خواندن امتیاز CVSS بدون واکنش افراطی
امتیاز ۹.۸ روی دستگاه صنعتی و ۹.۸ روی یک وب‌سرور یک اضطرار نیستند. رشته بردار بیش از عدد حرف می‌زند، و در کارخانه معمولا همان بردار است که تعیین می‌کند دوشنبه چه می‌کنید.
هشداری با امتیاز ۹.۸ می‌رسد و تلفن زنگ می‌زند. کسی می‌خواهد بداند خط باید بایستد یا نه. پاسخ صادقانه تقریبا همیشه «هنوز نه، و این چیزهاست که باید اول بررسی کنم» است — اما رسیدن به آن، خواندن فراتر از عدد را می‌خواهد، و عدد تنها بخشی است که بیشتر خلاصه‌ها حمل می‌کنند.
امتیازهای پایه CVSS شدت را در شرایطی فرض‌شده می‌سنجند، نه ریسک را در کارخانه شما. امتیاز از یک بردار محاسبه می‌شود، و اطلاعات مفید در همان بردار زندگی می‌کند. AV:N یعنی حمله از شبکه می‌آید؛ AV:A یعنی شبکه مجاور، که در عمل یعنی کسی از پیش درون همان شبکه محلی درست است؛ AV:L یعنی دسترسی محلی؛ AV:P یعنی دست زدن فیزیکی به دستگاه. این چهار حرف گفت‌وگو را کاملا عوض می‌کنند. امتیاز ۹.۸ با AV:N روی دستگاهی که در معرض اینترنت است اضطرار است. همان ۹.۸ روی کنترلری که فقط از شبکه مهندسی قابل دسترسی است و شش نفر می‌توانند واردش شوند، مسئله زمان‌بندی است.
سنجه‌های دسترسی و تعامل تقریبا به همان اندازه اهمیت دارند. PR:N یعنی اعتبارنامه‌ای لازم نیست. UI:R یعنی کاربری باید کاری بکند — فایلی باز کند، روی پیوندی کلیک کند، پشتیبانی را بازگرداند — و روی آرتییوی بی‌سرپرست ممکن است کاربری نباشد که لازم شود. نقصی که به اپراتور نیاز دارد تا فایل پیکربندی دست‌کاری‌شده‌ای را وارد کند واقعی است، اما پشت رویه‌ای می‌نشیند که همین هفته و بدون دست زدن به فریمور می‌توانید عوضش کنید.
بعد چیزی هست که CVSS عامدانه نمی‌داند. نمی‌داند که دستگاه متاثر کارکردی ایمنی دارد، یا که حالت خرابی‌اش به جای از کار افتادن، خوانش نادرست خاموش است، یا که روی اسکیدی نشسته که از شهریور تا اسفند نمی‌توانید خاموشش کنید. همین واقعیت‌ها بر تصمیم واقعی غالب‌اند، و در سر شما و در نقشه‌های پی‌اند‌آی‌دی زندگی می‌کنند نه در هشدار.
به همین دلیل دو هشدار با امتیاز یکسان کار متفاوتی تولید می‌کنند. انکار سرویس ۷.۵ روی رله حفاظتی می‌تواند فوری‌تر از افشای اطلاعات ۹.۱ روی اچ‌ام‌آی باشد، چون از دست دادن حفاظت برای ده دقیقه پیامدهایی دارد که از دست دادن محرمانگی ندارد. سامانه‌های امتیازدهی ساخته شده‌اند تا میان محصولات قابل مقایسه باشند، و این ناگزیر یعنی نابینا بودن به زمینه، و زمینه بیشتر چیزی است که مهندس OT می‌داند.
یک عادت عملی: وقتی هشداری رسید، پیش از هر تصمیمی چهار چیز را بنویسید. الزام دسترسی در بردار چیست. آیا آن سرویس اصلا روی واحدهای شما فعال است. دستگاه اگر نقص بهره‌برداری شود چه می‌کند — می‌ایستد، بدرفتاری می‌کند، یا نشت می‌دهد. و پنجره بعدی که می‌توانید به آن دست بزنید کِی است. این چهار پاسخ تصمیم تولید می‌کنند. امتیاز به‌تنهایی جلسه تولید می‌کند.
یک نکته دیگر. فروشندگان بیش از پیش هم امتیاز CVSS نگارش ۳.۱ و هم ۴.۰ را منتشر می‌کنند، و این دو اغلب یک واحد یا بیشتر در هر دو جهت فرق دارند. این ناسازگاری نیست؛ نگارش ۴.۰ سنجه‌هایی برای بهره‌برداری خودکارپذیر و برای اثر ایمنی افزوده است، که دقیقا همان چیزی است که نگارش قدیمی‌تر نمی‌توانست بیانش کند. اگر هشداری هر دو را داد، بردار نگارش ۴.۰ معمولا برای تجهیز صنعتی آگاهی‌بخش‌تر است، و تقریبا هیچ‌کس نمی‌خواندش.