脆弱性管理

脆弱性管理をする上でのベストプラクティスはあるのか。
よく利用されるのは、CVSSのスコアを用いて優先度を決めることな気がするが、結局「評価基準」は自分たちで決める必要があり、その落とし所をどうするのか悩む。