信息系统的过期账号及其权限应及时( )。

这道题考查的是信息系统安全管理中关于**账号与权限管理**的基本原则，特别是针对“过期账号”的处理措施。 ### 解析过程： 1. **理解核心概念**： * **过期账号**：指因员工离职、岗位变动、项目结束或临时访问期限届满等原因，不再需要保留或其原有权限不再适用的用户账号。 * **安全风险**：如果过期账号及其权限未被及时处理，可能成为安全漏洞。攻击者可能利用这些被遗忘的账号进行未授权访问、数据窃取或破坏系统完整性（即“僵尸账号”风险）。 2. **分析选项**： * **A. 注销**：对于完全不再需要的账号（如离职员工），最直接且安全的处理方式是**注销**（或删除）该账号，彻底切断其访问路径。这是防止未授权访问的根本措施。 * **B. 备份**：备份通常针对数据，而非账号权限本身。虽然操作日志可能需要审计留存，但“备份过期账号”并不是消除安全风险的手段，反而可能保留隐患。 * **C. 调整**：对于部分情况，用户可能仍在组织中但岗位发生变动，或者临时权限到期但需转为长期低权限。此时，应及时**调整**其权限，遵循“最小权限原则”，移除不必要的过高权限。因此，“调整”也是处理过期或不适用权限的重要手段。 * **D. 备案**：备案是管理流程的一部分，但仅仅备案而不采取实质性的技术措施（如注销或调整权限）无法消除安全隐患。备案不能替代对账号状态的实际控制。 3. **综合判断**： * 根据信息安全最佳实践（如等级保护要求、ISO 27001等），当账号过期或权限不再适用时，应立即采取行动。 * 如果账号完全无用，应**注销**（A）。 * 如果账号仍需保留但权限过时，应**调整**权限（C）。 * 因此，及时**注销**或**调整**是确保系统安全的正确做法。 ### 结论： 正确答案是 **A、C**。 * **注销**用于彻底移除不再需要的访问身份。 * **调整**用于修正仍在使用但权限不匹配的账号。 这两项措施共同构成了对过期账号及其权限的闭环管理，有效降低了信息系统的安全风险。