You review a policy last updated two years ago. The IT environment has changed significantly, but the document has no revision notes. What is the most appropriate next step?

Đáp án đúng: "Schedule a formal review and apply version tracking". Chính sách an ninh phải được rà soát định kỳ và khi môi trường CNTT thay đổi đáng kể, đồng thời có quản lý phiên bản (version control) ghi rõ ai sửa, sửa gì, khi nào để truy vết và chứng minh với kiểm toán. Một chính sách hai năm chưa cập nhật và không có ghi chú sửa đổi cần được đưa vào quy trình rà soát chính thức. "Leave it unchanged since no breach occurred" sai vì chưa bị xâm nhập không chứng minh chính sách còn phù hợp; đợi có sự cố mới sửa là phản ứng muộn. "Archive the policy and stop referencing it" sai vì bỏ chính sách mà không có bản thay thế để lại khoảng trống, nhân viên không còn hướng dẫn. "Add technical jargon to modernize the language" sai vì thêm thuật ngữ không cập nhật nội dung, còn làm chính sách khó hiểu hơn với người đọc không chuyên.