導(dǎo)航：安全管理網(wǎng)>> 安全教育>> 安全試題>> 綜合>>正文

信息安全管理體系與信息安全風(fēng)險管理

		點(diǎn) 擊數(shù)：	更新時間： 2021年04月20日
下載地址：點(diǎn)擊這里	文件大?。?412.94 KB 共29頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共29頁]

本文件共29頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?12.94 KB 共29頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：八大特殊作業(yè)安全試題

上一篇：三級安全教育試題(公司級)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

信息安全管理體系與信息安全風(fēng)險管理練習(xí)題
1. 關(guān)于從事信息安全標(biāo)準(zhǔn)化工作的組織說法，不正確的是：
A. IETF的主要任務(wù)是負(fù)責(zé)互聯(lián)網(wǎng)相關(guān)技術(shù)規(guī)范的研發(fā)和制定，并涉及到一些安全方面的標(biāo)準(zhǔn)化工作
B. IEC除與ISO聯(lián)合從事信息安全方面的標(biāo)準(zhǔn)化工作外，還在電信、電子系統(tǒng)、信息技術(shù)和電磁兼容等方面成立技術(shù)委員會，并涉及信息安全方面的標(biāo)準(zhǔn)化工作
C. ITU所屬的SG17組主要負(fù)責(zé)研究通信系統(tǒng)安全標(biāo)準(zhǔn)
D. ISO/IECJTC1 SC27從事的工作包括安全技術(shù)和機(jī)制的開發(fā)、安全指南的開發(fā)、但不包括管理支持文件和標(biāo)準(zhǔn)的開發(fā)
答案：D。
2. 關(guān)于信息安全管理標(biāo)準(zhǔn)的說法，不正確的是：
A. ISO/IEC13335是關(guān)于風(fēng)險管理、IT安全管理的一個重要的標(biāo)準(zhǔn)系列
B. ISO/IEC17799：2005建立了組織機(jī)構(gòu)內(nèi)啟動、實施、維護(hù)和改進(jìn)信息安全管理的指導(dǎo)方針和通用原則
C. ISO/IECJTC1 SC27開發(fā)的信息安全管理系統(tǒng)（ISMS）國際標(biāo)準(zhǔn)族采用27000系列號碼作為編碼方案
D. BS 7799包含的信息安全管理導(dǎo)則已成為ISO/IEC 27001標(biāo)準(zhǔn)
答案：D。
3. 我國信息安全法管理政策中，不包括：
A. 采取積極防御、綜合治理的管理方針
B. 維護(hù)齊抓共管的信息安全管理體系
C. 采取誰主管、誰負(fù)責(zé)；誰經(jīng)營、誰負(fù)責(zé)的管理政策
D. 采取嚴(yán)格的管理、威嚴(yán)的法律、先進(jìn)的技術(shù)
答案：B。
4. 關(guān)于信息安全風(fēng)險評估工作的一些說法，不正確的是：
A. 按“嚴(yán)格組織、規(guī)范操作、講究科學(xué)、注重實效”的原則展開；
B. 應(yīng)按照“誰主管誰負(fù)責(zé)，誰運(yùn)營誰負(fù)責(zé)”的原則進(jìn)行；
C. 應(yīng)以檢查評估為主，自評估與檢查評估相互結(jié)合、互為補(bǔ)充；
D. 風(fēng)險評估工作應(yīng)貫穿信息系統(tǒng)建設(shè)和運(yùn)行的全過程；
答案：C。
5. 在風(fēng)險管理工作中監(jiān)控審查的目的。一是，二是。
A. 保證風(fēng)險管理過程的有效性，保證風(fēng)險管理成本的有效性
B. 保證風(fēng)險管理結(jié)果的有效性，保證風(fēng)險管理成本的有效性
C. 保證風(fēng)險管理過程的有效性，保證風(fēng)險管理活動的決定得到認(rèn)可
D. 保證風(fēng)險管理結(jié)果的有效性，保證風(fēng)險管理活動的決定得到認(rèn)可
答案：C。
6. 關(guān)于安全控制措施的一些說法，不正確的是：
A. 崗位輪換、應(yīng)急響應(yīng)是檢測性的管理控制措施；
B. 職責(zé)分離、數(shù)據(jù)分類和標(biāo)記是預(yù)防性的管理控制措施；
C. 口令、加密的使用是阻止性的技術(shù)控制措施；
D. 審核審計日志是檢測性的技術(shù)控制措施；
答案：C。
7. 在27001-2005中，制定風(fēng)險處置計劃應(yīng)該在PDCA的哪個階段進(jìn)行？
A. Plan
B. Do
C. Check
D. Act
答案：A。
8. 為什么一個公司內(nèi)部的風(fēng)險評估團(tuán)隊?wèi)?yīng)該由來自不同部門的人員組成？
A. 確保風(fēng)險評估過程是公平的
B. 因為風(fēng)險正是由于這些來自不同部門的人員所引起的，因此他們應(yīng)該承擔(dān)風(fēng)險評估的職責(zé)
C. 因為不同部門的人員對本部門所面臨的風(fēng)險最清楚，由此進(jìn)行的風(fēng)險評估也最接近于實際情況
D. 風(fēng)險評估團(tuán)隊不應(yīng)該由來自不同部門的人員組成，而應(yīng)該由一個來自公司外部的小型團(tuán)隊組成
答案：C。
9. 在應(yīng)用系統(tǒng)開發(fā)過程中，應(yīng)對安全問題予以足夠的重視。以下說法錯誤的是：
A. 在進(jìn)行新系統(tǒng)的測試時，應(yīng)對生產(chǎn)系統(tǒng)中的數(shù)據(jù)進(jìn)行嚴(yán)格的控制
B. 應(yīng)用系統(tǒng)的開發(fā)中，應(yīng)注意數(shù)據(jù)輸入，處理和輸出等階段對數(shù)據(jù)的控制
C. 一旦明確了安全需求和設(shè)計方案，在開發(fā)過程中就應(yīng)當(dāng)嚴(yán)格遵守，不能有任何改變
D. 系統(tǒng)或系統(tǒng)部件廢棄中產(chǎn)生的風(fēng)險，不能等閑視之
答案：C。
10. ISO27001、ITIL和COBIT在IT管理內(nèi)容上各有優(yōu)勢，但側(cè)重點(diǎn)不同，其各自重點(diǎn)分別在于：
A. IT安全控制、IT過程管理和IT控制和度量評價
B. IT過程管理、IT安全控制和IT控制和度量評價
C. IT控制和度量評價、IT安全控制和IT安全控制
D. IT過程管理、IT控制和度量評價、IT安全控制
答案：A。
11. 下列哪項ISO 27000系列是關(guān)于ISMS要求的？
A. ISO 27001
B. ISO 27002
C. ISO 27003
D. ISO 27004
答案：A。
12. 以下關(guān)于風(fēng)險管理的描述不正確的是？
A. 風(fēng)險的四種控制方法有：減低風(fēng)險/轉(zhuǎn)嫁風(fēng)險/規(guī)避風(fēng)險/接受風(fēng)險
B. 信息安全風(fēng)險管理是否成功在于發(fā)現(xiàn)是否切實被消除了
C. 組織應(yīng)依據(jù)信息安全方針和組織要求的安全保證程度來確定需要管理的信息安全
D. 信息安全風(fēng)險管理是基于可接受的成本，對影響信息系統(tǒng)的安全風(fēng)險進(jìn)行識別多少或消除的過程
答案：B。
13. 風(fēng)險管理的重點(diǎn)：
A. 將風(fēng)險降低到可以接受的程度
B. 不計代價的降低風(fēng)險
C. 將風(fēng)險轉(zhuǎn)移給第三方
D. 懲罰違反安全策略規(guī)定的雇員
答案：A。
14. 管理者何時可以根據(jù)風(fēng)險分析結(jié)果對已識別風(fēng)險不采取措施。
A. 當(dāng)必須的安全對策的成本高出實際風(fēng)險的可能造成的譴責(zé)負(fù)面影響時
B. 當(dāng)風(fēng)險減輕方法提高業(yè)務(wù)生產(chǎn)力時
C. 當(dāng)引起風(fēng)險發(fā)生的情況不在部門控制范圍之內(nèi)時
D. 不可接受
答案：A。
15. 在風(fēng)險評估中進(jìn)行定量的后果分析時，如果采用年度風(fēng)險損失值的方法進(jìn)行計算，應(yīng)當(dāng)使用一下哪個公式？
A. SLE（單次損失預(yù)期值）*ARO（年度發(fā)生率）
B. ARO（年度發(fā)生率）*EF（暴露因子）
C. SLE（單次損失預(yù)期值）*EF(暴露因子)*ARO（年度發(fā)生率）
D. SLE（單次損失預(yù)期值）*ARO（年度發(fā)生率）-EF（暴露因子）
答案：A。
16. 變更控制是信息系統(tǒng)運(yùn)行管理的重要的內(nèi)容，在變更控制的過程中：
A. 應(yīng)該盡量追求效率，而沒有任何的程序和核查的阻礙。
B. 應(yīng)該將重點(diǎn)放在風(fēng)險發(fā)生后的糾正措施上。
C. 應(yīng)該很好的定義和實施風(fēng)險規(guī)避的措施。
D. 如果是公司領(lǐng)導(dǎo)要求的，對變更過程不需要追蹤和審查。
答案：C。
17. 信息安全策略是管理層對信息安全工作意圖和方向的正式表述，以下哪一項不是信息安全策略文檔中必須包含的內(nèi)容？
A. 說明信息安全對組織的重要程度
B. 介紹需要符合的法律法規(guī)要求
C. 信息安全技術(shù)產(chǎn)品的選型范圍
D. 信息安全管理責(zé)任的定義
答案：C。
18. 關(guān)于風(fēng)險值的含義正確的是：
A. 根據(jù)安全事件發(fā)生的可能性，計算對組織的影響
B. 根據(jù)安全時間出現(xiàn)后的損失，計算對組織的影響
C. 根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失，計算對組織的影響
D. 根據(jù)安全事件發(fā)生的可能性和資產(chǎn)的價值，計算對組織的影響
答案：C。
19. 在風(fēng)險評估的工作中，以下哪一選項不是其基本要素？
A. 殘余風(fēng)險
B. 資產(chǎn)
C. 脆弱性
D. 威脅
答案：A。
20. 對“PDCA”循環(huán)不正確的描述是：
A. “PDCA”的含義是P-計劃，D-實施，C-檢查，A-改進(jìn)；
B. “PDCA”循環(huán)又叫“戴明”環(huán)；
C. “PDCA”循環(huán)是只能用于信息安全管理體系有效進(jìn)行的工作程序；
D. “PDCA”循環(huán)是可用于任何一項活動有效進(jìn)行的工作程序；
答案：C。
21. 2008年某單位對信息系統(tǒng)進(jìn)行了全面的風(fēng)險評估，并投入充分的資源進(jìn)行了有效的風(fēng)險處置，但是2010年仍然發(fā)生了一起影響惡劣的信息安全事件，這主要是由于：
A. 信息安全是系統(tǒng)的安全
B. 信息安全是無邊界的安全
C. 信息安全是動態(tài)的安全
D. 信息安全是非傳統(tǒng)的安全
答案：C。
22. 我國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（TC260）目前下屬6個工作組，其中負(fù)責(zé)信息安全管理的小組是：
A. WG1
B. WG7
C. WG3
D. WG5
答案：B。
23. 衡量殘余安全風(fēng)險應(yīng)當(dāng)考慮的因素為：
A. 威脅、風(fēng)險、資產(chǎn)價值
B. 威脅、資產(chǎn)價值、脆弱性
C. 單次損失、年度發(fā)生率
D. 威脅、脆弱性、資產(chǎn)價值、控制措施效果
答案：D。
24. 《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范 GB/T 20984-2007》中關(guān)于信息系統(tǒng)生命周期各階段的風(fēng)險評估描述不正確的是：
A. 規(guī)劃階段風(fēng)險評估的目的是識別系統(tǒng)的業(yè)務(wù)戰(zhàn)略，以支撐系統(tǒng)安全需求及安全戰(zhàn)略等
B. 設(shè)計階段的風(fēng)險評估需要根據(jù)規(guī)劃階段所明確的系統(tǒng)運(yùn)行環(huán)境、資產(chǎn)重要性，提出安全功能需求
C. 實施階段風(fēng)險評估的目的是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對系統(tǒng)開發(fā)、實施過程進(jìn)行風(fēng)險識別，并對系統(tǒng)建成后的安全功能進(jìn)行驗證
D. 運(yùn)行維護(hù)階段風(fēng)險評估的目的是了解和控制運(yùn)行過程中的安全風(fēng)險，是一種全面的風(fēng)險評估。評估內(nèi)容包括對真實運(yùn)行的信息系統(tǒng)、資產(chǎn)、脆弱性等各方面
答案：B。
25. 下列對風(fēng)險分析方法的描述正確的是：
A. 定量分析比定性分析方法使用的表格更多
B. 定性分析的主觀和經(jīng)驗判斷因素較定量評估多
C. 同一組織只用使用一種方法進(jìn)行評估
D. 符合組織要求的風(fēng)險評估方法就是最優(yōu)方法
答案：B。
26. 風(fēng)險管理四個步驟的正確順序是：
A. 背景建立、風(fēng)險評估、風(fēng)險處理、批準(zhǔn)監(jiān)督
B. 背景建立、風(fēng)險評估、審核批準(zhǔn)、風(fēng)險控制
C. 風(fēng)險評估、對象確立、審核批準(zhǔn)、風(fēng)險控制
D. 風(fēng)險評估、風(fēng)險控制、對象確立、審核批準(zhǔn)
答案：A。
27. 某公司正在進(jìn)行信息安全風(fēng)險評估，在決定信息資產(chǎn)的分類與分級時，誰負(fù)有最終責(zé)任？
A. 部門經(jīng)理
B. 高級管理層
C. 信息資產(chǎn)所有者
D. 最終用戶
答案：C。
28. 下面對ISO27001的說法最準(zhǔn)確的是：
A. 該標(biāo)準(zhǔn)的題目是信息安全管理體系實施指南
B. 該標(biāo)準(zhǔn)為度量信息安全管理體系的開發(fā)和實施過程提供的一套標(biāo)準(zhǔn)
C. 該標(biāo)準(zhǔn)提供了一組信息安全管理相關(guān)的控制措施和最佳實踐
D. 該標(biāo)準(zhǔn)為建立、實施、運(yùn)行、監(jiān)控、審核、維護(hù)和改進(jìn)信息安全管理體系提供了一個模型
答案：D。
29. 進(jìn)行信息安全管理體系的建設(shè)是一個涉及企業(yè)文化、信息系統(tǒng)特點(diǎn)、法律法
規(guī)限制等多方面因素的復(fù)雜過程，人們在這樣的過程中總結(jié)了許多經(jīng)驗，下列哪一項是最不值得贊同的？
A. 成功的信息安全管理體系建設(shè)必須得到組織的高級管理層的直接支持
B. 制定的信息安全管理措施應(yīng)當(dāng)與組織的文化環(huán)境相匹配
C. 應(yīng)該對ISO27002等國際標(biāo)準(zhǔn)批判地參考，不能完全照搬
D. 借助有經(jīng)驗的大型國際咨詢公司，往往可以提高管理體系的執(zhí)行效果
答案：D。
30. 下列對“信息安全風(fēng)險”的描述正確的是：
A. 是來自外部的威脅利用了系統(tǒng)自身存在的脆弱性作用于資產(chǎn)形成風(fēng)險
B. 是系統(tǒng)自身存在的威脅利用了來自外部的脆弱性作用于資產(chǎn)形成風(fēng)險
C. 是來自外部的威脅利用了系統(tǒng)自身存在的脆弱性作用于網(wǎng)絡(luò)形成風(fēng)險
D. 是系統(tǒng)自身存在的威脅利用了來自外部的脆弱性作用于網(wǎng)絡(luò)形成風(fēng)險
答案：A。
31. 對信息安全風(fēng)險評估工作成果理解正確的是：
A. 信息安全風(fēng)險評估工作的最重要成果是按高中低級排列的風(fēng)險列表。
B. 通過信息安全風(fēng)險評估工作，不僅能夠明確系統(tǒng)安全風(fēng)險，還能夠獲得如何控制風(fēng)險的詳細(xì)建議。
C. 信息安全風(fēng)險評估工作最終成果是信息系統(tǒng)安全問題（脆弱點(diǎn)）列表。
D. 信息安全風(fēng)險評估工作最終成果是信息系統(tǒng)安全威脅列表。
答案：A。
32. 資產(chǎn)管理是信息安全管理的重要內(nèi)容，而清楚的識別信息系統(tǒng)相關(guān)的資產(chǎn)，并編制資產(chǎn)清單是資產(chǎn)管理的重要步驟，下面關(guān)于資產(chǎn)清單的說法錯誤的是：
A. 資產(chǎn)清單的編制是風(fēng)險管理的一個重要的先決條件
B. 信息安全管理中所涉及的資產(chǎn)是指信息資產(chǎn)，即業(yè)務(wù)數(shù)據(jù)、合同協(xié)議、培訓(xùn)材料等
C. 在制定資產(chǎn)清單的時候應(yīng)根據(jù)資產(chǎn)的重要性、業(yè)務(wù)價值和安全分類，確定與資產(chǎn)重要性相對應(yīng)的保護(hù)級別
D. 資產(chǎn)清單中應(yīng)當(dāng)包括將資產(chǎn)從災(zāi)難中恢復(fù)而需要的信息，如資產(chǎn)類型、格式、位置、備份信息、許可信息等
答案：D。
33. 組織在實施與維護(hù)信息安全的流程中，下列哪一項不屬于高級管理層的職責(zé)？
A. 明確的支持
B. 執(zhí)行風(fēng)險分析
C. 定義目標(biāo)和范圍
D. 職責(zé)定義與授權(quán)
答案：B。
34. 風(fēng)險分析的目標(biāo)是達(dá)到：
A. 風(fēng)險影響和保護(hù)性措施之間的價值平衡
B. 風(fēng)險影響和保護(hù)性措施之間的操作平衡
C. 風(fēng)險影響和保護(hù)性措施之間的技術(shù)平衡
D. 風(fēng)險影響和保護(hù)性措施之間的邏輯平衡
答案：A。
35. 風(fēng)險評估按照評估者的不同可以分為自評和第三方評估。這兩種評估方式最本質(zhì)的差別是什么？
A. 評估結(jié)果的客觀性
B. 評估工具的專業(yè)程度
C. 評估人員的技術(shù)能力
D. 評估報告的形式
答案：A。
36. 對于信息系統(tǒng)風(fēng)險管理描述不正確的是：
A. 漏洞掃描是整個安全評估階段重要的數(shù)據(jù)來源而非全部
B. 風(fēng)險管理是動態(tài)發(fā)展的，而非停滯、靜態(tài)的
C. 風(fēng)險評估的結(jié)果以及決策方案必須能夠相互比較才可以具有較好的參考意義
D. 風(fēng)險評估最重要的因素是技術(shù)測試工具
答案：D。
37. 下列哪一項準(zhǔn)確地描述了脆弱性、威脅、暴露和風(fēng)險之間的關(guān)系？
A. 脆弱性增加了威脅，威脅利用了風(fēng)險并導(dǎo)致了暴露
B. 風(fēng)險引起了脆弱性并導(dǎo)致了暴露，暴露又引起了威脅
C. 風(fēng)險允許威脅利用脆弱性，并導(dǎo)致了暴露
D. 威脅利用脆弱性并產(chǎn)生影響的可能性稱為風(fēng)險，暴露是威脅已造成損害的實例
答案：D。
38. 以下哪一項不是信息安全管理工作必須遵循的原則？
A. 風(fēng)險管理在系統(tǒng)開發(fā)之初就應(yīng)該予以充分考慮，并要貫穿于整個系統(tǒng)開發(fā)過程之中
B. 風(fēng)險管理活動應(yīng)成為系統(tǒng)開發(fā)、運(yùn)行、維護(hù)、直至廢棄的整個生命周期內(nèi)的持續(xù)性工作
C. 由于在系統(tǒng)投入使用后部署和應(yīng)用風(fēng)險控制措施針對性會更強(qiáng)，實施成本會相對較低
D. 在系統(tǒng)正式運(yùn)行后，應(yīng)注重殘余風(fēng)險的管理，以提高快速反應(yīng)能力
答案：C。
39. 風(fēng)險評估方法的選定在PDCA循環(huán)中的那個階段完成？
A. 實施和運(yùn)行
B. 保持和改進(jìn)
C. 建立
D. 監(jiān)視和評審
答案：C。
40. 下面關(guān)于ISO27002的說法錯誤的是？
A. ISO27002的前身是ISO17799-1
B. ISO27002給出了通常意義下的信息安全管理最佳實踐供組織機(jī)構(gòu)選用,但不是全部
C. ISO27002對于每個措施的表述分”控制措施”、“實施指南”、和“其它信息”三個部分來進(jìn)行描述
D. ISO27002提出了十一大類的安全管理措施，其中風(fēng)險評估和處置是處于核心地位的一類安全措施
答案：D。
41. 下述選項中對于“風(fēng)險管理”的描述正確的是：
A. 安全必須是完美無缺、面面俱到的
B. 最完備的信息安全策略就是最優(yōu)的風(fēng)險管理對策
C. 在解決、預(yù)防信息安全問題時，要從經(jīng)濟(jì)、技術(shù)、管理的可行性和有效性上做出權(quán)衡和取舍
D. 防范不足就會造成損失；防范過多就可以避免損失
答案：C。
42. 風(fēng)險評估主要包括風(fēng)險分析準(zhǔn)備、風(fēng)險要素識別、風(fēng)險分析和風(fēng)險結(jié)果判定
四個主要過程，關(guān)于這些過程，以下的說法哪一個是正確的？
A. 風(fēng)險分析準(zhǔn)備的內(nèi)容是識別風(fēng)險的影響和可能性
B. 風(fēng)險要素識別的內(nèi)容是識別可能發(fā)生的安全事件對信息系統(tǒng)的影響程度
C. 風(fēng)險分析的內(nèi)容是識別風(fēng)險的影響和可能性
D. 風(fēng)險結(jié)果判定的內(nèi)容是發(fā)現(xiàn)系統(tǒng)存在的威脅、脆弱和控制措施
答案：C。
43. 以下對PPDR模型的解釋錯誤的是：
A. 該模型提出以安全策略為核心，防護(hù)、檢測和恢復(fù)組成一個完整的；
B. 該模型的一個重要貢獻(xiàn)是加進(jìn)了時間因素，而且對如何實現(xiàn)系統(tǒng)安全狀態(tài)給出了操作的描述
C. 該模型提出的公式1：Pt>Dt+Rt，代表防護(hù)時間大于檢測時間加響應(yīng)時間
D. 該模型提出的公式2：Et＝Dt+Rt，代表防護(hù)時間為0時，系統(tǒng)檢測時間等于檢測時間加響應(yīng)時間
答案：D。
44. 在風(fēng)險分析中，下列不屬于軟件資產(chǎn)的是：
A. 計算機(jī)操作系統(tǒng)
B. 網(wǎng)絡(luò)操作系統(tǒng)
C. 應(yīng)用軟件源代碼
D. 外來惡意代碼
答案：D。
45. 通常情況下，怎樣計算風(fēng)險？
A. 將威脅可能性等級乘以威脅影響就得出了風(fēng)險。
B. 將威脅可能性等級加上威脅影響就得出了風(fēng)險。
C. 用威脅影響除以威脅的發(fā)生概率就得出了風(fēng)險。
D. 用威脅概率作為指數(shù)對威脅影響進(jìn)行乘方運(yùn)算就得出了風(fēng)險。
答案：A。
46. 在風(fēng)險分析中，以下哪種說法是正確的？
A. 定量影響分析的主要優(yōu)點(diǎn)是它對風(fēng)險進(jìn)行排序并對那些需要立即改善的環(huán)節(jié)進(jìn)行標(biāo)識。
B. 定性影響分析可以很容易地對控制進(jìn)行成本收益分析。
C. 定量影響分析不能用在對控制進(jìn)行的成本收益分析中。
D. 定量影響分析的主要優(yōu)點(diǎn)是它對影響大小給出了一個度量。
答案：D。
47. ISMS指的是什么？
A. 信息安全管理
B. 信息系統(tǒng)管理體系
C. 信息系統(tǒng)管理安全
D. 信息安全管理體系
答案：D。
48. 在確定威脅的可能性時，可以不考慮以下哪個？
A. 威脅源
B. 潛在弱點(diǎn)
C. 現(xiàn)有控制措施
D. 攻擊所產(chǎn)生的負(fù)面影響
49. ISO/IEC 17799源于以下哪個標(biāo)準(zhǔn)？
A. BS7799-1
B. BS7799-2
C. BS7799-3
D. GB 7799
答案：A。
50. 風(fēng)險分析的目的是？
A. 在實施保護(hù)所需的成本與風(fēng)險可能造成的影響之間進(jìn)行技術(shù)平衡；
B. 在實施保護(hù)所需的成本與風(fēng)險可能造成的影響之間進(jìn)行運(yùn)作平衡；
C. 在實施保護(hù)所需的成本與風(fēng)險可能造成的影響之間進(jìn)行經(jīng)濟(jì)平衡；
D. 在實施保護(hù)所需的成本與風(fēng)險可能造成的影響之間進(jìn)行法律平衡；
答案：C。
51. 如果將風(fēng)險管理分為風(fēng)險評估和風(fēng)險減緩，那么以下哪個不屬于風(fēng)險減緩的內(nèi)容？
A. 計算風(fēng)險
B. 選擇合適的安全措施
C. 實現(xiàn)安全措施
D. 接受殘余風(fēng)險
答案：A。
52. ISMS文檔體系中第一層文件是？
A. 信息安全方針政策
B. 信息安全工作程序
C. 信息安全作業(yè)指導(dǎo)書
D. 信息安全工作記錄
答案：A。
53. 信息安全管理最關(guān)注的是？
A. 外部惡意攻擊
B. 病毒對PC的影響
C. 內(nèi)部惡意攻擊
D. 病毒對網(wǎng)絡(luò)的影響
答案：C。
54. 從風(fēng)險管理的角度，以下哪種方法不可??？
A. 接受風(fēng)險
B. 分散風(fēng)險
C. 轉(zhuǎn)移風(fēng)險
D. 拖延風(fēng)險
答案：D。
55. 在信息系統(tǒng)安全中，風(fēng)險由以下哪兩種因素共同構(gòu)成的？
A. 攻擊和脆弱性
B. 威脅和攻擊
C. 威脅和脆弱性
D. 威脅和破壞
答案：C。
56. 在信息系統(tǒng)安全中，暴露由以下哪兩種因素共同構(gòu)成的？
A. 攻擊和脆弱性
B. 威脅和攻擊
C. 威脅和脆弱性
D. 威脅和破壞
答案：A。
57. 以下哪一項是已經(jīng)被確認(rèn)了的具有一定合理性的風(fēng)險？
A. 總風(fēng)險
B. 最小化風(fēng)險
C. 可接受風(fēng)險
D. 殘余風(fēng)險
答案：C。
58. 以下哪一項對安全風(fēng)險的描述是準(zhǔn)確的
A. 安全風(fēng)險是指一種特定脆弱性利用一種或一組威脅造成組織的資產(chǎn)損失或損害的可能性。
B. 安全風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失事實。
C. 安全風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性
D. 安全風(fēng)險是指資產(chǎn)的脆弱性被威脅利用的情形。
答案：C。
59. 從風(fēng)險的觀點(diǎn)來看，一個具有任務(wù)緊急性，核心功能性的計算機(jī)應(yīng)用程序系統(tǒng)的開發(fā)和維護(hù)項目應(yīng)該：
A. 內(nèi)部實現(xiàn)
B. 外部采購實現(xiàn)
C. 合作實現(xiàn)
D. 多來源合作實現(xiàn)
答案：A。
60. 在信息安全策略體系中，下面哪一項屬于計算機(jī)或信息安全的強(qiáng)制性規(guī)則？
A. 標(biāo)準(zhǔn)（Standard）
B. 安全策略（Security policy）
C. 方針（Guideline）
D. 流程（Procedure）
答案：A。
61. 下列哪一個說法是正確的？
A. 風(fēng)險越大，越不需要保護(hù)
B. 風(fēng)險越小，越需要保護(hù)
C. 風(fēng)險越大，越需要保護(hù)
D. 越是中等風(fēng)險，越需要保護(hù)
答案：C。
62. 從風(fēng)險分析的觀點(diǎn)來看，計算機(jī)系統(tǒng)的最主要弱點(diǎn)是：
A. 內(nèi)部計算機(jī)處理
B. 系統(tǒng)輸入輸出
C. 通訊和網(wǎng)絡(luò)
D. 外部計算機(jī)處理
答案：B。
63. 下面哪一種風(fēng)險對電子商務(wù)系統(tǒng)來說是特殊的？
A. 服務(wù)中斷
B. 應(yīng)用程序系統(tǒng)欺騙
C. 未授權(quán)的信息泄漏
D. 確認(rèn)信息發(fā)送錯誤
答案：D。
64. 在執(zhí)行風(fēng)險分析的時候，預(yù)期年度損失（ALE）的計算是：
A. 全部損失乘以發(fā)生頻率
B. 全部損失費(fèi)用+實際替代費(fèi)用
C. 單次預(yù)期損失乘以發(fā)生頻率
D. 資產(chǎn)價值乘以發(fā)生頻率
答案：C。
65、哪個信息安全評估標(biāo)準(zhǔn)給出了關(guān)于IT安全的保密性、完整性、可用性、審計性、認(rèn)證性、可靠性6個方面含義，并提出了以風(fēng)險為核心的安全模型？
A、ISO13335標(biāo)準(zhǔn) B、BS7799標(biāo)準(zhǔn)
C、AS/NZS 4360：1999標(biāo)準(zhǔn)
D、OCTAVE（Operationally Critical Threat, Asset, and Vulnerability Evaluation）
參考答案：A
66、信息系統(tǒng)測評的基礎(chǔ)是什么？
A、數(shù)據(jù)采集和分析 B、量化評估
C、安全檢測 D、安全評估分析
參考答案：A
2013年01月（CISE）真題：
1、我國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（TC260）目前下屬6個工作組，其中負(fù)責(zé)信息安全管理的小組是：
A. WG 1
B. WG 7
C. WG 3
D. WG 5
參考答案：B
2、下列信息安全相應(yīng)的標(biāo)準(zhǔn)中是信息安全管理體系標(biāo)準(zhǔn)而不是主要用于對信息系統(tǒng)本身進(jìn)行安全評價的標(biāo)準(zhǔn)。
A．TCSEC（橘皮書）
B．信息技術(shù)安全評估準(zhǔn)則ITSEC
C．信息技術(shù)安全評估通用標(biāo)準(zhǔn)CC
D．ISO/IEC27000
參考答案：D
3、是目前國際通行的信息技術(shù)產(chǎn)品安全性評估標(biāo)準(zhǔn)
A．TCSEC
B．ITSEC
C．CC
D．IATF
參考答案：C
4、下列哪項不是《信息安全等級保護(hù)管理辦法》（公通字[2007]43號）規(guī)定的內(nèi)容？
A. 國家信息安全等級保護(hù)堅持自主定級、自主保護(hù)的原則
B. 國家指定專門部門對信息系統(tǒng)安全等級保護(hù)工作進(jìn)行專門的監(jiān)督和檢查
C. 跨省或全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可由主管部門統(tǒng)一確定安全保護(hù)等級
D. 涉及國家秘密的信息系統(tǒng)不進(jìn)行分等級保護(hù)
參考答案：D
5、下面有關(guān)我信息安全管理體質(zhì)的說法錯誤的是
A. 目前我國的信息安全保障工作是相關(guān)部門各司其職、相互配合、齊抓共管的局面
B. 我國的信息安全保障工作綜合利用法律、管理和技術(shù)的手段
C. 我國的信息安全管理應(yīng)堅持及時檢測、快速響應(yīng)、綜合治理的方針
D. 我國對于信息安全責(zé)任的原則是誰主管、誰負(fù)責(zé)；誰經(jīng)營、誰負(fù)責(zé)
參考答案：C
6、以下哪一項不是我國與信息安全有關(guān)的國家法律？
A. 《信息安全等級保護(hù)管理辦法》
B. 《中華人民共和國保守國家秘密法》
C. 《中華人民共和國刑法》
D. 《中華人民共和國國家安全法》
參考答案：A
7、目前我國形成了相關(guān)部門各司其職、相互配合，綜合利用法律、管理和技術(shù)手段，共同維護(hù)國家信息安全的一個多方“齊抓共管”的信息安全管理體系?！跋嚓P(guān)部門”不包括：
A. 工業(yè)和信息化部
B. 新聞辦
C. 國家保密局
D. 安監(jiān)局
參考答案：D
8、下面對PDCA模型的解釋不正確的是：
A．通過規(guī)劃、實施、檢查和處置的工作程序不斷改進(jìn)對系統(tǒng)的管理活動
B．是一種可以應(yīng)用于信息安全管理活動持續(xù)改進(jìn)的有效實踐方法
C．也被稱為“戴明環(huán)”
D．適用于對組織整體活動的優(yōu)化，不適合單人的過程以及個人
參考答案：D
9、以下對PDCA循環(huán)特點(diǎn)描述不正確的是：
A．按順序進(jìn)行，周而復(fù)始，不斷循環(huán)
B．組織中的每個部分，甚至個人，均可以PDCA循環(huán)，大環(huán)套小環(huán)，一層一層地解決問題
C．每通過一次PDCA循環(huán)，都要進(jìn)行總結(jié)，提出新目標(biāo)，再進(jìn)行第二次PDCA循環(huán)
D．可以由任何一個階段開始，周而復(fù)始，不斷循環(huán)
參考答案：D
10、在PDCA模型中，ACT（處置）環(huán)節(jié)的信息安全管理活動是：
A．建立環(huán)境
B．實施風(fēng)險處理計劃
C．持續(xù)的監(jiān)視與評審風(fēng)險
D．持續(xù)改進(jìn)信息安全管理過程
參考答案：D
11、下述選項中對于“風(fēng)險管理”的描述正確的是：
A．安全必須是完美無缺、面面俱到的。
B．最完備的信息安全策略就是最優(yōu)的風(fēng)險管理對策。
C．在應(yīng)對信息安全風(fēng)險時，要從經(jīng)濟(jì)、技術(shù)、管理的可行性和有效性上做出權(quán)衡和取舍。
D．防范不足就會造成損失；防范過多就可以避免損失。
參考答案：C
12、在風(fēng)險管理準(zhǔn)備階段“建立背景”（對象確立）過程中不應(yīng)該做的是：
A．分析系統(tǒng)的體系結(jié)構(gòu)
B．分析系統(tǒng)的安全環(huán)境
C．制定風(fēng)險管理計劃
D．調(diào)查系統(tǒng)的技術(shù)特性
參考答案：C
13、風(fēng)險評估主要包括風(fēng)險分析準(zhǔn)備、風(fēng)險要素識別、風(fēng)險分析和風(fēng)險結(jié)果判定四個主要過程，關(guān)于這些過程，以下的說法哪一個是正確的？
A．風(fēng)險分析準(zhǔn)備的內(nèi)容是識別風(fēng)險的影響和可能性
B．風(fēng)險要素識別的內(nèi)容是識別可能發(fā)生的安全事件對信息系統(tǒng)的影響程度
C．風(fēng)險分析的內(nèi)容是識別風(fēng)險的影響和可能性
D．風(fēng)險結(jié)果判定的內(nèi)容是發(fā)現(xiàn)系統(tǒng)存在的威脅、脆弱性和控制措施
參考答案：C，P227，理解：b實際上是風(fēng)險分析的工作，d實際上是風(fēng)險識別，識別與進(jìn)一步分析風(fēng)險的影響以及程度是風(fēng)險分析的工作。
14、應(yīng)對信息安全風(fēng)險的主要目標(biāo)是什么？
A．消除可能會影響公司的每一種威脅
B．管理風(fēng)險，以使由風(fēng)險產(chǎn)生的問題降至最低限度
C．盡量多實施安全措施以消除資產(chǎn)暴露在其下的每一種風(fēng)險
D．盡量忽略風(fēng)險，不使成本過高
參考答案：B
15、風(fēng)險是需要保護(hù)的（ ）發(fā)生損失的可能性，它是（ ）和（ ）綜合結(jié)果。
A．資產(chǎn)，攻擊目標(biāo)，威脅事件
B．設(shè)備，威脅，漏洞
C．資產(chǎn)，威脅，漏洞
D．以上都不對
參考答案：C
16、下列對風(fēng)險分析方法的描述正確的是：
A．定量分析比定性分析方法使用的工具更多
B．定性分析比定量分析方法使用的工具更多
C．同一組織只用使用一種方法進(jìn)行評估
D．符合組織要求的風(fēng)險評估方法就是最優(yōu)方法
參考答案：D
17、下列哪種處置方法屬于轉(zhuǎn)移風(fēng)險？
A．部署綜合安全審計系統(tǒng)
B．對網(wǎng)絡(luò)行為進(jìn)行實時監(jiān)控
C．制訂完善的制度體系
D．聘用第三方專業(yè)公司提供維護(hù)外包服務(wù)
參考答案：D
18、在對安全控制進(jìn)行分析時，下面哪個描述是不準(zhǔn)確的？
A．對每一項安全控制都應(yīng)該進(jìn)行成本收益分析，以確定哪一項安全控制是必須的和有效的
B．應(yīng)確保選擇對業(yè)務(wù)效率影響最小的安全措施
C．選擇好實施安全控制的時機(jī)和位置，提高安全控制的有效性
D．仔細(xì)評價引入的安全控制對正常業(yè)務(wù)帶來的影響，采取適當(dāng)措施，盡可能減少負(fù)面效應(yīng)
參考答案：B
19、某公司正在進(jìn)行安全風(fēng)險評估，在決定信息資產(chǎn)的分類與分級時，誰負(fù)有最終責(zé)任？
A．部門經(jīng)理
B．高級管理層
C．信息資產(chǎn)所有者
D．最終用戶
參考答案：C
20、以下哪一項不是信息安全策略文檔中必須包含的內(nèi)容：
A．說明信息安全對組織的重要程度
B．介紹需要符合的法律法規(guī)要求
C．信息安全技術(shù)產(chǎn)品的選型范圍
D．信息安全管理責(zé)任的定義
參考答案：B
21、以下哪一項措施不是用來支持“最小權(quán)限”原則的？
A．嚴(yán)格限制系統(tǒng)管理員的數(shù)量
B．管理員應(yīng)使用普通用戶身份進(jìn)行常規(guī)操作，如閱讀郵件
C．將系統(tǒng)用戶的角色分為管理員、審計員和普通用戶。
D．只允許系統(tǒng)軟件和應(yīng)用系統(tǒng)需要使用的數(shù)據(jù)通過防火墻
參考答案：D
22、當(dāng)員工或外單位的工作人員離開組織或崗位變化時，必須進(jìn)行以下的管理程序除了：
A．明確此人不再具有以前的職責(zé)
B．確保歸還應(yīng)當(dāng)歸還的資產(chǎn)
C．確保屬于以前職責(zé)的訪問權(quán)限被撤銷
D．安全管理員陪同此人離開工作場所
參考答案：D
23、在一個有充分控制的信息處理計算中心中，下面哪項任務(wù)可以由同一個人執(zhí)行？
A．安全管理和變更管理
B．計算機(jī)操作和系統(tǒng)開發(fā)
C．系統(tǒng)開發(fā)和變更管理
D．系統(tǒng)開發(fā)和系統(tǒng)維護(hù)
參考答案：B
考核：每題1分，共15分，低于13分者，請重新復(fù)習(xí)！
1.信息安全管理體系是基于（）方法，來建立、實施、運(yùn)作、監(jiān)視、評審、保持和改進(jìn)信息安全
A.信息安全
B.業(yè)務(wù)風(fēng)險
C.信息系統(tǒng)防護(hù)
D.安全風(fēng)險
參考答案：B, P207理解：信息安全保障的最終目標(biāo)是業(yè)務(wù)的安全
2.下面哪一項安全控制措施不是用來檢測未經(jīng)授權(quán)的信息處理活動的
A.設(shè)置網(wǎng)絡(luò)連接時限
B.記錄并分析系統(tǒng)錯誤日志
C.記錄并分析用戶和管理員操作日志
D.啟用時鐘同步
參考答案：A，P361
3.下列安全控制措施的分類中，哪個分類是正確的（P-預(yù)防性的，D-檢測性的以及C-糾正性的控制）
1.網(wǎng)絡(luò)防火墻
2.RAID級別3
3.銀行賬單的監(jiān)督復(fù)審
4.分配計算機(jī)用戶標(biāo)識
5.交易日志
A.P,P,C,D,andC
B.D,C,C,D,andD
C.P,C,D,P,andC
D.P,D,P,P,andC
參考答案：C，理解：1為預(yù)防性措施；2raid3可以標(biāo)識與恢復(fù)數(shù) 據(jù)，所以是c；銀行賬單的監(jiān)督復(fù)審為檢測性措施；4分配計算機(jī)用戶標(biāo)識屬于事前為p；5交易日志提供時候?qū)彶闉閏
4.風(fēng)險評估主要包括風(fēng)險分析準(zhǔn)備、風(fēng)險要素識別、風(fēng)險分析和風(fēng)險結(jié)果判定四個主要過程，關(guān)于這些過程，以下的說法哪一個是正確的？
A.風(fēng)險分析準(zhǔn)備的內(nèi)容是識別風(fēng)險的影響和可能性
B.風(fēng)險要素識別的內(nèi)容是識別可能發(fā)生的安全事件對信息系統(tǒng)的影響程度
C.風(fēng)險分析的內(nèi)容是識別風(fēng)險的影響和可能性
D.風(fēng)險結(jié)果判定的內(nèi)容是發(fā)現(xiàn)系統(tǒng)存在的威脅、脆弱性和控制措施
參考答案：C，P227，理解：b實際上是風(fēng)險分析的工作，d實際上是風(fēng)險識別，識別與進(jìn)一步分析風(fēng)險的影響以及程度是風(fēng)險分析的工作。
5.以下哪項不是風(fēng)險評估階段應(yīng)該做的？
A對ISMS范圍內(nèi)的信息資產(chǎn)進(jìn)行鑒別和估價.
B.對信息資產(chǎn)面對的各種威脅和脆弱性進(jìn)行評估
C.對已存在的或規(guī)劃的安全控制措施進(jìn)行界定
D.根據(jù)評估結(jié)果實施相應(yīng)的安全控制措施
參考答案：D，P228 圖6－9，風(fēng)險評估只是識別、分析與評價，不涉及具體安全保護(hù)與控制實施。問：安全控制措施應(yīng)該在風(fēng)險管理的哪個階段做？
5.在風(fēng)險處置過程中，應(yīng)當(dāng)考慮的風(fēng)險處置措施，通常在哪種情況下采用？
A.負(fù)面影響損失小于安全投入
B.負(fù)面影響損失和安全投入持平
C.負(fù)面影響損失和安全投入都很小
D.安全投入小于負(fù)面影響損失
參考答案：D，理解：要充分考慮防護(hù)與成本的均衡問題，參見風(fēng)險管理ppt。
7.以下哪一項不是信息安全管理工作必須遵循的原則？
A.風(fēng)險管理在系統(tǒng)開發(fā)之初就應(yīng)該予以充分考慮，并要貫穿于整個系統(tǒng)開發(fā)過程之中
B.風(fēng)險管理活動應(yīng)成為系統(tǒng)開發(fā)、運(yùn)行、維護(hù)、直至廢棄的整個生命周期內(nèi)的持續(xù)性工作
C.由于在系統(tǒng)投入使用后部署和應(yīng)用風(fēng)險控制措施針對性非更強(qiáng)，實施成本會相對較低
D.在系統(tǒng)正式運(yùn)行后，應(yīng)注意殘余風(fēng)險的管理，以提高快速反應(yīng)能力
參考答案：C，理解：風(fēng)險管理應(yīng)該是越早介入越好
8.對信息安全風(fēng)險評估要素理解正確的是：
A.資產(chǎn)識別的粒度隨著評估范圍，評估目的的不同而不同，既可以是硬件設(shè)備，也可以是業(yè)務(wù)系統(tǒng)，也可以是組織機(jī)構(gòu)
B.應(yīng)針對構(gòu)成信息系統(tǒng)的每個資產(chǎn)做風(fēng)險評估
C.脆弱性識別時將信息系統(tǒng)安全現(xiàn)狀與國家或行業(yè)的安全要求做符合性對比而找出的差距項
D.信息系統(tǒng)面臨的安全威脅僅包括人為故意威脅、人為非故意威脅
參考答案：A
9.以下哪一項不是建筑物的自動化訪問審計系統(tǒng)記錄的日志的內(nèi)容
A.出入的原因
B.出入的時間
C.出入口的位置
D.是否成功進(jìn)入
參考答案：A
10.信息安全策略是管理層對信息安全工作意圖和方向的正式表述，以下哪一項不知信息安全策略文檔中必須包含的內(nèi)容
A.說明信息安全對組織的重要程度
B.介紹需要符合的法律法規(guī)要求
C.信息安全技術(shù)產(chǎn)品的選型范圍
D.信息安全管理責(zé)任的定義
參考答案：C
11.作為信息中心的主任，你發(fā)現(xiàn)沒有足夠的人力資源保證將數(shù)據(jù)庫管理員和網(wǎng)絡(luò)管理員的崗位分配給兩個不同的人擔(dān)任，這種情況造成了一定的安全風(fēng)險，這是你應(yīng)該怎么做？
A.抱怨且無能為力
B.向上級報告該情況，等待增援人手
C.通過部署審計措施和定期審查來降低風(fēng)險
D.由于增加人力會造成新的人力成本，所以接受該風(fēng)險
參考答案：C，理解：人力資源不夠，但dba與網(wǎng)絡(luò)管理員的崗位不能空缺，所以此時無法用規(guī)避與轉(zhuǎn)移的方式來處理風(fēng)險，只能考慮采用降低的方式。
12.以下人員中，誰有決定信息分類級別的責(zé)任？
A.用戶
B.數(shù)據(jù)所有者
C.審計員
D.安全官
參考答案：B
13.ISMS所要求的文件應(yīng)予以保護(hù)和控制，應(yīng)編制形成文件控制程序，下列哪項不是該程序所規(guī)定的管理措施？
A.確保文件的更改和現(xiàn)行修改狀態(tài)得到標(biāo)識
B.防止作廢文件的非預(yù)期使用
C.確保文件可以為需要者所獲得，但防止需要者對文件轉(zhuǎn)移、儲存和銷毀
D.確保在使用處可獲得適用文件的最新版本
參考答案：D
14.下列哪些內(nèi)容應(yīng)包含在信息系統(tǒng)戰(zhàn)略計劃中？
A.已規(guī)劃的硬件采購的規(guī)范
B.將來業(yè)務(wù)目標(biāo)的分析
C.開發(fā)項目的目標(biāo)日期
D.信息系統(tǒng)不同的年度預(yù)算目標(biāo)
參考答案：B
15.ISO27002中描述的11個信息安全管理控制領(lǐng)域不包括
A.信息安全組織
B.資產(chǎn)管理
C.內(nèi)容安全
D.人力資源安全
參考答案：C

網(wǎng)友評論 more

綜合最新內(nèi)容

04-09