Un modello di prioritizzazione è un framework decisionale usato nella gestione delle vulnerabilità per classificare le falle di sicurezza in base al pericolo probabile, non solo in base a quante ne esistono. Valuta fattori come la sfruttabilità, se la debolezza è già oggetto di sfruttamento, la criticità dell'asset interessato, l'esposizione a Internet e il rischio ambientale locale. L'obiettivo è aiutare i difensori a decidere cosa correggere per primo quando le code delle patch sono più lunghe del personale disponibile e delle finestre di manutenzione.
Questo è importante perché i punteggi di gravità da soli non raccontano tutta la storia. Una vulnerabilità di gravità media su un server esposto al pubblico con controlli deboli può essere più urgente di un problema con punteggio più alto su un sistema di test isolato. Nelle difese reali, i modelli di prioritizzazione alimentano i flussi di lavoro di triage, la pianificazione delle patch e le regole di escalation. Negli attacchi, aiutano gli avversari a concentrarsi sui bersagli più promettenti; nella difesa, aiutano i team a non perdere tempo con rumore a basso impatto e a ridurre la probabilità che una vulnerabilità davvero pericolosa resti aperta abbastanza a lungo da essere trasformata in un'arma.