正解：ア
各選択肢の解説
アあらかじめ定めた緊急変更の手順で権限者の承認を得て適用し、事後に記録と評価を行う。
正解。急ぐ変更にも統制は要ります。あらかじめ決めておいた緊急時の承認経路で速く承認を得て、 適用後に記録を残し、変更が妥当だったかを振り返ります。速さと統制を両立させる仕組みです。
イ通常の変更と同じく次回の会議まで待ち、影響を評価して承認を得てから適用する。
誤り。影響評価と承認を経るという考え方は変更管理として正しいのですが、悪用が確認されている 脆弱性を5日間放置することになります。条件に合わないのは手順の重さで、急ぐ変更には 緊急変更の経路を使い分けます。
ウ一刻を争うので担当者の判断で適用し、問題が起きなければ変更の記録は省略する。
誤り。急ぐ場面で手順を飛ばしたくなるのは自然ですが、承認も記録も無い変更は、 不具合が出たときに原因をたどれず、構成情報も実態とずれます。緊急でも省いてよいのは 手順の待ち時間であって、承認と記録ではありません。
エ修正プログラムは提供元が検証済みなので、変更管理の対象外として直ちに適用する。
誤り。提供元の検証は、自社の環境や業務アプリとの組合せまでは保証しません。 修正プログラムの適用も本番環境の構成を変える変更なので、変更管理の対象です。 対象外にするかどうかは、提供元の検証の有無では決まりません。
理解を深めるために
急ぐ変更にも「急ぐための手順」がある
火事のときに消防車は赤信号を通れますが、サイレンを鳴らし、決められた規則のもとで通ります。 変更管理の緊急変更も同じで、通常の手順を飛ばすのではなく、急ぐときのための別の手順を あらかじめ用意しておき、それに沿って進めます。
なぜ緊急変更の手順なのか
変更管理は、本番環境への変更を、影響を評価し承認してから実施させる活動です。 一方で、悪用が進んでいる脆弱性のように、待つこと自体が大きなリスクになる場面があります。 そこで変更管理の方針の中で、次のようなことを決めておきます。
- どんな変更を緊急変更として扱うか
- 誰が短時間で承認できるか（会議を待たない承認経路）
- 適用後に何を記録し、誰が振り返るか
事後の記録と評価を欠かすと、構成管理の情報が実態とずれ、次の変更や障害対応で 影響範囲を読み違えます。緊急変更で短くしてよいのは待ち時間であって、 承認と記録そのものではありません。
混同しやすいものとの違い
| 対応 | 評価 |
|---|---|
| 緊急変更の手順で承認・適用し、事後に記録と評価 | 速さと統制を両立する |
| 通常の会議まで待つ | 統制はあるが、悪用中の脆弱性を放置する |
| 担当者の独断で適用し記録を省く | 速いが、原因をたどれず構成情報もずれる |
| 検証済みを理由に変更管理の対象外とする | 自社環境での影響を誰も評価しない |
試験では「急ぐから手順を外す」選択肢と「手順どおり待つ」選択肢が並びます。 正解は、その間にあるあらかじめ決めた緊急時の手順です。