O CVSS 4.0 substitui o tratamento de políticas ou riscos?

Não. A política determina, entre outros aspectos, o apetite ao risco, as classes do sistema, os prazos, as exceções, os responsáveis ​​e as condições de aceitação do risco. O CVSS pode registrar consistentemente a gravidade técnica, as ameaças atuais e os fatores ambientais, mas não toma uma decisão administrativa.

No tratamento de riscos, a organização combina essas informações com aplicabilidade, impacto nos negócios, segurança, privacidade, obrigações legais e medidas disponíveis. Ela então decide, por exemplo, restaurar, limitar, evitar, transferir ou aceitar com motivos. A pontuação e o vetor fornecem evidências para essa decisão; eles não substituem a política, decisão ou justificativa declarada.