Czy CVSS 4.0 zostało udowodnione naukowo?

CVSS jest przejrzystą metodą ekspercką, a nie prawem natury czy aktuarialnym modelem ryzyka.

Nie w sensie modelu empirycznego, który przewiduje prawdopodobieństwo nadużycia lub spodziewane szkody. CVSS to znormalizowana konwencja pomiarowa oparta na definicjach technicznych i opiniach ekspertów. W wersji 4.0 miliony możliwych wektorów zostały pogrupowane i uszeregowane przez ekspertów; FIRST publikuje tę metodę w instrukcji obsługi.

Są badania, ale ich zakres jest ograniczony. NIST zbadał formułę CVSS 3 na podstawie recenzji projektantów. Wspiera to wewnętrzne działanie tej formuły, a nie przewidywanie incydentów lub uszkodzeń, a nie automatycznie wersję 4.0. Badania wykazały również różnice między oceniającymi-ludźmi. CVSS jest zatem użyteczny jako przejrzysta, wspólna metoda pomiaru, a nie jako pewność naukowa.