Niveaux de risque

Le Cert-IST propose dans ses publications, 2 métriques pour indiquer la gravité d’une vulnérabilité :

Le score CVSS (depuis 2007) qui est une note de 0 (pas de risque) à 10 (risque maximum). CVSS est un standard défini par www.FIRST.org (organisation mondiale qui regroupe les CERT).
Le risque EISPP (depuis 2003) dont la valeur peut-être : Non évalué, Faible, Moyen, Elevé ou Très élevé. Ce risque a été défini dans le cadre du projet Européen EISPP : www.cert-ist.com/eispp

Deux méthodes de calcul ont été utilisées successivement par le Cert-IST :

L’image ci-dessous donne un aperçu des matrices utilisées pour calculer le risque EISPP 3.0.