資安治理成熟度評估是評估組織資安管理能力的過程，以了解組織在資安治理方面的現狀和成熟度水平。評估通常針對一系列關鍵領域進行，並使用特定的評估模型或框架來量化和評估組織的資安成熟度。這些評估的目的是確定組織在資安管理方面的強項和弱項，以便制定改進策略和措施。
一、如何評估資安治理成熟度？
資安治理成熟度評估可以進行以下步驟：
- 確定評估範圍和目標：確定評估的範圍，包括要評估的資安領域和目標，例如風險管理、政策與程序、技術控制等。
- 選擇評估模型或框架：選擇適合組織的資安治理成熟度模型，如COBIT、ISO 27001、NIST CSF等。
- 收集相關資料：收集與評估相關的資訊，包括政策文件、程序文件、安全事件日誌、技術控制措施等。
- 評估現狀：使用選定的模型評估組織的資安控制、流程和政策。這可能包括評估風險管理、安全文化、技術控制等方面。
- 確定改進點：確定評估中發現的弱點和需要改進的領域，例如政策不足、培訓需求、技術缺陷等。
- 制定改進計畫：基於評估結果，制定改進計畫和措施，例如更新政策、加強培訓、導入新技術等。
- 持續監督和評估：定期監督和評估改進計畫的實施，以確保資安治理成熟度持續提高。
二、成熟度分級說明
政府機關的資安治理成熟度評估機制是由行政院國家發展委員會所訂定。該評估機制將資安治理分為三個面向：策略、管理和技術，並將其細分為11個流程構面。評估機制將成熟度分為0到5共6級。
- Level 0 未執行流程（IncompleteProcess）
- Level 1 已執行流程（Performed Process）
- Level 2 已管理流程（Managed Process）
- Level 3 標準化流程（Established Process）
- Level 4 可預測流程（PredictableProcess）
- Level 5 最佳化流程（Optimizing Process）
依國家資通安全發展方案(110~113年)」之「推動公私協同治理提升關鍵設施韌性」推動策略，113年度所有A級政府機關需達第3級以上，80%之B級政府機關也需達第3級以上，南區水資源分署為B級機關目前已達第3級之標準，後續將持續維持並精進。
資安治理成熟度評估是組織持續改善資安治理的關鍵一環，它不僅幫助發現弱點，更能指導組織制定和實施有效的資安策略和措施，以應對日益複雜的威脅環境。