Kvalitativt jämfört med kvantitativt: tid att ändra hur vi bedömer svårighetsgraden av tredje parts sårbarheter?

Att utveckla ett system för att utvärdera hur allvarligt programvaruutvecklingssamhället bör ta sårbarheter är en utmaning för att uttrycka det lätt. Koden är skriven av människor och kommer alltid att ha brister. Frågan är, om vi antar att ingenting någonsin kommer att vara perfekt, hur kan vi bäst kategorisera komponenterna enligt deras risk på ett sätt som gör att vi kan fortsätta arbeta produktivt?

Bara fakta

Även om det finns många olika tillvägagångssätt som man kan vidta för att hantera detta problem, var och en med sin giltiga motivering, verkar den vanligaste metoden baseras på en kvantitativ modell.

Å ena sidan kan användning av ett kvantitativt tillvägagångssätt för att bedöma svårighetsgraden av en sårbarhet vara användbart eftersom den är mer objektiv och mätbar, enbart baserad på faktorerna relaterade till själva sårbarheten.