Czy CVSS 4.0 zastępuje politykę lub zarządzanie ryzykiem?

Nie. Polityka określa m.in. apetyt na ryzyko, klasy systemów, terminy, wyjątki, osoby odpowiedzialne i warunki akceptacji ryzyka. CVSS może konsekwentnie rejestrować powagę techniczną, aktualne zagrożenie i czynniki środowiskowe, ale nie podejmuje decyzji administracyjnej.

W zarządzaniu ryzykiem organizacja łączy te informacje z zastosowaniem, wpływem na biznes, bezpieczeństwem, prywatnością, zobowiązaniami prawnymi i dostępnymi środkami. Następnie decyduje się na przykład o przywróceniu, ograniczeniu, uniknięciu, przeniesieniu lub przyjęciu z uzasadnieniem. Wynik i wektor stanowią dowód na tę decyzję; nie zastępują polityki, decyzji ani podanego uzasadnienia.