下列关于信息安全的说法中错误的是（）。

本题考查信息安全的基本概念与分类，需准确理解信息安全各层次（物理安全、软件安全、数据安全、人员安全）的内涵及保障措施。 逐项分析如下： A项：“信息系统的物理安全包括环境安全，设备安全，媒体安全等，保障物理安全的措施通常有风险分析，备份与恢复等” 错误。 物理安全是指保护信息系统实体（如机房、服务器、存储介质、网络设备等）免受自然灾害、人为破坏、盗窃、电磁泄漏等物理性威胁的安全措施。其典型保障措施包括：门禁系统、视频监控、防雷接地、温湿度控制、防火防水设施、电磁屏蔽、介质销毁等。 而“风险分析”属于安全管理的前期工作，贯穿于信息安全全生命周期，并非专属于物理安全的实施措施；“备份与恢复”主要针对数据可用性和系统连续性，属于容灾与业务连续性管理范畴，本质上服务于系统安全或数据安全，而非直接保障物理实体本身的安全。因此，将“风险分析”和“备份与恢复”列为“保障物理安全的措施”是概念混淆，属典型归类错误。 B项：“信息系统的软件安全是指信息系统的运行安全，备份与恢复技术可以提供保障” 基本正确。 软件安全在此语境中可理解为保障软件系统（含操作系统、数据库、应用系统等）在运行过程中具备保密性、完整性、可用性与抗攻击能力。运行安全强调系统持续稳定、可靠执行预期功能，防范恶意代码、越权访问、服务中断等风险。备份与恢复虽非软件安全的唯一或核心手段，但确为保障系统运行连续性与故障后快速复原的关键支撑技术，属于运行安全保障体系的重要组成部分。该表述在教育类考题语境中可接受为正确。 C项：“数据安全是保障网络安全最根本的目的，加密技术提供了数据安全最后的保障” 正确。 网络安全的终极目标是保障信息的机密性、完整性、可用性（CIA三元组），而这些均以数据为核心载体。因此，数据安全是网络安全的出发点与落脚点，具有根本性地位。加密技术通过对数据进行变换，使其在传输或存储过程中即使被截获或窃取也难以被理解，是实现机密性的核心技术，也是当其他防护机制（如访问控制、防火墙、入侵检测）失效时，对数据本身的最后一道防线，故称“最后的保障”。该说法符合信息安全基本原理。 D项：“在信息安全所包括的所有要素中，人是最薄弱的环节” 正确。 信息安全涉及技术、管理、人员三大要素。大量安全事件（如钓鱼邮件点击、弱口令设置、社会工程学攻击成功、违规操作、内部泄密等）表明，人的意识缺失、行为失范、技能不足或主观恶意，往往构成最易被利用的突破口。国际标准（如ISO/IEC 27001）和业界共识均强调“人是信息安全链中最薄弱的一环”，因此需通过安全意识培训、策略宣贯、权限最小化、审计监督等手段强化人员管控。 综上，A项存在概念错位，将不属于物理安全范畴的措施（备份与恢复）和通用管理活动（风险分析）错误归类为物理安全的保障手段，因此是本题唯一错误选项。 核心知识点总结： 1. 物理安全：聚焦实体资产保护，措施具物理性、环境性、硬件性； 2. 软件/运行安全：关注系统动态运行过程中的稳定性、可靠性与抗干扰能力； 3. 数据安全：以数据为保护对象，加密是保障机密性的基础性、兜底性技术； 4. 人员安全：强调人为因素在整体安全体系中的关键影响与脆弱性，是安全管理的重点与难点。