8.32 Zarządzanie zmianami
W skrócie: zmiany w systemach są planowane, oceniane, zatwierdzane i testowane — a jeśli coś pójdzie źle, wiadomo, jak je wycofać.
Cel: zachowanie bezpieczeństwa informacji podczas wprowadzania zmian.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Wprowadzanie nowych systemów i istotne zmiany w istniejących przechodzą przez uzgodnione zasady i formalny proces dokumentowania, specyfikacji, testów, kontroli jakości i zarządzanego wdrożenia.
- Procedury zarządzania zmianami są spójne dla infrastruktury i oprogramowania. Obejmują: planowanie i ocenę potencjalnego wpływu z uwzględnieniem wszystkich zależności, autoryzację, komunikację z zainteresowanymi stronami, testy i akceptację (8.29), wdrożenie z planem wycofania, procedury awaryjne i zmiany pilne, utrzymanie zapisów zmian.
- Dokumentację eksploatacyjną (5.37) i procedury użytkowników aktualizuje się stosownie do zmian. Plany ciągłości ICT (5.30) i procedury reagowania i odtwarzania aktualizuje się, gdy zmiana tego wymaga.
- Nieudokumentowane zmiany w systemach są źródłem błędów i incydentów — dlatego monitoruje się zgodność z procesem.
- Testowanie komponentów ICT w środowisku oddzielonym od produkcji i rozwoju jest dobrą praktyką (8.31).
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Kategorie zmian według ITIL: standardowe (zatwierdzone z góry), normalne (z oceną i zatwierdzeniem), awaryjne (z przyspieszonym zatwierdzeniem przez wyznaczoną osobę lub zespół i dokumentacją uzupełnianą po wdrożeniu).
- Pull request z przeglądem jako forma zatwierdzenia zmiany w kodzie i infrastrukturze jako kodzie.
- Okna serwisowe i zamrożenie zmian w krytycznych okresach biznesowych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.32 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 8.9 Zarządzanie konfiguracją, 8.19 Instalowanie oprogramowania w systemach eksploatowanych, 8.29 Testy bezpieczeństwa w wytwarzaniu i odbiorze, 8.31 Rozdzielenie środowisk rozwojowych, testowych i produkcyjnych, 5.37 Udokumentowane procedury eksploatacyjne.
- ISO/IEC 27002:2013: 12.1.2, 14.2.2, 14.2.3, 14.2.4.