Serve a far parlare la stessa lingua a produttori, ricercatori e chi gestisce i sistemi: quando un fornitore comunica una correzione, indica il codice, e chi amministra può verificare se lo riguarda senza ambiguità.
A ogni codice è associato un punteggio di gravità, ma quel numero da solo dice poco: una vulnerabilità gravissima su un sistema che non avete non vi riguarda, mentre una di media gravità su un servizio esposto a Internet può essere la vostra priorità assoluta. Il punteggio va letto insieme al contesto.
A che serve, per chi non fa il tecnico
È un identificatore univoco assegnato a una vulnerabilità nota, in modo che tutti — produttori, ricercatori, fornitori — parlino della stessa cosa senza ambiguità.
Per un’azienda il valore pratico è uno: permette di rispondere alla domanda «questa notizia ci riguarda?». Quando esce un avviso su una falla grave, avere un inventario aggiornato di cosa si ha in casa consente di verificare in minuti se il proprio firewall o il proprio gestionale rientra fra i prodotti colpiti. Senza inventario, la stessa verifica richiede giorni o non viene fatta affatto.
Perché conta per un’azienda
Le agenzie pubbliche mantengono elenchi delle vulnerabilità attivamente sfruttate: sono poche decine per volta e sono la lista da controllare per prima, molto più utile del punteggio di gravità.
L’errore che vediamo più spesso
Se il vostro fornitore informatico non riesce a dirvi se una vulnerabilità appena annunciata vi riguarda, il problema non è la vulnerabilità: è che nessuno ha l’inventario di cosa avete.