CVSS 4.0 sostituisce la politica o la gestione del rischio?

No. La politica determina, tra le altre cose, la propensione al rischio, le classi di sistema, le scadenze, le eccezioni, i responsabili e le condizioni per l’accettazione del rischio. Il CVSS può registrare in modo coerente la gravità tecnica, la minaccia attuale e i fattori ambientali, ma non prende una decisione amministrativa.

Nella gestione del rischio, l’organizzazione combina tali informazioni con l’applicabilità, l’impatto aziendale, la sicurezza, la privacy, gli obblighi legali e le misure disponibili. Decide quindi, ad esempio, di ripristinare, limitare, evitare, trasferire o accettare con motivazione. Il punteggio e il vettore forniscono la prova di tale decisione; non sostituiscono la politica, la decisione o la motivazione dichiarata.