Dagelijks duiken er tientallen nieuwe kwetsbaarheden op. Deze varieren sterk, met CVE scores van 0 tot 10. Hoe hoger de score, hoe alarmerender de berichtgeving. Opvallend is dat de gevaarlijkste cybergevaren lang niet altijd hoog op deze schaal scoren. Hoe weet je als organisatie wanneer een kwetsbaarheid daadwerkelijk ernstig is?

De meest prominente security incidenten van de afgelopen tien jaar laten zien dat kwetsbaarheden niet kritiek hoeven te zijn om levensgrote schade aan te richten. Zo zorgde de Heartbleed bug in OpenSSL, ontdekt in 2014, voor een wereldwijde security crisis. Echter suggereren de CVE scores van 5.0, medium, CVSS 2.0, en 7.5, hoog, CVSS 3.0, dat de kwetsbaarheid zelf niet kritiek is.

Er zijn uitzonderingen: het beruchte Log4Shell ontving binnen diezelfde schalen een 9.3, CVSS 2.0, en 10.0, CVSS 3.0. Hoewel er nog altijd talloze organisaties kwetsbaar zijn voor Log4Shell, hebben veel bedrijven actie ondernomen. De noodklok luiden kan dus zin hebben, maar als het te vaak gebeurt, verliest het zijn geloofwaardigheid. CVSS is tot nu toe daarin geen consistente raadgever geweest.

De bedoeling achter CVSS

De Amerikaanse overheidsorganisatie NIST is de grondlegger van de Common Vulnerability Scoring System, CVSS. Deze standaard is naar eigen zeggen goed geschikt als een gestandaardiseerd meetsysteem voor industrieen, organisaties en overheden die een accurate en consistente graadmeter voor de ernst van kwetsbaarheden nodig hebben.

Tip: Security voorspellingen 2024: BYOD, cyberdreigingen en zero trust

Maar: CVE scores meten niet het risico van een kwetsbaarheid, aldus NIST. Eind vorig jaar werd met de introductie van CVSS 4.0 veelgehoorde feedback verwerkt door FIRST, al sinds 2005 verantwoordelijk voor dergelijke vernieuwingen te brengen aan het scoresysteem. Naast aandacht voor OT en IoT gevaren zou de score nuttiger gemaakt worden om het daadwerkelijke gevaar van een kwetsbaarheid te beoordelen.

De verwachting is dus dat CVSS 4.0 beter overeenkomt met de realiteit van cybergevaren. Daar komen we later op terug. Hoe dan ook is de aanname dat hogere CVE scores gevaarlijker zijn, een hardnekkige. Eind vorig jaar bleek uit een CyRC rapport dat minder software systemen kwetsbaarheden bevatten dan voorheen. Tegelijkertijd steeg het percentage kritieke kwetsbaarheden, dat door een security advocate van Synopsys wordt vergeleken met een daling in verkeersongelukken en een toename in sterfgevallen.

Deze versturen we 3-4x per jaar.