Qué es SSVC

Una puntuación CVSS describe el fallo en sí: cuán grave es de manera general. No sabe si el componente afectado sostiene el despacho de la empresa o es una impresora de oficina. SSVC parte de otra pregunta: «dado lo que sabemos de este aviso y de nuestra misión, ¿qué hacemos?». Para contestarla recorre un árbol con unos pocos puntos de decisión y llega a una hoja con nombre.

El método lo desarrollaron la Universidad Carnegie Mellon y CISA. La versión de CISA usa cuatro salidas, que en esta ruta llamamos Seguir, Seguir*, Atender y Actuar. La tabla metodos pone lado a lado tres formas de mirar un aviso.

Cada salida es una instrucción de trabajo: dice qué se hace, quién se entera y en cuánto tiempo. Los plazos y los interlocutores los fija cada empresa; en la tabla salidas están los de Cipreses. Lo importante es que las salidas no se ordenan por un número sino por la implicación que exigen: lo que sube de nivel llega a más personas con más autoridad.

La regla actual de Cipreses se ve en cola_actual: un plazo según la puntuación (9.0 o más, siete días; de 7.0 a 8.9, treinta; menos de 7.0, noventa). Al lado está la decisión que da el árbol. Busca un aviso al que la puntuación le da el plazo más corto pero el árbol manda a la decisión más baja.

La decisión Atender saca el aviso del ciclo normal. Cuenta cuántos de los ocho avisos de la cola terminan ahí. Es una cuenta sobre la columna decision_ssvc.