Bevat CVSS 4.0 context?

Ja. CVSS 4.0 bevat expliciet context. Threat Metrics beschrijven de actuele volwassenheid van misbruik. Environmental Metrics verwerken de concrete inzetomgeving, waaronder aanwezige beveiligingsmaatregelen, feitelijke bereikbaarheid, het vereiste belang van vertrouwelijkheid, integriteit en beschikbaarheid, gewijzigde technische kenmerken en mogelijke gevolgen voor menselijke veiligheid.

Supplemental Metrics voegen verdere context toe, zoals veiligheid, herstel, automatiseerbaarheid en inspanning voor herstel. Zij wijzigen het CVSS-getal niet, maar kunnen volgens de CVSS 4.0-FAQ van FIRST wel de lokale prioriteit beïnvloeden.

Een publiek gepubliceerde CVSS-B bevat meestal alleen de Base Metrics. Dat is niet hetzelfde als zeggen dat CVSS geen context kent: de afnemer vult Threat en Environmental Metrics voor de eigen situatie in en krijgt daarmee een CVSS-BTE. FIRST beveelt die verrijking aan voor een betekenisvoller resultaat in de eigen omgeving.