Artykuł zwraca uwagę na problem polegający na nadmiernym poleganiu na teoretycznych wskaźnikach podatności przypisywanych przez producentów oprogramowania. Takie podejście często nie oddaje realnego ryzyka, z jakim mierzy się konkretna firma.
Zamiast skupiać się wyłącznie na wysokich wynikach w skalach takich jak CVSS, organizacje powinny analizować dane dotyczące faktycznego wykorzystywania luk w terenie. Kluczowe jest zrozumienie, czy dana podatność jest realnie aktywnie eksploatowana w środowisku danej instytucji.
Skuteczne zarządzanie podatnościami wymaga przejścia od uniwersalnych ocen do kontekstowego podejścia opartego na danych o exploitach. Pozwala to na lepszą priorytetyzację działań naprawczych i efektywniejsze wykorzystanie zasobów bezpieczeństwa.
