ベースライン確定後の修正
ある開発プロジェクトでは，基本設計書をレビューで承認し，構成管理のベースラインとして登録した。その後，詳細設計を進めていた開発者が，基本設計書の記述に誤りを見つけた。基本設計書を修正する手続として，最も適切なものはどれか。
- ア誤りの訂正は設計内容の変更には当たらないので，発見した開発者が構成管理下の基本設計書を直接修正し，版は変えずに管理する。
- イ変更要求を起票し，修正による影響を評価したうえで所定の承認を得てから修正し，修正後の基本設計書を新しい版として登録する。
- ウベースラインとして登録した文書は以後変更できないので，誤りは修正せずに記録しておき，次のプロジェクトで新たなベースラインを作成する際に反映する。
- エ修正した基本設計書をリポジトリに登録し，継続的インテグレーションのビルドとテストが成功すれば，ベースラインの変更が承認されたものとみなす。
正解と解説を見る
正解 イ
この問題の基礎知識
- 構成管理は，成果物（構成品目）を識別し，その版と変更の履歴を管理して，いつ何がどのように変わったかを追跡できるようにする活動である。
- ベースラインは，正式にレビューされ合意された時点の構成品目の状態であり，以後の開発の基礎となる。変更できないのではなく，変更管理の手続を経た場合にだけ変更できる。
- 変更管理では，変更要求の起票，影響の評価，承認，変更の実施，新しい版としての識別と記録という流れで変更を統制する。継続的インテグレーションはビルドとテストを自動実行する仕組みであり，承認の手続ではない。
ア誤りの訂正は設計内容の変更には当たらないので，発見した開発者が構成管理下の基本設計書を直接修正し，版は変えずに管理する。
ベースラインは正式な変更管理の手続を経なければ変更できない。誤りの訂正であっても，影響の評価と承認を経ずに直接修正し版も変えなければ，いつ何が変わったかを追跡できなくなる。
イ変更要求を起票し，修正による影響を評価したうえで所定の承認を得てから修正し，修正後の基本設計書を新しい版として登録する。正解
ベースラインは正式にレビューされ合意された構成品目の状態であり，変更管理の手続によってだけ変更できる。変更要求の評価と承認を経て修正し，新しい版として識別することで，以後の開発の基礎を正しく保てる。
ウベースラインとして登録した文書は以後変更できないので，誤りは修正せずに記録しておき，次のプロジェクトで新たなベースラインを作成する際に反映する。
ベースラインは変更できないのではなく，正式な変更管理の手続を経れば変更できる。誤りを放置すると，それを基礎とする詳細設計以降の成果物に誤りが引き継がれる。
エ修正した基本設計書をリポジトリに登録し，継続的インテグレーションのビルドとテストが成功すれば，ベースラインの変更が承認されたものとみなす。
継続的インテグレーションは，変更のたびにビルドとテストを自動実行して統合時の問題を早期に検出する仕組みであり，変更の影響評価や承認の手続に代わるものではない。
検証用の出典出典照合済み
NIST Glossary（baseline configuration） ／ NIST SP 800-128 Guide for Security-Focused Configuration Management of Information Systems ／ ISO/IEC/IEEE 828 Configuration Management in Systems and Software Engineering照合の根拠（4 件）
- イ（正解）・ア・ウ（誤り）: ベースラインは変更管理の手続によってだけ変更でき，手続を経れば変更できる
A set of specifications for a system, or Configuration Item (CI) within a system, that has been formally reviewed and agreed on at a given point in time, and which can be changed only through change control procedures.
NIST CSRC Glossary（baseline configuration） · Definitions（新しいタブで開きます） - イ（正解）・エ（誤り）: 変更は要求・影響評価・試験・承認を経てから実施する。試験（CI のテスト成功）は承認とは別の手順である
Configuration change control is the process for ensuring that configuration changes to a system are formally requested, evaluated for their security impact, tested for effectiveness, and approved before the changes are implemented.
NIST SP 800-128 · Section 3.3.2（新しいタブで開きます） - エ（誤り）: 承認は通常 CCB が行う手順であり，ビルドとテストの成功で代えられない
vi. Approve the change. This step is usually performed by the CCB.
NIST SP 800-128 · Section 3.3.2（新しいタブで開きます） - イ（正解）: 承認された変更を反映して新しい版のベースラインを確立し，旧版も保持する
When a new baseline configuration is established, the implication is that all of the changes from the last baseline have been approved. Older versions of approved baseline configurations are maintained and made available for review or rollback as needed.
NIST SP 800-128 · Section 2.3.7（新しいタブで開きます）