Conversation

>>
そもそもCVSSは脆弱性の技術的な深刻度を特定するために設計されたものであり、セキュリティリスクの度合いを示すものではありません。一方、一般的に人々が知りたいのは、脆弱性に対してどれくらい速やかに対応すべきかというものであり、それを実現するには現在のCVSSを変えるか、新しい別のシステムを使うしかないのです。つまり、このような「人々がCVSSに対して本当に期待しているもの（特に脆弱性対応の優先順位付け）」をCVSSのコミュニティが提供できていないことが問題であるというのがCERT/CCが主張したいことなわけです。
<<
https://internet.watch.impress.co.jp/docs/column/security/1161142.html