8.4　變更控制

8.4.1　一般要求

8.4.1.1　評估內容

詳見GB/T31168－2014中8.4.1的a）、b）、c）、d）、e）、f）、g）和h）。

8.4.1.2　評估方法

8.4.1.2.1 對a）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否明確了在系統受控配置列表中應包含的云計算平臺的變更配置項；

——檢查系統受控配置列表，查看其是否包含了所明確的配置項。

8.4.1.2.2 對b）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否明確了需定期變更的受控配置列表，是否定義了病毒庫、入侵檢測規則庫、防火墻規則庫、漏洞庫等與信息安全相關的重要配置項的更新頻率；

——檢查與信息安全相關的重要配置項的更新記錄，查看其是否按照定義的頻率進行更新；

——訪談維護人員或配置管理人員等相關人員，詢問其是否明確了需定期變更的受控配置列表，是否按照定義的頻率，對與信息安全相關的重要配置項進行更新。

8.4.1.2.3 對c）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否規定在云計算平臺上實施變更之前，對信息系統的變更項進行分析，以判斷該變更事項對云計算安全帶來的潛在影響；

——檢查變更控制記錄、變更審計總結報告等相關文檔，查看其是否在云計算平臺上實施變更之前，對信息系統的變更項進行分析，是否對該變更事項對云計算安全帶來的潛在影響進行了判斷。

8.4.1.2.4 對d）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否要求審查所提交的信息系統受控配置的變更事項，并根據安全影響分析結果進行批準或否決；

——檢查變更事項審查記錄等相關文檔，查看其是否按照要求對所提交的信息系統受控配置變更事項進行審查，并根據安全影響分析結果進行批準或否決。

8.4.1.2.5 對e）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否要求保留信息系統中受控配置的變更記錄；

——檢查變更控制記錄，查看其是否按照要求保留信息系統中受控配置的變更信息。

8.4.1.2.6 對f）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否定義了對涉及系統受控配置變更的有關活動進行審查的頻率；

——檢查審查記錄，查看其是否按照云服務商定義的頻率進行審查。

8.4.1.2.7 對g）的評估方法為：

——檢查配置管理策略、配置管理策略與規程等相關文檔，查看其是否明確了受控配置變更的管理部門，是否定義了該部門的職責，如負責協調和監管與受控配置變更有關的活動等。

8.4.1.2.8 對h）的評估方法為：

——檢查配置管理策略與規程等相關文檔，查看其是否規定應根據客戶的要求，確定應報告的配置變更事項；

——檢查向客戶提供的變更事項，查看其是否符合客戶要求；

——檢查配置管理策略與規程等相關文檔，查看其是否要求在實施變更之前，向客戶提供下列變更信息：

1）變更計劃發生的日期和時間。

2）系統變更的詳細信息。

3）變更的安全影響分析結論。

——檢查向客戶提供變更信息的記錄，查看其是否包含上述內容；

——訪談客戶，詢問其是否接收到云服務商提供的變更信息。

8.4.2　增強要求

8.4.2.1　評估內容

詳見GB/T31168－2014中8.4.2的a）、b）、c）和d）。

8.4.2.2　評估方法

8.4.2.2.1 對a）的評估方法為：

——檢查配置管理策略與規程、配置管理計劃等相關文檔，查看其是否有在云計算平臺上實施變更之前，對受控配置變更項進行測試、驗證和記錄的要求；

——訪談配置管理人員或維護人員等相關人員，詢問其對受控配置變更項進行測試、驗證和記錄的方法和實現情況；

——檢查測試驗證記錄等相關文檔，查看是否按照要求對受控配置變更項進行測試、驗證和記錄。

8.4.2.2.2 對b）的評估方法為：

——檢查配置變更控制程序、配置管理計劃等相關文檔，查看其是否有對云計算平臺上的變更實施物理和邏輯訪問控制的機制，并對變更動作進行審計；

——檢查變更控制記錄、變更審計總結報告等相關文檔，查看其是否對云計算平臺上的變更進行物理和邏輯訪問控制，并查看變更動作的審計記錄；

——訪談配置管理人員或維護人員等相關人員，詢問其對云計算平臺上的變更實施物理和邏輯訪問控制的措施，是否對變更動作進行審計。

8.4.2.2.3 對c）的評估方法為：

——檢查配置變更控制程序等相關文檔，查看其是否有限制信息系統開發方和集成方對生產環境中的信息系統及其硬件、軟件和固件進行直接變更的要求；

——訪談配置管理人員或維護人員等相關人員，詢問其限制信息系統開發方和集成方對生產環境中的信息系統及其硬件、軟件和固件進行直接變更的措施。

8.4.2.2.4 對d）的評估方法為：

——檢查配置變更控制程序等相關文檔，查看其是否定義了對信息系統開發方和集成方掌握的變更權限進行審查和再評估的頻率；

——檢查審查和再評估記錄等相關文檔，查看其是否按照云服務商定義的頻率對信息系統開發和集成方掌握的變更權限進行審查和再評估；

——訪談配置管理人員等相關人員，詢問其是否按照云服務商定義的頻率對信息系統開發和集成方掌握的變更權限進行審查和再評估。