La gravità è una valutazione che aiuta i team di sicurezza a dare priorità ai difetti software in base a quanto urgentemente debbano essere affrontati. Di solito si basa sul probabile impatto dello sfruttamento, come esposizione dei dati, acquisizione di privilegi, interruzione del servizio o compromissione più ampia del sistema. Punteggi o etichette di gravità più elevati, come critico o alto, di solito significano che una correzione dovrebbe essere pianificata prima.
Nella sicurezza informatica, la gravità è importante perché i difensori raramente hanno tempo sufficiente per trattare ogni problema allo stesso modo. Gli strumenti di gestione delle vulnerabilità, gli avvisi e i sistemi di ticketing usano la gravità per ordinare il lavoro, assegnare finestre di risposta e decidere se un problema richieda una patch di emergenza o possa attendere un normale ciclo di manutenzione. Tuttavia, la gravità è solo un segnale di triage: non dimostra lo sfruttamento, non conferma che un attaccante possa raggiungere il difetto e non tiene conto di ogni ambiente. Un problema a bassa gravità può comunque essere pericoloso nel contesto sbagliato, mentre un problema ad alta gravità può essere più difficile da abusare se non è esposto. Una buona difesa combina la gravità con la visibilità delle risorse, la raggiungibilità e i test delle patch.