报告与复测50 条

CVSS 与业务定级结合

CVSS 是通用严重度语言；业务定级叠加数据敏感度、暴露面与补偿控制。两者并列展示，冲突时以评审记录说明取舍，不机械照搬分数。

结合示例

CVSS 6.5（中）+ 涉及个人信息 + 公网可达
-> 业务定级：高（数据敏感度上调）
说明：存在 WAF 虚拟补丁，利用难度上升，作为高优先级观察项

每次上调或下调都要写明可核查的理由：证据链支撑定级公信力。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌