مدیریت آسیب‌پذیری در بیشتر سازمان‌ها با یک گزارش اسکن طولانی شروع می‌شود و همان‌جا گیر می‌کند. فهرست ده هزار ردیفی، دو هزار مورد «بحرانی» و تیمی که نمی‌داند از کجا شروع کند. خرید لایسنس تنابل یا هر اسکنر دیگری فقط نیمی از کار است؛ نیم دیگر این است که بدانید این هفته کدام بیست مورد را ببندید.
امتیاز CVSS شدت فنی نقص را می‌گوید، نه احتمال سوءاستفاده را. بسیاری از آسیب‌پذیری‌ها امتیاز بالا می‌گیرند، اما فقط بخش کوچکی از آن‌ها واقعاً هدف حمله می‌شوند. در یکی از پروژه‌ها تیم سه ماه به ترتیب CVSS وصله زده بود و هنوز نقص دروازهٔ VPN که در فهرست آسیب‌پذیری‌های در حال سوءاستفاده بود باز مانده بود.
طبق گزارش DBIR ۲۰۲۵ شرکت Verizon، سازمان‌ها فقط ۵۴ درصد آسیب‌پذیری‌های تجهیزات لبه را کامل رفع کردند و میانهٔ زمان رفع ۳۲ روز بود.
فهرست KEV: سوءاستفاده تأییدشده در دنیای واقعی.
EPSS: احتمال سوءاستفاده در ۳۰ روز آینده، بین صفر و یک.
VPR: امتیاز پویای اولویت در محصولات Tenable، از ۰٫۱ تا ۱۰.
اهمیت دارایی: اینترنتی بودن، کنترلر دامنه، سرور پرداخت.
۱. اضطراری، ۴۸ تا ۷۲ ساعت: موارد KEV یا VPR نه و بالاتر روی دارایی اینترنتی یا حیاتی.
۲. فوری، ۱۴ روز: EPSS بالا یا VPR هفت تا نه روی سرورهای مهم.
۳. برنامه‌ریزی‌شده، ۳۰ تا ۴۵ روز: بقیهٔ موارد بالا روی شبکهٔ داخلی.
۴. چرخهٔ عادی: باقی یافته‌ها یا پذیرش ریسک با تاریخ انقضا.
با همین روش، از یازده هزار یافته کمتر از چهل مورد در ردیف یک ماند؛ فهرستی که در یک هفته تمام می‌شد.
ردیف یک نباید منتظر بماند. قاعدهٔ محدود روی WAF برای برنامه‌های وب، امضای IPS روی فایروال و بستن رابط مدیریتی به شبکهٔ مدیریت، فاصلهٔ تا وصله را پوشش می‌دهند. هر استثنا یک مالک و یک تاریخ انقضا دارد.
میانگین زمان رفع ردیف یک، تعداد موارد KEV اینترنتی که از مهلت گذشته‌اند، و درصد دارایی‌هایی که با حساب معتبر اسکن شده‌اند. اگر این سه عدد هر ماه بهتر شوند، ریسک واقعاً کم شده است؛ نه فقط تعداد تیکت‌ها.
نسخهٔ کامل این راهنما، با اشتباه‌های رایج و برنامهٔ ۳۰ روزه، در سایت است: اولویت‌بندی آسیب‌پذیری؛ از ده هزار یافته به بیست اقدام
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
