保护受控未分类信息 Rev 3

负责安全的组织人员进行影响分析，包括审查系统安全计划、政策和程序以了解安全要求；审查系统设计文档和操作程序以了解系统变更可能如何影响系统的安全状态；与利益相关者一起审查系统变更对供应链合作伙伴的影响；并确定系统潜在变更如何产生新的风险以及减轻这些风险的能力。影响分析还包括风险评估，以了解变更的影响并确定是否需要额外的安全要求。系统的变更可能会影响之前实施的防护措施和对策。此要求与03.04.03相关。并非所有对系统的更改都受配置控制。