CVSS 4.0 è scientificamente provato?

Non nel senso di un modello empirico che prevede la probabilità di un abuso o il danno atteso. CVSS è una convenzione di misurazione standardizzata basata su definizioni tecniche e opinioni di esperti. Per la versione 4.0, milioni di possibili vettori sono stati raggruppati e classificati da esperti; PRIMA pubblica questo metodo nel manuale dell’utente.

Ci sono dei test, ma sono limitati. Il NIST ha esaminato la formula CVSS 3 contro le recensioni dei designer. Ciò supporta il funzionamento interno di tale formula, non la previsione di incidenti o danni e non automaticamente la versione 4.0. La ricerca trova anche differenze tra i valutatori umani. Il CVSS è quindi utile come metodo di misurazione trasparente e condiviso, non come certezza scientifica.