变更管理即Management of change(MOC)：有变更的需求就要有变更的控制和管理，若组织、业务过程、信息处理设施和系统等的变更影响了组织信息安全，则需加以控制，这个对变更活动进行控制的过程与内容就是变更管理。
它的主要任务包括：
 对重大变更进行标识和记录并保存；
 对变更内容进行策划和测试；
 对这种变更的潜在影响的评估，包括信息安全影响；
 对变更申请发起正式批准流程；
 验证变更后满足信息安全的要求；
 向所有相关人员传达变更细节；
 能够保持运行的相关规程，包括从不成功的变更和未预料事态中退出和恢复的规程；
 制定相关的紧急变更过程，使之能够在需快速反应和受控状态下实施所需变更来处理紧急事件。