La stessa falla non è lo stesso rischio in ogni prodotto.

Quattro elementi

Ogni livello nasce dagli stessi quattro elementi. I primi due vengono dal risultato. Gli ultimi due vengono da ciò che ci dici sul tuo prodotto.

1. 1

   Quanto è grave la falla

   Partiamo dalla gravità della falla: la più alta tra l’etichetta dello scanner stesso e la valutazione pubblicata della vulnerabilità. Non partiamo mai sotto ciò che dice lo scanner.

2. 2

   Se gli aggressori la usano

   Se la falla è nell’elenco CISA delle vulnerabilità sfruttate note, quanto è probabile che venga sfruttata (il punteggio EPSS) e se il tuo codice raggiunge la parte vulnerabile.

3. 3

   Che cos’è il tuo prodotto

   Chi lo usa, compresi i settori indicati dalla direttiva europea NIS2. Se rientra in una categoria di prodotti che il regolamento europeo sulla ciberresilienza considera importante o critica. Se funziona su una rete industriale. E il peggio che un attacco potrebbe causare.

4. 4

   Se è raggiungibile da Internet

   Sì, in parte o no. Una falla che un aggressore raggiunge da Internet è più urgente di una protetta da un firewall.

Gli ultimi due elementi vengono da quattro domande che KROMSE pone su ogni prodotto: chi lo usa, che cos’è, se è raggiungibile da Internet e il peggio che potrebbe succedere in caso di attacco. Puoi cambiare le risposte in qualsiasi momento.

Tre prodotti, una sola falla

La falla: un difetto di gravità Alta (CVSS 7.5) in una libreria TLS. La probabilità di sfruttamento è del 12 %, il tuo codice importa la libreria e non è nell’elenco CISA. Ecco che cosa significa per tre prodotti diversi.

Che cosa Il tuo rischio non ti dice

• Non è la probabilità di subire un attacco o una violazione.
• Non è una classificazione giuridica. KROMSE non decide se il CRA o NIS2 si applicano a te, né in quale classe rientra il tuo prodotto. La tua classe CRA è una tua dichiarazione.
• Un livello Basso non significa sicuro. Indica una falla nota che può aspettare, non l’assenza di falle.
• Non sostituisce le persone che decidono che cosa correggere e quando.

NIS2 e il regolamento sulla ciberresilienza

NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi. Il regolamento sulla ciberresilienza (CRA) è il regolamento europeo sulla cibersicurezza dei prodotti con elementi digitali. KROMSE usa i loro elenchi di settori e di categorie di prodotti solo per capire quanto danno potrebbe causare una falla. Non ti dice se l’una o l’altra norma si applica a te.