Еще один риск-ориентированный подход к приоритизации устранения уязвимостей?🧐

Если кратко, то это "допиленный" до более-менее практического использования подход SSVC (Stakeholder-Specific Vulnerability Categorization) к приоритизации от агентства CISA.
Автор работы описывает какие источники информации могут использоваться для выбора значения критерия согласно дереву принятия решений по SSVC.
В целом, довольно очевидные источники - параметры CVSS, EPSS, CISA KEV и иные TI-источники. Разве что BugBounty и Incident Response тут выделяются, но как источники об активной эксплуатации уязвимости они тоже вполне очевидны, правда тут уже играет роль уровень зрелости организации.
Единственный критерий для которого не определены источники или уровни - это "Mission & Well-being", но здесь можно пофантазировать и привязать популярные ныне недопустимые события😉

Вот уже третий год выходит масштабное исследование "Oh, Behave!" от Cybsafe, приуроченное к месяцу повышения осведомленности в кибербезопасности.
Очень наглядное пособие о том, как различные поколения людей относятся к рискам и правилам кибербезопасности. Респондентам задавали вопросы о гигиене использования паролей, установки обновлений, инструктажах, онлайн-мошенничествах и пр.

Из интересного про использование паролей:
➡️Старшие поколения чаще используют свою методику для создания уникальных паролей, чем молодежь - поколение Z и миллениалы всё чаще полагаются на сгенерированные веб-сайтами и приложениями сложные пароли, а также используют при смене паролей плохую практику, изменяя 1-2 символа в текущем пароле.
➡️Молодые люди чаще пользуются паролями длиннее 12 символов (видимо вытекает из первого утверждения).
➡️Большинство респондентов, независимо от возраста, используют пароли длинной от 9 до 11 символов.

Помимо различной статистики, в отчете можно найти рекомендации, призванные повысить качество обучения и в целом изменить отношение людей к вопросам кибербезопасности.