根据《信息安全等级保护管理办法》，对网络安全等级三级及以上系统，以下说法正确的是（ ）。

根据《信息安全等级保护管理办法》，对于网络安全等级三级及以上的系统，应该采用双重份鉴别机制，并对用户和数据采用安全标记。因此，选项A和B是正确的。而选项C，系统管理员不能任意访问日志记录，应该有相应的权限管理和审计机制。对于选项D，网络安全等级测评工作的频率应根据系统的安全等级来确定，第三级信息系统应该每年至少进行一次等级测评，而不是三年开展一次。因此，选项C和D均不正确。