12.4
12.4 Tự đánh giá mức độ trưởng thành
Mỗi chương trong cẩm nang này kết thúc bằng một “Mô hình trưởng thành” mô tả một thực hành thường tiến hóa thế nào. Phụ lục này hợp nhất mô hình trưởng thành của mọi chương thành một tham chiếu duy nhất để bạn đánh giá một đội, một lĩnh vực, hay cả tổ chức trong nháy mắt.
Thang năm mức dùng chung
Mọi chương mô tả cùng một sự tiến triển. Cách diễn đạt chính xác khác nhau đôi chút giữa các chương, nhưng ý định ánh xạ gọn vào năm mức này:
- Mức 1, Khởi đầu. Tùy nghi, phản ứng, và phụ thuộc cá nhân. Thực hành chỉ tồn tại nơi một cá nhân chọn chúng, nên kết quả phụ thuộc vào anh hùng chủ nghĩa và may rủi.
- Mức 2, Phát triển. Thực hành cơ bản tồn tại, nhưng chúng không nhất quán qua các đội, một phần thủ công, và thường bị đi vòng dưới áp lực.
- Mức 3, Chuẩn hóa. Thực hành được lập tài liệu, chuẩn hóa và thực thi toàn tổ chức. Đây là ngưỡng sàn kiểm toán và tuân thủ: mức mà hầu hết công việc doanh nghiệp và chính phủ phải đạt để đáng tin cậy và kiểm toán được.
- Mức 4, Quản lý. Thực hành được đo và kiểm soát bằng dữ liệu và chỉ số theo đường cơ sở. Bạn biết định lượng mỗi thực hành hoạt động thế nào, và hành động theo các con số.
- Mức 5, Điều phối. Thực hành được cải thiện liên tục, tích hợp trong toàn tổ chức, và thích ứng. Con đường an toàn hay đúng là mặc định, và tổ chức học và tiến hóa có chủ đích.
Cách dùng nó để tự đánh giá
- Với mỗi chương liên quan đến ngữ cảnh của bạn, hãy đọc năm ô bên dưới và chọn mức mô tả trung thực hành vi điển hình của bạn, không phải đội tốt nhất của bạn vào ngày tốt nhất, và không phải chính sách bằng văn bản của bạn, mà là điều thực sự xảy ra.
- Chấm mỗi chương từ 1 đến 5. Làm tròn xuống khi nghi ngờ; một thực hành không nhất quán là Mức 2, không phải Mức 3.
- Tính trung bình điểm trong một phần để thấy cả một lĩnh vực đang đứng ở đâu, rồi nhìn độ phân tán: một phần “trung bình 3” giấu một chương Mức 1 vẫn mang rủi ro Mức 1.
- Đánh giá lại định kỳ và theo dõi xu hướng. Chuyển động quan trọng hơn bất kỳ ảnh chụp đơn lẻ nào.
Trưởng thành là phương tiện, không phải đích
Độ trưởng thành cao hơn không tự động tốt hơn. Mục tiêu là độ khớp: đủ độ nghiêm ngặt để quản lý rủi ro và quy mô bạn thực sự đối mặt, và không hơn. Một công cụ nhỏ, rủi ro thấp không cần kỹ thuật hỗn loạn Mức 5. Với tới mức cao như cúp, thay vì để giải một vấn đề thật, tạo ra nghi thức không có giá trị. Hãy đọc mọi “Mức 5” bên dưới là “phù hợp khi rủi ro biện minh,” và để rủi ro, quy mô và phơi nhiễm quy định quyết định bạn leo bao xa.
Phần 1. Con người
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Văn hóa và giá trị kỹ thuật | Văn hóa tình cờ và phụ thuộc cá nhân; sự cố nghĩa là đổ lỗi; tri thức sống trong vài cái đầu. | Một số đội chạy rút kinh nghiệm và viết tài liệu, nhưng thực hành không nhất quán và không được lãnh đạo củng cố. | Học không đổ lỗi, mô hình sở hữu và văn hóa viết là chuẩn mực toàn tổ chức với kỳ vọng và công cụ rõ ràng. | Sức khỏe văn hóa được đo (khảo sát an toàn tâm lý, tỷ lệ học từ sự cố, giữ chân) và theo dõi theo đường cơ sở và hành động theo. | Văn hóa được cải thiện liên tục và thực hành lan giữa các đội; lãnh đạo điều chỉnh chuẩn mực khi tổ chức lớn lên và học. |
| Hình thái đội | Đội hình thành tình cờ hoặc theo số người; cấu trúc phản chiếu thứ bậc kế thừa; phụ thuộc khắp nơi. | Một số đội căn chỉnh theo luồng tồn tại, nhưng nút thắt dùng chung và silo chức năng vẫn còn. | Bốn loại đội và chế độ tương tác tường minh được dùng có chủ đích; nền tảng và InnerSource cắt phụ thuộc. | Tải nhận thức, luồng và số phụ thuộc được đo cho từng đội theo mục tiêu; ranh giới được điều chỉnh khi con số trượt. | Tổ chức liên tục định hình lại đội và chế độ tương tác để duy trì luồng khi sản phẩm và nền tảng tiến hóa. |
| Vai trò, bậc thang nghề nghiệp, tăng trưởng | Không có bậc thang bằng văn bản; thăng chức và lương tùy nghi và phụ thuộc cá nhân. | Một bậc thang cơ bản tồn tại nhưng áp dụng không nhất quán; không hiệu chuẩn; tuyển dụng không có cấu trúc. | Hai đường, ma trận năng lực rõ ràng, hiệu chuẩn và tuyển dụng có cấu trúc là chuẩn. | Tốc độ thăng tiến, công bằng lương và thời gian ở mỗi bậc được đo theo đường cơ sở; kết quả hiệu chuẩn được phân tích về thiên kiến. | Khung tiến hóa liên tục cùng công việc; bảo trợ và học nghề là có chủ đích và toàn tổ chức khi vai trò thay đổi. |
| Cách làm việc | Quy trình tùy nghi hoặc sùng bái hàng hóa; giao tiếp dựa vào họp và không có tài liệu; ước tính bị coi là lời hứa. | Một phương pháp luận được theo nhất quán, nhưng nghi thức máy móc và phối hợp xuyên đội nặng. | Thực hành được chọn khớp ngữ cảnh; giao tiếp bất đồng bộ, tài liệu trước là chuẩn; ước lượng thông tin, không kiểm soát. | Chỉ số luồng (thời gian chờ, công việc đang làm, thông lượng) được theo dõi theo đường cơ sở và rà soát mỗi chu kỳ. | Các đội liên tục điều chỉnh cách làm việc từ các chỉ số đó; nhu cầu phối hợp được tối thiểu hóa tại nguồn và thực hành tốt lan toàn tổ chức. |
| Ra quyết định và quản trị | Quyết định tùy nghi và không ghi lại; quản trị vắng mặt hoặc là nút thắt đồng loạt; nợ vô hình. | Một số quyết định được lập tài liệu và có rà soát, nhưng quy trình không nhất quán và không khớp trọng lượng quyết định. | ADR, đường lát sẵn, ủy quyền dựa trên khả năng đảo ngược và bản kiểm kê nợ là chuẩn và minh bạch. | Thời gian chu kỳ quyết định, tỷ lệ đảo ngược và mức nợ được đo; mức soi xét được hiệu chỉnh theo trọng lượng quyết định dựa trên các con số đó. | Quản trị được điều chỉnh liên tục qua tổ chức; soi xét nhắm vào quyết định không đảo ngược; nợ và nguồn lực được quản lý như danh mục tiến hóa. |
Phần 2. Lập trình phần mềm
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Tiêu chuẩn mã và phong cách | Phong cách theo từng tác giả; không có cấu hình dùng chung; định dạng bị tranh cãi trong rà soát. | Mỗi đội có trình định dạng và linter, nhưng cấu hình và quy tắc khác nhau giữa các đội. | Cấu hình dùng chung trung tâm cho từng ngôn ngữ; thực thi bằng CI; kho mới thừa hưởng tiêu chuẩn qua mẫu. | Mức áp dụng tiêu chuẩn, tỷ lệ vi phạm và tác động thời gian rà soát được đo theo đường cơ sở; cấu hình được đánh phiên bản và quản trị. | Tiêu chuẩn được tinh chỉnh liên tục từ dữ liệu đó và chia sẻ toàn tổ chức; thực thi gần như không ma sát và thích ứng với ngôn ngữ mới. |
| Nguyên tắc thiết kế phần mềm | Thiết kế tùy nghi; ghép nối tích lũy; nguyên tắc không được biết hoặc được viện dẫn như khẩu hiệu. | Các đội biết nguyên tắc và áp dụng, nhưng không nhất quán và thường giáo điều. | Từ vựng thiết kế chung, phân tích ghép nối/gắn kết có chủ đích, và ngữ cảnh giới hạn căn chỉnh với đội. | Chỉ số ghép nối, gắn kết và thay đổi thất bại thông tin cho rà soát thiết kế theo đường cơ sở; quyết định được ghi lại. | Quyết định thiết kế được xem xét lại khi bằng chứng tích lũy; nguyên tắc được áp dụng có sắc thái và lựa chọn mô hình thích ứng toàn tổ chức khi miền tiến hóa. |
| API và thiết kế giao diện | API xuất hiện từ triển khai; không có quy ước chung; thay đổi gây vỡ phổ biến và không báo trước. | Các đội theo quy ước REST cơ bản và đánh phiên bản không chính thức, nhưng nhất quán và tài liệu khác nhau. | Thiết kế hợp đồng trước, đặc tả máy đọc được, chính sách ngừng hỗ trợ, và quy ước lỗi/phân trang nhất quán. | Mức áp dụng, độ trễ, tỷ lệ lỗi và tần suất thay đổi gây vỡ được đo cho từng API theo mục tiêu. | API là sản phẩm được quản trị trong danh mục với DevEx mạnh; thực hành thích ứng liên tục và thay đổi gây vỡ hiếm và được quản lý tốt toàn tổ chức. |
| Chiến lược kiểm thử | Kiểm thử thủ công và tùy nghi; độ phủ tự động tối thiểu; thoái lui thường xuyên. | Kiểm thử đơn vị tự động và một số tích hợp tồn tại, nhưng bộ chậm hoặc chập chờn và lòng tin thấp. | Một bộ cân bằng, nhanh, đáng tin chặn cổng mọi thay đổi; chập chờn được quản lý; kiểm thử phi chức năng được tích hợp. | Chỉ số độ phủ, chập chờn, lỗi lọt và thời lượng bộ được theo dõi theo đường cơ sở để nhắm công sức. | Kỹ thuật nâng cao (thuộc tính, đột biến, fuzz) nhắm vào mã giá trị cao; chiến lược cải thiện liên tục và lan giữa các đội. |
| Rà soát mã và cộng tác | Rà soát không nhất quán hoặc bị bỏ qua; vấn đề cơ học chi phối; chuẩn mực phản hồi chưa đặt. | Rà soát được yêu cầu nhưng chậm và biến đổi; tự động hóa một phần; kích thước và chất lượng PR khác nhau nhiều. | PR nhỏ, kiểm tra cơ học tự động, tiêu chuẩn và chuẩn mực phản hồi rõ ràng, và độ trễ được giám sát. | Độ trễ rà soát, kích thước PR và tỷ lệ lỗi lọt được theo dõi theo mục tiêu; độ sâu được khớp với rủi ro đo được. | Tổ chức liên tục cải thiện rà soát từ dữ liệu đó; lập trình cặp và hỗ trợ AI được áp dụng có chủ đích và thực hành lan giữa các đội. |
| Quản lý phiên bản và nguồn | Phân nhánh tùy nghi; nhánh sống lâu; thông điệp kém; không quét bí mật; đau hợp nhất thường xuyên. | Mô hình phân nhánh và quy ước thông điệp nhất quán tồn tại, nhưng nhánh sống quá lâu và thực thi một phần. | Phát triển trên thân chính, nhánh chính được bảo vệ, quy ước commit được thực thi, quét bí mật, cấu trúc kho có chủ đích. | Thời gian sống nhánh, tần suất hợp nhất và tỷ lệ hoàn nguyên được đo theo chỉ số phân phối và đường cơ sở. | Tự động hóa thực thi vệ sinh đầu-cuối; cấu trúc kho và quy trình tiến hóa liên tục trong tổ chức khi nhu cầu phân phối đổi. |
| Tài liệu | Tài liệu thưa thớt, rải rác và cũ; tri thức sống trong đầu người. | Tài liệu chính tồn tại (README, một số sổ tay vận hành) nhưng bảo trì không nhất quán và khó tìm. | Tài liệu-dưới-dạng-mã với cấu trúc rõ ràng, tài liệu API và nhật ký thay đổi được sinh, hồ sơ quyết định, và kỳ vọng cập nhật. | Độ phủ, độ mới và độ chính xác tài liệu được đo theo đường cơ sở; sự cũ được gắn cờ tự động. | Tài liệu sống, phần lớn được sinh hoặc kiểm thử với hệ thống, có chủ sở hữu và tìm thấy được; thực hành cải thiện liên tục toàn tổ chức. |
Phần 3. Hệ thống
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Nền tảng kiến trúc | Kiến trúc ngầm và sống trong đầu; không có thuộc tính chất lượng hay ADR; quyết định nổi lên trong sự cố. | Sơ đồ chính tồn tại và quyết định lớn đôi khi được ghi; thuộc tính chất lượng được gọi tên nhưng hiếm khi định lượng; tài liệu trôi. | Kịch bản thuộc tính chất lượng và ASR được đặc tả; ADR thường lệ; tài liệu C4/arc42 được duy trì gần mã; rà soát đánh đổi diễn ra. | Hàm thích nghi thực thi thuộc tính chất lượng trong CI và ghi kết quả đo theo đường cơ sở; đánh đổi được định lượng. | Kiến trúc tiến hóa liên tục với dữ liệu đó qua tổ chức; tài liệu vẫn đủ tin cậy cho kiểm toán viên khi hệ thống thích ứng. |
| Phong cách và mẫu kiến trúc | Một nguyên khối rối rắm hoặc đống phân tán tình cờ; ranh giới theo tầng hay lịch sử; phong cách chọn theo mốt. | Ranh giới mô-đun có chủ đích hoặc vài dịch vụ thô; một số mối quan tâm xuyên suốt nhất quán; chia tách vẫn tùy nghi. | Dịch vụ căn chỉnh với ngữ cảnh giới hạn sở hữu dữ liệu của chúng; cổng/BFF nơi phù hợp; phân tầng sạch/lục giác là chuẩn. | Quyết định phong cách dựa trên bằng chứng, dùng dữ liệu ghép nối, độ trễ và chi phí thay đổi đo được theo đường cơ sở. | Một nền tảng trưởng thành làm phân tán rẻ; tổ chức hợp nhất lại khi một lần chia thôi sinh lời và thích ứng phong cách khi bằng chứng đổi. |
| Hệ thống phân tán | Lệnh gọi từ xa bị coi là cục bộ; không/ngây thơ thử lại; thất bại lan dây chuyền; gỡ lỗi là lục nhật ký theo từng máy. | Thời gian chờ và thử lại cơ bản tồn tại nhưng không nhất quán; một số lũy đẳng; nhật ký tập trung nhưng không tương quan. | Lũy đẳng, lùi theo cấp số, ngắt mạch, vách ngăn qua thư viện chung; saga; truy vết phân tán; nhất quán có tài liệu cho từng luồng. | Khả năng phục hồi được đo so với SLO; kết quả tiêm lỗi và tỷ lệ thất bại được theo dõi theo đường cơ sở. | Khả năng phục hồi là mặc định nền tảng, được kiểm thử liên tục bằng tiêm lỗi; suy giảm êm được thiết kế vào và tiến hóa toàn tổ chức. |
| Kiến trúc dữ liệu và lưu trữ | Một cơ sở dữ liệu cho mọi mục đích; không kỷ luật di chuyển; bộ đệm ngẫu nhiên; mở rộng bằng máy lớn hơn. | Lựa chọn lưu trữ phần lớn có chủ đích; một bộ đệm và có thể một kho dữ liệu; di chuyển có phiên bản đôi khi cần ngừng. | Lưu trữ đa ngôn ngữ khớp khối lượng công việc, mỗi kho có chủ sở hữu; di chuyển không ngừng tự động; bộ đệm và bản sao tường minh. | Lựa chọn lưu trữ được đo theo mẫu truy cập, độ trễ và đường cơ sở chi phí; quyết định phân mảnh và bộ đệm dựa trên dữ liệu. | Kiến trúc dữ liệu được rà soát và tiến hóa liên tục toàn tổ chức; di chuyển được tự động hóa và kiểm toán khi khối lượng công việc đổi. |
| Khả năng mở rộng, hiệu năng, khả năng phục hồi | Một thể hiện hoặc mở rộng dọc; trạng thái phía máy chủ; không kiểm thử tải hay ngân sách; thất bại gây ngừng hoàn toàn. | Tầng không trạng thái mở rộng ngang; co giãn tự động cơ bản; một số kiểm thử tải trước ra mắt; DR có tài liệu nhưng hiếm kiểm thử. | Năng lực được hoạch định với dư địa; ngân sách hiệu năng trong CI; mẫu phục hồi là chuẩn; RTO/RPO xác định và DR được kiểm thử. | Năng lực được dự báo từ tải đo được; ngân sách hiệu năng và RTO/RPO được theo dõi theo đường cơ sở. | Chuyển dự phòng tự động đa vùng, hỗn loạn liên tục và ngày diễn tập chứng minh và cải thiện mục tiêu khôi phục khi hệ thống tiến hóa toàn tổ chức. |
| Hiện đại hóa hệ thống kế thừa | Hệ thống kế thừa bị sợ và đóng băng; không kiểm kê; hiện đại hóa là viết lại tất-cả-hoặc-không; tri thức trong những cái đầu sắp nghỉ hưu. | Có bản kiểm kê và một số rủi ro được hiểu; hệ thống kế thừa được bọc bằng API; vẫn tư duy đại bùng nổ; di chuyển bị đánh giá thấp. | Hệ thống được ưu tiên theo rủi ro và giá trị; strangler-fig và phân nhánh-bằng-trừu-tượng là chuẩn; di chuyển được đối soát bằng chạy song song. | Hiện đại hóa được quản lý danh mục với rủi ro, giá trị và tiến độ đo được theo đường cơ sở. | Hiện đại hóa là liên tục toàn tổ chức; thay thế gia tăng là thường lệ, đảo ngược được, và thích ứng khi ưu tiên dịch chuyển. |
Phần 4. Bảo mật
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Nền tảng và văn hóa bảo mật | Bảo mật phản ứng và tập trung; rà soát muộn nếu có; không mô hình hóa mối đe dọa; bảo mật là “việc của người khác.” | Một đội bảo mật xác định tiêu chuẩn; một số mô hình hóa mối đe dọa trên dự án lớn; đào tạo cơ bản; bảo mật được coi là cổng. | Nhà vô địch bảo mật được nhúng; mô hình hóa mối đe dọa thường lệ; SDLC an toàn được lập tài liệu; ưu tiên dựa trên rủi ro; rà soát không đổ lỗi. | Chỉ số bảo mật (độ phủ mô hình hóa mối đe dọa, thời gian từ phát hiện đến sửa, mức áp dụng kiểm soát) được theo dõi theo đường cơ sở. | Bảo mật thực sự là việc của mọi người; mô hình hóa mối đe dọa thành thói quen; zero-trust phần lớn hiện thực hóa và thực hành cải thiện liên tục toàn tổ chức. |
| Bảo mật ứng dụng | Bảo mật phụ thuộc kiến thức cá nhân; không có kiểm soát chuẩn; bí mật trong mã; phụ thuộc cũ; xác thực tùy nghi. | Nhận thức OWASP Top 10; một số bảo vệ khung; trình quản lý bí mật dùng không đều; thỉnh thoảng quét phụ thuộc. | Yêu cầu dựa trên ASVS theo bậc; truy vấn tham số hóa; danh tính trung tâm với MFA; bí mật được quản lý; SBOM và quét quy trình. | Mật độ lỗ hổng, thời gian trung bình để khắc phục và độ phủ kiểm soát được đo theo đường cơ sở qua các dịch vụ. | Mặc định an toàn đi kèm trong khung đường lát sẵn; thông tin xác thực ngắn hạn và đảm bảo chuỗi cung ứng đầy đủ (SLSA) được xác minh liên tục toàn tổ chức. |
| Bảo mật hạ tầng và đám mây | Cung cấp thủ công; quyền rộng và khóa tĩnh; mạng phẳng; mã hóa không nhất quán; không quản lý tư thế. | Một số vai trò IAM và MFA; tầng mạng cơ bản; mã hóa khi lưu cho kho chính; rà soát thủ công định kỳ; IaC một phần. | RBAC/ABAC đặc quyền tối thiểu với thông tin xác thực ngắn hạn; phân đoạn từ chối-mặc-định; mã hóa mặc định với KMS; CSPM có chính sách. | Chỉ số tư thế, trôi và vi phạm chính sách được theo dõi theo đường cơ sở; hiệu quả rào chắn được đo. | Mặc định an toàn đi kèm trong vùng đáp và IaC; vi phân đoạn và rào chắn phòng ngừa tiến hóa liên tục và trôi được tự khắc phục toàn tổ chức. |
| Vận hành bảo mật | Kiểm thử bảo mật thủ công và hiếm; không nhật ký trung tâm hay SIEM; không kế hoạch sự cố; vá tùy nghi; chưa bao giờ bị kiểm thử đối kháng. | Một số máy quét trong quy trình; nhật ký trung tâm; kế hoạch sự cố cơ bản; thời hạn vá lỏng; kiểm thử xâm nhập hằng năm. | Quét DevSecOps đầy đủ với cổng dựa trên rủi ro; SIEM với một ít SOAR; IR được diễn tập qua tabletop; SLA khắc phục; đội đỏ. | MTTD và MTTR được đo theo đường cơ sở; độ phủ phát hiện được ánh xạ tới kỹ thuật đối thủ và theo dõi. | Kiểm thử và ứng phó được tự động hóa cao; đội tím và kỹ thuật phát hiện cải thiện liên tục và thích ứng với mối đe dọa mới toàn tổ chức. |
| Riêng tư và bảo vệ dữ liệu | Dữ liệu cá nhân thu thập tự do; không kiểm kê, tối thiểu hóa hay lưu giữ; đồng ý là suy nghĩ sau; không có quy trình quyền. | Chính sách riêng tư và đồng ý cơ bản tồn tại; một số nhận thức lưu giữ; yêu cầu quyền xử lý thủ công và chậm. | Riêng tư theo thiết kế với DPIA; dữ liệu được ánh xạ và phân loại; lưu giữ được thực thi; cơ sở pháp lý có tài liệu; quyền được đáp ứng đúng hạn. | Tư thế riêng tư được đo: độ phủ kiểm kê dữ liệu, tuân thủ lưu giữ và thời gian xử lý yêu cầu quyền theo đường cơ sở. | Riêng tư là ràng buộc kỹ thuật mặc định; tối thiểu hóa và lưu giữ tự động là chuẩn; yêu cầu quyền tự phục vụ và thực hành thích ứng toàn tổ chức. |
| Tuân thủ và quản trị | Tuân thủ phản ứng; không khung kiểm soát; bằng chứng lắp thủ công dưới hạn chót; phát hiện thường xuyên. | Khung chính được xác định; một số kiểm soát có tài liệu; kiểm toán đạt với công sức thủ công nặng; khả năng tiếp cận xét muộn. | Khung kiểm soát thống nhất ánh xạ chéo tiêu chuẩn; bằng chứng tự động một phần; khả năng tiếp cận được kiểm thử; hồ sơ và ủy quyền được thiết lập. | Hiệu quả kiểm soát và độ phủ bằng chứng được đo liên tục theo đường cơ sở; phát hiện được theo xu hướng. | Tuân thủ là liên tục với bằng chứng luôn bật và tuân-thủ-dưới-dạng-mã; chứng nhận mới tốn ít và khung thích ứng toàn tổ chức, sẵn sàng kiểm toán bất cứ lúc nào. |
Phần 5. Thiết kế UI/UX
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Nền tảng UX | Không có thực hành UX chuyên trách; quyết định theo ý kiến; nghiên cứu tùy nghi; luồng và thuật ngữ không nhất quán. | Một số nhà thiết kế và thỉnh thoảng kiểm thử khả dụng; persona không được duy trì; UX là một giai đoạn, thường bị bỏ qua. | Nghiên cứu hỗn hợp liên tục nuôi ưu tiên; persona, bản đồ hành trình và IA dùng chung; cổng chất lượng UX trong DoD. | Chỉ số UX (thành công tác vụ, hài lòng, điểm khả dụng) được theo dõi theo đường cơ sở cạnh chỉ số kinh doanh. | Nghiên cứu liên tục và gắn kết quả; thí nghiệm có kiểm soát khép vòng lặp và hiểu biết lan giữa các đội khi sản phẩm tiến hóa. |
| Thiết kế UI và hệ thống thiết kế | Mỗi đội xây UI riêng; không thành phần chung; diện mạo không nhất quán; màu và khoảng cách mã hóa cứng. | Một hướng dẫn phong cách hay thư viện thành phần một phần tồn tại nhưng tùy chọn và thường lệch giữa thiết kế và mã. | Hệ thống thiết kế dùng token với thư viện mã được duy trì, tài liệu và quản trị được dùng qua các đội; a11y tích hợp. | Tương đương thiết kế-mã, mức áp dụng thành phần và độ trôi được đo theo đường cơ sở; phiên bản được theo dõi. | Hệ thống là sản phẩm được quản trị với lộ trình; nó cải thiện liên tục toàn tổ chức và đổi thương hiệu thành thay đổi token. |
| Khả năng tiếp cận | Không có thực hành tiếp cận; vấn đề tìm thấy qua khiếu nại hoặc kiện tụng; đánh dấu phi ngữ nghĩa, chưa kiểm thử. | Có nhận thức; một số quét tự động và kiểm toán trước ra mắt; a11y là danh sách kiểm tra muộn, thường bị hạ ưu tiên. | WCAG 2.2 AA là chuẩn; a11y tích hợp trong hệ thống thiết kế, được kiểm thử, và trong DoD; các đội được đào tạo có chủ sở hữu. | Mức tuân thủ tiếp cận được đo trong CI theo đường cơ sở WCAG; tỷ lệ lỗi và kết quả kiểm toán được theo dõi. | Khả năng tiếp cận là liên tục; người khuyết tật tham gia nghiên cứu; nó được nhúng trong mua sắm, token và CI và cải thiện toàn tổ chức. |
| Thiết kế nội dung và giao tiếp | Không có thực hành nội dung; từ ngữ viết tùy nghi; thuật ngữ và giọng điệu không nhất quán; lỗi và trạng thái trống vô ích. | Một hướng dẫn phong cách có thể tồn tại; một số nhận thức ngôn ngữ đơn giản; nội dung vẫn ở giai đoạn muộn và theo từng đội ít tái sử dụng. | Chiến lược nội dung, hướng dẫn giọng điệu và bảng thuật ngữ dùng qua các đội; ngôn ngữ đơn giản là chuẩn; mẫu dùng chung. | Nội dung được đo theo kết quả (hiểu, hoàn tất tác vụ, tỷ lệ lỗi) so với đường cơ sở. | Nội dung được cải thiện liên tục từ bằng chứng đó; mẫu tối tăm bị cấm và kiểm toán; mẫu được bản địa hóa và tiếp cận được mặc định toàn tổ chức. |
| Quốc tế hóa và bản địa hóa | Một ngôn ngữ; chuỗi mã hóa cứng; giả định không phải Unicode; địa phương mới cần thay đổi mã. | Chuỗi được tách ra ngoài và dùng Unicode, nhưng bản địa hóa là lô thủ công trước ra mắt; định dạng và số nhiều không nhất quán. | Kiến trúc i18n dùng chung và định dạng nhận biết địa phương; TMS và quy trình liên tục; giả bản địa hóa và CI đa địa phương. | Độ phủ bản địa hóa, độ mới chuỗi và tỷ lệ lỗi địa phương được đo theo đường cơ sở. | i18n được thực thi bằng công cụ và lint qua các đội; bản địa hóa liên tục, thích ứng văn hóa có hệ thống, và địa phương mới ra mắt nhanh. |
| Kỹ thuật frontend | Frontend tùy nghi theo từng đội; mã client nặng; không ngân sách; chỉ kiểm thử trên thiết bị của đội; khung theo cơn sốt. | Một số công cụ dùng chung và thư viện thành phần; hiệu năng đo thỉnh thoảng, không có ngân sách; kiểm thử đa thiết bị hạn chế. | Khung và kết xuất được chọn có chủ đích cho từng bề mặt; ngân sách thực thi trong CI với RUM; cải tiến tiến dần là chuẩn. | Hiệu năng, khả năng phục hồi và tầm với được đo theo đường cơ sở và ngân sách người dùng thật; thoái lui làm hỏng bản dựng. | Các tín hiệu đó được gắn với kết quả và cải thiện liên tục qua các bề mặt khi frontend và người dùng của nó tiến hóa. |
Phần 6. Trí tuệ nhân tạo
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Chiến lược và sẵn sàng AI | Thí nghiệm tùy nghi; không chiến lược chung; quyết định do cơn sốt và nhiệt huyết cá nhân thúc đẩy. | Đóng khung vấn đề ở một số dự án; đường cơ sở nền tảng đầu tiên; xây-so-với-mua được bàn nhưng không nhất quán. | Danh mục các trường hợp sử dụng với chỉ số rõ ràng, cây quyết định, đánh giá sẵn sàng, và phân tích khóa chặt/TCO. | Giá trị trường hợp sử dụng, mức áp dụng và sự sẵn sàng được đo theo đường cơ sở; ROI danh mục được theo dõi. | Chiến lược AI được tích hợp với hoạch định kinh doanh và rủi ro; sự sẵn sàng được duy trì liên tục và hệ thống được thu hẹp phạm vi theo bằng chứng toàn tổ chức. |
| MLOps | Mô hình xây tùy nghi trong notebook; triển khai thủ công; không đánh phiên bản dữ liệu/mô hình; không giám sát. | Một số theo dõi thí nghiệm và registry mô hình; triển khai bán tự động; giám sát cơ bản cho vài mô hình. | Nền tảng dùng chung với kho đặc trưng, registry, quy trình tái tạo được, phả hệ; giám sát trôi/chất lượng; thăng cấp được quản trị. | Chất lượng mô hình, trôi và tác động kinh doanh được đo theo đường cơ sở; huấn luyện lại được kích hoạt theo ngưỡng với cổng. | Vòng đời được tự động hóa hoàn toàn và kiểm toán được; đường lát sẵn tự phục vụ và đánh giá liên tục cải thiện mô hình toàn tổ chức khi dữ liệu dịch chuyển. |
| AI sinh tạo và ứng dụng LLM | Gợi ý tùy nghi trong dự án cô lập; không nền, rào chắn hay đánh giá; ảo giác tìm thấy trong sản xuất. | Một số RAG và đánh phiên bản gợi ý; xác thực đầu ra cơ bản; bộ đánh giá thủ công nhỏ. | Mẫu dùng chung cho RAG, rào chắn và dùng công cụ; đánh giá ngoại tuyến tự động ở mọi thay đổi; chỉ số trực tuyến và rà soát con người. | Điểm đánh giá ngoại tuyến và trực tuyến, tỷ lệ ảo giác và tiêm được đo theo đường cơ sở. | Đánh giá gắn với kết quả và cải thiện liên tục; phòng thủ tiêm, tác tử được quản trị, quan sát được và giảm thiểu thích ứng toàn tổ chức. |
| Phát triển phần mềm có AI hỗ trợ | Cá nhân dùng trợ lý tùy nghi; không chính sách; không đo lường; bí mật và SHTT có nguy cơ. | Hướng dẫn sử dụng cơ bản và quy tắc dữ liệu; một số quét bảo mật; tuyên bố năng suất giai thoại. | Chuẩn mực rõ ràng theo mức rủi ro; rà soát và quét bắt buộc; chỉ số kết quả trung thực; triển khai và tiết lộ an toàn. | Tác động phân phối và chất lượng của hỗ trợ được đo theo đường cơ sở; độ phủ xác minh được theo dõi. | Xác minh mạnh trong quy trình; phát triển kỹ năng có chủ đích và chính sách thích ứng liên tục khi công cụ và bằng chứng đổi toàn tổ chức. |
| AI có trách nhiệm và đáng tin | Không kiểm thử công bằng, giải thích hay quản trị; trách nhiệm không xác định; vấn đề chỉ tìm thấy sau tác hại. | Một số kiểm thử thiên kiến và tài liệu; giám sát tùy nghi; nhận thức khung nhưng áp dụng một phần. | Quản trị ánh xạ tới khung được công nhận; kiểm thử công bằng/an toàn/riêng tư có hệ thống; giám sát và kháng nghị có tài liệu; đội đỏ. | Chỉ số công bằng, an toàn và riêng tư được giám sát trong sản xuất theo đường cơ sở và ngưỡng. | Quản trị được tích hợp vào phân phối; trách nhiệm là việc của mọi người và cách tiếp cận cải thiện liên tục qua tổ chức. |
| Hạ tầng và vận hành AI | Phân bổ GPU tùy nghi; không gom lô hay đệm; không thấy chi phí; gợi ý không có phiên bản; giám sát tối thiểu. | Một số lập lịch và bộ đệm dùng chung; theo dõi chi phí cơ bản; gợi ý trong quản lý phiên bản; đánh giá tùy nghi. | Nền tảng dùng chung với lập lịch, hạn ngạch, gom lô, bộ đệm, chọn kích thước phù hợp; hạ tầng vector; đánh giá tự động; quy kết chi phí. | Mức sử dụng, chi phí mỗi kết quả và độ trễ được đo theo đường cơ sở; ngân sách và hạn ngạch được thực thi. | Định tuyến và mở rộng được tự động hóa, khả năng quan sát LLMOps đầy đủ, và mức sử dụng cùng chi phí được tối ưu liên tục với khả năng di chuyển được duy trì toàn tổ chức. |
Phần 7. Dữ liệu, phân tích và hiểu biết
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Chiến lược và quản trị dữ liệu | Dữ liệu không có tài liệu và không chủ; định nghĩa mâu thuẫn; chất lượng tìm thấy khi báo cáo hỏng; không danh mục hay phả hệ. | Một số tập dữ liệu có chủ sở hữu và tài liệu; danh mục một phần; kiểm tra chất lượng thủ công, phản ứng; chính sách viết nhưng thực thi yếu. | Sản phẩm dữ liệu quan trọng có chủ sở hữu, hợp đồng, SLA; danh mục với phả hệ tự động; chất lượng liên tục; quản trị liên kết. | Chất lượng dữ liệu, tuân thủ hợp đồng và độ mới được đo theo SLA và đường cơ sở. | Dữ liệu-như-sản-phẩm là chuẩn mực; hợp đồng được thực thi tự động, rào chắn tự phục vụ thích ứng, và định nghĩa được tin cậy toàn doanh nghiệp. |
| Kỹ thuật dữ liệu | Script tùy nghi, chạy thủ công, không kiểm thử hay giám sát; thất bại do bên tiêu thụ tìm thấy; chi phí không quản lý. | Một số điều phối và lập lịch; biến đổi cơ bản trong quản lý phiên bản; thỉnh thoảng kiểm thử; chữa cháy phản ứng. | ELT với mô hình phân tầng, được kiểm thử, có phiên bản; phụ thuộc được điều phối với thử lại/nạp bù; khả năng quan sát; chi phí được theo dõi. | Độ tin cậy, độ mới và chi phí quy trình được đo theo SLA; bất thường được phát hiện theo đường cơ sở. | Quy trình là phần mềm với CI/CD, hợp đồng và kiểm thử; nền tảng cải thiện liên tục và sản phẩm dữ liệu mới phát hành nhanh toàn tổ chức. |
| Phân tích và trí tuệ kinh doanh | Báo cáo xây tùy nghi trong bảng tính; chỉ số không nhất quán; biểu đồ gây hiểu lầm; không quản trị. | Công cụ BI với một số bảng điều khiển dùng chung; định nghĩa chỉ số vẫn phân kỳ; tự phục vụ không kiểm soát và lan tràn bắt đầu. | Tầng ngữ nghĩa xác định các chỉ số cốt lõi một lần; nội dung được chứng nhận so với thử nghiệm; tự phục vụ trong rào chắn; vòng đời được quản lý. | Mức sử dụng, độ mới và thay đổi định nghĩa chỉ số được theo dõi theo đường cơ sở; nội dung được chứng nhận được giám sát. | Chỉ số được quản trị như API với chủ sở hữu và nhật ký thay đổi; phân tích trải từ mô tả đến quy định và nhúng tại điểm quyết định qua tổ chức. |
| Phân tích sản phẩm và thí nghiệm | Ít/không nhất quán công cụ đo; quyết định theo ý kiến; không thí nghiệm; chỉ số phù phiếm; đồng ý cẩu thả. | Một số sự kiện được theo dõi nhưng phân loại không nhất quán; thỉnh thoảng thử nghiệm A/B không phân tích sức mạnh; sao bắc đẩu được đề xuất, chưa được nhúng. | Kế hoạch theo dõi được quản trị, xác thực; phễu/nhóm/giữ chân thường lệ; thí nghiệm trên nền tảng dùng chung; đồng ý được xử lý đúng. | Khối lượng thí nghiệm, sức mạnh và tỷ lệ thắng được đo theo đường cơ sở; độ phủ công cụ đo được theo dõi. | Thí nghiệm là mặc định; kho kết quả chung và công cụ đo có chủ sở hữu cho phép tổ chức học cộng dồn và thích ứng. |
| Khoa học quyết định và văn hóa dữ liệu | Quyết định theo thứ bậc và trực giác; tương quan bị coi là nhân quả; bất định bị phớt lờ; chỉ số giám sát và bị lách. | Dữ liệu được tham khảo có chọn lọc để biện minh quyết định; một số nhận thức về bẫy nhân quả; bất định hiếm khi được truyền đạt. | Phân tích gắn với quyết định kèm tiêu chí xác định trước; tương quan phân biệt với nhân quả; bất định được truyền đạt; tập trung kết quả. | Chất lượng quyết định và hiệu chỉnh dự báo được theo dõi theo kết quả và đường cơ sở. | “Điều gì sẽ làm chúng ta đổi ý?” là thường lệ; độ nghiêm ngặt nhân quả và bất định trung thực là chuẩn mực và lãnh đạo cập nhật hiển thị theo bằng chứng toàn tổ chức. |
Phần 8. Tự động hóa
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| CI/CD và phân phối | Dựng và triển khai phần lớn thủ công và không nhất quán; tích hợp muộn; phát hành thưa thớt, căng thẳng; hoàn tác thủ công. | Dựng tự động và kiểm thử đơn vị cho mỗi commit; triển khai có script nhưng được giám sát thủ công; hiện vật có thể được dựng lại mỗi giai đoạn. | Quy trình chuẩn hóa thăng cấp một hiện vật bất biến qua các môi trường với cổng tự động; canary/xanh-lục; hồ sơ thay đổi tự động. | Chỉ số DORA (thời gian chờ, tần suất triển khai, tỷ lệ thay đổi thất bại, MTTR) được theo dõi theo đường cơ sở và chặn cổng hoàn tác. | Phân phối tiến dần tách phát hành qua cờ; quy trình tự cải thiện và bằng chứng tuân thủ tự động toàn tổ chức. |
| Hạ tầng dưới dạng mã và cấu hình | Hạ tầng cung cấp thủ công; môi trường không nhất quán, không tài liệu; khôi phục chậm, không chắc chắn. | Một số hạ tầng có script, nhưng thực hành khác nhau; trạng thái không nhất quán; trôi phổ biến; chính sách thực thi bằng rà soát thủ công. | IaC khai báo là chuẩn từ mô-đun có phiên bản dùng chung với trạng thái từ xa; rào chắn chính sách-dưới-dạng-mã; phát hiện trôi đều đặn. | Trôi, thời gian cung cấp và tỷ lệ vi phạm chính sách được đo theo đường cơ sở; bằng chứng tuân thủ tự động. | Hạ tầng bất biến, do GitOps dẫn dắt và tự chữa; thư viện mô-đun và chính sách cải thiện liên tục và thích ứng toàn tổ chức. |
| Container, điều phối, cloud-native | Container dùng tùy nghi; ảnh dựng tay không quét; triển khai thủ công; không nền tảng chung hay mô hình cô lập. | Các đội đóng gói container và dùng bộ điều phối, nhưng thực hành khác nhau; quét và giới hạn không nhất quán; chi phí và đa người thuê không được quản trị. | Nền tảng chuẩn hóa với ảnh được làm cứng, cổng ký/quét, đa người thuê theo namespace kèm hạn ngạch và chính sách mạng, phân bổ chi phí. | Mức sử dụng, mật độ và chi phí mỗi khối lượng công việc được đo theo đường cơ sở; tối ưu FinOps dựa trên dữ liệu. | Nền tảng tự phục vụ, tự chữa với đa người thuê mạnh vẫn di chuyển được và sẵn sàng lai/chủ quyền và cải thiện liên tục toàn tổ chức. |
| Kỹ thuật nền tảng và DevEx | Không nền tảng; mỗi đội lắp công cụ riêng không nhất quán; bàn giao dựa trên phiếu; tải nhận thức cao. | Một số công cụ và mẫu dùng chung, nhưng phân mảnh và một phần thủ công; tự phục vụ hạn chế; DevEx không đo. | Đội nền tảng chạy đường vàng, cung cấp tự phục vụ, cổng nhà phát triển và bảng điểm; rào chắn trong đường lát sẵn; DevEx được đo. | Mức áp dụng, điểm DevEx và tín hiệu tải nhận thức được đo theo đường cơ sở và rà soát. | Một sản phẩm nền tảng trưởng thành cải thiện liên tục từ phản hồi đó; áp dụng tự nguyện cao và quản trị vô hình trong quy trình toàn tổ chức. |
| Tự động hóa kiểm thử và quy trình | Kiểm thử và vận hành phần lớn thủ công; độ phủ không nhất quán; quy trình trong đầu hoặc tài liệu cũ; bằng chứng tuân thủ làm tay. | Kiểm thử tự động tồn tại nhưng chậm/chập chờn và chạy không nhất quán; một số script vận hành; khắc phục thủ công; quản trị rà soát định kỳ. | Hạ tầng kiểm thử nhanh, song song, đáng tin; sổ tay vận hành được mã hóa; ChatOps; bằng chứng tuân thủ tự sinh; quản trị như kiểm tra tự động. | Độ phủ tự động hóa, tỷ lệ dương tính giả và thời gian khắc phục được đo theo đường cơ sở. | Sự cố thường lệ được tự khắc phục có biện pháp bảo vệ; tuân thủ liên tục và sẵn sàng kiểm toán và con người tập trung vào phán đoán toàn tổ chức. |
Phần 9. Vận hành, độ tin cậy và khả năng quan sát
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Kỹ thuật độ tin cậy hệ thống | Vận hành thủ công và phản ứng; không SLO; độ tin cậy là ý kiến; cùng sự cố tái diễn; chữa cháy chi phối. | Dịch vụ chính có SLI/SLO cơ bản; một số giám sát và cảnh báo; lao động nhàm chán được thừa nhận nhưng không đo; rút kinh nghiệm không nhất quán. | Ngân sách lỗi ảnh hưởng ưu tiên; lao động nhàm chán được đo và giới hạn; hoạch định năng lực thường lệ; tự động hóa được tài trợ; PRR và mô hình tham gia. | Ngân sách lỗi, lao động nhàm chán và mức đạt SLO được đo theo đường cơ sở và thúc đẩy ưu tiên. | Chính sách ngân sách lỗi được tự động hóa và tôn trọng; vận hành tự phục vụ và năng lực chủ động cho phép tổ chức đánh đổi vận tốc và ổn định bằng dữ liệu và thích ứng. |
| Khả năng quan sát và giám sát | Kiểm tra thời gian hoạt động cơ bản và nhật ký không cấu trúc theo từng máy; gỡ lỗi nghĩa là SSH; cảnh báo ồn, bị phớt lờ. | Chỉ số và nhật ký tập trung; một số bảng điều khiển và cảnh báo ngưỡng; vết một phần/vắng mặt; tương quan thủ công. | Công cụ đo OpenTelemetry với ID vết lan truyền; nhật ký có cấu trúc, truy vết, bảng điều khiển được tuyển chọn, cảnh báo triệu chứng SLO; trực ca bền vững. | Chất lượng cảnh báo, MTTD và chi phí đo từ xa được đo theo đường cơ sở; cảnh báo tốc độ đốt được điều chỉnh theo SLO. | Khả năng quan sát giàu sự kiện, nhiều lực lượng hỗ trợ điều tra tùy nghi; lưu giữ được tối ưu chi phí và đo từ xa thông tin quyết định qua tổ chức. |
| Quản lý sự cố | Sự cố được ai nhận ra xử lý tùy nghi; không vai trò, mức nghiêm trọng hay rút kinh nghiệm; trực ca không chính thức; thất bại tái diễn. | Vòng trực ca và mức nghiêm trọng cơ bản; một số rút kinh nghiệm, nhưng vai trò không rõ và hành động khắc phục theo dõi không nhất quán. | Hệ thống chỉ huy sự cố chính thức với vai trò và tiêu chí rõ ràng; rút kinh nghiệm không đổ lỗi là chuẩn; hành động được theo dõi; trực ca được bồi thường. | Tần suất sự cố, MTTR và tải trực ca được đo theo đường cơ sở; nguyên nhân tái diễn được theo xu hướng. | Ứng phó được tập dượt qua ngày diễn tập; trực ca vẫn bền vững và yên tĩnh và phân tích tổng hợp thúc đẩy đầu tư cấu trúc khi tổ chức học. |
| Chi phí, bền vững, phần mềm xanh | Chi phí đám mây là bất ngờ hằng tháng; không gắn thẻ, phân bổ hay nhận thức carbon; cung cấp hào phóng, không xem xét lại. | Thấy chi phí và gắn thẻ cơ bản; một số chọn kích thước phản ứng và dọn nhàn rỗi; bền vững được thừa nhận nhưng không đo. | Thực hành FinOps với quy kết, ngân sách, dự báo, cảnh báo bất thường, cam kết, chọn kích thước; carbon được đo cho dịch vụ chính. | Chi phí và carbon được đo cho từng đội theo ngân sách và đường cơ sở; bất thường được gắn cờ. | Chi phí và carbon là tín hiệu liên tục do đội sở hữu; mặc định hiệu quả, tối ưu tự động và lập lịch nhận biết carbon cải thiện liên tục toàn tổ chức. |
Phần 10. Quản lý dự án, sản phẩm và chương trình
| Chủ đề | Mức 1 Khởi đầu | Mức 2 Phát triển | Mức 3 Chuẩn hóa | Mức 4 Quản lý | Mức 5 Điều phối |
|---|---|---|---|---|---|
| Quản lý danh mục và chương trình | Ưu tiên đặt tùy nghi bởi ai đòi to nhất; không cái nhìn danh mục; phụ thuộc nổi lên như khủng hoảng; tài trợ hằng năm chạy đua. | Bản kiểm kê danh mục được rà soát định kỳ; mục tiêu đã công bố gắn yếu với công việc; sổ đăng ký phụ thuộc; ngân sách theo dự án. | Chiến lược phân tầng qua OKR; khung ưu tiên nhất quán; hoạch định xuyên đội quản lý phụ thuộc; tài trợ đội liên tục. | Kết quả danh mục, khả năng dự đoán phân phối và số phụ thuộc được đo theo đường cơ sở. | Danh mục được cân bằng lại liên tục theo bằng chứng kết quả; phụ thuộc được thiết kế đi và nhịp tài trợ khớp nhịp học toàn tổ chức. |
| Rủi ro, kiểm toán và đảm bảo | Rủi ro xử lý phản ứng sau sự cố; không khung hay sổ đăng ký; kiểm soát không tài liệu; kiểm toán thủ công đau đớn. | Sổ đăng ký rủi ro cho hệ thống lớn; khung kiểm soát được áp dụng, kiểm toán đạt nhưng thủ công và tại một thời điểm; nhà cung cấp được đánh giá lúc tiếp nhận. | Mô hình ba tuyến và khung chung toàn tổ chức; nhiều kiểm soát tự động; giám sát liên tục; kiểm kê nhà cung cấp/SBOM; DR theo lịch. | Hiệu quả kiểm soát, số rủi ro mở và phát hiện kiểm toán được đo theo khẩu vị rủi ro và đường cơ sở. | Đảm bảo liên tục và phần lớn tự động; kiểm toán viên lấy mẫu bằng chứng trực tiếp và tính toàn vẹn chuỗi cung ứng được xác minh khi rủi ro tiến hóa toàn tổ chức. |
| Mua sắm, mã nguồn mở, cấp phép | Mã nguồn mở thêm tự do; không chính sách hay kiểm kê; giấy phép không xem xét; hết vòng đời tìm thấy tình cờ; không chủ sở hữu. | Chính sách cơ bản và danh sách giấy phép được phê duyệt; quét thủ công/muộn; bản kiểm kê cho hệ thống lớn; đóng góp tùy nghi. | OSPO sở hữu chiến lược và công cụ; quét giấy phép/lỗ hổng và ghi công tự động; SBOM; đóng góp rõ ràng; EOL được theo dõi. | Tuân thủ giấy phép, độ cập nhật phụ thuộc và phơi nhiễm lỗ hổng được đo theo đường cơ sở. | Mã nguồn mở là tài sản chiến lược được quản lý với tuân thủ hoàn toàn tự động; đầu tư ngược dòng có chủ đích và độ cập nhật cùng EOL được quản lý liên tục toàn tổ chức. |
| Duy trì hệ thống lớn và tồn tại lâu dài | Hệ thống phụ thuộc anh hùng; quyền sở hữu theo trí nhớ; tri thức không tài liệu; hệ thống đóng băng đến khi hỏng; loại bỏ không bao giờ xong. | Quyền sở hữu được giao và ghi cho hệ thống lớn; một số tài liệu và sổ tay vận hành; chức năng trọng yếu rõ ràng có người dự phòng; bảo trì phản ứng. | Quyền sở hữu cấp đội trong danh mục sống sót qua tái tổ chức; hệ số xe buýt được đo và giảm thiểu; hồ sơ quyết định và sổ tay vận hành; hiện đại hóa gia tăng. | Hệ số xe buýt, độ phủ quyền sở hữu và tiến độ chuyển giao tri thức được đo theo đường cơ sở. | Quản gia là kỷ luật được tài trợ; không hệ thống trọng yếu nào là điểm đơn thất bại của con người và chuyển giao tri thức cùng kết thúc có kế hoạch tiếp tục toàn tổ chức. |
| Đạo đức, trách nhiệm giải trình, lợi ích công | Đạo đức không được giải quyết hoặc phản ứng sau bê bối; khả năng tiếp cận bị bỏ qua; quyết định tự động khó hiểu không kháng nghị; thiên kiến chưa kiểm thử. | Bộ quy tắc ứng xử và một số tiếp cận (muộn); quyết định tự động nổi bật được giám sát; thỉnh thoảng kiểm tra thiên kiến. | Rà soát đạo đức là một phần quy trình; khả năng tiếp cận được thiết kế vào và kiểm thử với người dùng; quyết định có hệ quả mang giải thích và kháng nghị. | Kết quả công bằng, tiếp cận và trách nhiệm giải trình thuật toán được giám sát theo đường cơ sở. | Trách nhiệm được nhúng trong cách tổ chức xây dựng; công bằng là mặc định không thể thương lượng và trách nhiệm giải trình thuật toán là chuẩn và cải thiện liên tục toàn tổ chức. |
Tự đánh giá mức độ trưởng thành tổng thể
Hãy dùng các ma trận trên để tạo một điểm nhẹ, trung thực.
Thang chấm điểm
- Chấm mỗi chương từ 1 đến 5 bằng mức có mô tả khớp nhất thực tế điển hình của bạn. Khi hành vi không nhất quán, hãy chấm mức thấp hơn.
- Lấy trung bình theo phần. Cộng điểm các chương trong một phần và chia cho số chương. Điều này cho độ trưởng thành theo phần (ví dụ “Phần IV trung bình 2,5”).
- Ghi lại giá trị nhỏ nhất, không chỉ trung bình. Một phần trung bình 3,0 nhưng chứa một chương Mức 1 mang rủi ro của chương đó bất kể trung bình.
- Vẽ xu hướng. Chấm lại mỗi quý hoặc hai và theo dõi hướng đi. Một lĩnh vực chuyển 2 → 3 lành mạnh hơn một lĩnh vực kẹt ở mức 3 tĩnh.
Một bảng tính đơn giản cho mỗi phần:
| Phần | Số chương đã chấm | Trung bình | Chương thấp nhất | Ghi chú / ưu tiên |
|---|---|---|---|---|
| I-X | số lượng | trung bình | mức nhỏ nhất | … |
Ưu tiên cái cần cải thiện
Đừng cố nâng mọi thứ cùng lúc, và đừng đuổi theo mức trung bình cao nhất. Hãy ưu tiên theo khoảng cách trưởng thành có trọng số rủi ro: tấn công các lĩnh vực nơi mức thấp gặp hậu quả cao.
- Trước tiên: các chương trưởng thành thấp nhất trong lĩnh vực rủi ro cao nhất của bạn. Với hầu hết tổ chức điều đó nghĩa là bảo mật, riêng tư, độ tin cậy, tuân thủ, và bất kỳ hệ thống nào mà thất bại gây hại cho con người hay vi phạm luật. Mức 1 ở đây là khẩn cấp.
- Tiếp theo: các yếu tố hỗ trợ nền tảng (văn hóa, cách làm việc, CI/CD, IaC, khả năng quan sát) nâng trần cho mọi lĩnh vực khác. Cải thiện chúng làm các thành quả sau rẻ hơn.
- Sau này: các lĩnh vực đã ở Mức 3 và có thể leo lên Mức 4 hoặc 5. Chỉ đẩy vượt ngưỡng sàn nơi rủi ro và quy mô biện minh khoản đầu tư thêm.
Đường cơ sở doanh nghiệp và chính phủ
Bối cảnh doanh nghiệp và chính phủ thường không thể dừng ở “nó chạy được.” Để qua kiểm toán, duy trì ủy quyền, và đáp ứng nghĩa vụ quy định và trách nhiệm giải trình công, hầu hết lĩnh vực phải đạt ít nhất Mức 3 (Chuẩn hóa), mức nơi thực hành được chuẩn hóa, lập tài liệu, thực thi qua các đội, và tạo bằng chứng. Mức 2 thường trượt kiểm toán vì nó không nhất quán và được lắp thủ công dưới hạn chót; Mức 1 trượt hoàn toàn.
Hãy đọc Mức 3 là ngưỡng sàn cho bất cứ thứ gì kiểm toán được hoặc liên quan an toàn, và các mức cao hơn (4 và 5) là mục tiêu chỉ nơi đảm bảo liên tục, quy mô hay lòng tin công làm độ nghiêm ngặt thêm đáng giá. Trưởng thành vẫn là phương tiện: mục tiêu là mức kiểm soát bảo vệ được, tương xứng với rủi ro bạn thực sự mang, không phải điểm hoàn hảo.