CISP試題及答案復(fù)習(xí)試題附答案

第頁CISP試題及答案復(fù)習(xí)試題附答案1.下面哪一種情況可以使信息系統(tǒng)安全官員實現(xiàn)有效進行安全控制的目的?A、完整性控制的需求是基于風(fēng)險分析的結(jié)果B、控制已經(jīng)過了測試C、安全控制規(guī)范是基于風(fēng)險分析的結(jié)果D、控制是在可重復(fù)的基礎(chǔ)上被測試的【正確答案】：D2.系統(tǒng)上線前應(yīng)當(dāng)對系統(tǒng)安全配置進行檢查，不包括下列哪種安全檢查A、主機操作系統(tǒng)安全配置檢查B、網(wǎng)絡(luò)設(shè)備安全配置檢查C、系統(tǒng)軟件安全漏洞檢查D、數(shù)據(jù)庫安全配置檢查【正確答案】：C3.關(guān)于標(biāo)準(zhǔn)、指南、程序的描述，哪一項是最準(zhǔn)確的？A、標(biāo)準(zhǔn)是建議性的策略，指南是強制執(zhí)行的策略B、程序為符合強制性指南的一般性建議C、程序是為符合強制性指南的一般性建議D、程序是為符合強制性標(biāo)準(zhǔn)的的說明【正確答案】：C4.在對業(yè)務(wù)持續(xù)性計劃進行驗證時，以下哪項最為重要A、數(shù)據(jù)備份準(zhǔn)時執(zhí)行B、備份站點已簽訂合約，并且在需要時可以使用C、人員安全計劃部署適當(dāng)D、保險【正確答案】：A5.下面那個不是信息安全風(fēng)險的要素？A、資產(chǎn)及其價值B、數(shù)據(jù)安全C、威脅D、控制措施【正確答案】：B6.下列哪一項是首席安全官的正常職責(zé)？A、定期審查和評價安全策略B、執(zhí)行用戶應(yīng)用系統(tǒng)和軟件測試與評價C、授予或廢除用戶對IT資源的訪問權(quán)限D(zhuǎn)、批準(zhǔn)對數(shù)據(jù)和應(yīng)用系統(tǒng)的訪問權(quán)限【正確答案】：B7.對系統(tǒng)安全需求進行評審，以下那類人不適合參與A、系統(tǒng)分析員B、業(yè)務(wù)代表C、安全專家D、合規(guī)代表【正確答案】：A8.如果將風(fēng)險管理分為風(fēng)險評估和風(fēng)險減緩，那么以下哪個不屬于風(fēng)險減緩的內(nèi)容？A、計算風(fēng)險B、選擇合適的安全措施C、實現(xiàn)安全措施D、接受殘余風(fēng)險【正確答案】：A9.制定應(yīng)急響應(yīng)策略主要需要考慮A、系統(tǒng)恢復(fù)能力等級劃分B、系統(tǒng)恢復(fù)資源的要求C、費用考慮D、人員考慮【正確答案】：C10.Linux系統(tǒng)一般使用GRUB作為啟動的MBR程序，GRUB如何配置才能放置用戶加入單用戶模式重置root密碼?A、刪除敏感的配置文件B、注釋grub.conf文件中的啟動項C、在對應(yīng)的啟動title上配置進入單用戶的密碼D、將GRUB程序使用非對稱秘鑰加密【正確答案】：C11.某組織的信息系統(tǒng)策略規(guī)定，終端用戶的ID在該用戶終止后90天內(nèi)失效。組織的信息安全內(nèi)審核員應(yīng)：A、報告該控制是有效的，因為用戶ID失效是符合信息系統(tǒng)策略規(guī)定的時間段的B、核實用戶的訪問權(quán)限是基于用所必需原則的C、建議改變這個信息系統(tǒng)策略，以保證用戶ID的失效與用戶終止一致D、建議終止用戶的活動日志能被定期審查【正確答案】：C12.下列哪個選項是描述*-完整性公理的？A、Biba模型中不能向上寫B(tài)iba模型中不能向下讀C、BLP模型中不能向下寫D、BLP模型中不能向上讀【正確答案】：C13.用于跟蹤路由的命令是A、nestatB、regeditC、systeminfoD、tracert【正確答案】：A14.一組將輸入轉(zhuǎn)化為輸出的相互關(guān)聯(lián)或相互作用的什么叫做過程？A、數(shù)據(jù)B、信息流C、活動D、模塊【正確答案】：C15.如果雙方使用的密鑰不同，從其中的一個密鑰很難推出另外一個密鑰，這樣的系統(tǒng)稱為A、常規(guī)加密系統(tǒng)B、單密鑰加密系統(tǒng)C、公鑰加密系統(tǒng)D、對稱加密系統(tǒng)【正確答案】：B16.在某個公司中,以下哪個角色最適合評估信息安全的有效性?A、公司的專家B、業(yè)務(wù)經(jīng)理C、IT審計員D、信息安全經(jīng)理【正確答案】：C17.應(yīng)急響應(yīng)哪一個階段用來降低事件再次發(fā)生的風(fēng)險A、遏制B、根除C、跟蹤D、恢復(fù)【正確答案】：D18.20世紀(jì)70－90年代，信息安全所面臨的威脅主要是非法訪問、惡意代碼和脆弱口令等，請問這是信息安全發(fā)展的什么階段？A、通信安全。B、計算機安全。C、信息系統(tǒng)安全。D、信息安全保障?！菊_答案】：B19.應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組主要職責(zé)包括：A、對應(yīng)急響應(yīng)工作的承諾和支持，包括發(fā)布正式文件、提供必要資源（人財物）等；B、審核并批準(zhǔn)應(yīng)急響應(yīng)計劃；C、負(fù)責(zé)組織的外部協(xié)作工作D、組織應(yīng)急響應(yīng)計劃演練【正確答案】：D20.信息資產(chǎn)分級的最關(guān)鍵要素是A、價值B、時間C、安全性D、所有者【正確答案】：A21.在軟件開發(fā)的需求定義階段，在軟件測試方面，以下哪一個選項被制定？A、覆蓋關(guān)鍵應(yīng)用的測試數(shù)據(jù)B、詳細(xì)的安全測試計劃C、質(zhì)量保證測試標(biāo)準(zhǔn)D、用戶驗收測試標(biāo)準(zhǔn)【正確答案】：A22.在進行風(fēng)險分析的時候，發(fā)現(xiàn)預(yù)測可能造成的風(fēng)險的經(jīng)濟損失時有一定困難。為了評估潛在的損失，應(yīng)該：A、計算相關(guān)信息資產(chǎn)的攤銷費用B、計算投資的回報C、應(yīng)用定性的方法進行評估D、花費必要的時間去評估具體的損失的金額【正確答案】：B23.以下哪個不是信息安全項目的需求來源A、國家和地方政府法律法規(guī)與合同的要求B、風(fēng)險評估的結(jié)果C、組織原則目標(biāo)和業(yè)務(wù)需要D、企業(yè)領(lǐng)導(dǎo)的個人意志【正確答案】：D24.以下哪個模型主要用于醫(yī)療資料的保護？A、Chinesewall模型BIBA模型Clark－Wilson模型D、BMA模型【正確答案】：B25.BIBA模型基于兩種規(guī)則來保障數(shù)據(jù)的完整性的保密性，分別是：A、上讀，主體不可讀安全級別高于它的數(shù)據(jù)；下寫，主體不可寫安全級別低于它的數(shù)據(jù)B、下讀，主體不可讀安全級別高于它的數(shù)據(jù)；上寫，主體不可寫安全級別低于它的數(shù)據(jù)C、上讀，主體不可讀安全級別低于它的數(shù)據(jù)；下寫，主體不可寫安全級別高于它的數(shù)據(jù)D、下讀，主體不可讀安全級別低于它的數(shù)據(jù)；上寫，主體不可寫安全級別高于它的數(shù)據(jù)【正確答案】：B26.誰對組織的信息安全負(fù)最終責(zé)任？A、安全經(jīng)理B、高管層C、IT經(jīng)理D、業(yè)務(wù)經(jīng)理【正確答案】：B27.降低企業(yè)所面臨的信息安全風(fēng)險，可能的處理手段不包括哪些A、通過良好的系統(tǒng)設(shè)計、及時更新系統(tǒng)補丁，降低或減少信息系統(tǒng)自身的缺陷B、通過數(shù)據(jù)備份、雙機熱備等冗余手段來提升信息系統(tǒng)的可靠性；C、建立必要的安全制度和部署必要的技術(shù)手段，防范黑客和惡意軟件的攻擊D、通過業(yè)務(wù)外包的方式，轉(zhuǎn)嫁所有的安全風(fēng)險【正確答案】：D28.以下哪些模型可以用來保護分級信息的機密性？A、Biba模型和Bell－Lapadula模型Bell－Lapadula模型和信息流模型C、Bell－Lapadula模型和Clark－Wilson模型D、Clark－Wilson模型和信息流模型BLP信息流模型ChineseWallBibaClark-wilsonBMA【正確答案】：B29.在風(fēng)險分析中，以下哪種說法是正確的？A、定量影響分析的主要優(yōu)點是它對風(fēng)險進行排序并對那些需要立即改善的環(huán)節(jié)進行標(biāo)識。B、定性影響分析可以很容易地對控制進行成本收益分析。C、定量影響分析不能用在對控制進行的成本收益分析中。D、定量影響分析的主要優(yōu)點是它對影響大小給出了一個度量【正確答案】：D30.相對于不存在災(zāi)難恢復(fù)計劃，和當(dāng)前災(zāi)難恢復(fù)計劃的成本對比，最接近的是：A、增加B、減少C、保持不變D、不可預(yù)知【正確答案】：B31.在計算可接受的關(guān)鍵業(yè)務(wù)流程恢復(fù)時間時A、只需考慮停機時間的成本B、需要分析恢復(fù)操作的成本C、停機時間成本和恢復(fù)操作成本都需要考慮D、可以忽略間接的停機成本【正確答案】：A32.對一項應(yīng)用的控制進行了檢查,將會評估A、該應(yīng)用在滿足業(yè)務(wù)流程上的效率B、任何被發(fā)現(xiàn)風(fēng)險影響C、業(yè)務(wù)流程服務(wù)的應(yīng)用D、應(yīng)用程序的優(yōu)化【正確答案】：B33.以下哪種做法是正確的“職責(zé)分離”做法？A、程序員不允許訪問產(chǎn)品數(shù)據(jù)文件B、程序員可以使用系統(tǒng)控制臺C、控制臺操作員可以操作磁帶和硬盤D、磁帶操作員可以使用系統(tǒng)控制臺【正確答案】：A34.以下對企業(yè)信息安全活動的組織描述不正確的是A、企業(yè)應(yīng)該在組織內(nèi)建立發(fā)起和控制信息安全實施的管理框架。B、企業(yè)應(yīng)該維護被外部合作伙伴或者客戶訪問和使用的企業(yè)信息處理設(shè)施和信息資產(chǎn)的安全。C、在沒有采取必要控制措施，包括簽署相關(guān)協(xié)議之前，不應(yīng)該授權(quán)給外部伙伴訪問。應(yīng)該讓外部伙伴意識到其責(zé)任和必須遵守的規(guī)定。D、企業(yè)在開展業(yè)務(wù)活動的過程中，應(yīng)該完全相信員工，不應(yīng)該對內(nèi)部員工采取安全管控措施【正確答案】：D35.為了有效的完成工作，信息系統(tǒng)安全部門員工最需要以下哪一項技能？A、人際關(guān)系技能B、項目管理技能C、技術(shù)技能D、溝通技能【正確答案】：D36.下面哪一個不是系統(tǒng)運行維護階段風(fēng)險管理的工作內(nèi)容A、安全運行和管理B、安全測試C、變更管理D、風(fēng)險再次評估【正確答案】：B37.職責(zé)分離的主要目的是？A、防止一個人從頭到尾整個控制某一交易或者活動B、不同部門的雇員不可以在一起工作C、對于所有的資源都必須有保護措施D、對于所有的設(shè)備都必須有操作控制措施【正確答案】：A38.以下哪一種環(huán)境控制適用于保護短期內(nèi)電力環(huán)境不穩(wěn)定條件下的計算機設(shè)備？A、電路調(diào)整器PowerlineconditionersB、電流浪涌防護裝置AsurgeprotectivedeviceC、替代電源D、不間斷供電【正確答案】：A39.信息安全風(fēng)險管理的對象不包括如下哪項A、信息自身B、信息載體C、信息網(wǎng)絡(luò)D、信息環(huán)境【正確答案】：C40.以下信息安全原則，哪一項是錯誤的？A、實施最小授權(quán)原則B、假設(shè)外部系統(tǒng)是不安全的C、消除所有級別的信息安全風(fēng)險D、最小化可信任的系統(tǒng)組件【正確答案】：B41.如果惡意開發(fā)人員想在代碼中隱藏邏輯炸1彈，什么預(yù)防方式最有效？A、源代碼周期性安全掃描B、源代碼人工審計C、滲透測試D、對系統(tǒng)的運行情況進行不間斷監(jiān)測記錄【正確答案】：B42.以下哪個標(biāo)準(zhǔn)是ISO27001的前身標(biāo)準(zhǔn)？A、BS5750BS7750C、BS7799D、BS15000【正確答案】：C43.一個組織的網(wǎng)絡(luò)設(shè)備的資產(chǎn)價值為100000元，一場意外火災(zāi)使其損壞了價值的25%,按照經(jīng)驗統(tǒng)計，這種火災(zāi)一般每5年發(fā)生一次，年預(yù)期損失ALE為A、5000元B、10000元C、25000元D、15000元【正確答案】：A44.擁有電子資金轉(zhuǎn)帳銷售點設(shè)備的大型連鎖商場，有中央通信處理器連接銀行網(wǎng)絡(luò)，對于通信處理機，下面哪一項是最好的災(zāi)難恢復(fù)計劃。A、每日備份離線存儲B、選擇在線備份程序C、安裝雙通訊設(shè)備D、在另外的網(wǎng)絡(luò)節(jié)點選擇備份程序【正確答案】：D45.資產(chǎn)清單可包括？A、服務(wù)及無形資產(chǎn)B、信息資產(chǎn)C、人員D、以上所有【正確答案】：D46.在準(zhǔn)備災(zāi)難恢復(fù)計劃時下列哪項應(yīng)該首先實施？A、做出恢復(fù)策略B、執(zhí)行業(yè)務(wù)影響分析C、明確軟件系統(tǒng)、硬件和網(wǎng)絡(luò)組件結(jié)構(gòu)D、委任具有明確的雇員、角色和層級的恢復(fù)團隊【正確答案】：D47.在對Linux系統(tǒng)中dir目錄及其子目錄進行權(quán)限權(quán)限統(tǒng)一調(diào)整時所使用的命令是什么？A、rm-fr-755/dirB、ls-755/dirC、chmod755/dir/*D、chmod-R755/dir【正確答案】：D48.信息安全審核是指通過審查、測試、評審等手段，檢驗風(fēng)險評估和風(fēng)險控制的結(jié)果是否滿足信息系統(tǒng)的安全要求，這個工作一般由誰完成？A、機構(gòu)內(nèi)部人員B、外部專業(yè)機構(gòu)C、獨立第三方機構(gòu)D、以上皆可【正確答案】：D49.對于信息安全策略的描述錯誤的是？A、信息安全策略是以風(fēng)險管理為基礎(chǔ)，需要做到面面俱到，杜絕風(fēng)險的存在。B、信息安全策略是在有限資源的前提下選擇最優(yōu)的風(fēng)險管理對策。C、防范不足會造成直接的損失；防范過多又會造成間接的損失。D、信息安全保障需要從經(jīng)濟、技術(shù)、管理的可行性和有效性上做出權(quán)衡和取舍?！菊_答案】：A50.管理評審的最主要目的是A、確認(rèn)信息安全工作是否得到執(zhí)行B、檢查信息安全管理體系的有效性C、找到信息安全的漏洞D、考核信息安全部門的工作是否滿足要求【正確答案】：B51.BLP模型基于兩種規(guī)則來保障數(shù)據(jù)的機秘度與敏感度，它們是什么？A、下讀，主體不可讀安全級別高于它的數(shù)據(jù)；上寫，主體不可寫安全級別低于它的數(shù)據(jù)B、上讀，主體不可讀安全級別高于它的數(shù)據(jù)；下寫，主體不可寫安全級別低于它的數(shù)據(jù)C、上讀，主體不可讀安全級別低于它的數(shù)據(jù)；下寫，主體不可寫安全級別高于它的數(shù)據(jù)D、下讀，主體不可讀安全級別低于它的數(shù)據(jù)；上寫，主體不可寫安全級別高于它的數(shù)據(jù)【正確答案】：B52.我國信息安全事件分級不考慮下列哪一個要素？A、信息系統(tǒng)的重要程度B、系統(tǒng)損失C、社會影響D、業(yè)務(wù)損失【正確答案】：A53.惡意代碼的第一個雛形是？A、磁芯大戰(zhàn)B、爬行者C、清除者D、BRAIN【正確答案】：A54.下列角色誰應(yīng)該承擔(dān)決定信息系統(tǒng)資源所需的保護級別的主要責(zé)任？A、信息系統(tǒng)安全專家B、業(yè)務(wù)主管C、安全主管D、系統(tǒng)審查員【正確答案】：B55.當(dāng)發(fā)生災(zāi)難時，以下哪一項能保證業(yè)務(wù)交易的有效性A、從當(dāng)前區(qū)域外的地方持續(xù)每小時1次地傳送交易磁帶B、從當(dāng)前區(qū)域外的地方持續(xù)每天1次地傳送交易磁帶C、抓取交易以整合存儲設(shè)備D、從當(dāng)前區(qū)域外的地方實時傳送交易磁帶【正確答案】：C56.以下哪項不屬于造成信息安全問題的自然環(huán)境因素？A、縱火。B、地震。C、極端天氣。D、洪水。【正確答案】：A57.個人問責(zé)不包括下列哪一項？A、訪問規(guī)則。B、策略與程序。C、審計跟蹤。D、唯一身份標(biāo)識符?！菊_答案】：B58.在信息安全策略體系中，下面哪一項屬于計算機或信息安全的強制性規(guī)則？A、標(biāo)準(zhǔn)（Standard）B、安全策略（Securitypolicy）C、方針（Guideline）D、流程（Procedure）【正確答案】：A59.以下哪一個不是OSI安全體系結(jié)構(gòu)中的安全機制A、數(shù)字簽名B、路由控制C、數(shù)據(jù)交換D、抗抵賴【正確答案】：D60.以下對信息安全管理的描述錯誤的是A、信息安全管理的核心就是風(fēng)險管理B、人們常說，三分技術(shù)，七分管理，可見管理對信息安全的重要性C、安全技術(shù)是信息安全的構(gòu)筑材料，安全管理是真正的粘合劑和催化劑D、信息安全管理工作的重點是信息系統(tǒng)，而不是人【正確答案】：D61.有關(guān)信息安全事件的描述不正確的是A、信息安全事件的處理應(yīng)該分類、分級B、信息安全事件的數(shù)量可以反映企業(yè)的信息安全管控水平C、某個時期內(nèi)企業(yè)的信息安全事件的數(shù)量為零，這意味著企業(yè)面臨的信息安全風(fēng)險很小D、信息安全事件處理流程中的一個重要環(huán)節(jié)是對事件發(fā)生的根源的追溯，以吸取教訓(xùn)、總結(jié)經(jīng)驗，防止類似事情再次發(fā)生【正確答案】：C62.下面哪個組合不是是信息資產(chǎn)A、硬件、軟件、文檔資料B、關(guān)鍵人員C、組織提供的信息服務(wù)D、桌子、椅子【正確答案】：D63.定義ISMS范圍時，下列哪項不是考慮的重點A、組織現(xiàn)有的部門B、信息資產(chǎn)的數(shù)量與分布C、信息技術(shù)的應(yīng)用區(qū)域D、IT人員數(shù)量【正確答案】：D64.下面哪一項不是ISMSPlan階段的工作？A、定義ISMS方針B、實施信息安全風(fēng)險評估C、實施信息安全培訓(xùn)D、定義ISMS范圍【正確答案】：C65.一個公司解雇了一個數(shù)據(jù)庫管理員,并且解雇時立刻取消了數(shù)據(jù)庫管理員對公司所有系統(tǒng)的訪問權(quán),但是數(shù)據(jù)管理員威脅說數(shù)據(jù)庫在兩個月內(nèi)將被刪除，除非公司付他一大筆錢。數(shù)據(jù)管理員最有可能采用下面哪種手段刪除數(shù)據(jù)庫？A、放置病毒B、蠕蟲感染C、DoS攻擊D、邏輯炸1彈攻擊【正確答案】：D66.Kerberos可以防止以下哪種攻擊？A、隧道攻擊。B、重放攻擊。C、破壞性攻擊。D、處理攻擊?！菊_答案】：B67.在完成了業(yè)務(wù)影響分析（BIA）后，下一步的業(yè)務(wù)持續(xù)性計劃應(yīng)該是什么A、測試和維護業(yè)務(wù)持續(xù)性計劃B、制定一個針對性計劃C、制定恢復(fù)策略D、實施業(yè)務(wù)持續(xù)性計劃【正確答案】：C68.如果只能使用口令遠(yuǎn)程認(rèn)證，以下哪種方案安全性最好？A、高質(zhì)量靜態(tài)口令，散列保護傳輸B、高質(zhì)量靜態(tài)口令，固定密鑰加密保護傳輸C、動態(tài)隨機口令，明文傳輸D、高質(zhì)量靜態(tài)口令，增加隨機值，明文傳輸【正確答案】：C69.CA的核心職責(zé)是A、簽發(fā)和管理證書B、審核用戶真實信息C、發(fā)布黑名單D、建立實體鏈路安全【正確答案】：D70.組織的安全策略可以是廣義的，也可以是狹義的，下面哪一條是屬于廣義的安全策略？A、應(yīng)急計劃B、遠(yuǎn)程辦法C、計算機安全程序D、電子郵件個人隱私【正確答案】：C71.基本的計算機安全需求不包括下列哪一條：A、安全策略和標(biāo)識B、絕對的保證和持續(xù)的保護C、身份鑒別和落實責(zé)任D、合理的保證和連續(xù)的保護【正確答案】：B72.風(fēng)險評估的過程中，首先要識別信息資產(chǎn)，資產(chǎn)識別時，以下哪個不是需要遵循的原則？A、只識別與業(yè)務(wù)及信息系統(tǒng)有關(guān)的信息資產(chǎn)，分類識別B、所有公司資產(chǎn)都要識別C、可以從業(yè)務(wù)流程出發(fā)，識別各個環(huán)節(jié)和階段所需要以及所產(chǎn)出的關(guān)鍵資產(chǎn)D、資產(chǎn)識別務(wù)必明確責(zé)任人、保管者和用戶【正確答案】：B73.以下有關(guān)通信與日常操作描述不正確的是？A、信息系統(tǒng)的變更應(yīng)該是受控的B、企業(yè)在崗位設(shè)計和人員工作分配時應(yīng)該遵循職責(zé)分離的原則C、移動介質(zhì)使用是一個管理難題，應(yīng)該采取有效措施，防止信息泄漏D、所有日常操作按照最佳實踐來進行操作，無需形成操作手冊。【正確答案】：C74.恢復(fù)階段的行動一般包括A、建立臨時業(yè)務(wù)處理能力B、修復(fù)原系統(tǒng)損害C、在原系統(tǒng)或新設(shè)施中恢復(fù)運行業(yè)務(wù)能力D、避免造成更大損失【正確答案】：B75.下面哪一項組成了CIA三元組？A、保密性，完整性，保障B、保密性，完整性，可用性C、保密性，綜合性，保障D、保密性，綜合性，可用性【正確答案】：B76.應(yīng)急響應(yīng)計劃文檔不應(yīng)該A、分發(fā)給公司所有人員B、分發(fā)給參與應(yīng)急響應(yīng)工作的所有人員C、具有多份拷貝在不同的地點保存D、由專人負(fù)責(zé)保存與分發(fā)【正確答案】：A77.有關(guān)人員安全管理的描述不正確的是？A、人員的安全管理是企業(yè)信息安全管理活動中最難的環(huán)節(jié)。B、重要或敏感崗位的人員入職之前，需要做好人員的背景檢查。C、如職責(zé)分離難以實施，企業(yè)對此無能為力，也無需做任何工作。D、人員離職之后，必須清除離職員工所有的邏輯訪問帳號。【正確答案】：C78.在TCP中的六個控制位哪一個是用來請求同步的A、SYNB、ACKC、FIND、RST【正確答案】：A79.當(dāng)客戶需要訪問組織信息資產(chǎn)時，下面正確的做法是？A、應(yīng)向其傳達(dá)信息安全要求及應(yīng)注意的信息安全問題。B、盡量配合客戶訪問信息資產(chǎn)。C、不允許客戶訪問組織信息資產(chǎn)。D、不加干涉，由客戶自己訪問信息資產(chǎn)?！菊_答案】：A80.以下哪項不是記錄控制的要求？A、清晰、易于識別和檢索B、記錄的標(biāo)識、貯存、保護、檢索、保存期限和處置所需的控制措施應(yīng)形成文件并實施C、建立并保持，以提供證據(jù)D、記錄應(yīng)盡可能的達(dá)到最詳細(xì)【正確答案】：D81.下列哪項不是Kerberos密鑰分發(fā)服務(wù)（KDS）的一部分？A、Kerberos票證授予服務(wù)器（TGS）。B、Kerberos身份驗證服務(wù)器（KAS）。C、存放用戶名和密碼的數(shù)據(jù)庫。D、Kerberos票證吊銷服務(wù)器（TRS）?！菊_答案】：D82.以下哪一個是包過濾防火墻的優(yōu)點？A、可以與認(rèn)證、授權(quán)等安全手段方便的集成。B、與應(yīng)用層無關(guān)，無須改動任何客戶機和主機的應(yīng)用程序，易于安裝和使用。C、提供透明的加密機制D、可以給單個用戶授權(quán)【正確答案】：C83.PDCA特征的描述不正確的是A、順序進行，周而復(fù)始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標(biāo)的達(dá)成都是分解成多個小目標(biāo)，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風(fēng)險管理的思路不符合PDCA的問題解決思路【正確答案】：D84.給計算機系統(tǒng)的資產(chǎn)分配的記號被稱為什么A、安全屬性B、安全特征C、安全標(biāo)記D、安全級別【正確答案】：A85.有關(guān)信息安全事件的描述不正確的是？A、信息安全事件的處理應(yīng)該分類、分級B、信息安全事件的數(shù)量可以反映企業(yè)的信息安全管控水平C、對于一些信息安全隱患，如果還沒造成損失，就沒必要進行報告。D、信息安全事件處理流程中的一個重要環(huán)節(jié)是對事件發(fā)生的根源的追溯，以吸取教訓(xùn)、總結(jié)經(jīng)驗，防止類似事情再次發(fā)生【正確答案】：C86.某個機構(gòu)的網(wǎng)絡(luò)遭受多次入侵攻擊，下面那一種技術(shù)可以提前檢測到這種行為？A、殺毒軟件B、包過濾路由器C、蜜罐D(zhuǎn)、服務(wù)器加固【正確答案】：D87.負(fù)責(zé)制定、執(zhí)行和維護內(nèi)部安全控制制度的責(zé)任在于:A、IS審計員.B、管理層.C、外部審計師.D、程序開發(fā)人員.【正確答案】：B88.在設(shè)計某公司技術(shù)性的恢復(fù)策略時,以下哪個方面是安全人員最為關(guān)注的?A、目標(biāo)恢復(fù)時間RTOB、業(yè)務(wù)影響分析C、從嚴(yán)重災(zāi)難中恢復(fù)的能力D、目標(biāo)恢復(fù)點RPO【正確答案】：B89.在一個分布式環(huán)境中，以下哪一項能夠最大程度減輕服務(wù)器故障的影響？A、冗余路徑B、(服務(wù)器)集群C、撥號備份鏈路D、備份電源【正確答案】：B90.合適的信息資產(chǎn)存放的安全措施維護是誰的責(zé)任A、安全管理員B、系統(tǒng)管理員C、數(shù)據(jù)和系統(tǒng)所有者D、系統(tǒng)運行組【正確答案】：C91.在確定威脅的可能性時，可以不考慮以下哪個？A、威脅源B、潛在弱點C、現(xiàn)有控制措施D、攻擊所產(chǎn)生的負(fù)面影響【正確答案】：D92.哪一項不是業(yè)務(wù)影響分析（BIA）的工作內(nèi)容A、確定應(yīng)急響應(yīng)的恢復(fù)目標(biāo)B、確定公司的關(guān)鍵系統(tǒng)和業(yè)務(wù)C、確定業(yè)務(wù)面臨風(fēng)險時的潛在損失和影響D、確定支持公司運行的關(guān)鍵系統(tǒng)【正確答案】：C93.以下哪一種身份驗證機制為移動用戶帶來驗證問題？A、可重復(fù)使用的密碼機制B、一次性口令機制。C、挑戰(zhàn)響應(yīng)機制。D、基于IP地址的機制【正確答案】：D94.在未受保護的通信線路上傳輸數(shù)據(jù)和使用弱口令是一種？A、弱點B、威脅C、可能性D、影響【正確答案】：A95.有關(guān)定性風(fēng)險評估和定量風(fēng)險評估的區(qū)別，以下描述不正確的是A、定性風(fēng)險評估比較主觀，而定量風(fēng)險評估更客觀B、定性風(fēng)險評估容易實施，定量風(fēng)險評估往往數(shù)據(jù)準(zhǔn)確性很難保證C、定性風(fēng)險評估更成熟，定量風(fēng)險評估還停留在理論階段D、定性風(fēng)險評估和定量風(fēng)險評估沒有本質(zhì)區(qū)別，可以通用【正確答案】：D96.以下哪些不是介質(zhì)類資產(chǎn)：A、紙質(zhì)文檔B、存儲介質(zhì)C、軟件介質(zhì)D、憑證【正確答案】：A97.組織與供應(yīng)商協(xié)商服務(wù)水平協(xié)議，下面哪一個最先發(fā)生？A、制定可行性研究.B、檢查是否符合公司策略.C、草擬服務(wù)水平協(xié)議.D、草擬服務(wù)水平要求【正確答案】：B98.下面哪一個是定義深度防御安全原則的例子？A、使用由兩個不同提供商提供的防火墻檢查進入網(wǎng)絡(luò)的流量B、在主機上使用防火墻和邏輯訪問控制來控制進入網(wǎng)絡(luò)的流量C、在數(shù)據(jù)中心建設(shè)中不使用明顯標(biāo)志D、使用兩個防火墻檢查不同類型進入網(wǎng)絡(luò)的流量【正確答案】：A99.干管滅火器系統(tǒng)使用A、水，但是只有在發(fā)現(xiàn)火警以后水才進入管道B、水，但是水管中有特殊的防水劑CO2代替水D、哈龍代替水【正確答案】：A100.以下關(guān)于軟件安全測試說法正確的是？A、軟件安全測試就是黑盒測試。B、Fuzz測試是經(jīng)常采用的安全測試方法之一。C、軟件安全測試關(guān)注的是軟件的功能。D、軟件安全測試可以發(fā)現(xiàn)軟件中產(chǎn)生的所有安全問題。【正確答案】：B101.一個備份站點包括電線、空調(diào)和地板，但不包括計算機和通訊設(shè)備，那么它屬于A、冷站B、溫站C、直線站點D、鏡像站點【正確答案】：C102.下面安全策略的特性中，不包括哪一項？A、指導(dǎo)性B、靜態(tài)性C、可審核性D、非技術(shù)性【正確答案】：B103.以下發(fā)現(xiàn)屬于Linux系統(tǒng)嚴(yán)重威脅的是什么？A、發(fā)現(xiàn)不明的SUID可執(zhí)行文件B、發(fā)現(xiàn)應(yīng)用的配置文件被管理員變更C、發(fā)現(xiàn)有惡意程序在實時的攻擊系統(tǒng)D、發(fā)現(xiàn)防護程序收集了很多黑客攻擊的源地址【正確答案】：A104.對于Linux操作系統(tǒng)中shadow文件說法不正確的是？A、shadow文件可以指定用戶的目錄B、shadow文件中定義了密碼的使用期限C、讀取shadow文件能夠發(fā)現(xiàn)秘鑰的加密方法D、shadow文件對于任何人是不可以讀取的【正確答案】：A105.以下哪種訪問控制策略需要安全標(biāo)簽？A、基于角色的策略B、基于標(biāo)識的策略C、用戶指向的策略D、強制訪問控制策略【正確答案】：C106.以下哪項行為可能使用嗅探泄露系統(tǒng)的管理員密碼？A、使用root用戶訪問FTP程序B、使用root用戶連接SSH服務(wù)C、使用root進行SCP文件傳輸D、在本地使用root用戶登錄【正確答案】：A107.“如果一條鏈路發(fā)生故障，那么只有和該鏈路相連的終端才會受到影響”，這一說法是適合于以下哪一種拓?fù)浣Y(jié)構(gòu)的網(wǎng)絡(luò)的？A、星型B、樹型C、環(huán)型D、復(fù)合型【正確答案】：A108.戴明循環(huán)執(zhí)行順序，下面哪項正確？A、PLAN-ACT-DO-CHECKB、CHECK-PLAN-ACT-DOC、PLAN-DO-CHECK-ACTD、ACT-PLAN-CHECK-DO【正確答案】：C109.以下哪種情形下最適合使用數(shù)據(jù)鏡像來作為恢復(fù)策略？A、高的災(zāi)難容忍度B、高的恢復(fù)時間目標(biāo)(RTO)C、低的恢復(fù)點目標(biāo)(RPO)D、高的恢復(fù)點目標(biāo)(RPO)【正確答案】：A110.下列哪一項是一個適當(dāng)?shù)臏y試方法適用于業(yè)務(wù)連續(xù)性計劃(BCP)?A、試運行B、紙面測試C、單元D、系統(tǒng)【正確答案】：D111.通常最好由誰來確定系統(tǒng)和數(shù)據(jù)的敏感性級別？A、審計師B、終端用戶C、擁有者D、系統(tǒng)分析員【正確答案】：C112.以下哪一項是兩家公司為災(zāi)難恢復(fù)簽訂互惠協(xié)議而面臨的最大風(fēng)險？A、各自的發(fā)展將導(dǎo)致(互相間)軟硬件不兼容。B、當(dāng)需要時資源未必可用。C、恢復(fù)計劃無法演練。D、各家公司的安全基礎(chǔ)架構(gòu)可能不同?！菊_答案】：C113.從風(fēng)險管理的角度，以下哪種方法不可??？A、接受風(fēng)險B、分散風(fēng)險C、轉(zhuǎn)移風(fēng)險D、拖延風(fēng)險【正確答案】：D114.根據(jù)組織業(yè)務(wù)連續(xù)性計劃（BCP）的復(fù)雜程度，可以建立多個計劃來滿足業(yè)務(wù)連續(xù)和和災(zāi)難恢復(fù)的各方面。在這種情況下，有必要：A、每個計劃和其它計劃保持協(xié)調(diào)一致B、所有的計劃要整合到一個計劃中C、每個計劃和其他計劃相互依賴D、指定所有計劃實施的順序【正確答案】：A115.在信息處理設(shè)施（IPF）的硬件更換之后，業(yè)務(wù)連續(xù)性流程經(jīng)理首先應(yīng)該實施下列哪項活動？A、驗證與熱門站點的兼容性B、檢查實施報告C、進行災(zāi)難恢復(fù)計劃的演練D、更新信息資產(chǎn)清單【正確答案】：B116.建立應(yīng)急響應(yīng)計劃時候第一步應(yīng)該做什么？A、建立備份解決方案B、實施業(yè)務(wù)影響分析C、建立業(yè)務(wù)恢復(fù)計劃D、確定應(yīng)急人員名單【正確答案】：D117.以下哪些不屬于敏感性標(biāo)識A、不干貼方式B、印章方式C、電子標(biāo)簽D、個人簽名【正確答案】：D118.那種測試結(jié)果對開發(fā)人員的影響最大A、單元測試和集成測試B、系統(tǒng)測試C、驗收測試D、滲透測試【正確答案】：C119.降低企業(yè)所面臨的信息安全風(fēng)險的手段，以下說法不正確的是？A、通過良好的系統(tǒng)設(shè)計、及時更新系統(tǒng)補丁，降低或減少信息系統(tǒng)自身的缺陷B、通過數(shù)據(jù)備份、雙機熱備等冗余手段來提升信息系統(tǒng)的可靠性；C、建立必要的安全制度和部署必要的技術(shù)手段，防范黑客和惡意軟件的攻擊D、通過業(yè)務(wù)外包的方式，轉(zhuǎn)嫁所有的安全風(fēng)險責(zé)任【正確答案】：D120.在實施風(fēng)險分析期間，識別出威脅和潛在影響后應(yīng)該A、識別和評定管理層使用的風(fēng)險評估方法B、識別信息資產(chǎn)和基本系統(tǒng)C、揭示對管理的威脅和影響D、識別和評價現(xiàn)有控制【正確答案】：D121.在部署風(fēng)險管理程序的時候，哪項應(yīng)該最先考慮到：A、組織威脅，弱點和風(fēng)險概括的理解B、揭露風(fēng)險的理解和妥協(xié)的潛在后果C、基于潛在結(jié)果的風(fēng)險管理優(yōu)先級的決心D、風(fēng)險緩解戰(zhàn)略足夠在一個可以接受的水平上保持風(fēng)險的結(jié)果【正確答案】：A122.對緩沖區(qū)溢出攻擊預(yù)防沒有幫助的做法包括A、輸入?yún)?shù)過濾，安全編譯選項B、操作系統(tǒng)安全機制、禁止使用禁用APIC、安全編碼教育D、滲透測試【正確答案】：D123.TCP/IP協(xié)議的4層概念模型是？A、應(yīng)用層、傳輸層、網(wǎng)絡(luò)層和網(wǎng)絡(luò)接口層B、應(yīng)用層、傳輸層、網(wǎng)絡(luò)層和物理層C、應(yīng)用層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層和網(wǎng)絡(luò)接口層D、會話層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層和網(wǎng)絡(luò)接口層【正確答案】：A124.下面哪一項不是風(fēng)險評估的過程？A、風(fēng)險因素識別B、風(fēng)險程度分析C、風(fēng)險控制選擇D、風(fēng)險等級評價【正確答案】：C125.以下哪項活動對安全編碼沒有幫助A、代碼審計B、安全編碼規(guī)范C、編碼培訓(xùn)D、代碼版本管理【正確答案】：D126.減少與釣魚相關(guān)的風(fēng)險的最有效控制是：A、系統(tǒng)的集中監(jiān)控B、釣魚的信號包括在防病毒軟件中C、在內(nèi)部網(wǎng)絡(luò)上發(fā)布反釣魚策略D、對所有用戶進行安全培訓(xùn)【正確答案】：D127.下面哪一個不是系統(tǒng)規(guī)劃階段風(fēng)險管理的工作內(nèi)容A、明確安全總體方針B、明確系統(tǒng)安全架構(gòu)C、風(fēng)險評價準(zhǔn)則達(dá)成一致D、安全需求分析【正確答案】：B128.如何對信息安全風(fēng)險評估的過程進行質(zhì)量監(jiān)控和管理？A、對風(fēng)險評估發(fā)現(xiàn)的漏洞進行確認(rèn)B、針對風(fēng)險評估的過程文檔和結(jié)果報告進行監(jiān)控和審查C、對風(fēng)險評估的信息系統(tǒng)進行安全調(diào)查D、對風(fēng)險控制測措施有有效性進行測試【正確答案】：B129.Kerberos依賴什么加密方式？A、ElGamal密碼加密B、秘密密鑰加密。C、Blowfish加密。D、公鑰加密?！菊_答案】：B130.應(yīng)急響應(yīng)計劃應(yīng)該多久測試一次？A、10年B、當(dāng)基礎(chǔ)環(huán)境或設(shè)施發(fā)生變化時C、2年D、當(dāng)組織內(nèi)業(yè)務(wù)發(fā)生重大的變更時【正確答案】：D131.在Linux操作系統(tǒng)中，為了授權(quán)用戶具有管理員的某些個性需求的權(quán)限所采取的措施是什么？A、告訴其他用戶root密碼B、將普通用戶加入到管理員組C、使用visudo命令授權(quán)用戶的個性需求D、創(chuàng)建單獨的虛擬賬戶【正確答案】：C132.審核在實施審核時，所使用的檢查表不包括的內(nèi)容有？A、審核依據(jù)B、審核證據(jù)記錄C、審核發(fā)現(xiàn)D、數(shù)據(jù)收集方法和工具【正確答案】：C133.以下關(guān)于UNIX引導(dǎo)過程描述正確的是？A、"1.開始引導(dǎo)裝入程序(bootloader)2.開始其他系統(tǒng)“自發(fā)的”進程3.內(nèi)核初始化并運行內(nèi)核程序4.運行系統(tǒng)起始腳本B、"1.開始引導(dǎo)裝入程序(bootloader)2.內(nèi)核初始化并運行內(nèi)核程序3.開始其他系統(tǒng)“自發(fā)的”進程4.運行系統(tǒng)起始腳本C、"1.開始引導(dǎo)裝入程序(bootloader)2.內(nèi)核初始化并運行內(nèi)核程序3.運行系統(tǒng)起始腳本4.開始其他系統(tǒng)“自發(fā)的”進程D、"1.內(nèi)核初始化并運行內(nèi)核程序2.開始引導(dǎo)裝入程序(bootloader)3.開始其他系統(tǒng)“自發(fā)的”進程4.運行系統(tǒng)起始腳本【正確答案】：B134.應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組組長應(yīng)由以下哪個選項擔(dān)任？A、最高管理層B、信息技術(shù)部門領(lǐng)導(dǎo)C、業(yè)務(wù)部門領(lǐng)導(dǎo)D、外部專家【正確答案】：D135.安全管理評估工具通常不包括A、調(diào)查問卷B、檢查列表C、訪談提綱D、漏洞掃描【正確答案】：D136.組織在制定災(zāi)難恢復(fù)計劃時，應(yīng)該最先針對以下哪點制定A、所有信息系統(tǒng)流程B、所有應(yīng)用系統(tǒng)流程C、信息系統(tǒng)經(jīng)理指派的路程D、業(yè)務(wù)經(jīng)理定義的流程優(yōu)先級【正確答案】：C137.所有進入物理安全區(qū)域的人員都需經(jīng)過A、考核B、授權(quán)C、批準(zhǔn)D、認(rèn)可【正確答案】：C138.當(dāng)建立一個業(yè)務(wù)持續(xù)性計劃時，使用下面哪一個工具用來理解組織業(yè)務(wù)流程？A、業(yè)務(wù)持續(xù)性自我評估B、資源的恢復(fù)分析C、風(fēng)險評估和業(yè)務(wù)影響評估D、差異分析【正確答案】：B139.對業(yè)務(wù)應(yīng)用系統(tǒng)授權(quán)訪問的責(zé)任屬于：A、數(shù)據(jù)所有者B、安全管理員C、IT安全經(jīng)理D、申請人的直線主管【正確答案】：A140.信息的存在及傳播方式A、存在于計算機、磁帶、紙張等介質(zhì)中B、記憶在人的大腦里C、通過網(wǎng)絡(luò)打印機復(fù)印機等方式進行傳播D、通過投影儀顯示【正確答案】：D141.降低風(fēng)險的控制措施有很多，下面哪一個不屬于降低風(fēng)險的措施？A、在網(wǎng)絡(luò)上部署防火墻B、對網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)進行加密C、制定機房安全管理制度D、購買物理場所的財產(chǎn)保險【正確答案】：D142.第一個建立電子政務(wù)標(biāo)準(zhǔn)的國家是？A、英國。B、美國。C、德國。D、俄羅斯?！菊_答案】：C143.由于病毒攻擊、非法入侵等原因，校園網(wǎng)整體癱瘓，或者校園網(wǎng)絡(luò)中心全部DNS、主WEB服務(wù)器不能正常工作；由于病毒攻擊、非法入侵、人為破壞或不可抗力等原因，造成校園網(wǎng)出口中斷，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：B144.安全技術(shù)評估工具通常不包括A、漏洞掃描工具B、入侵檢測系統(tǒng)C、調(diào)查問卷D、滲透測試工具【正確答案】：C145.當(dāng)選擇的控制措施成本高于風(fēng)險帶來的損失時，應(yīng)考慮A、降低風(fēng)險B、轉(zhuǎn)移風(fēng)險C、避免風(fēng)險D、接受風(fēng)險【正確答案】：D146.校園網(wǎng)內(nèi)由于病毒攻擊、非法入侵等原因，200臺以內(nèi)的用戶主機不能正常工作，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：D147.一個組織將制定一項策略以定義了禁止用戶訪問的WEB站點類型。為強制執(zhí)行這一策略，最有效的技術(shù)是什么？A、狀態(tài)檢測防火墻B、WE內(nèi)容過濾器C、WEB緩存服務(wù)器D、應(yīng)該代理服務(wù)器【正確答案】：B148.以下哪項不屬于信息系統(tǒng)安全保障模型包含的方面？A、保障要素。B、生命周期。C、安全特征。D、通信安全?！菊_答案】：D149.以下哪項不屬于PDCA循環(huán)的特點？A、按順序進行，它靠組織的力量來推動，像車輪一樣向前進，周而復(fù)始，不斷循環(huán)B、組織中的每個部分，甚至個人，均可以PDCA循環(huán)，大環(huán)套小環(huán)，一層一層地解決問題C、每通過一次PDCA循環(huán)，都要進行總結(jié)，提出新目標(biāo)，再進行第二次PDCA循環(huán)D.組織中的每個部分，不包括個人，均可以PDCA循環(huán)，大環(huán)套小環(huán)，一層一層地解決問題【正確答案】：D150.PDCA特征的描述不正確的是A、順序進行，周而復(fù)始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標(biāo)的達(dá)成都是分解成多個小目標(biāo)，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風(fēng)險管理的思路不符合PDCA的問題解決思路【正確答案】：D151.信息安全管理措施不包括：A、安全策略B、物理和環(huán)境安全C、訪問控制D、安全范圍【正確答案】：D152.以下哪些不是無形資產(chǎn)A、客戶關(guān)系B、電子數(shù)據(jù)C、商業(yè)信譽D、企業(yè)品牌【正確答案】：B153.以下哪一個不是安全審計需要具備的功能？A、記錄關(guān)鍵事件B、提供可集中處理審計日志的數(shù)據(jù)形式C、實時安全報警D、審計日志訪問控制【正確答案】：D154.在數(shù)據(jù)中心使用穩(wěn)壓電源，以保證:A、硬件免受電源浪涌B、主電源被破壞后的完整性維護C、主電源失效后可以立即使用D、針對長期電力波動的硬件包含【正確答案】：A155.從業(yè)務(wù)角度出發(fā)，最大的風(fēng)險可能發(fā)生在那個階段A、立項可行性分析階段B、系統(tǒng)需求分析階段C、架構(gòu)設(shè)計和編碼階段D、投產(chǎn)上線階段【正確答案】：A156.下面哪一個不是對點擊劫持的描述A、是一種惡意攻擊技術(shù)，用于跟蹤網(wǎng)絡(luò)用戶并獲取私密信息B、通過讓用戶來點擊看似正常的網(wǎng)頁來遠(yuǎn)程控制其電腦C、可以用嵌入代碼或文本的形式出現(xiàn)，在用戶毫不知情的情況下完成攻擊D、可以對方網(wǎng)絡(luò)癱瘓【正確答案】：A157.下面哪一項不是ISMSCheck階段的工作？A、安全事件響應(yīng)B、安全內(nèi)部審核C、管理評審D、更新安全計劃【正確答案】：A158.有關(guān)認(rèn)證和認(rèn)可的描述，以下不正確的是A、認(rèn)證就是第三方依據(jù)程序?qū)Ξa(chǎn)品、過程、服務(wù)符合規(guī)定要求給予書面保證（合格證書）B、根據(jù)對象的不同，認(rèn)證通常分為產(chǎn)品認(rèn)證和體系認(rèn)證C、認(rèn)可是由某權(quán)威機構(gòu)依據(jù)程序?qū)δ硤F體或個人具有從事特定任務(wù)的能力給予的正式承認(rèn)D、企業(yè)通過ISO27001認(rèn)證則說明企業(yè)符合ISO27001和ISO27002標(biāo)準(zhǔn)的要求【正確答案】：D159.一個組織已經(jīng)創(chuàng)建了一個策略來定義用戶禁止訪問的網(wǎng)站類型。哪個是最有效的技術(shù)來達(dá)成這個策略？A.狀態(tài)檢測防火墻B.網(wǎng)頁內(nèi)容過濾C、網(wǎng)頁緩存服務(wù)器D.代理服務(wù)器【正確答案】：B160.信息安全管理工作小組可就哪些問題向外部安全專家或特定外部組織尋求信息安全方面的建議？A、相關(guān)安全信息的最佳實踐和最新狀態(tài)知識。B、盡早接受到關(guān)于攻擊和脆弱點的警告、建議和補丁C、分享和交換關(guān)于新的技術(shù)、產(chǎn)品、威脅或脆弱點信息D、以上都是【正確答案】：D161.以下對信息安全描述不正確的是A、信息安全的基本要素包括保密性、完整性和可用性B、信息安全就是保障企業(yè)信息系統(tǒng)能夠連續(xù)、可靠、正常地運行C、信息安全就是不出安全事故/事件D、信息安全風(fēng)險是科技風(fēng)險的一部分【正確答案】：C162.以下關(guān)于備份站點的說法哪項是正確的A、應(yīng)與原業(yè)務(wù)系統(tǒng)具有同樣的物理訪問控制措施B、應(yīng)容易被找到以便于在災(zāi)難發(fā)生時以備緊急情況的需要C、應(yīng)部署在離原業(yè)務(wù)系統(tǒng)所在地較近的地方D、不需要具有和原業(yè)務(wù)系統(tǒng)相同的環(huán)境監(jiān)控等級【正確答案】：A163.信息安全政策聲明：”每個人必須在進入每一個控制門時，都必須讀取自己的證件”,防范的是哪一種攻擊方式?A、尾隨PiggybackingB、肩窺ShouldersurfingC、DumpsterdivingD、冒充Impersonation【正確答案】：A164.為了解決操作人員執(zhí)行日常備份的失誤，管理層要求系統(tǒng)管理員簽字日常備份，這是一個風(fēng)險,,例子：A、防止B、轉(zhuǎn)移C、緩解D、接受【正確答案】：C165.在正常情況下，應(yīng)急響應(yīng)計劃培訓(xùn)應(yīng)該至少多久一次A、1年B、2年C、半年D、5年【正確答案】：D166.下面對自由訪問控制（DAC）描述正確的是A、比較強制訪問控制而言不太靈活B、基于安全標(biāo)簽C、關(guān)注信息流D、在商業(yè)環(huán)境中廣泛使用【正確答案】：D167.拒絕式服務(wù)攻擊會影響信息系統(tǒng)的哪個特性？A、完整性B、可用性C、機密性D、可控性【正確答案】：B168.依據(jù)信息系統(tǒng)安全保障模型，以下那個不是安全保證對象A、機密性B、管理C、過程D、人員【正確答案】：A169.以下哪一項對安全風(fēng)險的描述是準(zhǔn)確的？A、安全風(fēng)險是指一種特定脆弱性利用一種或一組威脅造成組織的資產(chǎn)損失或損害的可能性。B、安全風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失事實。C、安全風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性D、安全風(fēng)險是指資產(chǎn)的脆弱性被威脅利用的情形?！菊_答案】：C170.當(dāng)保護組織的信息系統(tǒng)時，在網(wǎng)絡(luò)防火墻被破壞以后，通常的下一道防線是下列哪一項？A、個人防火墻B、防病毒軟件C、入侵檢測系統(tǒng)D、虛擬局域網(wǎng)設(shè)置【正確答案】：C171.信息安全活動應(yīng)由來自組織不同部門并具備相關(guān)角色和工作職責(zé)的代表進行，下面哪項包括非典型的安全協(xié)調(diào)應(yīng)包括的人員？A、管理人員、用戶、應(yīng)用設(shè)計人員B、系統(tǒng)運維人員、內(nèi)部審計人員、安全專員C、內(nèi)部審計人員、安全專員、領(lǐng)域?qū)＜褼、應(yīng)用設(shè)計人員、內(nèi)部審計人員、離職人員【正確答案】：D172.當(dāng)審核一個組織的業(yè)務(wù)連續(xù)性計劃時，某IS審計師觀察到這個被審計組織的數(shù)據(jù)和軟件文件被周期性的進行了備份。有效性計劃哪一個特性在這里被證明？A、防止B、減輕C、恢復(fù)D、響應(yīng)【正確答案】：D173.向外部機構(gòu)提供其信息處理設(shè)施的物理訪問權(quán)限前，組織應(yīng)當(dāng)做什么？A、該外部機構(gòu)的過程應(yīng)當(dāng)可以被獨立機構(gòu)進行IT審計B、該組織應(yīng)執(zhí)行一個風(fēng)險評估，設(shè)計并實施適當(dāng)?shù)目刂艭、該外部機構(gòu)的任何訪問應(yīng)被限制在DMZ區(qū)之內(nèi)D、應(yīng)當(dāng)給該外部機構(gòu)的員工培訓(xùn)其安全程序【正確答案】：B174.以下只用于密鑰交換的算法是A、RSAB、ECCC、DHD、RC4【正確答案】：A175.路由器工作在OSI的哪一層A、傳輸層B、數(shù)據(jù)鏈路層C、網(wǎng)絡(luò)層D、應(yīng)用層【正確答案】：A176.回顧組織的風(fēng)險評估流程時應(yīng)首先A、鑒別對于信息資產(chǎn)威脅的合理性B、分析技術(shù)和組織弱點C、鑒別并對信息資產(chǎn)進行分級D、對潛在的安全漏洞效果進行評價【正確答案】：C177.信息安全風(fēng)險管理的最終責(zé)任人是？A、決策層B、管理層C、執(zhí)行層D、支持層【正確答案】：A178.以下哪組全部都是多邊安全模型？A、BLP模型和BIBA模型BIBA模型和Clark－Wilson模型Chinesewall模型和BMA模型D、Clark－Wilson模型和Chinesewall模型【正確答案】：A179.在一個業(yè)務(wù)繼續(xù)計劃的模擬演練中，發(fā)現(xiàn)報警系統(tǒng)嚴(yán)重受到設(shè)施破壞。下列選項中，哪個是可以提供的最佳建議：A、培訓(xùn)救護組如何使用報警系統(tǒng)B、報警系統(tǒng)為備份提供恢復(fù)C、建立冗余的報警系統(tǒng)D、把報警系統(tǒng)存放地窖里【正確答案】：D180.系統(tǒng)地識別和管理組織所應(yīng)用的過程，特別是這些過程之間的相互作用，稱為什么？A、戴明循環(huán)B、過程方法C、管理體系D、服務(wù)管理【正確答案】：B181.在信息安全管理日常工作中，需要與哪些機構(gòu)保持聯(lián)系？A、政府部門B、監(jiān)管部門C、外部專家D、以上都是【正確答案】：D182.信息安全管理體系（ISMS）是一個怎樣的體系，以下描述不正確的是A、ISMS是一個遵循PDCA模式的動態(tài)發(fā)展的體系B、ISMS是一個文件化、系統(tǒng)化的體系C、ISMS采取的各項風(fēng)險控制措施應(yīng)該根據(jù)風(fēng)險評估等途徑得出的需求而定D、ISMS應(yīng)該是一步到位的，應(yīng)該解決所有的信息安全問題【正確答案】：D183.指導(dǎo)和規(guī)范信息安全管理的所有活動的文件叫做？A、過程B、安全目標(biāo)C、安全策略D、安全范圍【正確答案】：C184.以下哪個模型主要用于金融機構(gòu)信息系統(tǒng)的保護？A、Chinesewall模型BIBA模型Clark－Wilson模型D、BMA模型【正確答案】：D185.下面哪一個不是系統(tǒng)實施階段風(fēng)險管理的工作內(nèi)容A、安全測試B、檢查與配置C、配置變更D、人員培訓(xùn)【正確答案】：C186.在制定控制前，管理層首先應(yīng)該保證控制A、滿足控制一個風(fēng)險問題的要求B、不減少生產(chǎn)力C、基于成本效益的分析D、檢測行或改正性的【正確答案】：A187.評估業(yè)務(wù)連續(xù)計劃效果最好的方法是：A、使用適當(dāng)?shù)臉?biāo)準(zhǔn)進行規(guī)劃和比較B、之前的測試結(jié)果C、緊急預(yù)案和員工培訓(xùn)D、環(huán)境控制和存儲站點【正確答案】：C188.PDCA特征的描述不正確的是A、順序進行，周而復(fù)始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標(biāo)的達(dá)成都是分解成多個小目標(biāo)，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風(fēng)險管理的思路不符合PDCA的問題解決思路【正確答案】：D189.測試人員與開發(fā)人員交互測試發(fā)現(xiàn)的過程中，開發(fā)人員最關(guān)注的什么？A、bug的數(shù)量B、bug的嚴(yán)重程度C、bug的復(fù)現(xiàn)過程D、bug修復(fù)的可行性【正確答案】：C190.下面哪一種物理訪問控制能夠?qū)Ψ鞘跈?quán)訪問提供最高級別的安全？A、bolting門鎖B、Cipher密碼鎖C、電子門鎖D、指紋掃描器【正確答案】：A191.以下哪些不是設(shè)備資產(chǎn)：A、機房設(shè)施B、周邊設(shè)施C、管理終端D、操作系統(tǒng)【正確答案】：D192.以下哪一個是數(shù)據(jù)保護的最重要的目標(biāo)？A、確定需要訪問信息的人員B、確保信息的完整性C、拒絕或授權(quán)對系統(tǒng)的訪問D、監(jiān)控邏輯訪問【正確答案】：A193.在設(shè)計業(yè)務(wù)連續(xù)性計劃時，企業(yè)影響分析可以用來識別關(guān)鍵業(yè)務(wù)流程和相應(yīng)的支持程序，它主要會影響到下面哪一項內(nèi)容的制定？A、維護業(yè)務(wù)連續(xù)性計劃的職責(zé)B、選擇站點恢復(fù)供應(yīng)商的條件C、恢復(fù)策略D、關(guān)鍵人員的職責(zé)【正確答案】：C194.以下不屬于Linux安全加固的內(nèi)容是什么？A、配置iptablesB、配置TcpwapperC、啟用SelinuxD、修改root的UID【正確答案】：D195.數(shù)據(jù)保護最重要的目標(biāo)是以下項目中的哪一個A、識別需要獲得相關(guān)信息的用戶B、確保信息的完整性C、對信息系統(tǒng)的訪問進行拒絕或授權(quán)D、監(jiān)控邏輯訪問【正確答案】：B196.當(dāng)以下哪一類人員維護應(yīng)用系統(tǒng)軟件的時候，會造成對“職責(zé)分離”原則的違背？A、數(shù)據(jù)維護管理員B、系統(tǒng)故障處理員C、系統(tǒng)維護管理員D、系統(tǒng)程序員【正確答案】：D197.在人力資源審計期間，安全管理體系內(nèi)審員被告知在IT部門和人力資源部門中有一個關(guān)于期望的IT服務(wù)水平的口頭協(xié)議。安全管理體系內(nèi)審員首先應(yīng)該做什么？A、為兩部門起草一份服務(wù)水平協(xié)議B、向高級管理層報告存在未被書面簽訂的協(xié)議C、向兩部門確認(rèn)協(xié)議的內(nèi)容D、推遲審計直到協(xié)議成為書面文檔【正確答案】：C198.以下關(guān)于在UNIX系統(tǒng)里啟動與關(guān)閉服務(wù)的說法不正確的是？A、在UNIX系統(tǒng)中,服務(wù)可以通過inetd進程來啟動B、通過在/etc/inetd.conf文件中注釋關(guān)閉正在運行的服務(wù)C、通過改變腳本名稱的方式禁用腳本啟動的服務(wù)D、在UNIX系統(tǒng)中,服務(wù)可以通過啟動腳本來啟動【正確答案】：B199.對于信息安全風(fēng)險的描述不正確的是？A、企業(yè)信息安全風(fēng)險管理就是要做到零風(fēng)險B、在信息安全領(lǐng)域，風(fēng)險（Risk）就是指信息資產(chǎn)遭受損壞并給企業(yè)帶來負(fù)面影響及其潛在可能性C、風(fēng)險管理（RiskManagement）就是以可接受的代價，識別控制減少或消除可能影響信息系統(tǒng)的安全風(fēng)險的過程。D、風(fēng)險評估（RiskAssessment）就是對信息和信息處理設(shè)施面臨的威脅、受到的影響、存在的弱點以及威脅發(fā)生的可能性的評估。【正確答案】：A200.下面哪一個不是脆弱性識別的手段A、人員訪談B、技術(shù)工具檢測C、信息資產(chǎn)核查D、安全專家人工分析【正確答案】：C201.對于Linux審計說法錯誤的是？A、Linux系統(tǒng)支持細(xì)粒度的審計操作B、Linux系統(tǒng)可以使用自帶的軟件發(fā)送審計日志到SOC平臺C、Linux系統(tǒng)一般使用auditd進程產(chǎn)生日志文件D、Linux在secure日志中登陸成功日志和審計日志是一個文件【正確答案】：D202.構(gòu)成風(fēng)險的關(guān)鍵因素有哪些？A、人，財，物B、技術(shù)，管理和操作C、資產(chǎn)，威脅和弱點D、資產(chǎn)，可能性和嚴(yán)重性【正確答案】：C203.區(qū)別脆弱性評估和滲透測試是脆弱性評估A、檢查基礎(chǔ)設(shè)施并探測脆弱性，然而穿透性測試目的在于通過脆弱性檢測其可能帶來的損失B、和滲透測試為不同的名稱但是同一活動C、是通過自動化工具執(zhí)行，而滲透測試是一種完全的手動過程D、是通過商業(yè)工具執(zhí)行，而滲透測試是執(zhí)行公共進程【正確答案】：A204.企業(yè)信息安全事件的恢復(fù)過程中，以下哪個是最關(guān)鍵的？A、數(shù)據(jù)B、應(yīng)用系統(tǒng)C、通信鏈路D、硬件/軟件【正確答案】：A205.下面哪個功能屬于操作系統(tǒng)中的安全功能A、控制用戶的作業(yè)排序和運行B、對計算機用戶訪問系統(tǒng)和資源情況進行記錄C、保護系統(tǒng)程序和作業(yè)，禁止不合要求的對程序和數(shù)據(jù)的訪問D、實現(xiàn)主機和外設(shè)的并行處理以及異常情況的處理【正確答案】：D206.ISMS審核時，對審核發(fā)現(xiàn)中，以下哪個是屬于嚴(yán)重不符合項？A、關(guān)鍵的控制程序沒有得到貫徹，缺乏標(biāo)準(zhǔn)規(guī)定的要求可構(gòu)成嚴(yán)重不符合項B、風(fēng)險評估方法沒有按照ISO27005（信息安全風(fēng)險管理）標(biāo)準(zhǔn)進行C、孤立的偶發(fā)性的且對信息安全管理體系無直接影響的問題；D、審核員識別的可能改進項【正確答案】：D207.組織回顧信息系統(tǒng)災(zāi)難恢復(fù)計劃時應(yīng)：A、每半年演練一次B、周期性回顧并更新C、經(jīng)首席執(zhí)行官(CEO)認(rèn)可D、與組織的所有部門負(fù)責(zé)人溝通【正確答案】：A208.默認(rèn)情況下Linux主機在機房托管期間被惡意用戶進行了SSH遠(yuǎn)程的暴力破解，此時安全工程師需要拒絕其訪問的源地址，應(yīng)該使用那種方式查詢其訪問的記錄？A、cat/var/log/secureB、whoC、whoamiD、cat/etc/security/access.log【正確答案】：A209.《關(guān)于信息安全等級保護的實施意見》中信息和信息系統(tǒng)安全保護等級的第三級的定義是A、自主保護級B、指導(dǎo)保護級C、強制保護級D、監(jiān)督保護級【正確答案】：D210.設(shè)施、網(wǎng)絡(luò)、平臺、介質(zhì)、應(yīng)用類信息資產(chǎn)的保密期限為A、3年B、長期C、4月D、短期【正確答案】：B211.信息資產(chǎn)敏感性指的是：A、機密性B、完整性C、可用性D、安全性【正確答案】：A212.在加固數(shù)據(jù)庫時,以下哪個是數(shù)據(jù)庫加固最需要考慮的？A、修改默認(rèn)配置B、規(guī)范數(shù)據(jù)庫所有的表空間C、存儲數(shù)據(jù)被加密D、修改數(shù)據(jù)庫服務(wù)的服務(wù)端口【正確答案】：A213.當(dāng)更新一個正在運行的在線訂購系統(tǒng)時，更新都記錄在一個交易磁帶和交易日志副本。在一天業(yè)務(wù)結(jié)束后，訂單文件備份在磁帶上。在備份過程中，驅(qū)動器故障和訂單文件丟失。以下哪項對于恢復(fù)文件是必須的？A、前一天的備份文件和當(dāng)前的交易磁帶B、前一天的交易文件和當(dāng)前的交易磁帶C、當(dāng)前的交易磁帶和當(dāng)前的交易日志副本D、當(dāng)前的交易日志副本和前一天的交易交易文件【正確答案】：A214.我國的信息安全測評主要對象不包括？A、信息產(chǎn)品安全測評。B、信息安全人員資質(zhì)測評。C、服務(wù)商資質(zhì)測評。D、信息保障安全測評。【正確答案】：D215.關(guān)于信息安全策略文件的評審以下說法不正確的是哪個？A、信息安全策略應(yīng)由專人負(fù)責(zé)制定、評審。B、信息安全策略評審每年應(yīng)進行兩次，上半年、下半年各進行一次。C、在信息安全策略文件的評審過程中應(yīng)考慮組織業(yè)務(wù)的重大變化。D、在信息安全策略文件的評審過程中應(yīng)考慮相關(guān)法律法規(guī)及技術(shù)環(huán)境的重大變化。【正確答案】：B216.由于病毒攻擊、非法入侵等原因，校園網(wǎng)部分樓宇出現(xiàn)網(wǎng)絡(luò)癱瘓，或者FTP及部分網(wǎng)站服務(wù)器不能響應(yīng)用戶請求，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：D217.以下哪一種人最有可能給公司帶來最大的安全風(fēng)險？A、臨時工B、當(dāng)前員工C、以前員工D、咨詢?nèi)藛T【正確答案】：B218.輸入?yún)?shù)過濾可以預(yù)防以下哪些攻擊A、SQL注入、跨站腳本、緩沖區(qū)溢出B、SQL注入、跨站腳本、DNS毒藥C、SQL注入、跨站請求偽造、網(wǎng)絡(luò)竊聽D、跨站請求偽造、跨站腳本、DNS毒藥【正確答案】：A219.開發(fā)人員認(rèn)為系統(tǒng)架構(gòu)設(shè)計不合理，需要討論調(diào)整后，再次進入編碼階段。開發(fā)團隊可能采取的開發(fā)方法為A、瀑布模型B、凈室模型C、XP模型D、迭代模型【正確答案】：A220.ISMS審核時，首次會議的目的不包括以下哪個？A、明確審核目的、審核準(zhǔn)則和審核范圍B、明確審核員的分工C、明確接受審核方責(zé)任，為配合審核提供必要資源和授權(quán)D、明確審核進度和審核方法，且在整個審核過程中不可調(diào)整【正確答案】：D221.以下誰具有批準(zhǔn)應(yīng)急響應(yīng)計劃的權(quán)利A、應(yīng)急委員會B、各部門C、管理層D、外部專家【正確答案】：D222.以下關(guān)于風(fēng)險評估的描述不正確的是？A、作為風(fēng)險評估的要素之一，威脅發(fā)生的可能需要被評估B、作為風(fēng)險評估的要素之一，威脅發(fā)生后產(chǎn)生的影響需要被評估C、風(fēng)險評估是風(fēng)險管理的第一步D、風(fēng)險評估是風(fēng)險管理的最終結(jié)果【正確答案】：B223.信息安全管理組織說法以下說法不正確的是？A、信息安全管理組織人員應(yīng)來自不同的部門。B、信息安全管理組織的所有人員應(yīng)該為專職人員。C、信息安全管理組織應(yīng)考慮聘請外部專家。D、信息安全管理組織應(yīng)建立溝通、協(xié)調(diào)機制?！菊_答案】：B224.時間的流逝對服務(wù)中斷損失成本和中斷恢復(fù)成本會有什么影響？A、兩個成本增加B、中斷的損失成本增加，中斷恢復(fù)的成本隨時問的流逝而減少C、兩個成本都隨時間的流逝而減少D、沒有影響【正確答案】：B225.以下哪一個不是網(wǎng)絡(luò)隱藏技術(shù)？A、端口復(fù)用B、"無端口技術(shù)"C、反彈端口技術(shù)DLL注入【正確答案】：D226.下面哪項不是實施信息安全管理的關(guān)鍵成功因素A、理解組織文化B、得到高層承諾C、部署安全產(chǎn)品D、納入獎懲機制【正確答案】：C227.應(yīng)急響應(yīng)流程一般順序是A、信息安全事件通告、信息安全事件評估、應(yīng)急啟動、應(yīng)急處置和后期處置B、信息安全事件評估、信息安全事件通告、應(yīng)急啟動、應(yīng)急處置和后期處置C、應(yīng)急啟動、應(yīng)急處置、信息安全事件評估、信息安全事件通告、后期處置D、信息安全事件評估、應(yīng)急啟動、信息安全事件通告、應(yīng)急處置和后期處置【正確答案】：A228.對信息安全的理解，正確的是A、信息資產(chǎn)的保密性、完整性和可用性不受損害的能力，是通過信息安全保障措施實現(xiàn)的B、通過信息安全保障措施，確保信息不被丟失C、通過信息安全保證措施，確保固定資產(chǎn)及相關(guān)財務(wù)信息的完整性D、通過技術(shù)保障措施，確保信息系統(tǒng)及財務(wù)數(shù)據(jù)的完整性、機密性及可用性【正確答案】：A229.在檢查IT安全風(fēng)險管理程序，安全風(fēng)險的測量應(yīng)該A、列舉所有的網(wǎng)絡(luò)風(fēng)險B、對應(yīng)IT戰(zhàn)略計劃持續(xù)跟蹤C、考慮整個IT環(huán)境D、識別對(信息系統(tǒng))的弱點的容忍度的結(jié)果【正確答案】：C230.風(fēng)險評估實施過程中脆弱性識別主要包括什么方面A、軟件開發(fā)漏洞B、網(wǎng)站應(yīng)用漏洞C、主機系統(tǒng)漏洞D、技術(shù)漏洞與管理漏洞【正確答案】：D231.風(fēng)險評估的基本過程是怎樣的？A、識別并評估重要的信息資產(chǎn)，識別各種可能的威脅和嚴(yán)重的弱點，最終確定風(fēng)險B、通過以往發(fā)生的信息安全事件，找到風(fēng)險所在C、風(fēng)險評估就是對照安全檢查單，查看相關(guān)的管理和技術(shù)措施是否到位D、風(fēng)險評估并沒有規(guī)律可循，完全取決于評估者的經(jīng)驗所在【正確答案】：A232.ISO27001認(rèn)證項目一般有哪幾個階段？A、管理評估，技術(shù)評估，操作流程評估B、確定范圍和安全方針，風(fēng)險評估，風(fēng)險控制（文件編寫），體系運行，認(rèn)證C、產(chǎn)品方案需求分析，解決方案提供，實施解決方案D、基礎(chǔ)培訓(xùn)，RA培訓(xùn)，文件編寫培訓(xùn)，內(nèi)部審核培訓(xùn)【正確答案】：B233.以下哪一個不是安全審計的作用？A、記錄系統(tǒng)被訪問的過程及系統(tǒng)保護機制的運行狀態(tài)。B、發(fā)現(xiàn)試圖繞過保護機制的行為。C、及時發(fā)現(xiàn)并阻止用戶身份的變化D、報告并阻礙繞過保護機制的行為并記錄相關(guān)進程，為災(zāi)難恢復(fù)提供信息?！菊_答案】：C234.以下哪項是ISMS文件的作用？A、是指導(dǎo)組織有關(guān)信息安全工作方面的內(nèi)部“法規(guī)”--使工作有章可循。B、是控制措施（controls）的重要部分C、提供客觀證據(jù)--為滿足相關(guān)方要求，以及持續(xù)改進提供依據(jù)D、以上所有【正確答案】：D235.組織的災(zāi)難恢復(fù)計劃應(yīng)該:A、減少恢復(fù)時間，降低恢復(fù)費用B、增加恢復(fù)時間，提高恢復(fù)費用C、減少恢復(fù)的持續(xù)時間，提高恢復(fù)費用D、對恢復(fù)時間和費用都不影響【正確答案】：D236.系統(tǒng)管理員屬于？A、決策層B、管理層C、執(zhí)行層D、既可以劃為管理層，又可以劃為執(zhí)行層【正確答案】：C237.ISO27004是指以下哪個標(biāo)準(zhǔn)A、《信息安全管理體系要求》B、《信息安全管理實用規(guī)則》C、《信息安全管理度量》D、《ISMS實施指南》【正確答案】：C238.以下哪個選項是缺乏適當(dāng)?shù)陌踩刂频谋憩F(xiàn)A、威脅B、脆弱性C、資產(chǎn)D、影響【正確答案】：C239.當(dāng)涉及到信息算計系統(tǒng)犯罪取證時，應(yīng)與哪個部門取得聯(lián)系？A、監(jiān)管機構(gòu)B、重要客戶C、供應(yīng)商D、政府部門【正確答案】：D240.以下哪些不是網(wǎng)絡(luò)類資產(chǎn)：A、網(wǎng)絡(luò)設(shè)備B、基礎(chǔ)服務(wù)平臺C、網(wǎng)絡(luò)安全設(shè)備D、主干線路【正確答案】：B241.對安全策略的描述不正確的是？A、信息安全策略應(yīng)得到組織的最高管理者批準(zhǔn)。B、策略應(yīng)有一個所有者，負(fù)責(zé)按復(fù)查程序維護和復(fù)查該策略。C、安全策略應(yīng)包括管理層對信息安全管理工作的承諾。D、安全策略一旦建立和發(fā)布，則不可變更?！菊_答案】：D242.一個個人經(jīng)濟上存在問題的公司職員有權(quán)獨立訪問高敏感度的信息，他可能竊取這些信息賣給公司的競爭對手，如何控制這個風(fēng)險A、開除這名職員B、限制這名職員訪問敏感信息C、刪除敏感信息D、將此職員送公1安部門【正確答案】：B243.為了保護企業(yè)的知識產(chǎn)權(quán)和其它資產(chǎn)，當(dāng)終止與員工的聘用關(guān)系時下面哪一項是最好的方法？A、進行離職談話，讓員工簽署保密協(xié)議，禁止員工賬號，更改密碼B、進行離職談話，禁止員工賬號，更改密碼C、讓員工簽署跨邊界協(xié)議D、列出員工在解聘前需要注意的所有責(zé)任【正確答案】：A244.內(nèi)部審計師發(fā)現(xiàn)不是所有雇員都了解企業(yè)的信息安全策略。內(nèi)部審計師應(yīng)當(dāng)?shù)贸鲆韵履捻椊Y(jié)論：A、這種缺乏了解會導(dǎo)致不經(jīng)意地泄露敏感信息B、信息安全不是對所有職能都是關(guān)鍵的C、IS審計應(yīng)當(dāng)為那些雇員提供培訓(xùn)D、該審計發(fā)現(xiàn)應(yīng)當(dāng)促使管理層對員工進行繼續(xù)教育【正確答案】：A245.Linux文件系統(tǒng)采用的是樹型結(jié)構(gòu)，在根目錄下默認(rèn)存在var目錄，它的的功用是？A、公用的臨時文件存儲點B、系統(tǒng)提供這個目錄是讓用戶臨時掛載其他的文件系統(tǒng)C、某些大文件的溢出區(qū)D、最龐大的目錄，要用到的應(yīng)用程序和文件幾乎都在這個目錄【正確答案】：C246.以下標(biāo)準(zhǔn)內(nèi)容為“信息安全管理體系要求”的是哪個？A、ISO27000B、ISO27001C、ISO27002D、ISO27003【正確答案】：B247.以下有關(guān)通信與日常操作描述不正確的是A、信息系統(tǒng)的變更應(yīng)該是受控的B、企業(yè)在崗位設(shè)計和人員工作分配時應(yīng)該遵循職責(zé)分離的原則C、移動介質(zhì)使用是一個管理難題，應(yīng)該采取有效措施，防止信息泄漏D、內(nèi)部安全審計無需遵循獨立性、客觀性的原則【正確答案】：D248.通常情況下，怎樣計算風(fēng)險？A、將威脅可能性等級乘以威脅影響就得出了風(fēng)險。B、將威脅可能性等級加上威脅影響就得出了風(fēng)險。C、用威脅影響除以威脅的發(fā)生概率就得出了風(fēng)險。D、用威脅概率作為指數(shù)對威脅影響進行乘方運算就得出了風(fēng)險?！菊_答案】：A249.關(guān)于控制措施選擇描述不正確的是A、總成本中應(yīng)考慮控制措施維護成本B、只要控制措施有效，不管成本都應(yīng)該首先選擇C、首先要考慮控制措施的成本效益D、應(yīng)該考慮控制措施實施的成熟度【正確答案】：B250.災(zāi)難恢復(fù)SHARE78的第三層是指A、卡車運送B、電子鏈接C、活動狀態(tài)的備份中心D、0數(shù)據(jù)丟失【正確答案】：B251.以下哪項不是信息安全的主要目標(biāo)A、確保業(yè)務(wù)連續(xù)性B、保護信息免受各種威脅的損害C、防止黑客竊取員工個人信息D、投資回報和商業(yè)機遇最大化【正確答案】：C252.在一家企業(yè)的業(yè)務(wù)持續(xù)性計劃中，什么情況被宣布為一個危機沒有被定義。這一點關(guān)系到的主要風(fēng)險是：A、對這種情況的評估可能會延遲B、災(zāi)難恢復(fù)計劃的執(zhí)行可能會被影響C、團隊通知可能不會發(fā)生D、對潛在危機的識別可能會無效【正確答案】：B253.實施信息系統(tǒng)訪問控制首先需要進行如下哪一項工作？A、信息系統(tǒng)資產(chǎn)分類B、信息系統(tǒng)資產(chǎn)標(biāo)識C、創(chuàng)建訪問控制列表D、梳理信息系統(tǒng)相關(guān)信息資產(chǎn)【正確答案】：A254.作為業(yè)務(wù)繼續(xù)計劃流程中的一部分，在業(yè)務(wù)影響分析中下面哪個選項應(yīng)該最先確認(rèn)？A、組織的風(fēng)險，像單點失敗或設(shè)備風(fēng)險B、重要業(yè)務(wù)流程的威脅C、根據(jù)恢復(fù)優(yōu)先級設(shè)定的重要業(yè)務(wù)流程D、重建業(yè)務(wù)的所需的資源【正確答案】：B255.ISMS審核常用的審核方法不包括？A、糾正預(yù)防B、文件審核C、現(xiàn)場審核D、滲透測試【正確答案】：A256.一個組織具有的大量分支機構(gòu)且分布地理區(qū)域較廣。以確保各方面的災(zāi)難恢復(fù)計劃的評估，具有成本效益的方式，應(yīng)建議使用：A、數(shù)據(jù)恢復(fù)測試B、充分的業(yè)務(wù)測試C、前后測試D、預(yù)案測試【正確答案】：A257.特洛伊木馬攻擊的危脅類型屬于A、授權(quán)侵犯威脅B、植入威脅C、滲入威脅D、破壞威脅【正確答案】：D258.企業(yè)按照ＩＳＯ２７００１標(biāo)準(zhǔn)建立信息安全管理體系的過程中，對關(guān)鍵成功因素的描述不正確的是A、不需要全體員工的參入，只要ＩＴ部門的人員參入即可B、來自高級管理層的明確的支持和承諾C、對企業(yè)員工提供必要的安全意識和技能的培訓(xùn)和教育D、所有管理者、員工及其他伙伴方理解企業(yè)信息安全策略、指南和標(biāo)準(zhǔn)，并遵照執(zhí)行【正確答案】：A259."在選擇外部供貨生產(chǎn)商時，評價標(biāo)準(zhǔn)按照重要性的排列順序是：1.供貨商與信息系統(tǒng)部門的接近程度2.供貨商雇員的態(tài)度3.供貨商的信譽、專業(yè)知識4.供貨商的財政狀況和管理情況、技術(shù)A、4，3，1，2B、3，4，2，1C、3，2，4，1D、1，2，3，4【正確答案】：B260.風(fēng)險控制是依據(jù)風(fēng)險評估的結(jié)果，選擇和實施合適的安全措施。下面哪個不是風(fēng)險控制的方式？A、規(guī)避風(fēng)險B、轉(zhuǎn)移風(fēng)險C、接受風(fēng)險D、降低風(fēng)險【正確答案】：C261.在安全人員的幫助下，對數(shù)據(jù)提供訪問權(quán)的責(zé)任在于：A、數(shù)據(jù)所有者.B、程序員C、系統(tǒng)分析師.D、庫管員【正確答案】：A262.信息系統(tǒng)的價值確定需要與哪個部門進行有效溝通確定？A、系統(tǒng)維護部門B、系統(tǒng)開發(fā)部門C、財務(wù)部門D、業(yè)務(wù)部門【正確答案】：D263.下面哪一個不是高層安全方針?biāo)P(guān)注的A、識別關(guān)鍵業(yè)務(wù)目標(biāo)B、定義安全組織職責(zé)C、定義安全目標(biāo)D、定義防火墻邊界防護策略【正確答案】：D264.評估應(yīng)急響應(yīng)計劃時，下列哪一項應(yīng)當(dāng)最被關(guān)注：A、災(zāi)難等級基于受損功能的范圍，而不是持續(xù)時間B、低級別災(zāi)難和軟件事件之間的區(qū)別不清晰C、總體應(yīng)急響應(yīng)計劃被文檔化，但詳細(xì)恢復(fù)步驟沒有規(guī)定D、事件通告的職責(zé)沒有被識別【正確答案】：B265.信息資產(chǎn)面臨的主要威脅來源主要包括A、自然災(zāi)害B、系統(tǒng)故障C、內(nèi)部人員操作失誤D、以上都包括【正確答案】：D266.在軟件程序測試的哪個階段一個組織應(yīng)該進行體系結(jié)構(gòu)設(shè)計測試?A、可接受性測試B、系統(tǒng)測試C、集成測試D、單元測試【正確答案】：C267.災(zāi)難性恢復(fù)計劃(DRP)基于:A、技術(shù)方面的業(yè)務(wù)連續(xù)性計劃B、操作部分的業(yè)務(wù)連續(xù)性計劃C、功能方面的業(yè)務(wù)連續(xù)性計劃D、總體協(xié)調(diào)的業(yè)務(wù)連續(xù)性計劃【正確答案】：C268.對于在ISMS內(nèi)審中所發(fā)現(xiàn)的問題，在審核之后應(yīng)該實施必要的改進措施并進行跟蹤和評價，以下描述不正確的是？A、改進措施包括糾正和預(yù)防措施B、改進措施可由受審單位提出并實施C、不可以對體系文件進行更新或修改D、對改進措施的評價應(yīng)該包括措施的有效性的分析【正確答案】：C269.P2DR模型中的“反應(yīng)”是在檢測到安全漏洞和安全事件時，通過及時的響應(yīng)措施將網(wǎng)絡(luò)系統(tǒng)的安全性調(diào)整到風(fēng)險最低的狀態(tài)，這些措施包括？A、關(guān)閉服務(wù)。B、向上級匯報。C、跟蹤。D、消除影響?！菊_答案】：B270.下列哪一個是國家推薦標(biāo)準(zhǔn)A、GB/T18020-1999B、SJ/T30003-93C、ISO/IEC15408D、GA243-2000【正確答案】：D271.在信息系統(tǒng)安全中，風(fēng)險由以下哪兩種因素共同構(gòu)成的？A、攻擊和脆弱性B、威脅和攻擊C、威脅和脆弱性D、威脅和破壞【正確答案】：C272.信息安全管理最關(guān)注的是？A、外部惡