ikepyonのだめ人間日記

セキュリティに関することを書いていく予定。

CMM

ということでCMMのレベルの定義を明確にしてみた。

レベル 成熟度 詳細
レベル1 初期レベル 特に管理もなされておらず、逐次対応されている
レベル2 反復可能なレベル 部分的に管理されており、一部の手順については確立している
管理手法・手順が定義されているが組織内でオーソライズされていない
レベル3 定義されたレベル 管理手法・手順が明確に定義されている
管理手法・手順が組織内でオーソライズされている
レベル4 管理されたレベル 全ての管理手法・手順が関係者に周知され、実行されている。
品質の計測手法が明確に定義され、それに基づいて品質が管理されている。
レベル5 改善できるレベル 継続的に管理手法・手順が改善できている

構成管理についての質問項目の一部はこんな感じかなぁ?

対象 レベル 内容
構成管理ポリシー レベル1 構成管理ポリシーが明確に定義されていない
  レベル2 構成管理ポリシーは明確に定義されていないが、関係者内で共有の知識としてポリシーが存在する
  レベル3 構成管理ポリシーが明確に定義されており、組織内でオーソライズされている
  レベル4 構成管理ポリシー準拠についての監査手法が確立している
  レベル5 構成管理ポリシーが定期的に見直され、変更があった場合には関係者に周知徹底されている

うーんわけがわからなくなってきたぞ。
レベル1はいいとして、レベル2では反復できることとなるので管理手順が定義(=明文化)されているが、組織内でオーソライズされていないってこと?レベル3では組織内でオーソライズされているのが重要で、レベル4では品質管理が出来る基準と組織内で管理手法・手順が周知されて、実行できることかなぁ?
レベル5は改善が可能と言うことで明確な目的が組織内で自ら出てくる状態かなぁ?
あー難しい。やり方も管理すべき項目を洗い出して、質問考えるのがよさそうだなぁ。
と言うのが今日一日の考えた成果かorz

会社の人に中途半端な状態でチェック頼んじゃったorz。申し訳ないことしちゃったなぁ。まだチェックしてないみたいだから、修正版を渡すか撤回しないとなぁ。ごめんね>会社の人(ってここ見てないか)