Une vulnérabilité a un score de base CVSS de 9,8. Est-ce un risque de 9,8 pour votre organisation ?

Les scanners trient par CVSS, et les équipes finissent par prendre le chiffre pour le risque. Les recruteurs aiment cette question car la distinction pilote les priorités de correctifs.

Ce qu'est le score de base

La spécification FIRST indique que le score de base « reflète la gravité d'une vulnérabilité selon ses caractéristiques intrinsèques ». Il est calculé à partir de propriétés de la faille, comme le vecteur d'attaque et l'impact, et il est identique pour tous les consommateurs.

Ce qui existe en plus

Les métriques de menace « ajustent la gravité d'une vulnérabilité » selon des facteurs comme la maturité de l'exploit, et les métriques d'environnement « affinent le score de gravité pour un environnement informatique précis ». Ces informations ne sont disponibles que pour l'utilisateur final, invité à enrichir le score de base pour obtenir « une entrée plus complète pour l'évaluation du risque propre à son organisation ». Les métriques supplémentaires ne modifient pas le score final.

Le risque exige plus que CVSS

La spécification précise que CVSS peut alimenter un processus de gestion des vulnérabilités qui considère aussi des facteurs hors CVSS, comme les exigences réglementaires et l'impact sur la réputation. En pratique : criticité de l'actif, exposition, mesures compensatoires et preuves d'exploitation.

Pourquoi les distracteurs sont tentants

« Note de risque complète » est la façon dont les tableaux de bord la présentent. « Déjà ajusté à votre environnement » ignore qui détient les données d'environnement.

Ce que veulent les recruteurs

« CVSS de base = gravité, pas risque ; ajoutez menace, environnement et contexte métier avant de prioriser. »