Como você usa o CVSS com responsabilidade ao priorizar?

Comece com a aplicabilidade e deixe que a política determine o pedido final.

Uma ordem útil é:

  1. verificar se a vulnerabilidade se aplica ao produto;
  2. verificar a pontuação base e o vetor do CVSS para esse produto;
  3. adicionar informações atuais sobre ameaças e fatores ambientais reais;
  4. incluir contexto adicional, como segurança, recuperabilidade e obrigações legais;
  5. aplicar sua própria política de prioridade, tratamento e aceitação de riscos;
  6. registrar a decisão e fundamentação.

Isto não cria uma lista de reparos automática, mas uma decisão que pode ser seguida. A FIRST recomenda o uso de métricas ambientais e de ameaças para obter um resultado mais significativo e chama o resultado de uma entrada para sua própria vulnerabilidade e tratamento de riscos.