La priorización debe combinar severidad, exposición, criticidad del activo, existencia de exploit, controles compensatorios y valor del dato.
Esta metodología permite concentrar recursos donde realmente pueden reducir riesgo. El objetivo de la gestión de vulnerabilidades no es conseguir cero CVE, algo prácticamente imposible, sino reducir la probabilidad y el impacto de los escenarios peligrosos.
Fuente original: https://www.cisco.com/