¿CVSS 4.0 reemplaza la política o el manejo de riesgos?

No. La política determina, entre otras cosas, el apetito de riesgo, clases de sistemas, plazos, excepciones, responsables y condiciones de aceptación del riesgo. CVSS puede registrar consistentemente la gravedad técnica, la amenaza actual y los factores ambientales, pero no toma una decisión administrativa.

En el manejo de riesgos, la organización combina esa información con aplicabilidad, impacto comercial, seguridad, privacidad, obligaciones legales y medidas disponibles. Luego decide, por ejemplo, restablecer, limitar, evitar, transferir o aceptar motivadamente. La puntuación y el vector proporcionan evidencia de esa decisión; no reemplazan la política, decisión o justificación declarada.