有关pdf签名_百度知道
有关pdf签名
我下了个pdf文档,作者给了我一个证书 A 和安装证书时输入的密码B每次都要上网验证!请问
B是不是就是那个公钥?有高手能对这个数字签名流程做个解释吗?最好配合这个例子说明
我有更好的答案
美国电子签名标准（DSS，FIPS186-2）对数字签名作了如下解释：&利用一套规则和一个参数对数据计算所得的结果，用此结果能够确认签名者的身份和数据的完整性&quot。 在电子邮件使用频繁的网络时代，来代替书写签名和印章；这种电子式的签名还可进行技术验证;数字签名&quot，起到与手写签名或者盖章同等作用的签名的电子技术手段，即通称为认证机构CA（Certificate Authority），不过两者的关系也很密切。根据“OnSign”的设计。 ，合同或文件是以电子文件的形式表现和传递的。在电子文件上，其验证的准确度是在物理世界中对手工签名和图章的验证是无法比拟的;就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，也可以单击“数字签名”上的蓝色问号，或是对数据单元所作的密码变换，这种数据和变换允许数据单元的接收者用以确认数据单元来源和数据单元的完整性，传统的手写签名和盖章是无法进行的，这就必须依*技术手段来替代。能够在电子文件中识别双方交易人的真实身份。联合国贸发会的《电子签名示范法》中对电子签名作如下定义，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证而无法比拟的??数字签名 ?。当然如果收件人还不放心，防止被人（例如接收者）进行伪造&;数字签名&quot，保证交易的安全性和真实性以及不可抵懒性，任何文件内容的窜改与拦截，都会让签名失效。因此当对方识别出你的“数字签名”。 、可操作性最强的一种电子签名方法。 PKI的核心执行机构是电子认证服务提供者，并且中途没有被窜改或拦截过，但目前比较成熟的，世界先进国家普遍使用的电子签名技术还是&quot，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性，并产生对数字电文的签名及验证签名。数字签名是利用公钥密码技术和其他密码算法生成一系列符号及代码组成电子密码进行签名，作为一种判别的方法&称电子签名。 ?，需要从传统手工签名或盖印章谈起，就能确定这份文件是由你本人所发出的，一份书面合同或公文要由当事人或其负责人签字，称之为电子签名，目前电子签名法中提到的签名？ 电子签名和数字签名的内涵并不一样;。按上述定义PKI（Public Key Infrastructino 公钥基础设施）提供可以提供数据单元的密码变换，并能使接收者判断数据来源及对数据进行验证。&quot?所谓&quot。这种签名方法可在很大的可信PKI域人群中进行认证，或在多个可信的PKI域中进行交*认证，并保护数据。 该流程非常安全，一些政府已经立法赋予数字签名法律效力，你只要利用扫描仪或作图工具将你的个性签名、印章甚至相片等，制作成BMP文件??从法律上讲，签名有两个功能：即标识签名人和表示签名人对文件内容的认可;数字签名&quot、电子政务中应用最普遍、技术最成熟的;数字签名&quot，需输入自己的密码，以确保他人无法盗用。 对于使用了“OnSign”寄出的文件，收件人也需要安装“OnSign”或“OnSign Viewer”。但是，目前电子签名法中提到的签名，一般指的就是&数字签名&，每次使用时;技术。由于保持技术中立性是制订法律的一个基本原则，目前还没有任何理由说明公钥密码理论是制作签名的唯一技术，因此有必要规定一个更一般化的概念以适应今后技术的发展，就像传统信件中的“挂号信”，用法和原理都大同小异，其中比较常用的有“ OnSign”。安装“OnSign”后，在Word、Outlook等程序的工具栏上，就会出现，以更好地保证文档的真实性、完整性和受认可性，PKI签名的核心元素是由CA签发的数字证书，Adobe 使所有行业都可以将数字签名嵌入到 Adobe& 便携式文档格式 (PDF) 文件中。它所提供的PKI服务就是认证、数据完整性、数据保密性和不可否认性。它的作法就是利用证书公钥和与之对应的私钥进行加/解密：什么是数字签名，它特别适用于互联网和广域网上的安全认证和传输。 “数字签名”与普通文本签名的最大区别在于，它可以使用个性鲜明的图形文件：&quot?实现电子签名的技术手段有很多种，一般指的就是&quot，“OnSign”就会再次自动检查，如果文件有问题，“数字签名”上就会出现红色的警告标志，在法律上才能承认这份合同是有效的。而在电子商务的虚拟世界中，使用好“数字签名”;是目前电子商务，无疑为网络传输文件的安全又增加了一道保护屏障。 数字签名可以用来验证文档的真实性和完整性，数字签名使用强大的加密技术和公钥基础结构。它采用了规范化的程序和科学化的方法?以电子形式所附或在逻辑上与其他电子数据相关的数据;附加在数据单元上的一些数据，“OnSign”的快捷按钮。 在与包括 Entrust 和 VeriSign 在内的一流安全供应商的合作中？数字签名与电子签名是不是一回事、盖章，以便让交易双方识别是谁签的合同，保证签字或盖章的人认可合同的内容??要理解什么是电子签名、真实性和不可抵赖性我这里给出一个比较全面的回答??数字签名在ISO7498-2标准中定义为，数字签名是电子签名技术中的一种。 ，这样才具备了识别“数字签名”的功能。在传统商务活动中，为了保证交易的安全与真实;；在欧盟的《电子签名共同框架指令》中就规定：&指在数据电文中以电子形式所含、所附或在逻辑上与数据电文有联系的数据它可用于鉴别与数据电文相关的签名人和表明签名人认可数据电文所含信息&quot，就可以当做“数字签名”的素材。 目前可以提供“数字签名”功能的软件很多;。 电子签名
参考资料：
pdf专业人士
采纳率：47%
为您推荐：
其他类似问题
您可能关注的内容
签名的相关知识
换一换
回答问题，赢新手礼包
个人、企业类
违法有害信息,请在下方选择后提交
色情、暴力
我们会通过消息、邮箱等方式尽快将举报结果通知您。> 问题详情
在身份认证中，使用最广泛的一种身份验证方法是A．口令或个人识别码B．令牌C．个人特征D．以上都是
悬赏：0&答案豆
提问人：匿名网友
发布时间：
在身份认证中，使用最广泛的一种身份验证方法是A．口令或个人识别码B．令牌C．个人特征D．以上都是请帮忙给出正确答案和分析，谢谢！
为您推荐的考试题库
您可能感兴趣的试题
1常规加密的安全性取决于A．加密密钥的保密性B．加密算法的保密性C．加密密钥和加密算法的双重保密性D．加密密钥、密文和加密算法的保密性2数字信封技术能够A．对发送者和接收者的身份进行认证B．对发送者的身份进行认证C．防止交易中的抵赖发生D．保证数据在传输过程中的安全性3电子商务的安全要求包括A．数据传输的安全性和完整性B．交易的不可抵赖C．交易的公正性D．以上都对4在下列事务中，不能通过B to B来实现的事务是A．接受发票和付款B．实现协同作业C．信息共享D．实现网上纳税
我有更好的答案
请先输入下方的验证码查看最佳答案
图形验证：
验证码提交中……
找答案会员
享三项特权
找答案会员
享三项特权
找答案会员
享三项特权
选择支付方式：
支付宝付款
郑重提醒：支付后，系统自动为您完成注册
请使用微信扫码支付(元)
支付后，系统自动为您完成注册
遇到问题请联系在线客服QQ：
恭喜你被选中为
扫一扫-免费查看答案！
请您不要关闭此页面,支付完成后点击支付完成按钮
遇到问题请联系在线客服QQ：
恭喜您！升级VIP会员成功
提示：请截图保存您的账号信息，以方便日后登录使用。
常用邮箱：
用于找回密码
确认密码：CISP试题及答案(515多题整理版)
&&&&1. 以下对信息安全描述不正确的是 a.信息安全的基本要素包括保密性、完整性和可用性 b.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安 全事件对业务造成的影响减到最小，确保组织业务运行的连续性 c.信息安全就是不出安全事故/事件 d.信息安全不仅仅只考虑防止信息泄密就可以了 【答案】 c 2. 以下对信息安全管理的描述错误的是 a.保密性、完整性、可用性 b.抗抵&&&&赖性、可追溯性 c.真实性私密性可靠性 d.增值性 【答案】 d 3. 以下对信息安全管理的描述错误的是 a.信息安全管理的核心就是风险管理 b.人们常说，三分技术，七分管理，可见管理对信息安全的重要性 c.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂 d.信息安全管理工作的重点是信息系统，而不是人 【答案】 d 4. 企业按照ｉｓｏ２７００１标准建立信息安全管理体系的过程中， 对关键成功因素的描述不正确的是 a. 不需要全体员工的参入，只要ｉｔ部门的人员参入即可 b. 来自高级管理层的明确的支持和承诺 c.对企业员工提供必要的安全意识和技能的培训和教育 d. 所有管理者、 员工及其他伙伴方理解企业信息安全策略、 指南和标准， 并遵照执行 【答案】 a 5. 信息安全管理体系（isms）是一个怎样的体系，以下描述不正确的 是 a. isms 是一个遵循 pdca 模式的动态发展的体系 b. isms 是一个文件化、系统化的体系 c.isms 采取的各项风险控制措施应该根据风险评估等途径得出的需求而 定 d. isms 应该是一步到位的，应该解决所有的信息安全问题 【答案】 d 6. pdca 特征的描述不正确的是 a. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题 b. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解 决问题 c.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足 d. 信息安全风险管理的思路不符合 pdca 的问题解决思路 【答案】 d 7. 以下哪个不是信息安全项目的需求来源 a. 国家和地方政府法律法规与合同的要求b. 风险评估的结果 c.组织原则目标和业务需要 d. 企业领导的个人意志 【答案】 d 8. iso27001 认证项目一般有哪几个阶段 a. 管理评估，技术评估，操作流程评估 b. 确定范围和安全方针， 风险评估， 风险控制 （文件编写） 体系运行， ， 认证 c.产品方案需求分析，解决方案提供，实施解决方案 d. 基础培训，ra 培训，文件编写培训，内部审核培训 【答案】 b 9. 构成风险的关键因素有哪些 a. 人，财，物 b. 技术，管理和操作 c.资产，威胁和弱点 d. 资产，可能性和严重性 【答案】 c 10. 以下哪些不是应该识别的信息资产 a. 网络设备 b.客户资料 c. 办公桌椅 d. 系统管理员 【答案】 c 11. 以下哪些是可能存在的威胁因素b a. 设备老化故障 b.病毒和蠕虫 c. 系统设计缺陷 d. 保安工作不得力 【答案】 b 12. 以下哪些不是可能存在的弱点问题 a. 保安工作不得力 b.应用系统存在 bug c. 内部人员故意泄密 d. 物理隔离不足 【答案】 c 13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个 不是需要遵循的原则 a. 只识别与业务及信息系统有关的信息资产，分类识别 b.所有公司资产都要识别 c. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键 资产 d. 资产识别务必明确责任人、保管者和用户 【答案】 b 14. 风险分析的目的是a. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡； b.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡； c. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡； d. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡； 【答案】 c 15. 对于信息安全风险的描述不正确的是 a. 企业信息安全风险管理就是要做到零风险 b. 在信息安全领域，风险（risk）就是指信息资产遭受损坏并给企业带 来负面影响及其潜在可能性 c.风险管理（risk management）就是以可接受的代价，识别控制减少或 消除可能影响信息系统的安全风险的过程。 d. 风险评估 （risk assessment） 就是对信息和信息处理设施面临的威胁、 受到的影响、存在的弱点以及威胁发生的可能性的评估。 【答案】a 16. 有关定性风险评估和定量风险评估的区别，以下描述不正确的是 a. 定性风险评估比较主观，而定量风险评估更客观 b. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证 c.定性风险评估更成熟，定量风险评估还停留在理论阶段 d. 定性风险评估和定量风险评估没有本质区别，可以通用 【答案】 d 17. 降低企业所面临的信息安全风险，可能的处理手段不包括哪些 a. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身 的缺陷 b. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性； c.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的 攻击 d. 通过业务外包的方式，转嫁所有的安全风险 【答案】 d 18. 风险评估的基本过程是怎样的 a. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最 终确定风险 b. 通过以往发生的信息安全事件，找到风险所在 c.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位 d. 风险评估并没有规律可循，完全取决于评估者的经验所在 【答案】 a 19. 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是 适当的 a. 只关注外来的威胁，忽视企业内部人员的问题 b. 相信来自陌生人的邮件，好奇打开邮件附件 c.开着电脑离开，就像离开家却忘记关灯那样 d. 及时更新系统和安装系统和应用的补丁 【答案】 d 20. 以下对 iso27001 标准的描述不正确的是 a. 企业通过 iso27001 认证则必须符合 iso27001 信息安全管理体系规范的所有要求 b. iso27001 标准与信息系统等级保护等国家标准相冲突 c.iso27001 是源自于英国的国家标准 bs7799 d. iso27001 是当前国际上最被认可的信息安全管理标准 【答案】 b 21. 对安全策略的描述不正确的是 a. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的 描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实 施过程 b. 策略应有一个属主，负责按复查程序维护和复查该策略 c.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺； d. 安全策略一旦建立和发布，则不可变更； 【答案】 d 22. 以下对企业信息安全活动的组织描述不正确的是 a. 企业应该在组织内建立发起和控制信息安全实施的管理框架。 b. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理 设施和信息资产的安全。 c.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外 部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。 d. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员 工采取安全管控措施 【答案】 d 23. 企业信息资产的管理和控制的描述不正确的是 a. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管 控责任； b. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应 的管控措施； c.企业的信息资产不应该分类分级，所有的信息系统要统一对待 d. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息 资产 【答案】 c 24. 有关人员安全的描述不正确的是 a. 人员的安全管理是企业信息安全管理活动中最难的环节 b. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查 c.企业人员预算受限的情况下， 职责分离难以实施， 企业对此无能为力， 也无需做任何工作 d. 人员离职之后，必须清除离职员工所有的逻辑访问帐号 【答案】 c 25. 以下有关通信与日常操作描述不正确的是 a. 信息系统的变更应该是受控的 b. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则 c.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏 d. 内部安全审计无需遵循独立性、客观性的原则 【答案】 d26. 以下有关访问控制的描述不正确的是 a. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护 和管理 b. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则” ， 即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限 一律不能分配 c.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提 升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险； d. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入； 【答案】d 27. 有关信息系统的设计、 开发、 实施、 运行和维护过程中的安全问题， 以下描述错误的是 a. 信息系统的开发设计，应该越早考虑系统的安全需求越好 b. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不 仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统 c.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密 钥的管理 d. 运营系统上的敏感、 真实数据直接用作测试数据将带来很大的安全风 险 【答案】 c 28. 有关信息安全事件的描述不正确的是 a. 信息安全事件的处理应该分类、分级 b. 信息安全事件的数量可以反映企业的信息安全管控水平 c.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信 息安全风险很小 d. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追 溯，以吸取教训、总结经验，防止类似事情再次发生 【答案】 c 29. 以下有关信息安全方面的业务连续性管理的描述，不正确的是 a. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重 大灾难/破坏时，能够及时恢复，保障企业业务持续运营 b. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核 心业务 c.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性 计划文档 d. 信息安全方面的业务连续性管理只与 it 部门相关，与其他业务部门 人员无须参入 【答案】 d 30. 企业信息安全事件的恢复过程中，以下哪个是最关键的 a. 数据 b. 应用系统 c.通信链路 d. 硬件/软件 【答案】 a31. 企业 isms(信息安全管理体系)建设的原则不包括以下哪个 a. 管理层足够重视 b. 需要全员参与 c.不必遵循过程的方法 d. 需要持续改进 【答案】 c 32. pdca 特征的描述不正确的是 a. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题 b. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解 决问题 c.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足 d. 信息安全风险管理的思路不符合 pdca 的问题解决思路 【答案】 d 33. 对于在 isms 内审中所发现的问题，在审核之后应该实施必要的改 进措施并进行跟踪和评价，以下描述不正确的是 a. 改进措施包括纠正和预防措施 b. 改进措施可由受审单位提出并实施 c.不可以对体系文件进行更新或修改 d. 对改进措施的评价应该包括措施的有效性的分析 【答案】 c 34. isms 的审核的层次不包括以下哪个 a. 符合性审核 b. 有效性审核 c.正确性审核 d. 文件审核 【答案】 c 35. 以下哪个不可以作为 isms 管理评审的输入 a. isms 审计和评审的结果 b. 来自利益伙伴的反馈 c. 某个信息安全项目的技术方案 d. 预防和纠正措施的状态 【答案】 c 36. 有关认证和认可的描述，以下不正确的是 a. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面 保证（合格证书） b. 根据对象的不同，认证通常分为产品认证和体系认证 c.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能 力给予的正式承认 d. 企业通过 iso27001 认证则说明企业符合 iso27001 和 iso27002 标准 的要求 【答案】 d 37. 信息的存在及传播方式 a. 存在于计算机、磁带、纸张等介质中 b. 记忆在人的大脑里c.. 通过网络打印机复印机等方式进行传播 d. 通过投影仪显示 【答案】 d 38. 下面哪个组合不是是信息资产 a. 硬件、软件、文档资料 b. 关键人员 c.. 组织提供的信息服务 d. 桌子、椅子 【答案】 d 39. 实施 isms 内审时，确定 isms 的控制目标、控制措施、过程和程序 应该要符合相关要求，以下哪个不是 a. 约定的标准及相关法律的要求 b.已识别的安全需求 c. 控制措施有效实施和维护 d. iso13335 风险评估方法 【答案】 d 40. 以下对审核发现描述正确的是 a. 用作依据的一组方针、程序或要求 b.与审核准则有关的并且能够证实的记录、事实陈述或其他信息 c. 将收集到的审核证据依照审核准则进行评价的结果， 可以是合格/符合 项，也可以是不合格/不符合项 d. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述 【答案】 c 41. isms 审核常用的审核方法不包括 a. 纠正预防 b.文件审核 c. 现场审核 d. 渗透测试 【答案】 a 42. isms 的内部审核员（非审核组长）的责任不包括 a. 熟悉必要的文件和程序； b.根据要求编制检查列表； c. 配合支持审核组长的工作，有效完成审核任务； d. 负责实施整改内审中发现的问题； 【答案】 d 43. 审核在实施审核时，所使用的检查表不包括的内容有 a. 审核依据 b.审核证据记录 c. 审核发现 d. 数据收集方法和工具 【答案】 c 44. isms 审核时，首次会议的目的不包括以下哪个 a. 明确审核目的、审核准则和审核范围 b.明确审核员的分工c. 明确接受审核方责任，为配合审核提供必要资源和授权 d. 明确审核进度和审核方法，且在整个审核过程中不可调整 【答案】 d 45. isms 审核时，对审核发现中，以下哪个是属于严重不符合项 a. 关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不 符合项 b.风险评估方法没有按照 iso27005（信息安全风险管理）标准进行 c. 孤立的偶发性的且对信息安全管理体系无直接影响的问题； d. 审核员识别的可能改进项 【答案】 d 46. 以下关于 isms 内部审核报告的描述不正确的是 a. 内审报告是作为内审小组提交给管理者代表或最高管理者的工作成 果 b.内审报告中必须包含对不符合性项的改进建议 c. 内审报告在提交给管理者代表或者最高管理者之前应该受审方管理 者沟通协商，核实报告内容。 d. 内审报告中必须包括对纠正预防措施实施情况的跟踪 【答案】 d 47. 信息系统审核员应该预期谁来授权对生产数据和生产系统的访 问 a.流程所有者 b.系统管理员 c.安全管理员 d.数据所有者 【答案】 d 48. 当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一 道防线是下列哪一项 a. 个人防火墙 b.防病毒软件 c.入侵检测系统 d.虚拟局域网设置 【答案】 c 49. 负责授权访问业务系统的职责应该属于： a.数据拥有者 b.安全管理员 c. it 安全经理 d.请求者的直接上司 【答案】 a 50. 在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么 做 a.外部代理商的处理应该接受一个来自独立代理进行的 is 审计。 b.外部代理商的员工必须接受该组织的安全程序的培训。 c. 来自外部代理商的任何访问必须限制在停火区（dmz） d.该组织应该进行风险评估，并制定和实施适当的控制。【答案】 d 51. 处理报废电脑的流程时，以下哪一个选项对于安全专业人员来说是 最重要考虑的内容 a.在扇区这个级别上，硬盘已经被多次重复写入，但是在离开组织前没 有进行重新格式化。 b.硬盘上所有的文件和文件夹都分别删除了，并在离开组织进行重新格 式化。 c. 在离开组织前，通过在硬盘特定位置上洞穿盘片，进行打洞，使得硬 盘变得不可读取。 d.由内部的安全人员将硬盘送到附近的金属回收公司，对硬盘进行登记 并粉碎。 【答案】 b 52. 一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪 个是最有效的技术来达成这个策略 a.a.状态检测防火墙 b.b.网页内容过滤 c..网页缓存服务器 d.d.代理服务器 【答案】 b 53. 当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一 项是信息安全专业人士最重要的考虑因素该提供商： a.满足并超过行业安全标准 b.同意可以接受外部安全审查 c.其服务和经验有很好的市场声誉 d.符合组织的安全策略 【答案】 d 54. 一个组织将制定一项策略以定义了禁止用户访问的 web 站点类型。 为强制执行这一策略，最有效的技术是什么 a.状态检测防火墙 b.we 内容过滤器 c.web 缓存服务器 d.应该代理服务器 【答案】 b 55. 在制定一个正式的企业安全计划时，最关键的成功因素将是 a.成立一个审查委员会 b.建立一个安全部门 c.向执行层发起人提供有效支持 d.选择一个安全流程的所有者 【答案】 c 56. 对业务应用系统授权访问的责任属于： a.数据所有者 b.安全管理员 c.it 安全经理 d.申请人的直线主管【答案】 a 57. 下列哪一项是首席安全官的正常职责 a.定期审查和评价安全策略 b.执行用户应用系统和软件测试与评价 c.授予或废除用户对 it 资源的访问权限 d.批准对数据和应用系统的访问权限 【答案】 b 58. 向外部机构提供其信息处理设施的物理访问权限前，组织应当做什 么 a.该外部机构的过程应当可以被独立机构进行 it 审计 b.该组织应执行一个风险评估，设计并实施适当的控制 c.该外部机构的任何访问应被限制在 dmz 区之内 d.应当给该外部机构的员工培训其安全程序 【答案】 b 59. 某组织的信息系统策略规定， 终端用户的 id 在该用户终止后 90 天 内失效。组织的信息安全内审核员应： a.报告该控制是有效的，因为用户 id 失效是符合信息系统策略规定的时 间段的 b.核实用户的访问权限是基于用所必需原则的 c.建议改变这个信息系统策略，以保证用户 id 的失效与用户终止一致 d.建议终止用户的活动日志能被定期审查 【答案】 c 60. 减少与钓鱼相关的风险的最有效控制是： a.系统的集中监控 b.钓鱼的信号包括在防病毒软件中 c.在内部网络上发布反钓鱼策略 d.对所有用户进行安全培训 【答案】 d 61. 在人力资源审计期间， 安全管理体系内审员被告知在 it 部门和人力 资源部门中有一个关于期望的 it 服务水平的口头协议。 安全管理体系内 审员首先应该做什么 a.为两部门起草一份服务水平协议 b.向高级管理层报告存在未被书面签订的协议 c.向两部门确认协议的内容 d.推迟审计直到协议成为书面文档 【答案】 c 62. 下面哪一个是定义深度防御安全原则的例子 a.使用由两个不同提供商提供的防火墙检查进入网络的流量 b.在主机上使用防火墙和逻辑访问控制来控制进入网络的流量 c.在数据中心建设中不使用明显标志 d.使用两个防火墙检查不同类型进入网络的流量 【答案】 a 63. 下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中 等规模的组织中通过互联网连接私有网络a. 虚拟专用网 b.专线 c. 租用线路 d. 综合服务数字网. 【答案】 a 64. 通过社会工程的方法进行非授权访问的风险可以通过以下方法避 免： a. 安全意识程序 b.非对称加密 c. 入侵侦测系统 d. 非军事区 【答案】 a 65. 在安全人员的帮助下，对数据提供访问权的责任在于： a. 数据所有者. b.程序员 c. 系统分析师. d. 库管员 【答案】 a 66. 信息安全策略,声称&密码的显示必须以掩码的形式&的目的是防范 下面哪种攻击风险 a. 尾随 b.垃圾搜索 c. 肩窥 d. 冒充 【答案】c 67. 管理体系审计员进行通信访问控制审查，首先应该关注： a. 维护使用各种系统资源的访问日志 b.在用户访问系统资源之前的授权和认证 c. 通过加密或其他方式对存储在服务器上数据的充分保护 d. 确定是否可以利用终端系统资源的责任制和能力. 【答案】 d 68. 下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的： a. 服务器防毒软件 b.病毒墙 c. 工作站防病毒软件 d. 病毒库及时更新 【答案】 d 69. 测试程序变更管理流程时，安全管理体系内审员使用的最有效的方 法是： a.由系统生成的信息跟踪到变更管理文档 b.检查变更管理文档中涉及的证据的精确性和正确性 c. 由变更管理文档跟踪到生成审计轨迹的系统 d. 检查变更管理文档中涉及的证据的完整性 【答案】 a70. 内部审计部门,从组织结构上向财务总监而不是审计委员会报告,最 有可能： a.导致对其审计独立性的质疑 b.报告较多业务细节和相关发现 c. 加强了审计建议的执行 d. 在建议中采取更对有效行动 【答案】 a 71. 下面哪一种情况可以使信息系统安全官员实现有效进行安全控制 的目的 a.完整性控制的需求是基于风险分析的结果 b.控制已经过了测试 c. 安全控制规范是基于风险分析的结果 d. 控制是在可重复的基础上被测试的 【答案】 d 72. 下列哪一种情况会损害计算机安全策略的有效性 a.发布安全策略时 b.重新检查安全策略时 c. 测试安全策略时 d. 可以预测到违反安全策略的强制性措施时 【答案】 d 73. 组织的安全策略可以是广义的，也可以是狭义的，下面哪一条是属 于广义的安全策略 a.应急计划 b.远程办法 c. 计算机安全程序 d. 电子邮件个人隐私 【答案】 c 74. 基本的计算机安全需求不包括下列哪一条： a.安全策略和标识 b.绝对的保证和持续的保护 c. 身份鉴别和落实责任 d. 合理的保证和连续的保护 【答案】 b 75. 软件的盗版是一个严重的问题。在下面哪一种说法中反盗版的策略 和实际行为是矛盾的 a.员工的教育和培训 b.远距离工作（telecommuting）与禁止员工携带工作软件回家 c. 自动日志和审计软件 d. 策略的发布与策略的强制执行 【答案】 b 76. 组织内数据安全官的最为重要的职责是： a.推荐并监督数据安全策略 b.在组织内推广安全意识 c. 制定 it 安全策略下的安全程序/流程d. 管理物理和逻辑访问控制 【答案】 a 77. 下面哪一种方式，能够最有效的约束雇员只能履行其分内的工作 a.应用级访问控制 b.数据加密 c. 卸掉雇员电脑上的软盘和光盘驱动器 d. 使用网络监控设备 【答案】 a 78. 内部审计师发现不是所有雇员都了解企业的信息安全策略。内部审 计师应当得出以下哪项结论： a.这种缺乏了解会导致不经意地泄露敏感信息 b.信息安全不是对所有职能都是关键的 c. is 审计应当为那些雇员提供培训 d. 该审计发现应当促使管理层对员工进行继续教育 【答案】 a 79. 设计信息安全策略时，最重要的一点是所有的信息安全策略应该: a. 非现场存储 b.b) 由 is 经理签署 c. 发布并传播给用户 d. 经常更新 【答案】 c 80. 负责制定、执行和维护内部安全控制制度的责任在于: a. is 审计员. b.管理层. c.外部审计师. d.程序开发人员. 【答案】 b 81. 组织与供应商协商服务水平协议，下面哪一个最先发生 a.制定可行性研究. b.检查是否符合公司策略. c.草拟服务水平协议. d.草拟服务水平要求 【答案】 b 82. 以下哪一个是数据保护的最重要的目标 a.确定需要访问信息的人员 b.确保信息的完整性 c.拒绝或授权对系统的访问 d.监控逻辑访问 【答案】 a 83. 在逻辑访问控制中如果用户账户被共享，这种局面可能造成的最大 风险是: a.非授权用户可以使用 id 擅自进入. b.用户访问管理费时. c.很容易猜测密码.d.无法确定用户责任 【答案】 d 84. 作为信息安全治理的成果,战略方针提供了: a.企业所需的安全要求 b.遵从最佳实务的安全基准 c. 日常化制度化的解决方案 d. 风险暴露的理解 【答案】 a 85. 企业由于人力资源短缺，it 支持一直以来由一位最终用户兼职，最 恰当的补偿性控制是： a.限制物理访问计算设备 b.检查事务和应用日志 c. 雇用新 it 员工之前进行背景调查 d. 在双休日锁定用户会话 【答案】 b 86. 关于安全策略的说法，不正确的是 a.得到安全经理的审核批准后发布 b. 应采取适当的方式让有关人员获得并理解最新版本的策略文档 c.控制安全策略的发布范围，注意保密 d.系统变更后和定期的策略文件评审和改进 【答案】 a 87. 哪一项不是管理层承诺完成的 a.确定组织的总体安全目标 b. 购买性能良好的信息安全产品 c.推动安全意识教育 d. 评审安全策略的有效性 【答案】 b 88. 安全策略体系文件应当包括的内容不包括 a.信息安全的定义、总体目标、范围及对组织的重要性 b.对安全管理职责的定义和划分 c. 口令、加密的使用是阻止性的技术控制措施； d. 违反安全策略的后果 【答案】 c 89. 对信息安全的理解，正确的是 a.信息资产的保密性、完整性和可用性不受损害的能力，是通过信息安 全保障措施实现的 b. 通过信息安全保障措施，确保信息不被丢失 c. 通过信息安全保证措施，确保固定资产及相关财务信息的完整性 d. 通过技术保障措施，确保信息系统及财务数据的完整性、机密性及可 用性 【答案】 a 90. 以下哪项是组织中为了完成信息安全目标，针对信息系统，遵循安 全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指 导、协调和控制等活动a.反应业务目标的信息安全方针、目标以及活动； b.来自所有级别管理者的可视化的支持与承诺； c.提供适当的意识、教育与培训 d.以上所有 【答案】 d 91. 信息安全管理体系要求的核心内容是 a.风险评估 b.关键路径法 c.pdca 循环 d.pert 【答案】 c 92. 有效减少偶然或故意的未授权访问、误用和滥用的有效方法是如下 哪项 a.访问控制 b.职责分离 c.加密 d.认证 【答案】 b 93. 下面哪一项组成了 cia 三元组 a.保密性，完整性，保障 b.保密性，完整性，可用性 c.保密性，综合性，保障 d.保密性，综合性，可用性 【答案】 b 94. 在信息安全策略体系中，下面哪一项属于计算机或信息安全的强制 性规则 a.标准（standard） b.安全策略（security policy） c.方针（guideline） d.流程（procedure） 【答案】 a 95. 在许多组织机构中，产生总体安全性问题的主要原因是： a.缺少安全性管理 b.缺少故障管理 c.缺少风险分析 d.缺少技术控制机制 【答案】 a 96. 下面哪一项最好地描述了风险分析的目的 a.识别用于保护资产的责任义务和规章制度 b.识别资产以及保护资产所使用的技术控制措施 c.识别资产、脆弱性并计算潜在的风险 d.识别同责任义务有直接关系的威胁 【答案】 c 97. 以下哪一项对安全风险的描述是准确的a.安全风险是指一种特定脆弱性利用一种或一组威胁造成组织的资产损 失或损害的可能性。 b.安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产 损失事实。 c.安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产 损失或损害的可能性 d.安全风险是指资产的脆弱性被威胁利用的情形。 【答案】 c 98. 以下哪些不属于脆弱性范畴 a.黑客攻击 b.操作系统漏洞 c.应用程序 bug d.人员的不良操作习惯 【答案】 a 99. 依据信息系统安全保障模型，以下那个不是安全保证对象 a.机密性 b.管理 c.过程 d.人员 【答案】 a 100. 以下哪一项是已经被确认了的具有一定合理性的风险 a.总风险 b.最小化风险 c.可接受风险 d.残余风险 【答案】 c 101. 以下哪一种人给公司带来最大的安全风险 a.临时工 b.咨询人员 c.以前员工 d.当前员工 【答案】 d 102. 一组将输入转化为输出的相互关联或相互作用的什么叫做过程 a.数据 b.信息流 c.活动 d.模块 【答案】 c 103. 系统地识别和管理组织所应用的过程，特别是这些过程之间的相 互作用，称为什么 a.戴明循环 b.过程方法 c.管理体系 d. 服务管理【答案】 b 104. 拒绝式服务攻击会影响信息系统的哪个特性 a.完整性 b.可用性 c.机密性 d.可控性 【答案】 b 105. 在信息系统安全中，风险由以下哪两种因素共同构成的 a.攻击和脆弱性 b.威胁和攻击 c.威胁和脆弱性 d.威胁和破坏 【答案】 c 106. 在信息系统安全中，暴露由以下哪两种因素共同构成的 a.攻击和脆弱性 b.威胁和攻击 c.威胁和脆弱性 d.威胁和破坏 【答案】 a 107. 信息安全管理最关注的是 a.外部恶意攻击 b.病毒对 pc 的影响 c.内部恶意攻击 d. 病毒对网络的影响 【答案】 c 108. 从风险管理的角度，以下哪种方法不可取 a.接受风险 b.分散风险 c.转移风险 d.拖延风险 【答案】 d 109. isms 文档体系中第一层文件是 a.信息安全方针政策 b.信息安全工作程序 c.信息安全作业指导书 d.信息安全工作记录 【答案】 a 110. 以下哪种风险被定义为合理的风险 a.最小的风险 b.可接收风险 c.残余风险 d.总风险 【答案】 b 111. 从目前的情况看，对所有的计算机系统来说，以下哪种威胁是最为严重的，可能造成巨大的损害 a.没有充分训练或粗心的用户 b.第三方 c.黑客 d.心怀不满的雇员 【答案】 d 112. 如果将风险管理分为风险评估和风险减缓，那么以下哪个不属于 风险减缓的内容 a.计算风险 b.选择合适的安全措施 c.实现安全措施 d.接受残余风险 【答案】 a 113. 通常最好由谁来确定系统和数据的敏感性级别 a.审计师 b.终端用户 c.拥有者 d.系统分析员 【答案】 c 114. 风险分析的目的是 a.在实施保护所需的成本与风险可能造成的影响之间进行技术平衡； b.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡； c.在实施保护所需的成本与风险可能造成的影响之间进行经济平衡； d.在实施保护所需的成本与风险可能造成的影响之间进行法律平衡； 【答案】 c 115. 以下哪个不属于信息安全的三要素之一 a. 机密性 b. 完整性 c.抗抵赖性 d.可用性 【答案】 c 116. isms 指的是什么 a.信息安全管理 b.信息系统管理体系 c.信息系统管理安全 d.信息安全管理体系 【答案】 d 117. 在确定威胁的可能性时，可以不考虑以下哪个 a. 威胁源 b.潜在弱点 c.现有控制措施 d.攻击所产生的负面影响 【答案】 d 118. 在风险分析中，以下哪种说法是正确的a.定量影响分析的主要优点是它对风险进行排序并对那些需要立即改善 的环节进行标识。 b. 定性影响分析可以很容易地对控制进行成本收益分析。 c.定量影响分析不能用在对控制进行的成本收益分析中。 d. 定量影响分析的主要优点是它对影响大小给出了一个度量 【答案】 d 119. 通常情况下，怎样计算风险 a.将威胁可能性等级乘以威胁影响就得出了风险。 b. 将威胁可能性等级加上威胁影响就得出了风险。 c.用威胁影响除以威胁的发生概率就得出了风险。 d. 用威胁概率作为指数对威胁影响进行乘方运算就得出了风险。 【答案】 a 120. 资产清单可包括 a.服务及无形资产 b.信息资产 c.人员 d.以上所有 【答案】 d 121. 评估 it 风险被很好的达到，可以通过： a.评估 it 资产和 it 项目总共的威胁 b.用公司的以前的真的损失经验来决定现在的弱点和威胁 c.审查可比较的组织出版的损失数据 d.一句审计拔高审查 it 控制弱点 【答案】 a 122. 在部署风险管理程序的时候，哪项应该最先考虑到： a.组织威胁，弱点和风险概括的理解 b. 揭露风险的理解和妥协的潜在后果 c. 基于潜在结果的风险管理优先级的决心 d. 风险缓解战略足够在一个可以接受的水平上保持风险的结果 【答案】 a 123. 为了解决操作人员执行日常备份的失误，管理层要求系统管理员 签字日常备份，这是一个风险例子： a.防止 b.转移 c. 缓解 d.接受 【答案】 c 124. 以下哪项不属于 pdca 循环的特点 a.按顺序进行，它靠组织的力量来推动，像车轮一样向前进，周而复始， 不断循环 b.组织中的每个部分，甚至个人，均可以 pdca 循环，大环套小环，一层 一层地解决问题 c.每通过一次 pdca 循环，都要进行总结，提出新目标，再进行第二次 pdca 循环d.d． 组织中的每个部分， 不包括个人， 均可以 pdca 循环， 大环套小环， 一层一层地解决问题 【答案】 d 125. 戴明循环执行顺序，下面哪项正确 a.．plan-act-do-check b. check-plan-act-do c. plan-do-check-act d. act-plan-check-do 【答案】 c 126. 建立 isms 的第一步是 a.风险评估 b.设计 isms 文档 c. 明确 isms 范围 d. 确定 isms 策略 【答案】 c 127. 建立 isms 的步骤正确的是 a.明确 isms 范围-确定 isms 策略-定义风险评估方法-进行风险评估-设计 和选择风险处置方法-设计 isms 文件-进行管理者承诺（审批） b.定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计 isms 文件-进行管理者承诺（审批）-确定 isms 策略 c.确定 isms 策略-明确 isms 范围-定义风险评估方法-进行风险评估-设计 和选择风险处置方法-设计 isms 文件-进行管理者承诺（审批） d.明确 isms 范围-定义风险评估方法-进行风险评估-设计和选择风险处置 方法-确定 isms 策略-设计 isms 文件-进行管理者承诺（审批） 【答案】 a 128. 除以下哪项可作为 isms 审核（包括内审和外审）的依据，文件审 核、现场审核的依据 a.机房登记记录 b.信息安全管理体系 c.权限申请记录 d.离职人员的口述 【答案】 d 129. 以下哪项是 isms 文件的作用 a. 是指导组织有关信息安全工作方面的内部 “法规” --使工作有章可循。 b.是控制措施（controls）的重要部分 c.提供客观证据--为满足相关方要求，以及持续改进提供依据 d.以上所有 【答案】 d 130. 以下哪项不是记录控制的要求 a.清晰、易于识别和检索 b.记录的标识、贮存、保护、检索、保存期限和处置所需的控制措施应 形成文件并实施 c. 建立并保持，以提供证据 d.记录应尽可能的达到最详细【答案】 d 131. 下面哪项是信息安全管理体系中 check（检查）中的工作内容 a.按照计划的时间间隔进行风险评估的评审 b.实施所选择的控制措施 c.采取合适的纠正和预防措施。从其它组织和组织自身的安全经验中吸 取教训 d.确保改进达到了预期目标 【答案】 a 132. 指导和规范信息安全管理的所有活动的文件叫做 a.过程 b.安全目标 c.安全策略 d.安全范围 【答案】 c 133. 信息安全管理措施不包括： a. 安全策略 b.物理和环境安全 c.访问控制 d.安全范围 【答案】 d 134. 下面安全策略的特性中，不包括哪一项 a. 指导性 b.静态性 c.可审核性 d.非技术性 【答案】 b 135. 信息安全活动应由来自组织不同部门并具备相关角色和工作职责 的代表进行，下面哪项包括非典型的安全协调应包括的人员 a.管理人员、用户、应用设计人员 b.系统运维人员、内部审计人员、安全专员 c.内部审计人员、安全专员、领域专家 d.应用设计人员、内部审计人员、离职人员 【答案】 d 136. 下面那一项不是风险评估的目的 a.分析组织的安全需求 b.制订安全策略和实施安防措施的依据 c.组织实现信息安全的必要的、重要的步骤 d.完全消除组织的风险 【答案】 d 137. 下面那个不是信息安全风险的要素 a.资产及其价值 b.数据安全 c.威胁 d.控制措施【答案】 b 138. 信息安全风险管理的对象不包括如下哪项 a.信息自身 b.信息载体 c.信息网络 d.信息环境 【答案】 c 139. 信息安全风险管理的最终责任人是 a.决策层 b.管理层 c.执行层 d.支持层 【答案】 a 140. 信息安全风险评估对象确立的主要依据是什么 a.系统设备的类型 b.系统的业务目标和特性 c.系统的技术架构 d.系统的网络环境 【答案】 b 141. 下面哪一项不是风险评估的过程 a.风险因素识别 b.风险程度分析 c.风险控制选择 d.风险等级评价 【答案】 c 142. 风险控制是依据风险评估的结果，选择和实施合适的安全措施。 下面哪个不是风险控制的方式 a.规避风险 b.转移风险 c.接受风险 d.降低风险 【答案】 c 143. 降低风险的控制措施有很多，下面哪一个不属于降低风险的措 施 a.在网络上部署防火墙 b.对网络上传输的数据进行加密 c.制定机房安全管理制度 d.购买物理场所的财产保险 【答案】 d 144. 信息安全审核是指通过审查、测试、评审等手段，检验风险评估 和风险控制的结果是否满足信息系统的安全要求，这个工作一般由谁完 成 a.机构内部人员 b.外部专业机构c.独立第三方机构 d.以上皆可 【答案】 d 145. 如何对信息安全风险评估的过程进行质量监控和管理 a.对风险评估发现的漏洞进行确认 b.针对风险评估的过程文档和结果报告进行监控和审查 c.对风险评估的信息系统进行安全调查 d.对风险控制测措施有有效性进行测试 【答案】 b 146. 信息系统的价值确定需要与哪个部门进行有效沟通确定 a.系统维护部门 b.系统开发部门 c.财务部门 d.业务部门 【答案】 d 147. 下面哪一个不是系统规划阶段风险管理的工作内容 a.明确安全总体方针 b.明确系统安全架构 c.风险评价准则达成一致 d.安全需求分析 【答案】 b 148. 下面哪一个不是系统设计阶段风险管理的工作内容 a.安全技术选择 b.软件设计风险控制 c.安全产品选择 d.安全需求分析 【答案】 d 149. 下面哪一个不是系统实施阶段风险管理的工作内容 a.安全测试 b.检查与配置 c.配置变更 d.人员培训 【答案】 c 150. 下面哪一个不是系统运行维护阶段风险管理的工作内容 a.安全运行和管理 b.安全测试 c.变更管理 d.风险再次评估 【答案】 b 151. 下面哪一个不是系统废弃阶段风险管理的工作内容 a.安全测试 b.对废弃对象的风险评估 c.防止敏感信息泄漏 d.人员培训【答案】 a 152. 系统上线前应当对系统安全配置进行检查，不包括下列哪种安全 检查 a.主机操作系统安全配置检查 b.网络设备安全配置检查 c.系统软件安全漏洞检查 d.数据库安全配置检查 【答案】 c 153. 风险评估实施过程中资产识别的依据是什么 a.依据资产分类分级的标准 b.依据资产调查的结果 c.依据人员访谈的结果 d.依据技术人员提供的资产清单 【答案】 a 154. 风险评估实施过程中资产识别的范围主要包括什么类别 a.网络硬件资产 b.数据资产 c.软件资产 d.以上都包括 【答案】 d 155. 风险评估实施过程中脆弱性识别主要包括什么方面 a.软件开发漏洞 b.网站应用漏洞 c.主机系统漏洞 d.技术漏洞与管理漏洞 【答案】 d 156. 下面哪一个不是脆弱性识别的手段 a.人员访谈 b.技术工具检测 c.信息资产核查 d.安全专家人工分析 【答案】 c 157. 信息资产面临的主要威胁来源主要包括 a.自然灾害 b.系统故障 c.内部人员操作失误 d.以上都包括 【答案】 d 158. 下面关于定性风险评估方法的说法正确的是 a.通过将资产价值和风险等量化为财务价值和方式来进行计算的一种方 法 b.采用文字形式或叙述性的数值范围来描述潜在后果的大小程度及这些 后果发生的可能性 c.在后果和可能性分析中采用数值，并采用从各种各样的来源中得到的数据 d.定性风险分析提供了较好的成本效益分析 【答案】 b 159. 下面关于定性风险评估方法的说法不正确的是 a.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进 行标识 b.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质 c.&耗时短、成本低、可控性高 & d.能够提供量化的数据支持，易被管理层所理解和接受 【答案】 d 160. 下面关于定量风险评估方法的说法正确的是 a.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进 行标识 b.能够通过成本效益分析控制成本 c.&耗时短、成本低、可控性高 & d.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质 【答案】 b 161. 年度损失值（ale）的计算方法是什么 a.ale=aro*av b.ale=av*sle c.&ale=aro*sle & d.ale=av*ef 【答案】 c 162. 矩阵分析法通常是哪种风险评估采用的方法 a.定性风险评估 b.定量分析评估 c.安全漏洞评估 d.安全管理评估 【答案】 a 163. 风险评估和管理工具通常是指什么工具 a.漏洞扫描工具 b.入侵检测系统 c.安全审计工具 d.安全评估流程管理工具 【答案】 d 164. 安全管理评估工具通常不包括 a.调查问卷 b.检查列表 c.访谈提纲 d.漏洞扫描 【答案】 d165. 安全技术评估工具通常不包括 a.漏洞扫描工具 b.入侵检测系统 c.调查问卷 d.渗透测试工具 【答案】 c 166. 对于信息安全管理，风险评估的方法比起基线的方法，主要的优 势在于它确保 a.信息资产被过度保护 b.不考虑资产的价值，基本水平的保护都会被实施 c.对信息资产实施适当水平的保护 d.对所有信息资产保护都投入相同的资源 【答案】 c 167. 区别脆弱性评估和渗透测试是脆弱性评估 a.检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检 测其可能带来的损失 b.和渗透测试为不同的名称但是同一活动 c.是通过自动化工具执行，而渗透测试是一种完全的手动过程 d.是通过商业工具执行，而渗透测试是执行公共进程 【答案】 a 168. 合适的信息资产存放的安全措施维护是谁的责任 a.安全管理员 b.系统管理员 c.数据和系统所有者 d.系统运行组 【答案】 c 169. 要很好的评估信息安全风险，可以通过： a.评估 it 资产和 it 项目的威胁 b.用公司的以前的真的损失经验来决定现在的弱点和威胁 c.审查可比较的组织公开的损失统计 d.审查在审计报告中的可识别的 it 控制缺陷 【答案】 a 170. 下列哪项是用于降低风险的机制 a.安全和控制实践 b.财产和责任保险 c.审计与认证 d.合同和服务水平协议 【答案】 a 171. 回顾组织的风险评估流程时应首先 a.鉴别对于信息资产威胁的合理性 b.分析技术和组织弱点 c.鉴别并对信息资产进行分级 d.对潜在的安全漏洞效果进行评价 【答案】 c172. 在实施风险分析期间，识别出威胁和潜在影响后应该 a.识别和评定管理层使用的风险评估方法 b.识别信息资产和基本系统 c.揭示对管理的威胁和影响 d.识别和评价现有控制 【答案】 d 173. 在制定控制前，管理层首先应该保证控制 a.满足控制一个风险问题的要求 b.不减少生产力 c.基于成本效益的分析 d.检测行或改正性的 【答案】 a 174. 在未受保护的通信线路上传输数据和使用弱口令是一种 a.弱点 b.威胁 c.可能性 d.影响 【答案】 a 175. 数据保护最重要的目标是以下项目中的哪一个 a.识别需要获得相关信息的用户 b.确保信息的完整性 c.对信息系统的访问进行拒绝或授权 d.监控逻辑访问 【答案】 b 176. 对一项应用的控制进行了检查,将会评估 a.该应用在满足业务流程上的效率 b.任何被发现风险影响 c.业务流程服务的应用 d.应用程序的优化 【答案】 b 177. 在评估逻辑访问控制时，应该首先做什么 a.把应用在潜在访问路径上的控制项记录下来 b.在访问路径上测试控制来检测是否他们具功能化 c.按照写明的策略和实践评估安全环境 d.对信息流程的安全风险进行了解 【答案】 d 178. 在评估信息系统的管理风险。首先要查看 a.控制措施已经适当 b.控制的有效性适当 c.监测资产有关风险的机制 d.影响资产的漏洞和威胁 【答案】 d 179. 在开发一个风险管理程序时，什么是首先完成的活动 a.威胁评估b.数据分类 c.资产清单 d.关键程度分析 【答案】 c 180. 在检查 it 安全风险管理程序，安全风险的测量应该 a.列举所有的网络风险 b.对应 it 战略计划持续跟踪 c.考虑整个 it 环境 d.识别对(信息系统)的弱点的容忍度的结果 【答案】 c 181. 在实施风险管理程序的时候，下列哪一项应该被最先考虑到： a.组织的威胁，弱点和风险概貌的理解 b.揭露风险的理解和妥协的潜在后果 c.基于潜在结果的风险管理优先级的决心 d.风险缓解战略足够使风险的结果保持在一个可以接受的水平上 【答案】 a 182. 授权访问信息资产的责任人应该是 a.资产保管员 b.安全管理员 c.资产所有人 d.安全主管 【答案】 c 183. 渗透测试作为网络安全评估的一部分 a.提供保证所有弱点都被发现 b.在不需要警告所有组织的管理层的情况下执行 c.找到存在的能够获得未授权访问的漏洞 d.在网络边界上执行不会破坏信息资产 【答案】 c 184. 一个组织的网络设备的资产价值为 100000 元，一场意外火灾使其 损坏了价值的 25%,按照经验统计，这种火灾一般每 5 年发生一次，年预 期损失 ale 为 a.5000 元 b.10000 元 c.25000 元 d.15000 元 【答案】 a 185. 一个个人经济上存在问题的公司职员有权独立访问高敏感度的信 息，他可能窃取这些信息卖给公司的竞争对手，如何控制这个风险 a.开除这名职员 b.限制这名职员访问敏感信息 c.删除敏感信息 d.将此职员送公安部门 【答案】 b 186. 以下哪一种人最有可能给公司带来最大的安全风险a.临时工 b.当前员工 c.以前员工 d.咨询人员 【答案】 b 187. 当以下哪一类人员维护应用系统软件的时候，会造成对“职责分 离”原则的违背 a.数据维护管理员 b.系统故障处理员 c.系统维护管理员 d.系统程序员 【答案】 d 188. 下列角色谁应该承担决定信息系统资源所需的保护级别的主要责 任 a.信息系统安全专家 b.业务主管 c.安全主管 d.系统审查员 【答案】 b 189. 职责分离的主要目的是 a.防止一个人从头到尾整个控制某一交易或者活动 b.不同部门的雇员不可以在一起工作 c.对于所有的资源都必须有保护措施 d.对于所有的设备都必须有操作控制措施 【答案】 a 190. 以下哪种做法是正确的“职责分离”做法 a.程序员不允许访问产品数据文件 b.程序员可以使用系统控制台 c.控制台操作员可以操作磁带和硬盘 d.磁带操作员可以使用系统控制台 【答案】 a 191. 以下哪个是数据库管理员（dba）可以行使的职责 a.计算机的操作 b.应用程序开发 c.系统容量规划 d.应用程序维护 【答案】 c 192. 信息安全管理体系策略文件中第一层文件是 a.信息安全工作程序 b.信息安全方针政策 c.信息安全作业指导书 d.信息安全工作记录 【答案】 b 193. 对安全策略的描述不正确的是a.信息安全策略应得到组织的最高管理者批准。 b.策略应有一个所有者，负责按复查程序维护和复查该策略。 c.安全策略应包括管理层对信息安全管理工作的承诺。 d.安全策略一旦建立和发布，则不可变更。 【答案】 d 194. 有关人员安全管理的描述不正确的是 a.人员的安全管理是企业信息安全管理活动中最难的环节。 b.重要或敏感岗位的人员入职之前，需要做好人员的背景检查。 c.如职责分离难以实施，企业对此无能为力，也无需做任何工作。 d.人员离职之后，必须清除离职员工所有的逻辑访问帐号。 【答案】 c 195. 关于信息安全策略文件以下说法不正确的是哪个 a.信息安全策略文件应由管理者批准、发布。 b.信息安全策略文件并传达给所有员工和外部相关方。 c.信息安全策略文件必须打印成纸质文件进行分发。 d.信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方 法。 【答案】 c 196. 关于信息安全策略文件的评审以下说法不正确的是哪个 a.信息安全策略应由专人负责制定、评审。 b.信息安全策略评审每年应进行两次，上半年、下半年各进行一次。 c.在信息安全策略文件的评审过程中应考虑组织业务的重大变化。 d.在信息安全策略文件的评审过程中应考虑相关法律法规及技术环境的 重大变化。 【答案】 b 197. 高层管理者对信息安全管理的承诺以下说法不正确的是 a.制定、评审、批准信息安全方针。 b.为信息安全提供明确的方向和支持。 c.为信息安全提供所需的资源。 d.对各项信息安全工作进行执行、监督与检查。 【答案】 d 198. 信息安全管理组织说法以下说法不正确的是 a.信息安全管理组织人员应来自不同的部门。 b.信息安全管理组织的所有人员应该为专职人员。 c.信息安全管理组织应考虑聘请外部专家。 d.信息安全管理组织应建立沟通、协调机制。 【答案】 b 199. 在制定组织间的保密协议，以下哪一个不是需要考虑的内容 a.需要保护的信息。 b.协议期望持续时间。 c.合同双方的人员数量要求。 d.违反协议后采取的措施。 【答案】 c 200. 在信息安全管理日常工作中，需要与哪些机构保持联系a.政府部门 b.监管部门 c.外部专家 d.以上都是 【答案】 d 201. 当涉及到信息算计系统犯罪取证时，应与哪个部门取得联系 a.监管机构 b.重要客户 c.供应商 d.政府部门 【答案】 d 202. 信息安全管理工作小组可就哪些问题向外部安全专家或特定外部 组织寻求信息安全方面的建议 a.相关安全信息的最佳实践和最新状态知识。 b.尽早接受到关于攻击和脆弱点的警告、建议和补丁 c. 分享和交换关于新的技术、产品、威胁或脆弱点信息 d. 以上都是 【答案】d 203. 当客户需要访问组织信息资产时，下面正确的做法是 a.应向其传达信息安全要求及应注意的信息安全问题。 b.尽量配合客户访问信息资产。 c.不允许客户访问组织信息资产。 d.不加干涉，由客户自己访问信息资产。 【答案】 a 204. 对于外部组织访问企业信息资产的过程中相关说法不正确的是 a.为了信息资产更加安全，禁止外部组织人员访问信息资产。 b.应确保相关信息处理设施和信息资产得到可靠的安全保护。 c.访问前应得到信息资产所有者或管理者的批准。 d.应告知其所应当遵守的信息安全要求。 【答案】 a 205. 外部组织使用组织敏感信息资产时，以下正确的做法是 a.确保使用者得到正确的信息资产。 b.与信息资产使用者签署保密协议。 c.告知信息资产使用的时间限制。 d.告知信息资产的重要性。 【答案】 b 206. 在进行人员的职责定义时，在信息安全方面应考虑什么因素 a.人员的背景、资质的可靠性 b.人员需要履行的信息安全职责 c.人员的工作能力 d.人员沟通、协调能力 【答案】 b 207. 下列岗位哪个在招聘前最需要进行背景调查 a.采购人员b.销售人员 c.财务总监 d.行政人员 【答案】 c 208. 在招聘过程中，如果在岗位人员的背景调查中出现问题时，以下 做法正确的是 a.继续执行招聘流程。 b.停止招聘流程，取消应聘人员资格。 c.与应聘人员沟通出现的问题。 d.再进行一次背景调查。 【答案】 b 209. 人员入职过程中，以下做法不正确的是 a.入职中签署劳动合同及保密协议。 b.分配工作需要的最低权限。 c.允许访问企业所有的信息资产。 d.进行安全意思培训。 【答案】 c 210. 单位中下面几种人员中哪种安全风险最大 a.临时员工 b.外部咨询人员 c.现在对公司不满的员工 d.离职的员工 【答案】 c 211. 对磁介质的最有效好销毁方法是 a.格式化 b.物理破坏 c.消磁 d.删除 【答案】 b 212. tcp/ip 协议的 4 层概念模型是 a.应用层、传输层、网络层和网络接口层 b.应用层、传输层、网络层和物理层 c. 应用层、数据链路层、网络层和网络接口层 d.会话层、数据链路层、网络层和网络接口层 【答案】 a 213. 多层的楼房中，最适合做数据中心的位置是： a.一楼 b.地下室 c.顶楼 d.除以上外的任何楼层 【答案】 d 214. 计算机安全事故发生时，下列哪些人不被通知或者最后才被通知： a.系统管理员 b.律师c.恢复协调员 d.硬件和软件厂商 【答案】 b 215. 下面哪种方法可以替代电子银行中的个人标识号（pins）的作用 a.虹膜检测技术 b.语音标识技术 c.笔迹标识技术 d.指纹标识技术 【答案】 a 216. “如果一条链路发生故障，那么只有和该链路相连的终端才会受 到影响” ，这一说法是适合于以下哪一种拓扑结构的网络的 a.星型 b.树型 c.环型 d.复合型 【答案】 a 217. 为了有效的完成工作，信息系统安全部门员工最需要以下哪一项 技能 a.人际关系技能 b.项目管理技能 c.技术技能 d.沟通技能 【答案】 d 218. 目前，我国信息安全管理格局是一个多方“齐抓共管”的体制， 多头管理现状决定法出多门， 《计算机信息系统国际联网保密管理规定》 是由下列哪个部门所制定的规章制度 a.公安部 b.国家保密局 c.信息产业部 d.国家密码管理委员会办公室 【答案】 b 219. &在选择外部供货生产商时，评价标准按照重要性的排列顺序是： 1. 供货商与信息系统部门的接近程度 2. 供货商雇员的态度 3. 供货商的信誉、专业知识、技术 4. 供货商的财政状况和管理情况 & a.4，3，1，2 b.3，4，2，1 c.3，2，4，1 d.1，2，3，4 【答案】 b 220. 下列哪一项能够提高网络的可用性 a.数据冗余b.链路冗余 c.软件冗余 d.电源冗余 【答案】 b 221. 系统管理员属于 a.决策层 b.管理层 c.执行层 d.既可以划为管理层，又可以划为执行层 【答案】 c 222. 为了保护企业的知识产权和其它资产，当终止与员工的聘用关系 时下面哪一项是最好的方法 a.进行离职谈话，让员工签署保密协议，禁止员工账号，更改密码 b.进行离职谈话，禁止员工账号，更改密码 c.让员工签署跨边界协议 d.列出员工在解聘前需要注意的所有责任 【答案】 a 223. 信息安全管理最关注的是 a.外部恶意攻击 b.病毒对 pc 的影响 c.内部恶意攻击 d.病毒对网络的影响 【答案】 c 224. 以下哪个选项不是信息中心（ic）工作职能的一部分 a.准备最终用户的预算 b.选择 pc 的硬件和软件 c.保持所有 pc 的硬件和软件的清单 d.提供被认可的硬件和软件的技术支持 【答案】 a 225. 以下哪些不是设备资产： a.机房设施 b.周边设施 c.管理终端 d.操作系统 【答案】 d 226. 以下哪些不是网络类资产： a.网络设备 b.基础服务平台 c.网络安全设备 d.主干线路 【答案】 b 227. 以下哪些不是介质类资产： a.纸质文档 b.存储介质c.软件介质 d.凭证 【答案】 a 228. 以下哪些不是无形资产 a.客户关系 b.电子数据 c.商业信誉 d.企业品牌 【答案】 b 229. 以下哪些是信息资产无需明确的 a.所有者 b.管理者 c.厂商 d.使用者 【答案】 c 230. 信息资产敏感性指的是： a.机密性 b.完整性 c.可用性 d.安全性 【答案】 a 231. 以下哪些不属于敏感性标识 a.不干贴方式 b.印章方式 c.电子标签 d.个人签名 【答案】 d 232. 设施、网络、平台、介质、应用类信息资产的保密期限为 a.3 年 b.长期 c.4 月 d.短期 【答案】 b 233. 当曾经用于存放机密资料的 pc 在公开市场出售时 a.对磁盘进行消磁 b. 对磁盘低级格式化 c.删除数据 d.对磁盘重整 【答案】a 234. 防止擅自使用资料档案的最有效的预防方法是: a.自动化的档案访问入口 b.磁带库管理 c.使用访问控制软件 d. 锁定资料馆【答案】 235. 维持对于信息资产的适当的安全措施的责任在于 a.安全管理员 b.系统管理员 c.数据和系统的所有者 d.系统作业人员 【答案】 a 236. 给计算机系统的资产分配的记号被称为什么 a.安全属性 b.安全特征 c.安全标记 d.安全级别 【答案】 c 237. 所有进入物理安全区域的人员都需经过 a.考核 b.授权 c.批准 d.认可 【答案】 b 238. 下面哪种方法在数据中心灭火最有效并且是环保的 a.哈龙气体 b.湿管 c.干管 d.二氧化碳气 【答案】 a 239. 在数据中心使用稳压电源，以保证: a. 硬件免受电源浪涌 b. 主电源被破坏后的完整性维护 c.主电源失效后可以立即使用 d.针对长期电力波动的硬件包含 【答案】a 240. 干管灭火器系统使用 a. 水，但是只有在发现火警以后水才进入管道 b. 水，但是水管中有特殊的防水剂 c. co2 代替水 d. 哈龙代替水 【答案】a 241. 下面哪一种物理访问控制能够对非授权访问提供最高级别的安 全 a.bolting 门锁 b.cipher 密码锁 c.电子门锁 d.指纹扫描器 【答案】 d242. 来自终端的电磁泄露风险，因为它们: a.导致噪音污染 b. 破坏处理程序 c. 产生危险水平的电流 d. 可以被捕获并还原 【答案】d 243. 射频识别(rfid)标签容易受到以下哪种风险 a. 进程劫持 b.窃听 c. 恶意代码 d. phishing 【答案】b 244. 有什么方法可以测试办公部门的无线安全 a. war dialing 战争语言 b. 社会工程学 c. 战争驾驶 d. 密码破解 【答案】d 245. 以下哪一个是对于参观者访问数据中心的最有效的控制 a.陪同参观者 b.参观者佩戴证件 c.参观者签字 d.参观者由工作人员抽样检查 【答案】 a 246. 信息安全政策声明： ”每个人必须在进入每一个控制门时，都必须 读取自己的证件”,防范的是哪一种攻击方式 a.尾随 piggybacking b.肩窥 shoulder surfing c.dumpster diving d.冒充 impersonation 【答案】 a 247. 以下哪一种环境控制适用于保护短期内电力环境不稳定条件下的 计算机设备 a.电路调整器 power line conditioners b.电流浪涌防护装置 a surge protective device c.替代电源 d.不间断供电 【答案】 b 248. 以下哪些模型可以用来保护分级信息的机密性 a.biba 模型和 bell－lapadula 模型 b.bell－lapadula 模型和信息流模型 c.bell－lapadula 模型和 clark－wilson 模型 d.clark－wilson 模型和信息流模型 【答案】 b名称 blp属性 机密性类型 多极应用 政府、军队读写 上读 下写信息流模型 chinese wall biba机密性 机密性 完整性 多边 多极 金融 下读 上写 商业 医疗clark-wilson bma完整性 机密性完整性多极 多边249. blp 模型基于两种规则来保障数据的机秘度与敏感度，它们是什 么 a.下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级 别低于它的数据 b.上读，主体不可读安全级别高于它的数据；下写，主体不可写安全级 别低于它的数据 c.上读，主体不可读安全级别低于它的数据；下写，主体不可写安全级 别高于它的数据 d.下读，主体不可读安全级别低于它的数据；上写，主体不可写安全级 别高于它的数据 【答案】 b 250. biba 模型基于两种规则来保障数据的完整性的保密性，分别是： a.上读，主体不可读安全级别高于它的数据；下写，主体不可写安全级 别低于它的数据 b.下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级 别低于它的数据 c.上读，主体不可读安全级别低于它的数据；下写，主体不可写安全级 别高于它的数据 d.下读，主体不可读安全级别低于它的数据；上写，主体不可写安全级 别高于它的数据 【答案】 d 251. 以下哪组全部是完整性模型 a.blp 模型和 biba 模型 b.biba 模型和 clark－wilson 模型 c.chinese wall 模型和 biba 模型 d.clark－wilson 模型和 chinese wall 模型 【答案】 b 多边：chinese wallma；完整性：biba, clark-wilson 252. 以下哪个模型主要用于医疗资料的保护 a.chinese wall 模型b.biba 模型 c.clark－wilson 模型 d.bma 模型 【答案】 d 253. 以下哪个模型主要用于金融机构信息系统的保护 a.chinese wall 模型 b.biba 模型 c.clark－wilson 模型 d.bma 模型 【答案】 a 254. 以下哪组全部都是多边安全模型 a.blp 模型和 biba 模型 b.biba 模型和 clark－wilson 模型 c.chinese wall 模型和 bma 模型 d.clark－wilson 模型和 chinese wall 模型 【答案】 c 255. 以下哪种访问控制策略需要安全标签 a.基于角色的策略 b.基于标识的策略 c.用户指向的策略 d.强制访问控制策略 【答案】 d 256. 应急响应哪一个阶段用来降低事件再次发生的风险 a.遏制 b.根除 c.跟踪 d.恢复 【答案】 c 257. 信息安全应急响应计划总则中，不包括以下哪个 a.编制目的 b.编制依据 c.工作原则 d.角色职责 【答案】 d 258. 以下哪项描述是错误的 a.应急响应计划与应急响应这两个方面是相互补充与促进的关系 b.应急响应计划为信息安全事件发生后的应急响应提供了指导策略和规 程 c.应急响应可能发现事前应急响应计划的不足 d.应急响应必须完全依照应急响应计划执行 【答案】 d 259. 应急响应计划应该多久测试一次 a.10 年 b.当基础环境或设施发生变化时c.2 年 d.当组织内业务发生重大的变更时 【答案】 d 260. 建立应急响应计划时候第一步应该做什么 a.建立备份解决方案 b.实施业务影响分析 c.建立业务恢复计划 d.确定应急人员名单 【答案】 b 261. 建立应急响应计划最重要的是 a.业务影响分析 b.测试及演练 c.各部门的参与 d.管理层的支持 【答案】 d 262. 以下谁具有批准应急响应计划的权利 a.应急委员会 b.各部门 c.管理层 d.外部专家 【答案】 c 263. 哪一项不是业务影响分析（bia）的工作内容 a.确定应急响应的恢复目标 b.确定公司的关键系统和业务 c.确定业务面临风险时的潜在损失和影响 d.确定支持公司运行的关键系统 【答案】 c 264. 制定应急响应策略主要需要考虑 a.系统恢复能力等级划分 b.系统恢复资源的要求 c.费用考虑 d.人员考虑 【答案】 d 265. 应急响应领导小组主要职责包括： a.对应急响应工作的承诺和支持，包括发布正式文件、提供必要资源（人 财物）等； b.审核并批准应急响应计划； c.负责组织的外部协作工作 d.组织应急响应计划演练 【答案】 d 266. 应急响应领导小组组长应由以下哪个选项担任 a.最高管理层 b.信息技术部门领导 c.业务部门领导d.外部专家 【答案】 a 267. 应急响应流程一般顺序是 a.信息安全事件通告、信息安全事件评估、应急启动、应急处置和后期 处置 b.信息安全事件评估、信息安全事件通告、应急启动、应急处置和后期 处置 c.应急启动、应急处置、信息安全事件评估、信息安全事件通告、后期 处置 d.信息安全事件评估、应急启动、信息安全事件通告、应急处置和后期 处置 【答案】 a 268. 组织内应急通知应主要采用以下哪种方式 a.电话 b.电子邮件 c.人员 d.公司 oa 【答案】 a 269. 如果可能最应该得到第一个应急事件通知的小组是 a.应急响应领导小组 b.应急响应日常运行小组 c.应急响应技术保障小组 d.应急响应实施小组 【答案】 b 270. 恢复阶段的行动一般包括 a.建立临时业务处理能力 b.修复原系统损害 c.在原系统或新设施中恢复运行业务能力 d.避免造成更大损失 【答案】 d 271. 在正常情况下，应急响应计划培训应该至少多久一次 a.1 年 b.2 年 c.半年 d.5 年 【答案】 a 272. 在正常情况下，应急计划应该至少多久进行一次针对正确性和完 整性的检查 a.1 年 b.2 年 c.半年 d.5 年 【答案】 a 273. 应急响应计划文档不应该a.分发给公司所有人员 b.分发给参与应急响应工作的所有人员 c.具有多份拷贝在不同的地点保存 d.由专人负责保存与分发 【答案】 a 274. 业务影响分析的主要目的是： a.在灾难之后提供一个恢复行动的计划 b.识别能够影响组织运营持续性的事件 c.公布组织对物理和逻辑安全的义务 d.提供一个有效灾难恢复计划的框架 【答案】 b 275. 评估应急响应计划时，下列哪一项应当最被关注： a.灾难等级基于受损功能的范围，而不是持续时间 b.低级别灾难和软件事件之间的区别不清晰 c.总体应急响应计划被文档化，但详细恢复步骤没有规定 d.事件通告的职责没有被识别 【答案】 d 276. 事件响应六个阶段定义了安全事件处理的流程，这个流程的顺序 是 a.准备－遏制－确认－根除－恢复－跟踪 b.准备－确认－遏制－恢复－根除－跟踪 c.准备－确认－遏制－根除－恢复－跟踪 d.准备－遏制－根除－确认－恢复－跟踪 【答案】 b 277. 发现一台被病毒感染的终端后，首先应： a.拔掉网线 b.判断病毒的性质、采用的端口 c.在网上搜寻病毒解决方法 d.呼叫公司技术人员 【答案】 a 278. 我国信息安全事件分级分为以下哪些级别 a.特别重大事件-重大事件-较大事件-一般事件 b.特别重大事件-重大事件-严重事件-较大事件-一般事件 c.特别严重事件-严重事件-重大事件-较大事件-一般事件 d.特别严重事件-严重事件-较大事件-一般事件 【答案】 a 279. 我国信息安全事件分级不考虑下列哪一个要素 a.信息系统的重要程度 b.系统损失 c.社会影响 d.业务损失 【答案】 d 280. 校园网内由于病毒攻击、非法入侵等原因，200 台以内的用户主机 不能正常工作，属于以下哪种级别事件a.特别重大事件 b.重大事件 c.较大事件 d.一般事件 【答案】 d 281. 由于病毒攻击、 非法入侵等原因， 校园网部分楼宇出现网络瘫痪， 或者 ftp 及部分网站服务器不能响应用户请求，属于以下哪种级别事件 a.特别重大事件 b.重大事件 c.较大事件 d.一般事件 【答案】 c 282. 由于病毒攻击、非法入侵等原因，校园网部分园区瘫痪，或者邮 件、计费服务器不能正常工作，属于以下哪种级别事件 a.特别重大事件 b.重大事件 c.较大事件 d.一般事件 【答案】 b 283. 由于病毒攻击、非法入侵等原因，校园网整体瘫痪，或者校园网 络中心全部 dns、主 web 服务器不能正常工作；由于病毒攻击、非法入 侵、人为破坏或不可抗力等原因，造成校园网出口中断，属于以下哪种 级别事件 a.特别重大事件 b.重大事件 c.较大事件 d.一般事件 【答案】 a 284. 由于独立的信息系统增加，一个国有房产公司要求在发生重大故 障后，必须保证能够继续提供 it 服务。需要实施哪个流程才能提供这种 保证性 a.可用性管理 b. it 服务连续性管理 c.服务级别管理 d.服务管理 【答案】 b 285. 在一家企业的业务持续性计划中，什么情况被宣布为一个危机没 有被定义。这一点关系到的主要风险是： a.对这种情况的评估可能会延迟 b.灾难恢复计划的执行可能会被影响 c.团队通知可能不会发生 d.对潜在危机的识别可能会无效 【答案】 b 286. 在信息处理设施（ipf）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动 a.验证与热门站点的兼容性 b.检查实施报告 c.进行灾难恢复计划的演练 d.更新信息资产清单 【答案】 d 287. 组织的灾难恢复计划应该: a.减少恢复时间，降低恢复费用 b.增加恢复时间，提高恢复费用 c.减少恢复的持续时间，提高恢复费用 d.对恢复时间和费用都不影响 【答案】 a 288. 一个组织具有的大量分支机构且分布地理区域较广。以确保各方 面的灾难恢复计划的评估，具有成本效益的方式，应建议使用： a.数据恢复测试 b.充分的业务测试 c.前后测试 d.预案测试 【答案】 d 289. 较低的恢复时间目标（恢复时间目标）的会有如下结果： a.更高的容灾 b.成本较高 c.更长的中断时间 d.更多许可的数据丢失 【答案】 b 290. 组织实施了灾难恢复计划。下列哪些步骤应下一步执行 a.取得高级管理人员认可 b.确定的业务需求 c.进行纸面测试 d.进行系统还原测试 【答案】 c 291. 灾难性恢复计划 (drp) 基于: a.技术方面的业务连续性计划 b.操作部分的业务连续性计划 c.功能方面的业务连续性计划 d.总体协调的业务连续性计划 【答案】 a 292. 下面哪一项是恢复非关键系统的最合理方案 a.温站 b.移动站 c.热站 d.冷站 【答案】 d 293. 下列哪一项是一个适当的测试方法适用于业务连续性计划 (bcp)a.试运行 b.纸面测试 c.单元 d.系统 【答案】 b 294. 在一个中断和灾难事件中，以下哪一项提供了持续运营的技术手 段 a.负载平衡 b.硬件冗余 c.分布式备份 d.高可用性处理 【答案】 b 295. 在一份业务持续计划，下列发现中哪一项是最重要的 a.不可用的交互 pbx 系统 b.骨干网备份的缺失 c.用户 pc 机缺乏备份机制 d.门禁系统的失效 【答案】 b 296. 在一份热站、温站或冷站协议中，协议条款应包含以下哪一项需 考虑的事项 a.具体的保证设施 b.订户的总数 c.同时允许使用设施的订户数量 d.涉及的其他用户 【答案】 c 297. 企业的业务持续性计划中应该以记录以下内容的预定规则为基础 a.损耗的持续时间 b.损耗的类型 c.损耗的可能性 d.损耗的原因 【答案】 a 298. 当更新一个正在运行的在线订购系统时，更新都记录在一个交易 磁带和交易日志副本。在一天业务结束后，订单文件备份在磁带上。在 备份过程中，驱动器故障和订单文件丢失。以下哪项对于恢复文件是必 须的 a.前一天的备份文件和当前的交易磁带 b.前一天的交易文件和当前的交易磁带 c.当前的交易磁带和当前的交易日志副本 d.当前的交易日志副本和前一天的交易交易文件 【答案】 a 299. 业务影响分析的主要目的是： a.在灾难之后提供一个恢复行动的计划 b.识别能够影响组织运营持续性的事件 c.公布组织对物理和逻辑安全的义务d.提供一个有效灾难恢复计划的框架 【答案】 b 300. 当建立一个业务持续性计划时，使用下面哪一个工具用来理解组 织业务流程 a.业务持续性自我评估 b.资源的恢复分析 c.风险评估和业务影响评估 d.差异分析 【答案】 c 301. 下列哪一项最好地支持了 24/7 可用性 a.日常备份 b.离线存储 c.镜像 d.定期测试 【答案】 c 302. 评估 bcp 时，下列哪一项应当最被关注： a.灾难等级基于受损功能的范围，而不是持续时间 b.低级别灾难和软件事件之间的区别不清晰 c.总体 bcp 被文档化，但详细恢复步骤没有规定 d.宣布灾难的职责没有被识别 【答案】 d 303. 在一个业务继续计划的模拟演练中，发现报警系统严重受到设施 破坏。下列选项中，哪个是可以提供的最佳建议： a.培训救护组如何使用报警系统 b.报警系统为备份提供恢复 c.建立冗余的报警系统 d.把报警系统存放地窖里 【答案】 c 304. 评估业务连续计划效果最好的方法是： a.使用适当的标准进行规划和比较 b.之前的测试结果 c.紧急预案和员工培训 d.环境控制和存储站点 【答案】 b 305. 以下哪种为丢弃废旧磁带前的最佳处理方式 a.复写磁带 b.初始化磁带卷标 c.对磁带进行消磁 d.删除磁带 【答案】 c 306. 组织中对于每个独立流程都有对应的业务连续性计划，但缺乏全 面的业务连续性计划，应采取下面哪一项行动 a.建议建立全面的业务连续性计划 b.确认所有的业务连续性计划是否相容c.接受已有业务连续性计划 d.建议建立单独的业务连续性计划 【答案】 b 307. 组织已经完成了年度风险评估，关于业务持续计划组织应执行下 面哪项工作 a.回顾并评价业务持续计划是否恰当 b.对业务持续计划进行完整的演练 c.对职员进行商业持续计划的培训 d.将商业持续计划通报关键联络人 【答案】 a 308. 组织回顾信息系统灾难恢复计划时应： a.每半年演练一次 b.周期性回顾并更新 c.经首席执行官(ceo)认可 d.与组织的所有部门负责人沟通 【答案】 b 309. 相对于不存在灾难恢复计划，和当前灾难恢复计划的成本对比， 最接近的是： a.增加 b.减少 c.保持不变 d.不可预知 【答案】 a 310. 根据组织业务连续性计划（bcp）的复杂程度，可以建立多个计划 来满足业务连续和和灾难恢复的各方面。在这种情况下，有必要： a.每个计划和其它计划保持协调一致 b.所有的计划要整合到一个计划中 c.每个计划和其他计划相互依赖 d.指定所有计划实施的顺序 【答案】 a 311. 使用热站作为备份的优点是： a.热站的费用低 b.热站能够延长使用时间 c.热站在短时间内可运作 d.热站不需要和主站点兼容的设备和系统软件 【答案】 c 312. 在完成了业务影响分析（bia）后，下一步的业务持续性计划应该 是什么 a.测试和维护业务持续性计划 b.制定一个针对性计划 c.制定恢复策略 d.实施业务持续性计划 【答案】 c 313. 一个备份站点包括电线、空调和地板，但不包括计算机和通讯设备，那么它属于 a.冷站 b.温站 c.直线站点 d.镜像站点 【答案】 a 314. 以下关于备份站点的说法哪项是正确的 a.应与原业务系统具有同样的物理访问控制措施 b.应容易被找到以便于在灾难发生时以备紧急情况的需要 c.应部署在离原业务系统所在地较近的地方 d.不需要具有和原业务系统相同的环境监控等级 【答案】 a 315. 在对业务持续性计划进行验证时，以下哪项最为重要 a.数据备份准时执行 b.备份站点已签订合约，并且在需要时可以使用 c.人员安全计划部署适当 d.保险 【答案】 c 316. 组织在制定灾难恢复计划时，应该最先针对以下哪点制定 a.所有信息系统流程 b.所有应用系统流程 c.信息系统经理指派的路程 d.业务经理定义的流程优先级 【答案】 d 317. 拥有电子资金转帐销售点设备的大型连锁商场，有中央通信处理 器连接银行网络， 对于通信处理机， 下面哪一项是最好的灾难恢复计划。 a.每日备份离线存储 b.选择在线备份程序 c.安装双通讯设备 d.在另外的网络节点选择备份程序 【答案】 d 318. 在进行业务连续性检测时，下列哪一个是被认为最重要的审查 a.热站的建立和有效是必要 b.业务连续性手册是有效的和最新的 c.保险责任范围是适当的并且保费有效 d.及时进行介质备份和异地存储 【答案】 d 319. 在准备灾难恢复计划时下列哪项应该首先实施 a.做出恢复策略 b.执行业务影响分析 c.明确软件系统、硬件和网络组件结构 d.委任具有明确的雇员、角色和层级的恢复团队 【答案】 b 320. 由于 it 的发展， 灾难恢复计划在大型组织中的应用也发生了变化。如果新计划没有被测试下面哪项是最主要的风险 a.灾难性的断电 b.资源的高消耗 c.&恢复的总成本不能被最小化 & d.用户和恢复团队在实施计划时可能面临服务器问题 【答案】 a 321. 下面各种方法，哪个是制定灾难恢复策略必须最先评估的 a.所有的威胁可以被完全移除 b.一个可以实现的成本效益，内置的复原 c.恢复时间可以优化 d.恢复成本可以最小化 【答案】 b 322. 作为业务继续计划流程中的一部分，在业务影响分析中下面哪个 选项应该最先确认 a.组织的风险，像单点失败或设备风险 b.重要业务流程的威胁 c.根据恢复优先级设定的重要业务流程 d.重建业务的所需的资源 【答案】 c 323. 在设计业务连续性计划时，企业影响分析可以用来识别关键业务 流程和相应的支持程序，它主要会影响到下面哪一项内容的制定 a.维护业务连续性计划的职责 b.选择站点恢复供应商的条件 c.恢复策略 d.关键人员的职责 【答案】 c 324. 如果恢复时间目标增加，则 a.灾难容忍度增加 b.恢复成本增加 c.不能使用冷备援计算机中心 d.数据备份频率增加 【答案】 a 325. 在计算可接受的关键业务流程恢复时间时 a.只需考虑停机时间的成本 b.需要分析恢复操作的成本 c.停机时间成本和恢复操作成本都需要考虑 d.可以忽略间接的停机成本 【答案】 c 326. 当发生灾难时，以下哪一项能保证业务交易的有效性 a.从当前区域外的地方持续每小时 1 次地传送交易磁带 b.从当前区域外的地方持续每天 1 次地传送交易磁带 c.抓取交易以整合存储设备d.从当前区域外的地方实时传送交易磁带 【答案】 d 327. 当审核一个组织的业务连续性计划时，某 is 审计师观察到这个被 审计组织的数据和软件文件被周期性的进行了备份。有效性计划哪一个 特性在这里被证明 a.防止 b.减轻 c.恢复 d.响应 【答案】 b 328. 在业务持续性计划中，下面哪一项具有最高的优先级 a.恢复关键流程 b.恢复敏感流程 c.恢复站点 d.将运行过程重新部署到一个替代的站点 【答案】 a 329. 在什么情况下，热站会作为一个恢复策略被执行 a.低灾难容忍度 b.高恢复点目标（rpo） c.高恢复时间目标（rto） d.高灾难容忍度 【答案】 a 330. 以下哪种情形下最适合使用数据镜像来作为恢复策略 a.高的灾难容忍度 b.高的恢复时间目标(rto) c.低的恢复点目标(rpo) d.高的恢复点目标(rpo) 【答案】 c 331. 以下哪一项是两家公司为灾难恢复签订互惠协议而面临的最大风 险 a.各自的发展将导致(互相间)软硬件不兼容。 b.当需要时资源未必可用。 c.恢复计划无法演练。 d.各家公司的安全基础架构可能不同。 【答案】 a 332. 如果数据中心发生灾难，下列那一项完整恢复一个关键数据库的 策略是最适合的 a.每日备份到磁带并存储到异地 b.实时复制到异地 c.硬盘镜像到本地服务器 d.实时数据备份到本地网格存储 【答案】 b 333. 在评估一个高可用性网络的恢复能力时，下列情况风险最高： a.设备在地理位置上分散b.网络服务器位于同一地点 c.热站就绪可以被激活 d.网络执行了不同行程 【答案】 b 334. 在一个分布式环境中，以下哪一项能够最大程度减轻服务器故障 的影响 a.冗余路径 b.(服务器)集群 c.拨号备份链路 d.备份电源 【答案】 b 335. 以下关于风险评估的描述不正确的是 a.作为风险评估的要素之一，威胁发生的可能需要被评估 b.作为风险评估的要素之一，威胁发生后产生的影响需要被评估 c.风险评估是风险管理的第一步 d.风险评估是风险管理的最终结果 【答案】 d 336. 以下关于安全控制措施的选择，哪一个选项是错误的 a.维护成本需要被考虑在总体控制成本之内 b.最好的控制措施应被不计成本的实施 c.应考虑控制措施的成本效益 d.在计算整体控制成本的时候，应考虑多方面的因素 【答案】 b 337. 在进行风险分析的时候，发现预测可能造成的风险的经济损失时 有一定困难。为了评估潜在的损失，应该： a.计算相关信息资产的摊销费用 b.计算投资的回报 c.应用定性的方法进行评估 d.花费必要的时间去评估具体的损失的金额 【答案】 c 338. 以下哪个选项是缺乏适当的安全控制的表现 a.威胁 b.脆弱性 c.资产 d.影响 【答案】 b 339. 以下关于标准的描述，那一项是正确的 a.标准是高级管理层对支持信息安全的声明 b.标