Du hast zwölftausend offene Schwachstellen und ein kleines Patching-Team. Wie priorisierst du?

Fang bei der Ausnutzungsrealität an, nicht beim rohen CVSS. Patch zuerst alles aus dem CISA-Katalog Known Exploited Vulnerabilities, und ranke dann nach EPSS, um zu erfassen, was bald wahrscheinlich ausgenutzt wird. Gewichte nach Exponierung (internetseitig schlägt intern) und Asset-Kritikalität, und rechne kompensierende Controls ein. Gruppier die verbleibende Arbeit nach Behebungsmaßnahme statt nach CVE, denn ein einziges Agent-Upgrade schließt oft hunderte Findings.

Zwölftausend Findings sind in Wirklichkeit ein paar hundert Fixes, der erste Zug ist also Deduplizierung: nach Behebungsmaßnahme gruppieren, denn ein Browser-Versionssprung oder ein Agent-Upgrade faltet meistens tausend Zeilen zusammen. Dann ranke ich. Alles aus dem Katalog Known Exploited Vulnerabilities überspringt die Warteschlange, unabhängig vom CVSS-Score, denn das ist bestätigte Ausnutzung in der echten Welt. Danach nutze ich EPSS für die Wahrscheinlichkeit und lege Exponierung darüber: zuerst internetseitig, dann alles, was von einer Nutzer-Workstation erreichbar ist, dann isolierte interne Systeme. Ein kritischer Score auf einem isolierten Gerät ohne lauschenden Dienst ist diesen Monat nicht mein Problem. Für den Rest gehe ich mit einer konkreten kurzen Liste zu den System-Ownern statt mit einem Tabellen-Dump, denn eine Liste mit sechs Dingen wird gepatcht und eine mit sechshundert nicht. Alles, was wirklich nicht gepatcht werden kann, bekommt eine schriftliche Ausnahme mit kompensierendem Control und Ablaufdatum, und ich berichte das Alter der Ausnahmen, damit sie nicht still dauerhaft werden.