CVSS 4.0 est-il scientifiquement prouvé ?

Pas dans le sens d’un modèle empirique prédisant la probabilité d’abus ou les dommages attendus. CVSS est une convention de mesure standardisée basée sur des définitions techniques et des avis d’experts. Pour la version 4.0, des millions de vecteurs possibles ont été regroupés et classés par des experts ; FIRST publie cette méthode dans le manuel d’utilisation.

Il existe des tests, mais ils sont limités. Le NIST a examiné la formule CVSS 3 contre les avis des concepteurs. Cela prend en charge le fonctionnement interne de cette formule, pas la prédiction d’incidents ou de dommages et pas automatiquement la version 4.0. La recherche révèle également des différences entre les évaluateurs humains. Le CVSS est donc utile en tant que méthode de mesure transparente et partagée, et non en tant que certitude scientifique.