12.4
12.4 Самооценка зрелости
Каждая глава этого руководства заканчивается «Моделью зрелости», описывающей, как практика обычно развивается. Это приложение сводит модель зрелости каждой главы в один справочник, чтобы вы могли оценить команду, предметную область или всю организацию с одного взгляда.
Общая пятиуровневая шкала
Все главы описывают одну и ту же последовательность. Точная формулировка немного различается между главами, но смысл чисто отображается на эти пять уровней:
- Уровень 1, Начальный. Стихийный, реактивный и зависящий от личностей. Практики существуют только там, где их выбирает отдельный человек, поэтому результаты зависят от героизма и удачи.
- Уровень 2, Развитие. Базовые практики существуют, но непоследовательны между командами, частично ручные и нередко обходятся под давлением.
- Уровень 3, Стандартизация. Практики документированы, стандартизированы и принуждаются по всей организации. Это нижняя планка аудита и соответствия: уровень, которого должна достичь большая часть корпоративной и государственной работы, чтобы быть надёжной и проверяемой.
- Уровень 4, Управление. Практики измеряются и контролируются данными и метриками относительно базовых значений. Вы количественно знаете, как работает каждая практика, и действуете по числам.
- Уровень 5, Оркестрация. Практики непрерывно улучшаются, интегрированы по организации и адаптивны. Безопасный или верный путь это умолчание, а организация учится и развивается намеренно.
Как использовать это для самооценки
- Для каждой главы, релевантной вашему контексту, прочтите пять ячеек ниже и выберите уровень, честно описывающий ваше типичное поведение, а не вашу лучшую команду в лучший день и не вашу письменную политику, а то, что происходит на самом деле.
- Оцените каждую главу от 1 до 5. При сомнении округляйте вниз; непоследовательная практика это Уровень 2, а не Уровень 3.
- Усредните оценки внутри части, чтобы увидеть, где стоит вся предметная область, затем посмотрите на разброс: часть со «средним 3», скрывающая главу Уровня 1, всё ещё несёт риск Уровня 1.
- Периодически пересматривайте оценку и отслеживайте тренд. Движение важнее любого отдельного снимка.
Зрелость средство, а не цель
Более высокая зрелость не обязательно лучше. Цель соответствие: достаточно строгости, чтобы управлять риском и масштабом, с которыми вы действительно сталкиваетесь, и не больше. Малому инструменту с низкими ставками не нужна хаос-инженерия Уровня 5. Стремление к высокому уровню как к трофею, а не ради решения реальной проблемы, порождает церемонию без ценности. Читайте каждый «Уровень 5» ниже как «уместно, когда ставки это оправдывают» и позвольте риску, масштабу и регуляторной экспозиции решать, как высоко подниматься.
Часть 1. Люди
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Инженерная культура и ценности | Культура случайна и зависит от личностей; инциденты означают обвинение; знания живут в нескольких головах. | Некоторые команды проводят разборы и пишут документы, но практика непоследовательна и не подкреплена руководством. | Безвинное обучение, модели владения и культура письма нормы всей организации с ясными ожиданиями и инструментами. | Здоровье культуры измеряется (опросы психологической безопасности, доли извлечённых уроков из инцидентов, удержание) и отслеживается относительно базовых значений, и по ним действуют. | Культура непрерывно улучшается, а практики распространяются между командами; руководство адаптирует нормы по мере роста и обучения организации. |
| Топологии команд | Команды формируются случайно или по штату; структура повторяет унаследованную иерархию; зависимости повсюду. | Существуют некоторые потоково-выровненные команды, но общие узкие места и функциональные силосы сохраняются. | Четыре типа команд и явные режимы взаимодействия используются намеренно; платформы и InnerSource сокращают зависимости. | Когнитивная нагрузка, поток и число зависимостей измеряются на команду относительно целей; границы корректируются, когда числа скатываются. | Организация непрерывно переформирует команды и режимы взаимодействия, чтобы поддерживать поток по мере развития продуктов и платформ. |
| Роли, карьерные лестницы, рост | Нет письменной лестницы; повышения и оплата стихийны и зависят от личностей. | Базовая лестница существует, но применяется непоследовательно; нет калибровки; найм неструктурирован. | Двойные треки, ясная матрица компетенций, калибровка и структурированный найм стандартны. | Темпы продвижения, равенство оплаты и время на уровне измеряются относительно базовых значений; результаты калибровки анализируются на смещение. | Рамка непрерывно развивается вместе с работой; спонсорство и наставничество намеренны и охватывают всю организацию по мере смены ролей. |
| Способы работы | Процесс стихиен или карго-культ; коммуникация строится на совещаниях и не документирована; оценки воспринимаются как обещания. | Методология соблюдается последовательно, но церемонии формальны, а координация между командами тяжела. | Практики выбираются по контексту; асинхронная коммуникация с приоритетом документов норма; оценка информирует, а не контролирует. | Метрики потока (время выполнения, незавершённая работа, пропускная способность) отслеживаются относительно базовых значений и рассматриваются каждый цикл. | Команды непрерывно настраивают способ работы по этим метрикам; потребность в координации минимизируется у источника, а хорошая практика распространяется по организации. |
| Принятие решений и управление | Решения стихийны и не записаны; управление отсутствует или является сплошным узким местом; долг невидим. | Некоторые решения документированы и существует некоторая рецензия, но процесс непоследователен и не соответствует весу решения. | ADR, проторённая дорога, делегирование на основе обратимости и опись долга стандартны и прозрачны. | Время цикла решения, доли отмен и уровни долга измеряются; тщательность калибруется по весу решения относительно этих чисел. | Управление непрерывно настраивается по организации; тщательность нацелена на необратимые решения; долг и поставка управляются как развивающиеся портфели. |
Часть 2. Программирование
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Стандарты кодирования и стиль | Стиль на автора; нет общих конфигураций; форматирование спорят на рецензии. | У каждой команды есть форматировщик и линтер, но конфигурации и правила различаются по командам. | Центральные общие конфигурации на язык; принуждение в CI; новые репозитории наследуют стандарты через шаблоны. | Принятие стандартов, доли нарушений и влияние на время рецензии измеряются относительно базовых значений; конфигурации версионированы и управляемы. | Стандарты непрерывно уточняются по этим данным и распространяются по организации; принуждение почти без трения и адаптируется к новым языкам. |
| Принципы проектирования ПО | Проектирование стихийно; зацепление накапливается; принципы неизвестны или произносятся как лозунги. | Команды знают принципы и применяют их, но непоследовательно и нередко догматично. | Общий словарь проектирования, намеренный анализ зацепления/связности и ограниченные контексты, согласованные с командами. | Метрики зацепления, связности и доли неудачных изменений информируют рецензии проекта относительно базовых значений; решения записываются. | Проектные решения пересматриваются по мере накопления свидетельств; принципы применяются тонко, а выбор парадигм адаптируется по организации по мере развития предметной области. |
| API и проектирование интерфейсов | API возникают из реализации; нет общих конвенций; ломающие изменения часты и неанонсированы. | Команды следуют базовым конвенциям REST и версионируют неформально, но согласованность и документация различаются. | Проектирование от контракта, машиночитаемые спецификации, политика устаревания и последовательные конвенции ошибок/постраничной выдачи. | Принятие, задержка, доли ошибок и частота ломающих изменений измеряются на API относительно целей. | API управляемые продукты в каталоге с сильным DevEx; практика адаптируется непрерывно, а поломки редки и хорошо управляются по организации. |
| Стратегия тестирования | Тестирование ручное и стихийное; автоматизированное покрытие минимально; регрессии часты. | Существуют автоматизированные модульные и некоторые интеграционные тесты, но набор медленный или нестабильный, а доверие низкое. | Сбалансированный быстрый надёжный набор ограничивает каждое изменение; нестабильность управляется; нефункциональное тестирование интегрировано. | Покрытие, нестабильность, ускользнувшие дефекты и длительность набора отслеживаются относительно базовых значений для нацеливания усилий. | Продвинутые техники (свойств, мутаций, фаззинг) нацелены на высокоценный код; стратегия улучшается непрерывно и распространяется по командам. |
| Рецензия кода и сотрудничество | Рецензия непоследовательна или пропускается; доминируют механические проблемы; нормы обратной связи не заданы. | Рецензия обязательна, но медленна и неровна; автоматизация частична; размер и качество запросов на слияние сильно различаются. | Малые запросы на слияние, автоматизированные механические проверки, ясные стандарты и нормы обратной связи и мониторимая задержка. | Задержка рецензии, размер запросов на слияние и доли ускользнувших дефектов отслеживаются относительно целей; глубина соответствует измеренному риску. | Организация непрерывно улучшает рецензию по этим данным; парная работа и помощь ИИ принимаются намеренно, а практики распространяются между командами. |
| Контроль версий и управление исходным кодом | Стихийное ветвление; долгоживущие ветки; плохие сообщения; нет сканирования секретов; частая боль слияния. | Существуют последовательная модель ветвления и конвенции сообщений, но ветки живут слишком долго, а принуждение частично. | Разработка на основе ствола, защищённая основная линия, принуждаемые конвенции коммитов, сканирование секретов, намеренная структура репозиториев. | Время жизни веток, частота слияний и доли откатов измеряются относительно метрик поставки и базовых значений. | Автоматизация принуждает гигиену от начала до конца; структура репозиториев и рабочий процесс непрерывно развиваются по организации по мере изменения потребностей поставки. |
| Документация | Документация скудна, разбросана и устарела; знания живут в головах. | Ключевые документы существуют (README, некоторые руководства по эксплуатации), но поддерживаются непоследовательно и трудно находимы. | Документы как код с ясной структурой, сгенерированной документацией API и журналами изменений, записями решений и ожиданиями обновления. | Покрытие, свежесть и точность документации измеряются относительно базовых значений; устаревание помечается автоматически. | Документы живые, в основном сгенерированные или проверяемые против системы, имеют владельцев и находимы; практика непрерывно улучшается по организации. |
Часть 3. Системы
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Основы архитектуры | Архитектура неявна и живёт в головах; нет атрибутов качества или ADR; решения всплывают во время инцидентов. | Ключевые диаграммы существуют, а крупные решения порой записываются; атрибуты качества названы, но редко квантифицированы; документы дрейфуют. | Сценарии атрибутов качества и ASR специфицированы; ADR рутинны; документы C4/arc42 поддерживаются рядом с кодом; рецензии компромиссов проводятся. | Функции пригодности принуждают атрибуты качества в CI и записывают измеренные результаты относительно базовых значений; компромиссы квантифицированы. | Архитектура непрерывно развивается по этим данным по организации; документы остаются достаточно надёжными для аудиторов по мере адаптации системы. |
| Архитектурные стили и шаблоны | Один запутанный монолит или случайная распределённая каша; границы следуют слоям или истории; стиль выбран по моде. | Намеренные модульные границы или несколько крупных сервисов; некоторые сквозные заботы согласованы; разделения всё ещё стихийны. | Сервисы, согласованные с ограниченными контекстами, владеющие своими данными; шлюз/BFF где уместно; чистая/гексагональная слоистость стандартна. | Стилевые решения основаны на свидетельствах и используют измеренные зацепление, задержку и данные о цене изменений относительно базовых значений. | Зрелая платформа делает распределение дешёвым; организация вновь консолидирует, когда разделение перестаёт окупаться, и адаптирует стиль по мере изменения свидетельств. |
| Распределённые системы | Удалённые вызовы воспринимаются как локальные; нет/наивные повторы; сбои каскадируют; отладка это блуждание по журналам каждой машины. | Тайм-ауты и базовые повторы существуют, но непоследовательны; некоторая идемпотентность; журналы централизованы, но не коррелированы. | Идемпотентность, отсрочка, предохранители, переборки через общие библиотеки; саги; распределённая трассировка; документированная согласованность на поток. | Устойчивость измеряется относительно SLO; результаты внедрения сбоев и доли сбоев отслеживаются относительно базовых значений. | Устойчивость умолчание платформы, непрерывно тестируемая внедрением сбоев; изящная деградация заложена в проект и развивается по организации. |
| Архитектура данных и хранение | Одна база данных для всех целей; нет дисциплины миграций; случайное кэширование; масштаб большей машиной. | Выбор хранилищ в основном намерен; кэш и, возможно, хранилище данных; версионированные миграции порой требуют простоя. | Полиглотная персистентность, подобранная под нагрузки, каждое хранилище имеет владельца; автоматизированные миграции без простоя; явное кэширование и реплики. | Выбор хранилищ измеряется относительно паттернов доступа, задержки и базовых значений цены; решения о шардировании и кэшировании основаны на данных. | Архитектура данных непрерывно рецензируется и развивается по организации; миграции автоматизированы и проверяются по мере изменения нагрузок. |
| Масштабируемость, производительность, устойчивость | Один экземпляр или вертикальное масштабирование; состояние на сервере; нет нагрузочного тестирования или бюджетов; сбои вызывают полные отказы. | Горизонтально масштабируемые уровни без состояния; базовое автомасштабирование; некоторое предзапусковое нагрузочное тестирование; аварийное восстановление документировано, но редко тестируется. | Мощность планируется с запасом; бюджеты производительности в CI; шаблоны устойчивости стандартны; RTO/RPO определены, а аварийное восстановление тестируется. | Мощность прогнозируется по измеренной нагрузке; бюджеты производительности и RTO/RPO отслеживаются относительно базовых значений. | Мультирегиональное автоматическое переключение, непрерывный хаос и учебные дни доказывают и улучшают цели восстановления по мере развития системы по организации. |
| Модернизация унаследованных систем | Унаследованное боятся и замораживают; нет описи; модернизация это переписывание «всё или ничего»; знания в уходящих головах. | Опись существует и часть риска понята; унаследованное обёрнуто API; мышление всё ещё «большого взрыва»; миграция недооценена. | Системы приоритизированы по риску и ценности; «душащая фига» и ветвление через абстракцию стандартны; миграция сверяется параллельной работой. | Модернизация управляется как портфель с измеренным риском, ценностью и прогрессом относительно базовых значений. | Модернизация непрерывна по организации; инкрементальная замена рутинна, обратима и адаптируется по мере сдвигов приоритетов. |
Часть 4. Безопасность
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Основы безопасности и культура | Безопасность реактивна и централизована; рецензии поздно, если вообще; нет моделирования угроз; безопасность «чужая проблема». | Команда безопасности определяет стандарты; некоторое моделирование угроз на крупных проектах; базовое обучение; безопасность воспринимается как барьер. | Встроенные чемпионы безопасности; моделирование угроз рутинно; безопасный SDLC документирован; приоритизация по риску; безвинные рецензии. | Метрики безопасности (покрытие моделированием угроз, время от находки до исправления, принятие контролей) отслеживаются относительно базовых значений. | Безопасность действительно дело каждого; моделирование угроз привычно; нулевое доверие в основном реализовано, а практика непрерывно улучшается по организации. |
| Безопасность приложений | Безопасность зависит от знаний отдельных людей; нет стандартных контролей; секреты в коде; устаревшие зависимости; стихийная аутентификация. | Осведомлённость об OWASP Top 10; некоторые защиты фреймворков; менеджер секретов используется неравномерно; редкое сканирование зависимостей. | Требования на основе ASVS по уровням; параметризованные запросы; центральная идентичность с MFA; управляемые секреты; SBOM и сканирование конвейера. | Плотность уязвимостей, среднее время устранения и покрытие контролями измеряются относительно базовых значений по сервисам. | Безопасные умолчания поставляются во фреймворках проторённой дороги; недолговечные учётные данные и полная гарантия цепочки поставок (SLSA) проверяются непрерывно по организации. |
| Безопасность инфраструктуры и облака | Ручное предоставление; широкие разрешения и статические ключи; плоские сети; непоследовательное шифрование; нет управления состоянием. | Некоторые роли IAM и MFA; базовые уровни сети; шифрование в покое для основных хранилищ; периодические ручные рецензии; частичный IaC. | RBAC/ABAC с наименьшими привилегиями и недолговечными учётными данными; сегментация «запрет по умолчанию»; шифрование по умолчанию через KMS; CSPM с политикой. | Состояние, дрейф и метрики нарушений политик отслеживаются относительно базовых значений; эффективность ограждений измеряется. | Безопасные умолчания поставляются в посадочных зонах и IaC; микросегментация и превентивные ограждения непрерывно развиваются, а дрейф автоматически устраняется по организации. |
| Операции безопасности | Тестирование безопасности ручное и редкое; нет центрального журналирования или SIEM; нет плана инцидентов; стихийное применение исправлений; никогда не тестировалось состязательно. | Некоторые сканеры в конвейере; центральное журналирование; базовый план инцидентов; свободные сроки исправлений; ежегодный тест на проникновение. | Полное сканирование DevSecOps с барьерами по риску; SIEM с некоторым SOAR; отрепетированное реагирование на инциденты с настольными учениями; SLA устранения; красная команда. | MTTD и MTTR измеряются относительно базовых значений; покрытие обнаружения сопоставлено с техниками противника и отслеживается. | Тестирование и реагирование в высокой степени автоматизированы; фиолетовая команда и инженерия обнаружения улучшаются непрерывно и адаптируются к новым угрозам по организации. |
| Приватность и защита данных | Персональные данные собираются свободно; нет описи, минимизации или хранения; согласие запоздалая мысль; нет процесса прав. | Существуют политика приватности и базовое согласие; некоторая осведомлённость о хранении; запросы прав обрабатываются вручную и медленно. | Приватность по замыслу с DPIA; данные картированы и классифицированы; хранение принуждается; правовое основание документировано; права исполняются в срок. | Состояние приватности измеряется: покрытие описи данных, соблюдение хранения и оборачиваемость запросов прав относительно базовых значений. | Приватность умолчательное инженерное ограничение; минимизация и автоматизированное хранение стандартны; запросы прав самообслуживаемы, а практика адаптируется по организации. |
| Соответствие и управление | Соответствие реактивно; нет рамки контролей; свидетельства собираются вручную под срок; частые находки. | Ключевые рамки выявлены; некоторые документированные контроли; аудиты проходятся с тяжёлыми ручными усилиями; доступность рассматривается поздно. | Единая рамка контролей перекрёстно сопоставляет стандарты; свидетельства частично автоматизированы; доступность тестируется; записи и разрешения установлены. | Эффективность контролей и покрытие свидетельствами измеряются непрерывно относительно базовых значений; находки трендируются. | Соответствие непрерывно с всегда включёнными свидетельствами и соответствием как кодом; новые сертификации дёшевы, а рамка адаптируется по организации, готовая к аудиту в любой момент. |
Часть 5. Дизайн UI/UX
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Основы UX | Нет выделенной практики UX; решения по мнению; исследования стихийны; непоследовательные потоки и терминология. | Несколько дизайнеров и редкое тестирование удобства; персоны не поддерживаются; UX это фаза, нередко обходимая. | Непрерывные смешанные исследования питают приоритизацию; общие персоны, карты путей и информационная архитектура; барьеры качества UX в определении готовности. | Метрики UX (успех задачи, удовлетворённость, оценки удобства) отслеживаются относительно базовых значений наряду с бизнес-метриками. | Исследования непрерывны и связаны с результатами; контролируемые эксперименты замыкают цикл, а выводы распространяются по командам по мере развития продуктов. |
| Дизайн UI и системы дизайна | Каждая команда строит свой UI; нет общих компонентов; непоследовательный вид; зашитые цвета и отступы. | Частичное руководство по стилю или библиотека компонентов существует, но необязательна и нередко рассинхронизирована между дизайном и кодом. | Токенизированная система дизайна с поддерживаемой кодированной библиотекой, документацией и управлением используется по командам; доступность встроена. | Соответствие дизайна и кода, принятие компонентов и дрейф измеряются относительно базовых значений; версионирование отслеживается. | Система это управляемый продукт с дорожной картой; она непрерывно улучшается по организации, а ребрендинг становится изменением токенов. |
| Доступность | Нет практики доступности; проблемы находятся через жалобу или иск; несемантическая, нетестируемая разметка. | Осведомлённость есть; некоторое автоматизированное сканирование и предзапусковый аудит; доступность поздний контрольный список, нередко деприоритизируемый. | WCAG 2.2 AA стандарт; доступность встроена в систему дизайна, тестируется и входит в определение готовности; команды обучены и есть владелец. | Соответствие доступности измеряется в CI относительно базовых значений WCAG; доли дефектов и результаты аудитов отслеживаются. | Доступность непрерывна; люди с инвалидностью вовлечены в исследования; она встроена в закупки, токены и CI и улучшается по организации. |
| Дизайн содержимого и коммуникации | Нет практики содержимого; слова пишутся стихийно; непоследовательные терминология и тон; бесполезные ошибки и пустые состояния. | Руководство по стилю может существовать; некоторая осведомлённость о простом языке; содержимое всё ещё на поздней стадии и на команду с малым повторным использованием. | Стратегия содержимого, руководство по голосу и тону и глоссарий используются по командам; стандарт простого языка; общие шаблоны. | Содержимое измеряется относительно результатов (понимание, завершение задач, доли ошибок) против базовых значений. | Содержимое непрерывно улучшается по этим свидетельствам; тёмные паттерны запрещены и проверяются; шаблоны локализованы и по умолчанию доступны по организации. |
| Интернационализация и локализация | Один язык; зашитые строки; допущения не-Unicode; новые локали требуют изменений кода. | Строки вынесены, используется Unicode, но локализация ручная предзапусковая партия; форматирование и множественные числа непоследовательны. | Общая архитектура i18n и учитывающее локаль форматирование; TMS и непрерывный конвейер; псевдолокализация и мультилокальный CI. | Покрытие локализацией, свежесть строк и доли дефектов локалей измеряются относительно базовых значений. | i18n принуждается инструментами и линтером по командам; локализация непрерывна, культурная адаптация систематична, а новые локали запускаются быстро. |
| Фронтенд-инженерия | Стихийный фронтенд на команду; тяжёлый клиентский код; нет бюджетов; тестирование только на устройствах команды; фреймворк по хайпу. | Некоторые общие инструменты и библиотека компонентов; производительность измеряется время от времени, не бюджетируется; ограниченное тестирование на разных устройствах. | Фреймворк и рендеринг выбираются намеренно на поверхность; бюджеты принуждаются в CI с RUM; прогрессивное улучшение стандартно. | Производительность, устойчивость и охват измеряются относительно базовых значений реальных пользователей и бюджетов; регрессии валят сборку. | Эти сигналы связаны с результатами и непрерывно улучшаются по поверхностям по мере развития фронтенда и его пользователей. |
Часть 6. Искусственный интеллект
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Стратегия и готовность к ИИ | Стихийные эксперименты; нет общей стратегии; решения движимы хайпом и личным энтузиазмом. | Постановка проблемы на некоторых проектах; первая платформенная базовая линия; «строить или покупать» обсуждается, но непоследовательно. | Портфель сценариев использования с ясными метриками, дерево решений, оценки готовности и анализ привязки/TCO. | Ценность сценариев использования, принятие и готовность измеряются относительно базовых значений; ROI портфеля отслеживается. | Стратегия ИИ интегрирована с бизнес-планированием и планированием рисков; готовность поддерживается непрерывно, а системы пересматриваются по свидетельствам по организации. |
| MLOps | Модели строятся стихийно в блокнотах; ручное развёртывание; нет версионирования данных/моделей; нет мониторинга. | Некоторое отслеживание экспериментов и реестр моделей; полуавтоматическое развёртывание; базовый мониторинг для нескольких моделей. | Общая платформа с хранилищем признаков, реестром, воспроизводимыми конвейерами, происхождением; мониторинг дрейфа/качества; управляемое продвижение. | Качество модели, дрейф и бизнес-воздействие измеряются относительно базовых значений; переобучение запускается по порогам с барьерами. | Жизненный цикл полностью автоматизирован и проверяем; проторённые дороги самообслуживания и непрерывная оценка улучшают модели по организации по мере сдвига данных. |
| Генеративный ИИ и приложения на LLM | Стихийные подсказки в изолированных проектах; нет привязки, ограждений или оценки; галлюцинации находятся в производстве. | Некоторый RAG и версионирование подсказок; базовая валидация вывода; малый ручной набор оценки. | Общие шаблоны для RAG, ограждений и использования инструментов; автоматизированная офлайн-оценка при каждом изменении; онлайн-метрики и человеческая рецензия. | Офлайн- и онлайн-оценки, доли галлюцинаций и инъекций измеряются относительно базовых значений. | Оценка связана с результатами и улучшается непрерывно; защиты от инъекций, управляемые наблюдаемые агенты и смягчение адаптируются по организации. |
| Разработка ПО с помощью ИИ | Отдельные люди используют ассистентов стихийно; нет политики; нет измерения; секреты и ИС под риском. | Базовое руководство по использованию и правила данных; некоторое сканирование безопасности; анекдотические заявления о продуктивности. | Ясные нормы по уровню риска; обязательные рецензия и сканирование; честные метрики результатов; безопасное развёртывание и раскрытие. | Влияние помощи на поставку и качество измеряется относительно базовых значений; покрытие проверкой отслеживается. | Проверка сильна в конвейере; развитие навыков намеренно, а политика адаптируется непрерывно по мере изменения инструментов и свидетельств по организации. |
| Ответственный и заслуживающий доверия ИИ | Нет тестирования справедливости, объяснений или управления; ответственность не определена; проблемы находятся только после вреда. | Некоторое тестирование смещения и документация; стихийный надзор; осведомлённость о рамках, но частичное принятие. | Управление сопоставлено с признанными рамками; систематическое тестирование справедливости/безопасности/приватности; документированные надзор и апелляции; красная команда. | Метрики справедливости, безопасности и приватности мониторятся в производстве относительно базовых значений и порогов. | Управление интегрировано в поставку; ответственность дело каждого, а подход непрерывно улучшается по организации. |
| Инфраструктура и эксплуатация ИИ | Стихийное выделение GPU; нет пакетной обработки или кэширования; нет видимости цены; неверсионированные подсказки; минимальный мониторинг. | Некоторое общее планирование и кэширование; базовое отслеживание цены; подсказки в системе контроля версий; стихийная оценка. | Общая платформа с планированием, квотами, пакетной обработкой, кэшированием, подгонкой размеров; векторная инфраструктура; автоматизированная оценка; атрибуция цены. | Загрузка, цена за результат и задержка измеряются относительно базовых значений; бюджеты и квоты принуждаются. | Маршрутизация и масштабирование автоматизированы, наблюдаемость LLMOps полная, а загрузка и цена непрерывно оптимизируются с сохранением переносимости по организации. |
Часть 7. Данные, аналитика и озарение
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Стратегия данных и управление | Данные недокументированы и без владельца; конфликтующие определения; качество обнаруживается, когда ломаются отчёты; нет каталога или происхождения. | У некоторых наборов данных есть владельцы и документы; частичный каталог; ручные реактивные проверки качества; политика написана, но слабо принуждается. | У критичных продуктов данных есть владельцы, контракты, SLA; каталог с автоматизированным происхождением; непрерывное качество; федеративное управление. | Качество данных, соблюдение контрактов и свежесть измеряются относительно SLA и базовых значений. | Данные как продукт норма; контракты принуждаются автоматически, ограждения самообслуживания адаптируются, а определениям доверяют по всему предприятию. |
| Инженерия данных | Стихийные скрипты, ручные запуски, нет тестов или мониторинга; сбои находят потребители; цены неуправляемы. | Некоторая оркестрация и планирование; базовые преобразования в системе контроля версий; редкие тесты; реактивное тушение пожаров. | ELT со слоистыми, тестируемыми, версионированными моделями; оркестрированные зависимости с повторами/дозаполнением; наблюдаемость; цены отслеживаются. | Надёжность конвейера, свежесть и цена измеряются относительно SLA; аномалии обнаруживаются относительно базовых значений. | Конвейеры это программное обеспечение с CI/CD, контрактами и тестированием; платформа непрерывно улучшается, а новые продукты данных отгружаются быстро по организации. |
| Аналитика и бизнес-аналитика | Отчёты строятся стихийно в электронных таблицах; непоследовательные метрики; вводящие в заблуждение графики; нет управления. | Инструмент BI с некоторыми общими панелями; определения метрик всё ещё расходятся; неконтролируемое самообслуживание и разрастание начинаются. | Семантический слой определяет основные метрики один раз; сертифицированное против экспериментального содержимого; самообслуживание в рамках ограждений; управляемый жизненный цикл. | Использование метрик, свежесть и изменения определений отслеживаются относительно базовых значений; сертифицированное содержимое мониторится. | Метрики управляются как API с владельцами и журналами изменений; аналитика охватывает от описательной до предписывающей и встраивается в точки решений по организации. |
| Продуктовая аналитика и экспериментирование | Мало/непоследовательное инструментирование; решения по мнению; нет экспериментов; метрики тщеславия; небрежное согласие. | Некоторые события отслеживаются, но таксономия непоследовательна; редкие A/B-тесты без анализа мощности; северная звезда предложена, но не встроена. | Управляемый проверенный план отслеживания; воронки/когорты/удержание рутинны; эксперименты на общей платформе; согласие обрабатывается надлежащим образом. | Объём экспериментов, мощность и доли побед измеряются относительно базовых значений; покрытие инструментированием отслеживается. | Экспериментирование умолчание; общий репозиторий результатов и инструментирование с владельцами позволяют организации учиться накопительно и адаптироваться. |
| Наука о решениях и культура данных | Решения по иерархии и интуиции; корреляция воспринимается как причинность; неопределённость игнорируется; метрики следят и подкручиваются. | Данные привлекаются выборочно, чтобы оправдать решения; некоторая осведомлённость о причинных ловушках; неопределённость редко сообщается. | Анализы привязаны к решениям с заранее определёнными критериями; корреляция отличается от причинности; неопределённость сообщается; ориентация на результат. | Качество решений и калибровка прогнозов отслеживаются относительно результатов и базовых значений. | «Что изменило бы наше мнение?» рутинно; причинная строгость и честная неопределённость нормы, а руководители заметно обновляют взгляды по свидетельствам по организации. |
Часть 8. Автоматизация
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| CI/CD и поставка | Сборки и развёртывания в основном ручные и непоследовательные; поздняя интеграция; нечастые стрессовые выпуски; ручной откат. | Автоматизированные сборки и модульные тесты на коммит; скриптованные, но вручную контролируемые развёртывания; артефакты могут пересобираться на каждой стадии. | Стандартизированный конвейер продвигает один неизменяемый артефакт по окружениям с автоматизированными барьерами; канарейка/сине-зелёное; автоматические записи изменений. | Метрики DORA (время выполнения, частота развёртываний, доля неудачных изменений, MTTR) отслеживаются относительно базовых значений и ограничивают откаты. | Прогрессивная поставка отделяет выпуск через флаги; конвейер самоулучшается, а свидетельства соответствия автоматичны по организации. |
| Инфраструктура как код и конфигурация | Инфраструктура предоставляется вручную; непоследовательные недокументированные окружения; медленное неопределённое восстановление. | Часть инфраструктуры скриптована, но практики различаются; непоследовательное состояние; частый дрейф; политика принуждается ручной рецензией. | Декларативный IaC стандарт из общих версионированных модулей с удалённым состоянием; ограждения политики как кода; регулярное обнаружение дрейфа. | Дрейф, время предоставления и доли нарушений политик измеряются относительно базовых значений; свидетельства соответствия автоматичны. | Инфраструктура неизменяема, управляется GitOps и самовосстанавливается; библиотека модулей и политик непрерывно улучшается и адаптируется по организации. |
| Контейнеры, оркестрация, облачная нативность | Контейнеры используются стихийно; образы собраны вручную и несканированы; ручное развёртывание; нет общей платформы или модели изоляции. | Команды контейнеризуют и используют оркестратор, но практики различаются; непоследовательное сканирование и лимиты; неуправляемые цена и арендность. | Стандартизированная платформа с укреплёнными образами, барьерами подписи/сканирования, арендностью по пространствам имён с квотами и сетевой политикой, распределением цены. | Загрузка, плотность и цена на нагрузку измеряются относительно базовых значений; оптимизация FinOps основана на данных. | Платформа самообслуживания и самовосстановления с сильной мультиарендностью остаётся переносимой и готовой к гибридному/суверенному режиму и непрерывно улучшается по организации. |
| Платформенная инженерия и DevEx | Нет платформы; каждая команда собирает свои инструменты непоследовательно; передачи через заявки; высокая когнитивная нагрузка. | Некоторые общие инструменты и шаблоны, но фрагментарные и частично ручные; ограниченное самообслуживание; DevEx не измеряется. | Платформенная команда ведёт проторённые пути, самообслуживаемое предоставление, портал разработчика и карточки оценки; ограждения в проторённых дорогах; DevEx измеряется. | Принятие, оценки DevEx и сигналы когнитивной нагрузки измеряются относительно базовых значений и рассматриваются. | Зрелый платформенный продукт непрерывно улучшается по этой обратной связи; добровольное принятие высоко, а управление остаётся невидимым в рабочем процессе по организации. |
| Автоматизация тестов и процессов | Тестирование и эксплуатация в основном ручные; непоследовательное покрытие; процедуры в головах или в устаревших документах; свидетельства соответствия вручную. | Автоматизированные тесты существуют, но медленные/нестабильные и запускаются непоследовательно; некоторые операционные скрипты; ручное устранение; управление периодической рецензией. | Быстрая, параллельная, надёжная тестовая инфраструктура; кодифицированные руководства по эксплуатации; ChatOps; автоматически генерируемые свидетельства соответствия; управление как автоматизированные проверки. | Покрытие автоматизацией, доли ложных срабатываний и времена устранения измеряются относительно базовых значений. | Рутинные инциденты автоматически устраняются с защитами; соответствие непрерывно и готово к аудиту, а люди сосредоточены на суждении по организации. |
Часть 9. Эксплуатация, надёжность и наблюдаемость
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Инженерия надёжности сайтов | Эксплуатация ручная и реактивная; нет SLO; надёжность мнение; одни и те же инциденты повторяются; доминирует тушение пожаров. | У ключевых сервисов есть базовые SLI/SLO; некоторый мониторинг и оповещения; рутинный труд признан, но не измеряется; непоследовательные разборы. | Бюджеты ошибок влияют на приоритизацию; рутинный труд измеряется и ограничивается; рутинное планирование мощности; финансируемая автоматизация; PRR и модель взаимодействия. | Бюджеты ошибок, рутинный труд и достижение SLO измеряются относительно базовых значений и управляют приоритизацией. | Политика бюджета ошибок автоматизирована и соблюдается; эксплуатация самообслуживания и проактивная мощность позволяют организации обменивать скорость и стабильность на данных и адаптироваться. |
| Наблюдаемость и мониторинг | Базовые проверки времени работы и неструктурированные журналы на машину; отладка значит SSH; шумные игнорируемые оповещения. | Централизованные метрики и агрегация журналов; некоторые панели и пороговые оповещения; частичные/отсутствующие трассы; ручная корреляция. | Инструментирование OpenTelemetry с распространяемыми идентификаторами трасс; структурированные журналы, трассировка, курируемые панели, оповещения по симптомам SLO; устойчивое дежурство. | Качество оповещений, MTTD и цена телеметрии измеряются относительно базовых значений; оповещения по скорости сжигания настроены под SLO. | Наблюдаемость с высокой кардинальностью и богатая событиями поддерживает стихийное расследование; хранение оптимизировано по цене, а телеметрия информирует решения по организации. |
| Управление инцидентами | Инциденты обрабатываются стихийно тем, кто заметил; нет ролей, серьёзности или разборов; неформальное дежурство; сбои повторяются. | Базовые ротации дежурств и серьёзности; некоторые разборы, но неясные роли и непоследовательно отслеживаемые корректирующие действия. | Формальная система командования инцидентами с ясными ролями и критериями; безвинные разборы стандартны; действия отслеживаются; дежурство компенсируется. | Частота инцидентов, MTTR и нагрузка дежурств измеряются относительно базовых значений; повторяющиеся причины трендируются. | Реагирование репетируется через учебные дни; дежурство остаётся устойчивым и спокойным, а совокупный анализ управляет структурными вложениями по мере обучения организации. |
| Цена, устойчивость, зелёное ПО | Облачные цены ежемесячный сюрприз; нет тегирования, распределения или осознания углерода; щедрое пересматриваемое предоставление. | Базовая видимость цены и тегирование; некоторая реактивная подгонка размеров и очистка простаивающего; устойчивость признана, но не измеряется. | Практика FinOps с атрибуцией, бюджетами, прогнозами, оповещениями об аномалиях, обязательствами, подгонкой размеров; углерод измеряется для крупных сервисов. | Цена и углерод измеряются на команду относительно бюджетов и базовых значений; аномалии помечаются. | Цена и углерод непрерывные сигналы, которыми владеют команды; эффективные умолчания, автоматизированная оптимизация и учитывающее углерод планирование непрерывно улучшаются по организации. |
Часть 10. Управление проектами, продуктами и программами
| Тема | Уровень 1 Начальный | Уровень 2 Развитие | Уровень 3 Стандартизация | Уровень 4 Управление | Уровень 5 Оркестрация |
|---|---|---|---|---|---|
| Управление портфелем и программами | Приоритеты задаёт тот, кто громче просит; нет вида портфеля; зависимости всплывают как кризисы; ежегодная суета с финансированием. | Периодически рецензируемая опись портфеля; опубликованные цели слабо связаны с работой; реестр зависимостей; проектное бюджетирование. | Стратегия каскадируется через OKR; последовательная рамка приоритизации; межкомандное планирование управляет зависимостями; постоянное финансирование команд. | Результаты портфеля, предсказуемость поставки и число зависимостей измеряются относительно базовых значений. | Портфель непрерывно перебалансируется по свидетельствам результатов; зависимости устраняются проектом, а ритм финансирования соответствует ритму обучения по организации. |
| Риски, аудит и гарантии | Риск обрабатывается реактивно после инцидентов; нет рамки или реестра; недокументированные контроли; болезненные ручные аудиты. | Реестры рисков для крупных систем; принята рамка контролей, аудиты проходятся, но вручную и в момент времени; поставщики оцениваются при подключении. | Модель трёх линий и общая рамка по организации; многие контроли автоматизированы; непрерывный мониторинг; описи поставщиков/SBOM; плановое аварийное восстановление. | Эффективность контролей, число открытых рисков и находки аудита измеряются относительно аппетита к риску и базовых значений. | Гарантии непрерывны и в основном автоматизированы; аудиторы выбирают живые свидетельства, а целостность цепочки поставок проверяется по мере эволюции рисков по организации. |
| Закупки, открытый исходный код, лицензирование | Открытый исходный код добавляется свободно; нет политики или описи; лицензии не изучаются; конец срока службы обнаруживается случайно; нет владельца. | Базовая политика и список одобренных лицензий; некоторое ручное/позднее сканирование; опись для крупных систем; стихийный вклад. | OSPO владеет стратегией и инструментами; автоматизированное сканирование лицензий/уязвимостей и атрибуция; SBOM; ясный вклад; конец срока службы отслеживается. | Соблюдение лицензий, актуальность зависимостей и экспозиция уязвимостям измеряются относительно базовых значений. | Открытый исходный код управляемый стратегический актив с полностью автоматизированным соответствием; вложения вверх по течению намеренны, а актуальность и конец срока службы управляются непрерывно по организации. |
| Поддержка больших и долгоживущих систем | Системы зависят от героев; владение по памяти; недокументированные знания; системы заморожены, пока не сломаются; выводы из эксплуатации никогда не завершаются. | Владение назначено и записано для крупных систем; некоторые документы и руководства по эксплуатации; у очевидных критичных функций есть резервный человек; реактивное сопровождение. | Владение на уровне команды в каталоге, переживающее реорганизации; коэффициент автобуса измеряется и смягчается; записи решений и руководства по эксплуатации; инкрементальная модернизация. | Коэффициент автобуса, покрытие владением и прогресс передачи знаний измеряются относительно базовых значений. | Стюардство финансируемая дисциплина; ни одна критичная система не единая точка человеческого отказа, а передача знаний и плановые завершения продолжаются по организации. |
| Этика, подотчётность, общественный интерес | Этика не затрагивается или реактивна после скандала; доступность игнорируется; непрозрачные автоматизированные решения без средств возмещения; смещение не тестируется. | Кодекс поведения и некоторая (поздняя) доступность; громкие автоматизированные решения получают некоторый надзор; редкие проверки смещения. | Этическая рецензия часть процесса; доступность заложена в проект и тестируется с пользователями; значимые решения несут объяснение и средства возмещения. | Результаты по равенству, доступности и алгоритмической подотчётности мониторятся относительно базовых значений. | Ответственность встроена в то, как организация строит; равенство не подлежащее обсуждению умолчание, а алгоритмическая подотчётность стандартна и непрерывно улучшается по организации. |
Общая самооценка зрелости
Используйте матрицы выше, чтобы получить лёгкую честную оценку.
Рубрика оценки
- Оцените каждую главу от 1 до 5, используя уровень, чьё описание лучше всего соответствует вашей типичной реальности. Когда поведение непоследовательно, ставьте более низкий уровень.
- Усредните по частям. Сложите оценки глав в части и разделите на число глав. Это даёт зрелость на часть (например, «Часть IV в среднем 2,5»).
- Записывайте минимум, а не только среднее. Часть, в среднем дающая 3,0, но содержащая главу Уровня 1, несёт риск этой главы независимо от среднего.
- Стройте тренд. Переоценивайте каждый квартал или два и следите за направлением движения. Предметная область, движущаяся 2 → 3, здоровее той, что застряла на статичной 3.
Простая рабочая таблица на часть:
| Часть | Оценено глав | Среднее | Самая низкая глава | Заметки / приоритет |
|---|---|---|---|---|
| I-X | число | среднее | мин. уровень | … |
Приоритизация того, что улучшать
Не пытайтесь поднять всё сразу и не гонитесь за наивысшим средним. Приоритизируйте по взвешенному по риску разрыву зрелости: атакуйте области, где низкий уровень встречается с высокими последствиями.
- Сначала: главы с самой низкой зрелостью в ваших самых рискованных областях. Для большинства организаций это безопасность, приватность, надёжность, соответствие и любая система, чей сбой вредит людям или нарушает закон. Уровень 1 здесь срочен.
- Далее: фундаментальные факторы (культура, способы работы, CI/CD, IaC, наблюдаемость), поднимающие потолок для всех остальных областей. Их улучшение удешевляет последующие выигрыши.
- Позже: области, уже находящиеся на Уровне 3 и способные подняться до Уровня 4 или 5. Выходите за нижнюю планку только там, где ставки и масштаб оправдывают дополнительные вложения.
Базис для корпораций и государства
Корпоративные и государственные контексты обычно не могут остановиться на «это работает». Чтобы проходить аудиты, поддерживать разрешения и соответствовать регуляторным обязательствам и обязательствам общественной подотчётности, большинство областей должны достичь как минимум Уровня 3 (Стандартизация), уровня, на котором практики стандартизированы, документированы, принуждаются по командам и производят свидетельства. Уровень 2 обычно проваливает аудит, потому что непоследователен и собирается вручную под срок; Уровень 1 проваливает сразу.
Воспринимайте Уровень 3 как нижнюю планку для всего проверяемого или значимого для безопасности, а более высокие уровни (4 и 5) как цели только там, где непрерывная гарантия, масштаб или общественное доверие делают дополнительную строгость стоящей. Зрелость остаётся средством: цель защитимый соразмерный уровень контроля для риска, который вы действительно несёте, а не идеальная оценка.