CVSSque significa Sistema común de puntuación de vulnerabilidadeses un sistema normalizado para evaluar la gravedad de una enfermedad. vulnerabilidades IT.
Asigna una puntuación numérica entre 0 y 10, que refleja la criticidad de una vulnerabilidad y permite priorizar las medidas correctoras. Este sistema es mantenido por FIRST (Forum of Incident Response and Security Teams). Creado en 2005 por el National Infrastructure Advisory Council (NIAC), su objetivo es proporcionar un método universal y reproducible para medir y comparar la criticidad de las vulnerabilidades en los sistemas de información.
Versiones y actualizaciones
Desde su creación, el CVSS ha sido objeto de varias actualizaciones para responder a la creciente necesidad de precisión y adaptabilidad. La versión actual, CVSS v4.0publicado en noviembre de 2023, mejorará la granularidad de las puntuaciones e incorporará más comentarios de los usuarios.
🎯 ¿Para qué sirve el CVSS?
- Evaluación rápida y estandarizada : La puntuación CVSS proporciona una visión general inmediata y normalizada de la peligrosidad de una vulnerabilidad, lo que facilita la comparación entre distintas vulnerabilidades.
- Priorización de las correcciones : permite priorizar las vulnerabilidades en función de su impacto potencial, optimizando la asignación de recursos para su corrección.
- Comunicación eficaz : el CVSS proporciona un lenguaje común y objetivo para la comunicación entre equipos técnicos, equipos de gestión, proveedores y clientes, evitando interpretaciones subjetivas.
- Automatización de procesos : Las herramientas de gestión de vulnerabilidades pueden utilizar las puntuaciones CVSS para automatizar diversas tareas, como la generación de informes, la clasificación de alertas, la puesta en cuarentena de sistemas vulnerables o la activación de procedimientos de emergencia. remediación.
- Gestión de riesgos : Al cuantificar la gravedad de las vulnerabilidades, el CVSS ayuda a las organizaciones a evaluar su nivel general de riesgo y a tomar decisiones de seguridad con conocimiento de causa.
Cómo funciona
Cómo funcionaEl CVSS evalúa una vulnerabilidad según tres grupos de métricas:
- Base : características intrínsecas de la vulnerabilidad (complejidad de la explotación, privilegios necesarios, etc.).
- Hora : factores que evolucionan con el tiempo (existencia de un exploit público, facilidad para obtener un código de explotación, etc.).
- Medio ambiente : contexto específico de la organización (valor de los activos, complejidad de la mitigación, etc.).
Cada métrica está asociada a una subpuntuación, y la suma de estas subpuntuaciones da la puntuación CVSS final.
🌡 Los distintos niveles de gravedad según el CVSS
- Consulte (9.0-10.0): vulnerabilidad muy grave, que requiere una acción inmediata.
- Alta (7.0-8.9) : vulnerabilidad significativa, que requiere una atención rápida.
- Media (4.0-6.9) : vulnerabilidad moderada, a tratar en un plazo razonable.
- Bajo (0.1-3.9) : vulnerabilidad menor, que puede solucionarse a largo plazo.
Los límites del CVSS
Aunque el CVSS es una herramienta valiosa, tiene ciertas limitaciones:
- Subjetividad: Algunos elementos del cálculo de la puntuación pueden ser subjetivos, dependiendo de la interpretación de las métricas.
- Generalización: El CVSS proporciona una evaluación general, pero no tiene en cuenta todos los aspectos específicos de un entorno determinado.
- Amenazas en evolución: Las amenazas evolucionan rápidamente, y el CVSS puede no reflejar siempre las últimas tendencias.
📊 Estadísticas y cifras
- Según un estudio reciente, aproximadamente 85 % de las organizaciones utilizan CVSS como método principal de evaluación de vulnerabilidades.
- En Francia y en el extranjero, más de 90 % de las vulnerabilidades críticas notificadas reciben una puntuación superior a 7subrayando su importancia en la gestión proactiva del riesgo.
