成熟度模型解决什么
成熟度模型回答「现在处在什么水平、下一步该做什么」。它与合规检查的区别在于描述演进路径而不是通过与否：通常从无管理（依赖个人经验）、点状措施（有针对性的技术手段）、流程化（制度建立并被执行）、可度量（有指标与定期评估）到持续优化（基于数据主动改进）五个阶段。评估维度一般覆盖治理与制度、资产与配置管理、风险评估、网络分区、访问控制、监测与响应、供应链与人员。
五个阶段的特征
| 阶段一 无管理 | 安全依赖个人经验，无台账、无制度、无责任人 |
|---|---|
| 阶段二 点状措施 | 有零散技术手段，但无统一流程与标准 |
| 阶段三 流程化 | 制度建立并被实际执行，责任与审批明确 |
| 阶段四 可度量 | 有量化指标与定期评估，能发现偏差并纠正 |
| 阶段五 持续优化 | 基于数据与事件主动改进，能应对新出现的威胁 |
评估维度与判定依据
| 维度 | 判定依据 | 低成熟度表现 |
|---|---|---|
| 治理与制度 | 有职责、制度与资源投入 | 无责任人、无预算 |
| 资产与配置 | 台账完整并定期核对 | 台账缺失或长期未更新 |
| 风险评估 | 定期评估并落到处置计划 | 一次性评估后归档 |
| 网络分区 | 区域与管道明确且策略一致 | 策略全通或与设计不符 |
| 访问控制 | 账号实名、权限复核、第三方受控 | 账号共享、权限长期不变 |
| 监测与响应 | 有日志、告警与演练 | 无日志、无预案 |
| 供应链与培训 | 合同含安全条款、人员定期培训 | 无条款、无培训 |
使用建议
- 先自评再对标：用同一套维度评估现状，避免凭感觉定级
- 结果落到项目：每个低成熟度维度对应一到两个可执行改进项
- 用趋势而非单点分数判断成效：重点是相邻两次评估之间的进步
- 让业务与生产部门参与评分：安全部门单方评估会低估执行难度
- 每年复评一次，并结合事件与审计发现修正结论
成熟度分数不宜作为考核指标直接下发，否则容易出现为提高分数而优化材料的现象。更实用的用法是把它当作路线图工具，用来决定投入顺序与阶段性目标。
在成熟度低的组织里一次性导入完整体系往往失败：制度多、执行少。更可行的路径是先做隔离、台账这类基础项，再逐步建立流程与度量，让每一步都能被验证。