La stessa vulnerabilità ottiene lo stesso punteggio CVSS su ogni sistema?

Il punteggio tecnico di base può essere lo stesso, ma non è necessario che lo sia anche il punteggio CVSS-BTE locale. Un ambiente di test isolato, una postazione di lavoro interna, un servizio di identità pubblica e un dispositivo critico per la sicurezza possono differire in termini di accessibilità, misure, protezione richiesta e conseguenze per altri sistemi o persone.

CVSS 4.0 può catturare tali differenze con le metriche di minaccia e ambientali. Anche la sicurezza umana può incidere direttamente sul punteggio delle Metriche Ambientali. Anche il contesto aggiuntivo può influenzare la classifica locale senza modificare il numero. Un sistema interno non riceve automaticamente un punteggio inferiore: ogni aggiustamento deve seguire proprietà dimostrabili dell’ambiente reale. Vedi i gruppi metrici e le regole di valutazione di FIRST.