What is threat and vulnerability management? Essential cybersecurity guide

À mesure que les surfaces d'attaque s'étendent et que l'automatisation des attaques s'accélère, l'exposition aux vulnérabilités est devenue une source majeure de risque pour les entreprises. Les pirates exploitent de plus en plus souvent les vulnérabilités connues dans les heures qui suivent leur divulgation (et non plus dans les semaines qui suivent), ce qui met à rude épreuve les organisations qui s'appuient sur des analyses périodiques et un tri manuel pour suivre le rythme.

Cette dynamique met en évidence pourquoi il n'est plus possible de se passer d'une bonne compréhension de la relation entre les menaces et les vulnérabilités. Une gestion efficace des menaces et des vulnérabilités, de plus en plus souvent désignée par l'acronyme TVM, repose sur la mise en relation des expositions avec le comportement réel des attaquants, plutôt que sur le traitement des nouvelles vulnérabilités comme des constatations statiques.

Ce guide explique en quoi les menaces et les vulnérabilités diffèrent, pourquoi leur relation est au cœur de la gestion des risques liés à l’ e d’entreprise, quels sont les piliers fondamentaux d’un programme TVM efficace, et comment une gestion des vulnérabilités fondée sur les risques permet de réduire l’exposition aux risques, les perturbations et les risques de non-conformité au-delà de ce que les scores de gravité peuvent à eux seuls refléter.

Définition de la gestion des menaces et des vulnérabilités

La gestion des menaces et des vulnérabilités (TVM) est une approche de cybersécurité fondée sur les risques qui associe l'évaluation des vulnérabilités aux renseignements sur les menaces afin d'aider les organisations à identifier, hiérarchiser et corriger les failles de sécurité avant que les attaquants ne les exploitent.

Plutôt que de considérer l' l'analyse des vulnérabilités et la détection des menaces comme des activités distinctes, TVM intègre ces deux aspects dans un cycle de vie continu qui relie visibilité, contexte, action et validation.

L'objectif ne consiste pas simplement à repérer les problèmes. Il s'agit de déterminer quels problèmes présentent le plus grand risque à l'heure actuelle et d'y remédier de manière à réduire de façon mesurable l'exposition à ce risque. Cette discipline est essentielle, car les pirates agissent très rapidement.

Les organisations qui s'appuient sur des analyses périodiques et un tri manuel ont souvent du mal à suivre le rythme. TVM bouleverse cette donne en intégrant la détection et la réponse aux menaces ( ) à la gestion des vulnérabilités, ce qui rend la réduction des risques continue, contextuelle et exploitable.

Pour mettre en œuvre efficacement la TVM, les organisations doivent tout d'abord avoir une vision claire de ce qu'elles gèrent. Il faut pour cela commencer par comprendre la différence entre une menace et une vulnérabilité, ainsi que la manière dont chacune d'elles contribue, à sa manière, au risque concret.

Quelle est la différence entre une menace et une vulnérabilité ?

La distinction entre les menaces et les vulnérabilités est fondamentale pour une sécurité efficace. Bien que ces termes soient parfois utilisés de manière interchangeable, ils désignent des réalités différentes, et leur gestion nécessite des approches distinctes.

Qu'est-ce qu'une menace ?

Une menace désigne tout événement, acteur ou situation susceptible de représenter un danger en exploitant une faiblesse afin de causer un préjudice. Les menaces peuvent être intentionnelles, comme un groupe de ransomware ciblant votre VPN, ou accidentelles, comme un employé qui configurerait mal un compartiment de stockage dans le cloud (un problème de sécurité courant dans le cloud). Elles peuvent également être d'ordre environnemental, comme une coupure de courant qui perturbe les systèmes de secours.

Parmi les catégories courantes de menaces, on peut citer :

• Menaces malveillantes : Attaques délibérées menées par des cybercriminels, des acteurs étatiques malveillants ou des adversaires internes, recourant à des logiciels malveillants, des ransomwares ou l'utilisation abusive d'identifiants dans le but d'obtenir un gain financier, de provoquer des perturbations ou de mener des activités d'espionnage.
• Menaces accidentelles : Actions involontaires telles que des erreurs de configuration, la perte d'appareils ou des autorisations insuffisantes, qui créent des failles exploitables.
• Menaces environnementales : Pannes d'électricité, catastrophes naturelles ou défaillances des infrastructures qui compromettent la disponibilité et l'intégrité.
• Menaces structurelles : Des faiblesses systémiques telles qu’une architecture obsolète, une segmentation inadéquate ou une gouvernance insuffisante, qui aggravent les risques au fil du temps.

Qu'est-ce qu'une vulnérabilité ?

Une vulnérabilité est une faiblesse, qu'elle soit d'ordre technique, procédural ou humain, qu'une menace peut exploiter. Des vulnérabilités existent au niveau des logiciels, du matériel, des configurations, des processus et des comportements. Dans les environnements hybrides complexes, ils se multiplient à mesure que les systèmes prennent de l'ampleur.

Parmi les sources courantes, on peut citer :

• Les bogues et failles logicielles : Les erreurs de codage, les logiciels non mis à jour et les dépendances obsolètes créent des failles exploitables. Les « zero-days » ( , c'est-à-dire des vulnérabilités inconnues au moment de l'exploitation) et les vulnérabilités connues répertoriées dans la base de données Common Vulnerabilities and Exposures (CVE) constituent des cibles de choix.
• Erreurs de configuration : Le stockage dans le cloud accessible au public, les rôles IAM trop permissifs ou les règles de pare-feu incorrectes entrent dans cette catégorie.
• Authentification insuffisante : L'absence d'authentification multifactorielle (MFA), le partage des identifiants et une mauvaise gestion des identités contribuent à augmenter le niveau de risque.
• Manque de sensibilisation à la sécurité : L'erreur humaine reste la vulnérabilité la plus exploitée.
• Systèmes obsolètes : Les logiciels hérités et les systèmes d'exploitation qui ne bénéficient plus d'aucun support ne permettent pas de répondre aux exigences actuelles en matière de sécurité.

À elles seules, les menaces et les vulnérabilités ne reflètent qu'une partie de la réalité. Le véritable risque apparaît lorsque ces deux éléments se recoupent, lorsqu'un adversaire compétent exploite une faille exposée affectant un actif de grande valeur.

Comment les menaces et les vulnérabilités interagissent

Une analogie simple permet de mieux comprendre cette relation : une menace, c'est un cambrioleur ; une vulnérabilité, c'est la porte non verrouillée.

Cette analogie permet d'expliquer la relation, mais elle n'explique pas l'impact. Dans la réalité, tous les cambrioleurs n'ont pas la même importance, et toutes les portes non verrouillées ne présentent pas le même niveau de danger.

Le risque suit souvent un modèle pratique : Risque = Menace × Vulnérabilité × Valeur de l'actif

Un groupe de ransomware connu (menace) exploitant un appareil VPN non mis à jour (vulnérabilité) et affectant les données des clients (actif critique) représente un risque bien plus élevé qu'un problème théorique sur un serveur de test non essentiel, où l'ampleur potentielle des répercussions est limitée. C'est pourquoi la hiérarchisation, et pas seulement la détection, est au cœur de la TVM.

[Découvrez pourquoi il est essentiel de considérer la gestion des risques comme un dialogue permanent au sein de l'entreprise — et non comme une simple formalité de conformité — pour éviter les angles morts et protéger votre organisation]

Pourquoi la gestion des menaces et des vulnérabilités est-elle importante ?

Les attaques se succèdent à la vitesse de l'éclair. Les vulnérabilités sont désormais exploitées quelques heures seulement après leur divulgation. Compte tenu de la complexité des écosystèmes hybrides, des exigences réglementaires et de l'impact économique des violations de données, il n'est pas envisageable de faire l'impasse sur la TVM.

Conséquences d'une négligence en matière de TVM

Lorsque les organisations ne gèrent pas efficacement les menaces et les vulnérabilités, les risques ne s'accumulent pas de manière isolée. Les lacunes en matière de visibilité, les retards dans la mise en œuvre des mesures correctives et une mauvaise hiérarchisation des priorités s'accumulent au fil du temps, ce qui accroît l'exposition aux risques tout en maintenant les équipes dans un mode réactif.

À mesure que ces faiblesses persistent, des problèmes de sécurité qui auraient pu être évités commencent à entraîner des perturbations opérationnelles et à avoir des répercussions sur l'activité :

• Surface d'attaque élargie : Les terminaux non gérés, l'informatique fantôme et les infrastructures cloud non suivies augmentent la surface d'attaque globale et créent des angles morts.
• Attitude réactive : Sans une TVM solide, les organisations restent enlisées dans un mode de gestion de crise permanent.
• Perte financière : Une mauvaise gestion des terminaux multimédias (TVM) transforme des faiblesses évitables en crises coûteuses, ce qui entraîne une augmentation des coûts liés à la gestion des incidents, des risques juridiques et des amendes réglementaires.
• Perturbation des opérations : Les vulnérabilités non gérées peuvent mettre hors service des systèmes critiques, paralyser les chaînes d'approvisionnement et perturber les processus métier essentiels.

Avantages d'une TVM efficace

Lorsque la gestion des menaces et des vulnérabilités est mise en œuvre efficacement, les avantages ne se limitent pas à une diminution du nombre de failles critiques. Un programme TVM bien rodé permet aux organisations d'optimiser la répartition de leurs ressources, de mieux réagir aux incidents et de démontrer leur maîtrise des risques cybernétiques, et ce, d'une manière qui soutient directement les priorités de l'entreprise.

Mais ces résultats ne sont pas le fruit du hasard. Elles doivent mettre en place les capacités, les mesures de sécurité et les processus opérationnels adéquats pour identifier en permanence les vulnérabilités, comprendre les risques, prévenir de manière proactive toute exposition à ces risques et agir à grande échelle.

[Découvrez comment fonctionne la gestion continue de l'exposition aux menaces, pourquoi les évaluations ponctuelles ne suffisent pas et comment une hiérarchisation continue permet de réduire les risques exploitables]

Les piliers essentiels d'un programme de gestion des menaces et des vulnérabilités

L'efficacité de la TVM repose sur cinq piliers interdépendants qui associent visibilité, analyse, hiérarchisation des priorités, action et amélioration continue.

1. Identification et inventaire des actifs
   Vous ne pouvez pas protéger ce dont vous ignorez l'existence ; c'est pourquoi l'identification des actifs est essentielle à une gestion efficace de la valeur des actifs (TVM). Une analyse exhaustive couvrant les terminaux, les serveurs, les ressources cloud, les identités et l'informatique fantôme au sein d'une infrastructure informatique moderne garantit aux équipes la visibilité nécessaire pour gérer les risques. Parmi les principales fonctionnalités, on peut citer :

• Inventaire automatisé dans les environnements hybrides : Identifiez à grande échelle les appareils, les machines virtuelles, les appareils IoT, les identités et les ressources cloud, y compris les actifs éphémères.
• Inventaire en temps réel : Une vue mise à jour en continu permet d'éviter les lacunes générées par les analyses ponctuelles.
• Intégrations d'outils : Associez la découverte aux bases de données de gestion des configurations (CMDB), aux plateformes ITSM et aux outils de sécurité à l'échelle de l'ensemble de la pile technologique afin de garantir la précision et la gouvernance.
• Enrichissement tenant compte des menaces : Associez aux ressources des informations contextuelles telles que l'exposition à Internet, les accès privilégiés et le traitement des données sensibles.

1. Analyse des vulnérabilités et évaluation des risques
   L'analyse fait office de moteur de renseignements : elle identifie les faiblesses et fournit des éléments probants validés permettant d'établir des priorités en fonction des risques. Parmi les bonnes pratiques, on peut citer :
   • Analyses avec et sans authentification : Les analyses avec authentification permettent de mettre en évidence des failles plus profondes au niveau du système, tandis que les analyses sans authentification reflètent le point de vue d'un attaquant externe.
   • Une cadence continue : Les environnements dynamiques exigent des évaluations des risques en temps réel, et non de simples instantanés périodiques.
   • Intégration des informations sur les menaces : Enrichissez vos résultats grâce aux données sur les vulnérabilités connues exploitées (KEV), aux scores EPSS et aux correspondances entre le modèle « » et le cadre MITRE ATT&CK :.
   • Validation : Affinez les signatures, validez les résultats à haut risque et réduisez les faux positifs afin que les équipes agissent en fonction des signaux pertinents, et non du bruit.
2. Hiérarchisation et analyse des risques
   Toutes les vulnérabilités n'ont pas la même importance. La hiérarchisation des priorités combine la gravité, l'activité d'exploitation, la criticité des actifs et l'impact sur l'activité pour aboutir à des informations exploitables. Questions clés à évaluer :
   • Quelle est la gravité de cette vulnérabilité ? Le CVSS fournit une référence, mais la gravité à elle seule ne suffit pas.
   • Fait-elle l'objet d'une exploitation active ? Les données KEV et les scores EPSS permettent d'identifier les vulnérabilités actuellement ciblées par les attaquants.
   • Dans quelle mesure l'actif concerné est-il essentiel ? Une vulnérabilité sur une base de données de production a plus d'importance que le même problème sur un serveur de test.
   • Quelles en seraient les conséquences si cette faille était exploitée ? Les pertes financières, les perturbations opérationnelles et les risques réglementaires expliquent pourquoi une vulnérabilité revêt une importance particulière pour la direction et les principales parties prenantes de l'entreprise.
3. Processus de correction et d'atténuation
   La correction s'attaque à la cause profonde du problème, tandis que l'atténuation permet de réduire l'exposition lorsque des solutions immédiates ne sont pas possibles. Ces deux aspects nécessitent une coordination interfonctionnelle. Approches de correction [Découvrez un guide pratique et moderne sur la gestion des correctifs — et voyez comment l'automatisation transforme l'application des correctifs, qui passe d'une tâche manuelle fastidieuse à une protection proactive] Approches d'atténuation lorsque des corrections immédiates ne sont pas possibles

• Correctifs et mises à jour : L'application rapide des correctifs permet de combler les failles à la source.
• Modifications de configuration : Renforcez les paramètres de sécurité lorsque les mises à jour logicielles ne sont pas immédiatement disponibles.
• Ajustements du contrôle d'accès : Alignez les autorisations sur les principes du « moindre privilège » afin de limiter les mouvements latéraux.
• Mesures de protection : l'IPS « », les listes d'applications autorisées ou le « virtual patching » peuvent réduire la vulnérabilité aux exploits.
• Segmentation du réseau : Isolez les systèmes sensibles afin de limiter la portée d'éventuelles failles de sécurité.
• Renforcement de la surveillance : Une meilleure visibilité sur les actifs à haut risque permet de détecter plus rapidement les anomalies.

1. Suivi et amélioration continue
   TVM n'est pas un projet ponctuel. C'est une discipline qui se pratique en continu. Une surveillance continue permet de garantir que les programmes s'adaptent à mesure que les cybermenaces évoluent. Principales activités :
   • Analyse en continu : Assurez une visibilité permanente afin de combler les failles de sécurité avant que les pirates n'en tirent parti.
   • Intégration des informations sur les menaces : Établissez des corrélations entre les données relatives aux vulnérabilités, les tendances en matière d'exploits et les comportements des attaquants.
   • Indicateurs de performance : Suivi de l' , du temps moyen de résolution (MTTR), des tendances en matière de réduction des vulnérabilités et des scores de cyber-risque afin de démontrer les progrès réalisés.
   • Commentaires sur l' de gestion des incidents : Tirez parti des enseignements tirés d'incidents réels pour affiner vos processus et mettre à jour vos guides d'intervention.

Ensemble, ces piliers constituent les fondements d'une gestion efficace des menaces et des vulnérabilités — mais ils n'apportent de la valeur que si les organisations sont en mesure de déterminer les priorités à traiter en premier lieu. C'est pourquoi, dans la pratique, la hiérarchisation des priorités constitue le pilier central de la TVM.

Comment hiérarchiser efficacement les vulnérabilités

La hiérarchisation des priorités est la clé d'une gestion de la valeur de la télévision (TVM) efficace. Les organisations ne peuvent pas tout régler d'un seul coup, et le CVSS à lui seul ne permet pas d'évaluer le risque réel.

Facteurs favorisant une hiérarchisation efficace :

• Signaux d'exploitation (KEV, EPSS) : Les vulnérabilités pour lesquelles des signaux d'exploitation actifs ont été détectés apparaissent en tête de liste.
• Importance stratégique des actifs : Les systèmes essentiels à la mission et les bases de données sensibles présentent un risque plus élevé pour l'entreprise.
• Risque d'exploitation : La facilité d'attaque, l'exposition externe et la disponibilité d'un code d'exploitation sont autant de facteurs déterminants.
• Impact potentiel : Les temps d'arrêt, les pertes de chiffre d'affaires, les sanctions liées à la conformité et l'atteinte à la réputation soulignent l'urgence de la situation.
• Seuils stratégiques : Des SLA clairs, tels que la résolution des éléments KEV dans des délais définis, permettent de traduire la hiérarchisation des priorités en actions concrètes.

Même lorsque les critères de hiérarchisation sont clairs, la mise en œuvre est rarement simple. Dans les environnements réels, les équipes sont confrontées à des défis structurels et opérationnels qui rendent la gestion des menaces et des vulnérabilités plus complexe que ne le laisse supposer le cadre à lui seul.

Défis courants liés à la gestion des menaces et des vulnérabilités

Même avec un cadre adapté, la TVM peut s'avérer difficile à mettre en œuvre correctement. Plusieurs obstacles pratiques compliquent la mise en œuvre des programmes dans des environnements complexes :

• Une surface d'attaque en constante expansion : L'informatique hybride, les charges de travail dans le cloud, le télétravail et le BYOD ne cessent d'ajouter de nouveaux points d'entrée.
• Difficulté à hiérarchiser les risques : Chaque année, des dizaines de milliers de nouvelles vulnérabilités (CVE) génèrent un volume écrasant de données dépourvues de contexte.
• Visibilité incomplète des actifs : Les terminaux non gérés et l'informatique parallèle échappent à la gouvernance, ce qui affaiblit la couverture.
• Retards dans la correction des failles : Les fenêtres de mise à jour, les cycles de test et les processus de validation impliquant plusieurs équipes ralentissent la mise en place des correctifs, tandis que les pirates agissent en quelques heures.
• Contraintes en matière de ressources : Les équipes sont débordées alors que les environnements gagnent en complexité.
• Fatigue face aux alertes : Un nombre trop élevé de détections désensibilise les équipes, ce qui fait que les véritables risques de sécurité se fondent dans le bruit de fond.
• Manque de coordination : Le service de sécurité identifie les vulnérabilités, le service informatique est chargé des correctifs, le service de conformité impose les délais, mais la responsabilité n'est souvent pas clairement définie.

Malgré ces difficultés, il est possible d'y remédier. Les organisations qui améliorent leur visibilité, renforcent la hiérarchisation des priorités, mettent en place une automatisation intelligente et harmonisent les équipes autour d'une responsabilité partagée peuvent passer d'une approche réactive à une réduction rigoureuse des risques cybernétiques.

Cependant, pour relever ces défis de manière cohérente, il ne suffit pas de se contenter de solutions ponctuelles ou d'outils supplémentaires isolés. Les organisations ont besoin d'une approche coordonnée qui intègre, au sein d'un même flux de travail, la visibilité, la hiérarchisation, l' la correction des vulnérabilités et la validation.

[Découvrez comment l'automatisation de l'application des correctifs de vulnérabilité peut réduire les délais de correction à grande échelle et quels sont les contrôles de gouvernance qui garantissent la sécurité de ce déploiement]

Comment Tanium facilite la gestion des menaces et des vulnérabilités

Tanium transforme les piliers du TVM en un modèle opérationnel. Au lieu d'outils fragmentés et de flux de travail disjoints, Tanium offre une visibilité unifiée sur la gestion des terminaux, la gestion des risques d'exposition et les opérations de sécurité, afin de permettre une hiérarchisation contextuelle, une correction sécurisée et des preuves vérifiables. Les organisations peuvent ainsi avoir une vision claire de la situation, prendre des décisions en toute confiance et agir rapidement tout en gardant le contrôle, à l'échelle de l'entreprise.

• de visibilité en temps réel : La découverte continue des terminaux, des conteneurs et des ressources du cloud hybride élimine les angles morts.
• Hiérarchisation en fonction des risques : Tanium met en corrélation les informations sur les failles d'exploitation avec le degré de criticité des actifs et l'impact sur l'activité, afin de concentrer les efforts là où ils permettent de réduire le risque le plus rapidement.
• Évaluation tenant compte des menaces : Les résultats sont enrichis par l'alignement KEV, les scores EPSS et les données télémétriques relatives aux exploits, ce qui permet de mettre en avant les menaces émergentes réellement exploitables.
• Remédiation orchestrée : L'automatisation tenant compte des risques et le déploiement progressif par anneaux permettent d'apporter des modifications sûres et évolutives sans perturber les opérations de l'entreprise.
• Vérification et rapports : Des analyses automatisées de suivi permettent de confirmer les résultats des mesures correctives, tandis que des tableaux de bord destinés à la direction permettent de suivre des indicateurs clés de performance (KPI) tels que le MTTR et l'évolution des scores de risque.

FAQ sur la gestion des menaces et des vulnérabilités

À mesure que les organisations mettent en œuvre la gestion des menaces et des vulnérabilités, certaines questions fondamentales reviennent sans cesse. La FAQ ci-dessous explique comment les vulnérabilités sont généralement classées, en quoi les informations sur les menaces permettent d'affiner les décisions en matière de gestion des vulnérabilités, et quels indicateurs permettent de déterminer si un programme de gestion des vulnérabilités (TVM) réduit réellement les risques.

Quels sont les quatre principaux types de vulnérabilités ?

Les professionnels de la sécurité classent généralement les vulnérabilités en quatre grandes catégories :

1. des vulnérabilités logicielles : bogues, erreurs de codage et failles non corrigées dans les applications et les systèmes d'exploitation.
2. Vulnérabilités de configuration : erreurs de configuration dans les systèmes, les réseaux ou les services cloud qui créent des failles exploitables.
3. liées aux failles humaines : vulnérabilité à l'ingénierie sociale, au hameçonnage et aux lacunes en matière de sensibilisation à la sécurité.
4. Vulnérabilités physiques : Failles dans les contrôles de sécurité physique susceptibles de permettre un accès non autorisé aux systèmes ou aux données.

En quoi les renseignements sur les menaces améliorent-ils la gestion des vulnérabilités ?

Les renseignements sur les menaces transforment la gestion des vulnérabilités , qui passe d'un simple exercice de mise en conformité à une discipline visant à réduire les risques. En établissant un lien entre les données relatives aux vulnérabilités et l'activité réelle des exploits, les comportements des attaquants ainsi que les renseignements sur les campagnes, les organisations peuvent identifier les failles que les adversaires ciblent réellement, et pas seulement celles qui présentent des scores CVSS élevés.

Ce contexte permet une définition des priorités plus rapide et plus judicieuse. Au lieu de traiter toutes les vulnérabilités critiques de la même manière, les équipes peuvent se concentrer sur les problèmes pour lesquels on sait qu’ils font l’objet d’une exploitation, qui sont activement exploités ou qui présentent un intérêt particulier au regard de leur environnement de menaces spécifique.

Quels indicateurs permettent de déterminer si un programme TVM est couronné de succès ?

Les programmes TVM efficaces suivent des indicateurs qui établissent un lien entre les activités techniques et les résultats opérationnels :

• MTTR : Délai de correction des vulnérabilités après leur découverte.
• Tendances en matière de réduction des vulnérabilités : Le nombre total de vulnérabilités non corrigées diminue-t-il au fil du temps ?
• Performance de résolution des incidents KEV : Mesure dans laquelle l'organisation respecte les accords de niveau de service (SLA) concernant les vulnérabilités connues et exploitées.
• Évolution des scores de risque : Les scores de risque des organisations s'améliorent-ils ?
• Taux de couverture : Pourcentage des équipements ayant fait l'objet d'une analyse récente et disposant de correctifs à jour.

Ces indicateurs offrent une visibilité à la direction, mettent en évidence les progrès réalisés et permettent d'étayer les rapports de conformité à l'aide de preuves solides.

Une gestion efficace des menaces et des vulnérabilités commence par la compréhension de ce qu’il faut protéger et de l’importance de cette protection. Tanium prend en charge les indicateurs essentiels à un programme de gestion de la valeur des terminaux (TVM) axé sur les résultats — du MTTR et des accords de niveau de service (SLA) KEV aux tendances des scores de risque et à la couverture des actifs — en unifiant la détection, la hiérarchisation, la correction et le reporting grâce à des informations en temps réel sur les terminaux, ce qui permet aux équipes d’agir avec clarté et confiance, sans se livrer à des conjectures.

Prenez rendez-vous dès aujourd'hui pour une démonstration gratuite et personnalisée afin de découvrir comment l'informatique autonome optimise la gestion des automates de vente (TVM) dans divers environnements.