Enthält CVSS 4.0 Kontext?

Ja. CVSS 4.0 schließt explizit Kontext ein. Bedrohungsmetriken beschreiben den aktuellen Reifegrad des Missbrauchs. Umweltmetriken verarbeiten die konkrete Einsatzumgebung, einschließlich bestehender Sicherheitsmaßnahmen, tatsächlicher Zugänglichkeit, der geforderten Bedeutung von Vertraulichkeit, Integrität und Verfügbarkeit, veränderter technischer Eigenschaften und möglicher Konsequenzen für die menschliche Sicherheit.

Ergänzende Metriken fügen weiteren Kontext hinzu, z. B. Sicherheit, Wiederherstellung, Automatisierung und Wiederherstellungsaufwand. Sie verändern die CVSS-Nummer nicht, können aber laut FIRSTs FAQ zu CVSS 4.0 die lokale Priorität beeinflussen.

Ein öffentlich veröffentlichter CVSS-B enthält normalerweise nur die Basismetriken. Das ist nicht dasselbe wie zu sagen, dass CVSS keinen Kontext hat: Der Kunde vervollständigt Bedrohungs- und Umweltmetriken für seine eigene Situation und erhält so einen CVSS-BTE. FIRST empfiehlt diese Anreicherung für ein aussagekräftigeres Ergebnis im eigenen Umfeld.