Is CVSS 4.0 een risicoscore?

Nee. CVSS beschrijft de technische ernst van een kwetsbaarheid. Een organisatierisico omvat daarnaast bijvoorbeeld de kans op misbruik, de waarde en functie van het systeem, getroffen personen, wettelijke verplichtingen, mogelijke schade en bestaande beheersmaatregelen.

FIRST noemt CVSS daarom een invoer voor de risicoanalyse. Factoren zoals financiële schade, reputatieschade, het aantal getroffen klanten en wettelijke eisen vallen uitdrukkelijk buiten CVSS. Een organisatie weegt deze factoren in haar eigen risico-afhandeling.