La même vulnérabilité obtient-elle le même score CVSS sur chaque système ?

Le score technique de base peut être le même, mais le score CVSS-BTE local ne doit pas nécessairement l’être. Un environnement de test isolé, un poste de travail interne, un service d’identité publique et un appareil critique pour la sécurité peuvent différer en termes d’accessibilité, de mesures, de protection requise et de conséquences pour d’autres systèmes ou personnes.

CVSS 4.0 peut capturer de telles différences avec les mesures de menace et d’environnement. La sécurité humaine peut également être directement prise en compte dans le score des mesures environnementales. Un contexte supplémentaire peut également influencer le classement local sans changer le nombre. Un système interne ne reçoit pas automatiquement une note inférieure : chaque ajustement doit suivre les propriétés démontrables de l’environnement réel. Voir les groupes de métriques et les règles d’évaluation de FIRST.