AG公司云
自测 | 怎样评估清静运营能力转型成熟阶段？
2021-06-25
一、小序
怀抱是清静运营的主要部分，对清静历程的怀抱使运营事情有的放矢，对清静态势的怀抱使清静运营的效果可视化 。
在2021 RSA大会中，《Building a Global Cyber Rating How to Objectively Rate Cyber Capabilities》枚举了网络清静能力怀抱中常见的问题：缺少对网络清静危害的全局视角、缺少权衡危害的一致性要领、缺少差别组织间的较量基准、缺少营业角度的危害丈量以及针对清静开支的判断能力等，导致评估效果无法充分验展作用；别的，CRO、CISO、执行向导等多种角色在网络清静上有各自的关注点，简单维度的清静状态评估通常无法同时知足各相关方的需求；建议综合多个维度建设全局怀抱模子，形成可靠的评估结论 。
《Building a Global Cyber Rating How to Objectively Rate Cyber Capabilities》
FireEye的议程《Your Metrics Suck! 5 SecOps Metrics That Are Better Than MTTR》则谈到古板的MTTR指标并不可有用地帮我们发明运营事情的缺陷，有意义的指标应为我们提供信心并推动厘革 。议程建议引入剖析事情、康健度、历程误差等指标，更有针对性地评估清静运营事情的有用性 。
《Your Metrics Suck! 5 SecOps Metrics That Are Better Than MTTR》
可见清静的模糊既是清静运营要解决的问题，也是清静运营自己保存的问题 。同时，“智慧清静3.0”理念提出了全场景、可信托、实战化的特征，对清静运营提出更高的要求 。
因此，我们提出网络清静运营能力成熟度模子，实验客观地评估清静运营的能力，并能在运营能力建设和生长历程中作为参考 。本文“网络清静”皆对应“Cybersecurity”，而不特指网络的清静 。
二、模子概述
清静运营是为了实现组织的清静目的，提出清静解决构想、验证效果、剖析问题、诊断问题、协调资源、解决问题并一连迭代优化的统筹治理历程，知足组织信息清静的动态性、一连性和整体性需求 。比照“清静运营”与“清静”，我们以为清静运营是坚持和提升清静状态与清静能力的历程 。
国际上已经有多个较量完善的清静能力成熟度模子，例如CMMC、C2M2、NIST CSF、SSE-CMM 。参考这些模子，我们在清静运营的语境下提出成熟度级别、历程域、能力类型三个维度，将清静运营能力划分为五个成熟度品级和多个历程域，各个历程域又从组织体制、流程规范、职员能力、手艺工具四个方面拆分为基本实践，各自凭证统一的方法评估历程成熟度 。总体结构如下：
三、 成熟度级别
参考CMM类模子，本模子包括的五个成熟度级别总体上凭证基本执行、妄想跟踪、充分界说、量化控制、一连刷新的思绪来划分，带入到清静运营的语境下 。然而清静的一连刷新自己就是清静运营的主要内容，因此级别的执行、界说、量化和刷新也都是针对清静能力提升的历程，而不直接等同于清静（执行）历程 。例如古板CMM的级别4要求实现历程的量化控制，而本模子在级别3要求实现清静执行历程的量化控制，由于这本就属于清静运营的焦点能力，在级别4实现清静运营历程与效果的量化治理 。各成熟度级别如下：
ML0 初始状态
无清静运营运动，清静能力不生长甚至可能随着威胁的生长而衰退 。
一样平常特征：特事特例地执行清静事情，没有制度化 。
注：这是没有开展清静运营事情的状态，不在五个成熟度品级内，为了明确区分也列在此处，基本对应SSE-CMM、CMMC等模子的一级 。
ML1 基础运维
执行最基本的清静运营事情，由外部因素推动维持基础清静状态 。
一样平常特征：
a. 被动、局部识别清静需求
b. 面向合规建设清静能力
c. 清静事情形成流程规范
d. 有妄想地执行清静事情
e. 提供基本的资源包管
典范状态：凭证合规要求安排了一些清静装备、设计了治理制度，按期巡检清静装备、处置惩罚发明的事务 。
ML2 历程刷新
有妄想地执行部分清静运营事情，对清静提升有一定的自动投入，能确�；镜哪芰μ嵘� 。
一样平常特征：
a. 识别主要网络清静威胁
b. 向导层牵头清静建设
c. 清静历程标准化
d. 清静历程包括刷新环节
e. 为清静能力提升提供须要的资源
典范状态：清静装备和流程制度较量完整，有自力的清静团队，实现一些跨团队流程，能够识别执行历程的问题并实验刷新 。
ML3 系统构建
周全建设清静运营系统，充分界说运营历程，治理和执行运营历程，有用提升清静状态 。
一样平常特征：
a. 自动、周全地识别网络清静威胁
b. 系统地妄想清静能力
c. 清静能力提升形成标准化历程
d. 对清静历程实现量化控制
e. 验证并包管清静机制的有用性
f. 清静事情效果可视化
g. 内外部相关方充分加入清静事情
h. 一连提升清静职员能力
典范状态：有一定规模的自力清静团队，建设了清静运营中心，有清静运营团队一连监控清静态势，凭证数据按期评估、刷新流程 。
ML4 运营量化
对清静运营历程实现量化的认知和控制，可定量评估运营效果，实现清静与营业的同步生长 。
一样平常特征：
a. 充分识别营业危害
b. 将营业目的转化为量化的清静目的
c. 形成系统的清静能力生长要领
d. 评估和控制清静能力提升历程有用性
e. 清静生长与营业生长坚持同步
f. 体现清静对营业的支持作用
典范状态：建设了较大规模的清静团队，岗位分工明确详尽，实现了富厚的营业清静能力，起劲引入清静运营的新手艺新要领并有用应用，内外部清静数据被充分挖掘使用 。
ML5 运营优化
一连有用刷新运营历程 。
一样平常特征：
a. 建设一连提升运营能力的机制
b. 在营业领域具备清静的开拓能力
c. 清静深度集成在组织的制度中
典范状态：建设了重大的清静团队，清静能力恒久坚持在行业领先位置，能够凭证营业生长偏向准确识别和实现自身清静需求 。
四、能力类型
模子从组织体制、流程规范、职员能力、手艺工具四个能力类型出发量化历程能力 。其中流程、职员、手艺是业内普遍接受的清静运营组成部分，但在这三者组成的系统建设之前，还需要确定清静目的、资源调配、相同协调等事情，因此模子增添了组织体制这一能力类型 。
1. 组织体制：组织体制关于设计并实现清静运营系统的包管能力，如架构调解、资源包管、职责分派、业绩审核等 。
2. 流程规范：清静运营历程相关的流程的规范性、完善性和有用性 。
3. 职员能力：清静运营历程相关职员的专业能力和清静通识能力，以及相关的能力建设 。
4. 手艺工具：支持清静运营中职员与流程运转以实现清静功效的手艺或工具 。
五、历程域
凭证模子的关注点，由一样平常的清静运营事情总结梳理出15个历程域，每个历程域代表清静运营中的一类事情历程，各历程内容不重叠，但相互关联配合配合实现清静运营目的 。
各历程域的内容在此暂不详细睁开，仅以资产治理为例展示各成熟度级别下的实践内容 。
PA01 资产治理
ML1 基础运维
组织体制
1. 清静战略包括资产治理
流程规范
2. 建设并维护资产清单
职员能力
3. 职员充分相识资产清单维护的历程
手艺工具：无
ML2 历程刷新
组织体制
1. 营业方配合资产治理流程
2. 建设事故处�；�
流程规范
3. 建设资产基线并有妄想地发明异常资产
4. 剖析异常并调解资产治理战略
5. 建设资产上下线清静治理流程
6. 明确资产责任人
职员能力
7. 能够识别异常资产情形泛起的缘故原由
手艺工具
8. 资产基线信息模板
9. 基于资产基线发明异常资产的手艺
ML3 系统构建
组织体制
1. 设计笼罩资产治理的清静系统，并将资产治理纳入组织级制度
2. 资产治理纳入各相关方考评系统
3. 建设专职团队肩负资产治理职责
流程规范
4. 基于营业情形建设资产分类分级治理规范和流程
5. 资产基线笼罩组件、版本、设置等详细信息并实验治理
6. 建设资产全生命周期治理流程
7. 建设资产治理历程的怀抱指标
8. 按期评估资产治理中各项步伐的有用性
9. 资产治理流程标准化并笼罩所有相关方
10. 识别资产治理历程保存的问题并刷新
职员能力
11. 建设笼罩资产治理的知识库
12. 能够基于流程和知识库评估资产级别
13. 能够评估资产变换可能爆发的危害
14. 能够基于资产治理的纪录团结营业情形发明制度保存的问题
手艺工具
15. 识别资产组件、版本、设置等详细信息并与基线比照差别的手艺
16. 支持各相关方加入资产全生命周期治理流程的平台
ML4 运营量化
组织体制
1. 资产治理历程的刷新效果纳入考评系统
2. 明确营业生长目的
流程规范
3. 将营业生长目的拆解为量化的资产治理优化目的
4. 评估知识库对资产治理的提升作用
5. 针对各项提升资产治理能力的历程建设怀抱指标
职员能力
6. 职员具备运营历程执行和治理能力
7. 职员具备针对运营历程建设怀抱模子的能力
手艺工具
8. 准确、周全纪录资产治理执行和刷新历程数据的系统
9. 提供数据剖析能力的系统
ML5 运营优化
组织体制
1. 设立恒久清静目的
2. 设立运营优化岗位
流程规范
3. 一连剖析营业演化对资产治理的需求
4. 一连评估资产治理提升机制的有用性
5. 基于营业和数据剖析刷新资产治理运营机制
职员能力
6. 运营系统优化设计能力
手艺工具
7. 运营优化体制支持手艺与平台
五、 总结
近年来网络清静情形快速转变，手艺生长催生出云盘算、大数据、工业物联网等清静新场景，威胁的演进导致勒索软件、供应链威胁等新形态，网络清静法、关基条例、数据清静法等执律例则相继出台，在国产化、新基建、数字化等浪潮中，客户需要能够无邪应对清静情形转变、快速响应、自顺应的清静能力，而这正是清静运营要面临的问题 。
围绕智慧清静3.0“全场景 可信托 实战化”的理念系统，我们也在重新审阅和明确清静运营，本文的模子是一次起源的实验，我们将在以后的运营事情中进一步探索、实践和完善 。
