# عمر الثغرات المفتوحة (Open Vulnerability Age)

> متوسط عمر الثغرات المكتشفة وغير المعالَجة، محسوبًا بدرجة الخطورة لا مجمَّعًا.

- **المجال:** تقنية المعلومات (IT Operations)
- **الوحدة:** يوم
- **تكرار القياس:** شهري
- **الاتجاه المرغوب:** أقل أفضل
- **النوع:** قائد (Leading)
- **الرابط:** https://kpihub.co/k/it-vulnerability-age

## الهدف

قياس مدّة التعرّض لا عدد الثغرات، فالثغرة المفتوحة منذ مئة يوم أخطر من عشر مفتوحة منذ يومين.

## لماذا هو مهم

- المخاطرة دالّة على الزمن: كل يوم إضافي فرصة استغلال إضافية
- عدد الثغرات يتغيّر بكل فحص، والعمر يقيس الاستجابة الفعلية
- الثغرات الحرجة القديمة هي بالضبط ما يبحث عنه الفحص الآلي للمهاجمين

## المعادلة

```
Vulnerability Age = Σ (Today − Discovery date) ÷ Open vulnerabilities, by severity
```

اعرض أقدم ثغرة لا المتوسط وحده. فمتوسط مقبول قد يخفي ثغرة حرجة مفتوحة منذ سنة، وهي وحدها كافية لاختراق.

## مثال محسوب

‏214 ثغرة مفتوحة بمتوسط عمر 38 يومًا، منها 9 حرجة بمتوسط 74 يومًا وأقدمها 216 يومًا. الحساب: المتوسط يخفي التعرّض الحقيقي تمامًا.

## النطاق الاسترشادي

الحرجة تحت 7 أيام والعالية تحت 30. وأي ثغرة حرجة تتجاوز ثلاثين يومًا تحتاج قرارًا معلنًا بقبول المخاطرة لا صمتًا.

## تحليل الاتجاه

- تقادم الثغرات الحرجة إشارة على أولوية لا على قدرة
- ارتفاع العدد مع انخفاض العمر تحسّن حقيقي: فحص أوسع واستجابة أسرع
- تركّز الثغرات القديمة في نظام واحد يعني نظامًا يصعب تحديثه ويحتاج قرارًا

## أسئلة تشخيصية

- ما عمر أقدم ثغرة حرجة؟ المتوسط يخفيها
- هل هناك قرار معلن بقبول المخاطرة للقديم؟ الصمت ليس قرارًا
- أي نظام يجمع الثغرات القديمة؟ صعوبة تحديثه قرار بنيوي

## نصائح عملية

- اعرض أقدم ثغرة بجانب المتوسط، فالخطر في الذيل
- اطلب قرارًا معلنًا لأي ثغرة حرجة تتجاوز مهلتها
- افصل العمر بالخطورة، فالمجمَّع يخفي ما يهمّ

## العرض المناسب

- توزيع عمر الثغرات بالخطورة
- جدول الثغرات الحرجة المفتوحة بالعمر والنظام
- خط زمني للعمر مع خط عدد الثغرات

## تحذيرات وفخاخ

- قراءة المتوسط تخفي ثغرة حرجة مفتوحة منذ سبعة أشهر
- مطاردة العدد بدل العمر تدفع لإغلاق السهل وترك الخطير
- قبول المخاطرة ضمنيًّا بلا قرار معلن يترك المسؤولية معلّقة

## أثر التغيير

- ثغرة حرجة عمرها 216 يومًا هي تعرّض مستمرّ يعرفه الفحص الآلي للمهاجمين
- القرار المعلن بقبول المخاطرة ينقل المسؤولية إلى حيث تُتخذ فعلًا
- الفصل بالخطورة يوجّه الجهد إلى تسع ثغرات بدل مئتين

## احسبه في أداتك

### Excel

```excel
=AVERAGEIFS(TODAY()-V[Discovered], V[IsOpen],"Yes")
```

### Power BI (DAX)

```dax
Vulnerability Age =
AVERAGEX (
    FILTER ( 'Vulnerability', 'Vulnerability'[IsOpen] = TRUE () ),
    DATEDIFF ( 'Vulnerability'[DiscoveredDate], TODAY (), DAY )
)
```

### Tableau

```
AVG( IF [Is Open] THEN DATEDIFF('day',[Discovered Date],TODAY()) END )
```

### SQL

```sql
SELECT severity,
       COUNT(*)                                   AS open_vulnerabilities,
       AVG(CURRENT_DATE - discovered_date)        AS avg_age_days,
       MAX(CURRENT_DATE - discovered_date)        AS oldest_age_days,
       COUNT(*) FILTER (WHERE risk_accepted)      AS formally_accepted
FROM   vulnerability
WHERE  is_open
GROUP  BY severity
ORDER  BY oldest_age_days DESC;
```

---

المصدر: [KPIHub](https://kpihub.co/k/it-vulnerability-age) · مرجع عربي مجاني لمؤشرات الأداء.