三个词的分工
漏洞管理沟通中最容易混用的三个词其实描述不同对象：威胁是可能造成损害的来源（攻击者、勒索团伙、自动化扫描），脆弱性是自身弱点（未打补丁的组件、弱口令、开放的高危端口），风险是威胁利用脆弱性作用于资产后可能造成的损失。把三者分开说，结论才站得住。
基本信息
| 术语来源 | ISO/IEC 27001 风险管理术语、NIST 术语表 |
|---|---|
| 威胁 | 外部对手与行为，通常不由自己控制 |
| 脆弱性 | 自身弱点清单，可被修复与收敛 |
| 风险 | 损失的可能性与程度，需要结合业务判断 |
| 沟通要求 | 先描述链路再给结论 |
典型使用场景
- 内部通报：说明『已被在野利用 + 我们公网可达 + 可能数据泄露』的完整链路
- 优先级排序：脆弱性数量多时，用威胁活跃度与资产重要性筛出真正紧急项
- 管理层汇报：讲风险与业务影响，而不是罗列漏洞编号
- 资源申请：用暴露（可达通道）说明为什么某些脆弱性必须先修
- 事后复盘：区分是威胁变化（出现新型攻击）还是脆弱性变化（新增未修补组件）
概念对照
| 概念 | 示例 | 关注点 |
|---|---|---|
| 威胁 Threat | 勒索团伙、自动化扫描 | 外部对手与行为 |
| 脆弱性 Vulnerability | 未修补组件、开放的高危端口 | 自身弱点清单 |
| 风险 Risk | 数据库被拖库的业务后果 | 损失的可能性与程度 |
| 暴露 Exposure | 资产在互联网可达 | 被触达的通道 |
沟通句式对比
沟通句式对比
差：这个漏洞很严重，必须马上修
好：该漏洞（脆弱性）已被在野利用（威胁），我们的系统公网可达（暴露），
可能导致数据泄露（风险），建议 24 小时内完成处置
# 结构：脆弱性 + 威胁 + 暴露 + 风险 + 建议动作与时限把『存在脆弱性』直接说成『已经发生泄露』是常见夸大：先描述链路再给结论，否则第一次误报之后，后续所有通报的可信度都会打折。
『暴露』常被忽略但很关键：同一条脆弱性在有边界防护的内网和在公网裸奔的机器上，风险等级完全不同，评估时必须单独问一句该资产是否外部可达。