Punteggi di gravità: perché il CVSS non dice tutto

Il CVSS, Common Vulnerability Scoring System, assegna a ogni debolezza un punteggio da 0 a 10 in base a come può essere sfruttata e a quanto può essere grave l'effetto. È un linguaggio comune utile ed è generico per costruzione.

Cosa non sa

• Il tuo contesto: la stessa falla conta di più sul sistema che contiene i dati dei clienti che su un server di prova isolato.
• L'esposizione: una falla raggiungibile da internet non è come una che richiede accesso locale.
• Le combinazioni: due risultati "medi" possono unirsi in qualcosa di serio.
• L'uso reale: se la debolezza è sfruttata attivamente.

Un approccio pratico

Parti dal punteggio, poi correggilo in base all'impatto sul tuo business e all'esposizione, e annota il perché. Quando un report ti dà sia un punteggio sia il commento del tester sull'impatto reale, leggi prima il commento.