月度归档： 2013 年 12 月

构建信息安全管理体系主要步骤

信息安全管理体系是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合，是涉及到人、程序和信息技术(Information Technology)系统。

　建立健全信息安全管理体系对企业的安全管理工作和企业的发展意义重大。首先，此体系的建立将提高员工信息安全意识，提升企业信息安全管理的水平，增强组织抵御灾难性事件的能力，是企业信息化建设中的重要环节，必将大大提高信息管理工作的安全性和可靠性，使其更好地服务于企业的业务发展。其次，通过信息安全管理体系的建设，可有效提高对信息安全风险的管控能力，通过与等级保护、风险评估等工作接续起来，使得信息安全管理更加科学有效。最后，信息安全管理体系的建立将使得企业的管理水平与国际先进水平接轨，从而成长为企业向国际化发展与合作的有力支撑。

参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全合理水平，从而保证业务的有效性与连续性。建立信息安全管理体系的步骤：　　强化员工的信息安全意识，规范组织信息安全行为；

　　对组织的关键信息资产进行全面系统的保护，维持竞争优势；

　　在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；

　　使组织的生意伙伴和客户对组织充满信心；

　　如果通过体系认证，表明体系符合标准，证明组织有能力保障重要信息，提高组织的知名度与信任度；

　　促使管理层坚持贯彻信息安全保障体系。

　信息安全管理体系（ISMS）是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面、科学的安全风险评估。ISM体现预防控制为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。

　构建信息安全管理体系（ISMS）不是一蹴而就的，也不是每个企业都使用一个统一的模板，不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过以下几个主要步骤：

　1、信息安全管理体系策划与准备

　策划与准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及人力资源的配置与管理。　　2、确定信息安全管理体系适用的范围

信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。

　3、现状调查与风险评估

　依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。

　4、建立信息安全管理框架

建立信息安全管理体系要规划和建立一个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。

　5、信息安全管理体系文件编写

　建立并保持一个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有：安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。

　6、信息安全管理体系的运行与改进

信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

　　7、信息安全管理体系审核

　体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础；外部审核由外部独立的组织进行，可以提供符合要求的认证或注册。　　至于应采取哪些控制方式则需要周密计划，并注意控制细节。信息安全管理需要组织中的所有雇员的参与，比如为了防止组织外的第三方人员非法进入组织的办公区域获取组织的技术机密，除物理控制外，还需要组织全体人员参与，加强控制。此外还需要供应商，顾客或股东的参与，需要组织以外的专家建议。信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。

　当前，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、DoS攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉。组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。

许多信息系统本身就不是按照安全系统的要求来设计的，所以仅依靠技术手段来实现信息安全有其局限性，所以信息安全的实现必须得到管理和程序控制的适当支持。确定应采取哪些控制方式则需要周密计划，并注意细节。信息安全管理至少需要组织中的所有雇员的参与，此外还需要供应商、顾客或股东的参与和信息安全的专家建议。

ISO20000认证的基本条件和所需提供的材料

一、申请ISO20000认证的基本条件

1、中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件；外国企业持有关机构的登记注册证明。

2、申请方的IT服务管理体系已按ISO/IEC 20000-1:2011标准的要求建立，并实施运行3个月以上。

3、至少完成一次内部审核，并进行了管理评审。

4、信息技术服务管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。

二、申请ISO20000认证所需提供的材料

1、组织法律证明文件，如营业执照及年检证明复印件；、

2、 组织机构代码证书复印件；

3、申请认证体系有效运行的证明文件（如体系文件发布控制表，有时间标记的记录等复印件）；

4、申请组织简介：

4.1、组织简介（1000字左右）；

4.2、申请组织的主要业务流程；

4.3、组织机构图或职能表述文件；

5、申请组织的体系文件，需包含但不仅限于（可以合并）：

5.1、服务管理方针和计划；

5.2、服务级别协议；

5.3、能力管理流程；

5.4、服务连续性和可用性管理流程；

5.5、服务级别管理流程；

5.6、服务报告流程；

5.7、信息安全管理流程；

5.8、IT服务预算和核算流程；

5.9、业务关系管理流程；

5.10、供方管理流程；

5.11、事件及服务请求管理流程；

5.12、问题管理流程；

5.13、配置管理流程；

5.14、变更管理流程；

5.15、发布管理流程；

5.16、整个体系文件的结构和清单。

6、申请组织体系文件与ISO/IEC 20000-1:2011（E）要求的文件对照说明；

7、申请组织内部审核和管理评审的证明资料；

8、申请组织记录保密性或敏感性声明；

　　　咨询顾问可分为五阶段为：

　　一、前期调查研究阶段：

　　前期调查研究的主要工作是对组织/企业现状进行了解和分析，确定项目实施范围和详细计划，并对现有的体系结构进行梳理，评估目前的服务管理水平和业务对IT服务的需求；

　　二、体系建设阶段：

　　体系建设包括两个方面，第一是CMDB数据库的搭建，通过对被管系统和配置项的分析，建立一个完整且适用的CMDB是本项目的关键点之一；另一方面，按照ISO20000定义的各个领域分别建立管理流程和文件系统，并举办教育培训，包括要求的四级文件结构，是本项目工作量最大的部分，本阶段需要项目小组成员的全力配合，尤其是三级文件和四级文件的建置。

　　三、推广和试运行阶段：

　　在管理流程和体系建立完成后，通过教育培训和宣传方式在公司内部推广新的管理制度，并在运行过程中收集数据和事故；同时，咨询顾问将对公司内审人员进行教育培训，内审人员在咨询顾问的协助下，对试运行阶段的体系流程进行两阶段的内部审核，修正内部审核中发现的不符合事项或在运行阶段可选择阶段性评审(Stagereview)。

　　四、评审认证阶段：

　　通过内部审核后，项目进入外部评审和验证阶段，项目组成员配合认证机构先后进行书面评审（第一阶段评审）和正式评审（第二阶段评审）或之前可选择预评，在评审过程中针对发现的问题和缺失进行改善，最终获颁证书。

　　五、持续改进阶段：

　　认证通过后，专家顾问组在获颁证书后的两年时间中，分两次对项目实施情况进行再评估和持续改善，进行追踪评审。

取得ISO20000认证的步骤：

1.准备

1) 明确认证的意义；
2) 确定IT服务管理认证范围；
3) 确立愿景，决定服务管理改进的方面与改进的顺序；
4) 明确认证活动的参与方面，确定各方所期望的收益；
5) 全面地理解认证的内容，明确认证活动对个人和对组织的影响；
6) 获取信息：与相似规模、职能的组织交流经验，向咨询顾问、培训提供机构、相关论坛和用户组织咨询
7) 获得高层管理者的支持；
8) 获得ITIL、ISO20000的知识和文档；
9) 选定一家认证机构，确认审核的范围。

2.初步评估与计划制定

1) 进行初步的评估、掌握现状并进行差距分析；评估明确需改进的方面；管理在认证过程中的风险。
2) 制定整体的计划，获得相关方面的支持与承诺。

3.缩小差距

1) 建立、管理服务改进计划 (PDCA环);
2) 根据ISO 20000：《服务管理规范》进行详细的评估；
3) 借鉴ISO 20000、ITIL，制定具体的服务管理的政策、流程、步骤；
4）实施服务管理流程；
5）改进服务管理的政策、流程、步骤；
6) 定期检查和回顾。

4.认证审核准备

1) 如有必要，联系认证机构进行内审，为正式的审核预定时间；
2) 与认证机构充分交流以建立对审核范围、审核内容的共同理解；
3) 准备审核所需要的“证据”：文档，记录，等等。

5.认证审核

典型的认证审核包括：

1) 协定参考标准和审核范围的条款；
2) 离场的对文档和流程的评估；
3) 现场的对员工和流程的审核；
4) 审核结果的陈述。

如果达到ISO 200000 体系要求，将进行ISO 20000认证陈述，颁发证书。

6.维护

认证的有效期为三年；所以，每三年，需要进行一次全面的认证审核。每年都须由认证机构进行“监督审核”，以确保认证质量，确保服务管理的持续改进。组织需要根据ISO 20000的要求，进行内部审核。

过程稳定是CMMI高级别量化管理的必要条件，过程稳定性是过程管理和过程改进工作的核心，它还可以为管理者预测过程未来的性能并制定可行的计划。那如何来判定要量化管理的子过程是稳定的呢？

[稳定性度量]
可采用以下步骤来度量并判定选择的过程是否稳定：

1.依据需求寻找需量化管理的子过程；
该子过程应对产品质量和工作目标起到关键作用。

2.识别该子过程的绩效属性和特征；
子过程的属性特征通常是统计度量的指标。

3.选择合适的统计学分析技术；
选择适当的控制图有赖于数据分布模型，和要解决的问题目标。

4.度量子过程或产品的属性和特征；
通过一段时间的过程度量，获取相关数据，建立过程量化管理。

5.建立过程绩效基线和（偏差）范围；
将控制范围确定在通常的3e。

6.植入并分析当前过程数据分布情况，并判断过程稳定性。
如数据都分布在中心线上下二侧，而且在3e控制范围之内，则可推断该过程至少在度量期间或该类型任务活动是稳定的。
如数据分布超出控制范围或出现非随即行为，则推断过程不稳定。

7.排除不稳定原因，修正过程绩效基线和控制范围。
分析不稳定原因，判断该过程是否需要放弃量化管理，亦或可修正原因使该过程趋于稳定，建立有效的过程绩效基线和控制范围。

CMMI-ACQ采购模型简介

所谓CMMI-ACQ即CMMI for Acquisition采购模型。该模型基于CMMI模型基础架构，整合了CMMI采购模型、软件采购模型以及政府及产业采购的最佳实践等，用于指导采购方进行采购管理。该模型适用于政府、电信、金融等各领域的采购管理。

CMMI-ACQ采购模型最新版本是CMMI for Acquisition v1.3版本。该模型基于CMMI模型体系架构，整合了CMMI采购模型、软件采购模型以及政府及产业采购的最佳实践等，用于指导采购方进行采购管理。

CMMI-ACQ采购模型是美国SEI所推出适用于信息采购的能力成熟度整合模式。CMMI-ACQ针对CMMI-DEV<的采购方量身订制一套从采购规划、招标选商、履约监控、移转结案等全程的流程对应设计，其间彼此负责的产出与串接都有明确的规划。 CMMI-ACQ草案初稿乃是植基于CMMI的核心流程领域(亦即，涵盖专案管理、组织与支援过程领域的16个过程领域)、CMMI-AM、以及早期SA-CMM所建构而成。 这份报告也融入了多个想把为开发活动(Development)所制订之CMMI-DEV(已于8月25日正式发行是CMMI v1.2版)，调适于筹获组织的获取组织的意图。 CMMI-ACQ在为筹获取者或筹获专业领域(acquisition discipline)的CMMI框架应用提供指导。 这些执行方法主要在于供应者选择、供应者协议的起草、签订的必要活动，以及透过一组标准的量度、验收准则及供应者交付项目，来管理产品与服务的筹获。 CMMI-ACQ草案初稿整合了对于筹获者来说至为重要的知识体系，透过这些知识体系的整合，使得本报告可以为筹获者，在与供应者一起发展及维护产品与服务时，提供周延的解决方案。 CMMI-DEV可以视为供应者在获取提案范围内，执行系统工程、软体发展、及硬体设计工作时的一项参考。 CMMI-ACQ共有22个流程领域与CMMI架构一样采一个模式两种表述型态呈现，于阶段式表述，所有的流程领域仍然分配到ML2至ML5。 ML2有8个流程领域(需求管理、专案规划、专案监控、流程与产品品质保证、度量与分析、建构管理、筹获管理及招标与供应商管理)，ML3有10个流程领域(组织流程专注、组织流程定义、组织训练、整合专案管理、风险管理、决策分析与解决方案、筹获技术解决方案、筹获需求发展、筹获验证及筹获确认)，ML4有2个流程领域(组织流程绩效及量化专案管理)，ML5有2个流程领域(组织创新与推展及原因分析与解决方案)。 于连续式表述，则不同于CMMI-AM将16个核心流程领域分为流程管理(组织流程专注、组织流程定义、组织训练、组织流程绩效及组织创新与推展)、专案管理(需求管理、专案规划、专案监控、整合专案管理、风险管理及量化专案管理)与支援(流程与产品品质保证、建构管理、度量与分析、决策分析与解决方案及原因分析与解决方案)三个类别(Categories) ，另外个4非核心流程领域(筹获技术解决方案、筹获需求发展、筹获验证及筹获确认)以及2个筹获独特流程领域(筹获管理及招标与供应商管理)则纳入筹获此类别。

	Name	Abbr	ML	CL1	CL2	CL3	CL4	CL5
1	需求管理 / Requirements Management	REQM	2
2	事件和请求管理 / Incident and Request Management	IRM	2
3	项目计划 / Project Planning	PP	2	Target Profile 2
4	专项监控 / Project Monitoring and Control	PMC	2
5	供货商协议管理 / Supplier Agreement Management	SAM	2
6	度量与分析 / Measurement and Analysis	MA	2
7	流程与产品质量保证 / Process and Product Quality Assurance	PPQA	2
8	结构管理 / Configuration Management	CM	2
9	组织流程专注 / Organizational Process Focus	OPF	3
10	组织流程定义+IPPD / Organizational Process Definition +IPPD	OPD +IPPD	3
11	组织培养 / Organizational Training	OT	3
12	组织服务管理 / Organizational Service Management*	OSM*	3
13	服务交付 / Service Delivery	SD	3
14	服务系统发展 / Service System Developmenbt*	SSD	3					td>
15	服务转换 / Service Transition	ST	3
16	整合的项目管理+IPPD / Integrated Project Management +IPPD	IPM +IPPD	3
17	风险管理 / Risk Management	RSKM	3
18	容量与可用度管理 / Capability and Avaliability Management	CAM	3
19	服务持续性 / Service Continuity*	SCON*	3
20	决策分析与解决方案 / Decision Analysis and Resolution	DAR	3
21	故障管理 / Problem Management	PRM	3
22	组织流程绩效 / Organizational Process Performance	OPP	4	Target Profile 4
23	量化项目管理 / Quantitative Project Management	QPM	4
24	组织创新与发展 / Organizational Innovation and Deployment	OID	5	Target Profile 5
25	原因分析与解决 / Causal Analysis and Resolution	CAR	5

CMMI-SVC服务模型简介

所谓CMMI-SVC即CMMI for Services服务模型。该模型的第一个发布版由SEI于2009年发布。CMMI-SVC服务模型最新版本是CMMI for Services v1.3版本。该模型可以应用于IT服务、医疗卫生、教育等各类服务领域。

CMMI-SVC服务模型有24个流程领域。其中包括16个基础流程领域(可与其他CMMI模式共用)、1个共用的流程领域(供应商协议管理)、6个服务特定的流程领域以及1个附加的流程领域。这6个服务特定的流程领域聚焦于能力与可用度管理、服务持续性、服务交付、事件解决方案与预防、服务移转、服务系统发展及策略服务管理。服务系统发展为附加的流程领域。

该模型采用了CMMI的基础架构，在此基础上增加了服务相关的特有过程域。对于已经实施CMMI- DEV 的企业，提供了快速、便捷的理解和导入机制。

CMMI-SVC模型吸收了ISO20000、ITIL等服务相关标准的优点，并采用了CMMI的框架结构形成。在服务领域，提供了战略服务管理、服务系统开发、服务系统转移、服务交付、服务持续性、能力和可用性管理、事件解决和预防等服务直接相关的过程域。

发展服务业，可以提升產业附加价值、强化核心竞争优势、创造更多就业机会，服务业是全球经济成长重要的推手。「服务经济」(Service Economy)已然成型并成為全球经济趋势，更是世界各国未来经济成长的主要动能。然而资讯科技日新月异与无所不在的特性，让服务提供者与服务使用者在如何有效运用与管理 ICT，藉以提升竞争力的议题上面临重大挑战。这时 CMMI –SVC 在上述的议题中则可提供如何提高服务绩效和服务水準的实务作法，从 CMMI 模型架构上逐渐提升服务管理与服务交付的能力度或成熟度。

CMMI-SVC 为美国卡内基美隆大学软体工程学院 SEI (Software Engineering Institute)汇集来自政府单位与產业界最佳执行方法的研究成果，范围涵盖 IT 服务管理并充分运用 CMMI 共通模型架构、观念及流程领域特性编制而成，除原本 16 个基础流程领域外，针对服务作业的特性另外提供能力与可用度管理、事件解决方案与预防、服务持续性、服务交付、服务系统发展、服务系统转换及策略服务管理共 7 个流程领域，除让服务供应商可应用 CMMI 最佳实务来改善给客户及使用者的服务品质与绩效外，CMMI-SVC 也可用来进行服务相关流程的评鑑，提供致力於改善流程活动的组织作為参考。

	Name	Abbr	ML	CL1	CL2	CL3	CL4	CL5
1	需求管理 / Requirements Management	REQM	2
2	合同管理 / Agreement Management	AM	2
3	采集需求管理 / Acquisition Requirements Management	ARM	2
4	项目计划 / Project Planning	PP	2	Target Profile 2
5	专项监控 / Project Monitoring and Control	PMC	2
6	招标与供应商协议发展 / Solicitation and Supplier Agreement Development	SSAD	2
7	度量与分析 / Measurement and Analysis	MA	2
8	流程与产品品质保证 / Process and Product Quality Assurance	PPQA	2
9	结构管理 / Configuration Management	CM	2
10	组织流程专注 / Organizational Process Focus	OPF	3
11	组织流程定义+IPPD / Organizational Process Definition +IPPD	OPD +IPPD	3
12	组织培养 / Organizational Training	OT	3
13	采集技术管理 / Acquisition Technical Management	ATM	3
14	采购确认 / Acquisition Verification	AVEL	3
15	采购生效 / Acquisition Validation	AVAL	3
16	整合的项目管理 / Integrated Project Management +IPPD	IPM +IPPD	3
17	风险管理 / Risk Management	RSKM	3
18	决策分析与解决方案 / Decision Analysis and Resolution	DAR	3
19	组织流程绩效 / Organizational Process Performance	OPP	4	Target Profile 4
20	量化项目管理 / Quantitative Project Management	QPM	4
21	组织创新与发展 / Organizational Innovation and Deployment	OID	5	Target Profile 5
22	原因分析与解决 / Causal Analysis and Resolution	CAR	5

CMMI-DEV开发模型简介

一、CMMI-DEV简介

CMMI（Capability Maturity Model Integration）能力成熟度模型集成，是SEI于2000年发布的CMM的新版本，目前CMMI已经发展到1.3版本，从2011年11月30日后，只接受1.3版本的评估结果。

CMMI-DEV开发模型最新版本是SEI于2010年11份发布的CMMI for Development v1.3版本。该版本主要用于软件工程、硬件工程等产品开发领域。

所谓CMMI-DEV即CMMI for Development开发模型。该模型是目前在全国使用最广的模型，通常说的CMMI模型即指该模型，该模型主要用于软件工程、硬件工程、系统工程等产品开发领域。 该模型基本上覆盖了产品研发的各个过程领域，包括：项目管理、需求、设计、开发、验证、确认、配置管理、质量保证、决策分析以及对研发的改进和培训等一系列活动。 该模型按照成熟度等级的逐步提高，产品开发企业的产品研发风险越来越低，研发效率和质量越来越高。该模型自2000年进入中国以来，已经有1700多家企业通过了CMMI不同等级的评估。

CMMI-DEV开发模型是美国 SEI 所发行适用于发展的能力成熟度整合模式。CMMI-DEV 以「CMMI Model Foundation」为基础，并与数个发展组织合作修调CMMI 以便发展业使用。此模式的最佳实务着重于对客户及用户提供有质量的发展活动。CMMI-DEV 包含 22 个流程领域，其中有 16 个为核心流程领域，1 个为共同使用流程领域，并且有 5 个为 CMMI-DEV 所专有的流程领域。所有 CMMI-DEV 模式中的执行方法都是针对发展者组织的活动，其中 5 个专门针对发展相关之执行方法的流程领域分别为需求发展、技术解决方案、产品整合、验证及确认。

按照阶段式表达方式将成熟度分为五个等级，每个等级包含相应的过程域。

CMMI-DEV开发模型帮助生产服务开发组织整合他们的软件开发和系统工程来改进他们本身的性能和提高过程改进的效率。

CMMI认证共分为五级(以分段式表述而言)为第一级：初始级、第二级：已管理级、第三级：已定义级、第四级：量化管理级、第五级：优化管理级。

	名称/Name	缩写/Abbr	ML	CL1	CL2	CL3	CL4	CL5
1	需求管理 / Requirements Management	REQM	2
2	项目规划 / Project Planning	PP	2	Target Profile 2
3	专案监控 / Project Monitoring and Control	PMC	2
4	供货商协议管理 / Supplier Agreement Management	SAM	2
5	度量与分析 / Measurement and Analysis	MA	2
6	流程与产品质量保证 / Process and Product Quality Assurance	PPQA	2
7	建构管理 / Configuration Management	CM	2
8	组织流程专注 / Organizational Process Focus	OPF	3
9	组织流程定义+IPPD / Organizational Process Definition +IPPD	OPD +IPPD	3
10	组织训练 / Organizational Training	OT	3					p align=left>
11	需求发展 / Requirements Development	RD	3
12	技术解决方案 / Technical Solution	TS	3
13	产品整合 / Product Integration	PI	3
14	确认 / Verification	VER	3
15	验证 / Validation	VAL	3	Target
16	整合的项目管理+IPPD / Integrated Project Management +IPPD	IPM +IPPD	3
17	风险管理 / Risk Management	RSKM	3
18	决策分析与解决方案 / Decision Analysis and Resolution	DAR	3
19	组织流程绩效 / Organizational Process Performance	OPP	4	Target Profile 4
20	量化项目管理 / Quantitative Project Management	QPM	4
21	组织创新与发展 / Organizational Innovation and Deployment	OID	5	Target Profile 5strong>
22	原因分析与解决方案 / Causal Analysis and Resolution	CAR	5

(3) CMMI的相关产品

CMMI-SE/SW/IPPD/SS Continuous/Staged

CMMI-SE/SW/IPPD Continuous/Staged

CMMI-SE/SW/ Continuous/Staged

CMMI-SW Continuous/Staged

Appraisal Requirements for CMMI

Standard CMMI Appraisal Method for Process Improvement(SCAMPI) ：Method Definition Document

(4) CMMI与国际「软体发展标准」关连图

(5) 名词解释

SW-CMM	Capability Maturity Model (CMM) for Software
SA-CMM	Software Acquisition Capability Maturity Model
SE-CMM	System Engineering Capability Maturity Model
People CMM	People Capability Maturity Model
IPD-CMM	Integrated Product Development Capability Model
SECM	System Engineering Capability Model
DOD IPPD	DOD Guide to Integrated Product and Process Development
CMMI	Capability Maturity Model Integrated
MIL-STD 1679	Weapon System Software Development
DOD-STD-2167A	Defense Systems Software Development
DOD-STD-2168	Defense System Software Quality Program
DOD-STD-7935A	DOD Automated Information System Documentation Standards
MIL-STD-498	Software Development and Documentation
MIL-STD-499B	System Engineering
IEEE Stds	IEEE Software Engineering Standards
IEEE/EIA 12207	Industry Implementation of International Standard
SA-CMM1996SE-CMM1996SW-CMM1993People CMM1993IPD CMM

td>EIA/IEEE J-STD-016

Standard for Information Technology, Software Life Cycle Process, Software Development, Acquirer-Supplier Agreement
EIA 632	EIA Interim Standard 632, System Engineering
ISO/IEC 12207	Information Technology-Software Life Cycle Processes
ISO 15504	Information Technology-Software Process Assessment
ISO 9000	ISO 9000Standards
Trillium	Telecommunications Product Development and Support Capability
SDG	Software Development Guidelines

二、模式架构

流程是组织持续改善的掌控点。 CMMI的目的是提供指导原则，产品(或服务)之发展、采购及维护改善组织的流程及改善管理的能力。 CMMI将已认可的执行方法放在一个架构下，以帮助组织评鉴它的组织成熟度或流程领域能力，借此建立改善的优先顺序以落实改善。

组织可用CMMI模式，来设定流程改善的目标、优先顺序、改善流程，并提供指导原则以确保稳定、适任及成熟的流程。 CMMI能当作组织自我改善的指引。

在CMMI模式的两种表述中，包含有流程领域、特定目标、特定执行方法、一般目标、一般执行方法、典型的工作产品、细部执行方法、注解、专业领域强化、一般执行方法详细说明与参考资料。

(1) Maturity Levels成熟度

组织成熟度提供在某些特定的专业领域下，预测组织未来绩效表现的方法。 经验显示，在组织改善的过程中，流程领域的复杂性会不断增加，若组织能专注于一组可掌握的流程领域，将会有最佳的绩效表现。

成熟度是经过定义的进阶式流程改善的指标。 每一成熟度是稳定组织流程的重要部分。 每达成一级成熟度，即代表组织流程能力的增进。

共有由一到五个成熟度阶段，每一阶段成熟度都是下一阶段流程改善的基础：

A.成熟度第二级的流程领域

包含如下：

(A)需求管理(Requirements Management)管理专案产品与产品组件之需求，并且界定专案计画、工作产品与需求这两者之间，是否有不一致的情形。

(B)专案规划(Project Planning)建立并维护定义专案活动的计画。

(C)专案监控(Project Monitoring and Control)提供对专案进度的了解，使得当专案绩效明显偏离原先计划时，能采取适当的矫正措施。

(D)供应商协议管理(Supplier Agreement Management)管理和专案有正式协议的供应商之产品与服务的采购。

(E)度量与分析(Measurement and Analysis)发展并维护支援管理资讯所需的度量能力。

(F)流程与产品品质保证(Process and Product Quality Assurance)提供员工和管理阶层，对于流程与相关工作产品客观的观察

(G)建构管理(Configuration Management)建立并维护藉由建构识别、建构管制、建构状态记录及建构稽核，使工作产品具完整性。

B.成熟度第三级的流程领域

包含如下：

(A)需求发展(Requirements Development produces)提供客户、产品与产品组件的需求与分析，这些是发展与了解所需的。

(B)技术解决方案(Technical Solution)用以发展、设计与实作对于需求的解决方案。 解决方案、设计与实作，适当地涵盖产品、产品组件以及产品相关单一或组合的流程。

(C)产品整合(Product Integration)将产品组件组合成产品，确保产品已经整合、运作正常，并交付客户。

(D)验证(Verification)确保工作产品符合特定的需求。

(E)确认(Validation)证明产品或产品组件，于特定的环境下，确实能发挥特定的功能。

(F)组织流程专注(Organizational Process Focus)建立并维护组织流程与流程资产的了解，并且界定、规划及执行组织流程改善活动。

(G)组织流程定义(Organizational Process Definition)建立并维护可使用的组织流程资产。

(H)组织训练(Organizational Training)发展人员的技巧与知识，使他们能有效地执行其角色。

(I)整合的专案管理(Integrated Project Management)，根据调适组织标准流程得的整合的已调适流程，建立并管理专案和其关键人员。 它也涵盖建立专案共同愿景及整合团队结构，以完成专案目标。

(J)风险管理(Risk Management)界定风险发生前的潜在问题，使在达成目标之前的生命周期期间，在有需要时，能规划风险处理活动，以降低不利的冲击。

(K)决策分析与解决方案(Decision Analysis and Resolut)于作决策时，使用结构化的方法，依照已建立的准则，评估各备选方案。

(L)适于整合之组织环境(Organizational Environment for Integration)提供整合的专案管理之基础环境，并管理人员以利整合。

(M)整合团队合作(Integrated Teaming)形成并维持整合的团队以发展工作产品。

C.成熟度第四级的流程领域

包含如下：

(A)组织流程绩效(Organizational Process Performance)建立并维护组织标准流程绩效的量化了解，并提供流程绩效的资料、基准与模式，以数量化管理组织的专案。

(B)数量化专案管理(Quantitative Project Management)数量化管理专案的已调适流程，以达成该专案所建立的品质与流程的绩效目标。

D.成熟度第五级的流程领域

包含如下：

(A)组织创新与推展(Organizational Innovation and Deployment)选择与推展渐进的与创新的改善活动，可度量地改善组织的流程与技术。 这种改善，支援由组织经营目标所衍引的组织品质与流程绩效目标。

(B)原因分析与解决方案(Causal Analysis and Resolution)界定缺失的原因与其他的问题，并采取预防措施，避免这些缺失在未来再发生。

(2) Specific Goals特定目标

特定目标仅适用于单一的流程领域，并强调此唯一的特征，说明有哪些是必须要执行以符合该流程领域。 目标是必要的模式组件，在评鉴时，用于确定某流程领域是否能符合目标。

(3) Specific Practices特定执行方法

特定执行方法是对应于特定目标的活动，对达成特定目标是重要的。 特定执行方法说明一组活动，这组活动被期望可以达成流程领域的特定目标。

(4) Generic Goals一般目标

一般目标可适用于所有的流程领域。 各流程领域中，一般目标之达成与否，代表各流程领域的执行与制度化，是否为有效、可重复与持久的。 一般目标和一般执行方法将在第四章中说明。

(5) Common Features共通特性

四个共通特性组成了各流程领域的一般执行方法。 共通特性的名称是助益的模式组件。 这种组合只是提供一种方式，来表现一般执行方法。 在模式中的每一共通特性，都用缩写字来代表。

A.执行承诺(CO)：集合所有与制定政策和确保支援有关的一般执行方法，以寻求流程改善的努力。

B.执行能力(AB)：集合所有用来确保组织及/或专案有充分资源的一般执行方法，以寻求流程改善。

C.督导实行(DI)：集合所有与搜集、度量和资料分析有关的一般执行方法。 其目的在于观察流程的绩效。

D.验证实行(VE)：集合所有验证专案及/或组织活动有关的一般执行方法，以验证其是否符合需求、流程与程序。

(6) Generic Practices一般执行方法

一般执行方法适用于任何流程领域，因为原则上，它们可以改善任何流程的绩效与控制。 一般执行方法，提供制度化的特性，确保流程领域为有效、可重复与持久的。 一般执行方法是期望的模式组件。

(7) Typical Work Products典型的工作产品

典型的工作产品是助益的模式组件，提供执行方法的产品范例。 这些范例，所以称为典型的工作产品，是因为还有其他的工作产品是有效的，只是未被列出而已。

(8) Subpractices细部执行方法

细部执行方法提供指引，对特定或一般执行方法的详细说明。 细部执行方法可说成是命令式的，但实际上是助益的模式组件，也就是说，细部执行方法仅提供意见，可用来或不用来做流程改善，并不具强制性。

(9) Discipline Amplifications专业领域强化

专业领域强化是助益的模式组件，包含与特殊专业领域或者特定执行方法相关的资讯。 例如：若在CMMI-SE/SW模式，你想找软体工程的专业领域强化，你可以去找「软体工程适用」的标签。

(10) Generic Practice Elaborations一般执行方法的详细说明

一般执行方法详细说明是助益的模式组件，出现在各流程领域，其目的在于说明一般执行方法，要如何应用于流程领域。 例如：一般执行方法的「依需要训练人员，以执行或支援已规划流程」，被整合至建构管理流程领域时，就是说明如何进行建构管理的特定训练。

三、模式应用

(1)流程改善与建立基准之评估

流程评鉴首重认定改善的机会。 组织应依经营与流程改善目标，以及经营与技术结合，而订定其优先顺序。 评鉴小组依CMMI模式的引导界定并列出发现事实的优先顺序。 所发现的事实，与模式的执行方法所提供的指引，将被(如：工程流程团队)用于规划组织改善的策略。 另外，多数组织为内在的目的与外部的客户及供应商，找到从事流程改善与基准化其进度之价值认知。

对于组织需要评鉴多种专业领域(例如，软体工程和系统工程)，整合后的CMMI做法，容许在模式训练与评鉴训练内使用较经济的做法。 一套评鉴方法能呈现多种专业领域独立运作或合并使用的结果。
另外，组织也许希望使用，例如，有限的B或C级评鉴方法，以连续式的表述致力于有经营价值意义的单独流程领域。 接着，基于较不寻常状况下，可能采用A级分段式的流程改善的标准CMMI评鉴方法(SCAMPI)对整个组织作其基准化之评估。

(2) CMMI评鉴需求

CMMI评鉴需求(ARC)是一系列基于CMMI产品发展、定义及使用所定的评鉴方法准则。 ARC提供多种评鉴方法需求，与决定特殊评鉴方法之适切性的指引。 适切性述及评鉴结果的正确性及可重复性。
ARC将CMMI模式当作其相关的参考模式。 CMM评估架构(CAF)V1.0原先推出仅用于描述与软体CMM相关的评鉴方法。 自从CMM纳入CMMI架构，ARC就被用来说明对新模式，以及对分段式与连续式的表述模式所造成影响。

(3)转换到CMMI

A.有软体CMM经验的组织

大部份组织原初转换到CMMI是要寻求修订流程改进工作，包括加入版本2.0C草案的改善，以增进组织与CMMI模式赋予生命周期之宽广度。 许多这类组织需要决定最好的时间点来转换，以保留计画达成的价值，例如，达成特定成熟度。

组织已达到高层级的成熟，或许希望更快转换，以取得诚如CMMI所述更多组织优势之利基。 这些组织会发现到本模式与传统(原来)模式 的高度共通性。 此外显著的改进包括：工程领域，更多细节在风险管理与度量及分析等，这些改进均为软体CMM所不能明确显现的。

B.有SECM经验的组织

组织流程改善的工作放在系统工程模式架构里也有类似的选择，这选择系来自考量现行改善工作的进展。 流程能力强调在这模式系列，相对于在SW-CMM所强调之多种流程领域，会使得转换选择机会更多。
EIA/IS 731演变涉及：(1)重新整理某些目标与流程领域内之特定执行方法；(2)新增辅助资料。 因而在初步转换步骤，可容许以现行特定执行方法改善努力，与在CMMI模式所预期的改善努力相比较。

C.无任何模式经验的组织

无任何模式经验的组织被假设为属两种类型之一。 其一为组织在其他品质计划下如ISO 9000或Malcolm Bridge已进行流程改善之努力；其二为组织已考量这类的努力方向，是因为那堆积如山之证据、这证据是坚持此承诺而得来之经营价值。

(4)训练

训练在组织能力使用CMMI上是主要的元素，也因此在整套产品里是关键的部份。 原初系列的课程是由SEI及接棒伙伴提供，贵组织或许要加入这些含有内部指导的课程。 该方法容许组织将注意焦点，摆在需要更多照顾的领域，因其关连到产品发展的价值链。

原初的训练都能满足两种CMMI模式表述，另有其他训练提供给需要做EPG改进之指引的，或其他寻求成为主评鉴员。

四、调适准则

调适CMMI模式是个流程，因此，仅有模式之子项可使之适用于特定应用上。

调适CMMI评鉴方法，是使用在特定评鉴所用的选项。 在两种案例，调适的意图是协助组织或专案，使其经营需要与目标能和CMMI产品相互一致的调整。 如此强调这方面的产品和服务，对组织是极有利的。

(1)模式 调适的观点

调适CMMI模式可由两个观点来看：

(A)调适与使用流程改善模式之关连

(B)调适与使用基准评估模式之关连

(2).内部流程改善的模式调适准则

内部流程改进，应予适当的限制，或扩大组织的或专案改善的努力(包括评鉴)范围。 调适，可以用来说明个别的专业领域、流程领域、成熟度及(或)能力程度。 模式之调适，应致力于界定流程领域及执行方法，以支援经营之需要及经营目标。

(3)基准评估的模式调适准则

作基准评估时使用CMMI模式的意图，容许跨业界透过最新颖的报告，或跨组织(如潜在供应商)来比较其流程评鉴结果。 当使用模式于多次评鉴的评等，及/或发现事实时，在这方面任何调适必须确保其结果之一致性。 因此，基准评估的模式调适是显然受限制的，特别在成熟度方面，此乃肇因于为市场行销而必须对外公开其评鉴。

(4)小型专案的模式调适

CMMI模式是为所有类型组织使用而撰写；然而，使用于小型组织此模式必须被解释。 3-6个月的小型专案案例，高阶的执行计画，为某些专案所发展的通常可以取得。 该高阶的执行计画会定义组织、资源、训练、管理阶层参与及品质保证，且为所属专案作报告描述。

相反的，专案计画内，详述专案的发展、发展流程、时程及成员的任务指定均被定义。 通常计画中也述及发展计画、品质保证计画及建构管理计画。 某一个四人小组的专案发展团队，可预期发展一本五页长的专案计画。 计画动态部份，如交付的时程及项目清单附在计画的附录内。

(5)评鉴调适准则

CMMI评鉴的主要的调适选择:

(A)建立评鉴范围，包括受评鉴的组织单位、受调查的CMMI流程领域和被评鉴的能力程度

(B)选择评鉴方法

(C)选择评鉴团队成员

(D)由评鉴的单位为访谈对象，选择评鉴的参与者

(E)建立评鉴输出(例如，评等、专案特定的发现事实)

(F)建立评鉴限制(例如，时间耗用在作业点)

除以上这些调适选择外，CMMI评鉴方法详述许多特殊调适的选项，基于考量特殊评鉴的目标，与组织及/或专案的经营目标。 CMMI评鉴计画及结果文件，必须随时包括所选用之调适选项的说明，以及任何其他调适模式。 该文件容许决定跨组织的评鉴结果，是对等相容的。

姓名	角色	职责
高级经理	SM	高级经理，主要是监督所有人的工作（项目经理，培训，EPG工作，质量保证人员，配置管理人员）和制定CMMI的发展。
培训负责人	OT	负责组织级培训活动（包括调查培训需求，制定培训计划，发送培训通知，协调讲师，审核教材，收集培训效果等）
质量保证人员	PPQA	监督公司的研发流程，培训活动，过程改进活动按照已定义的流程来执行。
工程过程组组长	EPG	EPG小组要求4~9个人，主要是负责公司的过程改进活动，制定标准体系，指导研发过程
配置管理人员	CM	主要负责管理项目中的重要的工作产品。
项目1
项目经理1	PM	负责制定项目计划；分配工作；监督项目进度，成本，质量；管理项目中的风险；做好项目沟通
开发人员1	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
开发人员1	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
测试人员1	T	主要负责做项目的集成测试，系统测试，验收测试等活动。
项目2
项目经理2	PM	负责制定项目计划；分配工作；监督项目进度，成本，质量；管理项目中的风险；做好项目沟通
开发人员2	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
开发人员2	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
测试人员2	T	主要负责做项目的集成测试，系统测试，验收测试等活动。
测试人员2	T	主要负责做项目的集成测试，系统测试，验收测试等活动。
项目3
项目经理3	PM	负责制定项目计划；分配工作；监督项目进度，成本，质量；管理项目中的风险；做好项目沟通
开发人员3	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
开发人员3	D	负责项目的需求开发与管理；根据需求制定设计文档；进行代码编写，进行单元测试
测试人员3	T	主要负责做项目的集成测试，系统测试，验收测试等活动。
注：测试人员可以兼开发人员，记一个是全职的，其它都可以是兼职的

工作名称/工作内容	描述
1、项目启动	实施周期：0.5个月
现状评估与企业诊断	通过现场访谈（5-10人）及企业当前过程体系、项目数据、文件的整理、分析，识别企业与模型差距。
编写CMMI 差距分析报告	数据整理分析；现状评估、差距分析和建议。
现状评估汇报	举办现状评估汇报，客户相关领导和项目成员参加。
建立过程改进工作组	识别客户内部参与过程改进人员，组建EPG、QAG、CMG及其他相关支持组，赋予过程改进工作职责。
制定过程改进计划（初步）	分解客户企业商业目标，识别过程改进目标及改进点，明确过程改进所需软硬件资源、基础设施（包括：改进文化、激励措施）及过程改进工作初步进度安排。
召开项目启动大会	管理层向公司全员：明确项目目标、范围、项目计划和人员安排。
工作名称/工作内容	描述
2、过程培训及定义	实施周期：2.5个月
2.1  CMMI过程培训	实施周期：0.5个月
CMMI 模型认知培训	介绍CMMI-DEV V1.3模型架构、制度化及模型使用方法。
CMMI2 PA解读培训	解读CMMI2 PA的目标不实践，在项目中如何开展具体工作指导。
CMMI PA解读培训	解读CMMI PA的目标不实践，在项目中如何开展具体工作指导。
过程改进专题培训	针对客户需要增强的专项能力进行培训指导。
2.2  CMMI过程定义	实施周期：2个月，培训开展1个月后启动，与后续培训工作并行开展
过程文件初始化和编写	提供CMMI体系过程、规程、标准及模板参考，并提供现场及远程文件体系编写指导。
过程文件整合及现场评审	将过程体系文件整合为标准过程体系，并对其进行正式评审，形成可发布版本。
3、过程试点	实施周期：3-5个月
过程文件发布和培训	所有过程文件都开发完成，管理层可以批准CMMI过程体系正式发布，并在评估要求的组织范围内进行人员培训。
过程试点确认及部署	确认体系执行的基础设施已到位。选择试点项目，并指导其过程体系文件的导入。
项目审计及过程优化	体系发布后第一个月、第二个月、第三个月分别进行项目审计, 撰写审计报告和改进建议，精化当前过程。
过程制度化及部署	确认体系执行的基础设施已到位。选择评估项目。
项目审计	对评估项目进行审计及客户过程文件达到CMMI级要求。
部署阶段总结	根据已部署过程在客户企业内部运行情况进行总结，为预评估做好准备。
4、项目验收	实施周期：1个月
4.1  CMMI预评估（1st Readiness Review）	实施周期：0.5-1个月
Introduction to CMMI	指定内审人员，参加SEI授权讲师进行的ATM成员资格培训。
评估准备	创建及固化评估输入（包括：评估范围、ATM成员、OU-Critical Factor、参评项目及其成员、计划评估日期）。
填写PIIDs戒PIIDs Review	指导ATM成员填写和（戒）审核PIIDs。
Conduct 1st Readiness Review	通过项目文档审查及访谈，确认是否可以启动正式评估工作。 识别过程改进弱项，给出初步改进建议和措施。输出预评估报告（Readiness Review Report）。
纠正弱项及问题	针对预评估发现的弱项及问题，参不纠正措施的设计、计划及实施。
初始化正式评估计划	创建正式评估计划（V0.1）。
基线化正式评估计划	由评估师不管理层确认评估计划，生成V1.0版的评估计划。
4.2  CMMI正式评估	实施周期：8个工作日
Conduct 2nd Readiness Review	EPG整理提交合部项目文档。 主任评估师确认评估工作准备就绪。
ATM培训	主任评估师向参与评估的小组成员（ATM成员）培训SCAMPI Class A方法。
正式评估	由主任评估师带领ATM成员开展SCAMPI Class A评估，识别企业过程改进强项、弱项，最终为企业定级。
	生成正式评估报告。并向企业管理层及员工汇报评估结果。
评估结果备案	由主任评估师将企业评估结果向SEI备案。