Erhält dieselbe Schwachstelle auf jedem System den gleichen CVSS-Score?

Der grundlegende technische Score kann derselbe sein, der lokale CVSS-BTE-Score muss jedoch nicht identisch sein. Eine isolierte Testumgebung, ein interner Arbeitsplatz, ein öffentlicher Identitätsdienst und ein sicherheitskritisches Gerät können sich in Zugänglichkeit, Maßnahmen, erforderlichem Schutz und Konsequenzen für andere Systeme oder Personen unterscheiden.

CVSS 4.0 kann solche Unterschiede mit Bedrohungs- und Umweltmetriken erfassen. Auch die menschliche Sicherheit kann direkt in die Bewertung der Umweltkennzahlen einfließen. Auch zusätzlicher Kontext kann das lokale Ranking beeinflussen, ohne die Zahl zu verändern. Ein internes System erhält nicht automatisch eine niedrigere Bewertung: Jede Anpassung muss nachweisbaren Eigenschaften der tatsächlichen Umgebung folgen. Siehe die Metrikgruppen und Bewertungsregeln von FIRST.