A partir da v20.0 do Vulnerability Response, como Proprietário de correção, você pode solicitar a redução de risco de um item vulnerável de host ou tarefa de correção, e os aprovadores podem aprovar as solicitações de redução de risco.

Para obter mais informações sobre como solicitar a redução de risco e aprovar a aprovação de redução de risco, consulte Solicitar redução de risco no Espaço de correção de problemas de TI e Aprovar solicitações no Vulnerability Manager Workspace respectivamente.

Quando você aprova uma solicitação de redução de risco, a pontuação de risco é reduzida de acordo com o Valor desejado (classificação de risco) na aprovação de mudança de estado (VCA#). A pontuação de risco mais alta da classificação de risco desejada é atribuída ao registro quando sua solicitação de redução de risco é aprovada. O exemplo a seguir mostra como a Pontuação de risco e a Pontuação de risco original são atualizadas quando os controles de compensação são aplicados. As pontuações de risco mais altas padrão das classificações de risco são usadas no exemplo a seguir.

Tabela 1. Impacto dos controles de compensação na pontuação de risco e na pontuação de risco original

Cenário	Pontuação de risco	Pontuação de risco	Pontuação de risco original (pontuação de risco calculado)
Dados anteriores à v20.0	2 - Alta	80	O campo não está disponível antes da v20.0.
Depois de atualizar para v20.0	2 - Alta	80	Nulo
A pontuação de risco calculado muda para 90 durante a ingestão	1 - Crítica	90	Nulo
Quando você aplica controles de compensação	3 – Médio	69	90
A pontuação de risco calculado muda para 70 durante a ingestão	3 – Médio	69	70
A pontuação de risco calculado muda para 50 durante a ingestão	3 – Médio	50	50
A pontuação de risco calculado muda para 80 durante a ingestão	3 – Médio	50	80
Quando os controles de compensação expiram em Até a data para redução de risco	2 - Alta	80	Nulo

Impacto dos controles de compensação em uma tarefa de correção

Quando sua solicitação de redução de risco é aprovada para uma tarefa de correção, o impacto dos controles de compensação em seus itens vulneráveis é o seguinte:

• Os controles de compensação aplicados na tarefa de correção são aplicados aos itens vulneráveis (exceto aqueles no estado Encerrado) que têm pontuação de risco maior do que a pontuação de risco correspondente ao valor desejado na aprovação de mudança de estado de uma tarefa de correção. E a pontuação de risco desses itens vulneráveis é reduzida de acordo com o valor desejado.
• A data Até para redução de risco permanece inalterada para os itens vulneráveis aos quais um controle de compensação já foi aplicado. Ele não é atualizado com a data Até para redução de risco da Tarefa de correção.
• A data Até da redução de risco é transferida para os itens vulneráveis somente quando um controle compensatório não é aplicado a nenhum item vulnerável anteriormente. Se você aplicar os controles compensatórios na tarefa de correção novamente, a data Até para redução de risco não será revertida para os itens vulneráveis, já que a data Até existente para redução de risco dos itens vulneráveis terá prioridade.
• Quando um novo item vulnerável é adicionado a uma tarefa de correção na qual os controles compensatórios já estão aplicados, o risco não é transferido para os itens vulneráveis.

Impacto de um controle de compensação em um item vulnerável

Quando sua solicitação de redução de risco é aprovada para um item vulnerável:

• Its nova pontuação de risco é exibida no campo Pontuação de risco e a pontuação de risco antiga (pontuação de risco calculada) é movida para o campo Pontuação de risco original. Esta mudança é válida até a data especificada no campo Até a data para redução de risco.
• Quando um item vulneráveltem controles de compensação já aplicados, durante a ingestão:
  • Se a pontuação de risco calculada for maior do que a pontuação de risco, a pontuação de risco permanecerá a mesma e a pontuação de risco original será atualizada com a pontuação de risco calculada.
  • Se a pontuação de risco calculada for menor do que a pontuação de risco, a pontuação de risco e a pontuação de risco original serão atualizadas com a pontuação de risco calculada.
• Se um item de configuração( IC) for alterado para um item vulnerável com o controle de compensação já aplicado:
  • o IC é atualizado para um item vulnerável por padrão, já que a propriedade do sistema sn_sec_cmn.update_on_ci_change é definida como verdadeiro.

    Os controles de compensação ainda serão aplicáveis ao item vulnerável.

  • o item vulnerável será encerrado e um novo VIT será criado se a propriedade do sistema sn_sec_cmn.update_on_ci_change estiver definida como falsa.

    Os controles de compensação ainda serão aplicáveis ao novo item vulnerável e o Até a datapara redução de risco, Pontuação de risco original e Pontuação de risco permanecem as mesmas.

• Quando um item vulnerável é reaberto pelo scanner e os controles de compensação já estão aplicados a ele, o mesmo controle de compensação é aplicado depois que ele é reaberto.