SSVC frente a CVSS y EPSS

CVSS mide la gravedad del fallo en sí. EPSS, de FIRST, estima la probabilidad de que se observe aprovechamiento de un fallo en los treinta días siguientes. Ninguno conoce a la organización: el CVSS no sabe qué componente es, ni el EPSS qué daño causaría. SSVC pone el contexto de la empresa en el árbol y devuelve una decisión; la explotación observada, el CVSS o el EPSS pueden alimentar sus preguntas.

Mira la tabla regla_vieja: combina dos números con un umbral y llama a eso «urgente».

Un aviso con CVSS medio y EPSS por debajo del umbral queda como normal en la regla vieja. Pero si se está aprovechando en un componente que importa, el árbol puede subirlo. Busca un aviso con puntuación CVSS menor de 7.0 cuya decisión sea Atender.

La regla vieja también se equivoca por exceso: marca como urgentes avisos que el árbol manda al ciclo normal o a vigilancia. Cuenta los avisos marcados urgente cuya decisión no es ni Atender ni Actuar.

El árbol no sustituye el criterio: lo vuelve explícito. Si dos personas discrepan de una decisión, el desacuerdo se resuelve revisando los valores de los puntos y la regla que decidió, no negociando un número.