CVSS 4.0 remplace-t-il la politique ou la gestion des risques ?

Non. La politique détermine, entre autres, l’appétit pour le risque, les classes de systèmes, les délais, les exceptions, les personnes responsables et les conditions d’acceptation du risque. Le CVSS peut enregistrer de manière cohérente la gravité technique, les menaces actuelles et les facteurs environnementaux, mais ne prend pas de décision administrative.

Dans la gestion des risques, l’organisation combine ces informations avec l’applicabilité, l’impact commercial, la sécurité, la confidentialité, les obligations légales et les mesures disponibles. Elle décide alors par exemple de restaurer, limiter, éviter, transférer ou accepter avec motivation. Le score et le vecteur fournissent la preuve de cette décision ; ils ne remplacent pas la politique, la décision ou la justification exposée.