3. 關於資訊安全管理系統（Information Security Management System, ISMS），下列敘述何者較「不」正確？ (A) 瞭解組織資訊安全要求，建立資訊安全之政策與目標的需求 (B) 基於主觀的量測，並且持續改善 (C) 監視與審查資訊安全管理系統（ISMS）的績效與有效性 (D) 在組織的運作中實作與運作各項控制措施，並管理組織的資訊安全風險