Cuatro grupos y una etiqueta

CVSS 4.0 reparte sus métricas en cuatro grupos. La base describe el fallo por sí mismo y no cambia con el tiempo ni con la empresa: la asigna quien mantiene el sistema vulnerable o un tercero que evalúa en su nombre. La amenaza recoge lo que cambia con el tiempo pero no con la empresa: hoy, solo la madurez del exploit. El entorno recoge lo que es propio de cada organización: qué importancia tiene el activo y qué controles lo rodean. La suplementaria añade contexto que no mueve la puntuación.

La consecuencia práctica es de reparto de trabajo. La base casi siempre te llega hecha; la amenaza y el entorno solo las puede poner quien usa el sistema, porque solo él sabe si el exploit circula y qué hace ese servidor en su red. Si nadie las pone, el número que ves es el del peor caso.

Abre la tabla de métricas con SELECT * FROM metricas y cuenta cuántas hay en cada grupo con la consulta de agrupación. Verás que las métricas de entorno son más numerosas que las de base, porque incluyen una versión modificada de cada métrica base además de los tres requisitos de seguridad. Y verás un grupo cuyo texto en la especificación es tajante: ninguna de sus métricas, por sí sola, cambia la puntuación. Existen para llevar contexto —si el fallo es automatizable, cuánto cuesta responder, qué urgencia le da el proveedor— y que cada organización decida qué hace con él.

Que no muevan el número no las hace inútiles: son datos para decidir. Pero no se suman a la cuenta de la puntuación.

FIRST pide que todo número CVSS se muestre con una etiqueta que diga qué grupos de métricas se usaron. Hay cuatro: CVSS-B (solo base), CVSS-BT (base y amenaza), CVSS-BE (base y entorno) y CVSS-BTE (las tres). La «T» se escribe si se usó alguna métrica de amenaza; la «E», si se usó alguna de entorno. Las suplementarias no entran en la etiqueta porque no entran en el cálculo.

El motivo es que un 8.8 puede significar cosas muy distintas: el peor caso del fabricante, o la valoración de tu equipo con exploit y activo conocidos. Sin etiqueta no se sabe cuál estás leyendo, y dos equipos acaban discutiendo por dos números que no son comparables.

La especificación dice dos cosas que conviene juntar. Una: quienes publican puntuaciones —los mantenedores de los productos y bases públicas como la NVD— suelen publicar solo la base. Otra: en la versión 4.0 el cálculo usa siempre los tres grupos, y si no hay datos de amenaza ni de entorno aplica los valores por defecto, que suponen el peor caso. Un número publicado sin etiqueta y sin vector es, entonces, un dato pobre: no sabes qué métricas lo produjeron.

Lo prudente es no inventar la etiqueta que te conviene: registra lo que puedes sostener, pide lo que falta y no mezcles ese número en la misma columna que tus puntuaciones propias.

La guía de usuario de FIRST lo dice sin rodeos: CVSS-B mide severidad, no riesgo, y no debe usarse solo para evaluar riesgo. Añadir amenaza y entorno acerca el número a la realidad, pero tampoco lo convierte en riesgo: la propia especificación deja fuera de su alcance factores como los requisitos regulatorios, la cantidad de clientes afectados, las pérdidas económicas o el daño a la reputación.

Por eso el número es una entrada del proceso de priorización y no su resultado. Cuando alguien pida «parchear por CVSS», tu trabajo es decir qué mide ese número y qué se pesa aparte.