Organisaties moeten zich bij het prioriteren van beveiligingsupdates niet blindstaren op alleen de CVSS-score van de kwetsbaarheid, zo stelt het Nationaal Cyber Security Centrum (NCSC). Om de impact van een kwetsbaarheid inzichtelijk te maken kwam het Amerikaanse National Infrastructure Advisory Council (NIAC) in 2004 met het Common Vulnerability Scoring System (CVSS). CVSS biedt een gestandaardiseerde manier om de impact van een kwetsbaarheid te berekenen. Vanwege het grote aantal kwetsbaarheden geven organisaties vooral prioriteit van het patchen van kwetsbaarheden met een hoge CVSS-score.

"Uit onderzoek van de TU Eindhoven weten we al een aantal jaren dat het simpelweg patchen van alles dat volgens het CVSS-scoringsmodel een 9 of hoger heeft niet ideaal is", aldus het NCSC. "Het is een aanslag op je budget en maakt je organisatie niet per se veiliger." Volgens de overheidsinstantie hebben veel kwetsbaarheden met hoge CVSS-scores geen bijbehorende exploit, terwijl een flinke groep minder ernstige kwetsbaarheden dit wel heeft en dus gemakkelijker te misbruiken is.

Als tegenhanger van CVSS werd in 2017 het SSVC-model gepresenteerd, dat uit een beslisboom van negen kenmerken bestaat. Zo wordt er onder andere gekeken naar de blootstelling van het systeem, de volwassenheid van exploitcode en het belang van het te patchen systeem. Vorige maand kwam het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) met een SSVC Calculator dat op basis van het SSVC-model met advies komt.

Daarnaast werkt het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, aan het Common Security Advisory Framework (CSAF). Dit is een framework voor het automatisch uitwisselen van beveiligingsadviezen. Het NCSC onderzoekt hoe beveiligingsadviezen in de toekomst via CSAF kunnen worden gedeeld. Daarnaast zal de overheidsinstantie naar eigen zeggen beter inspelen op de informatiebehoefte die vanuit SSVC voortkomt. "Op die manier ondersteunen we afnemers beter in het maken van weloverwogen beslissingen in het eigen patchmanagementproces."