Levels
| Level | Meaning | Minimum evidence |
|---|---|---|
| L0 | 미구성 | 관련 장치와 합의가 없음 |
| L1 | 문서화 | 명시된 정책·책임·절차 근거 |
| L2 | 자동 강제 | 위반을 실제 차단하는 코드·CI·권한 근거 |
| L3 | 결과 측정 | 반복 가능한 측정과 실행 결과 기록 |
| L4 | 지속 개선 | 기준선·개선·재판정이 반복된 증거 |
상위 레벨은 하위 레벨의 조건을 포함한다. 문서만 존재하면 L1을 넘을 수 없다.
Score contract
coverage, enforcement, verifiability, traceability, operationalSafety는 각각
0~20 정수다. 합계는 0~100이며 입력 합계와 표시 합계가 다르면 평가를 거부한다.
Reassessment contract
재평가는 다음을 모두 포함해야 한다.
- 같은 평가 축을 사용하는 이전·현재 assessment ID
- 개선 항목의 기준선과 목표
- 실행한 명령 또는 관찰, 기대값, 실제값
passed,partial,failed판정- 근거 ID와 남은 위험
검증을 실행하지 않은 check가 하나라도 있으면 전체 결과를 passed로 만들 수 없다.