درجات CVSS: ما ينبغي لمجالس الإدارة والمشترين قراءته فعلًا

يعرض التقرير لديكم «CVSS 9.1 حرجة» إلى جانب «CVSS 7.4 عالية». أيّ منهما تُصلحون أولًا؟ الجواب غير المريح: ربما لا أيًّا منهما أولًا — اقرؤوا سياق الأعمال.

ما تقيسه CVSS فعلًا

CVSS مبنية على خصائص الهجوم — وليست درجة في التخمين:

اتجاه الهجوم (AV) — هل يتطلب شبكة أو اتصالًا جارًا أو حضورًا فيزيائيًا؟
تعقيد الهجوم (AC) — هل يحتاج توقيتًا خاصًا أو سباقًا أو تحضيرًا؟
الصلاحيات المطلوبة (PR) — مستخدم مجهول أم مسجّل أم مدير؛
تفاعل المستخدم (UI) — هل تحتاج ضحية إلى النقر على شيء؟
أثر CIA — الضرر على السرّية والسلامة والتوافر.

الدرجة 9.8 الحرجة — دون قائمة، قبل المصادقة، تنفيذ كامل للأوامر — تستحق الإنذار فعلًا. لكن ثغرات 9 كثيرة تؤثر فقط على حساب مستخدم واحد، وقيمتها أقل بكثير في تطبيق لمستأجر واحد.

ثلاثة أسئلة تُطرح

ما صعوبة الإصلاح؟ نتيجتان بالدرجة نفسها قد تكلفان ساعتين أو سباقَي إصدار — استخدم ذلك في ترتيب الأولويات.
من يستطيع تنفيذها فعلًا؟ لوحة admin داخل شبكة VPN تختلف جذريًا عنها في نظام دفع عام.
ما البيانات خلفها؟ تسري باستخدام ضوابط تعويضية (تخزين مشفّر، نسخ احتياطي، رصد) تصدّر صورة مخاطر الفعلية أكثر مما تفوّضها CVSS.

كيف يقلّل تقريرنا هذا المشكل

تظهر كل نتيجة في منصتنا بهذا الشكل:

CVSS + مستوى الخطورة — للاتساق والأتمتة.
فقرة أثر الأعمال — مكتوبة لصانع القرار أو المدقق أو مجلس الإدارة.

إذا اختلفتا، فالفقرة هي الحَكِم. استخدم CVSS عمودًا قابلاً للترتيب، وليس القرار بنفسه.