安全保证的正确性与有效性，分别核对什么？

正确答案 C

甲对照设计与实现，侧重正确性；乙对照用户的安全需求与实际保护效果，侧重有效性，选C。机密性、可用性是安全属性，不是本题两种保证视角的名称。

先把两把尺子摆好：一把量“有没有按设计做出来”，另一把量“做出来的措施够不够满足用户安全需要”。前者是正确性，后者是有效性。比如设计要求一类敏感操作经过复核，检查程序和部署是否实现这项机制，属于前一类核查；再结合约定业务路径，检查措施是否充分覆盖用户需要保护的敏感操作，是后一类关注点。实现细节对上设计很重要，但如果需求识别或方案覆盖有遗漏，不能仅凭这一项证据就宣布用户安全需求已经全部满足。这里也不是说两类核查互不相关，同一批证据可以支持多个判断，区别在于要回答的问题。对设计或部署发现缺口，应追踪纠正并重新验证，而不是为了报告好看只保留通过项。

选项分析

A

两项顺序颠倒，甲先核实现与设计的一致性，乙才考察措施能否充分满足用户安全需求。

B

机密性和可用性描述安全属性，题干没有分别考察防泄露与服务可用，而是在区分保证视角。

C

与教材对正确性、有效性的说明依次对应，同时没有把任何单项核查当作无限范围的安全保证。

D

可用性和机密性不是这两项核查的分类名称；不能看到业务场景就自动选某一CIA属性。

再巩固一步

• 用两句自问区分：有没有按设计实现？措施是否充分满足用户安全需要？不要把“有效”记成只是能运行。