12.4
12.4 성숙도 자가 평가
이 가이드북의 모든 장은 실천이 보통 어떻게 진화하는지 기술하는 “성숙도 모델”로 끝납니다. 이 부록은 모든 장의 성숙도 모델을 하나의 참고 자료로 통합해, 팀, 영역, 또는 조직 전체를 한눈에 평가할 수 있게 합니다.
공유된 5단계 척도
모든 장이 같은 진행을 기술합니다. 정확한 표현은 장마다 조금 다르지만, 의도는 다음 다섯 단계에 깔끔하게 매핑됩니다.
- 1단계, 시작(Initiate). 임시적이고, 반응적이고, 사람에 좌우됩니다. 실천은 개인이 선택하는 곳에만 존재하므로 결과는 영웅적 행위와 운에 달려 있습니다.
- 2단계, 발전(Develop). 기본 실천이 있지만 팀마다 일관되지 않고, 부분적으로 수동이며, 압박 아래서 우회되는 경우가 많습니다.
- 3단계, 표준화(Standardise). 실천이 문서화되고, 표준화되고, 조직 전체에 시행됩니다. 이것이 감사와 컴플라이언스의 하한입니다. 대부분의 기업과 정부 업무가 믿을 만하고 감사 가능하려면 도달해야 하는 단계입니다.
- 4단계, 관리(Manage). 실천이 기준선에 대한 데이터와 지표로 측정되고 통제됩니다. 각 실천이 어떻게 수행되는지 정량적으로 알고 숫자에 따라 행동합니다.
- 5단계, 오케스트레이션(Orchestrate). 실천이 지속적으로 개선되고, 조직 전체에 통합되고, 적응적입니다. 안전하거나 올바른 길이 기본값이며, 조직이 의도적으로 배우고 진화합니다.
자가 평가에 쓰는 방법
- 상황에 관련된 각 장에 대해 아래 다섯 칸을 읽고, 최고의 팀이 최고의 날에 하는 것도, 서면 정책도 아니라 실제로 일어나는 전형적인 행동을 정직하게 기술하는 단계를 고르십시오.
- 각 장에 1에서 5점을 매기십시오. 의심스러우면 내림하십시오. 일관되지 않은 실천은 3단계가 아니라 2단계입니다.
- 한 부 안의 점수를 평균해 영역 전체의 위치를 보고, 분포를 보십시오. 1단계 장을 숨기고 있는 “평균 3”인 부는 여전히 1단계 위험을 지닙니다.
- 주기적으로 다시 평가하고 추세를 추적하십시오. 어느 한 스냅샷보다 움직임이 중요합니다.
성숙도는 수단이지 목적이 아니다
높은 성숙도가 자동으로 더 좋은 것은 아닙니다. 목표는 적합입니다. 실제로 마주하는 위험과 규모를 관리하기에 충분한 엄밀함이고, 그 이상은 아닙니다. 작고 판돈이 낮은 도구에 5단계 카오스 엔지니어링은 필요하지 않습니다. 실제 문제를 풀기 위해서가 아니라 트로피로서 높은 단계에 손을 뻗으면 가치 없는 의례가 생깁니다. 아래의 모든 “5단계”를 “판돈이 정당화할 때 적절함”으로 읽고, 얼마나 올라갈지는 위험, 규모, 규제 노출이 정하게 하십시오.
1부. 사람
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 엔지니어링 문화와 가치 | 문화가 우연적이고 사람에 좌우됨. 인시던트는 비난을 뜻함. 지식은 소수의 머릿속에 있음. | 일부 팀이 사후 검토를 하고 문서를 쓰지만, 실천이 일관되지 않고 리더십이 강화하지 않음. | 비난 없는 학습, 소유권 모델, 글쓰기 문화가 분명한 기대와 도구를 갖춘 조직 전체의 규범임. | 문화 건강(심리적 안전 설문, 인시던트 학습률, 유지율)을 측정해 기준선에 대해 추적하고 행동함. | 문화가 지속적으로 개선되고 실천이 팀 사이에 퍼짐. 리더십이 조직이 성장하고 배움에 따라 규범을 적응시킴. |
| 팀 토폴로지 | 팀이 우연이나 인원수로 형성됨. 구조가 레거시 위계를 반영함. 의존성이 도처에 있음. | 일부 스트림 정렬 팀이 있지만 공유된 병목과 기능 사일로가 지속됨. | 네 가지 팀 유형과 명시적 상호작용 모드가 의도적으로 쓰임. 플랫폼과 InnerSource가 의존성을 줄임. | 인지 부하, 흐름, 의존성 수가 팀별로 목표에 대해 측정됨. 숫자가 미끄러지면 경계를 조정함. | 조직이 제품과 플랫폼이 진화함에 따라 흐름을 유지하도록 팀과 상호작용 모드를 지속적으로 재편함. |
| 역할, 커리어 사다리, 성장 | 서면 사다리 없음. 승진과 보상이 임시적이고 사람에 좌우됨. | 기본 사다리가 있지만 일관되지 않게 적용됨. 보정 없음. 채용이 구조화되어 있지 않음. | 이중 트랙, 분명한 역량 매트릭스, 보정, 구조화된 채용이 표준임. | 승진율, 보상 형평성, 단계 체류 기간이 기준선에 대해 측정됨. 보정 결과가 편향에 대해 분석됨. | 프레임워크가 일과 함께 지속적으로 진화함. 역할이 바뀜에 따라 후원과 도제 제도가 조직 전체에서 의도적임. |
| 일하는 방식 | 프로세스가 임시적이거나 화물 숭배식임. 커뮤니케이션이 회의 중심이고 문서화되지 않음. 추정이 약속으로 다뤄짐. | 방법론을 일관되게 따르지만 의식이 기계적이고 팀 간 조율이 무거움. | 실천이 맥락에 맞게 선택됨. 비동기, 문서 우선 커뮤니케이션이 규범임. 추정은 통제하지 않고 정보를 줌. | 흐름 지표(리드 타임, 진행 중인 작업, 처리량)가 기준선에 대해 추적되고 매 주기 리뷰됨. | 팀이 그 지표로 일하는 방식을 지속적으로 조율함. 조율 필요가 근원에서 최소화되고 좋은 실천이 조직 전체에 퍼짐. |
| 의사 결정과 거버넌스 | 결정이 임시적이고 기록되지 않음. 거버넌스가 없거나 일괄적 병목임. 부채가 보이지 않음. | 일부 결정이 문서화되고 일부 리뷰가 있지만 프로세스가 일관되지 않고 결정의 무게와 어긋남. | ADR, 포장된 길, 되돌릴 수 있음에 기반한 위임, 부채 목록이 표준이고 투명함. | 결정 주기 시간, 번복률, 부채 수준이 측정됨. 정밀 조사가 그 숫자에 따라 결정의 무게에 맞춰 조정됨. | 거버넌스가 조직 전반에서 지속적으로 조율됨. 정밀 조사가 되돌릴 수 없는 결정을 겨냥하고, 부채와 조달이 진화하는 포트폴리오로 관리됨. |
2부. 소프트웨어 프로그래밍
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 코딩 표준과 스타일 | 스타일이 작성자별임. 공유 구성 없음. 서식을 리뷰에서 논쟁함. | 각 팀에 포매터와 린터가 있지만 구성과 규칙이 팀마다 다름. | 언어별 중앙 공유 구성. CI 시행. 새 저장소는 템플릿으로 표준을 물려받음. | 표준 채택, 위반율, 리뷰 시간 영향이 기준선에 대해 측정됨. 구성이 버전 관리되고 다스려짐. | 표준이 그 데이터로 지속적으로 다듬어지고 조직 전체에 공유됨. 시행이 거의 마찰 없고 새 언어에 적응함. |
| 소프트웨어 설계 원칙 | 설계가 임시적임. 결합이 쌓임. 원칙을 모르거나 구호로 인용됨. | 팀이 원칙을 알고 적용하지만 일관되지 않고 교조적인 경우가 많음. | 공유된 설계 어휘, 의도적 결합/응집 분석, 팀에 정렬된 바운디드 컨텍스트. | 결합, 응집, 변경 실패 지표가 기준선에 대해 설계 리뷰에 정보를 줌. 결정이 기록됨. | 설계 결정이 증거가 쌓임에 따라 다시 검토됨. 원칙이 뉘앙스와 함께 적용되고 패러다임 선택이 도메인이 진화함에 따라 조직 전체에 적응함. |
| API와 인터페이스 설계 | API가 구현에서 생겨남. 공유 관례 없음. 깨지는 변경이 흔하고 공지되지 않음. | 팀이 기본 REST 관례를 따르고 비공식적으로 버전을 매기지만 일관성과 문서가 다름. | 계약 우선 설계, 기계가 읽을 수 있는 명세, 폐기 정책, 일관된 오류/페이지 매김 관례. | 채택, 지연, 오류율, 깨지는 변경 빈도가 API별로 목표에 대해 측정됨. | API가 강한 DevEx를 갖춘 카탈로그 속의 다스려지는 제품임. 실천이 지속적으로 적응하고 깨짐이 드물며 조직 전체에서 잘 관리됨. |
| 테스트 전략 | 테스트가 수동이고 임시적임. 자동화 커버리지가 최소임. 퇴보가 잦음. | 자동화된 단위 테스트와 일부 통합 테스트가 있지만 스위트가 느리거나 불안정하고 신뢰가 낮음. | 균형 잡히고, 빠르고, 믿을 만한 스위트가 모든 변경에 관문을 섬. 불안정성이 관리됨. 비기능 테스트가 통합됨. | 커버리지, 불안정성, 유출 결함, 스위트 시간 지표가 노력을 겨냥하도록 기준선에 대해 추적됨. | 고급 기법(속성, 뮤테이션, 퍼즈)이 가치 높은 코드를 겨냥함. 전략이 지속적으로 개선되고 팀 사이에 퍼짐. |
| 코드 리뷰와 협업 | 리뷰가 일관되지 않거나 건너뛰어짐. 기계적 문제가 지배함. 피드백 규범이 정해지지 않음. | 리뷰가 요구되지만 느리고 가변적임. 자동화가 부분적임. PR 크기와 품질이 크게 다름. | 작은 PR, 자동화된 기계적 점검, 분명한 표준과 피드백 규범, 모니터링되는 지연. | 리뷰 지연, PR 크기, 결함 유출률이 목표에 대해 추적됨. 깊이가 측정된 위험에 맞춰짐. | 조직이 그 데이터로 리뷰를 지속적으로 개선함. 짝 작업과 AI 지원이 의도적으로 채택되고 실천이 팀 사이에 퍼짐. |
| 버전 관리와 소스 관리 | 임시 브랜칭. 오래 사는 브랜치. 형편없는 메시지. 비밀 스캔 없음. 병합의 고통이 잦음. | 일관된 브랜칭 모델과 메시지 관례가 있지만 브랜치가 너무 오래 살고 시행이 부분적임. | 트렁크 기반 개발, 보호된 메인라인, 시행되는 커밋 관례, 비밀 스캔, 의도적 저장소 구조. | 브랜치 수명, 병합 빈도, 되돌림률이 전달 지표와 기준선에 대해 측정됨. | 자동화가 위생을 종단 간 시행함. 저장소 구조와 워크플로가 전달 필요가 바뀜에 따라 조직 전반에서 지속적으로 진화함. |
| 문서화 | 문서가 드물고, 흩어져 있고, 낡음. 지식이 사람들의 머릿속에 있음. | 핵심 문서(README, 일부 런북)가 있지만 일관되지 않게 유지되고 찾기 어려움. | 분명한 구조, 생성된 API 문서와 변경 로그, 결정 기록, 갱신 기대를 갖춘 코드형 문서. | 문서 커버리지, 신선도, 정확도가 기준선에 대해 측정됨. 낡음이 자동으로 표시됨. | 문서가 살아 있고, 대체로 생성되거나 시스템에 대해 테스트되며, 소유자가 있고 찾을 수 있음. 실천이 조직 전체에서 지속적으로 개선됨. |
3부. 시스템
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 아키텍처 기초 | 아키텍처가 암묵적이고 머릿속에 있음. 품질 속성이나 ADR 없음. 결정이 인시던트 중에 드러남. | 핵심 다이어그램이 있고 주요 결정이 때로 기록됨. 품질 속성이 이름은 있되 거의 수량화되지 않음. 문서가 표류함. | 품질 속성 시나리오와 ASR이 명세됨. ADR이 일상적임. C4/arc42 문서가 코드 가까이 유지됨. 상충 리뷰가 이루어짐. | 적합성 함수가 CI에서 품질 속성을 시행하고 기준선에 대해 측정된 결과를 기록함. 상충이 수량화됨. | 아키텍처가 그 데이터로 조직 전반에서 지속적으로 진화함. 시스템이 적응하는 동안에도 문서가 감사자에게 충분히 신뢰할 만하게 유지됨. |
| 아키텍처 스타일과 패턴 | 하나의 얽힌 모놀리스나 우연한 분산 난장판. 경계가 계층이나 역사를 따름. 스타일이 유행으로 선택됨. | 의도적 모듈 경계나 소수의 거친 서비스. 일부 횡단 관심사가 일관됨. 분할은 여전히 임시적. | 자기 데이터를 소유하는 바운디드 컨텍스트에 정렬된 서비스. 알맞은 곳에는 게이트웨이/BFF. 클린/헥사고날 계층화가 표준. | 스타일 결정이 기준선에 대해 측정된 결합, 지연, 변경 비용 데이터를 써서 증거에 기반함. | 성숙한 플랫폼이 분산을 싸게 만듦. 분할이 보답하지 않으면 조직이 다시 통합하고 증거가 바뀜에 따라 스타일을 적응시킴. |
| 분산 시스템 | 원격 호출을 로컬처럼 다룸. 재시도가 없거나 순진함. 실패가 연쇄됨. 디버깅은 기계별 로그 탐험임. | 타임아웃과 기본 재시도가 있지만 일관되지 않음. 일부 멱등성. 로그가 중앙화되었으나 상관되지 않음. | 공유 라이브러리를 통한 멱등성, 백오프, 서킷 브레이커, 벌크헤드. 사가. 분산 트레이싱. 흐름별로 문서화된 일관성. | 복원력이 SLO에 대해 측정됨. 결함 주입 결과와 실패율이 기준선에 대해 추적됨. | 복원력이 플랫폼 기본값이며 결함 주입으로 지속적으로 테스트됨. 우아한 저하가 설계에 들어 있고 조직 전체에서 진화함. |
| 데이터 아키텍처와 저장 | 모든 용도에 하나의 데이터베이스. 이전 규율 없음. 우연한 캐싱. 더 큰 기계로 확장. | 저장 선택이 대체로 의도적임. 캐시와 어쩌면 웨어하우스. 버전이 있는 이전이 때로 다운타임을 요구함. | 워크로드에 맞춘 폴리글랏 영속성, 각 저장소에 소유자. 자동화된 무중단 이전. 명시적 캐싱과 복제본. | 저장 선택이 접근 패턴, 지연, 비용 기준선에 대해 측정됨. 샤딩과 캐싱 결정이 데이터 주도임. | 데이터 아키텍처가 조직 전반에서 지속적으로 리뷰되고 진화함. 워크로드가 바뀜에 따라 이전이 자동화되고 감사됨. |
| 확장성, 성능, 복원력 | 단일 인스턴스나 수직 확장. 서버 측 상태. 부하 테스트나 예산 없음. 실패가 전체 장애를 낳음. | 수평 확장된 무상태 계층. 기본 오토스케일링. 일부 출시 전 부하 테스트. DR이 문서화되었으나 거의 테스트되지 않음. | 여유를 둔 역량 계획. CI의 성능 예산. 복원력 패턴이 표준. RTO/RPO가 정의되고 DR이 테스트됨. | 역량이 측정된 부하로 예측됨. 성능 예산과 RTO/RPO가 기준선에 대해 추적됨. | 다중 리전 자동 장애 조치, 지속적 카오스, 게임 데이가 시스템이 진화함에 따라 조직 전체에서 복구 목표를 증명하고 개선함. |
| 레거시 현대화 | 레거시가 두려움의 대상이고 동결됨. 목록 없음. 현대화는 전부 아니면 전무의 재작성. 지식이 은퇴하는 머릿속에 있음. | 목록이 있고 일부 위험이 이해됨. 레거시를 API로 감쌈. 여전히 일괄적 사고. 이전을 과소평가. | 시스템이 위험과 가치로 우선순위가 정해짐. 스트랭글러 피그와 추상화를 통한 브랜치가 표준. 이전이 병행 운영으로 대사됨. | 현대화가 기준선에 대해 측정된 위험, 가치, 진행으로 포트폴리오 관리됨. | 현대화가 조직 전체에서 지속적임. 점진적 교체가 일상이고, 되돌릴 수 있으며, 우선순위가 바뀜에 따라 적응함. |
4부. 보안
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 보안 기초와 문화 | 보안이 반응적이고 중앙화됨. 리뷰가 있더라도 늦음. 위협 모델링 없음. 보안은 “남의 문제”. | 보안 팀이 표준을 정의함. 주요 프로젝트에 일부 위협 모델링. 기본 교육. 보안이 관문으로 보임. | 보안 챔피언이 내장됨. 위협 모델링이 일상적. 보안 SDLC가 문서화됨. 위험 기반 우선순위. 비난 없는 리뷰. | 보안 지표(위협 모델링 커버리지, 발견에서 수정까지의 시간, 통제 채택)가 기준선에 대해 추적됨. | 보안이 진정으로 모두의 일임. 위협 모델링이 습관적. 제로 트러스트가 대체로 실현되고 실천이 조직 전체에서 지속적으로 개선됨. |
| 애플리케이션 보안 | 보안이 개인의 지식에 달려 있음. 표준 통제 없음. 코드 속 비밀. 낡은 의존성. 임시 인증. | OWASP Top 10 인지. 일부 프레임워크 보호. 비밀 관리자가 고르지 않게 쓰임. 가끔의 의존성 스캔. | 등급별 ASVS 기반 요구 사항. 매개변수화된 질의. MFA를 갖춘 중앙 신원. 관리되는 비밀. SBOM과 파이프라인 스캔. | 취약점 밀도, 평균 시정 시간, 통제 커버리지가 서비스 전반에서 기준선에 대해 측정됨. | 안전한 기본값이 포장된 길 프레임워크에 실려 출하됨. 단기 자격 증명과 전체 공급망 보증(SLSA)이 조직 전체에서 지속적으로 검증됨. |
| 인프라와 클라우드 보안 | 수동 프로비저닝. 넓은 권한과 정적 키. 평평한 네트워크. 일관되지 않은 암호화. 태세 관리 없음. | 일부 IAM 역할과 MFA. 기본 네트워크 계층. 주요 저장소의 저장 시 암호화. 주기적 수동 리뷰. 부분적 IaC. | 단기 자격 증명의 최소 권한 RBAC/ABAC. 기본 거부 분할. KMS로 기본 암호화. 정책이 있는 CSPM. | 태세, 드리프트, 정책 위반 지표가 기준선에 대해 추적됨. 가드레일 효과성이 측정됨. | 안전한 기본값이 랜딩 존과 IaC에 실려 출하됨. 마이크로 분할과 예방적 가드레일이 지속적으로 진화하고 드리프트가 조직 전체에서 자동 시정됨. |
| 보안 운영 | 보안 테스트가 수동이고 드묾. 중앙 로깅이나 SIEM 없음. 인시던트 계획 없음. 임시 패치. 공격자 관점으로 테스트된 적 없음. | 파이프라인의 일부 스캐너. 중앙 로깅. 기본 인시던트 계획. 느슨한 패치 시한. 연간 침투 테스트. | 위험 기반 관문이 있는 전체 DevSecOps 스캔. 일부 SOAR가 있는 SIEM. 테이블탑으로 예행연습된 IR. 시정 SLA. 레드 팀. | MTTD와 MTTR이 기준선에 대해 측정됨. 탐지 커버리지가 공격자 기법에 매핑되어 추적됨. | 테스트와 대응이 고도로 자동화됨. 퍼플 팀과 탐지 엔지니어링이 지속적으로 개선되고 조직 전체에서 새로운 위협에 적응함. |
| 프라이버시와 데이터 보호 | 개인 데이터를 자유롭게 수집. 목록, 최소화, 보존 없음. 동의는 사후 고려. 권리 프로세스 없음. | 프라이버시 정책과 기본 동의가 있음. 일부 보존 인식. 권리 요청을 수동으로 느리게 처리. | DPIA를 갖춘 설계에 의한 프라이버시. 데이터가 매핑되고 분류됨. 보존이 시행됨. 적법한 근거가 문서화됨. 권리가 기한 내 충족됨. | 프라이버시 태세가 측정됨. 데이터 목록 커버리지, 보존 컴플라이언스, 권리 요청 처리 시간이 기준선에 대해. | 프라이버시가 기본 엔지니어링 제약임. 최소화와 자동 보존이 표준. 권리 요청이 셀프서비스이고 실천이 조직 전체에서 적응함. |
| 컴플라이언스와 거버넌스 | 컴플라이언스가 반응적임. 통제 프레임워크 없음. 증거를 마감 아래 수동으로 조립. 지적 사항이 잦음. | 핵심 프레임워크가 식별됨. 일부 문서화된 통제. 많은 수동 노력으로 감사를 통과. 접근성은 늦게 고려. | 통합 통제 프레임워크가 표준을 교차 매핑함. 증거가 부분적으로 자동화됨. 접근성이 테스트됨. 기록과 인가가 확립됨. | 통제 효과성과 증거 커버리지가 기준선에 대해 지속적으로 측정됨. 지적 사항이 추세로 보임. | 컴플라이언스가 상시 증거와 코드형 컴플라이언스로 지속적임. 새 인증이 저비용이고 프레임워크가 조직 전체에서 적응하며 언제든 감사 준비가 됨. |
5부. UI/UX 디자인
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| UX 기초 | 전담 UX 실천 없음. 결정이 의견으로 이루어짐. 연구가 임시적. 일관되지 않은 흐름과 용어. | 일부 디자이너와 가끔의 사용성 테스트. 페르소나가 유지되지 않음. UX는 흔히 우회되는 단계. | 지속적 혼합 방법 연구가 우선순위에 공급됨. 공유 페르소나, 여정 지도, IA. DoD의 UX 품질 관문. | UX 지표(과업 성공, 만족, 사용성 점수)가 비즈니스 지표와 함께 기준선에 대해 추적됨. | 연구가 지속적이고 성과에 연결됨. 통제된 실험이 루프를 닫고 통찰이 제품이 진화함에 따라 팀 사이에 퍼짐. |
| UI 디자인과 디자인 시스템 | 각 팀이 자기 UI를 만듦. 공유 구성 요소 없음. 일관되지 않은 모양. 하드코딩된 색과 간격. | 부분적 스타일 가이드나 구성 요소 라이브러리가 있지만 선택적이고 디자인과 코드가 자주 어긋남. | 유지되는 코드화된 라이브러리, 문서, 거버넌스를 갖춘 토큰화된 디자인 시스템이 팀 전반에서 쓰임. 접근성 내장. | 디자인-코드 일치, 구성 요소 채택, 드리프트가 기준선에 대해 측정됨. 버전 관리가 추적됨. | 시스템이 로드맵이 있는 다스려지는 제품임. 조직 전체에서 지속적으로 개선되고 리브랜딩이 토큰 변경이 됨. |
| 접근성 | 접근성 실천 없음. 문제가 불만이나 소송으로 발견됨. 비의미론적이고 테스트되지 않은 마크업. | 인식이 있음. 일부 자동 스캔과 출시 전 감사. 접근성은 흔히 후순위인 늦은 체크리스트. | WCAG 2.2 AA가 표준. 접근성이 디자인 시스템에 내장되고, 테스트되고, DoD에 있음. 소유자와 함께 팀이 교육됨. | 접근성 적합성이 WCAG 기준선에 대해 CI에서 측정됨. 결함률과 감사 결과가 추적됨. | 접근성이 지속적임. 장애가 있는 사람이 연구에 참여함. 조달, 토큰, CI에 내장되고 조직 전체에서 개선됨. |
| 콘텐츠와 커뮤니케이션 디자인 | 콘텐츠 실천 없음. 글이 임시로 쓰임. 일관되지 않은 용어와 어조. 도움이 안 되는 오류와 빈 상태. | 스타일 가이드가 있을 수 있음. 일부 쉬운 말 인식. 콘텐츠는 여전히 후반 단계이고 팀별이며 재사용이 적음. | 콘텐츠 전략, 목소리와 어조 가이드, 용어집이 팀 전반에서 쓰임. 쉬운 말이 표준. 공유 패턴. | 콘텐츠가 기준선에 대해 성과(이해, 과업 완료, 오류율)로 측정됨. | 콘텐츠가 그 증거로 지속적으로 개선됨. 다크 패턴이 금지되고 감사됨. 패턴이 조직 전체에서 기본적으로 현지화되고 접근 가능함. |
| 국제화와 현지화 | 단일 언어. 하드코딩된 문자열. 비유니코드 가정. 새 로캘에 코드 변경이 필요함. | 문자열이 외부화되고 유니코드가 쓰이지만, 현지화가 수동 출시 전 일괄 작업임. 서식과 복수형이 일관되지 않음. | 공유 i18n 아키텍처와 로캘 인식 서식. TMS와 지속적 파이프라인. 의사 현지화와 다중 로캘 CI. | 현지화 커버리지, 문자열 신선도, 로캘 결함률이 기준선에 대해 측정됨. | i18n이 팀 전반에서 도구와 린트로 시행됨. 현지화가 지속적이고, 문화적 적응이 체계적이며, 새 로캘이 빠르게 출시됨. |
| 프런트엔드 엔지니어링 | 팀별 임시 프런트엔드. 무거운 클라이언트 코드. 예산 없음. 팀 기기에서만 테스트. 유행에 따른 프레임워크. | 일부 공유 도구와 구성 요소 라이브러리. 성능을 가끔 측정하지만 예산은 없음. 제한된 기기 간 테스트. | 표면별로 프레임워크와 렌더링이 의도적으로 선택됨. RUM과 함께 CI에서 예산이 시행됨. 점진적 향상이 표준. | 성능, 복원력, 도달이 실사용자 기준선과 예산에 대해 측정됨. 퇴보가 빌드를 실패시킴. | 그런 신호가 성과에 묶이고 프런트엔드와 사용자가 진화함에 따라 표면 전반에서 지속적으로 개선됨. |
6부. 인공지능
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| AI 전략과 준비도 | 임시 실험. 공유 전략 없음. 결정이 과대 광고와 개인의 열의에 이끌림. | 일부 프로젝트에서 문제 구성. 첫 플랫폼 기준선. 구축 대 구매가 논의되지만 일관되지 않음. | 분명한 지표, 결정 트리, 준비도 평가, 종속/TCO 분석이 있는 사용 사례 포트폴리오. | 사용 사례 가치, 채택, 준비도가 기준선에 대해 측정됨. 포트폴리오 ROI가 추적됨. | AI 전략이 비즈니스 및 위험 계획과 통합됨. 준비도가 지속적으로 유지되고 시스템이 조직 전체에서 증거에 따라 범위가 다시 정해짐. |
| MLOps | 모델이 노트북에서 임시로 만들어짐. 수동 배포. 데이터/모델 버전 관리 없음. 모니터링 없음. | 일부 실험 추적과 모델 레지스트리. 반자동 배포. 소수 모델의 기본 모니터링. | 피처 스토어, 레지스트리, 재현 가능한 파이프라인, 계보가 있는 공유 플랫폼. 드리프트/품질 모니터링. 다스려지는 승격. | 모델 품질, 드리프트, 비즈니스 영향이 기준선에 대해 측정됨. 재학습이 관문이 있는 임계값에서 촉발됨. | 수명 주기가 완전히 자동화되고 감사 가능함. 셀프서비스 포장된 길과 지속적 평가가 데이터가 이동함에 따라 조직 전체에서 모델을 개선함. |
| 생성형 AI와 LLM 애플리케이션 | 고립된 프로젝트의 임시 프롬프팅. 근거, 가드레일, 평가 없음. 환각이 프로덕션에서 발견됨. | 일부 RAG와 프롬프트 버전 관리. 기본 출력 검증. 소규모 수동 평가 집합. | RAG, 가드레일, 도구 사용의 공유 패턴. 모든 변경에 자동화된 오프라인 평가. 온라인 지표와 사람의 검토. | 오프라인 및 온라인 평가 점수, 환각과 인젝션 비율이 기준선에 대해 측정됨. | 평가가 성과에 묶여 지속적으로 개선됨. 인젝션 방어, 다스려지고 관측 가능한 에이전트, 완화가 조직 전체에서 적응함. |
| AI 지원 소프트웨어 개발 | 개인이 어시스턴트를 임시로 사용함. 정책 없음. 측정 없음. 비밀과 IP가 위험함. | 기본 사용 안내와 데이터 규칙. 일부 보안 스캔. 일화적 생산성 주장. | 위험 수준별 분명한 규범. 의무적 리뷰와 스캔. 정직한 성과 지표. 안전한 배포와 공개. | 지원의 전달 및 품질 영향이 기준선에 대해 측정됨. 검증 커버리지가 추적됨. | 검증이 파이프라인에서 강함. 기술 개발이 의도적이고 정책이 도구와 증거가 바뀜에 따라 조직 전체에서 지속적으로 적응함. |
| 책임 있고 신뢰할 수 있는 AI | 공정성 테스트, 설명, 거버넌스 없음. 책임이 정의되지 않음. 피해 뒤에야 문제가 발견됨. | 일부 편향 테스트와 문서화. 임시 감독. 프레임워크 인식은 있으나 부분적 채택. | 인정된 프레임워크에 매핑된 거버넌스. 체계적인 공정성/안전/프라이버시 테스트. 문서화된 감독과 이의 제기. 레드 팀. | 공정성, 안전, 프라이버시 지표가 기준선과 임계값에 대해 프로덕션에서 모니터링됨. | 거버넌스가 전달에 통합됨. 책임이 모두의 일이며 접근이 조직 전체에서 지속적으로 개선됨. |
| AI 인프라와 운영 | 임시 GPU 할당. 배칭이나 캐싱 없음. 비용 가시성 없음. 버전 관리되지 않는 프롬프트. 최소한의 모니터링. | 일부 공유 스케줄링과 캐싱. 기본 비용 추적. 버전 관리에 있는 프롬프트. 임시 평가. | 스케줄링, 할당량, 배칭, 캐싱, 적정 크기 조정이 있는 공유 플랫폼. 벡터 인프라. 자동화된 평가. 비용 귀속. | 활용률, 성과당 비용, 지연이 기준선에 대해 측정됨. 예산과 할당량이 시행됨. | 라우팅과 확장이 자동화되고, LLMOps 관측 가능성이 완전하며, 활용률과 비용이 이식성을 유지한 채 조직 전체에서 지속적으로 최적화됨. |
7부. 데이터, 분석, 통찰
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 데이터 전략과 거버넌스 | 데이터가 문서화되지 않고 소유자가 없음. 충돌하는 정의. 보고서가 깨질 때 품질이 발견됨. 카탈로그나 계보 없음. | 일부 데이터 집합에 소유자와 문서. 부분적 카탈로그. 수동적이고 반응적인 품질 점검. 정책은 쓰였으나 약하게 시행됨. | 핵심 데이터 제품에 소유자, 계약, SLA. 자동 계보가 있는 카탈로그. 지속적 품질. 연합 거버넌스. | 데이터 품질, 계약 준수, 신선도가 SLA와 기준선에 대해 측정됨. | 제품으로서의 데이터가 규범임. 계약이 자동으로 시행되고, 셀프서비스 가드레일이 적응하며, 정의가 기업 전체에서 신뢰받음. |
| 데이터 엔지니어링 | 임시 스크립트, 수동 실행, 테스트나 모니터링 없음. 실패가 소비자에게 발견됨. 비용 관리 안 됨. | 일부 오케스트레이션과 스케줄링. 버전 관리에 있는 기본 변환. 가끔의 테스트. 반응적인 불 끄기. | 계층화되고, 테스트되고, 버전이 있는 모델의 ELT. 재시도/백필이 있는 오케스트레이션된 의존성. 관측 가능성. 비용 추적. | 파이프라인 신뢰성, 신선도, 비용이 SLA에 대해 측정됨. 이상이 기준선에 대해 탐지됨. | 파이프라인이 CI/CD, 계약, 테스트를 갖춘 소프트웨어임. 플랫폼이 지속적으로 개선되고 새 데이터 제품이 조직 전체에서 빠르게 출하됨. |
| 분석과 비즈니스 인텔리전스 | 보고서가 스프레드시트에서 임시로 만들어짐. 일관되지 않은 지표. 오도하는 차트. 거버넌스 없음. | 일부 공유 대시보드가 있는 BI 도구. 지표 정의가 여전히 갈라짐. 통제되지 않은 셀프서비스와 난립이 시작됨. | 시맨틱 계층이 핵심 지표를 한 번 정의함. 인증된 콘텐츠 대 실험적 콘텐츠. 가드레일 안의 셀프서비스. 관리되는 수명 주기. | 지표 사용, 신선도, 정의 변경이 기준선에 대해 추적됨. 인증된 콘텐츠가 모니터링됨. | 지표가 소유자와 변경 로그가 있는 API처럼 다스려짐. 분석이 기술에서 처방까지 이어지고 조직 전반의 의사 결정 지점에 내장됨. |
| 제품 분석과 실험 | 계측이 적거나 일관되지 않음. 결정이 의견으로. 실험 없음. 허영 지표. 부주의한 동의. | 일부 이벤트가 추적되지만 분류 체계가 일관되지 않음. 검정력 분석 없는 가끔의 A/B 테스트. 북극성이 제안되었으나 내장되지 않음. | 다스려지고 검증된 추적 계획. 퍼널/코호트/유지율이 일상적. 공유 플랫폼의 실험. 동의가 제대로 처리됨. | 실험 물량, 검정력, 승률이 기준선에 대해 측정됨. 계측 커버리지가 추적됨. | 실험이 기본값임. 공유 결과 저장소와 소유자 있는 계측이 조직이 누적적으로 배우고 적응하게 함. |
| 의사 결정 과학과 데이터 문화 | 결정이 위계와 직관으로. 상관을 인과로 다룸. 불확실성 무시. 지표가 감시하고 조작됨. | 데이터를 결정을 정당화하려고 선택적으로 참조. 인과적 함정에 대한 일부 인식. 불확실성을 거의 소통하지 않음. | 분석이 사전 정의된 기준과 함께 결정에 묶임. 상관과 인과를 구별. 불확실성을 소통. 성과 중심. | 결정 품질과 예측 보정이 결과와 기준선에 대해 추적됨. | “무엇이 우리의 마음을 바꾸겠는가?”가 일상임. 인과적 엄밀함과 정직한 불확실성이 규범이고 리더가 조직 전체에서 증거에 눈에 띄게 갱신함. |
8부. 자동화
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| CI/CD와 전달 | 빌드와 배포가 대체로 수동이고 일관되지 않음. 늦은 통합. 드물고 스트레스가 큰 릴리스. 수동 롤백. | 커밋별 자동화된 빌드와 단위 테스트. 스크립트화되었으나 수동으로 감독되는 배포. 산출물이 단계마다 다시 빌드될 수 있음. | 표준화된 파이프라인이 자동화된 관문과 함께 하나의 불변 산출물을 환경 사이로 승격함. 카나리/블루-그린. 자동 변경 기록. | DORA 지표(리드 타임, 배포 빈도, 변경 실패율, MTTR)가 기준선에 대해 추적되고 롤백을 관문 통제함. | 점진적 전달이 플래그로 릴리스를 분리함. 파이프라인이 스스로 개선되고 컴플라이언스 증거가 조직 전체에서 자동임. |
| 코드형 인프라와 구성 | 인프라를 수동으로 프로비저닝. 일관되지 않고 문서화되지 않은 환경. 느리고 불확실한 복구. | 일부 인프라가 스크립트화되었지만 실천이 다름. 일관되지 않은 상태. 흔한 드리프트. 정책이 수동 리뷰로 시행됨. | 원격 상태를 가진 공유 버전 모듈에서 나오는 선언적 IaC가 표준. 코드형 정책 가드레일. 정기적 드리프트 탐지. | 드리프트, 프로비저닝 시간, 정책 위반율이 기준선에 대해 측정됨. 컴플라이언스 증거가 자동임. | 인프라가 불변이고, GitOps 주도이며, 스스로 치유함. 모듈과 정책 라이브러리가 지속적으로 개선되고 조직 전체에서 적응함. |
| 컨테이너, 오케스트레이션, 클라우드 네이티브 | 컨테이너를 임시로 사용. 손으로 만들고 스캔되지 않은 이미지. 수동 배포. 공유 플랫폼이나 격리 모델 없음. | 팀이 컨테이너화하고 오케스트레이터를 쓰지만 실천이 다름. 일관되지 않은 스캔과 한도. 다스려지지 않는 비용과 테넌시. | 강화된 이미지, 서명/스캔 관문, 할당량과 네트워크 정책이 있는 네임스페이스 테넌시, 비용 배분을 갖춘 표준화된 플랫폼. | 활용률, 밀도, 워크로드당 비용이 기준선에 대해 측정됨. FinOps 최적화가 데이터 주도임. | 강한 다중 테넌시를 갖춘 셀프서비스, 자기 치유 플랫폼이 이식성과 하이브리드/주권 준비를 유지하고 조직 전체에서 지속적으로 개선됨. |
| 플랫폼 엔지니어링과 DevEx | 플랫폼 없음. 각 팀이 일관되지 않게 자기 도구를 조립함. 티켓 주도 인계. 높은 인지 부하. | 일부 공유 도구와 템플릿이 있지만 파편화되고 부분적으로 수동임. 제한된 셀프서비스. DevEx가 측정되지 않음. | 플랫폼 팀이 골든 패스, 셀프서비스 프로비저닝, 개발자 포털, 스코어카드를 운영함. 포장된 길의 가드레일. DevEx가 측정됨. | 채택, DevEx 점수, 인지 부하 신호가 기준선에 대해 측정되고 리뷰됨. | 성숙한 플랫폼 제품이 그 피드백으로 지속적으로 개선됨. 자발적 채택이 높고 거버넌스가 조직 전체의 워크플로에서 보이지 않게 유지됨. |
| 테스트 및 프로세스 자동화 | 테스트와 운영이 대체로 수동임. 일관되지 않은 커버리지. 절차가 머릿속이나 낡은 문서에 있음. 컴플라이언스 증거를 손으로. | 자동화된 테스트가 있지만 느리거나 불안정하고 일관되지 않게 실행됨. 일부 운영 스크립트. 수동 시정. 주기적 리뷰 거버넌스. | 빠르고, 병렬이고, 믿을 만한 테스트 인프라. 코드화된 런북. ChatOps. 자동 생성된 컴플라이언스 증거. 자동 점검으로서의 거버넌스. | 자동화 커버리지, 거짓 양성률, 시정 시간이 기준선에 대해 측정됨. | 일상적 인시던트가 안전장치와 함께 자동 시정됨. 컴플라이언스가 지속적이고 감사 준비가 되어 있으며 사람은 조직 전체에서 판단에 집중함. |
9부. 운영, 신뢰성, 관측 가능성
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 사이트 신뢰성 엔지니어링 | 운영이 수동이고 반응적임. SLO 없음. 신뢰성은 의견. 같은 인시던트가 반복됨. 불 끄기가 지배함. | 핵심 서비스에 기본 SLI/SLO. 일부 모니터링과 알림. 고역이 인지되나 측정되지 않음. 일관되지 않은 사후 검토. | 오류 예산이 우선순위에 영향을 줌. 고역이 측정되고 상한이 있음. 일상적 용량 계획. 자금이 지원된 자동화. PRR과 참여 모델. | 오류 예산, 고역, SLO 달성이 기준선에 대해 측정되고 우선순위를 이끔. | 오류 예산 정책이 자동화되고 존중됨. 셀프서비스 운영과 선제적 용량이 조직이 속도와 안정성을 데이터로 맞바꾸고 적응하게 함. |
| 관측 가능성과 모니터링 | 기계별 기본 가동 시간 점검과 구조화되지 않은 로그. 디버깅은 SSH를 뜻함. 시끄럽고 무시되는 알림. | 중앙화된 지표와 로그 집계. 일부 대시보드와 임계값 알림. 트레이스가 부분적이거나 없음. 수동 상관. | 전파되는 트레이스 ID가 있는 OpenTelemetry 계측. 구조화된 로그, 트레이싱, 큐레이션된 대시보드, SLO 증상 알림. 지속 가능한 온콜. | 알림 품질, MTTD, 텔레메트리 비용이 기준선에 대해 측정됨. 소진율 알림이 SLO에 맞게 튜닝됨. | 높은 카디널리티와 이벤트가 풍부한 관측 가능성이 임시 조사를 지원함. 보존이 비용 최적화되고 텔레메트리가 조직 전체의 결정에 정보를 줌. |
| 인시던트 관리 | 인시던트를 알아챈 사람이 임시로 처리함. 역할, 심각도, 사후 검토 없음. 비공식 온콜. 실패가 반복됨. | 기본 온콜 순환과 심각도. 일부 사후 검토가 있으나 역할이 불분명하고 시정 조치가 일관되지 않게 추적됨. | 분명한 역할과 기준이 있는 공식 인시던트 지휘 시스템. 비난 없는 사후 검토가 표준. 조치 추적. 온콜 보상. | 인시던트 빈도, MTTR, 온콜 부하가 기준선에 대해 측정됨. 반복되는 원인이 추세로 보임. | 대응이 게임 데이로 예행연습됨. 온콜이 지속 가능하고 조용하게 유지되며 집계 분석이 조직이 배움에 따라 구조적 투자를 이끎. |
| 비용, 지속가능성, 그린 소프트웨어 | 클라우드 비용이 월간 놀람임. 태깅, 배분, 탄소 인식 없음. 후하고 다시 보지 않는 프로비저닝. | 기본 비용 가시성과 태깅. 일부 반응적인 적정 크기 조정과 유휴 정리. 지속가능성은 인지되나 측정되지 않음. | 귀속, 예산, 예측, 이상 알림, 약정, 적정 크기 조정이 있는 FinOps 실천. 주요 서비스의 탄소가 측정됨. | 비용과 탄소가 예산과 기준선에 대해 팀별로 측정됨. 이상이 표시됨. | 비용과 탄소가 팀이 소유하는 지속적 신호임. 효율적 기본값, 자동 최적화, 탄소 인식 스케줄링이 조직 전체에서 지속적으로 개선됨. |
10부. 프로젝트/제품/프로그램 관리
| 주제 | 1단계 시작 | 2단계 발전 | 3단계 표준화 | 4단계 관리 | 5단계 오케스트레이션 |
|---|---|---|---|---|---|
| 포트폴리오와 프로그램 관리 | 우선순위가 가장 크게 요구하는 사람에 따라 임시로 정해짐. 포트폴리오 관점 없음. 의존성이 위기로 드러남. 연간 자금 허둥지둥. | 주기적으로 리뷰되는 포트폴리오 목록. 일과 약하게 연결된 공표된 목표. 의존성 등록부. 프로젝트 기반 예산 편성. | 전략이 OKR로 내려감. 일관된 우선순위 프레임워크. 팀 간 계획이 의존성을 관리. 지속적 팀 자금. | 포트폴리오 성과, 전달 예측 가능성, 의존성 수가 기준선에 대해 측정됨. | 포트폴리오가 성과 증거에 따라 지속적으로 재균형됨. 의존성이 설계로 없어지고 자금 주기가 학습 주기에 맞음, 조직 전체에서. |
| 위험, 감사, 보증 | 위험이 인시던트 뒤에 반응적으로 다뤄짐. 프레임워크나 등록부 없음. 문서화되지 않은 통제. 고통스러운 수동 감사. | 주요 시스템의 위험 등록부. 통제 프레임워크가 채택됨. 감사는 통과하지만 수동이고 시점적임. 공급자는 온보딩 때 평가됨. | 세 개의 방어선 모델과 공통 프레임워크가 조직 전체에. 많은 통제가 자동화됨. 지속적 모니터링. 공급자/SBOM 목록. 일정에 따른 DR. | 통제 효과성, 열린 위험 수, 감사 지적 사항이 위험 선호도와 기준선에 대해 측정됨. | 보증이 지속적이고 대체로 자동화됨. 감사자가 라이브 증거를 표본 조사하고 공급망 무결성이 위험이 진화함에 따라 조직 전체에서 검증됨. |
| 조달, 오픈 소스, 라이선스 | 오픈 소스를 자유롭게 추가. 정책이나 목록 없음. 라이선스가 점검되지 않음. 수명 종료를 우연히 발견. 소유자 없음. | 기본 정책과 승인된 라이선스 목록. 일부 수동/늦은 스캔. 주요 시스템의 목록. 임시 기여. | OSPO가 전략과 도구를 소유함. 자동화된 라이선스/취약점 스캔과 귀속 표시. SBOM. 분명한 기여. EOL 추적. | 라이선스 컴플라이언스, 의존성 최신성, 취약점 노출이 기준선에 대해 측정됨. | 오픈 소스가 완전 자동화된 컴플라이언스를 갖춘 관리되는 전략적 자산임. 업스트림 투자가 의도적이고 최신성과 EOL이 조직 전체에서 지속적으로 관리됨. |
| 대규모 장수 시스템의 지속 | 시스템이 영웅에 의존함. 기억에 의한 소유권. 문서화되지 않은 지식. 고장 날 때까지 동결된 시스템. 폐기가 끝나지 않음. | 주요 시스템에 소유권이 배정되고 기록됨. 일부 문서와 런북. 뻔한 핵심 기능에 백업 인원이 있음. 반응적 유지 보수. | 개편에서 살아남는 카탈로그의 팀 수준 소유권. 버스 팩터가 측정되고 완화됨. 결정 기록과 런북. 점진적 현대화. | 버스 팩터, 소유권 커버리지, 지식 이전 진행이 기준선에 대해 측정됨. | 스튜어드십이 자금이 지원되는 규율임. 어떤 핵심 시스템도 인적 단일 장애 지점이 아니고 지식 이전과 계획된 종료가 조직 전체에서 계속됨. |
| 윤리, 책임성, 공익 | 윤리가 다뤄지지 않거나 스캔들 뒤에 반응적임. 접근성 무시. 구제 없는 불투명한 자동 결정. 편향 미테스트. | 행동 강령과 일부(늦은) 접근성. 눈에 띄는 자동 결정에 일부 감독. 가끔의 편향 점검. | 윤리 리뷰가 프로세스의 일부임. 접근성이 설계에 들어가고 사용자 테스트를 거침. 중대한 결정에 설명과 구제가 따름. | 형평성, 접근성, 알고리즘 책임성 성과가 기준선에 대해 모니터링됨. | 책임이 조직이 만드는 방식에 내장됨. 형평성이 협상 불가한 기본값이고 알고리즘 책임성이 표준이며 조직 전체에서 지속적으로 개선됨. |
전체 성숙도 자가 평가
위의 매트릭스를 써서 가볍고 정직한 점수를 내십시오.
채점 기준
- 각 장에 1에서 5점을 매기십시오. 전형적인 현실에 가장 잘 맞는 설명의 단계를 쓰십시오. 행동이 일관되지 않으면 낮은 단계에 점수를 매기십시오.
- 부별로 평균하십시오. 한 부의 장 점수를 합산하고 장의 수로 나눕니다. 부별 성숙도가 나옵니다(예: “4부 평균 2.5”).
- 평균만이 아니라 최솟값도 기록하십시오. 평균 3.0이지만 1단계 장을 포함한 부는 평균과 무관하게 그 장의 위험을 지닙니다.
- 추세를 그리십시오. 한두 분기마다 다시 점수를 매기고 나아가는 방향을 지켜보십시오. 2 → 3으로 움직이는 영역이 정지한 3에 머무는 영역보다 건강합니다.
부별 간단한 워크시트:
| 부 | 점수를 매긴 장 | 평균 | 가장 낮은 장 | 메모 / 우선순위 |
|---|---|---|---|---|
| I-X | 개수 | 평균 | 최소 단계 | … |
무엇을 개선할지 우선순위 정하기
모든 것을 한꺼번에 올리려 하지 말고 가장 높은 평균을 쫓지도 마십시오. 위험 가중 성숙도 간극으로 우선순위를 정하십시오. 낮은 단계가 높은 결과를 만나는 영역을 공략하십시오.
- 먼저: 위험이 가장 높은 영역의 성숙도가 가장 낮은 장. 대부분의 조직에서 이는 보안, 프라이버시, 신뢰성, 컴플라이언스, 실패가 사람을 해치거나 법을 어기는 모든 시스템을 뜻합니다. 여기서의 1단계는 시급합니다.
- 다음: 다른 모든 영역의 천장을 올리는 기초 동력(문화, 일하는 방식, CI/CD, IaC, 관측 가능성). 이를 개선하면 이후의 향상이 더 쌉니다.
- 나중: 이미 3단계에 있고 4단계나 5단계로 오를 수 있는 영역. 판돈과 규모가 추가 투자를 정당화하는 곳에서만 하한을 넘어 밀어붙이십시오.
기업과 정부의 기준선
기업과 정부 맥락은 보통 “동작한다”에서 멈출 수 없습니다. 감사를 통과하고, 인가를 유지하고, 규제와 공적 책무 의무를 충족하려면 대부분의 영역이 적어도 3단계(표준화)에 도달해야 합니다. 실천이 표준화되고, 문서화되고, 팀 전반에 시행되며, 증거를 낳는 단계입니다. 2단계는 일관되지 않고 마감 아래 수동으로 조립되기 때문에 보통 감사에 실패하고, 1단계는 아예 실패합니다.
3단계를 감사 가능하거나 안전과 관련된 모든 것의 하한으로 읽고, 더 높은 단계(4와 5)는 지속적 보증, 규모, 공적 신뢰가 추가 엄밀함을 가치 있게 만드는 곳에서만 목표로 읽으십시오. 성숙도는 여전히 수단입니다. 목표는 완벽한 점수가 아니라 실제로 지는 위험에 대해 방어 가능하고 비례적인 수준의 통제입니다.