根据剩余安全风险决定能否运行，属于哪项管理工作？

正确答案 A

评审正在作出能否运行的决定，而不只是识别分析风险或实施措施。表8-1将安全确认、信息系统运行的决策列在基于风险的决策下，选A。

沿着题干的动词走：前面已经“形成结果”，当前要“决定是否运行”。识别资产、分析威胁和脆弱性，是为判断风险提供依据；选择并实施安全措施，是改变风险状况；拿着这些结果作出运行决定，才是本题所问的工作。教材表8-1把这几项分开列，不能因为都围绕风险就互换名称。报告质量再好，也不能自动替有职责的决策方批准系统上线。反过来，作出有条件运行的决定，也不表示剩余风险已经归零；适用的运行条件、后续处置与监控仍要落实。题目没有给某个职位指定批准权，实际由谁作决定应依据组织治理及适用要求，不能擅自推导为测试人员、供应商或项目经理个人都能直接同意。

选项分析

A

题干的当前动作是依据风险情况决定系统能否运行，符合表8-1对基于风险的决策的列举。

B

分析评估为决策提供风险信息，但当前已进入根据结果作运行决定的环节，不是在继续识别和分析。

C

风险控制侧重选择与实施措施，实施结果是本次决策的输入，不能与是否准许运行的判断混同。

D

该项侧重评估机构、保密、评估信息和技术测试过程的管理，不直接指系统运行决定本身。

再巩固一步

• 给活动标动词：分析风险、实施措施、管理评估、决定运行。相邻工作会互相提供输入，但不是同一项。