設定を変える前の合意。対象・影響・戻す条件を記録する

変更前、実施、確認、戻す判断を一つの記録へ。安全に見える変更も、業務と依存先を確かめる。

変更の目的を、設定の名前より先に書く

NIST SP 800-128の公式概要は、情報セキュリティを設定管理へ組み込み、業務機能を支えながらリスクを管理する考え方を説明しています。米国連邦の情報システム向け資料であり、国内の中小企業へ一律の義務として適用するものではありません。SONAEは、設定変更の前に、何を改善し、どの状態を目指すかを書き出す方法を提案します。安全にするためという抽象的な理由だけで、影響する範囲を曖昧にしないようにしましょう。

対象と、依存する仕事を照合する

サービスや組織、設定の範囲、利用する役割、変更する時点を確認します。認証の設定なら、管理者だけでなく、通常の社員や自動処理、外部の担当が使う入口も関係する場合があります。架空の例では、共有の既定値を変える前に、新しく作る資料と既存の資料で影響が同じかを確認します。似た名前の設定を別の組織へ変更しないため、識別と担当の確認も記録します。操作画面へ進む前に業務側の依存を整理しましょう。

実行と確認に必要な承認をそろえる

変更する人、業務の判断をする人、実行を認める責任者、結果を見る人を決めます。停止が必要なら時間と連絡先も合意します。検証のための権限や実送信が必要な場合は、別の承認が必要かを確認します。依頼を受けたことを、無制限に試してよい許可へ広げません。外部の担当へ任せる場合も、会社側の窓口と実施する範囲を対応させます。作業当日に条件が変わった場合、どこへ戻って判断を受けるかも準備します。

うまくいかない場合の、戻す判断を決める

変更前の状態、確認した手順、戻せる範囲、戻すと失われる情報や影響を整理します。すべての設定が元通りに戻せるとは限らないため、正式な製品条件を確認します。業務が使えない、想定外の利用者へ影響したなどの停止条件と、判断する人を決めます。戻すボタンがあることだけで準備を終えません。戻した後に何を確かめ、誰へ連絡するかも含めます。不可逆の変更は、承認前にその影響を明確にする必要があります。

結果は、目標の状態と業務の両方で見る

実施した時刻、対象、操作の結果、エラー、予定と違った点を残します。変更が反映したことと、必要な担当が通常の仕事を続けられることを確認します。特定の画面だけを見た結果なら、その範囲を限定して説明します。確認のために無断で他の資料や利用者へアクセスしないようにしましょう。うまくいかなかった場合も記録を消さず、停止や戻す判断の根拠を残します。次の担当が同じ失敗を推測から繰り返さないことが大切です。

変更後の管理資料も更新する

完了の目安は、承認した対象と実施した結果がつながり、残る制約を関係する担当が理解していることです。設定の管理表、手順書、社員への案内、保守の分担など、影響する原本を更新します。緊急に変更した場合も、後から記録と確認を補う担当を決め、すべてを事前承認済みだったように書き換えません。管理の手続きは作業を増やすためではなく、会社の判断と変更の結果を追えるようにするために、規模に合う形で用意しましょう。

相談前の確認表

• 目的と対象と影響を先に確認する
• 実施と検証の承認範囲をそろえる
• 戻せる範囲と停止条件を合意する
• 結果と変更後の管理資料を更新する

参考資料（確認日：2026年10月23日）：NIST SP 800-128：Security-Focused Configuration Management（公式概要） ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。