La gestion des changements est le processus discipliné de planification, de revue et de contrôle des modifications apportées aux systèmes IT, afin que les mises à jour améliorent l'environnement sans introduire de nouvelles faiblesses. Elle apporte de la structure à la modification, en veillant à ce que les changements soient compris, approuvés et réversibles plutôt qu'improvisés.
Au sein de la phase de préparation, la gestion des changements protège la posture de sécurité que les autres contrôles établissent. Les configurations de référence durcies, les configurations testées et les états connus et fiables s'érodent tous si les changements contournent la revue. De nombreux incidents trouvent leur origine non pas dans une attaque inédite, mais dans un changement qui a ouvert une brèche : un service exposé, une permission relâchée ou une mise à jour non testée. Encadrer le changement empêche ces brèches d'apparaître sans qu'on s'en aperçoive.
En pratique, la gestion des changements consiste à documenter les changements proposés, à évaluer leur risque et leur impact, à les planifier pour limiter les perturbations et à définir des plans de retour arrière avant le début des travaux. Les changements les plus risqués font l'objet d'une revue par un processus consultatif des changements, tandis que les changements courants peuvent suivre des parcours pré-approuvés. Les équipes surveillent la dérive de configuration, vérifient que les changements ont bien pris effet comme prévu et conservent des enregistrements qui facilitent le dépannage et l'audit. Bien menée, la gestion des changements permet à une organisation d'avancer rapidement tout en préservant intact son état connu et fiable.
Références#
- ITIL, Change Enablement guidance
- NIST SP 800-128, Security-Focused Configuration Management of Information Systems