Comment la note de maturité est calculée
Atlas attribue à chaque scan une note de maturité entre 0 et 100, avec une lettre de A à E. La formule est publique : vous pouvez vérifier ce que le chiffre mesure et ce qu’il ne mesure pas.
Le poids de chaque finding
Chaque finding reçoit un score de priorité : la sévérité, multipliée par l’exploitabilité (probabilité EPSS, présence au catalogue KEV) et par l’exposition. Une vulnérabilité critique, exploitée dans la nature et joignable depuis Internet pèse donc plus lourd qu’une information sans preuve d’exploitation.
La formule
La note part de 100 et retire le risque observé, rapporté au nombre d’actifs :
- budget de risque : 10 points par actif observé (100 points pour dix actifs) ;
- risque : somme des scores de priorité des findings ;
- note : arrondi de 100 moins 100 fois le risque divisé par le budget, borné entre 0 et 100.
Deux scans comparables évoluent donc de façon explicable : retirer un finding augmente la note de 100 fois son score de priorité divisé par le budget, et l’ajouter la diminue d’autant.
Les lettres
| Note | Lettre |
|---|---|
| 90 à 100 | A |
| 75 à 89 | B |
| 60 à 74 | C |
| 40 à 59 | D |
| 0 à 39 | E |
Quand la note est incomplète
Atlas n’affiche jamais un zéro trompeur. La note est déclarée « Incomplet » quand les données ne suffisent pas : aucun actif découvert, résolution DNS en échec, scan des ports absent ou en échec, ou enrichissement EPSS et NVD incomplet. Ces cas montrent l’absence de note, pas une mauvaise note.