CVSS staat voor Common Vulnerability Scoring System. Het is een internationale standaard die aan elk beveiligingslek in software een cijfer geeft, van 0,0 tot 10,0. Hoe hoger het cijfer, hoe ernstiger het lek. Zo kun je kwetsbaarheden van verschillende leveranciers met elkaar vergelijken, zonder dat je de techniek erachter hoeft te doorgronden.
Voor een MKB-bedrijf is CVSS vooral een prioriteitenhulp. Er verschijnen elke maand honderden nieuwe kwetsbaarheden en je kunt ze niet allemaal tegelijk oplossen. Met een score erbij weet je welke updates deze week moeten en welke kunnen wachten tot het volgende onderhoudsmoment. Dat scheelt onnodige spoedacties, en het voorkomt dat een lek dat er echt toe doet maanden blijft liggen.
De score wordt opgebouwd uit vragen als: kan een aanvaller het lek op afstand misbruiken, is er een wachtwoord voor nodig, en hoeveel schade levert het op. Grofweg geldt 9,0 tot 10,0 als kritiek, 7,0 tot 8,9 als hoog, 4,0 tot 6,9 als gemiddeld en alles daaronder als laag. Let er wel op dat de score niets zegt over jouw situatie. Een kritiek lek in software die je niet gebruikt, of die niet vanaf internet bereikbaar is, is voor jou minder urgent. Kijk dus altijd naar de score en naar de context samen.
Wat OkayICT hierin doet: Wij volgen de kwetsbaarheden in jouw software, wegen de CVSS-score af tegen jouw eigen omgeving en plannen de patches in.
Meer lezen: Wat is een CVE? · Wat is een kwetsbaarheid?
