Un punteggio di rischio è una valutazione numerica usata per classificare le segnalazioni di sicurezza in base al livello di preoccupazione che possono meritare. Gli strumenti di sicurezza spesso lo calcolano a partire da fattori come sfruttabilità, valore dell'asset, esposizione e vulnerabilità note. L'obiettivo non è dimostrare che un problema sia “buono” o “cattivo”, ma aiutare i team a dare priorità al tempo limitato e allo sforzo di risposta.
Nella sicurezza informatica, i punteggi di rischio sono utili per il triage e la reportistica, soprattutto quando i difensori devono confrontare migliaia di avvisi o asset. Sono importanti perché gli aggressori non sfruttano tutte le debolezze allo stesso modo; un sistema raggiungibile e di alto valore in genere merita attenzione prima di uno a basso impatto. Tuttavia, un punteggio è valido solo quanto i suoi input. Se i dati sono obsoleti, incompleti o ponderati male, il numero può nascondere un pericolo reale. Una difesa efficace usa i punteggi di rischio come punto di partenza, aggiungendo poi contesto, criticità dell'asset e revisione umana prima di agire.