什麼是 Software Configuration Management Program？
在軟體交付過程中，未受控的變更是導致系統崩潰與合規失效的首要原因。Software Configuration Management Program（SCM Program） 透過識別、控制、稽核與追蹤四大機制，確保每一項變更皆有據可查、有人負責。
基準線控管：變更管理的起點
基準線（Baseline） 是 SCM Program 的核心錨點，代表在特定時間點被正式核准的軟體組態狀態。常見基準線類型包含功能基準線（Functional Baseline）、分配基準線（Allocated Baseline）與產品基準線（Product Baseline）。任何對基準線的修改，必須先通過正式的變更請求（Change Request）流程，並留存完整的審核紀錄，才能進入下一階段。基準線結合版本控制工具（如 Git tag 或 CMDB），可實現完整的可追溯性（Traceability）。
CAB 治理機制：防止未授權變更的關鍵
變更諮詢委員會（Change Advisory Board，CAB） 是 SCM Program 的治理核心。CAB 由技術負責人、資安代表、營運團隊與業務方共同組成，負責評估每項變更的風險、影響範圍與回滾計畫。緊急變更（Emergency Change） 須走快速通道，但仍需事後補齊稽核文件。CAB 會議產出的決議紀錄，將直接作為組態稽核（Configuration Audit）的核心依據，確保正式環境中不存在任何未授權的組態項目（Configuration Item）。
💡 SCM Program 四大執行要點
- 識別（Identification）：定義所有組態項目（CI）並賦予唯一識別碼。
- 控制（Control）：所有變更必須經 CAB 核准，禁止直接異動正式環境。
- 稽核（Audit）：定期執行功能組態稽核（FCA）與實體組態稽核（PCA）。
- 狀態紀錄（Status Accounting）：持續記錄每個 CI 的版本歷程與變更狀態。
落實 Software Configuration Management Program，意味著組織在每一次部署背後，都有完整的治理鏈條支撐。從基準線建立到 CAB 決議，每個環節環環相扣，共同構築軟體交付的可信賴基礎。
📚 參考文獻
- ITIL 4 官方文件 — Change Enablement Practice：axelos.com/itil
- IEEE Std 828-2012 — Standard for Software Configuration Management Plans：standards.ieee.org
- CMMI Institute — Configuration Management Process Area：cmmiinstitute.com
⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。
留言
張貼留言