CVE

CVE er et internationalt system til entydig identifikation af offentligt kendte sikkerhedssårbarheder. Hver registreret sårbarhed får et CVE-nummer, som gør det lettere for leverandører, sikkerhedsværktøjer og virksomheder at tale om den samme fejl.

Hvorfor er begrebet vigtigt?

CVE-numre er vigtige, fordi de giver en fælles reference til konkrete sårbarheder. Det gør det lettere at undersøge, hvilke produkter og versioner der er berørt, om der findes en opdatering, og hvor alvorlig risikoen kan være.

For virksomheder er CVE relevant ved patch management, sårbarhedsscanning, leverandørvarsler, risikovurderinger, incident response og dokumentation af sikkerhedsarbejdet.

Typisk misforståelse

Den mest almindelige fejl er at tro, at et CVE-nummer i sig selv fortæller, hvor alvorlig en sårbarhed er. CVE identificerer sårbarheden, mens vurderinger som CVSS, leverandørens anbefalinger og virksomhedens egen eksponering bruges til at prioritere indsatsen.

Eksempel

En leverandør offentliggør en sikkerhedsopdatering og henviser til et bestemt CVE-nummer. Virksomheden kan derefter søge efter nummeret i sine sikkerhedsværktøjer og kontrollere, om de berørte systemer findes i miljøet.

Best practice

• Hold styr på hvilke produkter og versioner virksomheden bruger.

• Følg leverandørers sikkerhedsvarsler og relevante CVE-meddelelser.

• Vurder både alvorlighed, eksponering og systemets betydning.

• Prioritér kendt udnyttede sårbarheder og internetvendte systemer højt.

• Dokumentér beslutninger, frister og status for udbedring.

• Bekræft efterfølgende, at opdateringen eller afhjælpningen virker.