セキュリティプログラムの「成熟度」を評価する際、CMMIなどのモデルを使用する限界はどれか。

「手順書がある（形式知）」ことと「実戦で使える（暗黙知・能力）」ことは別であり、形式的な成熟度が高いだけで安心するのは危険である。