Você tem doze mil vulnerabilidades abertas e um time pequeno de patching. Como você prioriza?

Comece pela realidade de exploração, não pelo CVSS bruto. Corrija primeiro qualquer coisa no catálogo Known Exploited Vulnerabilities da CISA, e depois ordene por EPSS para capturar o que tem chance de ser explorado em breve. Pondere por exposição (voltado à internet ganha de interno) e por criticidade do ativo, e leve em conta controles compensatórios. Agrupe o trabalho restante por ação de remediação e não por CVE, porque uma atualização de agente muitas vezes fecha centenas de achados.

Doze mil achados são na verdade algumas centenas de correções, então o primeiro movimento é deduplicar: agrupar por ação de remediação, porque uma subida de versão de navegador ou uma atualização de agente normalmente colapsa mil linhas. Depois eu ordeno. Qualquer coisa no catálogo Known Exploited Vulnerabilities fura a fila independentemente do CVSS, porque é exploração confirmada no mundo real. Em seguida eu uso EPSS para probabilidade e sobreponho exposição: voltado à internet primeiro, depois qualquer coisa alcançável de uma estação de usuário, depois sistemas internos isolados. Uma nota crítica em um dispositivo isolado sem serviço escutando não é o meu problema neste mês. Para o que sobra eu vou aos donos dos sistemas com uma lista curta e específica em vez de um despejo de planilha, porque uma lista de seis coisas é corrigida e uma de seiscentas não. Qualquer coisa que genuinamente não dá para corrigir ganha uma exceção escrita com controle compensatório e data de expiração, e eu reporto a idade das exceções para elas não virarem permanentes em silêncio.