ARK. 1System · Standardy

SSVC — co zrobić z luką na tej konkretnej stronie, a nie jak groźna jest luka w ogóle.

CVSS mówi, jak źle byłoby, gdyby ktoś lukę wykorzystał. SSVC (Stakeholder-Specific Vulnerability Categorization, CISA i CERT/CC) odpowiada na inne pytanie: co mamy zrobić teraz. Bierze cztery wejścia — czy luka jest już wykorzystywana, czy atak da się zautomatyzować, jak duży jest wpływ techniczny i jak ważna jest strona dla klienta — i przez drzewo decyzyjne daje jedno z czterech słów: Track, Track*, Attend, Act. Ta sama luka na sklepie klienta z Priority Urgent i na wizytówce z Priority Low może dostać różne decyzje.

Źródło: CISA Coordinator 2.0.3 (CERT/CC SSVC) (repozytorium CERT/CC, odczyt 30.09.2026), opis metody: cisa.gov/ssvc. Tabela przepisana 1:1, 36 wierszy. Przypisanie wejść do danych LAB247 (TAB. 2) jest naszą regułą, nie CISA. Dane wejściowe: CISA KEV i FIRST EPSS przy podatnościach, wektor CVSS z CVSS.

Track: 18z 36 ścieżek · śledzić; naprawa w zwykłym cyklu aktualizacji
Track*: 4z 36 ścieżek · śledzić uważnie — cechy, które mogą szybko podnieść pilność
Attend: 10z 36 ścieżek · zająć się szybciej niż zwykle; powiadomić właściciela strony
Act: 4z 36 ścieżek · działać natychmiast, najwyższy priorytet

TAB. 1Cztery decyzjeCISA Levels 1.1.0

Decyzja	Co znaczy dla strony klienta
Track	śledzić; naprawa w zwykłym cyklu aktualizacji
Track*	śledzić uważnie — cechy, które mogą szybko podnieść pilność
Attend	zająć się szybciej niż zwykle; powiadomić właściciela strony
Act	działać natychmiast, najwyższy priorytet

TAB. 2Skąd LAB247 bierze wejściareguła LAB247

Punkt decyzyjny SSVC	Wartości	Z czego w LAB247
Exploitation	none · public poc · active	active = CVE w katalogu CISA KEV; public poc = FIRST EPSS ≥ 0,1 (ten sam próg, którym skaner podbija Severity); inaczej none
Automatable	no · yes	yes = wektor CVSS z AV:N, PR:N i UI:N (w 4.0 także AT:N); bez wektora — dowód skanera „auth=unauthenticated”; inaczej no
Technical Impact	partial · total	total = wektor z C:H i I:H (w 4.0: VC:H i VI:H) — pełna utrata poufności i integralności; inaczej partial
Mission and Well-Being Impact	low · medium · high	Priority strony w ClickUp: Tier 1–2 → high, Tier 3 → medium, Tier 4 → low; brak → medium (oznaczone jako założone)

TAB. 3Drzewo decyzyjne36 ścieżek · kolejność jak w CSV

Exploitation	Automatable	Technical Impact	Mission	Decyzja
none	no	partial	low	Track
none	no	partial	medium	Track
none	no	partial	high	Track
none	no	total	low	Track
none	no	total	medium	Track
none	no	total	high	Track*
none	yes	partial	low	Track
none	yes	partial	medium	Track
none	yes	partial	high	Attend
none	yes	total	low	Track
none	yes	total	medium	Track
none	yes	total	high	Attend
public poc	no	partial	low	Track
public poc	no	partial	medium	Track
public poc	no	partial	high	Track*
public poc	no	total	low	Track
public poc	no	total	medium	Track*
public poc	no	total	high	Attend
public poc	yes	partial	low	Track
public poc	yes	partial	medium	Track
public poc	yes	partial	high	Attend
public poc	yes	total	low	Track
public poc	yes	total	medium	Track*
public poc	yes	total	high	Attend
active	no	partial	low	Track
active	no	partial	medium	Track
active	no	partial	high	Attend
active	no	total	low	Track
active	no	total	medium	Attend
active	no	total	high	Act
active	yes	partial	low	Attend
active	yes	partial	medium	Attend
active	yes	partial	high	Act
active	yes	total	low	Attend
active	yes	total	medium	Act
active	yes	total	high	Act

TAB. 4Jak czytaćgranice osi

Tylko luki: SSVC ocenia podatności. Findings bez luki (brak nagłówka, infekcja, awaria) nie dostają decyzji — mają Severity i klasę OCSF.
Gdzie widać: karta Findingu w panelu (TAB. Dowód): decyzja przy każdej luce kontenera wersji, w dymku cztery wejścia i te, które przyjęliśmy z założenia.
Czego nie ma: publiczna lista /podatnosci nie pokazuje SSVC — nie zna strony, na której luka siedzi, więc nie zna Mission. Pokazuje KEV i EPSS.
Public PoC: CISA liczy tu opublikowany kod exploita. Takiej bazy nie prowadzimy; EPSS jest przybliżeniem — model FIRST uwzględnia dostępność exploitów.