El CVSS (Common Vulnerability Scoring System) es un estándar abierto utilizado universalmente en el ámbito de la ciberseguridad para evaluar la gravedad y el impacto de las vulnerabilidades en sistemas informáticos.
Ha sido desarrollado por el Forum of Incident Response and Security Teams (FIRST) y su última versión es CVSS 4.0.
Para qué sirve CVSS (Common Vulnerability Scoring System)
El principal objetivo de CVSS (Common Vulnerability Scoring System) es proporcionar un método objetivo, consistente y reproducible para identificar y analizar el riesgo de una vulnerabilidad de seguridad.
Es un estándar común de ciberseguridad para todas las empresas y organizaciones, lo cual permite comparar de manera objetiva las amenazas, su gravedad o frecuencia, y tomar medidas conjuntas.
Incorpora métricas refinadas y actualizadas para optimizar la precisión y la adaptabilidad, incluso si las amenazas cibernéticas sufren variaciones.
Concretando, CVSS (Common Vulnerability Scoring System) puede medir la severidad de una vulnerabilidad, ayudar a cuantificar su impacto en un sistema o software y establecer prioridades en su gestión aportando información y cuantificando su potencial riesgo.
Cómo funciona el CVSS
El CVSS (Common Vulnerability Scoring System) asigna a cada vulnerabilidad una puntuación numérica que oscila entre 0 y 10. Esta escala determina así si un riesgo es bajo, medio, alto o crítico; los valores más altos indican un mayor nivel de gravedad.
El sistema se basa en varios grupos de métricas principales:
- Métricas Base: Evalúan las características intrínsecas de la vulnerabilidad que se mantienen constantes en tiempo y forma, como la complejidad del ataque, los requisitos de autenticación o el impacto en confidencialidad, integridad o disponibilidad.
- Métricas Temporales: Consideran factores susceptibles de cambiar o evolucionar con el tiempo.
- Métricas Ambientales: Ajustan la puntuación según el entorno o usuario específico donde se encuentra el sistema.
- Métricas Suplementarias: Métricas adicionales que describen y miden atributos externos que afectan a la vulnerabilidad.
