Ressources · Glossaire
Glossaire cybersécurité : 19 définitions, de l’EASM au Cloud Act
Par Steven Carrier Publié le
Ce glossaire définit en langage simple les termes qui reviennent dans la gestion de l’exposition, les tests offensifs, le risque fournisseur et la conformité : EASM, CTEM, Red Team, OSINT, TPRM, NIS2, DORA et d’autres. Chaque définition est courte, neutre et sourcée, et renvoie vers la page qui approfondit le sujet.
- Définitions neutres
- Sources citées
- Mises à jour datées
EASM (External Attack Surface Management), gestion de la surface d’attaque externe
L’EASM désigne la découverte et la surveillance continues des actifs d’une organisation exposés sur Internet : domaines, sous-domaines, adresses IP, services, certificats, applications. L’approche part du point de vue d’un attaquant externe, sans inventaire préalable, pour repérer les actifs oubliés ou inconnus et les expositions qu’ils créent.
Page de référence : comprendre l’EASM
Tous les termesCAASM (Cyber Asset Attack Surface Management), gestion de la surface d’attaque des actifs
Le CAASM consolide l’inventaire des actifs d’une organisation à partir de ses outils internes existants, comme l’annuaire, la gestion de parc, la sécurité des postes, le cloud ou les scanners, via des connecteurs. Il vise une vue unique et dédoublonnée des actifs, pour repérer ceux qui échappent aux contrôles de sécurité.
Page de référence : comprendre le CAASM
Tous les termesVMDR (Vulnerability Management, Detection and Response), gestion des vulnérabilités
Le VMDR regroupe la détection des vulnérabilités, leur priorisation et le suivi de leur correction dans un cycle continu. La priorisation s’appuie sur des indicateurs comme le score CVSS, la probabilité d’exploitation EPSS ou la présence dans le catalogue KEV de la CISA, ainsi que sur le contexte de l’actif concerné.
Page de référence : la gestion des vulnérabilités
Tous les termesCTEM (Continuous Threat Exposure Management), gestion continue de l’exposition aux menaces
Le CTEM est un cadre de gestion de l’exposition décrit par Gartner, organisé en cinq étapes cycliques : cadrage, découverte, priorisation, validation et mobilisation. Il ne s’agit pas d’un outil unique mais d’un programme continu, qui relie les vulnérabilités au contexte métier et vérifie ce qui est réellement exploitable.
Page de référence : comprendre le CTEM
Tous les termesBAS (Breach and Attack Simulation), simulation d’intrusions et d’attaques
Le BAS désigne des outils qui simulent automatiquement des techniques d’attaque connues, souvent référencées dans la base MITRE ATT&CK, pour vérifier si les contrôles de sécurité en place les détectent ou les bloquent. Les simulations sont répétables et contrôlées : elles mesurent l’efficacité des défenses plutôt que de chercher de nouvelles failles.
Page de référence : la simulation d’attaques
Tous les termesRed Team, exercice d’attaque simulée par une équipe offensive
Un exercice Red Team simule un attaquant réel, sur une durée donnée et avec des objectifs définis, pour éprouver la capacité de détection et de réaction d’une organisation. Il peut combiner des vecteurs techniques, humains et physiques. Il se déroule sous autorisation écrite, selon des règles d’engagement convenues à l’avance.
Page de référence : l’exercice Red Team
Tous les termesCART (Continuous Automated Red Teaming), Red Team automatisée en continu
Le CART automatise une partie de la démarche Red Team pour la conduire en continu : découverte de l’exposition, enchaînement de techniques d’attaque et validation de leur faisabilité, sans attendre un exercice ponctuel. Il ne remplace pas l’expertise humaine d’un exercice Red Team complet, mais en prolonge la logique entre deux missions.
Page de référence : la validation continue de l’exposition
Tous les termesTPRM (Third-Party Risk Management), gestion du risque tiers
Le TPRM désigne l’ensemble des pratiques qui permettent d’identifier, d’évaluer et de suivre les risques apportés par les tiers d’une organisation : fournisseurs, prestataires, sous-traitants, partenaires. Il couvre la conformité documentaire comme le risque cyber, financier ou réglementaire. NIS2 et DORA renforcent cette exigence pour la chaîne d’approvisionnement.
Page de référence : comprendre le TPRM
Tous les termesPentest (penetration test), test d’intrusion
Un pentest, ou test d’intrusion, est une évaluation autorisée et limitée dans le temps, au cours de laquelle des auditeurs tentent d’exploiter les vulnérabilités d’un périmètre défini : application, réseau, infrastructure. Il produit un rapport qui décrit les failles exploitées, leur impact et les mesures de correction recommandées.
Page de référence : la prestation de pentest
Tous les termesOSINT (Open Source Intelligence), renseignement en sources ouvertes
L’OSINT désigne la collecte et l’analyse d’informations accessibles publiquement : sites web, réseaux sociaux, registres, bases de données publiques, publications techniques. En cybersécurité, il sert à mesurer ce qu’un attaquant peut apprendre d’une organisation ou de ses dirigeants avant d’agir. Sa pratique doit respecter le cadre légal et la protection des données.
Page de référence : l’OSINT en continu ; les missions d’OSINT
Tous les termesDark web et fuite de données
Le dark web désigne la partie d’Internet accessible uniquement par des réseaux d’anonymisation comme Tor. Des données issues de fuites, comme des identifiants, des bases clients ou des documents internes, y sont souvent échangées ou revendues. Une fuite de données est une divulgation non autorisée d’informations : la détecter tôt permet de neutraliser les accès exposés.
Page de référence : la surveillance du dark web
Tous les termesTyposquatting, usurpation de nom de domaine
Le typosquatting consiste à enregistrer des noms de domaine proches de celui d’une organisation : faute de frappe, inversion de lettres, caractères visuellement similaires ou extension différente. Ces domaines servent à l’hameçonnage, à l’usurpation d’identité ou à la fraude. Leur détection précoce permet d’engager des procédures de retrait, notamment des procédures de règlement des litiges.
Page de référence : la détection du typosquatting
Tous les termesChemin d’attaque (attack path)
Un chemin d’attaque est la suite d’étapes qu’un attaquant peut enchaîner pour passer d’un point d’entrée à un actif sensible : exploitation d’une faille, réutilisation d’un identifiant, élévation de privilèges, déplacement latéral. Raisonner en chemins plutôt qu’en failles isolées aide à corriger d’abord ce qui ouvre réellement l’accès aux actifs critiques.
Page de référence : chemins d’attaque et CTEM
Tous les termesSurface d’exposition (surface d’attaque)
La surface d’exposition regroupe tout ce qu’un attaquant peut atteindre ou exploiter dans une organisation : actifs exposés sur Internet, vulnérabilités, erreurs de configuration, identifiants divulgués, tiers connectés, informations publiques. Elle évolue en permanence, au rythme des changements techniques et organisationnels, ce qui justifie une surveillance continue.
Page de référence : piloter la surface d’exposition
Tous les termesNIS2, directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information
NIS2 est la directive européenne (UE) 2022/2555 sur la cybersécurité des réseaux et des systèmes d’information. Elle couvre 18 secteurs, distingue entités essentielles et entités importantes, et impose gouvernance du risque, mesures de sécurité, notification des incidents et sécurité de la chaîne d’approvisionnement. Elle doit être transposée en droit national.
Page de référence : la conformité NIS2
Tous les termesDORA (Digital Operational Resilience Act), règlement (UE) 2022/2554
DORA est le règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il encadre la gestion du risque lié aux technologies de l’information et de la communication, la notification des incidents, les tests de résilience et le risque lié aux prestataires informatiques.
Page de référence : la conformité DORA
Tous les termesSecNumCloud, référentiel de qualification des services cloud de l’ANSSI
SecNumCloud est un référentiel de l’ANSSI qui fixe des exigences de sécurité pour les prestataires de services cloud. Une offre qualifiée SecNumCloud a été évaluée selon ce référentiel, qui comprend notamment des exigences de protection vis-à-vis des lois extraterritoriales. La qualification porte sur une offre précise d’un prestataire, pas sur l’ensemble de ses services.
Tous les termesCloud Act (Clarifying Lawful Overseas Use of Data Act), loi fédérale américaine
Le CLOUD Act est une loi fédérale américaine adoptée en 2018. Elle permet aux autorités des États-Unis d’exiger, dans le cadre d’une procédure judiciaire, que les fournisseurs de services soumis au droit américain communiquent les données qu’ils contrôlent, y compris lorsque ces données sont stockées hors des États-Unis.
Page de référence : Cloud Act et souveraineté
Tous les termesSouveraineté numérique
En cybersécurité, la souveraineté numérique désigne la capacité d’une organisation à garder la maîtrise de ses données et de ses outils : savoir où les données sont hébergées, quel droit s’y applique, qui peut y accéder, et de quels fournisseurs ou sous-traitants elle dépend. Elle se juge sur l’ensemble de la chaîne, pas seulement sur la localisation.
Page de référence : les critères vérifiables de la souveraineté
Tous les termesSources et références
- How to manage cybersecurity threats, not episodes (CTEM), Gartner
- Directive (UE) 2022/2555 (NIS2), EUR-Lex
- Règlement (UE) 2022/2554 (DORA), EUR-Lex
- SecNumCloud, ANSSI
- CLOUD Act resources, U.S. Department of Justice
- CVSS, FIRST
- EPSS, FIRST
- Known Exploited Vulnerabilities Catalog, CISA
- MITRE ATT&CK
- Règlement des litiges relatifs aux noms de domaine, OMPI
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
À quoi sert ce glossaire ?
Il donne une définition courte et neutre des termes qui reviennent dans nos pages et dans les échanges entre RSSI, achats et direction : exposition, tests offensifs, risque fournisseur, conformité. Chaque définition renvoie vers une page plus complète, qui explique le sujet en détail et ses usages concrets.
Les définitions décrivent-elles les produits BEAROPS ?
Non. Les définitions sont générales et valent quel que soit l’outil ou le prestataire. Elles décrivent une notion, pas une offre. Lorsque le sujet est traité plus en détail sur notre site, la ligne « Page de référence » vous y conduit, avec une explication plus complète et ses cas d’usage.
Pourquoi certaines définitions renvoient-elles vers deux pages ?
Certains termes recouvrent à la fois un outil et une prestation. L’OSINT, par exemple, se pratique en continu sur une plateforme et dans le cadre de missions d’investigation menées par des analystes. Nous indiquons alors les deux pages, pour que vous choisissiez l’approche qui correspond à votre besoin.
À quelle fréquence le glossaire est-il mis à jour ?
Le glossaire porte une date de mise à jour visible sous le titre. Nous le révisons lorsqu’un texte réglementaire évolue, lorsqu’un terme change d’usage dans la profession ou lorsqu’une erreur nous est signalée. Les sources citées en bas de page indiquent leur date de consultation.
Un terme manque ou une définition est inexacte : comment le signaler ?
Utilisez l’adresse de correction indiquée dans le bloc Sources (contact+site@bearops.fr) ou le formulaire de contact. Nous vérifions chaque signalement, corrigeons les inexactitudes et mettons à jour la date de révision. Un nouveau terme est ajouté lorsqu’il revient régulièrement dans nos contenus et dans les questions de nos lecteurs.