De l’inventaire à la priorité
L’audit identifie les versions réellement verrouillées lorsque l’information est disponible, puis les compare aux avis publics. Il évite ainsi de confondre une contrainte de version déclarée avec le paquet effectivement installé.
- Dépendance directe ou transitive
- Version affectée et version corrigée connue
- Sévérité publiée et facilité d’exploitation
- Présence d’un composant exposé dans l’application
Mettre à jour sans casser le produit
La réponse n’est pas toujours une mise à niveau majeure immédiate. L’équipe peut appliquer une version corrective, remplacer le composant, désactiver une fonctionnalité ou réduire l’exposition en attendant. Le rapport doit donner les éléments nécessaires à cette décision, sans prétendre connaître tous les effets métier.
Un contrôle à répéter
De nouvelles vulnérabilités sont publiées sur des versions qui n’ont pas changé. Une dépendance jugée saine le jour du déploiement peut donc devenir préoccupante plus tard. L’audit doit être relancé régulièrement et après une modification importante du graphe de dépendances.