Définition simple
CVSS (Common Vulnerability Scoring System) est une méthode de notation de la gravité technique d’une vulnérabilité informatique, généralement sur une échelle de 0 à 10.
Définition technique
CVSS combine des métriques liées à la facilité d’exploitation et aux conséquences possibles d’une vulnérabilité. Le score dépend de la version du standard et des métriques retenues. Il ne remplace pas une évaluation du risque pour votre organisation.
À quoi cela sert ?
Aider à prioriser les vulnérabilités avec d’autres informations de contexte.
Exemple concret
Une CVE fictive reçoit un score CVSS de 9,8. Le service informatique vérifie aussi si le produit est présent, exposé et exploitable avant de décider de la priorité de correction.
Problèmes fréquents
- Priorisation uniquement par score
- Score différent selon la version CVSS
- Contexte métier non pris en compte
Termes associés
Concepts associés
À retenir : CVE identifie la vulnérabilité ; CVSS exprime sa gravité technique. Pour décider de la priorité d’un correctif, considérez aussi l’exposition, l’exploitation active et l’importance du système.