El mismo fallo no supone el mismo riesgo en todos los productos.

Cuatro datos de partida

Cada nivel se construye con los mismos cuatro datos. Los dos primeros salen del hallazgo. Los dos últimos salen de lo que nos cuentas sobre tu producto.

1. 1

   Qué gravedad tiene el fallo

   Partimos de la gravedad del fallo: la más alta entre la etiqueta del propio escáner y la valoración publicada de la vulnerabilidad. Nunca partimos de menos de lo que dice el escáner.

2. 2

   Si los atacantes lo usan

   Si el fallo figura en la lista de la CISA de vulnerabilidades explotadas conocidas, qué probabilidad hay de que se explote (la puntuación EPSS) y si tu propio código llega a la parte vulnerable.

3. 3

   Qué es tu producto

   Quién lo usa, incluidos los sectores que menciona la directiva europea NIS2. Si pertenece a una categoría de producto que el Reglamento europeo de Ciberresiliencia considera importante o crítica. Si funciona en una red industrial. Y lo peor que podría provocar un ataque.

4. 4

   Si se puede acceder desde internet

   Sí, en parte o no. Un fallo al que un atacante llega desde internet es más urgente que uno que está detrás de un cortafuegos.

Los dos últimos datos salen de cuatro preguntas que KROMSE te hace sobre cada producto: quién lo usa, qué es, si se puede acceder desde internet y qué es lo peor que podría pasar si lo atacaran. Puedes cambiar tus respuestas cuando quieras.

Tres productos, un mismo fallo

El fallo: un error de gravedad Alta (CVSS 7.5) en una biblioteca TLS. Su probabilidad de explotación es del 12 %, tu código importa la biblioteca y no figura en la lista de la CISA. Esto es lo que supone para tres productos distintos.

Lo que Tu riesgo no te dice

• No es la probabilidad de que te ataquen o de que sufras una brecha.
• No es una clasificación jurídica. KROMSE no decide si el CRA o NIS2 se aplican a ti, ni de qué clase es tu producto. Tu clase CRA es tu declaración.
• Un nivel Bajo no significa seguro. Señala un fallo conocido que puede esperar, no que no haya fallos.
• No sustituye a las personas que deciden qué corregir y cuándo.

NIS2 y el Reglamento de Ciberresiliencia

NIS2 es la directiva europea sobre la seguridad de las redes y los sistemas de información. El Reglamento de Ciberresiliencia (CRA) es el reglamento europeo sobre la ciberseguridad de los productos con elementos digitales. KROMSE usa sus listas de sectores y categorías de producto solo para entender cuánto daño podría causar un fallo. No te dice si alguna de las dos normas se aplica a ti.