2. 策略治理成熟度评估

策略治理成熟度评估，本质上是回答三个问题：我们现在的策略管理处在什么水平？与目标水平差在哪里？先补哪一块最划算？如果没有统一的成熟度模型，评估很容易退化成“凭感觉打分”；如果没有可量化的维度与指标，差距分析就无从落地；如果没有优先级排序，优化清单就会变成一张永远做不完的待办列表。本节围绕成熟度模型、评估维度与指标设计、现状调研方法、差距分析和评估报告输出五个环节展开。

一、成熟度模型：给策略治理定一把尺子

策略治理成熟度模型通常采用五级递进结构，每一级对应不同的管理特征与能力表现。级别越高，策略从“被动响应”走向“主动治理”，从“人工经验”走向“数据驱动”。

需要强调的是，成熟度等级不是越高越好，而是要与组织规模、业务复杂度和合规压力匹配。一个只有几十台服务器的企业，强行追求 L5 的自动化优化，投入产出比可能并不合理。评估的目的是找到“当前等级”与“合理目标等级”之间的差距，而不是盲目攀级。

二、评估维度与指标设计

成熟度模型给出等级，评估维度则决定从哪些角度去测量。建议从六个维度设计指标，每个维度下设 2～4 个可采集、可判断的指标。

• 策略覆盖度：关键资产、关键业务系统是否都有对应策略。指标示例：策略覆盖率 = 已关联策略的关键资产数 / 关键资产总数 × 100%。
• 策略规范性：命名、分类、模板、审批是否符合标准。指标示例：模板符合率、命名规范率。
• 生命周期管理：策略是否经过创建、评审、发布、变更、下线完整流程。指标示例：定期评审完成率、平均策略老化天数。
• 执行一致性：策略在多个设备或平台上的实际配置是否与基线一致。指标示例：配置漂移率、冲突策略数量。
• 度量与可视化：是否有策略命中、拒绝、告警等运行数据。指标示例：策略命中率、无效策略占比。
• 组织与流程：是否有明确责任人、评审机制和变更流程。指标示例：策略责任人覆盖率、变更审批及时率。

指标设计要遵循“可采集、可比较、可行动”三原则。例如“策略老化天数”可以从策略台账的“最后评审日期”自动计算，超过 180 天未评审即标记为老化，这样差距分析时就能直接定位到具体策略。

三、现状调研方法

现状调研不能只靠问卷。推荐采用“文档审查 + 系统采集 + 人员访谈 + 抽样验证”四结合的方式。

1. 文档审查：收集现有策略文档、审批记录、变更工单，检查是否有台账、模板和评审记录。
2. 系统采集：从防火墙、WAF、IAM、云安全组等平台导出策略配置，统计策略总数、重复策略、冲突策略、长期未命中策略。
3. 人员访谈：与策略管理员、运维、安全运营、业务负责人沟通，了解策略变更的实际路径和痛点。
4. 抽样验证：随机抽取 20～30 条策略，核对文档记录与实际配置是否一致，验证执行一致性。

四、差距分析与优先级排序

差距分析的核心是把“当前等级”与“目标等级”之间的差距，拆解到具体维度和具体策略对象上。常用方法是“维度得分对比 + 差距归因 + 影响评估”。

假设某组织目标为 L3，评估后各维度得分如下（示例数据，仅用于说明方法）：策略覆盖度 72 分、规范性 55 分、生命周期 48 分、执行一致性 60 分、度量可视化 35 分、组织流程 65 分。可以看出，生命周期和度量可视化是最大短板。

优先级排序建议采用“风险影响 × 改进成本”矩阵：高风险、低成本的事项优先做；高风险、高成本的事项制定专项计划；低风险、低成本的事项可批量处理；低风险、高成本的事项暂缓或放弃。例如，清理长期未命中的无效策略属于“高风险、低成本”，应排在第一优先级；而建设策略自动化编排平台属于“高成本”，可放在后续阶段。

五、输出评估报告与优化优先级

评估报告不是数据堆砌，而是决策依据。一份可执行的报告应包含五部分：评估范围与基线、各维度得分与证据、差距与归因、优化优先级排序、行动计划与责任分工。

在优先级排序时，建议使用“风险影响 × 改进成本”矩阵，并给出明确的判断阈值。例如：

• P1（立即执行）：影响高、成本低。如清理 180 天未命中的无效策略、修复配置漂移。
• P2（专项规划）：影响高、成本高。如建设策略自动化编排平台、引入策略度量看板。
• P3（批量处理）：影响低、成本低。如统一策略命名模板、补充责任人字段。
• P4（暂缓或放弃）：影响低、成本高。如全量策略重构，除非有合规硬性要求。

最后，评估报告应给出可量化的目标。例如：90 天内将策略覆盖率从 72% 提升到 90%，将策略老化率从 35% 降到 15%，将冲突策略数量从 28 条降到 5 条以内。这些目标既是改进方向，也是下一轮成熟度评估的输入，形成“评估—优化—再评估”的持续治理闭环。