Qualitatiu i quantitatiu: és el moment de canviar la manera de valorar la gravetat de vulnerabilitats de tercers?

És difícil posar en marxa un sistema per avaluar la gravetat de la vulnerabilitat de la comunitat de desenvolupament de programari. El codi està escrit pels humans i sempre tindrà defectes. La pregunta, si suposem que mai res serà perfecte, és com hem de classificar els components en funció del seu risc de manera que ens permeti continuar treballant productivament?

Només els fets

Si bé hi ha molts enfocaments que es poden adoptar per abordar aquest problema, cadascun amb la seva pròpia justificació vàlida, el mètode més comú sembla que es basa en un model quantitatiu.

D'una banda, utilitzar un enfocament quantitatiu per jutjar la gravetat d'una vulnerabilitat pot ser útil, ja que és més objectiu i mesurable, basat exclusivament en els factors relacionats amb la pròpia vulnerabilitat.