Change-Management-Richtlinie

ISMS Copilot unterhält eine formelle Change-Management-Richtlinie, um sicherzustellen, dass alle Änderungen an unseren Produktionssystemen überprüft, getestet und sicher bereitgestellt werden. Unser Prozess gleicht Sicherheits- und Compliance-Anforderungen mit dem Bedarf an schneller Iteration aus.

Änderungstypen

Wir kategorisieren Änderungen in drei Typen basierend auf Risiko und Auswirkung:

• Standardänderungen — Änderungen mit geringem Risiko, die vorab genehmigt sind, wie z. B. Dokumentationsaktualisierungen, Abhängigkeitspatches und routinemäßige Konfigurationsaktualisierungen. Diese können nach bestandenen automatisierten Prüfungen automatisch zusammengeführt werden.
• Normale Änderungen — Funktionserweiterungen, Datenbankschema-Änderungen, API-Anpassungen und Sicherheitsupdates. Erfordern einen vollständigen Prüfprozess mit mindestens einer Genehmigung vor der Bereitstellung.
• Notfalländerungen — Kritische Sicherheitslücken, Serviceausfälle oder Probleme mit der Datenintegrität. Folgen einem beschleunigten Genehmigungsprozess, während sie eine Prüfspur und eine Nachbereitung nach der Bereitstellung beibehalten.

Genehmigungsworkflow

Unser standardmäßiger Änderungsprozess folgt diesen Schritten:

1. Erstellung eines GitHub-Issues — Änderungsanfrage mit Begründung und Auswirkungsanalyse dokumentiert
2. Branch und Pull Request — Code-Änderungen werden in einem Feature-Branch mit einem aussagekräftigen PR entwickelt
3. Automatisierte Tests — Die CI-Pipeline führt automatisierte Tests durch, einschließlich Unit-Tests, Integrationstests und Sicherheitsscans
4. Peer-Review — Mindestens ein Teammitglied prüft Code, Architektur und Sicherheitsimplikationen
5. Genehmigung und Zusammenführung — Genehmigte Änderungen werden in den Main-Branch zusammengeführt
6. Automatisierte Bereitstellung — Änderungen werden automatisch über unsere CI/CD-Pipeline (Supabase, Fly.io, Vercel) in die Produktion deployed

Tests und Qualitätskontrollen

Bevor eine Änderung in die Produktion gelangt, setzt unsere automatisierte CI-Pipeline folgende Maßnahmen durch:

• Ausführung der automatisierten Testsuite
• Validierung von Datenbankmigrationen in der Supabase-CI-Umgebung
• Statische Codeanalyse und Sicherheitsscans
• Build-Verifizierung für alle Bereitstellungsziele

Rollback und Wiederherstellung

Unsere Change-Management-Richtlinie umfasst Rollback-Verfahren für fehlgeschlagene Deployments. Wir behalten die Möglichkeit, Änderungen schnell rückgängig zu machen, während Datenintegrität und Systemverfügbarkeit erhalten bleiben.

Geheimnis- und Konfigurationsmanagement

Änderungen, die Geheimnisse, API-Schlüssel oder sensible Konfigurationen betreffen, unterliegen zusätzlichen Sicherheitskontrollen, die über die standardmäßigen Änderungsverfahren hinausgehen, um die Offenlegung von Anmeldedaten zu verhindern.