CVSS, lo que dice y lo que no

El CVSS base mide la gravedad técnica del fallo suponiendo el peor caso razonable: cómo de fácil es de explotar, qué privilegios exige, y cuánto daño hace a la confidencialidad, integridad y disponibilidad si se explota. Es una propiedad del fallo, no de tu red: el mismo CVE tiene el mismo CVSS base en tu empresa y en la de enfrente, porque no sabe nada de ninguna de las dos. Por eso es un buen punto de partida —un lenguaje común de gravedad— y un mal punto final.

Entender que el número describe el fallo y no tu situación es lo que evita el error de tratar dos hallazgos con el mismo CVSS como si merecieran la misma respuesta.

En Ferranova hay dos activos con el mismo fallo crítico de puntuación 10: la web pública (web-tienda), expuesta a internet y con datos de clientes, y un equipo de recepción (pc-recepcion), donde el componente vulnerable vive dentro de una aplicación que casi nadie abre y que no asoma a la red. Mismo CVE, mismo 10, y no merecen ni de lejos la misma urgencia: el de la web se persigue hoy; el del equipo de recepción entra en la cola normal. El número es idéntico porque describe el fallo; lo que los separa no está en el número.

Este es el ejemplo que desmonta «ordena por CVSS y ataca de arriba abajo». Dos dieces pueden ser una emergencia y un trámite.

El CVSS base omite tres cosas, y no por descuido: las omite porque dependen de tu red y él quiere ser universal. No sabe si el activo afectado es tu base de clientes o una impresora. No sabe si es alcanzable desde internet o vive en una red aislada. Y no sabe si existe un exploit público y usado, o si el fallo es teórico. Esas tres —criticidad del activo, exposición y explotabilidad real— son justo las que convierten una gravedad en una prioridad, y las pones tú, no la puntuación.

Hay métricas CVSS adicionales (temporal y de entorno) que intentan capturar parte de esto, pero casi nadie las mantiene al día. En la práctica, ese contexto lo aporta el analista.

El informe de Ferranova trae un hallazgo de gravedad media —una configuración débil de cifrado en la web pública— que urge, porque el activo es crítico y está expuesto a internet, y un hallazgo de gravedad alta en un servicio interno detenido que no urge nada. Si ordenas solo por CVSS, el alto sube y el medio baja, y te equivocas en los dos. La gravedad es una de las variables de la prioridad, no la prioridad. Un analista que solo sabe ordenar por el número no aporta nada que el escáner no diera ya hecho.

La conclusión de esta sala es incómoda a propósito: el CVSS es necesario y no es suficiente. Lo que hagas con él —cruzarlo con tu red— es el trabajo. Eso es el módulo que viene.

El número es el principio, no el veredicto. Abre el informe de Ferranova y saca las dos líneas que puntúan 10.0 en la escala base sobre activos muy distintos. La nota de ese resultado trae un código de la sala.