7.5  知识子域：软件安全开发重要管理过程

7.5.1 变更管理

任何一个项目，从开始就处于不停地变化之中，用户需求发生变化需要调整计划或者设计。测试发现了问题需要对错误的代码进行修正，也会引发变更。甚至人员流失了，也需要项目进行一定的调整以适应这种情况。Bug管理、需求管理、风险控制等本质上都是变更管理的一种方式，它们都是为了保证项目在变化过程中始终处于可控状态，并随时可跟踪回溯到某个历史状态。所有的变更都必须遵循一个正式的变更管理过程：

提交变更申请

项目团队中任何成员都可以提交变更申请，但需要完成以下工作：

变更申请人识别项目中任何方面的变更需求（如范围、可交付成果、时限、组织）；

变更申请人完成变更申请表( CRF)，并将其呈交项目管理委员会(CCB)变更申请表中需要对变更的需求进行概括性描述，包括变更描述、变更原因（包括商业驱动）、变更利益、变更成本、变更带来的影响、支持性文件。

审核变更申请

项目管理委员会( CCB)对变更申请进行审核，以决定是否需要一份充分的可行性研究报告以评估变更可能带来的全部影响。

批准变更申请

本阶段涉及项目委员会对变更申请的正式审核。CCB可能做出以下结论：拒绝变更请求、要求与变更相关的更多信息、批准变更申请、在特定条件下批准变更。

实施变更

本阶段开始对变更进行实施，包括更新文档、代码等，并进行相应的测试，以确保变更被正确实施。

报告组织领导层

对变更进行详细的记录，并将结果报告给组织的领导层。