九游老哥云
NIST评估信息清静一连监控项目指南：评估要领——连载3
2020-10-19
《NIST评估信息清静一连监控（ISCM）项目：评估要领》一文可用于：
l 为组织各危害治理级别（界说见NIST SP 800-39《治理信息清静危害：组织、使命与信息系统视角》）开展ISCM项目评估提供指导；
l 叙述了ISCM项目评估与主要清静看法和历程的相关性，如NIST危害治理框架（RMF）、全组织危害治理级别、组织治理、ISCM指标和一连授权；
l 先容了有用的ISCM项目评估所具备的特点；
l 提出了ISCM项目评估标准（同时提供了参考泉源），组织可接纳这些标准举行ISCM项目评估，或基于这些标准制订适合本组织的评估标准；
l 先容了通过评估程序举行ISCM项目评估的要领，该评估程序在相关配套文件（包括ISCM项目评估要素一览表）中举行了界说，用以开发可复用的评估流程。
目的读者为一连监控信息清静态势和组织危害治理的小我私家，包括：
l 认真评审组织ISCM项目的小我私家，包括举行手艺评审的治理职员和评估职员（如系统评估人、内部和第三方评估员/评估团队、自力验证/认证评估师、审计职员和系统认真人）；
l 肩负使命/营业认真人或受托人责任的小我私家（如联邦机构认真人、首席执行官和首席财务官）；
l 需要思量ISCM功效的系统开发/集成认真人（如项目司理、系统认真人、信息手艺产品开发职员、系统开发职员、系统集成商、企业架构师、信息清静架构师和通用控件提供方）；
l 肩负系统和/或清静治理/监视职责的小我私家（如高层向导人、危害治理职员、授权人、首席信息官、首席信息清静官），这类职员需在一定水平上依赖于一连监控历程中输出的清静相关信息做出基于危害的决议；
l 认真系统和清静控制评估与监控的小我私家（如系统评估人、评估员/评估团队、自力验证/认证评估师、审计职员、系统认真人或系统清静主管）。
连载3将先容评估的组成部分和ISCM项目的总体评估流程。ISCM项目评估流程明确了组织怎样举行ISCM能力评估，包括：（i）组织和评估机构为准备ISCM项目评估而开展的运动，（ii）ISCM项目评预妄想的制订，（iii）ISCM项目评估的实验和评估效果的剖析和报告，以及（iv）评估后报告剖析和后续运动。
ISCM项目评估流程概述
乐成的ISCM项目评估需要思量组织ISCM能力有关各方的需求，包括系统认真人、授权人、首席信息官、首席信息清静官、隐私事务高级机构官员/首席隐私官，首席执行官/机构认真人、清静和隐私事情职员、监察长或其他审计机构、RE（f）和认真危害治理的高级官员。建设评估前、评估中和评估后期望至关主要，可确�；竦每山邮艿男Ч�，即输出须要的信息，便于组织向导判断ISCM项目是否足以知足组织的需求，进而影响授权决议，决议是上线新系统照旧继续使用目今系统（一连授权）。整个历程如图7所示，详细信息见下文。
虽然评估依赖于评估职员手动举行，但会将自动化ISCM历程的输入作为证据，举行判断。例如，ISCM输出的报告可以通过组织仪表盘或清静信息和事务治理（SIEM）组件提供应评估职员；然后评估职员基于该报告对一个或多个特定评估要素做出判断。接下来，评估职员或工具（若有）网络和汇总来自各级别的评估加入者的判断效果，天生针对整个组织的判断，组成最终评估效果的基础。
依据本指南制订的ISCM项目评估要领评估的是ISCM项目自己，而不是ISCM项目的运营效果。ISCM项目评估的目的不是：（i）重新测试清静控制的有用性或操作程序，（ii）评估ISCM实验情形，或（iii）验证ISCM项目的特定输出。ISCM项目评估通常不审查单个控制步伐评估的效果，而是检查被评估组织的各部分是否凭证ISCM战略以组织确定的频率举行控制评估。
理想情形下，ISCM项目评估流程应可以复用，以确保效果的一致性。通过使用本指南3.3节中形貌的ISCM项目评估要素，可确保评估流程的复用性，为评估职员提供关于潜在评估工具、检查点、单独评估要素的评估目的以及目的面谈职员角色等方面的指导。别的，各ISCM评估要素的“备注”属性就怎样对评估要素举行判断提供了指导，有的还提供了有用判断值，供评估职员选择。
下文叙述了组织或评估职员怎样调解本章提出的要领，凭证自己的现实需求举行评估。
SCM项目评估直接评估组织内界说和实验的ISCM项目，而不是评估实现ISCM能力的单个详细组件，如单个通用控制步伐、混淆控制步伐和特定系统控制步伐。ISCM项目评估验证评估要素某一方面是否到位，例如，验证是否凭证指定频率针对特定行动执行了特定程序。ISCM项目评估不会评估ISCM能力的单个自动化功效、手动功效或运营功效。
1 ISCM项目评预妄想
ISCM项目评预妄想为ISCM项目评估的实验提供指导。ISCM项目评预妄想包括ISCM项目评估历程妄想阶段所作的决议，要领如下：
· 关于第三方评估，评估团队制订ISCM项目评预妄想，并提交给组织举行审批。最终版本将在启动聚会上交给评估加入者。
· 关于自评，ISCM项目评预妄想由要害评估职员和组织治理层内部制订。ISCM项目评预妄想由组织向导批准，并将凭证ISCM项目评估效果接纳行动。最终版本将在启动聚会上交给评估加入者。
ISCM项目评预妄想包括但不限于以下内容：
· 评估类型
· 评估规模
· 职员设置泉源
· 评估职员角色及职责
· 时间表与限期
· 要害里程碑
· 按顺序举行和同时举行的运动
· 针对特定组织危害治理级别的评估职员合并判断要领
· 针对多个组织危害治理级别的评估职员合并判断要领
· 后勤信息
· 评估调解决媾和实验
· 报告类型（底稿和终稿）
图4：ISCM项目评估流程
2、ISCM项目评估流程阶段
ISCM项目评估由一系列的运动组成，是一种基于现有评估要领的逻辑性、系统性要领。ISCM项目评估流程有三个阶段：
1. ISCM项目评估妄想（妄想阶段）
2. 举行ISCM项目评估（实验阶段）
3. 报告ISCM项目评估效果（报告阶段）
每次ISCM项目评估行动都要凭证组织的需要和适用评估要素举行定制。ISCM项目评估可分为自评和第三方评估，如2.3.1节所述。图4说明晰ISCM项目评估三大阶段中的详细运动。
2.1 妄想阶段
ISCM项目评估的妄想阶段明确了评估历程，并将项目评估的实验举行了固化，如图5所示。
图5：ISCM项目评估流程（妄想阶段）
妄想运动针对一系列主要问题，涉及ISCM项目评估的实验方法（自评或第三方评估）、本钱、妄想表、职员配备和后勤包管。妄想假设各评估要素适用于一个或多个组织级别。加入者仅在一个适用级别对一个要素做出一个判断，且这种判断与他/她在其他适用级别所做的判断无关。
要实现周全的ISCM项目评估，评估认真人确保ISCM的所有领域都由知情员工举行评价，详细如下：
· 举行第三方ISCM项目评估的团队成员或相识ISCM项目评估规模内的所有能力，或接触过ISCM项目评估各领域，具有实操履历。别的，评估职员还需要具有须要的相关手艺和履历，确保能够提供准确、一致的判断和适用的刷新建议。
· 举行自评的小我私家对本ISCM领域很是相识。
在详细妄想之前，需要评审初始的基础工件（例如，组织级ISCM战略和组织结构图）。然后，凭证初始工件集的相关信息，更新ISCM项目评预妄想，调解以下内容：
· 组织的行动力
· 被评审的评估工具以及加入职员
· 完成ISCM项目评估的限期
· 组织有用治理评估所需的要害里程碑决议点
· 一连运动和并行运动
组织要执行以下要害妄想运动：
· 获得组织批准，为ISCM项目评估设立一名执行提倡人；
· 确定评估的目的、严酷性和规模；
· 确保组织向导相识要评估的使命/营业流程，使命/营业流程已拉通，利便评估职员获取评估相关要素所需的信息；
· 上报组织的主要向导，说明即将举行ISCM项目评估，分派须要的资源举行评估；
· 安排启动会；
· 确保ISCM相关工件已到位，可供评估职员使用（例如，成文政策和操作程序、妄想、规范、设计、纪录、ISCM报告、系统文档、信息交流协议、以往评估效果、执法要求等）；
· 关于自评，确定并从组织中选择具有相关知识的评估职员/团队，同时思量评估职员的自力性问题。
确定评估规模时，组织可能以为局部评估（如2.3.2节所述）较为合适，也就是说，妄想会限制待评估组织的流程阶段数目，指定哪些部分将接受评估。该形式被组织批准后，相关工件将提供应评估团队，利便他们在启动会之前检查详细的配景信息，进而缩短评估时间。
评估团队需做如下准备事情：
· 与组织的相关治理职员碰面，就ISCM项目评估的目的、严酷性和规模举行相同，告竣一致；
· 在组织内指定执行ISCM项目评估所需的联系人；
· 周全相识组织的运作，包括组织结构、使命、职能、营业流程和员工角色；
· 确定ISCM项目评估的重点领域（如问题领域、高优先级/可见性妄想）；
· 周全相识使命/营业流程内的系统对评估历程的支持性；
· 相识每个系统的结构（待评估的系统架构）；
· 关于第三方评估，选择有能力的评估职员/评估团队，若是评估职员属于组织（即内部第三方评估），则要思量自力性问题。
组织和评估向导人配合开展以下运动：
· 妄想准备组织向导和评估职员之间的启动聚会；
· 在组织和评估职员之间建设相同桥梁，只管镌汰对ISCM实验的模糊熟悉或误解以及ISCM项目评估时代发明的任何缺乏/缺陷；
· 制订完成评估和按期检查的时间表，监测和治理进度。
启动聚会的目的是确认行动决议，回覆问题，解决后勤问题以及任何其他问题。与会者包括以下组织职员：组织高级向导（CIO、SAISO/CISO、RE[F]）、使命/营业认真人、系统认真人、系统清静主管、被选中加入或支持ISCM项目评估的其他职员，以及行政支持职员，包括后勤和组织联系人。评审机构向导和高级评审职员也会加入启动聚会。
2 实验阶段
ISCM项目评估按ISCM项目评预妄想举行，该妄想或会在启动聚会时代举行修改。要乐成举行ISCM项目评估，至关主要的是获取欲评审ISCM项目和评估规模内系统相关的工件且能够联系上相关组织职员。图6说明晰ISCM项目评估历程的实验阶段。
图6：ISCM项目评估流程（实验阶段）
实验阶段的目的是相识组织的ISCM项目在下列各方面施展的作用：
· 妄想、制订组织级ISCM战略以及建设ISCM项目；
· 妄想、实验可选使命/营业流程ISCM战略；
· 为被评估的各使命/营业流程内的所有系统妄想、实验系统级ISCM战略；
· 实现、运行和维持ISCM能力；
· 剖析ISCM效果，确定组织清静态势；
· 响应ISCM效果，降低组织危害；
· 向各级组织转达ISCM效果；
· 以组织划定的频率检测所实验控制步伐的差别和缺乏，判断控制步伐是否足够有用、可以抵达预期目的；
· 回首、更新和刷新ISCM项目。
可使用基本的电子表格、PPT和Word文档纪录、生涯评估要素和评估原始数据并提交评估职员和组织向导。有些商业工具基于特定的评估标准，面向系统和组织项目评估，可用于评估；可是，本文档不为任何商业信息手艺产品、应用程序或系统背书。
组织可安排工具举行评估，并以本文中的评估要素作为评估工具以及评估工具需求库的基础�？梢钥⑵拦拦ぞ呃粗С峙卸暇鲆�，包括协作要领、Delphi模子、评估职员投票和视察知情职员。
证据网络
ISCM项目评估信息是从组织职员和ISCM输出（报告）中获取的，而不是与ISCM能力直接交互。凭证组织结构、角色和评估规模，对组织各级职员举行访谈，以获取相关信息并对评估要素做出判断。
在网络ISCM清静相关信息以相识控制有用性时，自动化是主要要领，但有些控制是手动监控的。以是，ISCM项目评估还可以从手动网络的数据中获取ISCM效果。ISCM项目评估可获得的证据包括但不限于：
· 文件：
o 组织级ISCM战略
o 组织级ISCM政策（可能单独成文，也可能包括在ISCM战略中）
o 使命/营业流程ISCM战略（可�。�
o 系统级ISCM战略
o ISCM实验操作历程
o 系统清静妄想
· ISCM通过如下方法输出的清静相关信息：
o 仪表板或其他动态监控系统和组件（如SIEMs）天生的报告
o 手动天生的报告
o 为各级别向导编写的报告，包括CIO、CISO、RE（f）员工、AO、使命/营业区域治理职员、通用控制提供商、系统认真人和ISSO
· 与下列种种人士访谈获得的信息：
o 组织向导
o 系统认真人和系统清静主管
o 系统治理员
o 危害治理人
o 授权人
若是适用的话，目今ISCM项目评估可使用之前的ISCM项目评估效果（如监察长报告、审计、误差扫描、物理清静检查、先前的清静或隐私评估、开发测试和评估以及厂商缺陷调解运动）。
证据剖析
信息网络后由评估职员手动剖析，并将效果输入到目今库或评估工具中，用以建设图表。通过信息剖析，可以判断ISCM项目对各相关评估要素的知足水平。
在各组织级别举行判断，以确定ISCM项目对该级别特定评估要素是否充分知足。若加入评估的多个职员或小组在统一级别做出差别判断，则评估职员会将这些判断举行汇总，形成唯一判断，如2.2.8节和2.2.9节所述。例如，评估职员可以对系统级判断举行汇总，形成唯一判断，涵盖对所有被评估系统就特定评估要素做出的所有判断。
在ISCM项目评估事情中，评估职员会审查工件，与员工面谈，剖析网络到的信息。天天竣事时，可与相关组织联系人举行简短讨论，以澄清和确认所发明的问题，进一步提出问题，并确认第二天的运动。
系统级ISCM项目评估可以由系统开发职员、系统集成商、清静控制评估员、系统审计员、系统认真人、组织的清静职员以及AO和AO职员实验或支持。ISCM项目评估职员将所有被审查系统的可用信息搜集在一起。若有须要，评估职员可通过修改评估要素的评估程序和要领来增强系统级评估，网络ISCM项目相关系统的特殊或特殊信息。
使命/营业流程ISCM项目评估可由使命/营业认真人、通用控制供应商、清静控制评估员和CISO员工清静专家实验或支持。组织级ISCM项目评估可由组织的CIO、SAISO/CISO和RE（f）员工实验或支持。
在各组织级别对某评估要素做出唯一判断后，凭证需要对这些判断举行合并，形成最终判断。当对所有要素都做出唯一判断后，实验阶段竣事。
3 报告阶段
报告阶段（图7）是评估职员加入的最后一个阶段。ISCM项目评估的报告阶段界说了ISCM项目评估的输出效果。
图7：ISCM项目评估流程（报告阶段）
在评估的报告阶段，评估职员起草评估报告初稿。ISCM项目评估结论由评估职员凭证剖析信息手动得出。评估职员凭证ISCM项目评估的结论，提出ISCM项目的刷新建议，这些建议可在非“知足”（或“准确”）项的评估判断注释中提供。评估历程输出定性效果和建议，资助组织集中精神刷新ISCM项目。组织会收到一份报告初稿，内容包括视察效果和提供的建议。报告初稿由组织向导（包括执行提倡人）审查，以修订过失并澄清误解或迷糊之处。凭证组织的反响，评估职员更新报告，形成终稿。ISCM项目评估报告见2.2.12节。
评估后响应（跟进）
组织认真对ISCM项目评估效果举行响应。组织需要剖析ISCM项目评估报告终稿中的视察效果，确定合理响应步伐，凭证组织的危害遭受能力确定响应行动的优先级，并指定角色认真执行响应行动，明确完成时间。妄想好的响应行动可以纪录在系统、使命/营业流程或组织级行动妄想和里程碑中，或以组织要求的名堂纪录。凭证视察效果和组织对视察效果的响应，响应更新ISCM项目相关文件（如ISCM战略、政策等）。组织还可以重新评估相关ISCM项目评估要素，验证已完成的响应行动。
ISCM项目评估要素
ISCM项目评估要素界说了适用于所评估ISCM项目各个方面的评估标准。为了确定是否“知足”ISCM项目评估要素，评估职员需要使用相关评估程序来获取和审查证据。统一组织级别的所有评估要素适用同样的评估程序。
针对特定评估使命添加或修改ISCM项目评估要素时，评估程序信息也要响应增添或修改，同时，其他属性（如“备注”）信息也需要添加或修改。关于怎样定制ISCM项目评估历程以及评估要素，见3.5节。
ISCM项目评估要素能够增进ISCM项目评估历程的可重复性，并提供了须要的无邪性，以便凭证规模、组织结构、政策和程序、操作思量、系统和网络架构以及危害遭受能力定制评估计划。
1 评估要素信息字段
评估要素的信息字段，包括评估要素的上下文信息或属性，界说如下：
· ID：唯一标识评估要素并代表ISCM阶段序号（见2.1.2节）的有序字符串。
· 评估要素形貌：为评估ISCM项目某一方面而界说的评估标准。评估要素形貌是评估职员用来确定目的是否告竣目的或目的告竣水平的说明。
· 级别：SP800-39中界说的适用组织危害治理级别。将ISCM评估要素应用于组织危害治理级别的更多信息，见2.1.3节。
· 泉源：ISCM项目评估要素所参考的权威出书物或实践。
· 评估程序：评估程序属性包括多个部分，划定了评估职员需要执行的一系列操作，以便网络证据，确定评估目的是否已实现。每个评估程序包括（i）一个评估目的，（ii）多个可能的评估要领，以及（iii）ISCM项目评估所针对的工具，详细如下：
评估目的：评估目的是与评估要素形貌相关的判断语句。判断语句（即“确定是否……”）针对的是评估要素形貌的内容，用以确定ISCM项目的相关内容是否知足该要素泉源中划定的基本ISCM原则/要求，或对这些原则/要求的知足水平。应用评估程序对ISCM项目的某一方面评估后会输出评估效果，体现是否知足了评估要素或对评估要素的知足水平。
可能的评估要领和工具：评估程序还对建议的评估要领和适用工具提出了规范要求。评估要领界说了评估职员运动的性子和规模�？捎糜贗SCM项目评估的可能要领包括：
· 检视：审查、检查、视察、研究或剖析一个或多个评估工具的历程。检视的目的是增进明确，澄清误解，获取证据。
· 访谈：与小我私家或小组举行讨论以增进明确、澄清误解或获取证据的历程。
组织和评估职员协调行动，获取证据，证实组织为包管ISCM项目有用性所做的起劲。在所有三种评估要领中，证据都用于基于判断语句做出详细判断，以确认评估程序的目的。
评估工具是应用评估要领的潜在项目（证据）。评估工具包括规范、机制输出、运动和小我私家，资助评估职员判断ISCM项目的某个方面是否知足评估要素或对该评估要素的知足水平。规范是文档型构件，包括：
· ISCM战略
· ISCM项目政策和程序
· 系统清静妄想
· 清静需求
· ISCM自动化功效规范
· ISCM手艺架构设计
机制输出是系统或操作情形中使用的特定软硬件或固件监控功效或防御步伐所天生的报告或通知，例如：
· 清静仪表盘报告
· SIEM报告
· 网络防火墙报告
运动是人类加入的与系统相关的监控运动，例如：
· 执行手动监控操作
· 评审ISCM报告
· 按程序行事
· 做出基于危害的决议
· 备注：“备注”属性为评估职员提供各方面的增补指导，包括评估要素、特定工具检查点建议、增补信息/参考资料的泉源等。“备注”提供的特殊情形或依赖性方面的增补信息可供评估职员参考。
· 级别说明：将评估要素分派到特定危害治理级别的理由。
· 父要素：父要素体现与上一流程阶段评估要素的联系，父要素与目今要素评估的是相同的ISCM方面或主题。“界说”阶段要素没有父要素。
· NISTIR 8212（ISCMAx工具）中的要害要素：评估要素可分为要害要素和非要害要素，对评分方法有差别的影响。为利便用户使用，本栏与NISTIR8212一致。组织可凭证组织危害评审主要性并修改值（是或否）。
· 链标签：ISCM项目评估要素可以联络在一起，提供可追溯性，对相关要素举行分组，形成一条链（见2.2.5节）。每个链标签提供一个简短的形貌性名称，代表一组相关的ISCM项目评估要素。
· 链分类：用于对评估要素举行分类的字符串，以便将它们合并到对应链中，按流程阶段在链内举行排序。
组织不需要接纳评估程序中包括的所有评估要领和工具；相反，可以无邪选摘要领和工具，并确定评估所需的事情量和所需的包管（即哪些评估要领和评估工具关于获得预期效果最有用）。
2 评估要素的使用
表5：评估要素名堂
下图举例说明怎样基于表6中的示例要素使用评估要素。
使用示例评估项信息
办法1到办法4诠释了怎样使用表6中的示例评估要素的信息字段来对示例评估要素做出判断。
1. 关于1-002评估要素：
有基于组织级ISCM战略建设的ISCM项目。
按下述要领对工具使用可能的评估要领：
a. 检视：组织级ISCM战略、ISCM政策和程序文件、ISCM设计文件、ISCM CONOP
b. 访谈：SAISO、ISCM POC
获取证据，对下述ISCM评估目的作出判断：
确定是否有基于组织级ISCM战略的ISCM项目。
2. 凭证需要，使用与“界说”阶段和检视列表及访谈列表中的级别1相关的信息来确定ISCM评估目的是否告竣。
3. 使用备注：“ISCM项目由基于组织级ISCM战略的ISCM政策和程序组成，包括指导ISCM实验的ISCM文件（如ISCM手艺架构和ISCM CONOP）”，澄清评估要素的迷糊表述或目的。
4. 判断评估要素的知足水平（“知足”或“未知足”），将判断效果输入评估工具或效果库。关于“未知足”判断，在注释中给出理由。
图8：使用示例评估项信息
定制ISCM项目评估流程
定制是评估职员和被评估组织之间为知足组织需求而举行的相助历程。评估流程各阶段（如3.2节所述）和评估使命可以定制。通过定制，可将评估使命与组织的特殊情形对齐，例如，ISCM项目不可熟时，可举行有限（增量）评估。关于针对整个组织的评估项目，定制后，差别的子组织可凭证差别的危害情形确定差别的实验水平。评估要素和评估程序有足够的无邪性，可以凭证组织的需要举行调解。
凭证组织对ISCM项目的详细实验情形，可能需要定制ISCM项目评估计划。例如，在为联邦机构定制评估计划时，要包管计划有助于确定组织的ISCM项目是否切合有关部分春联邦机构的ISCM要求。定制ISCM项目评估计划时须与评估机构协调，确保ISCM项目评估能够凭证要求验证ISCM的各方面。所有定制决议都要纪录在ISCM项目评预妄想中。
调解ISCM项目评估规模。在定制运动最先时，应确定ISCM项目的评估规模，例如针对ISCM项目的实验要评估哪些系统和系统组件（用户端点、服务器、网络组件等），以提供可信的评估证据。
调解ISCM项目评估规模要相识组织的ISCM要求和约束，并在须要时修改评估要素。例如，可凭证组织结构（子组织的数目和规模等）或ISCM成熟度（如使命/营业流程之间的ISCM成熟度差别）举行调解。
评估规模由组织向导决议。如2.3.2和3.4节所述，可从一览表中选取部分评估要素，以缩小规模（例如，举行小规模评估或凭证ISCM流程阶段的数目举行增量评估时）。评估规模也可限制于特定的危害治理级别（例如，仅1级[组织]规模或仅3级[系统级]规模）。
修改评估要素。定制评估计划可能会要求对评估要素的字段/属性举行修改。新手艺带来新看法时，可对评估要素举行修改以反应这种转变。如2.2.7节所述，评估要素集可通过新增或修改要素举行定制。
若是ISCM项目评估中用到某个工具，而凭证设计用途该工具并不适用于修改后的某些评估要素及其属性，那么对这些评估要素的修改可能会带来问题。
ISCM项目评估结论
ISCM项目评估可为组织提供ISCM项目设计、实验、运营和治理等方面的刷新建议。评估竣事时，评估职员提交报告初稿，与组织向导讨论并解决意见不同，最后提交报告终稿。
ISCM项目评估历程有时会很主要和短暂，有时会很轻松。评估竣事后，组织职员可能会与评估团队举行谈判。后续相助中也可能会有这种谈判。
评估后行动。ISCM项目评估可按预定的时间距离重复举行，例如当组织的ISCM项目制订历程中泛起某些里程碑时，或领先前评估的响应行动完成、确认行动竣事后。随着组织ISCM项目的成熟，后续评估的规模可能会扩大。
