Un nombre sans définition ne permet pas d’arbitrer
Deux tableaux donnent un score « overall » différent pour la même vulnérabilité. L’un reprend le score d’une source, l’autre utilise des métriques environnementales. En comité, ce désaccord peut détourner la discussion de la décision à prendre. Le mot « overall » est un libellé d’outil : il ne désigne pas une catégorie universelle de score CVSS.
Pour comparer ces résultats, retrouvez la version CVSS, les groupes de métriques évalués, le vecteur source et les règles d’affichage. Gardez séparément le score d’origine et son éventuelle contextualisation. Une moyenne sur le parc ou une priorité interne répond à un autre besoin et doit porter un nom distinct.
Lire v3.1 et v4.0 avec leurs propres nomenclatures
CVSS v3.1 distingue les groupes Base, Temporal et Environmental. Le premier décrit les caractéristiques intrinsèques de la vulnérabilité ; les autres tiennent compte d’éléments temporels et de l’environnement. Le résultat dépend des métriques disponibles et des valeurs qui leur sont attribuées.
CVSS v4.0 utilise les groupes Base, Threat et Environmental et les appellations CVSS-B, CVSS-BT, CVSS-BE et CVSS-BTE. Elles indiquent les groupes explicitement évalués. Les métriques Supplemental apportent du contexte sans modifier le score numérique. Ces deux versions ont des modèles différents : reprendre un vecteur v3.1 en changeant son préfixe ne produit pas un vecteur v4.0 valide.
Sources : FIRST, spécification CVSS v3.1, FIRST, spécification CVSS v4.0 et nomenclature
Obtenir et maintenir les données de contexte
Le calculateur ne confirme pas la criticité du service, l’exposition de la fonction ni l’efficacité des protections. Pour les renseigner, désignez un interlocuteur capable de fournir la preuve de configuration ou l’information métier. Associez-la au système et à sa date de vérification. Un contexte copié d’un autre environnement peut changer le nombre tout en dégradant sa fiabilité.
Prévoyez aussi sa mise à jour : nouvelle exposition, fonction activée, contrôle modifié ou exploitation documentée. Les métriques non renseignées prennent les valeurs prévues par la norme ; cela n’équivaut pas à une vérification du terrain. Choisissez un niveau de détail que vos équipes peuvent réellement maintenir, avec des conditions de révision identifiées.
Sources : FIRST, guide CVSS v4.0
Exemple fictif : même défaut, deux décisions documentées
Une bibliothèque concernée par DEMO-CONTEXTE-01 est présente dans deux services. Le service A traite des opérations importantes et expose la fonction vulnérable à des utilisateurs externes. Pour B, l’équipe ne sait pas encore si cette fonction est activée.
Pour A, le dossier prépare une correction prioritaire avec l’exploitant. Pour B, il demande une preuve de configuration, avec responsable et échéance. L’absence d’information ne justifie pas une note plus basse. Une fois le contexte établi, les métriques peuvent être renseignées et le résultat conservé avec leurs justifications. La décision reste explicable même à une personne qui n’a pas réalisé le calcul.
Séparer sévérité, exploitation et risque métier
FIRST rappelle que le score de base mesure une sévérité et ne suffit pas à évaluer le risque. La priorité tient aussi compte des conséquences métier et des contraintes de traitement. Elle explique pourquoi une action passe avant une autre. Même contextualisé, un score CVSS ne se convertit pas directement en perte financière.
EPSS estime la probabilité d’exploitation d’une CVE dans la nature dans les trente prochains jours. Il ne prédit pas la compromission de votre système. Ces informations sont complémentaires : CVSS aide à décrire la sévérité, les preuves d’exploitation éclairent la menace et votre contexte guide la décision.
Sources : FIRST, guide CVSS v4.0, FIRST, définition d’EPSS
Rendre chaque score transmissible et révisable
Conservez le score source, son vecteur, la version CVSS, la date de lecture et les modifications de contexte. Ajoutez la justification des valeurs et leur interlocuteur de référence. Si plusieurs versions de CVSS coexistent, affichez leurs résultats séparément. Cette trace permet de refaire le calcul et de distinguer une évolution réelle d’un changement de méthode.
CyberLifeCycle définit avec vous les critères de priorisation, qualifie les données de contexte et prépare les dossiers d’arbitrage. Vos équipes disposent d’une priorité expliquée, avec les sources et les hypothèses qui la soutiennent. Suivez le temps passé à arbitrer et les dossiers à reconstruire pour mesurer le travail restant.
Sources consultées
- FIRST, spécification CVSS v3.1Consulté le 30 octobre 2026.
- FIRST, spécification CVSS v4.0 et nomenclatureConsulté le 30 octobre 2026.
- FIRST, guide CVSS v4.0Consulté le 30 octobre 2026.
- FIRST, définition d’EPSSConsulté le 30 octobre 2026.