「CVSS」とはそもそも何か？ 脆弱性対応の優先順位付けではない!?【海外セキュリティ】

[ockeghem]

『一般的に人々が知りたいのは、脆弱性に対してどれくらい速やかに対応すべきかというものであり、それを実現するには現在のCVSSを変えるか、新しい別のシステムを使うしかない』<ここ重要ですね

[JULY]

そのとおりなんだけど、それを認識して、自身が持つシステムに対する対応を決められる人は、ほんの一握りしかいないのに、「パッチ適用は、緊急性やシステムの影響を別途検討した上で実施する」と書かれる...

[wushi]

問題は開示後なんだよな

[TakayukiN627]

そもそもCVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません。

[raitu]

「そもそもCVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません」つまりCVSSで対応優先順位を決めることはできないと

[deep_one]

『そもそもCVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません』

[dorje2009]

とりあえず今すぐできることとしては「CVSSはスコアよりもパラメーターに注目してね」「全部は無理でも深刻度高いやつだけでも環境値を考慮してね」と周知・啓発を進めることかもしれない

[remixed]

今後も止まらないであろう増加傾向に対して効果的な対応が出来ていないものとして、優先順位付けに有意義な指標を定義して頂けると泥沼から抜け出せそう

[IGA-OS]

“CVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません”

[RabbitBit]

脆弱性の技術的な深刻度であって、セキュリティリスクの大きさではない。多少の恣意性が混ざったとしても、求めるのは後者だわ。おのおのでセキュリティ評価するのは社会的に見てムダが多い。

[fk_2000]

鵜呑みにしないこと

[teppeis]

「CVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません」

[kamei_rio]

"CVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません"