Qué mide cada señal

Las cuatro señales que llegan a la mesa responden preguntas distintas. La puntuación CVSS base describe cuán grave es el fallo en sí, igual para todo el mundo. El EPSS, de FIRST, estima la probabilidad de que se observe actividad de explotación en los próximos 30 días. El catálogo KEV de CISA constata que hubo explotación y que existe una acción de remediación. SSVC no mide nada del fallo: es un árbol con el que cada organización llega a una decisión.

El error más común es leer una señal con la pregunta de otra. Un fallo puede ser gravísimo y que casi nadie lo use, o moderado y estar en boca de todos los grupos.

El EPSS se publica con dos números. La probabilidad es absoluta: 0.10 quiere decir que, de cada diez fallos con ese valor, se espera ver actividad de explotación en uno durante los próximos 30 días. El percentil es relativo: dice qué fracción de todos los CVE puntuados tiene una probabilidad menor. Un fallo con probabilidad baja puede estar en un percentil altísimo, porque la mayoría de los CVE puntúan todavía más bajo.

Confundirlos infla el riesgo en un informe y se repite cada vez que alguien copia la frase. Ejecuta SELECT * FROM hoja y SELECT * FROM informe_anterior y compara cada cifra del informe con la columna de la que salió.

La columna decision_ssvc es lo que el árbol de la clínica dijo el viernes. El árbol pregunta por la explotación, la exposición, si el ataque se puede automatizar y el impacto humano; la gravedad técnica entra de forma indirecta o no entra. Por eso una fila con CVSS modesto puede terminar arriba y una con 9.8 abajo.

Busca en la hoja el caso que mejor lo muestra: entre las filas con la decisión más alta, la que tiene la puntuación CVSS más baja.

Tres de las cuatro señales se publican una vez y valen igual para cualquier lector: el CVSS base, la probabilidad del EPSS y la constancia en el catálogo. La decisión SSVC, en cambio, se calcula con datos que solo tiene la organización: dónde está instalado el producto, si se alcanza desde internet y qué pasa con las personas si falla. Copiar la decisión de otra organización es copiar su inventario y su misión.

La frase AQF-05 del informe anterior comete justo ese error.