CVSS 4.0 inclut-il le contexte ?

Oui. CVSS 4.0 inclut explicitement le contexte. Les indicateurs de menace décrivent la maturité actuelle des abus. Les mesures environnementales traitent l’environnement de déploiement concret, y compris les mesures de sécurité existantes, l’accessibilité réelle, l’importance requise de la confidentialité, de l’intégrité et de la disponibilité, les caractéristiques techniques modifiées et les conséquences possibles pour la sécurité humaine.

Les métriques supplémentaires ajoutent un contexte supplémentaire tel que la sécurité, la récupération, l’automatisation et les efforts de récupération. Ils ne modifient pas le numéro CVSS, mais selon FAQ CVSS 4.0 de FIRST ils peuvent influencer la priorité locale.

Un CVSS-B publié publiquement contient généralement uniquement les métriques de base. Cela ne revient pas à dire que CVSS n’a pas de contexte : le client complète les mesures de menace et d’environnement pour sa propre situation et reçoit ainsi un CVSS-BTE. FIRST recommande cet enrichissement pour un résultat plus significatif dans votre propre environnement.