A mesma vulnerabilidade obtém a mesma pontuação CVSS em todos os sistemas?

A pontuação técnica básica pode ser a mesma, mas a pontuação local do CVSS-BTE não precisa ser. Um ambiente de teste isolado, uma estação de trabalho interna, um serviço público de identidade e um dispositivo crítico para a segurança podem diferir em acessibilidade, medidas, proteção necessária e consequências para outros sistemas ou pessoas.

O CVSS 4.0 pode capturar essas diferenças com métricas ambientais e de ameaças. A segurança humana também pode ser levada em consideração diretamente na pontuação das Métricas Ambientais. O contexto adicional também pode influenciar a classificação local sem alterar o número. Um sistema interno não recebe automaticamente uma pontuação mais baixa: cada ajuste deve seguir propriedades demonstráveis ​​do ambiente real. Consulte os grupos de métricas e regras de avaliação do FIRST.