Ersetzt CVSS 4.0 Richtlinien- oder Risikomanagement?

Die Richtlinie bestimmt, was die Organisation mit dem angegebenen Schweregrad und Kontext tut.

Nein. Die Richtlinien legen unter anderem den Risikoappetit, Systemklassen, Fristen, Ausnahmen, Verantwortliche und Bedingungen für die Risikoakzeptanz fest. CVSS kann den technischen Schweregrad, die aktuelle Bedrohung und Umweltfaktoren konsistent erfassen, trifft jedoch keine administrative Entscheidung.

Beim Risikomanagement kombiniert die Organisation diese Informationen mit Anwendbarkeit, geschäftlichen Auswirkungen, Sicherheit, Datenschutz, rechtlichen Verpflichtungen und verfügbaren Maßnahmen. Sie entscheidet sich dann beispielsweise für Wiederherstellung, Einschränkung, Vermeidung, Übertragung oder Annahme mit Begründung. Der Score und der Vektor liefern Beweise für diese Entscheidung; Sie ersetzen nicht die Richtlinie, Entscheidung oder angegebene Begründung.