Czy CVSS 4.0 zawiera kontekst?

Wersja 4.0 zawiera jawne grupy metryk dotyczące zagrożeń, środowiska i dodatkowego kontekstu.

Tak. CVSS 4.0 wyraźnie zawiera kontekst. Wskaźniki zagrożeń opisują obecną dojrzałość nadużyć. Metryki środowiskowe przetwarzają konkretne środowisko wdrożenia, w tym istniejące środki bezpieczeństwa, rzeczywistą dostępność, wymagane znaczenie poufności, integralności i dostępności, zmienione parametry techniczne i możliwe konsekwencje dla bezpieczeństwa ludzi.

Dodatkowe wskaźniki dodają dalszy kontekst, taki jak bezpieczeństwo, odzyskiwanie, automatyzacja i wysiłek w zakresie odzyskiwania. Nie zmieniają numeru CVSS, ale według Często zadawane pytania dotyczące CVSS 4.0 firmy FIRST mogą mieć wpływ na priorytet lokalny.

Publicznie opublikowany CVSS-B zazwyczaj zawiera tylko podstawowe metryki. To nie to samo, co stwierdzenie, że CVSS nie ma kontekstu: klient wypełnia Metryki Zagrożenia i Środowiska dla swojej własnej sytuacji i w ten sposób otrzymuje CVSS-BTE. FIRST zaleca to wzbogacenie, aby uzyskać bardziej znaczący wynik we własnym środowisku.