防御与运营
变更管理
别称: 变更控制
定义
在风险可控、可追溯的前提下,对 IT 系统的变更进行提出、评审、审批、计划、实施与复盘的结构化流程。
变更管理确保对生产环境的修改——代码发布、基础设施调整、配置变更、身份变更、网络规则变更——都得到授权、留有记录并可回滚。它定义变更类型(标准、常规、紧急)、审批流程、变更评审委员会(CAB)、沟通机制以及事后复盘。从安全角度看,它带来问责机制,有助于事件时间线追溯,避免未经审查的变更引入漏洞。现代团队会将 ITIL 风格的治理与 CI/CD、基础设施即代码以及自动化护栏结合,既保持敏捷又不失控制。
示例
- 紧急变更工单回滚一条导致关键流量中断的防火墙规则。
- 标准变更模板自动批准低风险 TLS 证书的续期。