一个漏洞值多少钱？信息有人拿它换了一辆车，有人用它瘫痪了一家医院的安全安全挂号系统。2021年，技术某三甲医院的漏洞自助挂号机被曝出存在SQL注入漏洞，攻击者能直接读取包含患者身份证号、等级手机号的划分数据库。这个漏洞后来被定级为"高危"——按照《信息安全技术安全漏洞等级划分指南》，指南它够得上"严重"级别，信息因为一旦被利用，安全安全影响范围是技术数万人的隐私泄露。

这套指南不是漏洞凭空拍脑袋想出来的。它把漏洞分成四个等级：严重、等级高危、划分中危、指南低危。信息分级的核心逻辑就两条——利用难度和影响范围。听起来简单，但实际操作中，很多团队栽在"影响范围"的判定上。比如一个只影响内网测试环境的漏洞，和影响生产环境核心交易系统的漏洞，哪怕技术原理一模一样，定级可能差两个档次。我见过一家公司把内网漏洞标成"严重"，结果安全团队天天救火，真正的高危漏洞反而被淹没了。

怎么判断"严重"？指南里给了几个硬指标：能远程直接获取服务器权限、能导致核心业务数据大规模泄露、能造成关键基础设施停摆。2017年WannaCry勒索病毒利用的"永恒之蓝"漏洞，就是典型的严重级。它不需要用户点击任何东西，只要联网就能传播，全球几十万台设备中招。反过来，一个需要攻击者物理接触设备、还要输入管理员密码才能触发的漏洞，哪怕后果再严重，定级也会往下调——因为利用门槛太高了。

高危和中危的分界线经常让人纠结。举个例子：某电商网站的订单查询接口存在越权漏洞，用户A能查到用户B的订单。这算高危还是中危？关键看两点——订单里有没有敏感信息（比如收货地址、电话），以及能不能批量遍历。如果只能手动一个个试，影响有限，中危；如果能写脚本批量拉取，那就是高危。指南里没有写死"批量"是多少量级，这给了企业自己裁量的空间，但也导致不同公司定级标准打架。我见过同一款开源软件漏洞，A公司标高危，B公司标中危，吵到最后发现是两边对"业务重要性"的理解不同。

低危漏洞最容易被忽视。比如登录页面没有验证码，或者错误信息里泄露了服务器版本号。单看一个，好像没什么。但攻击者往往拿这些低危漏洞当跳板——先通过版本号找到已知漏洞，再用验证码缺失进行暴力破解。2019年某社交平台的数据泄露，源头就是一个被标为"低危"的API接口，它允许未授权用户枚举用户名。安全团队觉得"反正拿不到密码"，没当回事，结果攻击者靠这个接口收集了上百万有效账号，再配合撞库，最终得手。

这套指南还有一个容易被误读的地方：它只给漏洞定级，不给"修复优先级"定级。严重漏洞不一定最急着修。比如一个严重漏洞，但利用需要攻击者已经拿到内网权限，而你当前连边界都没守住——那先补边界。反过来，一个中危漏洞，但暴露在公网、利用脚本已经满天飞，那就得连夜修。定级是静态的，修复是动态的。把指南当圣旨，反而会掉坑里。

实际操作中，很多团队会加一个"环境系数"。同一个漏洞，在测试环境降一级，在生产环境升一级。这不在指南的明文规定里，但符合它的底层逻辑——影响范围决定一切。我见过最离谱的案例：某银行把核心交易系统的一个中危漏洞，直接按严重级处理，因为"一旦被利用，影响的是全国用户的转账"。这种灵活裁量，比死抠条文更接近指南的本意。

漏洞定级从来不是纯技术问题。它牵扯到业务价值、资产重要性、甚至公司当下的安全预算。指南给了框架，但填进去的内容，得靠人判断。一个负责任的判断，比一个精确的分数更重要。

(责任编辑：焦点)