De la 3.1 a la 4.0, qué cambió y qué números se mueven

El grupo temporal de la 3.1 tenía tres métricas: madurez del código de explotación (E), nivel de remediación (RL) y confianza en el informe (RC). Todas son multiplicadores menores o iguales a 1 que bajan la base: la tabla pesos31 del laboratorio trae los valores.

La 4.0 reorganizó ese grupo según su guía de usuario: lo renombró y retiró dos de sus tres métricas. Lo que quedó es una sola métrica de amenaza, centrada en lo único que cambia con el tiempo y no con la empresa. Según esa guía, el nivel de remediación solía quedar en O y la confianza en el informe en C, es decir, casi nunca movían el número.

Para cada hallazgo, el fabricante publicó un vector 3.1 y un vector 4.0. La tabla hallazgos trae las dos puntuaciones lado a lado, y no son una conversión. Cada versión tiene su propio cálculo: la 3.1 con una fórmula de pesos, la 4.0 con una tabla de MacroVectores. Por eso un mismo fallo puede puntuar más o menos en una u otra sin que nadie se haya equivocado.

Con esas diez filas ya se ve una tendencia, y conviene medirla en vez de intuirla antes de contarle a nadie que «la 4.0 puntúa más alto».

En la 3.1, la puntuación temporal es la base multiplicada por los tres pesos del grupo y redondeada hacia arriba a un decimal; la tabla temporal31 trae los valores de un hallazgo y pesos31 trae los pesos de cada valor. Hacer la cuenta una vez enseña qué hacía el grupo que la 4.0 retiró.

Redondear hacia arriba significa que 4.01 se convierte en 4.1 y no en 4.0: es la regla de redondeo de la 3.1, no la de una calculadora cualquiera.

La escala cualitativa es la misma en las dos versiones: Ninguna (0.0), Baja (0.1 a 3.9), Media (4.0 a 6.9), Alta (7.0 a 8.9) y Crítica (9.0 a 10.0); está en la tabla escala. FIRST la mantuvo para que las etiquetas heredadas de la 3.x siguieran teniendo sentido.

Aun así, un número distinto puede cruzar una frontera. Para saber si migrar a la 4.0 cambia la conversación con quien recibe el informe, no basta con ver que los números suben: hay que ver cuántos hallazgos cambian de categoría.

Mientras convivan las dos versiones, una columna de «puntuación CVSS» sin más dato es una trampa: un 7.5 de la 3.1 y un 7.5 de la 4.0 no son el mismo tipo de número, y ordenar una lista con ambos mezcla dos escalas de construcción distinta.

La práctica sostenible es la que ya vimos con las etiquetas: cada puntuación se registra con su versión y con los grupos de métricas que la produjeron, y se compara solo entre números de la misma clase.