Technische Schwere ist eine Eingabe, kein Geschäftsrisiko
Common Vulnerability Scoring System (CVSS) – hilft bei der standardisierten Beschreibung einer Schwachstelle. Das eigene Risiko entsteht erst im Kontext.
CVSS 9,8 – also automatisch unser höchstes Risiko?
Nein. CVSS beschreibt die technischen Eigenschaften und Schwere einer Schwachstelle. Für die Priorisierung im eigenen Unternehmen müssen zusätzlich Bedrohungslage und Umgebung betrachtet werden.
Vier Metrikgruppen statt einer einzelnen Zahl
Base
Intrinsische technische Eigenschaften der Schwachstelle.
Bedrohung
Veränderliche Bedrohungsinformationen, etwa Exploit Maturity.
Environmental
Merkmale und Auswirkungen in der konkreten eigenen Umgebung.
Supplemental
Zusätzliche Merkmale, die den finalen Score nicht verändern.
Severity ist nicht Business Risk
FIRST beschreibt CVSS als offenes Framework zur Kommunikation von Eigenschaften und Schwere von Software-, Hardware- und Firmware-Schwachstellen. Der Score kann eine wichtige Eingabe sein. Erst Asset-Kontext, Exposition, Bedrohung, bestehende Maßnahmen und Business Impact machen daraus unsere Priorisierung und Risikoentscheidung.
Worauf diese Seite gestützt ist
FIRST CVSS v4.0
Offizielle Hauptseite des Common Vulnerability Scoring System v4.0.
CVSS v4.0 Consumer Implementation Guide
Aktuelle Anleitung für Threat- und Environmental-Metriken bei der Priorisierung.