Уязвимость — слабость; риск — вероятность эксплуатации и ущерб в их контексте (есть ли доступ извне, ценность данных, компенсирующие контроли). Один CVE на изолированном хосте ≠ тот же CVE на internet-facing payment.
Разбор
- Environmental CVSS как мост.
- Сценарии в деньгах/простое.
- Помогает принять risk acceptance.
- Избегайте паники от сырого скана.
Итог
Риск = уязвимость в бизнес-контексте; так приоритизируют fix.