CERT CMU DevSecOps MBSE PIM SEI 成熟度管道能力评估

MBSE定义DevSecOps能力成熟度¶

概述¶

DevSecOps是一个复杂的社会技术计算机信息系统——由人员、流程和计算机技术构成，包含独立开发、独立维护、物理和逻辑分布、任务专用的互操作组件。目前面临的三大挑战：

SEI DevSecOps PIM是一个平台独立模型——通用、可重用的解决方案模型，独立于具体技术平台。功能包括：

能力	定义要点	需求占比
配置管理	建立和维护系统及产品完整性，包含版本控制、基线管理、变更控制	~9%
部署	将产品交付到目标环境的流程，成熟度随自动化和回滚能力提升	~3%
托管服务	底层基础设施和平台，包括云、裸机、虚拟化、网络和SaaS	~12%
集成	合并多个开发者的变更，冲突解决，构建产品确保功能正常	~2%
监控与控制	持续监控活动、沟通状态、主动采取纠正措施	~16%
规划与跟踪	定义任务和活动、分配资源、跟踪进展、报告状态	~11%
质量保证	独立评估DevSecOps流程和工具的适当性	~5%
软件保障	确信软件仅按预期运行且无漏洞（两个独立但相关的断言）	~21%
解决方案开发	评估基线需求和替代方案，选择最优方案，创建规范	~13%
验证与确认	提供证据证明系统满足需求和准则，随自动化、反馈和集成而成熟	~8%

级别	名称	特征	需求占比
Level 1	执行基本实践	最低限度的工程、安全和运营实践，ad-hoc方式执行，最少自动化	28%
Level 2	文档化/自动化中级实践	从手动ad-hoc过渡到自动化和一致执行的已定义流程，可重复执行	41%
Level 3	管理化管道执行	持续满足所有相关利益相关者的信息需求，支持决策制定	29%
Level 4	主动审查和优化DevSecOps	审查系统有效性，必要时采取纠正措施，定量改进系统性能	2%

使用颜色编码的能力摘要视图评估DevSecOps状态：

每个级别内，10项能力按颜色分解需求数，可视化显示管道在各个能力维度的强弱分布。