試題詳解

28. 以下何者非 CNS 27001 對「資訊安全風險處理」之要求？
(A)識別、分析及評估資訊安全風險
(B)對所選定資訊安全風險處理選項，決定所有必須實作之控制措施
(C)產生適用性聲明，包括必要之控制措施，且不論是否實作，提供納入 之理由，以及由附錄 A 排除之理由
(D)制訂資訊安全風險處理計畫，取得風險擁有者對資訊安全風險處理計畫 之核准，以及對剩餘資訊安全風險 之接受