Смотрят покрытие inventory, время до remediation по SLA, процент recurring findings, качество приоритезации (не только CVSS), verify закрытий, связь с IR/threat intel, ownership в бизнес-командах. Инструмент сканера — малая часть зрелости.
Разбор
- Cloud и containers в том же цикле.
- Критичные KEV/exploited в проде — красный флаг.
- Автопатч где безопасно.
- Отчётность владельцам активов, не «только SOC».
Итог
Зрелый VM = inventory + контекстный риск + SLA + ownership.