Vulnérabilités « pardonnables » vs « impardonnables » : quand le NCSC réinvente la cybersécurité par le bon sens

La cybersécurité ressemble souvent à un château fort : plus on ajoute de remparts, plus on se sent en sécurité. Mais que se passerait-il si, au lieu de tout protéger, on se concentrait sur ce qui compte vraiment ? C'est la question audacieuse posée par le NCSC britannique dans son dernier rapport, qui introduit une distinction aussi simple que géniale : les vulnérabilités « pardonnables » (celles dont l'exploitation ne causerait que des désagréments mineurs) et les « impardonnables » (celles qui pourraient paralyser une entreprise ou exposer des données sensibles).

L'idée ? Arrêter de gaspiller des ressources à colmater des failles mineures, et se concentrer sur ce qui peut vraiment faire basculer une organisation. Par exemple, une faille dans un formulaire de contact est « pardonnable » — un attaquant pourrait envoyer du spam, mais pas voler des données. En revanche, une injection SQL dans une base de clients est « impardonnable » : elle doit être corrigée immédiatement.

Cette approche a deux avantages majeurs. D'abord, elle simplifie la vie des équipes techniques, qui peuvent prioriser leurs efforts sans se noyer dans des listes interminables de correctifs. Ensuite, elle responsabilise les utilisateurs : en expliquant clairement pourquoi certaines vulnérabilités sont critiques, on les incite à adopter de bonnes pratiques (comme ne pas réutiliser des mots de passe ou activer la double authentification).

L'Europe en fait déjà un standard. Des initiatives comme le label « Cybersecurity Made in Europe » ou les guides de la CNIL encouragent les entreprises à adopter cette philosophie du « moins mais mieux ». Et des outils comme OpenVAS (allemand) ou Faraday (espagnol) aident à classer les vulnérabilités selon leur criticité — une première étape vers une cybersécurité plus intelligente.

Pourquoi c'est une révolution silencieuse ? Parce que cela change notre rapport à la sécurité. Au lieu de vivre dans la peur des cybermenaces, on apprend à choisir ses batailles. Et ça, c'est une philosophie qui résonne bien au-delà du numérique : dans un monde où tout est connecté, savoir distinguer l'essentiel du superflu est une compétence clé.

À faire dès aujourd'hui : si vous gérez un site ou une application, testez un outil comme Faraday pour évaluer vos vulnérabilités. Et si vous êtes un utilisateur lambda, commencez par sécuriser ce qui compte vraiment : votre messagerie, vos comptes bancaires, et vos données les plus sensibles. Parce qu'en cybersécurité comme ailleurs, le mieux est l'ennemi du bien.