在风险评级方法中理论上我们是根据风险=可能性*影响这个模型来定级的。而这个可能性和影响还需要进一步的一个判断。在这些判断的因素当中,对于公司一方来说,漏洞被利用所造成的财产损失、声誉损失、是否合规、是否侵犯隐私这些因素也影响着他们发现漏洞后是否去修复。与此同时漏洞修复所需要的成本以及预算也是公司决定是否去修复的一大因素。
我们首先要清楚的一点是,当发现漏洞时,现有的产品对漏洞风险等级的报出的级别均基于过去的经验及技术,但是时代和技术是在不断更新迭代的,这也就意味着也许目前报出为低危的漏洞,当技术进步时这也可能会成为一个严重的漏洞,待人们对此有了新的评定后才会对产品的一个评定标准进行更改。换言之,因为黑客的“技术发展”,使得漏洞风险提高,某种程度上也推动了网络安全产品的一个升级发展。
软件开发商、安全组织及厂商、黑客和黑客组织都在努力的发现漏洞,谁先发现了可以说就是掌握了主动权。软件开发商先发现的话,它们可以选择进行修复推出个更为完美的软件。而安全组织及厂商发现的话,那可以在安全防护上做足准备而且能更好的更新安全产品。那么当黑客发现并且利用了漏洞在先那么就将会造成极大的损失了。