对关键岗位的人员变更进行管理和控制， 目的是防止因经验流失和技能不足造成隐患。

这道题的答案判定为“错误”，通常是因为该陈述对“关键岗位人员变更管理”的目的描述**不全面**或**侧重点偏差**。在信息安全管理体系（如 ISO 27001）或企业内部控制规范中，人员变更管理的核心目的不仅仅是防止经验流失和技能不足，更侧重于**安全责任的连续性和访问权限的及时管控**。 以下是详细的解析： ### 1. 核心考点分析 关键岗位人员变更管理（Personnel Change Management）是人力资源安全的重要组成部分。其主要控制目标包括： * **确保业务连续性**：防止因人员离职或转岗导致工作中断。 * **保障信息安全**：这是最核心的目的。包括及时收回或调整访问权限、密钥、物理门禁等，防止前员工或不再具备权限的员工继续访问敏感资源（即防止“权限滞留”带来的安全风险）。 * **知识转移与交接**：确实包含防止经验流失，但这只是手段之一，而非唯一或最高优先级的安全目的。 ### 2. 为什么原题表述是错误的？ 原题表述：“目的是防止因经验流失和技能不足造成隐患。” * **片面性**：该表述仅强调了“能力”和“知识”层面（经验流失、技能不足），而忽略了更关键的**“权限”和“责任”**层面。 * **安全隐患的主要来源**：在人员变更环节，最大的安全隐患通常不是“新人技能不足”，而是**“旧人权限未收回”**或**“交接过程中的数据泄露/破坏”**。如果只关注经验和技能，而忽略了权限撤销和审计，会导致严重的安全漏洞。 * **标准定义差异**：根据常见的信息安全标准，人员变更管理的首要目的是确保在人员离职、转岗或晋升时，其**访问权限得到适当调整或撤销**，并确保**职责交接清晰**，以维持安全控制措施的有效性。 ### 3. 正确的理解应为： 对关键岗位的人员变更进行管理和控制，主要目的是： 1. **确保访问权限的及时更新与撤销**，防止未经授权的访问。 2. **确保工作职责和安全责任的平稳交接**，保障业务连续性和信息资产的完整性。 3. 其次才是通过知识转移减少因经验流失带来的操作风险。 ### 总结 原题将人员变更管理的目的局限于“经验流失和技能不足”，忽略了更核心的**权限管控**和**安全责任交接**，因此表述不准确，答案为**错误**。