Чи замінює CVSS 4.0 політику чи обробку ризиків?
Політика визначає, що робить організація з указаним рівнем серйозності та контекстом.
Ні. Політика визначає, серед іншого, схильність до ризику, класи системи, терміни, винятки, відповідальних осіб та умови прийняття ризику. CVSS може послідовно фіксувати технічну серйозність, поточну загрозу та фактори навколишнього середовища, але не приймає адміністративне рішення.
Під час обробки ризиків організація поєднує цю інформацію з застосовністю, впливом на бізнес, безпекою, конфіденційністю, юридичними зобов’язаннями та наявними заходами. Потім вона вирішує, наприклад, відновити, обмежити, уникнути, передати або прийняти із зазначенням причин. Оцінка та вектор є доказами цього рішення; вони не замінюють політику, рішення чи викладене обґрунтування.