Quelle part de vos vulnérabilités critiques et élevées a été corrigée dans les délais que vous avez fixés ?
C'est ce que NIS2 et ISO 27001 demandent à un auditeur d'évaluer : votre processus, pas votre nombre de vulnérabilités. Wisec le mesure sur 90 jours, et sa définition complète est publique.
Le jour de sa première détection, plus votre délai : 7 jours pour une critique, 30 pour une élevée par défaut. Les délais sont les vôtres, et chaque changement est inscrit au journal d'audit avec l'ancienne valeur.
Wisecéchéance = première détection + délai de sa gravitéChaque ligne est une vulnérabilité, de sa détection à sa correction. Une correction compte seulement si le scanner qui l'avait signalée a tourné de nouveau et ne la voit plus : retirer un scanner ne corrige rien.
100 % veut dire que chaque échéance a été tenue. À côté du chiffre, toujours : vos délais, le périmètre, les risques acceptés et les faux positifs écartés.
Le chiffre affiché suit vos réglages actuels. Le relevé mensuel le fige à la clôture du mois : signé, ancré sur IPFS et inscrit dans Rekor. Assouplir un délai ensuite ne réécrit pas le passé. Premiers relevés : novembre 2026.
Un chiffre remis à un auditeur doit pouvoir s'expliquer sans nous. Chaque chiffre porte sa version, et deux versions ne se comparent pas.
Uniquement les projets qui déclarent un scanner. Une vulnérabilité signalée par deux outils compte une fois, à la gravité la plus haute.
7 et 30 jours par défaut. Une vulnérabilité qui revient garde sa date de détection d'origine.
Une vulnérabilité qui disparaît parce que son scanner a cessé de tourner compte en retard.
Sur 90 jours, arrondi vers le bas. Pas de chiffre avant deux semaines d'historique et trois résultats résolus.
Chaque manœuvre qui ferait monter un indicateur naïf a une réponse dans la règle.
| Manœuvre | Pourquoi elle ne marche pas |
|---|---|
| Retirer un scanner du pipeline | Ses résultats ne sont plus observés, ce qui compte en retard, jamais corrigé. |
| Tout déclarer faux positif | Le nombre de résultats écartés est affiché à côté du chiffre, et chaque décision est au journal d'audit. |
| Accepter tous les risques | Un risque accepté n'est mis de côté que jusqu'à sa date de réexamen, puis il compte en retard. |
| Fixer un délai de 365 jours | Les délais sont imprimés avec chaque chiffre, et chaque changement est audité avec l'ancienne valeur. |
| Ajouter un second scanner | Une vulnérabilité compte une fois, quel que soit le nombre d'outils qui la signalent. |
| Réécrire les mois passés | Chaque mois est figé dans un relevé signé à sa clôture. |
Le chiffre et son périmètre, les vulnérabilités par gravité, l'inventaire des scanners de chaque projet.
Dans le tableau de bord et en PDF, avec les relevés des mois qui couvrent la période du rapport.
Une déclaration signée par mois, vérifiable sans compte Wisec, avec des outils standards.
Disponible avec les offres Business et Pro. Avec l'offre Free, la page Exposure indique si le chiffre est encore en cours d'établissement. Le chiffre n'apparaît jamais sur un certificat de build : un certificat énonce des faits, ce chiffre décrit une période.