緊急の変更の事後管理
X 社の Web サービスで，応答が著しく遅延する重大なインシデントが発生した。調査の結果，ロードバランサの設定の誤りが原因と判明したので，変更諮問委員会（CAB）の開催を待たずに，運用責任者の指示で担当者が設定を修正したところ，サービスは回復した。この後に行う変更管理の対応として，最も適切なものはどれか。
- アサービスが回復してインシデントは解決したので，実施した設定の修正はインシデント記録に対応内容として残せば足り，変更管理の手続には載せない。
- イCAB の承認を得ずに行った変更なので，直ちに元の設定に戻し，通常の手続で CAB の承認を得た後に，改めて同じ設定の修正を適用する。
- ウ修正後の設定で正常に動作していることは確認済みなので，事後の影響分析は省略し，構成情報は次回の定期的な構成監査で差異が見つかった時点で更新する。
- エ実施した修正を緊急の変更として変更記録に登録し，できるだけ早く CAB で事後にレビューして想定外の影響がないかを分析し，構成情報を修正後の状態に更新する。
正解と解説を見る
正解 エ
この問題の基礎知識
- 変更管理は，変更を記録し，影響を評価して承認したうえで実施し，実施後にレビューすることで，変更によるサービスへの悪影響を抑えるプロセスである。
- 緊急の変更は，重大なインシデントの解決などのために通常の承認手続によらずに実施するものであり，事後に記録・レビューして変更管理の対象とする。
- インシデント管理はサービスの回復を目的とし，変更管理は構成の変更の統制を目的とするので，インシデント対応で行った構成の変更も変更管理で扱う。
- CMDB に記録した構成情報は，実際の構成と一致していなければ以後の変更の影響分析やインシデント対応に使えないので，構成の変更後は速やかに更新する。
アサービスが回復してインシデントは解決したので，実施した設定の修正はインシデント記録に対応内容として残せば足り，変更管理の手続には載せない。
インシデント記録はサービス回復までの対応を記録するもので，構成の変更を管理するものではない。NIST SP 800-128 は，緊急の変更も事後になってでも構成変更管理のプロセスで扱うとしており，変更管理から外してはならない。
イCAB の承認を得ずに行った変更なので，直ちに元の設定に戻し，通常の手続で CAB の承認を得た後に，改めて同じ設定の修正を適用する。
緊急の変更は，事後に管理する前提で通常の手続によらずに実施されるものである。原因を取り除いた設定を元に戻すと遅延が再発し，サービスを再び損なう。承認を得直すために切り戻すのではなく，事後に CAB がレビューする。
ウ修正後の設定で正常に動作していることは確認済みなので，事後の影響分析は省略し，構成情報は次回の定期的な構成監査で差異が見つかった時点で更新する。
正常動作の確認だけでは，他の機能やセキュリティ対策への想定外の影響は分からない。実施後にも影響分析を行い，構成情報を速やかに更新しなければ，以後の変更の影響分析やインシデント対応で古い構成情報を使うことになる。
エ実施した修正を緊急の変更として変更記録に登録し，できるだけ早く CAB で事後にレビューして想定外の影響がないかを分析し，構成情報を修正後の状態に更新する。正解
NIST SP 800-128 では，計画外の緊急の変更も管理の対象とし，実施後できるだけ早く変更管理の委員会がレビューする。実施後に想定外の影響がないかを分析し，構成情報を実際の構成と一致させる。
検証用の出典出典照合済み
NIST SP 800-128 Guide for Security-Focused Configuration Management of Information Systems ／ JIS Q 20000-1 サービスマネジメントシステム要求事項照合の根拠（5 件）
- エ（正解）・ア（誤り）: 緊急の変更も事後になってでも構成変更管理のプロセスに載せる
It is incumbent upon system owners to identify all sources of change to make certain that changes requiring configuration control go through the configuration change control process, even if it is after the fact.
NIST SP 800-128 · Section 3.3.2（新しいタブで開きます） - エ（正解）・ア（誤り）: 通常の手続によれない計画外の変更も管理の対象とする
When unscheduled changes must be made and time does not allow for following the established configuration change control process, unscheduled changes are still managed and controlled.
NIST SP 800-128 · Section 3.3.2（新しいタブで開きます） - エ（正解）・イ（誤り）: 計画外の変更は実施後できるだけ早く変更管理の委員会がレビューする（承認を得直すために切り戻すのではない）
Unscheduled changes are reviewed/resolved by the CCB as soon as is practical after unscheduled changes are made.
NIST SP 800-128 · Section 3.3.2（新しいタブで開きます） - エ（正解）・ウ（誤り）: 計画外の変更も実施後に影響分析を行う
Additionally, the security impact of unscheduled and unauthorized changes is analyzed during the operations and maintenance phase.
NIST SP 800-128 · Section 3.3.3（新しいタブで開きます） - エ（正解）・ウ（誤り）: 変更の実施・検証後にベースライン構成などの構成情報を更新する（次回の構成監査まで待つのではない）
Once the change has been analyzed, approved, tested, implemented, and verified, the organization ensures that updates have been made to supporting documents such as technical designs and baseline configurations
NIST SP 800-128 · Section 3.3.4（新しいタブで開きます）
JIS Q 20000-1 は無償で読めないため，同じ内容を NIST SP 800-128 で裏付けた（NIST の CCB を問題文の CAB に当たるものとして扱った）。イの「切り戻すと遅延が再発する」は問題文の状況（設定の誤りが原因）から論理的に導ける。