’autorité sur la DSI, il ajoute une charte signée par la direction générale, qui fixe qui décide de l’ordre de correction, les délais et l’engagement de capacité de la DSI.

Combien de personnes et quel budget pour créer un VOC dans une ETI ?

Pour une entreprise de 1 000 postes et 500 serveurs, l’épisode propose trois personnes : un responsable, un analyste vulnérabilités et un ingénieur outillage. La masse salariale chargée est estimée à environ 285 000 euros par an, à laquelle s’ajoutent des licences dont le montant dépend de l’outillage déjà payé par l’entreprise.

Pourquoi le score CVSS ne suffit-il plus pour prioriser les correctifs ?

Parce qu’il ne mesure qu’une gravité théorique, explique Marc Frédéric Gomez. Sa grille combine l’exploitation constatée (catalogue KEV), la probabilité d’exploitation (score EPSS), l’exposition sur Internet et la criticité métier. Une faille notée 7 sur une passerelle VPN exposée et exploitée passe ainsi avant une faille notée 9,8 sur un serveur interne.