変更管理とは？へんこうかんり
変更管理とは、システムへの変更を、申請・影響評価・承認・実施・記録という決まった経路にだけ通す統制。無許可の変更と、想定していなかった副作用による障害を防ぐ。緊急変更の扱い、切り戻し手順の事前用意、実施者と承認者を分けることが要点で、IT全般統制の柱として監査で確かめられやすい。
最終更新：2026-10-06
この語が出る過去問を解く →背景
稼働中のシステムで起きる障害の多くは、直前に加えられた変更が引き金になっている。一方で変更を止めれば事業が回らない。だから変更を禁じるのではなく、誰が影響を評価し誰が承認したかを残し、戻せる状態を先に作ってから触る、という形に落とし込む。不正を働く側にも記録が残る点で統制としても効く。
具体例
ソースコードならGitHubのプルリクエストとレビュー承認が、実施者と承認者の分離をそのまま実現している。ファイアウォールのルールも同じ扱いで、申請時に必要性と有効期限を書かせ、適用後に設定差分を保存し、年に一度は申請記録のないルールと期限切れを棚卸しで削る。
試験での引っ掛け
緊急変更を手順の外へ置いて無記録で許すと、そこから統制が崩れる。事後承認は認めても記録は必須。設定変更はプログラム変更ではないので対象外、という選択肢も誤りで、構成情報の変更も含める。現状を記録する構成管理とは役割が別で、変更管理は変更そのものを通す関所にあたる。
関連用語
出た過去問
出典：平成28年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問24（IPA）解説で登場
ITサービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1が要求している事項はどれか。
正解：変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
要点：変更要求のセキュリティへの影響評価が求められる
JIS Q 20000-1の情報セキュリティ管理では、変更要求が情報セキュリティ方針や管理策に及ぼし得る影響を評価することが求められます。変更によってセキュリティ水準が損なわれないよう、変更管理とセキュリティ管理を結び付ける要求事項です。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問24（IPA）解説で登場
ITサービスマネジメントの情報セキュリティ管理プロセスに対して,JIS Q 20000-1:2012(サービスマネジメントシステム要求事項)が要求している事項は…
正解：変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
要点：変更がセキュリティに与える影響の評価が必須
JIS Q 20000-1の情報セキュリティ管理では、変更要求が情報セキュリティ基本方針や管理策に及ぼし得る影響を評価することが求められています。変更によってセキュリティ水準が損なわれないよう、変更管理とセキュリティ管理を結び付ける要求事項です。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 2. サービスマネジメントシステムの計画及び運用 ＞ (12) 変更管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。