CM-03 - Contrôle des changements de configuration   (-F-)

Énoncés :

a. Déterminer et consigner les types de changements apportés au système qui sont contrôlés par la configuration
b. Examiner les changements proposés au système qui sont contrôlés par la configuration et les approuver ou les refuser en tenant compte explicitement des répercussions sur la sécurité et la protection de la vie privée
c. Consigner les décisions liées aux changements de configuration du système
d. Mettre en oeuvre les changements approuvés au système qui sont contrôlés par la configuration
e. Conserver les dossiers sur les changements contrôlés par la configuration du système pendant [Affectation : délais définis par l’organisation]
f. Surveiller et examiner les activités associées aux changements contrôlés par la configuration visant le système
g. Coordonner et surveiller les activités de contrôle des changements de configuration effectuées par [Affectation : élément de contrôle des changements de configuration défini par l’organisation] qui se réunit [Sélection (un choix ou plus) : {Affectation : fréquence définie par l’organisation}; lorsque {Affectation : conditions de changement de configuration définies par l’organisation}]

Paramètres :

e. minimum 1 an
g. à définir par l'organisme; à définir par l'organisme

Discussion :

Le contrôle des changements apportés à la configuration des systèmes organisationnels comprend la proposition systématique, la justification, la mise en oeuvre, les tests, l’examen et l’application de changements aux systèmes, y compris leurs mises à niveau et leurs modifications. Le contrôle des changements apportés à la configuration comprend les changements liés aux configurations de référence, les éléments de configuration des systèmes, les procédures opérationnelles, les paramètres de configuration pour les composants du système, les vulnérabilités atténuées et les changements non prévus ou non autorisés. Les processus liés à la gestion des changements apportés à la configuration des systèmes comprennent les conseils de gestion des configurations ou les comités consultatifs sur les changements qui examinent et approuvent les changements proposés. Pour les nouveaux systèmes ou les mises à jour majeures, les organisations considèrent d’inclure des représentantes et représentants des organisations de développement aux conseils de gestion des configurations ou aux comités consultatifs sur les changements. La vérification des changements comprend les activités qui ont eu lieu avant ou qui auront lieu après que les changements soient apportés aux systèmes et que les activités de vérification nécessaires appliquent ces changements. Prière de consulter le contrôle SA-10.