Exposure Management : définition, enjeux et fonctionnement

À qui s'adresse cet article ?

Cet article s'adresse à toute personne impliquée, à un titre ou un autre, dans la réduction du risque cyber d'une organisation :

• RSSI et responsables cybersécurité, qui pilotent la stratégie de réduction du risque

• Équipes SOC et Blue Team, en charge de la détection et de la réponse aux incidents

• Pentesters et Red Team, qui valident l'exploitabilité réelle des expositions

• Risk managers et responsables conformité, notamment sur DORA et NIS2

• Équipes IT et DevOps, propriétaires des actifs exposés au quotidien

Cette première partie pose la définition de base : ce qu'est une exposition, pourquoi le score CVSS seul ne suffit pas à en mesurer le risque, et comment cette discipline se situe par rapport au CTEM.

Une équipe sécurité ferme un ticket un vendredi : la CVE critique du mois est patchée. Le lundi suivant, l'entreprise est chiffrée par un ransomware entré par un compte de service oublié depuis trois ans. Aucune CVE en cause, aucune alerte déclenchée. Juste une exposition que personne n'avait reliée à un chemin d'attaque réel.

L'Exposure Management identifie, évalue, priorise et réduit en continu l'ensemble des expositions au risque cyber d'une organisation : vulnérabilités techniques, mauvaises configurations, identités mal gérées, shadow IT, chemins d'attaque. Une exposition, prise isolément, semble mineure ; combinée à d'autres, elle devient un chemin d'attaque complet, comme dans l'exemple ci-dessus.

La gestion des vulnérabilités vérifie chaque faille une à une. L'Exposure Management pose une question différente : par où un attaquant entrerait-il réellement ? Un CVSS élevé ne dit rien de l'accessibilité depuis Internet, de l'environnement touché (test ou production), ou d'un contrôle compensatoire déjà en place. Il mesure la gravité théorique d'une faille isolée, pas le risque réel qu'elle fait courir à l'organisation.

🗣️ « On a longtemps demandé aux équipes sécurité de patcher plus vite. Le vrai sujet, c'est de patcher au bon endroit. » Vladimir Kolla - Co-fondateur de Patrowl

Cette logique (découverte de la surface d'attaque, validation de l'exploitabilité, remédiation pilotée par le risque) structure la gestion continue de l'exposition aux menaces (CTEM), le cadre défini par Gartner que Patrowl opérationnalise à travers sa plateforme.

Cette logique explique pourquoi le sujet s'est imposé aussi vite dans les équipes sécurité. La partie suivante détaille l'ampleur du problème à travers trois chiffres.

Cette partie répond à une question simple : pourquoi maintenant ? Quatre constats suffisent à mesurer l'ampleur du problème.

Un volume de CVE qui dépasse la capacité humaine

Plus de 48 000 CVE ont été publiées en 2025, portant le catalogue cumulé depuis 1999 à plus de 308 000. Le rythme s'est encore accéléré en 2026 : le premier semestre a produit 35 364 CVE, en hausse de 49,5 % sur la même période en 2025, projetant l'année complète entre 71 000 et 72 000 CVE [1]. Pourtant, sur ces 35 364 CVE du premier semestre 2026, seules 85 (0,24 %) sont recensées comme activement exploitées dans le catalogue CISA KEV [1]. Le volume a dépassé la capacité humaine à trier une par une, mais le vrai enjeu est ailleurs : traiter des dizaines de milliers de CVE avec la même urgence noie la fraction qui compte réellement.

Une visibilité insuffisante sur les actifs eux-mêmes

Gartner rapporte que seulement 17 % des organisations sont capables d'identifier la majorité de leurs propres actifs [2]. Avant de parler de priorisation, la plupart des entreprises ignorent encore ce qu'elles possèdent.

Ce que confirment les attaquants, chiffres à l'appui

Le rapport Verizon 2025 Data Breach Investigations Report confirme la tendance côté attaquants : l'exploitation de vulnérabilités est devenue le deuxième vecteur d'accès initial aux brèches, présente dans 20 % des cas, en hausse de 34 % sur un an, tirée notamment par les équipements d'exposition externe (VPN, pare-feux) [6]. Or seuls 54 % des vulnérabilités touchant ces équipements avaient été corrigées dans l'année, avec un délai médian de correction de 32 jours [6] : le problème n'est donc pas seulement de savoir quoi corriger, mais aussi de le faire assez vite sur les actifs qui comptent.

La promesse du CTEM, à prendre avec un peu de recul

Les analystes prédisent que les organisations pilotant leurs investissements via un programme CTEM connaîtront jusqu'à deux tiers de brèches en moins d'ici 2026 [3]. À prendre avec recul : un rapport plus récent documente surtout une meilleure visibilité de la surface d'attaque (+50 %) et une adoption accrue des solutions de sécurité (+23 points), sans étude empirique publiée sur le taux de brèches [4]. Le marché suit néanmoins cette bascule, projeté de 2,54 milliards de dollars en 2024 à 23,26 milliards en 2033 [4].

Face à ce volume et à ce manque de visibilité, il faut un cadre opérationnel structuré plutôt qu'un simple outil de scan. C'est l'objet des cinq composants détaillés dans la partie suivante.

Cette partie détaille les cinq briques qui composent concrètement un programme d'Exposure Management, du repérage des actifs jusqu'à la remédiation.

Ce cycle en cinq temps est celui que Gartner formalise sous le nom de CTEM. Notre page dédiée détaille chacune de ces étapes et montre comment Patrowl les opérationnalise.

Ces cinq briques recoupent des disciplines voisines, souvent confondues avec l'Exposure Management. La partie suivante clarifie ces distinctions, avant de voir quelles technologies concrètes les mettent en œuvre.

Cette partie détaille les briques technologiques qui alimentent un programme d'Exposure Management, et dans quel contexte chacune devient prioritaire.

Aucune organisation ne démarre avec la totalité de ces briques : le socle utile dépend de la maturité, du secteur et de l'infrastructure en place.

Ce socle varie aussi selon la taille et le profil de l'organisation. Une PME ou une ETI démarre en général avec la découverte de surface d'attaque et la priorisation, suffisantes pour sortir d'une logique de liste de vulnérabilités.

Un grand compte multi-BU ou un acteur régulé (BFSI, santé) y ajoute la sécurité des identités, du cloud et des API, avec une preuve de conformité formalisée.

Une organisation cloud-first place le CSPM/CNAPP et l'exposition des identités cloud en tête de ses priorités. Un MSSP ou MSP a, lui, besoin d'une visibilité multi-tenant et d'un reporting consolidé par client plutôt que d'un outil supplémentaire par brique.

Une fois ces briques posées, encore faut-il savoir les distinguer des disciplines voisines avec lesquelles elles sont souvent confondues.

Cette partie distingue l'Exposure Management de trois notions avec lesquelles on le confond régulièrement : la gestion des vulnérabilités, l'ASM et le CTEM.

Face à la gestion des vulnérabilités. La gestion des vulnérabilités répond à « quelles failles existent sur mes systèmes ? ». L'Exposure Management ajoute le contexte métier et les chemins d'attaque pour répondre à « quel est mon risque réel, et par où passerait-on en premier ? ». Toute gestion des vulnérabilités fait partie de l'Exposure Management ; l'inverse n'est pas vrai.

Face à la gestion de la surface d'attaque (ASM). L'ASM cartographie ce qui est exposé, un exercice d'inventaire. L'Exposure Management prend le relais en évaluant le risque de chaque actif découvert et en pilotant sa remédiation. Beaucoup de projets ASM s'arrêtent à la carte, sans processus pour agir dessus.

Face à la gestion continue de l'exposition aux menaces (CTEM). Le CTEM n'est pas un outil mais le cadre méthodologique qui structure la mise en œuvre de l'Exposure Management en cinq phases continues. Découvrez comment Patrowl implémente ce cycle de bout en bout.

Ces distinctions restent théoriques sans preuve terrain. La partie suivante montre comment plusieurs organisations les appliquent au quotidien.

💬 MGEN (mutuelle, surveillance de la surface d'attaque en continu) MGEN souligne qu'un test d'intrusion classique devient obsolète dès le lendemain de sa restitution, alors que le pentest en continu correspond mieux à l'évolutivité permanente de l'informatique d'entreprise actuelle. Source : témoignage MGEN, Patrowl

💬 Brest Métropole (collectivité, réponse à une vulnérabilité critique en conditions réelles) Lors de la vulnérabilité SharePoint CVE-2025-53770, la notification préventive du nouveau test Patrowl a été reçue à 15h57 et une alerte déclenchée dès 16h36 au sein de la collectivité, avec une Blue Team immédiatement mobilisée. Source : témoignage Brest Métropole, Patrowl

💬 Xplor (scale-up, remplacement des tests de pénétration ponctuels) Xplor est passé de tests de pénétration ad hoc, coûteux en temps d'équipe, à un flux continu de résultats de vulnérabilité vérifiés et directement exploitables par les ingénieurs. Source : témoignage Xplor, Patrowl

D'autres retours clients (Colas, Heetch) sont disponibles sur la page témoignages de Patrowl.

Cette partie explique ce qu'est une plateforme d'Exposure Management (EMP) et comment l'IA y est aujourd'hui intégrée, chez Patrowl comme ailleurs.

Une plateforme d'Exposure Management (EMP) centralise le cycle complet : découverte des actifs, agrégation multi-scanners, corrélation avec la threat intelligence, simulation de chemins d'attaque, validation par pentest, pilotage de la remédiation. Le marché aborde ce sujet sous des angles différents (endpoint, cloud, réseau, threat intelligence, validation offensive) mais converge vers la même finalité : réduire l'exposition réelle, pas seulement le volume d'alertes.

L'industrie intègre désormais l'IA directement dans le triage et la remédiation, transformant des données de surface d'attaque fragmentées en mesures correctives priorisées [5]. Chez Patrowl, l'IA agentique accélère la reconnaissance et la détection de chemins d'attaque sur des volumes que des experts humains ne pourraient pas explorer à la même vitesse. Chaque vulnérabilité reste toutefois qualifiée par un pentester avant d'être remontée au client, avec un objectif de zéro faux positif. L'infrastructure est interne : aucune donnée client n'est traitée par un modèle tiers.

« L'IA nous rend plus rapides, jamais elle ne remplace le jugement du pentester sur ce qui est réellement exploitable. » Vladimir Kolla - Co-fondateur de Patrowl

Ces principes généraux se traduisent différemment selon le secteur d'activité. C'est l'objet de la partie suivante.

Cette partie passe en revue six secteurs pour montrer comment leurs contraintes réglementaires et leurs actifs critiques propres orientent la mise en œuvre de l'Exposure Management.

Banque et services financiers. Surface d'attaque externe (banque en ligne, API de paiement), accès à privilèges sur les systèmes cœur, et preuves de résilience continue attendues par le règlement DORA plutôt qu'un reporting artisanal avant audit.

Assurance. Le mot « exposure » y a d'abord un sens actuariel : la probabilité et l'ampleur d'un sinistre couvert. Le glissement vers l'Exposure Management cyber n'est pas fortuit, les deux évaluent la même question (probabilité et coût d'un événement défavorable) appliquée cette fois aux portails clients et bases de souscription exposés sur Internet.

Secteur public. NIS2 impose une gestion proactive des risques aux administrations et opérateurs essentiels ; l'Exposure Management fournit la cartographie continue et les preuves de remédiation exigées par le régulateur.

Santé. Un scanner IRM ne se patche pas comme un serveur web : il faut vérifier qu'un correctif n'interrompt aucun soin en cours. L'Exposure Management aide à prioriser sans arrêt systématique des équipements, en distinguant ce qui est exploitable de ce qui ne l'est pas.

Industrie et OT/ICS. Les environnements SCADA sont rarement patchables en production ; la découverte et la validation y priment sur la correction immédiate, en particulier aux points de convergence entre réseaux IT et OT, sources de nouveaux chemins d'attaque.

RH et organisation. Le terme y désigne parfois le risque qu'un poste fait courir à l'entreprise (accès sensibles, absence de séparation des tâches). Un compte administrateur oublié après un départ en reste l'exemple le plus banal, et l'un des plus fréquents dans les incidents réels.

Ces déclinaisons sectorielles soulèvent une même question de fond : comment mesurer que le programme fonctionne réellement ? C'est l'objet de la partie suivante.

Cette partie liste les indicateurs qui montrent qu'un programme d'Exposure Management progresse réellement, au-delà du simple nombre de tickets fermés.

Un programme classique de gestion des vulnérabilités se mesure au nombre de failles corrigées. Un programme d'Exposure Management se mesure à la réduction du risque réel, ce qui suppose d'autres indicateurs :

• Chemins d'attaque validés et réduits : le nombre de chemins réellement exploitables, pas le nombre de CVE fermées.

• Expositions exploitables accessibles depuis Internet : la part du périmètre externe qui reste attaquable à un instant donné.

• Délai moyen de remédiation sur les expositions validées : mesuré sur ce qui a été confirmé exploitable, pas sur l'ensemble du backlog.

• Part des actifs sous découverte continue : un indicateur direct de la fiabilité de l'inventaire.

• Réduction des chemins d'attaque liés aux identités : les comptes et privilèges qui, combinés à d'autres failles, ouvrent un accès critique.

• Taux de validation des contrôles de sécurité : est-ce qu'un contrôle censé bloquer une attaque le fait réellement, une fois testé ?

• Taux de réouverture d'une exposition déjà corrigée : un indicateur de la qualité de la remédiation, pas seulement de sa rapidité.

Ces indicateurs se recoupent avec les questions les plus posées sur le sujet, rassemblées dans la FAQ ci-dessous.

L'Exposure Management ne remplace pas la gestion des vulnérabilités, il la complète avec ce qu'elle ne voit pas seule : le contexte métier, les identités, les mauvaises configurations et les chemins d'attaque qui en résultent. Le CTEM donne à cette démarche un cadre opérationnel répétable plutôt qu'un audit ponctuel.

Pour une équipe sécurité, la question à se poser n'est donc plus « combien de vulnérabilités reste-t-il à corriger ? » mais « quel chemin d'attaque un adversaire emprunterait-il aujourd'hui, et l'avons-nous coupé ? ».

[1] JerryGamblin.com, 2025 CVE Data Review (1er janvier 2026) et CVE Mid-Year 2026 Check-In (1er juillet 2026) — tracker indépendant basé sur les exports NVD JSON et CVE List V5. Chiffres complémentaires : jgamblin/monthlyCVEStats (GitHub).

[2] Kudelski Security, Strengthen Security Before It Breaks, 2025 (chiffre Gartner sur la capacité de découverte d'actifs).

[3] Gartner, Implement a Continuous Threat Exposure Management Program, 21 juillet 2022 ; prédictions CTEM 2026 relayées par Cloud Security Alliance et Nagomi Security.

[4] Vectra.ai, CTEM explained: Gartner's 5 stages and 2026 prediction, 2026 (données de visibilité, adoption et taille de marché).

[5] MQ Gestion et qualité, Check Point lance la gestion des expositions pilotée par l'IA, janvier 2026.

Témoignages clients cités : Page témoignages clients, Patrowl — retours MGEN, Brest Métropole, Xplor, Colas et Heetch.