Il CVSS (Common Vulnerability Scoring System) è un metodo pubblico per assegnare a una vulnerabilità un punteggio di gravità da 0 a 10, in base a fattori definiti: quanto è facile sfruttarla, cosa espone, se serve autenticazione e altri. Non è un'etichetta decisa dal fornitore, è il risultato di una formula aperta, oggi alla versione 4.0. Il suo valore per chi legge un report è che permette di verificare il giudizio invece di doverci credere.
Perché uno standard aperto vi protegge
Senza un metodo comune, la gravità di un difetto sarebbe un'opinione: un fornitore poco serio potrebbe gonfiarla per giustificare il prezzo, o sminuirla per non allarmare. Il CVSS toglie questo margine: la gravità si calcola con una formula pubblica a partire da fattori dichiarati, e chiunque, inserendo gli stessi fattori in un calcolatore online gratuito, ottiene lo stesso numero. È la differenza fra credere e verificare.
| Punteggio | Fascia | In pratica |
|---|---|---|
| 9,0 - 10,0 | Critico | Va sistemato subito |
| 7,0 - 8,9 | Alto | Priorità, a breve |
| 4,0 - 6,9 | Medio | Da correggere, programmabile |
| 0,1 - 3,9 | Basso | Spesso accettabile secondo il contesto |
Come usarlo quando leggete un report
- Pretendete che ogni difetto abbia un punteggio, non solo un'etichetta come «grave».
- Chiedete i fattori che compongono il punteggio: sono ciò che vi permette di rifarlo.
- Ricordate che il punteggio base non conosce il vostro contesto: un difetto «alto» in generale può essere meno urgente da voi, o più. Il contesto va ragionato.
- Usate le fasce per stabilire l'ordine degli interventi, non per farvi prendere dal panico o per ignorare.
Domande frequenti
- Un punteggio alto significa che sarò sicuramente attaccato?
- No: misura la gravità potenziale del difetto, non la probabilità che qualcuno lo sfrutti nel vostro caso. Un difetto critico va comunque trattato con priorità, perché se sfruttato fa molto danno, ma il punteggio è una misura di quanto sarebbe grave, non di quanto è probabile. Le due cose insieme guidano le decisioni.
- Posso verificare io un punteggio CVSS?
- Sì, ed è il punto: esistono calcolatori online gratuiti dove, inserendo gli stessi fattori indicati nel report, ottenete lo stesso numero. Se un fornitore vi dà i fattori, potete controllarlo; se non ve li dà, non vi sta dando questa possibilità.
- La versione 4.0 cambia i punteggi vecchi?
- Il CVSS si evolve per riflettere meglio la realtà, e versioni diverse possono dare punteggi leggermente diversi allo stesso difetto. Ciò che conta è che un report dichiari quale versione usa, così i punteggi sono confrontabili. È un dettaglio da chiedere se confrontate report di periodi diversi.