信息安全工程理論基礎(chǔ)之能力成熟度模型
4.能力成熟度模型
能力成熟度模型( Capahility Maturity Model,CMM)是一種衡量工程實施能力的方法,是一種面向工程過程的方法。CMM是建立在統(tǒng)計過程控制理論基礎(chǔ)上的,它基于這樣一個假設(shè),即“生產(chǎn)過程的高質(zhì)量和在過程中組織實施的成熟性可以低成本地生產(chǎn)出高質(zhì)量產(chǎn)品”。這種理論有點基督教的思想,就是“人在生時多做好事,死后就能上天堂”,強調(diào)了人生的整個過程,過程中如果高質(zhì)量,結(jié)果通常是好的。事實也是這樣的,據(jù)統(tǒng)計,所有成功企業(yè)的共同特點是都具有一組嚴(yán)格定義、管理完善、可測可控從而高度有效的業(yè)務(wù)過程。
能力成熟度(Capability Maturity,CM)是指一個具體的工程過程被明確地定義、管理、 評價、控制和產(chǎn)生實效的程度。所謂成熟度包含著能力的一種增長潛力,同時也表明了組織實施工程過程的實際水平。隨著組織工程過程成熟度能力的不斷提高,組織內(nèi)部通過對過程的規(guī)范化和對成員的技術(shù)培訓(xùn),工程過程也將會被它的使用者關(guān)注和不斷修改完善,從而使工程質(zhì)量、生產(chǎn)率和生產(chǎn)周期得到改善。CMM模型就是抽取了這樣一組好的工程實踐并定義了過程的“能力”。CMM有助于組織建立一個有規(guī)律的、成熟的過程。改進的過程將會生產(chǎn)出質(zhì)量更好的產(chǎn)品,避免產(chǎn)品項目的時間和費用超支。
注意:過程的改善不可能在一夜之間完成,CMM是以增量方式逐步引入變化的。
CMM明確地定義了5個不同的“成熟度”等級。一個組織可按一系列小的改進向更高的成熟度等級前進。CMM為工程的過程能力提供了一個階梯式的改進框架,它基于以往工程的經(jīng)驗教訓(xùn),提供了一個基于過程改進的框架圖,它指出一個組織在開發(fā)方面需要哪些主要工作,這些工作之間的關(guān)系,以及開展工作的先后順序,一步一步的做好這些工作而使組織走向成熟。
CMM的思想來源于已有多年歷史的項目管理和質(zhì)量管理,自產(chǎn)生以來幾經(jīng)修訂,成為具有廣泛影響的模型。盡管已有個人或團體提出了各種各樣的成熟度模型,但還沒有一個像CMM那樣在業(yè)界確立了權(quán)威標(biāo)準(zhǔn)的地位。CMM已經(jīng)被廣泛應(yīng)用于各領(lǐng)域的工程過程改進,如軟件工程領(lǐng)域有軟件能力成熟度模型( SW-CMM),傳統(tǒng)制造業(yè)領(lǐng)域有系統(tǒng)工程臺邑力成熟度模型( SE-CMM),安全工程領(lǐng)域有系統(tǒng)安全工程能力成熟模型(SSE-CMM)和系統(tǒng)安全工程能力成熟性模型評估方法( SSAM)等。