No ievainojamību saraksta līdz pamatotam lēmumam: ko patiesībā labot vispirms?

• CVSS Base ir ievainojamības smaguma, nevis pilna organizācijas riska rādītājs.
• EPSS ir dinamiska ekspluatācijas varbūtības prognoze, nevis smagums un ne pilns riska vērtējums.
• KEV nozīmē, ka ir pierādīta ekspluatācija, taču tas nav visu pasaulē ekspluatēto ievainojamību pilns saraksts.
• Aktīva klātbūtne, sasniedzamība, biznesa vai sabiedriskā ietekme un kompensējošās kontroles ir jāvērtē atsevišķi.
• Dinamiskiem signāliem jāglabā avots, laika zīmogs un, ja attiecināms, modeļa vai scoring versija.
• Lēmuma rezultātam nav jābūt vēl vienam sintētiskam skaitlim. Daudz vērtīgāk ir spēt atbildēt: ko darām, līdz kuram datumam, kas to apstiprināja un uz kāda pamata?

CVSS ir ārkārtīgi noderīgs, ja to lieto tam paredzētajam mērķim. FIRST CVSS v4 dokumentācija tieši uzsver, ka Base score raksturo ievainojamības pamatīpašības un nav paredzēts kā pilns riska vērtējums. Threat un Environmental metriku grupas pastāv tieši tāpēc, lai Base informāciju papildinātu ar aktuālā apdraudējuma un konkrētās vides kontekstu.1

Praksē Base score tomēr bieži kļūst par rindu šķirošanas mehānismu:

9.8 pirms 8.9, Critical pirms High, pēc tam viss pārējais.

Tas ir saprotami. Vienu skaitli ir viegli automatizēt, ielikt SLA un parādīt vadības panelī. Problēma sākas brīdī, kad administratīva robeža kļūst par apgalvojumu par realitāti.

2026. gada augustā savā pētījumā analizēju visas deviņas CVE, kuras CISA pievienoja KEV katalogam pilnā septiņu dienu intervālā no 18. līdz 24. augustam. Astoņām bija CVSS v3.1 Base vismaz 9.0. Devītajai — CVE-2026-73570 — Base score bija 8.9, lai gan CISA tai jau bija konstatējusi ekspluatāciju.2

Tas nav arguments pret CVSS. Pat pretēji: astoņas no deviņām šajā mazajā kohortā atradās Critical diapazonā. Secinājums ir daudz šaurāks — cieta kategorijas robeža nav tas pats, kas apdraudējuma robeža. Starp 8.9 un 9.0 nav maģiska sliekšņa, aiz kura sākas ekspluatācija.

EPSS nav “labāks CVSS”. Tas mēra ko citu.

FIRST definē EPSS kā datu balstītu prognozi par varbūtību, ka ar konkrētu publiski zināmu CVE saistīta ekspluatācijas aktivitāte tiks novērota savvaļā nākamajās 30 dienās. Vērtējums tiek atjaunināts katru dienu. FIRST arī nepārprotami norāda, ka EPSS nav pilns riska score: tas nezina jūsu aktīvus, iespējamo ietekmi vai kompensējošās kontroles.3

Šo atšķirību labi parāda tas pats KEV kohortas pētījums. Visas deviņas ievainojamības jau bija zināmi ekspluatētas, bet to EPSS momentuzņēmumi svārstījās no 1.506% līdz 72.695% — vairāk nekā 48 reižu diapazons.2

Tas nav paradokss. KEV un EPSS runā par dažādiem laikiem un dažādiem pierādījumiem:

• KEV: ir pietiekams pamats apgalvot, ka ekspluatācija ir notikusi;
• EPSS: cik ticama ir novērojama ekspluatācijas aktivitāte nākamajās 30 dienās, ņemot vērā modeļa pašreizējos signālus.

FIRST to formulē vēl praktiskāk: zems EPSS ievainojamībai, kas jau ir KEV, nav pretruna. Ja ir tiešs pierādījums par ekspluatāciju, tas ir cits un stiprāks pierādījuma veids nekā prognoze.3

Kāpēc EPSS slieksnis nav patiesības slieksnis

Savā pētījumā pārbaudīju ilustratīvus 5%, 10% un 20% EPSS sliekšņus. Tie saglabāja attiecīgi 6, 5 un 3 no deviņām jau KEV iekļautajām ievainojamībām.2

Šos skaitļus nedrīkst saukt par EPSS “kļūdu procentu” vai izmantot kā pierādījumu, ka modelis nav derīgs. Kohorta tika atlasīta pēc zināmas ekspluatācijas fakta, un EPSS bija vēlāk fiksēts momentuzņēmums. Eksperiments parāda tikai to, ka prognozes slieksnis un zināmas ekspluatācijas stāvoklis nav viens un tas pats jēdziens.

Praktiskā nozīme: slieksnis ir darba apjoma kontroles noteikums, nevis etiķete “bīstams / nebīstams”. FIRST pats iesaka threshold izvēli sasaistīt ar organizācijas kapacitāti, vēlamo pārklājumu un riska toleranci.4

CISA KEV katalogs ir vērtīgs tieši tāpēc, ka tam ir cita semantika: ievainojamība katalogā nonāk, balstoties uz pierādījumiem par ekspluatāciju.5

Eiropas organizācijai tas ir spēcīgs tehnisks signāls, taču CISA katalogs nav Latvijas vai ES juridisks labošanas termiņu avots. Tāpat nevajadzētu pieņemt, ka ievainojamība, kuras KEV nav, tādēļ nav ekspluatēta. KEV nav deklarēts kā pilnīgs visas pasaules ekspluatācijas reģistrs.

Eiropā papildus ir pieejama ENISA uzturētā European Vulnerability Database (EUVD), kas izveidota NIS2 12. panta ietvarā. EUVD apkopo ievainojamību informāciju, tostarp severity, mazināšanas informāciju un exploitation status, un var kalpot kā Eiropas avots ievainojamību izlūkošanai.6

Pareizā pieeja nav izvēlēties “Eiropas vai ASV sarakstu”. Pareizā pieeja ir saglabāt avotu un tā nozīmi.

CISA publiskajos SSVC/Vulnrichment datos atsevišķi tiek glabāti tādi lēmuma punkti kā Exploitation, Automatable un Technical Impact.7

Manā deviņu KEV ierakstu kohortā visi bija atzīmēti kā Exploitation: active un Technical Impact: total, bet diviem Automatable bija no.2

Tātad pat jau zināmi ekspluatētu ievainojamību vidū ekspluatācijas stāvoklis un uzbrukuma automatizējamība nav sinonīmi.

Tas ir labs iemesls neveidot vienu neskaidru kolonnu “exploitability”. Ja sistēma saplacina vairākus atšķirīgus jēdzienus vienā score, vēlāk vairs nav iespējams saprast, kāpēc ievainojamība tika pacelta prioritātē.

Ārējā vulnerability intelligence kļūst par organizācijas lēmumu tikai tad, kad tā tiek sasaistīta ar lokālo vidi.

1. Vai ievainojamais produkts un versija pie mums vispār eksistē?

CVE esamība scanner feed nav pierādījums, ka konkrētais ievainojamais komponents atrodas produkcijā. Vajadzīga aktīva identitāte: produkts, versija, komponents un, ja nepieciešams, konkrētā funkcija.

2. Vai ievainojamais ceļš ir sasniedzams?

Interneta ekspozīcija, autentifikācijas robežas, segmentācija, funkcijas konfigurācija un citi tehniskie apstākļi var būtiski mainīt praktisko uzbrukuma ceļu.

“Sistēma ir iekšējā tīklā” gan nav automātisks arguments atlikšanai. Reachability jāvērtē pēc faktiskā attack path, ne tīkla etiķetes.

3. Ko šobrīd zinām par ekspluatāciju?

Te vienuviet jāsaliek, bet nedrīkst sajaukt:

• uzticama informācija par aktīvu ekspluatāciju;
• KEV vai EUVD exploitation statuss;
• ražotāja vai CSIRT brīdinājums;
• publisks exploit/PoC;
• EPSS un tā novērojuma datums;
• ja izmanto SSVC — attiecīgie decision points.

4. Kāda ir iespējamā sekas tieši šim aktīvam?

CVSS apraksta ievainojamību. Organizācijai jāsaprot sekas savā vidē: datu konfidencialitāte, integritāte, pieejamība, pakalpojuma kritiskums, atkarības, drošums, regulatīvā vai sabiedriskā ietekme.

Viena un tā pati CVE izolētā laboratorijas sistēmā un publiski sasniedzamā identitātes infrastruktūrā nav viens un tas pats organizācijas risks.

5. Kāds ir pats labošanas risks un ko varam izdarīt līdz labojumam?

Arī “patch immediately” nav bezkonteksta likums. Labojums var prasīt dīkstāvi, salauzt atkarību, nebūt testēts konkrētajā vidē vai vispār vēl nebūt pieejams.

Komisijas Īstenošanas regula (ES) 2024/2690 noteiktām tās tvērumā esošām NIS2 vienību kategorijām tieši paredz security patch testēšanu un dokumentētu pamatojumu gadījumos, kad plāksteris netiek piemērots, jo tā ieviešanas trūkumi pārsniedz kiberdrošības ieguvumus.8 Tas nav universāls noteikums katrai Latvijas organizācijai, bet metodiski tas precīzi parāda, kāpēc remediation lēmumā jāglabā arī ieviešanas risks un kompensējošie pasākumi.

Viens no vilinošākajiem risinājumiem ir paņemt vairākus skaitļus un izveidot vienu jaunu skaitli — piemēram, reizināt CVSS ar EPSS vai pievienot dažādus svarus.

Problēma nav tikai matemātiska elegance. Tiek zaudēta semantika.

FIRST īpaši brīdina, ka EPSS reizināšana ar CVSS neveido jēgpilnu “probability × severity” riska rādītāju: EPSS ir kalibrēta varbūtība, bet CVSS Base nav kalibrēta varbūtības vai zaudējumu skala.3

Turklāt blended score slēpj lēmuma iemeslu. Ja rezultāts ir 7.43, ko tas īsti nozīmē? Vai ievainojamība tiek izmantota savvaļā? Vai tā ir internetā sasniedzama? Vai ietekme ir kritiska? Vai vērtējums mainījās tikai tāpēc, ka vakar mainījās EPSS?

Labāk glabāt atšķirīgos signālus atsevišķi un ļaut lēmumu politikai pateikt, kuri no tiem konkrētajā situācijā ir dominējoši.

2026. gada 24. augustā Aizsardzības ministrijai un Nacionālajam kiberdrošības centram iesniedzu priekšlikumu pilotēt vienotu, riskā balstītu ievainojamību prioritizācijas un lēmumu pamatošanas profilu. Priekšlikuma mērķis nebija ieviest jaunu valsts score vai centralizēt ievainojamību sarakstus. Ideja bija daudz vienkāršāka: lai par prioritāti varētu vēlāk pamatoti atbildēt, minimālajam lēmuma ierakstam jābūt konsekventam.

Praktiski es to šobrīd reducētu līdz šādai kartītei:

Šāda kartīte nav vēl viena birokrātiska anketa. Lielāko daļu lauku var aizpildīt automātiski no asset inventory un vulnerability intelligence. Cilvēka lēmums vajadzīgs tur, kur sākas konteksts, izņēmums un riska pieņemšana.

Rinda “priority = 17” pati par sevi nepasaka, ko organizācijai darīt.

Noderīgāks rezultāts ir darbības klase, piemēram:

Es apzināti neliktu šeit universālu 24/72 stundu vai 7/30 dienu tabulu. Organizāciju aktīvi, regulējums, safety prasības, patching iespējas un pakalpojumu kritiskums atšķiras. Konkrētās SLA joslas jānosaka pašai organizācijai vai tās nozares regulējumam — un pēc tam jāpārbauda, vai tās praksē dod saprātīgus rezultātus.

Vulnerability intelligence mainās.

EPSS mainās katru dienu. FIRST 2026. gada 15. jūnijā sāka publicēt EPSS v5, un pats FIRST brīdina, ka vēsturiska laika rinda, kas šķērso modeļa versijas maiņu, atspoguļo arī metodoloģijas maiņu, ne tikai izmaiņas pašā ievainojamībā.9

Arī exploit statuss, vendor guidance un KEV/EUVD ieraksti var mainīties pēc sākotnējā CVE publicēšanas datuma.

Tāpēc ierakstīt tikai EPSS = 0.12 ir nepietiekami. Jāzina vismaz:

• no kāda avota;
• kurā datumā;
• kādā formā;
• ar kuru scoring/model version, ja tas ir būtiski;
• kādu lēmumu šis signāls tobrīd ietekmēja.

Pretējā gadījumā pēc trim mēnešiem organizācija redzēs citu score un nevarēs rekonstruēt, kāpēc sākotnējais lēmums bija pamatots.

NIS2 21. pants prasa atbilstošus un samērīgus kiberrisku pārvaldības pasākumus un īpaši ietver vulnerability handling and disclosure, kā arī pasākumu efektivitātes novērtēšanu.10

Latvijā Nacionālās kiberdrošības likums nostiprina subjekta vadības atbildību un prasa piemērotus un samērīgus pasākumus kiberrisku pārvaldībai. MK noteikumi Nr. 397 šo pieeju konkretizē ar risku novērtēšanas, pasākumu, atbildīgo un termiņu dokumentēšanu.1112

Neviena no šīm normām nepasaka: “labot visas CVSS 9+ pirms CVSS 8.9” vai “lietot EPSS 10% slieksni”. Un tas ir pareizi. Ārējie rādītāji palīdz pieņemt lēmumu, bet tie neatceļ organizācijas pienākumu saprast pašas aktīvus, ekspozīciju un sekas.

2026. gada 1. septembrī NKDC vēstulē Nr. 1/13-12.1NV/152, atbildot uz manu priekšlikumu par vienotas prioritizācijas metodikas pilotu, norādīja, ka ievainojamību novēršanas prioritātes nosakāmas pēc aktuāla riska novērtējuma un var mainīties līdz ar apdraudējumu vidi; par kiberriska pārvaldību atbild pats subjekts. Centrs tajā brīdī nesaskatīja nepieciešamību mainīt normatīvo regulējumu vai atbildības sadalījumu.

Tas nebija mana piedāvātā modeļa apstiprinājums. Taču tas precīzi nošķir divas lietas, kuras arī šajā rakstā ir svarīgi nejaukt: metodika var palīdzēt strukturēt lēmumu, bet atbildību par risku tā nepārceļ uz score, feed vai valsts institūciju.

Daļu procesa ir vērts automatizēt agresīvi:

• CVE un vendor feed ingestion;
• asset-to-vulnerability matching;
• KEV/EUVD un threat intelligence enrichment;
• EPSS aktualizāciju;
• SLA un pārskatīšanas termiņu kontroli;
• exception expiry brīdinājumus.

Taču automatizācija kļūst bīstama, ja sistēma pati sāk pieņemt neatgriezenisku riska lēmumu bez skaidras pārvaldības robežas.

Īpaši cilvēka atbildība jāatstāj tur, kur tiek:

• pieņemts atlikušais risks;
• apstiprināta atkāpe no standarta remediation termiņa;
• izvēlēta pagaidu kontrole ar būtisku biznesa ietekmi;
• secināts, ka ievainojamība nav attiecināma, lai gan ārējie signāli ir augsti;
• pieņemts lēmums, ka patching risks pārsniedz drošības ieguvumu.

Automatizācijai ir jāpaātrina pierādījumu savākšana un disciplīna, nevis jāpadara neskaidrs, kas pieņēma lēmumu.

Prioritizācija nav vulnerability management beigas. Tā ir sākums.

Labs process saglabā lēmuma ķēdi:

signāls → lokālais konteksts → lēmums → remediation/mitigation → verifikācija → atlikušais risks → atkārtots vērtējums.

Šajā rakstā apzināti neattīstu pilnu remediation verification un compromise-assessment modeli — tam ir atsevišķs intents. Taču viena robeža ir svarīga jau šeit: ievainojamības aizlāpīšana pati par sevi nepierāda, ka aktīvs ekspozīcijas periodā netika kompromitēts.

Tāpēc īpaši pie zināmi ekspluatētām un publiski sasniedzamām ievainojamībām prioritizācijas lēmumam var būt jāizraisa divi paralēli jautājumi:

1. kā aizvērt ievainojamību;
2. vai mums jāpārbauda, kas notika pirms tās aizvēršanas.

Tie nav viens un tas pats darbs.

Vulnerability management kļūst vājāks, nevis stiprāks, ja visus pieejamos signālus mēģina reducēt vienā skaitlī.

CVSS, EPSS, KEV, EUVD un SSVC nav konkurējoši mēģinājumi pateikt vienu un to pašu. Tie dod atšķirīgu informāciju. Vērtība rodas tad, kad organizācija saglabā šīs atšķirības un sasaista tās ar savu aktīvu, sasniedzamību, ietekmi, kontrolēm un reālo izmaiņu risku.

Labs prioritizācijas process ne tikai pasaka, kas ir pirmais rindā. Tas ļauj pēc mēneša vai gada atbildēt uz daudz neērtāku jautājumu:

Kāpēc mēs šo ievainojamību labojām tagad, citu atlikām — un kādi pierādījumi tajā brīdī mums bija?

Ja uz šo jautājumu nevar atbildēt, ranking sistēma, lai cik smalks būtu tās score, vēl nav kļuvusi par pārvaldības sistēmu.

Papildu pirmavots: Zigmārs Ancveirs, Par vienotas, riskā balstītas ievainojamību prioritizācijas un lēmumu pamatošanas metodikas izvērtēšanu un pilotēšanu, iesniegums Aizsardzības ministrijai/NKDC, 24.08.2026.; NKDC atbilde Nr. 1/13-12.1NV/152, 01.09.2026. (autora dokumentu arhīvs).