CVSS é um padrão para representar a severidade técnica de uma vulnerabilidade de forma comparável. A pontuação ajuda a comunicar características do problema, mas não substitui a análise de risco do negócio.
O que a pontuação tenta responder
De maneira simplificada, o cálculo considera fatores como de onde o ataque pode ser feito, quanta complexidade existe, quais privilégios são necessários, se outra pessoa precisa interagir e quais impactos podem ocorrer sobre confidencialidade, integridade e disponibilidade.
Por isso, duas falhas que parecem semelhantes podem receber avaliações diferentes quando as condições de exploração mudam.
Severidade não é a mesma coisa que prioridade
Uma vulnerabilidade tecnicamente alta em um ambiente isolado pode exigir uma resposta diferente de uma falha moderada presente em um fluxo público e crítico para a operação. Para priorizar bem, a empresa também precisa considerar:
- exposição real do ativo;
- sensibilidade dos dados;
- importância do processo afetado;
- controles compensatórios existentes;
- probabilidade e consequência no contexto específico.
Use o vetor, não apenas o número
Registrar a versão do CVSS e o vetor utilizado torna a avaliação auditável e evita transformar uma nota isolada em verdade absoluta. O vetor explica por que a pontuação chegou àquele resultado e facilita revisar a análise quando o contexto muda.
CVSS é mais útil como linguagem comum entre segurança, engenharia e gestão. A decisão final de tratamento continua dependendo do ambiente em que a vulnerabilidade existe.