信息安全工程学-夏鲁宁第12讲sse-cmm评估方法x

信息平安工程学第12讲SSE-CMM评估方法1SSE-CMM评估方法〔SSAM〕SSAM概述方案阶段准备阶段现场阶段报告阶段2SSE-CMM评估方法〔SSAM〕SSAM概述方案阶段准备阶段现场阶段报告阶段3SSAM概述如何按照SSE-CMM模型来评估一个工程组织的成熟度？SSAM,SSE-CMMAppraisalMethod作为专门基于SSE-CMM的评估方法；包含评估一个信息平安工程组织的工程过程能力和成熟度所必需的信息及指南；可用于组织级评估，也可用于工程级的评估SSAM使用多重数据采集方法获得被评估组织或工程中所实施过程的相关信息采集途径：问卷调查、人员访谈、证据分析4SSAM评估的参与者就大的范围而言，实现SSAM评估的参与方包括发起组织、评估组织及被评估组织。5发起组织〔发起者〕发起组织是评估过程的启动者责任：定义评估范围和目标从评估组织中选择可用的评估方案对SSE-CMM模型进行裁减以适应需要另外，发起组织可能需要为评估组织提供资金6评估组织〔评估者〕评估组织提供从事评估工作的人员大多数情况下，评估组织将协助发起方选择适宜的评估方案，以及裁减SSE-CMM评估人员在评估过程中要注意保持客观态度，不要把偏见带入工作中7被评估组织〔被评估者〕被评估组织，顾名思义，是接受评估的组织可能是组织的一个部门，也可能是整个组织被评估组织要做的事情通常由发起方给出评估要求的时候确定，或者由竞标会上投标的评估组织给出。它依赖公司的组织结构。8SSAM评估的参与者三种类型的组织中，各包含假设干个角色，下面的表格概括了主要的角色注意，组织中的单个人可能同时扮演多个角色对于自评估来说，评估参与者大多来自同一个组织，但是从评估的目标、功能来看，仿佛是来自不同的三个组织但是，有兴趣进行自评估的组织也可能把评估工作外包9SSAM评估的参与者10类型角色名称描述主要职责从业资格发起组织发起者提出评估要求，启动评估过程。定义评估目标；作为评估组织和被评估方组织之间的桥梁。

支持评估活动的能力。

评估组织评估组所有参与工作的评估组织成员。

参与评估。

每个评估组成员至少具备以下资历中的一条：1、

曾参与过SSE-CMM项目2、

10年以上安全工程经验3、

两年以上工程过程改进经验4、

曾接受培训或曾经从事过其他学科CMM的评估工作，最好是SSE-CMM对于整个评估组而言，要保证具备上述资历的人都存在。

SSAM评估的参与者〔续表〕11类型角色名称描述主要职责从业资格组织者

领导评估组进行评估工作；对评估组的具体工作不能干涉，只是组织评估中的各种活动，并作为与发起组织和被评估组织的主要联系人。

保证评估的顺利进行；与发起者一起协调评估活动；制定和维护评估计划。

具备上述评估组成员资历的大部分，最好曾经作为组织者参与过评估工作。

证据管理员

维护证据的保管。

请求、收集和处理被评估组织提供的证据。

出色的配置管理能力

表决成员

评估组中具有表决资格的成员。

识别并分析数据和证据；开发评估发现报告和定级报告。

SSAM评估的参与者〔续表〕12类型角色名称描述主要职责从业资格观察员

评估组中的非表决人员，对评估组的工作没有表决权。

协助表决人员和组织者；收集总结使用SSAM的经验。

足够的SSE-CMM知识和SSAM知识。

被评估组织现场人员

所有参与评估的被评估组织员工。

参与评估发现报告的制定；解答评估人员的问题。

被评估组织员工。

现场协调员

被评估方的联系人。

评估期间协调被评估组织的活动；与发起者和组织者保持联络。

对被评估组织结构、业务功能、组织政策等的充分了解；在评估过程中有权决定涉及被评估组织的事务。

行政官员

被评估组织的高级别官员。

为评估提供支持。

有命令员工参与评估的权力。

SSAM评估的参与者〔续表〕13类型角色名称描述主要职责从业资格行政官员发言人

行政官员的代言人

公开见面会中代表被评估组织发言。

被评估组织的行政官员之一。

项目经理

待评估工程项目的负责人。

回复问卷调查，会谈时解答评估人员问题。

可以勘查待评估项目的安全工程相关部分。

项目员工

被评估方参与评估的普通员工。

面谈时解答评估人员问题。

面谈时解答评估人员问题。

每个参与者的工作量估计14评估角色建议的人数每人工作量（小时）总工作量（小时）发起者18080组织者2160320表决成员480320观察员18080现场协调员1100100项目经理1（每个项目）1030项目员工6（每个项目）472总计30无1002评估类型三方评估发起、评估与被评估组织是不同的3个组织自评估发起、评估与被评估组织都是同一个组织如果是为了自身工程能力的改进，适宜使用自评估如果评估目标是以下一种，要考虑进行三方评估：基于工程合同的要求，考察合作方的资格；独立的比较供给商，看谁最具有资格；基于检验目的，评估已有供给商；确保用户的期望被理解和满足；在理解供给商弱点的根底上，管理工程风险。15评估阶段16准备阶段组建评估组执行问卷调查巩固证据分析证据/问卷计划阶段收集初步证据制定评估计划确立评估范围现场阶段行政官员表态/公开见面会会见项目经理/项目员工分析数据建立评估发现制定等级轮廓处理工作记录开发最终报告报告阶段生成最终评估报告向发起者报告评估结果处理评估的工作输出报告获得的经验教训SSE-CMM评估方法〔SSAM〕SSAM概述方案阶段准备阶段现场阶段报告阶段17方案阶段18计划阶段：1定义参数；2准备计划；3安排后勤。确立评估范围收集初步证据制定评估计划工作环节描述输出确立评估范围确定评估的目的和目标。对发起者评估目标的正确理解。收集初步证据被评估组织回答问卷，并提供支持证据。已完成的问卷；支持问卷回答的证据制定评估计划定义和批准评估方案和评估执行方式。.评估组成员组成；评估方案和问卷。确立评估范围工作目标：确定评估对象和评估界限，以满足发起者制定的评估目标参与角色：19角色任务组织者协助提取评估参数，确定实际的评估对象。发起者定义评估的目的和目标。被评估组织提供组织和待评估项目的当前信息。确立评估范围〔续〕时间估计：1～2天。要取决于有多少个现场要评估，每个现场的评估复杂度，以及使用了多少个评估组工作步骤：1确定评估目标包括确定评估的原因和需要。典型的评估目标包括：通过确认缺陷，来获得一个等级；来提高组织的工程能力〔基于缺陷的认识，识别需要提高的过程域〕；来为下一步改进做准备。发起者可能要求组织者协助确定评估目标。20确立评估范围〔续〕2组建评估组选择一个能保质保量完成评估工作的评估组。发起者选择一个能够执行SSE-CMM评估的组织，并在方案阶段将组织者安排进评估组中。3定义被评估组织要素被评估组织的某个或某些方面要作为评估范围的一局部而被涉及到。这首先包括决定需要被评估的部门，也可能整个组织都需要评估。另外，待评估的工程将列表给出。这时还应该决定进行会谈的次数，和需要参与会谈的人员，包括工程经理和工程员工。此外，评估结果通报给被评估组织的程序也要确定。21确立评估范围〔续〕4定义评估模型和评估方法SSE-CMM工程一般不对SSE-CMM模型做出新的解释〔即默认按照SSE-CMM标准文档中的解释来施行〕，也不提供评估方法〔SSAM不是SSE-CMM的一局部〕。但是，特定的团体可能基于某些特殊需要，要对模型给出一些新的解释。在评估中，发起者一般需要得到对被评估组织工程能力成熟度等级的认证。SSAM中定义了衡量是否到达某个能力成熟度等级的准那么，但是发起者可能特别重视某个等级，因而可能想重新定义到达此等级的准那么。22收集初步证据工作目标：确保在已定义的评估范围内需要的证据都被收集到

参与角色23角色任务组织者帮助发起者定义需求和收集证据。发起者定义对初步证据的需求和收集证据的方法；与组织者和现场协调员协作。现场协调员提供所要求的证据。收集初步证据〔续〕工作时间估计：1～2天工作步骤：24步骤描述定义证据需求发起者定义哪些证据需要在评估前收集，并将证据收集和存放在发起者处。发起者可能让组织者协助进行这项工作。收集证据被评估组织的现场协调员发送所要求的证据给发起者，并确认对方收到。已完成的问卷和支持证据可能会作为其中一部分予以发送。所有的支持证据应该归类，指出支持的是哪些要求。为了效率考虑，现场协调员将提供这些信息。制定评估方案工作目标：提出和审议通过最终的评估方案，并把参数和细节记入文档。参与角色25角色任务组织者跟踪评估计划的制定和批准；为评估组提供评估手册。评估组每人完成评估计划的一部分，合成评估计划。发起者批准评估计划；与现场协调员保持联络，商议准备阶段的工作程序和协助扫清评估的障碍；确保保密，评估组在获得需要的证据之前，要签署保密协议。现场协调员确定各成员的工作日程，安排后勤事宜。制定评估方案〔续〕时间估计：2～6个星期，取决于评估方案的复杂度工作步骤：26形成评估计划文档步骤描述组建评估组组织者挑选人员组成评估组。定义报告步骤发起者定义评估报告提交的方式和接收方。这个定义的可能范围是很广的，下限是不提交报告，上限是让评估组在现场阶段结束后为组织成员做高级别的陈述，并在评估后提交一份详尽的报告。定义日程发起者决定评估的时间框架。组织者和现场协调员协助讨论日程的细节并达成一致。确定后勤支持现场协调员安排所有的后勤支持，包括为评估组提供办公场所和食宿，介绍双方人员，安排见面会，协调对组织内部机构的访问，和其他一切评估组需要的东西。把先前所有计划阶段工作的结果形成文档。后勤本卷须知供评估组使用的办公场所：评估期一般5天左右，要提供给评估组适当的办公场所。办公场所的空间要足够大，应该包含以下设施：会议桌和椅子，要足够整个组的人开会使用；；为计算机、投影仪等设备准备足够的电源插口；白板或者白壁。可能还需要专门的与工程经理或工程员工会谈的会议室，和举行评估结果汇报会的房间。27后勤本卷须知〔续〕考察设施，人和证据：现场协调员要安排妥当所有需要的对相关设施的访问，以免浪费时间。可能的话，评估组应该得到授权可以自由对相关的设施进行访问，而无须由被评估组织的人员陪同。发起者必须确认需要出席会谈的人、需要聆听评估结果汇报的人和其它评估方案中要求的出席的人都是有效的，即需要他们出席的时候能够保证出席。需要的证据必须在评估进行之前就收集并且归类。保密协议应该提前交给评估组，以便签署。28表5.2评估工作各角色的工作时间估计后勤本卷须知〔续〕供给品：彩色纸张〔容易区分和控制所有信息〕；适当的容器来存放私人物品的或敏感信息；复印机；显示工具〔包括图表和笔〕；如果禁止将纸张粘贴在墙上的话，需要提供白板，可翻页图表等平面设施。食宿：现场协调员应该协助安排评估组的住宿，使他们能够方便的往返于评估现场和驻地。评估的日程很紧凑，所以建议在评估现场要给评估组安排就餐。29评估手册本卷须知组织者应该给评估组每一个组员一个评估手册手册应该包括如下内容：SSE-CMM描述；SSE-CMM评估方法，既SSAM的描述；评估方案；评估日程；根底规那么；待评估工程描述；已完成的问卷调查表；待评估工程的工程经理和工程员工的简介30表5.2评估工作各角色的工作时间估计SSE-CMM评估方法〔SSAM〕SSAM概述方案阶段准备阶段现场阶段报告阶段31准备阶段32准备阶段：1为评估组指示工作方向2执行问卷调查3开始数据分析评估组准备执行问卷调查巩固证据分析证据/问卷活动描述输出评估组准备确保评估组所有成员都了解SSE-CMM，并且面向本次评估工作接收了同样的培训。评估组的评估支持资料。执行问卷调查对被评估组织的项目经理进行问卷调查，以获取被评估组织的初步信息。已完成的问卷。巩固证据整理问卷回答（成为标准格式），并收集有关这些回答的支持证据。收集到的证据和转录为标准格式的问卷数据。分析证据/问卷评估组对所有本阶段收集到的证据进行检查，并准备现场阶段要向项目经理提出的探索性问题（ExploratoryQuestions）。要向项目经理提出的探索性问题。评估组准备工作目标：让评估组里的每一个人都熟悉评估的内容

主要参与者：33角色任务组织者与评估组一起回顾评估细节，并就不清楚的地方做解释。评估组理解评估方法，和自己在评估中的职责。评估组准备〔续〕工作时间估计：1～2天工作步骤〔下页〕3435步骤描述回顾SSE-CMM在对SSE-CMM的回顾中，组织者回顾所有的普通实践和基本实践，和相关的工作输出，能力成熟度等级，以及怎样产生评估发现和等级轮廓。这要假定所有的成员都已经经过了SSE-CMM的培训，因而这个步骤不是对SSE-CMM模型的培训，而是一种对方法概念的概括性回顾。回顾SSAMSSAM的回顾应该包括四个评估阶段的划分及其步骤。用以回顾SSAM的时间长短取决于评估组成员对SSAM掌握的程度，和从事评估的经验。同样，这也不应是SSAM的全面培训，而只是对方法和概念的概括性回顾。回顾评估计划在评估计划进行之前，所有保密问题必须考虑到，必要的话要签署保密协议。在就保密问题达成一致以前，评估组不能讨论任何与被评估组织内部信息相关的话题。在分配完评估手册后，组织者对评估工作，评估日程，可接受的工作输出，发起者目标及其相关内容用SSE-CMM和SSAM做细节阐述，重点是要强调那些依照发起者的要求被裁减的组件。任何与模型的解释和应用相关的问题必须在进行下一步工作前明确下来，否则评估将滞后于计划日程指定评估组成员的角色评估组的成员要根据所负责的过程域被分配给特定的职责，评估组表决方式和决议格式等问题要定义好。执行问卷调查工作目标：开始进行问卷调查工作，获取被评估组织的一些信息

主要参与者36角色任务项目经理项目经理根据问卷调查给出项目和组织的相关数据。组织者与项目经理会谈，进行问卷调查。现场协调员确保所有的参与者都能够提供所需要的数据。执行问卷调查〔续〕时间估计：对每个人执行问卷调查的时间约为4～8小时

工作步骤37步骤指南进行问卷调查组织者与项目经理会谈，进行问卷调查。项目经理回答问卷期间，组织者要始终在场，并提供指导。建议这项工作由一个小组来进行，小组可由组织者和其他了解SSE-CMM，可以为回答问卷的人提供指导的人组成。收集问卷组织者收集完成的问卷和支持证据。稳固证据工作目标：把问卷调查获得的数据转录为可分析的格式，以便鉴别和收集支持证据〔即支持问卷答复的证据〕主要参与者38角色任务评估组评估组以一定格式收集问卷数据，以便分析。任何确定的证据都要通过证据管理员请求，并从现场协调员那里获得。如果有证据接收到了，评估组就可以开始分析这些证据。现场协调员提供评估组需要的证据，并给出证据的目录。组织者、证据管理员领导评估组成员的工作，并跟踪证据的获取和使用。稳固证据〔续〕时间估计：2～3小时

工作步骤：39步骤指南把问卷调查的数据传递给数据跟踪机制。为了使问卷数据的分析更便利，项目经理对问卷的回答应该被传递到电子化的跟踪机制。在分析过程中，数据跟踪工具将协助评估组辨别问卷回答中的数据类型，和项目经理或被评估组织在问卷回答中的相互矛盾之处。收集证据，并使用证据跟踪工具进行跟踪。作为评估组巩固问卷数据的一部分，所有需要复查的支持证据将以表格形式一一列出，这是证据管理员的工作，现场协调员将协助他收集证据。但是，一旦证据从现场协调员那里得到了，证据管理员就对证据的接收、使用和处置负有责任。分析证据/问卷工作目标：分析由被评估组织提供的问卷答复和支持证据，以便制定在与工程经理会谈时要提出的探索性问题主要参与角色：40角色任务组织者、证据管理员指导评估组怎样来描述探索性问题；提出证据请求，并跟踪证据的使用。评估组分析数据跟踪表，和可用的证据。表决成员制定并通过要向项目经理提出的探索性问题。并确定对证据的需求。现场协调员收集表决成员通过证据管理员请求的证据。分析证据/问卷〔续〕工作时间估计：1～8小时

工作步骤：41产生探索性问题步骤指南分析数据跟踪表复查数据跟踪表，找出问卷回答中的纰漏和矛盾。复查证据表决成员复查问卷中涉及到的证据。如果被引用的证据事先没有提供，证据管理员应该向现场协调员请求提供这些证据。表决成员基于对数据跟踪表和可用证据的分析，在组织者的指导下，产生出20－40个需要向项目经理提问的探索性问题。SSE-CMM评估方法〔SSAM〕SSAM概述方案阶段准备阶段现场阶段报告阶段42现场阶段43现场阶段：1为所有评估参与者确定工作内容；2进行会谈；3建立评估发现；4完善评估发现；5定义等级轮廓。会晤行政官员公开见面会与项目经理会谈巩固并解释项目经理提供数据与员工会谈巩固并解释员工提供数据分析数据跟踪表产生初步的评估发现进一步会谈和提问制定等级产生最终的评估发现处理评估记录总结出正式报告会晤行政官员工作目标：向高级别的行政官员介绍评估过程和日程安排

参与者：44角色任务组织者介绍评估和评估模型。评估组协助组织者介绍评估工作。行政官员了解他们本人在现场阶段评估工作中的角色。会晤行政官员〔续〕时间估计：0.5小时工作步骤：45步骤指南评估讨论组织者给出对SSE-CMM，SSAM和评估计划的概要介绍。提问和回答组织者回答行政官员的有关问题。公开见面会工作目标：把评估过程和进度展示给所有参与评估的人；让行政官员介绍他们对评估的支持

参与角色：46

角色任务行政官员代言人致欢迎词；介绍组织者；介绍被评估组织对于评估工作的支持计划。组织者介绍评估模型，评估方法和评估计划。评估组协助组织者的工作。评估工作参与者了解他们在现场阶段评估活动中的角色。公开见面会〔续〕工作时间估计：1小时工作步骤：47步骤指南行政官员表态行政官员代言人阐述对评估的支持。组织者讲解组织者介绍SSE-CMM，SSAM，并解释现场阶段每个参与者的责任。问题和回答组织者解答与会者提出的问题。与工程经理会谈工作目标：请工程经理就先前所做出的问卷答复做详细阐述。这是通过评估组提出先前确定的探索性问题来实现的，工程经理就探索性问题一一给出答复，并澄清评估组的疑问主要参与者：48角色任务组织者组织会谈。项目经理回答问题。评估组记录会谈内容。与工程经理会谈〔续〕时间估计：每次会谈1.5小时，中间要有15分钟时间供评估组讨论或休息

工作步骤：49步骤指南开始会谈组织者基于问卷数据提出问题，同时评估组记录对方的回答。进一步提问评估组的表决成员就需要澄清的问题额外提问。过程检查评估组执行快速的过程检查，确保会谈中得到了所需的信息，并针对下次会谈做适当调整。稳固并解释工程经理提供数据工作目标：消化吸收在与工程经理的会谈中得来的信息，并且将其转化为数据跟踪表中的数据，以利于分析参与者：50角色任务组织者提出指导和建议，供评估组参考。评估组回顾会谈记录，讨论相关问题并以公式表述发掘到的信息。表决成员更新数据跟踪表。稳固并解释工程经理提供数据时间估计：2小时

工作步骤：51步骤指南会谈记录每个评估组成员回顾他自己的会谈记录。更新数据跟踪表评估组讨论项目经理给出的回答，基于表决成员的意见，更新数据跟踪表。解释数据评估组回顾所有可用信息（数据跟踪表，会谈记录，问卷回答，引用的证据），讨论在后面与项目员工的会谈中还要深入了解哪些方面。更新会谈中要提出的问题基于对数据的分析，调整与项目员工会谈时要提问的问题。与员工会谈工作目标：是会见待评估工程涉及的员工，就先前确认的关键问题进行询问，并识别新的问题参与角色52角色任务组织者组织会谈。相关员工回答问题。评估组记录会谈内容。与员工会谈时间估计：45分钟，另有15分钟讨论或休息时间

工作步骤53

步骤指南开始会谈组织者基于对与项目经理会谈的内容，提出问题给工作人员；评估组负责记录。进一步提问表决成员对尚需澄清的问题另外提问。过程检查评估组执行快速的过程检查，确保会谈中得到了所需的信息，并对下次会谈做适当调整。稳固并解释员工提供数据工作目标：消化吸收与工程成员的会谈中评估组获得的信息，初步为每个过程域确定等级参与角色：54角色任务组织者提出指导和建议，供评估组参考。评估组回顾会谈记录，讨论相关问题并以公式表述发掘到的信息。表决成员更新数据跟踪表。稳固并解释员工提供数据时间估计：2小时工作步骤：55步骤指南会谈记录每个评估组成员回顾他自己的会谈记录。更新数据跟踪表评估组讨论工作人员给出的回答，基于表决成员的表决，更新数据跟踪表。筹划评估组讨论下一步的事务。另外基于前面的工作，可能要对日程做出一些调整，特别是表决成员可能要向初步的评估发现中增加一些需要提问的问题或发现，以便解决证据的冲突，特别是影响到等级评定的地方。分析数据跟踪表工作目标：从零开始对数据跟踪表进行彻底复查

参与角色56角色任务组织者提出指导和建议，供评估组参考。评估组回顾会谈记录，讨论相关问题并以公式表述发掘到的信息。表决成员更新数据跟踪表。分析数据跟踪表时间估计：1～3小时工作步骤：57步骤指南回顾会谈记录每个评估组成员回顾他自己的会谈记录。讨论问题评估组提出会谈过程中遇到的问题，组织者统筹讨论，确保所有的问题都涉及到。更新数据跟踪表讨论之后，基于表决成员的表决，更新数据跟踪表。产生初步的评估发现工作目标：是制定出一系列的评估发现，以反映对评估中累积的数据的综合分析成果参与角色：

58角色任务组织者组织评估组进行集体讨论，并检查初步评估发现的准备工作。表决成员把积累的数据总结为初步的评估发现。产生初步的评估发现时间估计：4小时以上工作步骤：

59步骤指南给出候选的评估发现表决成员依据过程域/共同特性，记录候选的评估发现。复查评估发现比较候选的评估发现，剔除冗余的和可忽略的地方，形成一致的思路。最后，把最终报告中要包含的评估发现提交给表决成员来批准。记录评估发现初步评估发现被确定并记录下来。给出进一步的问题评估发现的形成过程中，可能要与项目经理或工作人员进一步会谈，以澄清一些东西。评估组应该明确所有要进一步确认的问题，这些问题是基于证据巩固环节中的工作而提出的。进一步会谈和提问工作目标：解决初步评估发现中的问题，这些问题将影响等级的判定

参与角色：60角色任务组织者组织会谈并提问。评估组记录对方回答。项目经理或工作人员回答问题。进一步会谈和提问时间估计：1～2小时工作步骤61步骤指南组织会谈组织者就评估组对上次会谈结果的分析，提出问题，评估组成员记录对方的回答。进一步提问表决成员进一步提问，以澄清一些模糊之处。过程检查评估组执行快速的过程检查，确保会谈中得到了所需的信息，并为下次会谈做适当调整。制定等级工作目标：在消化吸收初步评估发现和进一步会谈得到的信息的根底上，把数据跟踪表的结果转化为等级轮廓，表述每一个过程域的能力成熟度等级参与角色62角色任务组织者提出指导和建议，供评估组参考。评估组回顾会谈记录，讨论相关问题并以公式表述发掘到的信息。表决成员更新数据跟踪表。制定等级时间估计：4～6小时工作步骤63步骤指南回顾会谈记录每个评估组成员回顾他自己的会谈记录。更新数据跟踪表评估组就进一步会谈中得到的解答进行讨论；组织者统筹讨论，确保每个问题都讨论到；数据跟踪表将基于表决成员的一致意见得到更新。定级基于数据跟踪表，表决成员为每一个过程域确定一个一致同意的等级。产生最终的评估发现工作目标：考察过程域和等级轮廓，对本次评估的成果进行总的观察。最终的评估发现是对初步评估发现的精炼参与者：64角色任务组织者提供SSE-CMM专家意见，并指导表决成员来表决。表决成员表决确定最终评估发现。产生最终的评估发现时间估计：1～3小时

工作步骤：65步骤指南复查数据评估组复查初步的评估发现、数据跟踪表和进一步会谈中得到的新的数据。这些信息使表决成员能够明确哪些内容需要被关注。把评估发现划分优先级按照发起者的意见，和表决成员对于被评估组织的优势和弱点的看法，对评估发现做优先级划分。批准评估发现每个评估发现都要提交给表决成员审批，表决成员必须客观的对待每一个评估发现。制定简报将评估发现写成简报，提交给发起者。处理评估记录工作目标：将与评估有关的所有记录进行适当的处理

时间估计：1～2小时参与者66角色任务组织者、证据管理员确保所有的记录都被处理了；为仍需由评估组掌握的记录提供保密控制；整理新的证据并提交给发起者。评估组收集所有的记录和其他的中间工作输出。现场协调员销毁所有的记录和其他的中间工作输出。发起者接收新的证据和工作输出。总结评估报告工作目标：给被评估组织提供评估结果

时间估计：0.5～1小时参与角色67角色任务组织者按照发起人的指示，给出评估结果。评估组