信息安全管理发生重大变化后，为什么还要独立审查？

正确答案 C

题干问的是变化后的管理方法及其实施，不只是软件有没有漏洞。重大变化是独立审查需要关注的情形，日常自查和技术扫描不能单独替代这项审查，选C。

先圈出“转为外包”和“责任、流程发生重大变化”。一个系统即使没有高危漏洞，也可能出现告警由谁接、供应商退出时谁收回权限都没说清的情况。漏洞扫描回答不了这些问题，所以B的检查对象太窄。独立审查要从人员、流程和技术等方面，检查信息安全管理的方法及其实际实施；在既定周期之外，重大变化也可能触发相关审查。A当然可以作为准备材料，但让实施团队重复自查，并不会自然产生独立审查。这里的“独立”强调审查安排能保持客观，不等于所有单位每次都必须购买外部机构服务；参与者仍需要合适的能力，并妥善处理影响独立性的关系。也别和职责分离混在一起：职责分离侧重把冲突的操作、审批等责任分开，独立审查侧重客观检查管理及实施情况。两项控制可以配合，但不是同一项工作。

选项分析

A

自查可以提供情况和证据，但题目缺的是独立审查，重复同一种自查不能直接补齐这项安排。

B

扫描对技术漏洞有价值，却不能充分检查职责交接、管理方法和事件流程是否得到适当实施。

C

同时照顾审查的独立性、能力和范围，能够针对重大变化后的信息安全管理及实施进行核查。

D

教材并未把独立审查限定为出事后才开展，重大变化本身就需要纳入审查安排的考虑。

再巩固一步

• 做管理类安全题，先分清检查对象：代码漏洞、操作合规，还是管理方法及其实施。看见“独立审查”，再核对周期或重大变化及审查安排。