每月统计漏洞数和工时，为什么不等于ISSE-CMM量化控制级？

正确答案 D

四级关注工作产品的可测质量目标、已定义过程的量化能力及相应纠偏。D直接对应这些要求；数据核对、缺陷修复和标准化也有价值，但不是四级的完整判断依据。

数字出现在表格里，不等于数字已经用来管理过程。一个月处理100个漏洞，到底是工作量大、发现能力增强，还是缺陷反复出现？不结合业务范围、口径和目标，单看总数很难回答。题干并非说已有数据没用，而是指出数据还没形成质量目标与过程能力依据。教材四级先要求为组织标准化过程族的工作产品建立可测度质量目标，再量化确定已定义过程的能力，出现偏离时采取适当行动，D对应这组特征。A能改善数据质量，是有用的基础工作；B解决当前产品缺陷；C突出标准化和裁剪，更接近三级的重点。它们都不是坏做法，只是不能单独补足题目所问的四级特征。也不要套用某一个通用阈值便宣布达级：指标、分析和措施须适合相应过程，正式能力评估还需要完整证据。

选项分析

A

核对采集口径能让数据更可靠，但未建立质量目标与量化过程能力，不能仅凭记录齐全判断四级。

B

修复和复测解决当前工作产品的问题，不能由此推出已经量化确定过程能力并据其实施管理。

C

组织标准过程及项目裁剪是充分定义级的重点；标准化有必要，但不是量化控制级的全部要求。

D

把工作产品质量目标、已定义过程能力和偏差管理联系起来，直接对应教材四级的关键特征。

再巩固一步

• 看到统计数字先追问：服务哪个目标、说明什么过程能力、出现偏差怎样行动？别只看表格是否丰富。