CMMI

CMMI 起初是一种软件工程流程模型，但其背后的理念同样适用于安全体系，也适用于开发团队：组织的流程会经历若干可辨识的成熟度等级，从临时、被动，逐步发展到可度量、持续改进。我在这里采用的是后一种含义，不是把 CMMI 当作软件认证，而是作为评估您的安全运营究竟有多成熟的一个视角。

我见过的大多数安全体系，处于“被动”与“已定义”之间：纸面上有政策，也有一些流程，但日常实际发生的很多事情取决于那一周谁在场，而不是一套有文档、可重复的流程。这并非批评，只是大多数组织所处的位置，把它如实说出来，比假设自己走得更远要有用。

成熟度究竟带来什么

更成熟的安全流程意味着：事件响应不再依赖某个特定的人是否有空；漏洞管理按计划进行，而不是在有吓人的事被报告之后才突击处理；您可以真正衡量所做的改变是否在改善情况，而不是仅仅假设它们在改善。

我会评估您的核心安全流程在成熟度曲线上实际处于什么位置，不是抽象地评估，而是针对对您最重要的流程：漏洞管理、事件响应、变更控制、访问审查。然后是选出一到两个有意识地优先提升成熟度，而不是试图同时把所有事情都专业化，那样往往会停滞不前。

如果您想要一份坦率的判断，了解您的安全流程究竟有多成熟，而不是政策文件声称有多成熟，我们聊聊。