5. Priorizar las correcciones de vulnerabilidades
Se deben priorizar las vulnerabilidades concentrándose en los problemas que:
- son accesibles para la mayor cantidad de potenciales atacantes.
- tendría el mayor impacto si se explotara.
El número de atacantes potenciales depende de la accesibilidad de la vulnerabilidad y la complejidad de la explotación.
Si hay exploits disponibles públicamente, entonces el número de posibles atacantes es mucho mayor que si se conoce una debilidad, pero un actor malicioso tendría que desarrollar su propio código exploit.
El impacto de la explotación consiste tanto en el impacto técnico como en el impacto en el negocio. Por ejemplo:
- Impacto técnico: un problema que podría permitir una denegación de servicio, generalmente se considera un impacto menor, en comparación con un ataque donde un actor malicioso obtenga la capacidad de ejecutar código propio dentro del sistema destino.
- Impacto en el negocio: una vulnerabilidad en un sistema de procesamiento de pagos es mayor que una en un sistema de reserva de salas de reuniones.
A continuación, se proporciona un conjunto de pautas de muestra para decidir qué problemas deben solucionarse.