変更管理とは？

変更管理の意味

システムや設定に手を加える際、申請、影響評価、承認、実施、結果確認という手順を定めて記録する仕組み。無断の変更による障害や、変更を装った不正を防ぐ。誰がいつ何を変えたかを追跡できるようにすることが、監査でも確認される要点になる。

変更管理の具体例

ファイアウォールの通信許可を1件追加する際、申請書に目的、期間、影響範囲を記載し、上長と情報システム部の承認を経て設定した。作業後は設定内容の控えを保存し、期限が来たら許可を取り消す予定を管理表へ登録した。

変更管理は試験でどう引っ掛けられる？

緊急対応でも事後の申請と記録が必要で、手順の省略が常態化すると統制が崩れる。また「元に戻す手順」を用意していない変更は、障害時に復旧できず可用性を損なう。

変更管理と関連する用語

• リリース管理とシステム移行
• 回帰テスト（リグレッションテスト）
• 開発環境・テスト環境・本番環境の分離

変更管理が出た過去問

• スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。

  正解：スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。

  要点：スプレッドシートのロジック変更は承認と履歴管理が要る

  スプレッドシートは利用者が自由に数式を書き換えられるため、変更管理が効かないと計算結果の正確性を担保できない。業務上の必要があっても、承認や記録を経ずに随時ロジックを変更して上書き保存する運用は、統制が働いておらず指摘事項となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問37（IPA）