什麼是 Software Configuration Management Program？ 在軟體交付過程中， 未受控的變更 是導致系統崩潰與合規失效的首要原因。 Software Configuration Management Program（SCM Program） 透過識別、控制、稽核與追蹤四大機制，確保每一項變更皆有據可查、有人負責。 基準線控管：變更管理的起點 基準線（Baseline） 是 SCM Program 的核心錨點，代表在特定時間點被正式核准的軟體組態狀態。常見基準線類型包含功能基準線（Functional Baseline）、分配基準線（Allocated Baseline）與產品基準線（Product Baseline）。任何對基準線的修改， 必須先通過正式的變更請求（Change Request）流程 ，並留存完整的審核紀錄，才能進入下一階段。基準線結合版本控制工具（如 Git tag 或 CMDB），可實現完整的可追溯性（Traceability）。 CAB 治理機制：防止未授權變更的關鍵 變更諮詢委員會（Change Advisory Board，CAB） 是 SCM Program 的治理核心。CAB 由技術負責人、資安代表、營運團隊與業務方共同組成，負責評估每項變更的風險、影響範圍與回滾計畫。 緊急變更（Emergency Change） 須走快速通道，但仍需事後補齊稽核文件。CAB 會議產出的決議紀錄，將直接作為組態稽核（Configuration Audit）的核心依據，確保正式環境中不存在任何未授權的組態項目（Configuration Item）。 💡 SCM Program 四大執行要點 識別（Identification）： 定義所有組態項目（CI）並賦予唯一識別碼。 控制（Control）： 所有變更必須經 CAB 核准，禁止直接異動正式環境。 稽核（Audit）： 定期執行功能組態稽核（FCA）與實體組態稽核（PCA）。 狀態紀錄（Status Accounting）： 持續記錄每個 CI 的版本歷程與變更狀態。 落實 Software Configuration Management Program ，意味著組織...