Change management

De fleste ændringsprocesser stammer fra ITIL, som inddeler ændringer i tre typer. Standardændringer er lavrisiko, forhåndsgodkendte og gentagelige (at tilføje en bruger til en gruppe, en rutinemæssig fornyelse af et certifikat) og følger en dokumenteret procedure uden individuel godkendelse. Normale ændringer vurderes og godkendes enkeltvis af en ændringsmyndighed, hvis niveau følger risikoen - en kollega, en teamleder eller et change advisory board (CAB). Nødændringer fremskyndes for at løse en hændelse eller lukke et hul, der aktivt udnyttes, med reduceret forhåndsgodkendelse og obligatorisk efterfølgende gennemgang. ITIL 4 omdøbte praksissen til change enablement og frakoblede bevidst godkendelsesmyndigheden fra CAB-mødet, fordi et ugentligt møde er en flaskehals ved hyppige leverancer.

En velformet ændringsanmodning indeholder omfang og berørte konfigurationselementer (derfor afhænger processen af en aktivfortegnelse eller CMDB), en risiko- og konsekvensvurdering, et testresultat, et implementeringsvindue, en testet rollback-plan og efterfølgende verifikation. Sikkerhedsværdien ligger i tre egenskaber: funktionsadskillelse (den, der anmoder, er ikke eneste godkender), sporbarhed (hver forskel i produktion kan føres tilbage til en godkendt registrering) og opdagelse af uautoriserede ændringer, typisk ved at sammenligne konfigurationsbaselines, file integrity monitoring eller drift-detektion i infrastructure-as-code med den godkendte tilstand.

I DevOps- og GitOps-miljøer opfyldes de samme kontrolmål af pipelinen i stedet for et møde: en pull request med obligatorisk peer review og branch protection er ændringsanmodningen og godkendelsen, automatiske tests er konsekvensvurderingen, merge-committen er revisionssporet, og progressiv udrulning med automatisk rollback er tilbagerulningsplanen. Forskningen i Accelerate (Forsgren, Humble og Kim, 2018) fandt, at godkendelse fra et eksternt organ som et CAB var negativt korreleret med leveranceevne og ikke hang sammen med færre fejlslagne ændringer - et argument for let, kollegabaseret godkendelse understøttet af automatisering, ikke for at droppe kontrollen.

Normative referencer: ISO/IEC 27002:2022 kontrol 8.32 (ændringsstyring), tæt knyttet til 8.9 (konfigurationsstyring); ISO/IEC 20000-1 for servicestyring; og - ikke at forveksle med driftsændringer - ISO/IEC 27001:2022 afsnit 6.3, der kræver, at ændringer af selve ledelsessystemet (ISMS) planlægges. Revisorer tester kontrollen ved at trække et udsnit af produktionsændringer fra systemlogs og spore hver enkelt tilbage til en godkendt registrering; uregistrerede ændringer, selvgodkendte ændringer og nødændringer, der aldrig fik deres efterfølgende gennemgang, er de klassiske fund. Mange nedbrud, der tilskrives "konfigurationsfejl" - også fejlkonfigurationer i cloud, der gør lagring offentligt tilgængelig - er i denne forstand fejl i ændringsstyringen.