Les vulnérabilités expriment toutes les faiblesses des ressources qui pourraient
être exploitées par des menaces, dans le but de les
compromettre.
Les
analyses de vulnérabilité nécessitent des audits de sécurité et des
tests d'intrusion (ou pentests) sur l'ensemble du système d'information (tests
d'intrusion, revue de paramétrage des équipements réseau et systèmes....),
Elles
nécessitent l'organisation d'une veille technologique car le volume
est important (avis du Cert, bulletins d'alerte des éditeurs) et
d'un suivi adapté pour garantir l'application et la diffusion des
correctifs.
Un document de référence de suivi et un rappel
des bonnes pratiques sont nécessaires pour diffuser une information
adaptée aux utilisateurs par exemple via un intranet.