구성관리 계획을 수립하고 구성관리 지침을 정비하여 구성을 식별하고 있는지 점검하는 세부검토방법
01. 시스템 운영정책을 기반으로 구성관리계획을 수립하였는지 확인한다.\n- 시스템 운영정책에 따라 구성관리의 목적, 목표 및 범위, 구성관리조직, 수행일정 등이 포함된 구성관리계획을 수립하였는지 검토한다.\n- 구성관리 계획에 대하여 관련 담당자와 협의하고 공유하고 있는지 확인한다.\n- 구성관리를 수행하기 위한 구성관리자와 구성담당자의 역할과 책임을 규정하고 해당 인력을 배정하고 있는지 검토한다.\n- 하드웨어, 소프트웨어, 문서 정보를 저장하기 위한 라이브러리와 저장방법을 규정하고 있는지 확인한다.\n- IT 자산관리를 별도 수행하는 경우 IT 자산과 구성항목 간의 연계방안이 준비되어 있는지 검토한다.\n- 소프트웨어 라이센스의 구매부터 처분까지 통제하기 위한 방안이 구성관리 또는 자산관리에 포함되어 있는지 확인한다.\n\n02. 구성관리 목적에 따라 구성의 범위와 구성의 수준을 결정하고 구성 구조가 설정되었는지 검토한다.\n- 구성관리의 통제 대상에 대한 구성의 범위가 결정되어 있고 장애관리 분석의 범위, 변경관리의 업무영향 분석 등이 반영되어 있는지 검토한다.\n- 구성의 범위에 하드웨어 및 소프트웨어 이외에 각종 문서도 포함되어 있는지 검토한다.\n- 업무 및 서비스 요구사항에 따라 구성항목의 수준(Level)이 결정되어 최하위 수준의 구성항목이 지나치게 상세하거나 포괄적으로 정의되어 있는지 점검한다.\n  . 너무 상세하게 정의된 구성항목 수준은 불필요한 업무를 발생시키며 포괄적인 구성항목 수준은 불충분한 구성항목 통제를 야기할 수 있다.\n- 구성항목 간의 관계에 대하여 영향분석을 고려하여 물리적, 논리적인 관계를 규정하였는지 검토한다.\n\n03. 구성항목의 식별, 기준선 설정 등을 위한 구성관리 지침을 작성하고 구성을 식별하고 있는지 검토한다.\n- 구성항목에 대하여 유일성을 제공하고 확장성이 고려된 명명 규칙을 구성관리지침에 정의하고 식별된 구성항목에 적용하고 있는지 검토한다.\n- 하드웨어, 소프트웨어, 문서 등의 구성항목에 대하여 각각의 특성을 반영하여 쉽게 구분할 수 있는 라벨이 부착되어 있는지 확인한다.\n- 구성요소 기준선이 설정 목적에 따라 특정 시점의 공식적인 협의에 의하여 결정되어 있는지 확인한다.\n- 구성 기준선은 목적, 구성항목, 기준선에 의하여 통제되는 정보에 따라 유일하게 구분될 수 있는지 점검한다.\n- 구성 기준선에 대하여 해당 구성과 관련된 문서를 포함하고 있는지 검토한다.\n\n04. 구성 관련 속성 정보를 정의하고 구성관리 데이터베이스가 준비되어 있는지 확인한다.\n- 구성항목에 대하여 조달, 저장, 지급, 인수, 설치, 폐기 등의 상태를 규정하고 필요로 하는 속성 정보를 정의하였는지 확인한다.\n- 구성 간의 관계를 유지하거나 장애/변경관리 시 영향 분석을 위해 필요로 하는 속성 정보가 반영되어 있는지 확인한다.\n- 구성관리를 수행하기 위하여 지원도구 및 구성관리 데이터베이스(CMDB: Configuration Management DB)를 활용하고 있는지 확인한다.\n- 구성관리 데이터베이스에는 장애, 문제, 알려진 오류, 변경 및 릴리즈를 포함한 구성항목 관계 정보 및 직원, 공급자, 업무영역, 지리적 위치 등의 조직 정보를 포함하고 있는지 검토한다.\n- SMS, NMS 등의 시스템 도구를 사용할 경우 구성항목의 속성정보를 갱신할 수 있도록 CMDB와 인터페이스가 설정되어 있는지 점검한다.