El vector CVSS: base, temporal y entorno

CVSS no es un número suelto: es el resultado de un vector con tres grupos de métricas. El grupo base mide la gravedad técnica del fallo en abstracto y es el único que casi siempre se publica —es idéntico en cualquier red—. El grupo temporal ajusta ese número según el estado del exploit en el mundo: si ya existe código de ataque, si está maduro, si hay parche. El grupo de entorno lo ajusta según tu red concreta: cuánto vale el activo afectado y qué defensas tiene alrededor. El número final honesto es la base ajustada por los otros dos.

Que casi todo el mundo use solo la base no significa que la base sea todo el número: significa que casi todo el mundo trabaja con la versión sin ajustar.

El ajuste de entorno recoge algo que la base ignora a propósito: que el mismo fallo pesa distinto según dónde viva. Un hallazgo con base alta sobre un servicio detenido en un activo aislado tiene un entorno que lo hunde —no hay servicio corriendo al que afecte, ni camino para llegar a él—, así que su número ajustado baja mucho por debajo de la base. Esto no es rebajar el fallo por comodidad: es reflejar en el número lo que el analista ya sabe de su red. El ajuste de entorno es la vía formal de meter el contexto dentro del propio cálculo, en vez de llevarlo aparte en la cabeza.

Cuando el número base dice «alto» y tu red dice «aquí no», el grupo de entorno es donde esa discrepancia se escribe y se justifica.

El ajuste de entorno funciona en los dos sentidos. Un hallazgo con base media sobre una web pública expuesta a internet y con datos de clientes tiene un entorno que lo sube por encima de su base, porque el activo vale mucho y es alcanzable. Aquí está la lección incómoda: una vulnerabilidad de gravedad media puede terminar, con el contexto puesto, por encima de una alta aislada. Quien ordena solo por la base pone esas dos al revés. El ajuste de entorno es lo que impide que «medio» signifique siempre «menos urgente que cualquier alto».

Base y entorno pueden discrepar en cualquier dirección. Por eso el número base es el principio de la conversación y el ajuste de entorno, buena parte del final.

El ajuste de entorno es el contexto metido dentro del número. Abre el panel de vectores de Ferranova y aísla el hallazgo cuya puntuación de entorno queda muy por debajo de su base porque el servicio está detenido y aislado. La nota de ese resultado trae un código de la sala.