導航：安全管理網>> 安全教育>> 安全試題>> 綜合>>正文

信息安全管理體系與信息安全風險管理

		點擊數：	更新時間： 2021年04月20日
下載地址：點擊這里	文件大小： 412.94 KB 共29頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共29頁]

本文件共29頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：412.94 KB 共29頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：八大特殊作業安全試題

上一篇：三級安全教育試題(公司級)

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

信息安全管理體系與信息安全風險管理練習題
1. 關于從事信息安全標準化工作的組織說法，不正確的是：
A. IETF的主要任務是負責互聯網相關技術規范的研發和制定，并涉及到一些安全方面的標準化工作
B. IEC除與ISO聯合從事信息安全方面的標準化工作外，還在電信、電子系統、信息技術和電磁兼容等方面成立技術委員會，并涉及信息安全方面的標準化工作
C. ITU所屬的SG17組主要負責研究通信系統安全標準
D. ISO/IECJTC1 SC27從事的工作包括安全技術和機制的開發、安全指南的開發、但不包括管理支持文件和標準的開發
答案：D。
2. 關于信息安全管理標準的說法，不正確的是：
A. ISO/IEC13335是關于風險管理、IT安全管理的一個重要的標準系列
B. ISO/IEC17799：2005建立了組織機構內啟動、實施、維護和改進信息安全管理的指導方針和通用原則
C. ISO/IECJTC1 SC27開發的信息安全管理系統（ISMS）國際標準族采用27000系列號碼作為編碼方案
D. BS 7799包含的信息安全管理導則已成為ISO/IEC 27001標準
答案：D。
3. 我國信息安全法管理政策中，不包括：
A. 采取積極防御、綜合治理的管理方針
B. 維護齊抓共管的信息安全管理體系
C. 采取誰主管、誰負責；誰經營、誰負責的管理政策
D. 采取嚴格的管理、威嚴的法律、先進的技術
答案：B。
4. 關于信息安全風險評估工作的一些說法，不正確的是：
A. 按“嚴格組織、規范操作、講究科學、注重實效”的原則展開；
B. 應按照“誰主管誰負責，誰運營誰負責”的原則進行；
C. 應以檢查評估為主，自評估與檢查評估相互結合、互為補充；
D. 風險評估工作應貫穿信息系統建設和運行的全過程；
答案：C。
5. 在風險管理工作中監控審查的目的。一是，二是。
A. 保證風險管理過程的有效性，保證風險管理成本的有效性
B. 保證風險管理結果的有效性，保證風險管理成本的有效性
C. 保證風險管理過程的有效性，保證風險管理活動的決定得到認可
D. 保證風險管理結果的有效性，保證風險管理活動的決定得到認可
答案：C。
6. 關于安全控制措施的一些說法，不正確的是：
A. 崗位輪換、應急響應是檢測性的管理控制措施；
B. 職責分離、數據分類和標記是預防性的管理控制措施；
C. 口令、加密的使用是阻止性的技術控制措施；
D. 審核審計日志是檢測性的技術控制措施；
答案：C。
7. 在27001-2005中，制定風險處置計劃應該在PDCA的哪個階段進行？
A. Plan
B. Do
C. Check
D. Act
答案：A。
8. 為什么一個公司內部的風險評估團隊應該由來自不同部門的人員組成？
A. 確保風險評估過程是公平的
B. 因為風險正是由于這些來自不同部門的人員所引起的，因此他們應該承擔風險評估的職責
C. 因為不同部門的人員對本部門所面臨的風險最清楚，由此進行的風險評估也最接近于實際情況
D. 風險評估團隊不應該由來自不同部門的人員組成，而應該由一個來自公司外部的小型團隊組成
答案：C。
9. 在應用系統開發過程中，應對安全問題予以足夠的重視。以下說法錯誤的是：
A. 在進行新系統的測試時，應對生產系統中的數據進行嚴格的控制
B. 應用系統的開發中，應注意數據輸入，處理和輸出等階段對數據的控制
C. 一旦明確了安全需求和設計方案，在開發過程中就應當嚴格遵守，不能有任何改變
D. 系統或系統部件廢棄中產生的風險，不能等閑視之
答案：C。
10. ISO27001、ITIL和COBIT在IT管理內容上各有優勢，但側重點不同，其各自重點分別在于：
A. IT安全控制、IT過程管理和IT控制和度量評價
B. IT過程管理、IT安全控制和IT控制和度量評價
C. IT控制和度量評價、IT安全控制和IT安全控制
D. IT過程管理、IT控制和度量評價、IT安全控制
答案：A。
11. 下列哪項ISO 27000系列是關于ISMS要求的？
A. ISO 27001
B. ISO 27002
C. ISO 27003
D. ISO 27004
答案：A。
12. 以下關于風險管理的描述不正確的是？
A. 風險的四種控制方法有：減低風險/轉嫁風險/規避風險/接受風險
B. 信息安全風險管理是否成功在于發現是否切實被消除了
C. 組織應依據信息安全方針和組織要求的安全保證程度來確定需要管理的信息安全
D. 信息安全風險管理是基于可接受的成本，對影響信息系統的安全風險進行識別多少或消除的過程
答案：B。
13. 風險管理的重點：
A. 將風險降低到可以接受的程度
B. 不計代價的降低風險
C. 將風險轉移給第三方
D. 懲罰違反安全策略規定的雇員
答案：A。
14. 管理者何時可以根據風險分析結果對已識別風險不采取措施。
A. 當必須的安全對策的成本高出實際風險的可能造成的譴責負面影響時
B. 當風險減輕方法提高業務生產力時
C. 當引起風險發生的情況不在部門控制范圍之內時
D. 不可接受
答案：A。
15. 在風險評估中進行定量的后果分析時，如果采用年度風險損失值的方法進行計算，應當使用一下哪個公式？
A. SLE（單次損失預期值）*ARO（年度發生率）
B. ARO（年度發生率）*EF（暴露因子）
C. SLE（單次損失預期值）*EF(暴露因子)*ARO（年度發生率）
D. SLE（單次損失預期值）*ARO（年度發生率）-EF（暴露因子）
答案：A。
16. 變更控制是信息系統運行管理的重要的內容，在變更控制的過程中：
A. 應該盡量追求效率，而沒有任何的程序和核查的阻礙。
B. 應該將重點放在風險發生后的糾正措施上。
C. 應該很好的定義和實施風險規避的措施。
D. 如果是公司領導要求的，對變更過程不需要追蹤和審查。
答案：C。
17. 信息安全策略是管理層對信息安全工作意圖和方向的正式表述，以下哪一項不是信息安全策略文檔中必須包含的內容？
A. 說明信息安全對組織的重要程度
B. 介紹需要符合的法律法規要求
C. 信息安全技術產品的選型范圍
D. 信息安全管理責任的定義
答案：C。
18. 關于風險值的含義正確的是：
A. 根據安全事件發生的可能性，計算對組織的影響
B. 根據安全時間出現后的損失，計算對組織的影響
C. 根據安全事件發生的可能性以及安全事件出現后的損失，計算對組織的影響
D. 根據安全事件發生的可能性和資產的價值，計算對組織的影響
答案：C。
19. 在風險評估的工作中，以下哪一選項不是其基本要素？
A. 殘余風險
B. 資產
C. 脆弱性
D. 威脅
答案：A。
20. 對“PDCA”循環不正確的描述是：
A. “PDCA”的含義是P-計劃，D-實施，C-檢查，A-改進；
B. “PDCA”循環又叫“戴明”環；
C. “PDCA”循環是只能用于信息安全管理體系有效進行的工作程序；
D. “PDCA”循環是可用于任何一項活動有效進行的工作程序；
答案：C。
21. 2008年某單位對信息系統進行了全面的風險評估，并投入充分的資源進行了有效的風險處置，但是2010年仍然發生了一起影響惡劣的信息安全事件，這主要是由于：
A. 信息安全是系統的安全
B. 信息安全是無邊界的安全
C. 信息安全是動態的安全
D. 信息安全是非傳統的安全
答案：C。
22. 我國信息安全標準化技術委員會（TC260）目前下屬6個工作組，其中負責信息安全管理的小組是：
A. WG1
B. WG7
C. WG3
D. WG5
答案：B。
23. 衡量殘余安全風險應當考慮的因素為：
A. 威脅、風險、資產價值
B. 威脅、資產價值、脆弱性
C. 單次損失、年度發生率
D. 威脅、脆弱性、資產價值、控制措施效果
答案：D。
24. 《信息安全技術 信息安全風險評估規范 GB/T 20984-2007》中關于信息系統生命周期各階段的風險評估描述不正確的是：
A. 規劃階段風險評估的目的是識別系統的業務戰略，以支撐系統安全需求及安全戰略等
B. 設計階段的風險評估需要根據規劃階段所明確的系統運行環境、資產重要性，提出安全功能需求
C. 實施階段風險評估的目的是根據系統安全需求和運行環境對系統開發、實施過程進行風險識別，并對系統建成后的安全功能進行驗證
D. 運行維護階段風險評估的目的是了解和控制運行過程中的安全風險，是一種全面的風險評估。評估內容包括對真實運行的信息系統、資產、脆弱性等各方面
答案：B。
25. 下列對風險分析方法的描述正確的是：
A. 定量分析比定性分析方法使用的表格更多
B. 定性分析的主觀和經驗判斷因素較定量評估多
C. 同一組織只用使用一種方法進行評估
D. 符合組織要求的風險評估方法就是最優方法
答案：B。
26. 風險管理四個步驟的正確順序是：
A. 背景建立、風險評估、風險處理、批準監督
B. 背景建立、風險評估、審核批準、風險控制
C. 風險評估、對象確立、審核批準、風險控制
D. 風險評估、風險控制、對象確立、審核批準
答案：A。
27. 某公司正在進行信息安全風險評估，在決定信息資產的分類與分級時，誰負有最終責任？
A. 部門經理
B. 高級管理層
C. 信息資產所有者
D. 最終用戶
答案：C。
28. 下面對ISO27001的說法最準確的是：
A. 該標準的題目是信息安全管理體系實施指南
B. 該標準為度量信息安全管理體系的開發和實施過程提供的一套標準
C. 該標準提供了一組信息安全管理相關的控制措施和最佳實踐
D. 該標準為建立、實施、運行、監控、審核、維護和改進信息安全管理體系提供了一個模型
答案：D。
29. 進行信息安全管理體系的建設是一個涉及企業文化、信息系統特點、法律法
規限制等多方面因素的復雜過程，人們在這樣的過程中總結了許多經驗，下列哪一項是最不值得贊同的？
A. 成功的信息安全管理體系建設必須得到組織的高級管理層的直接支持
B. 制定的信息安全管理措施應當與組織的文化環境相匹配
C. 應該對ISO27002等國際標準批判地參考，不能完全照搬
D. 借助有經驗的大型國際咨詢公司，往往可以提高管理體系的執行效果
答案：D。
30. 下列對“信息安全風險”的描述正確的是：
A. 是來自外部的威脅利用了系統自身存在的脆弱性作用于資產形成風險
B. 是系統自身存在的威脅利用了來自外部的脆弱性作用于資產形成風險
C. 是來自外部的威脅利用了系統自身存在的脆弱性作用于網絡形成風險
D. 是系統自身存在的威脅利用了來自外部的脆弱性作用于網絡形成風險
答案：A。
31. 對信息安全風險評估工作成果理解正確的是：
A. 信息安全風險評估工作的最重要成果是按高中低級排列的風險列表。
B. 通過信息安全風險評估工作，不僅能夠明確系統安全風險，還能夠獲得如何控制風險的詳細建議。
C. 信息安全風險評估工作最終成果是信息系統安全問題（脆弱點）列表。
D. 信息安全風險評估工作最終成果是信息系統安全威脅列表。
答案：A。
32. 資產管理是信息安全管理的重要內容，而清楚的識別信息系統相關的資產，并編制資產清單是資產管理的重要步驟，下面關于資產清單的說法錯誤的是：
A. 資產清單的編制是風險管理的一個重要的先決條件
B. 信息安全管理中所涉及的資產是指信息資產，即業務數據、合同協議、培訓材料等
C. 在制定資產清單的時候應根據資產的重要性、業務價值和安全分類，確定與資產重要性相對應的保護級別
D. 資產清單中應當包括將資產從災難中恢復而需要的信息，如資產類型、格式、位置、備份信息、許可信息等
答案：D。
33. 組織在實施與維護信息安全的流程中，下列哪一項不屬于高級管理層的職責？
A. 明確的支持
B. 執行風險分析
C. 定義目標和范圍
D. 職責定義與授權
答案：B。
34. 風險分析的目標是達到：
A. 風險影響和保護性措施之間的價值平衡
B. 風險影響和保護性措施之間的操作平衡
C. 風險影響和保護性措施之間的技術平衡
D. 風險影響和保護性措施之間的邏輯平衡
答案：A。
35. 風險評估按照評估者的不同可以分為自評和第三方評估。這兩種評估方式最本質的差別是什么？
A. 評估結果的客觀性
B. 評估工具的專業程度
C. 評估人員的技術能力
D. 評估報告的形式
答案：A。
36. 對于信息系統風險管理描述不正確的是：
A. 漏洞掃描是整個安全評估階段重要的數據來源而非全部
B. 風險管理是動態發展的，而非停滯、靜態的
C. 風險評估的結果以及決策方案必須能夠相互比較才可以具有較好的參考意義
D. 風險評估最重要的因素是技術測試工具
答案：D。
37. 下列哪一項準確地描述了脆弱性、威脅、暴露和風險之間的關系？
A. 脆弱性增加了威脅，威脅利用了風險并導致了暴露
B. 風險引起了脆弱性并導致了暴露，暴露又引起了威脅
C. 風險允許威脅利用脆弱性，并導致了暴露
D. 威脅利用脆弱性并產生影響的可能性稱為風險，暴露是威脅已造成損害的實例
答案：D。
38. 以下哪一項不是信息安全管理工作必須遵循的原則？
A. 風險管理在系統開發之初就應該予以充分考慮，并要貫穿于整個系統開發過程之中
B. 風險管理活動應成為系統開發、運行、維護、直至廢棄的整個生命周期內的持續性工作
C. 由于在系統投入使用后部署和應用風險控制措施針對性會更強，實施成本會相對較低
D. 在系統正式運行后，應注重殘余風險的管理，以提高快速反應能力
答案：C。
39. 風險評估方法的選定在PDCA循環中的那個階段完成？
A. 實施和運行
B. 保持和改進
C. 建立
D. 監視和評審
答案：C。
40. 下面關于ISO27002的說法錯誤的是？
A. ISO27002的前身是ISO17799-1
B. ISO27002給出了通常意義下的信息安全管理最佳實踐供組織機構選用,但不是全部
C. ISO27002對于每個措施的表述分”控制措施”、“實施指南”、和“其它信息”三個部分來進行描述
D. ISO27002提出了十一大類的安全管理措施，其中風險評估和處置是處于核心地位的一類安全措施
答案：D。
41. 下述選項中對于“風險管理”的描述正確的是：
A. 安全必須是完美無缺、面面俱到的
B. 最完備的信息安全策略就是最優的風險管理對策
C. 在解決、預防信息安全問題時，要從經濟、技術、管理的可行性和有效性上做出權衡和取舍
D. 防范不足就會造成損失；防范過多就可以避免損失
答案：C。
42. 風險評估主要包括風險分析準備、風險要素識別、風險分析和風險結果判定
四個主要過程，關于這些過程，以下的說法哪一個是正確的？
A. 風險分析準備的內容是識別風險的影響和可能性
B. 風險要素識別的內容是識別可能發生的安全事件對信息系統的影響程度
C. 風險分析的內容是識別風險的影響和可能性
D. 風險結果判定的內容是發現系統存在的威脅、脆弱和控制措施
答案：C。
43. 以下對PPDR模型的解釋錯誤的是：
A. 該模型提出以安全策略為核心，防護、檢測和恢復組成一個完整的；
B. 該模型的一個重要貢獻是加進了時間因素，而且對如何實現系統安全狀態給出了操作的描述
C. 該模型提出的公式1：Pt>Dt+Rt，代表防護時間大于檢測時間加響應時間
D. 該模型提出的公式2：Et＝Dt+Rt，代表防護時間為0時，系統檢測時間等于檢測時間加響應時間
答案：D。
44. 在風險分析中，下列不屬于軟件資產的是：
A. 計算機操作系統
B. 網絡操作系統
C. 應用軟件源代碼
D. 外來惡意代碼
答案：D。
45. 通常情況下，怎樣計算風險？
A. 將威脅可能性等級乘以威脅影響就得出了風險。
B. 將威脅可能性等級加上威脅影響就得出了風險。
C. 用威脅影響除以威脅的發生概率就得出了風險。
D. 用威脅概率作為指數對威脅影響進行乘方運算就得出了風險。
答案：A。
46. 在風險分析中，以下哪種說法是正確的？
A. 定量影響分析的主要優點是它對風險進行排序并對那些需要立即改善的環節進行標識。
B. 定性影響分析可以很容易地對控制進行成本收益分析。
C. 定量影響分析不能用在對控制進行的成本收益分析中。
D. 定量影響分析的主要優點是它對影響大小給出了一個度量。
答案：D。
47. ISMS指的是什么？
A. 信息安全管理
B. 信息系統管理體系
C. 信息系統管理安全
D. 信息安全管理體系
答案：D。
48. 在確定威脅的可能性時，可以不考慮以下哪個？
A. 威脅源
B. 潛在弱點
C. 現有控制措施
D. 攻擊所產生的負面影響
49. ISO/IEC 17799源于以下哪個標準？
A. BS7799-1
B. BS7799-2
C. BS7799-3
D. GB 7799
答案：A。
50. 風險分析的目的是？
A. 在實施保護所需的成本與風險可能造成的影響之間進行技術平衡；
B. 在實施保護所需的成本與風險可能造成的影響之間進行運作平衡；
C. 在實施保護所需的成本與風險可能造成的影響之間進行經濟平衡；
D. 在實施保護所需的成本與風險可能造成的影響之間進行法律平衡；
答案：C。
51. 如果將風險管理分為風險評估和風險減緩，那么以下哪個不屬于風險減緩的內容？
A. 計算風險
B. 選擇合適的安全措施
C. 實現安全措施
D. 接受殘余風險
答案：A。
52. ISMS文檔體系中第一層文件是？
A. 信息安全方針政策
B. 信息安全工作程序
C. 信息安全作業指導書
D. 信息安全工作記錄
答案：A。
53. 信息安全管理最關注的是？
A. 外部惡意攻擊
B. 病毒對PC的影響
C. 內部惡意攻擊
D. 病毒對網絡的影響
答案：C。
54. 從風險管理的角度，以下哪種方法不可取？
A. 接受風險
B. 分散風險
C. 轉移風險
D. 拖延風險
答案：D。
55. 在信息系統安全中，風險由以下哪兩種因素共同構成的？
A. 攻擊和脆弱性
B. 威脅和攻擊
C. 威脅和脆弱性
D. 威脅和破壞
答案：C。
56. 在信息系統安全中，暴露由以下哪兩種因素共同構成的？
A. 攻擊和脆弱性
B. 威脅和攻擊
C. 威脅和脆弱性
D. 威脅和破壞
答案：A。
57. 以下哪一項是已經被確認了的具有一定合理性的風險？
A. 總風險
B. 最小化風險
C. 可接受風險
D. 殘余風險
答案：C。
58. 以下哪一項對安全風險的描述是準確的
A. 安全風險是指一種特定脆弱性利用一種或一組威脅造成組織的資產損失或損害的可能性。
B. 安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產損失事實。
C. 安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產損失或損害的可能性
D. 安全風險是指資產的脆弱性被威脅利用的情形。
答案：C。
59. 從風險的觀點來看，一個具有任務緊急性，核心功能性的計算機應用程序系統的開發和維護項目應該：
A. 內部實現
B. 外部采購實現
C. 合作實現
D. 多來源合作實現
答案：A。
60. 在信息安全策略體系中，下面哪一項屬于計算機或信息安全的強制性規則？
A. 標準（Standard）
B. 安全策略（Security policy）
C. 方針（Guideline）
D. 流程（Procedure）
答案：A。
61. 下列哪一個說法是正確的？
A. 風險越大，越不需要保護
B. 風險越小，越需要保護
C. 風險越大，越需要保護
D. 越是中等風險，越需要保護
答案：C。
62. 從風險分析的觀點來看，計算機系統的最主要弱點是：
A. 內部計算機處理
B. 系統輸入輸出
C. 通訊和網絡
D. 外部計算機處理
答案：B。
63. 下面哪一種風險對電子商務系統來說是特殊的？
A. 服務中斷
B. 應用程序系統欺騙
C. 未授權的信息泄漏
D. 確認信息發送錯誤
答案：D。
64. 在執行風險分析的時候，預期年度損失（ALE）的計算是：
A. 全部損失乘以發生頻率
B. 全部損失費用+實際替代費用
C. 單次預期損失乘以發生頻率
D. 資產價值乘以發生頻率
答案：C。
65、哪個信息安全評估標準給出了關于IT安全的保密性、完整性、可用性、審計性、認證性、可靠性6個方面含義，并提出了以風險為核心的安全模型？
A、ISO13335標準 B、BS7799標準
C、AS/NZS 4360：1999標準
D、OCTAVE（Operationally Critical Threat, Asset, and Vulnerability Evaluation）
參考答案：A
66、信息系統測評的基礎是什么？
A、數據采集和分析 B、量化評估
C、安全檢測 D、安全評估分析
參考答案：A
2013年01月（CISE）真題：
1、我國信息安全標準化技術委員會（TC260）目前下屬6個工作組，其中負責信息安全管理的小組是：
A. WG 1
B. WG 7
C. WG 3
D. WG 5
參考答案：B
2、下列信息安全相應的標準中是信息安全管理體系標準而不是主要用于對信息系統本身進行安全評價的標準。
A．TCSEC（橘皮書）
B．信息技術安全評估準則ITSEC
C．信息技術安全評估通用標準CC
D．ISO/IEC27000
參考答案：D
3、是目前國際通行的信息技術產品安全性評估標準
A．TCSEC
B．ITSEC
C．CC
D．IATF
參考答案：C
4、下列哪項不是《信息安全等級保護管理辦法》（公通字[2007]43號）規定的內容？
A. 國家信息安全等級保護堅持自主定級、自主保護的原則
B. 國家指定專門部門對信息系統安全等級保護工作進行專門的監督和檢查
C. 跨省或全國統一聯網運行的信息系統可由主管部門統一確定安全保護等級
D. 涉及國家秘密的信息系統不進行分等級保護
參考答案：D
5、下面有關我信息安全管理體質的說法錯誤的是
A. 目前我國的信息安全保障工作是相關部門各司其職、相互配合、齊抓共管的局面
B. 我國的信息安全保障工作綜合利用法律、管理和技術的手段
C. 我國的信息安全管理應堅持及時檢測、快速響應、綜合治理的方針
D. 我國對于信息安全責任的原則是誰主管、誰負責；誰經營、誰負責
參考答案：C
6、以下哪一項不是我國與信息安全有關的國家法律？
A. 《信息安全等級保護管理辦法》
B. 《中華人民共和國保守國家秘密法》
C. 《中華人民共和國刑法》
D. 《中華人民共和國國家安全法》
參考答案：A
7、目前我國形成了相關部門各司其職、相互配合，綜合利用法律、管理和技術手段，共同維護國家信息安全的一個多方“齊抓共管”的信息安全管理體系。“相關部門”不包括：
A. 工業和信息化部
B. 新聞辦
C. 國家保密局
D. 安監局
參考答案：D
8、下面對PDCA模型的解釋不正確的是：
A．通過規劃、實施、檢查和處置的工作程序不斷改進對系統的管理活動
B．是一種可以應用于信息安全管理活動持續改進的有效實踐方法
C．也被稱為“戴明環”
D．適用于對組織整體活動的優化，不適合單人的過程以及個人
參考答案：D
9、以下對PDCA循環特點描述不正確的是：
A．按順序進行，周而復始，不斷循環
B．組織中的每個部分，甚至個人，均可以PDCA循環，大環套小環，一層一層地解決問題
C．每通過一次PDCA循環，都要進行總結，提出新目標，再進行第二次PDCA循環
D．可以由任何一個階段開始，周而復始，不斷循環
參考答案：D
10、在PDCA模型中，ACT（處置）環節的信息安全管理活動是：
A．建立環境
B．實施風險處理計劃
C．持續的監視與評審風險
D．持續改進信息安全管理過程
參考答案：D
11、下述選項中對于“風險管理”的描述正確的是：
A．安全必須是完美無缺、面面俱到的。
B．最完備的信息安全策略就是最優的風險管理對策。
C．在應對信息安全風險時，要從經濟、技術、管理的可行性和有效性上做出權衡和取舍。
D．防范不足就會造成損失；防范過多就可以避免損失。
參考答案：C
12、在風險管理準備階段“建立背景”（對象確立）過程中不應該做的是：
A．分析系統的體系結構
B．分析系統的安全環境
C．制定風險管理計劃
D．調查系統的技術特性
參考答案：C
13、風險評估主要包括風險分析準備、風險要素識別、風險分析和風險結果判定四個主要過程，關于這些過程，以下的說法哪一個是正確的？
A．風險分析準備的內容是識別風險的影響和可能性
B．風險要素識別的內容是識別可能發生的安全事件對信息系統的影響程度
C．風險分析的內容是識別風險的影響和可能性
D．風險結果判定的內容是發現系統存在的威脅、脆弱性和控制措施
參考答案：C，P227，理解：b實際上是風險分析的工作，d實際上是風險識別，識別與進一步分析風險的影響以及程度是風險分析的工作。
14、應對信息安全風險的主要目標是什么？
A．消除可能會影響公司的每一種威脅
B．管理風險，以使由風險產生的問題降至最低限度
C．盡量多實施安全措施以消除資產暴露在其下的每一種風險
D．盡量忽略風險，不使成本過高
參考答案：B
15、風險是需要保護的（ ）發生損失的可能性，它是（ ）和（ ）綜合結果。
A．資產，攻擊目標，威脅事件
B．設備，威脅，漏洞
C．資產，威脅，漏洞
D．以上都不對
參考答案：C
16、下列對風險分析方法的描述正確的是：
A．定量分析比定性分析方法使用的工具更多
B．定性分析比定量分析方法使用的工具更多
C．同一組織只用使用一種方法進行評估
D．符合組織要求的風險評估方法就是最優方法
參考答案：D
17、下列哪種處置方法屬于轉移風險？
A．部署綜合安全審計系統
B．對網絡行為進行實時監控
C．制訂完善的制度體系
D．聘用第三方專業公司提供維護外包服務
參考答案：D
18、在對安全控制進行分析時，下面哪個描述是不準確的？
A．對每一項安全控制都應該進行成本收益分析，以確定哪一項安全控制是必須的和有效的
B．應確保選擇對業務效率影響最小的安全措施
C．選擇好實施安全控制的時機和位置，提高安全控制的有效性
D．仔細評價引入的安全控制對正常業務帶來的影響，采取適當措施，盡可能減少負面效應
參考答案：B
19、某公司正在進行安全風險評估，在決定信息資產的分類與分級時，誰負有最終責任？
A．部門經理
B．高級管理層
C．信息資產所有者
D．最終用戶
參考答案：C
20、以下哪一項不是信息安全策略文檔中必須包含的內容：
A．說明信息安全對組織的重要程度
B．介紹需要符合的法律法規要求
C．信息安全技術產品的選型范圍
D．信息安全管理責任的定義
參考答案：B
21、以下哪一項措施不是用來支持“最小權限”原則的？
A．嚴格限制系統管理員的數量
B．管理員應使用普通用戶身份進行常規操作，如閱讀郵件
C．將系統用戶的角色分為管理員、審計員和普通用戶。
D．只允許系統軟件和應用系統需要使用的數據通過防火墻
參考答案：D
22、當員工或外單位的工作人員離開組織或崗位變化時，必須進行以下的管理程序除了：
A．明確此人不再具有以前的職責
B．確保歸還應當歸還的資產
C．確保屬于以前職責的訪問權限被撤銷
D．安全管理員陪同此人離開工作場所
參考答案：D
23、在一個有充分控制的信息處理計算中心中，下面哪項任務可以由同一個人執行？
A．安全管理和變更管理
B．計算機操作和系統開發
C．系統開發和變更管理
D．系統開發和系統維護
參考答案：B
考核：每題1分，共15分，低于13分者，請重新復習！
1.信息安全管理體系是基于（）方法，來建立、實施、運作、監視、評審、保持和改進信息安全
A.信息安全
B.業務風險
C.信息系統防護
D.安全風險
參考答案：B, P207理解：信息安全保障的最終目標是業務的安全
2.下面哪一項安全控制措施不是用來檢測未經授權的信息處理活動的
A.設置網絡連接時限
B.記錄并分析系統錯誤日志
C.記錄并分析用戶和管理員操作日志
D.啟用時鐘同步
參考答案：A，P361
3.下列安全控制措施的分類中，哪個分類是正確的（P-預防性的，D-檢測性的以及C-糾正性的控制）
1.網絡防火墻
2.RAID級別3
3.銀行賬單的監督復審
4.分配計算機用戶標識
5.交易日志
A.P,P,C,D,andC
B.D,C,C,D,andD
C.P,C,D,P,andC
D.P,D,P,P,andC
參考答案：C，理解：1為預防性措施；2raid3可以標識與恢復數 據，所以是c；銀行賬單的監督復審為檢測性措施；4分配計算機用戶標識屬于事前為p；5交易日志提供時候審查為c
4.風險評估主要包括風險分析準備、風險要素識別、風險分析和風險結果判定四個主要過程，關于這些過程，以下的說法哪一個是正確的？
A.風險分析準備的內容是識別風險的影響和可能性
B.風險要素識別的內容是識別可能發生的安全事件對信息系統的影響程度
C.風險分析的內容是識別風險的影響和可能性
D.風險結果判定的內容是發現系統存在的威脅、脆弱性和控制措施
參考答案：C，P227，理解：b實際上是風險分析的工作，d實際上是風險識別，識別與進一步分析風險的影響以及程度是風險分析的工作。
5.以下哪項不是風險評估階段應該做的？
A對ISMS范圍內的信息資產進行鑒別和估價.
B.對信息資產面對的各種威脅和脆弱性進行評估
C.對已存在的或規劃的安全控制措施進行界定
D.根據評估結果實施相應的安全控制措施
參考答案：D，P228 圖6－9，風險評估只是識別、分析與評價，不涉及具體安全保護與控制實施。問：安全控制措施應該在風險管理的哪個階段做？
5.在風險處置過程中，應當考慮的風險處置措施，通常在哪種情況下采用？
A.負面影響損失小于安全投入
B.負面影響損失和安全投入持平
C.負面影響損失和安全投入都很小
D.安全投入小于負面影響損失
參考答案：D，理解：要充分考慮防護與成本的均衡問題，參見風險管理ppt。
7.以下哪一項不是信息安全管理工作必須遵循的原則？
A.風險管理在系統開發之初就應該予以充分考慮，并要貫穿于整個系統開發過程之中
B.風險管理活動應成為系統開發、運行、維護、直至廢棄的整個生命周期內的持續性工作
C.由于在系統投入使用后部署和應用風險控制措施針對性非更強，實施成本會相對較低
D.在系統正式運行后，應注意殘余風險的管理，以提高快速反應能力
參考答案：C，理解：風險管理應該是越早介入越好
8.對信息安全風險評估要素理解正確的是：
A.資產識別的粒度隨著評估范圍，評估目的的不同而不同，既可以是硬件設備，也可以是業務系統，也可以是組織機構
B.應針對構成信息系統的每個資產做風險評估
C.脆弱性識別時將信息系統安全現狀與國家或行業的安全要求做符合性對比而找出的差距項
D.信息系統面臨的安全威脅僅包括人為故意威脅、人為非故意威脅
參考答案：A
9.以下哪一項不是建筑物的自動化訪問審計系統記錄的日志的內容
A.出入的原因
B.出入的時間
C.出入口的位置
D.是否成功進入
參考答案：A
10.信息安全策略是管理層對信息安全工作意圖和方向的正式表述，以下哪一項不知信息安全策略文檔中必須包含的內容
A.說明信息安全對組織的重要程度
B.介紹需要符合的法律法規要求
C.信息安全技術產品的選型范圍
D.信息安全管理責任的定義
參考答案：C
11.作為信息中心的主任，你發現沒有足夠的人力資源保證將數據庫管理員和網絡管理員的崗位分配給兩個不同的人擔任，這種情況造成了一定的安全風險，這是你應該怎么做？
A.抱怨且無能為力
B.向上級報告該情況，等待增援人手
C.通過部署審計措施和定期審查來降低風險
D.由于增加人力會造成新的人力成本，所以接受該風險
參考答案：C，理解：人力資源不夠，但dba與網絡管理員的崗位不能空缺，所以此時無法用規避與轉移的方式來處理風險，只能考慮采用降低的方式。
12.以下人員中，誰有決定信息分類級別的責任？
A.用戶
B.數據所有者
C.審計員
D.安全官
參考答案：B
13.ISMS所要求的文件應予以保護和控制，應編制形成文件控制程序，下列哪項不是該程序所規定的管理措施？
A.確保文件的更改和現行修改狀態得到標識
B.防止作廢文件的非預期使用
C.確保文件可以為需要者所獲得，但防止需要者對文件轉移、儲存和銷毀
D.確保在使用處可獲得適用文件的最新版本
參考答案：D
14.下列哪些內容應包含在信息系統戰略計劃中？
A.已規劃的硬件采購的規范
B.將來業務目標的分析
C.開發項目的目標日期
D.信息系統不同的年度預算目標
參考答案：B
15.ISO27002中描述的11個信息安全管理控制領域不包括
A.信息安全組織
B.資產管理
C.內容安全
D.人力資源安全
參考答案：C

網友評論 more

綜合最新內容

06-03