在規(guī)定的時(shí)間間隔或重大變化發(fā)生時(shí)，組織的（）和實(shí)施方法（如信息安全的控制目標(biāo)、控制措施、方針、過(guò)程和規(guī)程）應(yīng)（）。獨(dú)立評(píng)審宜由管理者啟動(dòng)，由獨(dú)立于被評(píng)審范圍的人員執(zhí)行，例如內(nèi)部審核部門、獨(dú)立的管理人員或?qū)ｉT進(jìn)行這種評(píng)審的第三方組織。從事這些評(píng)審的人員宜具備適當(dāng)?shù)模ǎ?。管理人員宜對(duì)自己職責(zé)圍范內(nèi)的信息處理是否符合合適的安全策略、標(biāo)準(zhǔn)和任何其他安全要求進(jìn)行（）。為了日常評(píng)審的效率，可以考慮使用自動(dòng)測(cè)量和（）。評(píng)審結(jié)果和管理人員采取的糾正措施宜被記錄，且這些記錄宜予以維護(hù)。

組織應(yīng)依照已確定的訪問(wèn)控制策略限制對(duì)信息和（）功能的訪問(wèn)。對(duì)訪問(wèn)的限制要基于各個(gè)業(yè)務(wù)應(yīng)用要求。訪問(wèn)控制策略還要與組織的訪問(wèn)策略一致。應(yīng)建立安全登錄規(guī)程控制實(shí)現(xiàn)對(duì)系統(tǒng)和應(yīng)用的訪問(wèn)。宜選擇合適的身份驗(yàn)證技術(shù)以驗(yàn)證用戶身份。在需要強(qiáng)認(rèn)證和（）時(shí)，宜使用如加密、智能卡、令牌或生物手段等著代密碼的身份驗(yàn)證方法。應(yīng)建立交互式的口令苦理系統(tǒng)并確僅使用優(yōu)質(zhì)的口令。對(duì)千可能覆蓋系統(tǒng)和應(yīng)用的控制措施的實(shí)用工具和程序的使用，應(yīng)加以限制并（）。對(duì)程序源代碼和相關(guān)事項(xiàng)（例如設(shè)計(jì)、說(shuō)明書(shū)、驗(yàn)證計(jì)劃和確認(rèn)計(jì)劃）的訪問(wèn)宜嚴(yán)格控制，以防引入非授權(quán)功能、避免無(wú)意識(shí)的變更和維持有價(jià)值的知識(shí)產(chǎn)權(quán)的（）。對(duì)于程序源代碼的保存，可以通過(guò)這種代碼的中央存儲(chǔ)控制來(lái)實(shí)現(xiàn)更好的是放在（）中。

風(fēng)險(xiǎn)評(píng)估的過(guò)程包括（）、（）、（）和（）四個(gè)階段。在信息安全風(fēng)險(xiǎn)管理過(guò)程中，風(fēng)險(xiǎn)評(píng)估建立階段的輸出，形成本階段的最終輸出《風(fēng)險(xiǎn)評(píng)估報(bào)告》，此文檔為風(fēng)險(xiǎn)處理活動(dòng)提供輸入。還包括（）和（）兩個(gè)貫穿。

信息安全是通過(guò)實(shí)施一組合適的（）而達(dá)到的，包括策略、過(guò)程、規(guī)程、（）以及軟件和硬件功能。在必要時(shí)需建立、實(shí)施、監(jiān)視、評(píng)審和改進(jìn)包含這些控制措施的（）過(guò)程，以確保滿足該組織的特定安全和（）。這個(gè)過(guò)程宜與其他業(yè)務(wù)（）聯(lián)合進(jìn)行。

系統(tǒng)安全工程能力成熟度模型評(píng)估方法（SSAM）是專門基于SSE-CMM的評(píng)估方法。它包含對(duì)系統(tǒng)安全工程能力成熟度模型中定義的組織的（）流程能力和成熟度進(jìn)行評(píng)估所需的（）。SSAM評(píng)估分為四個(gè)階段（）、（）（）（）

信息安全風(fēng)險(xiǎn)管理過(guò)程的模型如圖所示。按照流程訪問(wèn)信息安全風(fēng)險(xiǎn)管理包括（）六個(gè)方面的內(nèi)容。（）是信息安全風(fēng)險(xiǎn)管理的四個(gè)基本步驟，（）則貫穿于這四個(gè)基本步驟中。

王明買了一個(gè)新的藍(lán)牙耳機(jī)，但王明聽(tīng)說(shuō)使用藍(lán)牙設(shè)備有一定的安全威脅，于是王明找到對(duì)藍(lán)牙技術(shù)有所了解的王紅，希望王紅能夠給自己一點(diǎn)建議，以下哪一條建議不可??？（）

風(fēng)險(xiǎn)處理是依據(jù)（），選擇和實(shí)施合適的安全措施。風(fēng)險(xiǎn)處理的目的是為了將（）始終控制在可接愛(ài)的范圍內(nèi)。風(fēng)險(xiǎn)處理的方式主要有（）、（）、（）和（）四種方式。

客戶采購(gòu)和使用云計(jì)算服務(wù)的過(guò)程可分為四個(gè)階段規(guī)劃準(zhǔn)備、選擇服務(wù)商與部署、運(yùn)行監(jiān)管退出服務(wù)。在（）階段，客戶應(yīng)分析采用云計(jì)算服務(wù)的效益確定自身的數(shù)據(jù)和業(yè)務(wù)類型判定是否適合采用云計(jì)算服務(wù)。

對(duì)操作系統(tǒng)軟件安裝方面應(yīng)建立安裝（），運(yùn)行系統(tǒng)要安裝經(jīng)過(guò)批準(zhǔn)的可執(zhí)行代碼，不安裝開(kāi)發(fā)代碼和（），應(yīng)用和操作系統(tǒng)軟件要在大范圍的、成功的測(cè)試之后才能實(shí)施。而且要僅由受過(guò)培訓(xùn)的管理員，根據(jù)合適的（），進(jìn)行運(yùn)行軟件、應(yīng)用和程序庫(kù)的更新；必要時(shí)在管理者批準(zhǔn)情況下，僅為了支持目的才授予供應(yīng)商物理或邏輯訪問(wèn)權(quán)，并且要監(jiān)督供應(yīng)商的活動(dòng)。對(duì)于用戶能安裝何種類型的軟件，組織宜定義并強(qiáng)制執(zhí)行嚴(yán)格的方針，宜使用（）。不受控制的計(jì)算機(jī)設(shè)備上的軟件安裝可能導(dǎo)致脆弱性。進(jìn)行導(dǎo)致信息泄露；整體性損失或其他信息安全事件或違反（）