📘 合规成熟度模型基础

成熟度模型概念 · CMMI · CMMC 框架

📌 1. 成熟度模型概念 Maturity Model Concept

成熟度模型 是一种用于评估组织在特定领域能力水平的框架，描述从混乱、初始级到优化级的发展路径。它提供阶梯式的改进指南，帮助组织识别当前状态、设定目标并持续提升。

核心思想 — 任何过程都存在一个自然进化路径：从无序到规范，从被动到主动优化。
关键维度 — 人员、过程、技术、度量、治理。
典型等级 — 通常分为5级：初始级、已管理级、已定义级、量化管理级、优化级。
应用价值 — 建立基线、识别差距、规划改进、衡量进展。

⚙️ 2. CMMI 模型简介 Capability Maturity Model Integration

CMMI 由美国卡内基梅隆大学软件工程研究所（SEI）开发，是软件及系统工程的成熟度标准。它提供过程改进的指导，已被广泛用于合规、信息安全、风险管理等领域。

成熟度等级	名称	特征
1	初始级	过程不可预测，依赖个人英雄
2	已管理级	项目级有基本管理，可重复
3	已定义级	组织级标准过程，主动管理
4	量化管理级	统计与量化控制，可预测
5	优化级	持续改进，创新驱动

📈 CMMI 表示法

阶段式 (成熟度等级)
连续式 (能力等级)

合规领域常采用阶段式，直观展示整体成熟度。

CMMI V2.0 · 治理视角

🛡️ 3. 合规成熟度模型 (CMMC) 框架 Cybersecurity Maturity Model Certification

CMMC 是美国国防部（DoD）针对网络安全的成熟度认证模型，融合了多个标准（NIST SP 800-171, CMMI等）。它定义了从基础网络 hygiene 到高级/主动防御的成熟度等级，适用于供应链合规。

CMMC 等级	核心实践	合规成熟度特征
1	基础防病毒、密码、访问控制	反应式，无正式文档
2	安全策略、意识培训、物理安全	已建立基本流程
3	风险管理、事件响应、供应链	标准化、可重复
4	高级检测、自动化、量化指标	量化管理、预测能力
5	自适应架构、持续优化、AI防御	优化级、主动弹性

📋 成熟度评估伪代码示例

// 合规成熟度快速评估 (伪代码)
function assessComplianceMaturity(domain) {
    let level = 1;
    if (domain.hasBasicControls) level = 2;
    if (domain.hasDefinedProcess) level = 3;
    if (domain.hasQuantitativeMetrics) level = 4;
    if (domain.hasContinuousOptimization) level = 5;
    return `当前成熟度等级: ${level}`;
}
// 输出示例: "当前成熟度等级: 3"