见人说人话：安全团队如何对安全项目优先级排序

写在文前：铺垫了两篇见人说人话文章，“向不同高层争取安全支持”和“使安全价值匹配IT战略”，其实都是为了此篇“安全项目优先级排序”做准备。有了对不同角色老板的理解，对不同发展阶段和IT战略的理解，安全团队才能更好理解项目优先级排序的差异和效果。

笔者参考了近百份《安全规划》报告或方案，有四大咨询公司高逼格的，也有国内安全公司务实落地的，总结这些规划中的安全项目群优先级排序方法，再加入笔者的不靠谱、拍脑门实践经验，对项目优先级排序总结出三种比较实用的方法，分别为重要-紧迫排序法、风险-价值排序法、成本-收益排序法。三者与前两篇文章的对照关系如下：

备注：成功概率指安全规划的项目群排序时，采用某一种排序法对上汇报，比采用其他排序法汇报时的老板接受的可能性。

一、建立安全项目优先级排序的指标池

在做安全项目优先级排序前，笔者整理了一大滩排序的指标，尽力通过定量的方法避免定性的排序。这些指标有的看起来匪夷所思，有的看起来又那么理所当然，笔者智慧有限，不对过程负责、不对结果负责、不对读者负责，仅供参考。

一级指标：

二级指标：

二、制定各指标的具体评分标准

制定各指标的评分标准的目的很简单，就是为了量化，做定量计算，这里只举一个例子，如对项目时间周期这个指标做评分：

强调：制定指标评分标准时，一定注意“正向指标”和“反向指标”需要从同一维度描述，否则在后续的评分计算中正反指标的分数“混乱”。

三、对项目群各安全项目评分和排序展现

• 重要-紧迫排序法

重要-紧迫排序法中，一级指标重要性、实施紧迫性依据二级指标要素评价：重要性指标涉及到项目耦合度、受破坏的恢复时间、减少的安全风险、对业务运营的支持、对管理改进的支持。实施紧迫性指标涉及项目时间周期、项目范围大小、受合规要求的影响、见效速度、技术难度、变革/全局的影响。评分如下：

评分后，根据平均值在优先级排序中展现如下：

• 风险-价值排序法

风险-价值排序法中，一级指标项目风险、项目价值依据二级指标要素评价：风险指标涉及到方案成熟度和技术难度、业务的支持度、资源投入约束程度、项目耦合度、变革/全局的影响。项目价值指标涉及减少的安全风险、促进安全保障水平提升、见效速度、对业务创新的支持、对管理改进的支持、对其他IT项目实施的支持。评分如下：

评分后，根据平均值在优先级排序中展现如下：

• 成本-收益排序法

成本-收益排序法中，一级指标投入的成本、企业的收益依据二级指标要素评价：投入的成本指标涉及到资源准备程度、项目时间周期、项目范围大小、实施技能素质要求、长期持续投入。企业的收益指标涉及对业务运营的支持、对其他IT项目实施的支持、促进安全保障水平提升、对管理改进的支持、对业务创新的支持、促进业务战略的发展程度。评分如下：

评分后，根据平均值在优先级排序中展现如下：

需要说明的是：

1、  收益和价值在多数情况是类似的，因此其评价依据的二级指标也可以复用。笔者在安全项目的优先级排序中，对收益的理解更多从企业的业务视角评价，而价值的理解更多从IT安全风险的视角评价。

2、  各评价指标可能存在内涵覆盖，或包含或重复或交叉，但不影响方法的使用。

3、  因为是安全项目的优先级排序，因此加入了特定的安全指标，若去掉这些指标，或将这些安全指标归入其他指标之中，本文的优先级排序适用任何类型的项目排序。

根据笔者不靠谱经验，对于不同企业不同领导，若无法准确评估采用哪种排序方法，建议采用“成本-收益排序法”更容易接受。

四、关于排序的展现形式可以很多样

笔者文中采用了最为简单的矩阵展项方法，在实际应用中无论坐标的方向如何，或排序使用定量的数字或定性的高中低，或采用九宫格等均属于展现形式问题，对排序的本质无影响。

如下图：横纵坐标从低到高顺序，某些时候比原点辐射展现效果更好。

如下图：采用相对变量原点六宫格，某些时候比九宫格展现效果更好。

写在最后：文章又臭又长不符合笔者风格，后续会尽量避免。如有使您眼睛疲劳、头晕呕吐等各种不适症状，还请见谅。若无任何不舒服，欢迎探讨传播。

坚信少却更好，坚定元认知传播，坚持安全美学，拿个主题，讲300秒就够了。

原文始发于微信公众号（表图）：见人说人话：安全团队如何对安全项目优先级排序