安全负责人必须面对的 4 个基于风险的漏洞管理现实

引用 Gartner「基于风险的漏洞管理可减少 80% 泄露事件」的预测，文章阐述如何通过风险评分量化威胁与漏洞数据，为修复优先级、预算与资源分配提供数据驱动依据。

NetSPI 探讨漏洞洪流下的应对之道：NVD 年度 CVE 数量逼近 2 万，多扫描器全覆盖与有限的修复资源矛盾突出，建议按风险优先级排序，并落地发现、关联富化、验证、优先级、修复五阶段漏洞管理流程，缩短修复时间差。

面对 2024 年近 4 万个新增 CVE，Bishop Fox 威胁赋能与分析团队介绍了 CVSS 之外的研判体系：结合暴露面与利用门槛评估对客户攻击面的真实影响，筛选“新兴威胁”并快速预警受影响资产。

HackerOne 将 FIRST 的 EPSS 评分集成至 Hacktivity 的 CVE Discovery：在 CVSS 严重程度之外引入未来 30 天在野利用概率预测，帮助企业更精准排定 CVE 修复优先级。

CVSS、EPSS 和 KEV 均围绕已公开的 CVE 设计，无法为自己应用代码中的租户边界缺陷、可重放审批逻辑等安全发现打分。本文给出在持续测试队列中为这类无 CVE 发现排定修复优先级的实用方法。

第一季度应优先处理高影响的渗透测试发现与技术债，而非合规事务；被搁置的发现会滚雪球式演变成更昂贵的架构级修复难题。