2024年8月ISMS信息安全管理體系審核員復(fù)習(xí)題含解析

2024年8月ISMS信息安全管理體系審核員復(fù)習(xí)題一、單項(xiàng)選擇題1、當(dāng)發(fā)生不符合時(shí)，組織應(yīng)（）。A、對(duì)不符合做出處理，及時(shí)地：采取糾正，以及控制措施；處理后果B、對(duì)不符合做出反應(yīng)，適用時(shí)：采取糾正，以及控制措施：處理后果C、對(duì)不符合做出處理，及時(shí)地：采取措施，以控制予以糾正；處理后果D、對(duì)不符合做出反應(yīng)，適用時(shí)：采取措施，以控制予以糾正；處理后果2、ISMS關(guān)鍵成功因素之一是用于評(píng)價(jià)信息安全管理執(zhí)行情況和改進(jìn)反饋建議的（）系統(tǒng)A、報(bào)告B、傳遞C、評(píng)價(jià)D、測(cè)量3、關(guān)于GB/T28450,以下說(shuō)法正確的是(）。A、增加了ISMS的審核指導(dǎo)B、與ISO19011一致C、與ISO/IEC27000一致D、等同采用了ISO190114、保密性是指（）A、根據(jù)授權(quán)實(shí)體的要求可訪問(wèn)的特性B、信息不被未授權(quán)的個(gè)人、突體或過(guò)程利用或知悉的特性C、保護(hù)信息的準(zhǔn)確和完整的特性D、以上都不対5、—家投資顧問(wèn)商定期向客戶發(fā)送有關(guān)財(cái)經(jīng)新聞的電子郵件，如何保證客戶收到資料沒(méi)有被修改（）A、電子郵件發(fā)送前，用投資顧問(wèn)商的私鑰加密郵件的HASH值B、電子郵件發(fā)送前，用投資顧問(wèn)商的公鑰加密郵件的HASH值C、電子郵件發(fā)送前，用投資顧問(wèn)商的私鑰數(shù)字簽名郵件D、電子郵件發(fā)送前，用投資顧問(wèn)商的私鑰加密郵件6、關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，應(yīng)當(dāng)按照規(guī)定與提供者簽訂（）協(xié)議和保密義務(wù)與責(zé)任。A、安全保密B、安全保護(hù)C、安全保障D、安全責(zé)任7、《信息安全等級(jí)保護(hù)管理辦法》規(guī)定，應(yīng)加強(qiáng)沙密信息系統(tǒng)運(yùn)行中的保密監(jiān)督檢查。對(duì)秘密級(jí)、機(jī)密級(jí)信息系統(tǒng)每（）至少進(jìn)行次保密檢查或者系統(tǒng)測(cè)評(píng)。A、半年B、1年C、1.5年D、2年8、風(fēng)險(xiǎn)識(shí)別過(guò)程中需要識(shí)別的方面包括：資產(chǎn)識(shí)別、識(shí)別威脅、識(shí)別現(xiàn)有控制措施、（）。A、識(shí)別可能性和影響B(tài)、識(shí)別脆弱性和識(shí)別后果C、識(shí)別脆弱性和可能性D、識(shí)別脆弱性和影響9、風(fēng)險(xiǎn)評(píng)估過(guò)程一般應(yīng)包括（）A、風(fēng)險(xiǎn)識(shí)別B、風(fēng)險(xiǎn)分析C、風(fēng)險(xiǎn)評(píng)價(jià)D、以上全部10、()對(duì)于信息安全管理負(fù)有責(zé)任A、高級(jí)管理層B、安全管理員C、IT管理員D、所有與信息系統(tǒng)有關(guān)人員11、依據(jù)GB/T22080-2016標(biāo)準(zhǔn)，符合性要求包括（）A、知識(shí)產(chǎn)權(quán)保護(hù)B、公司信息保護(hù)C、個(gè)人隱私的保護(hù)D、以上都對(duì)12、監(jiān)督、檢查、指導(dǎo)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)工作是（）對(duì)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)履行法定職責(zé)之一A、電信管理機(jī)構(gòu)B、公安機(jī)關(guān)C、國(guó)家安全機(jī)關(guān)D、國(guó)家保密局13、設(shè)備維護(hù)維修時(shí)，應(yīng)考慮的安全措施包括：（）A、維護(hù)維修前，按規(guī)定程序處理或清除其中的信息B、維護(hù)維修后，檢查是否有未授權(quán)的新增功能C、敏感部件進(jìn)行物理銷毀而不予送修D(zhuǎn)、以上全部14、TCP/IP協(xié)議層次結(jié)構(gòu)由（）A、網(wǎng)絡(luò)接口層、網(wǎng)絡(luò)層組成B、網(wǎng)絡(luò)接口層、網(wǎng)絡(luò)層、傳輸層組成C、網(wǎng)絡(luò)接口層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層組成D、其他選項(xiàng)均不正確15、管理者應(yīng)（）A、制定ISMS方針B、制定ISMS目標(biāo)和專劃C、實(shí)施ISMS內(nèi)部審核D、確保ISMS管理評(píng)審的執(zhí)行16、當(dāng)發(fā)現(xiàn)不符合項(xiàng)時(shí)，組織應(yīng)對(duì)不符合做出反應(yīng)，適用時(shí)（）。A、采取措施，以控制并予以糾正B、對(duì)產(chǎn)生的影響進(jìn)行處理C、分析產(chǎn)生原因D、建立糾正措施以避免再發(fā)生17、信息是消除（）的東西A、不確定性B、物理特性C、不穩(wěn)定性D、干擾因素18、經(jīng)過(guò)風(fēng)險(xiǎn)處理后遺留的風(fēng)險(xiǎn)是（）A、重大風(fēng)險(xiǎn)B、有條件的接受風(fēng)險(xiǎn)C、不可接受的風(fēng)險(xiǎn)D、殘余風(fēng)險(xiǎn)19、關(guān)于《中華人民共和國(guó)網(wǎng)絡(luò)安全法》中的“三同步”要求，以下說(shuō)法正確的是A、指關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)時(shí)須保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用B、指所有信息基礎(chǔ)設(shè)施建設(shè)時(shí)須保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用C、指涉密信息系統(tǒng)建設(shè)時(shí)須保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用D、指網(wǎng)信辦指定信息系統(tǒng)建設(shè)時(shí)須保證安全技術(shù)措施同步規(guī)劃、同步建設(shè),同步使用20、安全標(biāo)簽是一種訪問(wèn)控制機(jī)制，它適用于下列哪一種訪問(wèn)控制策略?（）A、基本角色的策略B、基于身份的策略C、用戶向?qū)У牟呗訢、強(qiáng)制性訪問(wèn)控制策略21、依據(jù)ISO/IEC20000-1:2018,服務(wù)目錄應(yīng)()A、描述服務(wù)及其結(jié)果B、由顧客制定C、是合同的一部分D、是統(tǒng)一所有服務(wù)描述的匯總22、完整性是指()A、根據(jù)授權(quán)實(shí)體的要求可訪問(wèn)的特性B、信息不被未授權(quán)的個(gè)人實(shí)體或過(guò)程利用或知悉的特性C、保護(hù)資產(chǎn)準(zhǔn)確和完整的特性D、保護(hù)資產(chǎn)保密和可用的特性23、審核發(fā)現(xiàn)是指（）A、審核中觀察到的事實(shí)B、審核的不符合項(xiàng)C、審核中收集到的審核證據(jù)對(duì)照審核準(zhǔn)則評(píng)價(jià)的結(jié)果D、審核中的觀察項(xiàng)24、最高管理層應(yīng)通過(guò)（）活動(dòng)，證實(shí)對(duì)信息安全管理體系的領(lǐng)導(dǎo)和承諾。A、組織建立信息安全策略和信息安全目標(biāo)，并與組織戰(zhàn)略方向一致B、確保建立信息安全策略和信息安全目標(biāo)，并與組織戰(zhàn)略方向一致C、領(lǐng)導(dǎo)建立信息安全策略和信息安全目標(biāo)，并與組織戰(zhàn)略方向一致D、溝通建立信息安全策略和信息安全目標(biāo)，并與組織戰(zhàn)略方向一致25、制定信息安全管理體系方針，應(yīng)予以考慮的輸入是（）A、業(yè)務(wù)戰(zhàn)略B、法律法規(guī)要求C、合同要求D、以上全部26、國(guó)家秘密的保密期限應(yīng)為:（）A、絕密不超過(guò)三十年，機(jī)密不超過(guò)二十年，秘密不超過(guò)十年B、絕密不低于三十年，機(jī)密不低于二十年，秘密不低于十年C、絕密不超過(guò)二十五年，機(jī)密不超過(guò)十五年，秘密不超過(guò)五年D、絕密不低于二十五年，機(jī)密不低于十五年，秘密不低于五年27、桌面系統(tǒng)級(jí)聯(lián)狀態(tài)下，關(guān)于上級(jí)服務(wù)器制定的強(qiáng)制策略，以下說(shuō)法正確的是（）A、下級(jí)管理員無(wú)權(quán)修改，不可刪除B、下級(jí)管理員無(wú)權(quán)修改，可以刪除C、下級(jí)管理員可以修改，可以刪除D、下級(jí)管理員可以修改，不可刪除28、（）是建立有效的計(jì)算機(jī)病毒防御體系所需要的技術(shù)措施A、補(bǔ)丁管理系統(tǒng)、網(wǎng)絡(luò)入侵檢測(cè)和防火墻B、漏洞掃描、網(wǎng)絡(luò)入侵檢測(cè)和防火墻C、漏洞掃描、補(bǔ)丁管理系統(tǒng)和防火墻D、網(wǎng)絡(luò)入侵檢測(cè)、防病毒系統(tǒng)和防火墻29、安全區(qū)域通常的防護(hù)措施有（）A、公司前臺(tái)的電腦顯示器背對(duì)來(lái)訪者B、進(jìn)出公司的訪客須在門(mén)衛(wèi)處進(jìn)行登記C、重點(diǎn)機(jī)房安裝有門(mén)禁系統(tǒng)D、以上全部30、根據(jù)GB/T22080-2016中控制措施的要求，不屬于人員招聘的安全要求的是(）A、參加信息安全培訓(xùn)B、背景調(diào)査C、安全技能與崗位要求匹配的評(píng)估D、簽署保密協(xié)議31、ISO/IEC20000J標(biāo)準(zhǔn)的范圍聲明是很重要的，因?yàn)?)A、它定義了管理體系根據(jù)什么予以認(rèn)證B、它詳細(xì)描述了所有已被認(rèn)證的公司C、它詳細(xì)描述了所有已被認(rèn)耐砂D、它確定了哪些流程已超出了范圍32、"多級(jí)SLA"是一個(gè)三層結(jié)構(gòu)，下列哪層不是這樣類型SLA的部分？()A、客戶級(jí)別B、公司級(jí)別C、配置級(jí)別D、服務(wù)級(jí)別33、下面哪個(gè)不是典型的軟件開(kāi)發(fā)模型？（）A、變換型B、漸增型C、瀑布型D、結(jié)構(gòu)型34、以下不屬于信息安全事態(tài)或事件的是：A、服務(wù)、設(shè)備或設(shè)施的丟失B、系統(tǒng)故障或超負(fù)載C、物理安全要求的違規(guī)D、安全策略變更的臨時(shí)通知35、組織應(yīng)（），以確信相關(guān)過(guò)程按計(jì)劃得到執(zhí)行。A、處理文件化信息達(dá)到必要的程度B、保持文件化信息達(dá)到必要的程度C、保持文件化信息達(dá)到可用的程度D、產(chǎn)生文件化信息達(dá)到必要的程度36、GB/T22080-2016中所指資產(chǎn)的價(jià)值取決于（）A、資產(chǎn)的價(jià)格B、資產(chǎn)對(duì)于業(yè)務(wù)的敏感程度C、資產(chǎn)的折損率D、以上全部37、《信息技術(shù)安全技術(shù)信息安全管理體系實(shí)施指南》對(duì)應(yīng)的國(guó)際標(biāo)準(zhǔn)號(hào)為（）A、ISO/IEC27002B、ISO/IEC27003C、ISO/IEC27004D、ISO/IEC2700538、關(guān)于《中華人民共和國(guó)保密法》，以下說(shuō)法正確的是()A、該法的目的是為了保守國(guó)家秘密而定B、該法的執(zhí)行可替代以ISO/IEC27001為依據(jù)的信息安全管理體系C、該法適用于所有組織對(duì)其敏感信息的保護(hù)D、國(guó)家秘密分為秘密、機(jī)密、絕密三級(jí)，由組織自主定級(jí)、自主保護(hù)?39、描述組織采取適當(dāng)?shù)目刂拼胧┑奈臋n是（）A、管理手冊(cè)B、適用性聲明C、風(fēng)險(xiǎn)處置計(jì)劃D、風(fēng)險(xiǎn)評(píng)估程序40、在訪問(wèn)因特網(wǎng)時(shí)，為了防止Web網(wǎng)頁(yè)中惡意代碼對(duì)自己計(jì)算機(jī)的損害，可以采取的防范措施是(）A、利用SSL訪問(wèn)Web站點(diǎn)B、將要訪問(wèn)的Web站點(diǎn)按其可信度分配到瀏覽器的不同安全區(qū)域C、在瀏覽器中安裝數(shù)字證書(shū)D、利用IP安全協(xié)議訪問(wèn)Web站點(diǎn)二、多項(xiàng)選擇題41、以下做法正確的是（）A、使用生產(chǎn)系統(tǒng)數(shù)據(jù)測(cè)試時(shí),應(yīng)先將數(shù)據(jù)進(jìn)行脫敏處理B、為強(qiáng)化新員工培訓(xùn)效果,盡可能使用真實(shí)業(yè)務(wù)案例和數(shù)據(jù)C、員工調(diào)換項(xiàng)目組時(shí)，其愿使用計(jì)算機(jī)中的項(xiàng)目數(shù)據(jù)經(jīng)妥善刪除后可帶入新項(xiàng)目組使用D、信息系統(tǒng)管理域內(nèi)所有的終端啟動(dòng)屏幕保護(hù)時(shí)間應(yīng)一致42、以下屬于信息安全事態(tài)或事件的是:（）A、服務(wù)、設(shè)備或設(shè)施的丟失B、系統(tǒng)故障或超負(fù)載C、物理安全要求的違規(guī)D、安全策略變更的臨時(shí)通知43、常規(guī)控制圖主要用于區(qū)分（）A、過(guò)程處于穩(wěn)態(tài)還是非穩(wěn)態(tài)B、過(guò)程能力的大小C、過(guò)程加工的不合格率D、過(guò)程中存在偶然波動(dòng)還是異常波動(dòng)44、組織建立的信息安全目標(biāo)，應(yīng)（）。A、是可測(cè)量的B、與信息安全方針一致C、得到溝通D、適當(dāng)時(shí)更新45、以下（）活動(dòng)是ISMS監(jiān)視預(yù)評(píng)審階段需完成的內(nèi)容A、實(shí)施培訓(xùn)和意識(shí)教育計(jì)劃B、實(shí)施ISMS內(nèi)部審核C、實(shí)施ISMS管理評(píng)審D、采取糾正措施46、關(guān)于服務(wù)組件”以下說(shuō)法正確的是（）A、不包括基礎(chǔ)設(shè)施B、可以是服務(wù)的一部分C、可包括配置項(xiàng)、資產(chǎn)或其他要素D、一項(xiàng)或多項(xiàng)配置項(xiàng)可以構(gòu)成一項(xiàng)服務(wù)組件47、關(guān)于“不可否認(rèn)性”，以下說(shuō)法正確的是（）A、數(shù)字簽名是實(shí)現(xiàn)“不可否認(rèn)性”的有效技術(shù)手段B、身份認(rèn)證是實(shí)現(xiàn)“不可否認(rèn)性”的重要環(huán)節(jié)C、數(shù)字時(shí)間戳是“不可否認(rèn)性”的關(guān)鍵屬性D、具有證實(shí)一個(gè)聲稱的事態(tài)或行為的發(fā)生及其源起者的能力即不可否認(rèn)性48、對(duì)于組織在風(fēng)險(xiǎn)處置過(guò)程中所選的控制措施，以下說(shuō)法正確的是（）A、將所有風(fēng)險(xiǎn)都必須被降低至可接受的級(jí)別B、可以將風(fēng)險(xiǎn)轉(zhuǎn)移C、在滿足公司策略和方針條件下，有意識(shí)、客觀地接受風(fēng)險(xiǎn)D、規(guī)避風(fēng)險(xiǎn)49、依據(jù)IS020000-6:2017以下可構(gòu)成減少I(mǎi)TSMS初審人日的因素包括（)A、已獲得的認(rèn)證在最近12個(gè)月內(nèi)對(duì)其至少實(shí)施了一次審核B、擬認(rèn)證的范圍已獲得ISO/IEC27001證書(shū)C、已獲得其他認(rèn)證的范圍大于擬認(rèn)證的范圍D、擬認(rèn)證的范圍與獲得ISMS證書(shū)范圍等同50、依據(jù)GB/T22080，經(jīng)管理層批準(zhǔn)，定期評(píng)審的信息安全策略包括（）A、信息備份策略B、訪問(wèn)控制策略C、信息傳輸策略D、密鑰管理策略51、以下屬于信息安全管理體系審核的證據(jù)是：（）A、信息系統(tǒng)運(yùn)行監(jiān)控中心顯示的實(shí)時(shí)資源占用數(shù)據(jù)B、信息系統(tǒng)的閾值列表C、數(shù)據(jù)恢復(fù)測(cè)試的日志D、信息系統(tǒng)漏洞測(cè)試分析報(bào)告52、以下說(shuō)法正確的是（）A、顧客不投訴表示顧客滿意了B、監(jiān)視和測(cè)量顧客滿意的方法之一是發(fā)調(diào)查問(wèn)卷，并對(duì)結(jié)果進(jìn)行分析和評(píng)價(jià)C、顧客滿意測(cè)評(píng)只能通過(guò)第三方機(jī)構(gòu)來(lái)實(shí)施D、顧客不投訴并不意味著顧客滿意了53、下列哪項(xiàng)屬于《認(rèn)證機(jī)構(gòu)管理辦法》中規(guī)定的設(shè)立認(rèn)證機(jī)構(gòu)應(yīng)具備的條件？（）A、具有固定的辦公場(chǎng)所和必備設(shè)施B、注冊(cè)資本不得少于人民幣600萬(wàn)元C、具有10名以上相應(yīng)領(lǐng)域的專職認(rèn)證人員D、具有符合認(rèn)證認(rèn)可要求的管理制度54、管理評(píng)審的輸出應(yīng)包括（）A、與持續(xù)改進(jìn)機(jī)會(huì)相關(guān)的決定B、變更信息安全管理體系的任何需求C、相關(guān)方的反饋D、信息安全方針執(zhí)行情況55、問(wèn)題管理的輸入不包括（）A、變更請(qǐng)求B、問(wèn)題解決方案C、事件記錄D、新的已知錯(cuò)誤三、判斷題56、不同組織有關(guān)信息安全管理體系文件化信息的詳略程度應(yīng)基本相同。（）正確錯(cuò)誤57、考慮了組織所實(shí)施的活動(dòng),即可確定組織信息安全管理體系范圍。（）正確錯(cuò)誤58、當(dāng)需要時(shí)，組織可設(shè)計(jì)控制，或識(shí)別來(lái)自任何來(lái)源的控制。（）正確錯(cuò)誤59、最高管理層應(yīng)建立信息安全方針、該方針應(yīng)包括對(duì)持續(xù)改進(jìn)信息安全管理體系的承諾。正確錯(cuò)誤60、審核方案應(yīng)包括審核所需的資源，例如交通和食宿。（）正確錯(cuò)誤61、IT系統(tǒng)日志保存所需的資源不屬于容量管理的范圍。（）正確錯(cuò)誤62、審核員由實(shí)習(xí)審核員轉(zhuǎn)審核員之前，至少必須通過(guò)4次完整體系20天的審核。（）正確錯(cuò)誤63、容量管理策略可以考慮增加容量或降低容量要求。（）正確錯(cuò)誤64、敏感標(biāo)記表示客體安全級(jí)別并描述客體數(shù)據(jù)敏感性的一組信息，可信計(jì)算機(jī)中把敏感標(biāo)記作為強(qiáng)制訪問(wèn)控制決策的依據(jù)（）。正確錯(cuò)誤65、信息安全風(fēng)險(xiǎn)準(zhǔn)則包括風(fēng)險(xiǎn)接受準(zhǔn)則和風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則。（）正確錯(cuò)誤

參考答案一、單項(xiàng)選擇題1、D2、D3、A4、B5、C6、A解析:《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第36條，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，應(yīng)當(dāng)按照規(guī)定與提供者簽訂安全保密協(xié)議，明確安全和保密義務(wù)與責(zé)任。故選A7、D8、B解析:27005信息安全風(fēng)險(xiǎn)管理8,2,,1風(fēng)險(xiǎn)識(shí)別，包括資產(chǎn)識(shí)別，威脅識(shí)別，現(xiàn)有控制措施識(shí)別，脆弱性識(shí)別，后果識(shí)別。故選B9、D10、D11、D12、B13、D14、C15、A16、A解析:參考2700110,1當(dāng)發(fā)生不符合時(shí)，組織應(yīng)：對(duì)不符合做出反應(yīng)，適用時(shí)：（1）采取措施，以控制并予以糾正（2）處理后果。故選A17、A18、D19、A20、D21、A22、C23、C24、B25、D26、A解析:國(guó)家秘密的保密期限,除有特殊規(guī)定外,絕密級(jí)事項(xiàng)不超過(guò)三十年,機(jī)密級(jí)事項(xiàng)不超過(guò)二十年,秘密級(jí)事項(xiàng)不超過(guò)十年27、A28、D解析:以上都是建立有效的計(jì)算機(jī)病毒防御體系所需要的技術(shù)措施，但D選項(xiàng)與病毒防御更相關(guān)，故選D29、D30、A31、D32