¿La misma vulnerabilidad obtiene la misma puntuación CVSS en todos los sistemas?

La puntuación técnica básica puede ser la misma, pero la puntuación CVSS-BTE local no tiene por qué serlo. Un entorno de prueba aislado, una estación de trabajo interna, un servicio de identidad público y un dispositivo crítico para la seguridad pueden diferir en accesibilidad, medidas, protección requerida y consecuencias para otros sistemas o personas.

CVSS 4.0 puede capturar tales diferencias con métricas ambientales y de amenazas. La seguridad humana también puede influir directamente en la puntuación dentro de las Métricas Ambientales. El contexto adicional también puede influir en la clasificación local sin cambiar el número. Un sistema interno no recibe automáticamente una puntuación más baja: cada ajuste debe seguir propiedades demostrables del entorno real. Ver los grupos de métricas y reglas de evaluación de FIRST.