CVSS 与业务定级的关系
CVSS 由 FIRST 维护，用一组度量给出与技术属性相关的通用严重度分数，好处是跨团队可比较。它天然缺少业务语境：数据敏感度、暴露面、既有补偿控制都不在基础分数里。业务定级在这套分数之上叠加这些因素，两者并列展示，冲突时以评审记录说明取舍理由。
基本信息
| CVSS 作用 | 提供通用严重度基线，便于横向比较 |
|---|---|
| 度量分组 | 基础度量、威胁度量、环境度量 |
| 业务因子 | 数据分类、暴露面、补偿控制、业务时长窗口 |
| 展示方式 | 两个结果并列，不互相覆盖 |
| 冲突处理 | 以评审记录与可核查理由说明上调或下调 |
典型使用场景
- 多项目横向比较：用统一基线对比不同系统的严重度分布
- 对内沟通：开发团队习惯以分数判断排期，业务方更看数据与影响
- 补偿控制评估：已有 WAF 或网络隔离时，用环境度量反映实际难度
- 评审留痕：每次调整分数都记录依据，避免事后争议
- 复测对比：同一问题修复前后分数变化要与实际情况一致
并列展示示例
并列展示示例
条目：订单接口越权读取
CVSS：6.5（中），向量基于网络可达与低权限前提
业务因子：涉及个人信息 + 公网可达 + 无归属校验
业务定级：高，数据敏感度上调
说明：存在 WAF 虚拟补丁，利用难度上升，作为高优先级观察项并安排复测两个口径的对照
| 对比项 | CVSS | 业务定级 |
|---|---|---|
| 来源 | 标准化的技术度量 | 评估方与客户共同确认的口径 |
| 可比较性 | 跨项目可比 | 仅在约定范围内可比 |
| 考虑业务数据 | 仅环境度量间接体现 | 直接体现数据与合规因素 |
| 变更频率 | 随向量固定 | 随资产与业务变化调整 |
| 用途 | 严重度基线 | 决定修复优先级与资源投入 |
每次上调或下调都要写明可核查的理由：证据链支撑定级的公信力，也方便下一轮沿用同一口径。
不要把某一版 CVSS 的分数当作唯一依据：版本差异会改变向量取值与结论，报告里要写清所用版本。