Un punteggio di rischio per la sicurezza è una valutazione usata per stimare la gravità di una vulnerabilità e aiutare i difensori a stabilire le priorità degli interventi correttivi. Può combinare fattori quali il potenziale impatto, la facilità con cui è possibile sfruttare una falla e la necessità o meno di un accesso speciale da parte di un aggressore. Il punteggio supporta il processo decisionale, ma non prova che si sia verificato un attacco né che tutte le installazioni siano esposte allo stesso modo.
In pratica, i team usano i punteggi di rischio per ordinare gli interventi di applicazione delle patch e di mitigazione sui vari sistemi. Un punteggio elevato per una falla software può indurre gli amministratori a verificare le versioni e la configurazione interessate, applicare un aggiornamento o disabilitare temporaneamente una funzionalità esposta. Il punteggio va considerato insieme alla distribuzione effettiva del sistema e ai percorsi di attacco raggiungibili: una falla grave può comportare livelli di rischio diversi a seconda di come un componente è installato e utilizzato.