Una vulnerabilidad tiene una puntuación base CVSS de 9,8. ¿Significa eso un riesgo de 9,8 para su organización?
Respuesta breve
No. La puntuación base CVSS refleja la gravedad de una vulnerabilidad según sus características intrínsecas; ignora su entorno. Las métricas de amenaza y entorno la refinan, e incluso así la especificación la presenta como entrada de una evaluación de riesgo que también pondera factores ajenos a CVSS, como el impacto regulatorio o el valor del activo. Priorice con gravedad, evidencia de explotación, exposición y contexto de negocio.
Los escáneres ordenan por CVSS y los equipos acaban tomando la cifra por riesgo. A los entrevistadores les gusta esta pregunta porque la distinción define las prioridades de parcheo.
Qué es la puntuación base
La especificación de FIRST dice que la puntuación base «refleja la gravedad de una vulnerabilidad según sus características intrínsecas». Se calcula a partir de propiedades del fallo, como el vector de ataque y el impacto, y es igual para todos los consumidores.
Qué más existe
Las métricas de amenaza «ajustan la gravedad de una vulnerabilidad» según factores como la madurez del exploit, y las de entorno «refinan la puntuación de gravedad para un entorno informático concreto». Esa información solo la tiene el usuario final, a quien se anima a enriquecer la puntuación base para obtener «una entrada más completa para la evaluación de riesgo específica de su organización». Las métricas suplementarias no cambian la puntuación final.
El riesgo necesita más que CVSS
La especificación indica que CVSS puede alimentar un proceso de gestión de vulnerabilidades que considere también factores ajenos a CVSS, como requisitos regulatorios e impacto reputacional. En la práctica: criticidad del activo, exposición, controles compensatorios y evidencia de explotación.
Por qué los distractores tientan
«Calificación de riesgo completa» es como lo muestran los paneles. «Ya ajustada a su entorno» ignora quién tiene los datos del entorno.
Lo que buscan los entrevistadores
«CVSS base es gravedad, no riesgo; añada amenaza, entorno y contexto de negocio antes de priorizar.»
Posibles preguntas de seguimiento
- ¿Qué grupos de métricas CVSS permiten adaptar una puntuación a su entorno?
- ¿Cómo complementan EPSS o el catálogo CISA KEV a CVSS al priorizar?
- ¿Cómo explicaría a la dirección que un 7,5 en un sistema crítico expuesto puede superar a un 9,8?