La probabilità è una stima numerica di quanto sia probabile che un evento accada. Nella cybersecurity, aiuta i difensori a passare dall'intuizione alla prioritizzazione: invece di chiedersi solo se una vulnerabilità sia grave, i team possono chiedersi quanto sia probabile che venga sfruttata, rilevata o bloccata. Questo rende la probabilità utile nella valutazione, nelle previsioni e nel triage del rischio.
Nella pratica, la probabilità compare in modelli come EPSS, che stima la probabilità che una CVE pubblica venga sfruttata entro una finestra temporale. Un punteggio di probabilità più alto non significa che un attacco si verificherà sicuramente, ma può giustificare una correzione più rapida, un monitoraggio più rigoroso o controlli aggiuntivi. Nella difesa, la probabilità è più utile quando è combinata con il contesto, come l'esposizione dell'asset, l'importanza per il business e le protezioni già esistenti.