某单位在制定信息安全策略时采用的下述做法中，正确的是（）。

参考答案:

C

计算机信息应用系统的“安全策略”是指：人们为保护因为使用计算机信息应用系、统可能招致的对单位资产造成损失而进行保护的各种措施、手段，以及建立的各种管理制度、法规等。一个单位的安全策略决不能照搬别人的，一定是对本单位的计算机信息应用系统的安全风险（安全威胁）进行有效的识别、评估后，就如何避免单位的资产的损失所采取的一切措施、手段，以及建立的各种管理制度、法规等。    单位的安全策略由谁来定，谁来监督执行，对违反规定的人和事由谁来负责处理。由于信息系统安全的事情涉及单位（企业、党政机关）能否正常运营的大事，所以必须由单位的最高行政执行长官和部门或组织授权完成安全策略的制定，并经过单位的全员讨论修订。    现代信息系统是一个非线性的智能化人机结合的复杂大系统。由于人的能力局限性，即便有再好的愿望，出于多美好的出发点，信息系统总会存在漏洞，系统的漏洞不能禁绝，使用和管理系统的人也会犯错误。如果把信息安全目标定位于：“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”，那是永远不可能的！因此，安全是相对的，是风险大小的问题。它是一个动态的过程。我们不能一厢情愿地追求所谓绝对安全，而是要将安全风险控制在合理程度或允许的范围内。这就是风险度的观点。    职责分离是降低意外或故意滥用系统风险的一种方法。为减小未经授权的修改或滥用信息或服务的机会，对特定职责或责任领域的管理和执行功能实施分离。有条件的组织或机构应执行专职专责。如职责分离比较困难，应附加其仕的控制措施，如行为监视、审计跟踪和管理监督。    综合以上信息安全策略的基本概念可知，应选择C。