试题78（2010年下半年试题16）
某单位在制定信息安全策略时采用的下述做法中，正确的是 （16） 。
（16）A．该单位将安全目标定位为“系统永远不停机、数据永远不丢失、网络永远不瘫痪、信息永远不泄露”
B．该单位采用了类似单位的安全风险评估结果来确定本单位的信息安全保护等级
C．该单位的安全策略由单位授权完成制定，并经过单位的全员讨论修订
D．该单位为减少未经授权的修改、滥用信息或服务的机会，对特定职责和责任领域的管理和执行功能实施职责合并
试题78分析
安全策略是指人们为保护因为使用计算机业务应用信息系统可能招致来的对单位资产造成损失而进行保护的各种措施、手段，以及建立的各种管理制度、法规等。
一个单位的安全策略绝不能照搬别人的。一定是对本单位的计算机业务应用信息系统的安全风险（安全威胁）进行有效的识别、评估后，为如何避免单位的资产的损失，所采取的一切，包括各种措施、手段，以及建立的各种管理制度、法规等。
安全策略涉及技术的和非技术的、硬件的和非硬件的、法律的和非法律的各个方面。
一个单位要不要建立安全策略，实际上就是要不要抵御因为使用计算机业务应用信息系统可能招致来的风险（威胁）。答案一定是肯定的。所以，一个单位的安全策略。来源于单位的“安全风险（威胁）”，同时又是针对于单位的“安全风险（威胁）”来进行防护的。安全策略的归宿点（立脚点）就是单位的资产应得到充分的保护。
安全策略的核心内容就是“七定”：定方案、定岗、定位、定员、定目标、定制度、定工作流程。概括以上“七定”，可以归结一句话：“七定”的结果就是确定了该单位／组织的计算机业务应用信息系统的安全如何具体地实现和保证。
由于计算机业务应用信息系统安全的事情涉及单位（企业、党政机关）能否正常运营，必须由单位的最高行政执行长官和部门或组织授权完成安全策略的制定，并经过单位的全员讨论修订。
安全策略一旦宣布实行之日起，安全策略就是单位（企业、党政机关）的内部的一个重要法规，任何人不得违反。有违反者，依法必纠，严重者，送交国家法律机关审处。
安全策略一定具有科学性、严肃性、非二义性和可操作性。
试题78答案
（16）C