2023年商業(yè)經(jīng)濟(jì)行業(yè)技能考試-ISMS信息安全管理體系審核員考試歷年重點考核試題含答案

2023年商業(yè)經(jīng)濟(jì)行業(yè)技能考試-ISMS信息安全管理體系審核員考試歷年重點考核試題含答案（圖片大小可自由調(diào)整）第1卷一.參考題庫(共50題)1.基于風(fēng)險的考慮，組織應(yīng)予以管理的第三方服務(wù)的變更包括（）A、服務(wù)級別的變更B、第三方后臺服務(wù)流程的變更C、服務(wù)定義的變更D、服務(wù)提供人員的變更2.GB/T22080標(biāo)準(zhǔn)中所指"組織與外部方交換信息和軟件的協(xié)議"必須包含的內(nèi)容是（）A、相關(guān)各方的信息安全責(zé)任和義務(wù)B、相關(guān)各方的商務(wù)利益C、相關(guān)各方的技術(shù)支持責(zé)任D、質(zhì)量保證條款3.針對獲證組織擴(kuò)大范圍的審核，以下說法正確的是（）A、一種特殊審核，可以和監(jiān)督審核一起進(jìn)行B、是監(jiān)督審核的形式之一C、審核時抽樣的樣本范圍和監(jiān)督審核相同D、以上都對4.ISO/IEC27001是（）A、以信息安全為主題的管理標(biāo)準(zhǔn)B、與信息安全相關(guān)的技術(shù)性標(biāo)準(zhǔn)C、編制業(yè)務(wù)連續(xù)性計劃的指南D、以上都不是5.對一段時間內(nèi)發(fā)生的信息安全事件類型、頻次、處理成本的統(tǒng)計分析（）A、屬于事件管理B、屬于問題管理C、屬于變更管理D、屬于配置管理6.使用電子通信設(shè)施進(jìn)行信息交換的規(guī)程和控制宜考慮（）A、電子通信設(shè)施可接受使用的策略或指南B、檢測和防止可能通過使用電子通信傳輸?shù)膼阂獯a的規(guī)程C、維護(hù)數(shù)據(jù)的授權(quán)接受者的正式記錄D、密碼技術(shù)的使用7.在本地服務(wù)器上不啟動動態(tài)主機(jī)配置協(xié)議（DHCP），可以：（）A、降低未授權(quán)訪問網(wǎng)絡(luò)資源的風(fēng)險B、不適用于小型網(wǎng)絡(luò)C、能自動分配IP地址D、增加無線加密協(xié)議（WEP）相關(guān)的風(fēng)險8.依據(jù)GB/T22080，為防止信息未授權(quán)的泄露或不當(dāng)使用，介質(zhì)處置時的信息處理規(guī)程須規(guī)定：（）A、向介質(zhì)寫入信息時如何確保符合安全要求B、介質(zhì)在改變用途前如何妥善處理信息確保符合安全要求C、介質(zhì)在棄置前如何妥善處理信息確保符合安全要求D、A+B+C9.可以通過使用適宜的加密技術(shù)實現(xiàn)的安全目標(biāo)包括（）A、信息的保密性B、信息的完整性C、信息的真實性D、信息的抗抵賴性10.據(jù)國家發(fā)布的規(guī)定，以下哪些人員不得在一個認(rèn)證機(jī)構(gòu)從事認(rèn)證活動（）A、已經(jīng)在另外一個認(rèn)證機(jī)構(gòu)從事認(rèn)證活動的人員B、國家公務(wù)員C、從事認(rèn)證咨詢活動的人員D、已經(jīng)與認(rèn)證咨詢機(jī)構(gòu)簽訂合同的認(rèn)證咨詢?nèi)藛T11.為防止對網(wǎng)絡(luò)服務(wù)的未授權(quán)訪問，組織應(yīng)（）A、制定安全策略，確保用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)B、禁止內(nèi)部人員訪問互聯(lián)網(wǎng)C、禁止外部人員訪問組織局域網(wǎng)D、以上都對12.在市核中發(fā)現(xiàn)了正在使用的某個文件，這是（）。A、審核準(zhǔn)則B、審核發(fā)現(xiàn)C、審核證據(jù)D、車核結(jié)論13.加密技術(shù)可以提高可用性。14.對計算機(jī)病毒和危害社會公共安全的有害數(shù)據(jù)的防治研究工作由：（）A、工業(yè)和信息化部歸口難。B、公安部歸口管理。C、國家互聯(lián)網(wǎng)信息辦公室歸口管理。D、信息安全產(chǎn)品研制企業(yè)自行管理。15.審核組中的技術(shù)專家是（）A、為審核組提供文化、法律、技術(shù)等方面知識咨詢的人員B、特別負(fù)責(zé)對受審核方的專業(yè)技術(shù)過程進(jìn)行審核的人員C、審核期間為受審核方提供技術(shù)咨詢的人員D、從專業(yè)的角度對審核員的審核進(jìn)行觀察評價的人員16.當(dāng)計劃對組織的遠(yuǎn)程辦公系統(tǒng)進(jìn)行加密吋，應(yīng)該首先冋答下面哪一個問題？（）A、什么樣的數(shù)據(jù)屬于機(jī)密信息B、員工需要訪問什么樣的系統(tǒng)和數(shù)據(jù)C、需要什么樣類型的訪問D、系統(tǒng)和數(shù)據(jù)具有什么樣的敏感程度17.為了實現(xiàn)在網(wǎng)絡(luò)上自動標(biāo)識設(shè)備，以下做法錯誤的是（）A、啟用動DHCP動態(tài)分配IP地址功能B、為網(wǎng)絡(luò)設(shè)備分配固定IP地址。C、將每一臺計算機(jī)MAC與一個IP地址綁定D、采取有效措施禁止修改MAC18.關(guān)于口令管理系統(tǒng)，描述正確的有（）A、口令是確認(rèn)用戶具有訪問計算機(jī)服務(wù)的授權(quán)的主要手段之一B、維護(hù)用戶以前使用的口令的記錄，并防止重復(fù)使用C、分開存儲口令文件和應(yīng)用系統(tǒng)數(shù)據(jù)D、不允許用戶變更自己的口令19.信息安全管理中，關(guān)于脆弱性，以下說法正確的是（）A、組織使用的開源軟件不須考慮其技術(shù)脆弱性B、軟件開發(fā)人員為方便維護(hù)留的后門是脆弱性的一種C、識別資產(chǎn)脆弱性時應(yīng)考慮資產(chǎn)的固有特性，不包括當(dāng)前安全控制措施使信息系D、統(tǒng)與網(wǎng)絡(luò)物理隔離可社絕其脆弱性被威脅利用的機(jī)會20.將收集到的審核證據(jù)對照（）進(jìn)行評價的結(jié)果是審核發(fā)現(xiàn)。A、GB/T22080標(biāo)準(zhǔn)B、法律、法規(guī)要求C、審核準(zhǔn)則D、信息安全管理體系文件21.標(biāo)準(zhǔn)GB/T22080中"物理安全周邊”指的是（）A、組織的建筑物邊界??B、計算機(jī)機(jī)房出入口?C、組織的前臺接待處?D、含有信息和信息處理設(shè)施的區(qū)域周邊22.監(jiān)視和評審ISMS是為了統(tǒng)計和評估已造成不良后果的安全違規(guī)和事件。23.從安全的角度來看，能提前做好安全防范準(zhǔn)備的組織，對安全事件的處理不恰當(dāng)?shù)氖牵ǎ〢、較高的成本，較小的事件，較慢的恢復(fù)B、中等成本，中等的事件，屮等速度的恢復(fù)C、較低的成本，較小的事件，較快的恢復(fù)D、較高的成本，較大的事件，較快的恢復(fù)24.對于用戶訪問信息系統(tǒng)使用的口令，以下說法正確的是（）A、口令必須定期更換B、同一工作組的成員可以共享口令C、如果使用生物識別技術(shù)，可替代口令D、如果使用智能卡鑒別技術(shù)，可替代U令25.標(biāo)準(zhǔn)GB/T22080中“支持性設(shè)施”指的是（）A、UPS電源B、電力設(shè)施C、空調(diào)系統(tǒng)D、消防設(shè)施26.應(yīng)用系統(tǒng)的設(shè)計與實施宜確保導(dǎo)致完整性損壞的處理故障的風(fēng)險減至最小，要考慮的特定范圍包括（）A、確認(rèn)系統(tǒng)生成的輸入數(shù)據(jù)B、使用添加、修改和刪除功能，以實現(xiàn)數(shù)據(jù)變更C、使用適當(dāng)?shù)囊?guī)程恢復(fù)故障，以確保數(shù)據(jù)的正確處理D、防范利用緩沖區(qū)超出/益處進(jìn)行的攻擊27.信息安全管理體系初次認(rèn)證審核時，第一階段審核應(yīng)（）A、對受審核方信息安企管理體系的策劃進(jìn)行審核和評價，對應(yīng)GB/T22080-2008的4.2.1條要求B、對受審核方信息安全管理體系的內(nèi)部審核及管理評審的有效性進(jìn)行審核和評價C、對受審核方信息安全管理體系文件的符合性、適宜性和有效性進(jìn)行審核和評價D、對受審核方信息安全管理體系文件進(jìn)行審核和符合性評價28.認(rèn)證審核期間，當(dāng)審核證據(jù)表明審核目的不能實現(xiàn)時，審核組應(yīng)（）A、—起討論，決定后續(xù)措施B、審核組長權(quán)衡，決定后續(xù)措施C、由受審核方?jīng)Q定后續(xù)措施D、報告審核委托方并說明理由，確定后續(xù)措施29.選擇的控制目標(biāo)和控制措施、以及選擇的原因應(yīng)記錄在下列那個文件中：（）A、安全方針B、風(fēng)險評估報告C、適用性聲明D、風(fēng)險處置計劃30.認(rèn)證審核前，審核組長須與受審核方確認(rèn)審核的可行性，特別應(yīng)考慮（）A、核實組織申請認(rèn)證范圍內(nèi)需接受審核的組織結(jié)構(gòu)、場所分布等基本信息B、注總審核的程序性安排事先應(yīng)對受審核組織保密C、注意審核擬訪問的文件、記錄、場所等事先應(yīng)對受審核組織保密D、要求受審核組織做好準(zhǔn)備向?qū)徍私M開放所有信息的訪問權(quán)31.信息安全管理體系認(rèn)證審核的范圍即（）A、組織的全部經(jīng)營管理范圍B、組織的全部信息安全管理范圍C、組織根據(jù)其業(yè)務(wù)、組織、位置、資產(chǎn)和技術(shù)等方面的特性確定信息安企管理體系范圍D、組織承諾按照GB/T22080標(biāo)準(zhǔn)要求建立、實施和保持信息安全管理體系的范圍32.文件控制指的是文件編制、評審、批準(zhǔn)、發(fā)放、修訂、作廢等過程的控制。33.依據(jù)GB/T22080，信息的標(biāo)記應(yīng)表明（）A、相關(guān)供應(yīng)商信息、日期、資產(chǎn)序列號B、其敏感性和關(guān)鍵性的類別和等級C、所屬部門和批準(zhǔn)人D、信息的性質(zhì)，如軟件、文檔34.以下說法正確的是（）A、審核組的每一次審核，均應(yīng)向委托所是交審核報告。B、認(rèn)證審核的一階段審核可視情況決定是否需要提交審核報告。C、監(jiān)督審核不要求提交審核報告。D、特殊審核可視情況決定是否需要提交審核報告。35.認(rèn)證審核前，審核祖長須與受審核方確認(rèn)審核的可行性，特別應(yīng)考慮（）A、核實組織申請認(rèn)證范圍內(nèi)需接受審核的組織結(jié)構(gòu)、場所分布等基本信息B、注意審核的程序性安排事先應(yīng)對受審核組織保密C、注意審核擬訪問的文件、記錄、場所等事先應(yīng)對受審核組織保密D、要求受審核組織做好準(zhǔn)備向?qū)徍私M開放所有信息的訪問權(quán)36.文件初審是評價受審方ISMS文件的描述與審核準(zhǔn)則的（）A、充分性和適宜性B、有效性和符合性C、適宜性、充分性和有效性D、以上都不對37.不屬于WEB服務(wù)器的安全措施的是（）A、保證注冊帳戶的時效性B、刪除死帳戶C、強制用戶使用不易被破解的密碼D、所有用戶使用一次性密碼38.確定資產(chǎn)的可用性要求須依據(jù)（）A、授權(quán)實體的需求B、信息系統(tǒng)的實際性能水平C、組織可支付的經(jīng)濟(jì)成本D、最高管理者的決定39.審核人日數(shù)的計算方式是審核天數(shù)乘以（）A、審核組中審核員+實習(xí)審核員+技術(shù)專家+觀察員的總?cè)藬?shù)B、審核組中審核員+實習(xí)審核員的總?cè)藬?shù)C、審核組中審核員的總?cè)藬?shù)D、審核組屮審核員+實審核員+技術(shù)專家的總?cè)藬?shù)40.數(shù)據(jù)信息資源的訪問控制指（）A、允許訪問者訪問即訪問者可獲取、拷貝或其他訪問者需要的操作。B、允許訪問者訪問即訪問者按訪問權(quán)規(guī)定的的方式訪問數(shù)據(jù)信息資源。C、編制一份授權(quán)實體清單并保持不變。D、如果訪問時間足夠短則不須提請批準(zhǔn)。41.對程序源代碼訪問控制的目的包括（）A、避免無意識的變更B、以減少潛在的計算機(jī)程序的破壞C、以防引入非授權(quán)功能D、維護(hù)所有軟件更新的版本控制42.審核員的檢査表應(yīng)（）A、事先提交受審核方評審確認(rèn)B、基于審核準(zhǔn)則事先編制C、針對不同的受審核組織應(yīng)統(tǒng)一格式和內(nèi)容D、由審核組長負(fù)責(zé)編制審核組使用的檢査表43.以下屬于信息安全事件的情況是（）A、通信線路出現(xiàn)未知的干擾噪聲B、郵件通信被捆綁垃圾郵件C、監(jiān)視系統(tǒng)偵測到未遂的嘗試破解密碼行為D、B+C44.認(rèn)證審核時，審核擬抽査的樣本應(yīng)（）A、由受審核方熟悉的人員事先選取，做好準(zhǔn)備。B、由審核組明確總體并在受控狀態(tài)下獨立抽樣。C、由審核組和受審核方人員協(xié)商抽樣。D、由受審核方安排的向?qū)嵤┏闃印?5.組織應(yīng)進(jìn)行安全需求分析，規(guī)定對安全控制的要求，由（）A、組織需建立新的信息系統(tǒng)時B、組織的原有信息系統(tǒng)擴(kuò)容或升級時C、組織向顧客交付軟件系統(tǒng)時D、A+B46.系統(tǒng)備份與普通數(shù)據(jù)備份的不同在于，它不僅備份系統(tǒng)屮的數(shù)據(jù)，還備份系統(tǒng)中安裝的應(yīng)用程序、數(shù)據(jù)庫系統(tǒng)、用戶設(shè)置、系統(tǒng)參數(shù)等信息，以便迅速（）A、恢復(fù)全部程序B、恢復(fù)網(wǎng)絡(luò)設(shè)置C、恢復(fù)所有數(shù)據(jù)D、恢復(fù)整個系統(tǒng)47.關(guān)于認(rèn)證人員執(zhí)業(yè)要求以下說法正確的是（）A、注冊審核員只能在一個認(rèn)證機(jī)構(gòu)和一個咨詢機(jī)構(gòu)執(zhí)業(yè)B、注冊審核員和認(rèn)證決定人員只能在一個認(rèn)證機(jī)構(gòu)執(zhí)業(yè)C、注冊審核員只能在一個認(rèn)證機(jī)構(gòu)執(zhí)業(yè)，非注冊的認(rèn)證決定人員不受此限制D、在咨詢機(jī)構(gòu)任專職咨詢師的人員，只能在認(rèn)證機(jī)構(gòu)任兼職認(rèn)證決定人員48.確定組織的信息安全管理體系范圍應(yīng)依據(jù)（）A、組織整體業(yè)務(wù)活動的性質(zhì)B、組織計算機(jī)信息系統(tǒng)以及其他技術(shù)的特性C、組織的資產(chǎn)所處的位置和物理環(huán)境D、以上全部49.信息安全災(zāi)備管理中，"災(zāi)難備份"指（）A、備份數(shù)據(jù)發(fā)生了災(zāi)難性破壞B、為災(zāi)難恢復(fù)而對數(shù)據(jù)、數(shù)據(jù)處理系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)進(jìn)行備份的過程C、為災(zāi)難恢復(fù)而對基礎(chǔ)設(shè)施、專業(yè)技術(shù)支持能力和運行管理能力進(jìn)行備份的過程D、B+C50.信息安全管理中的災(zāi)難恢復(fù)計劃應(yīng)描述的內(nèi)容包括（）A、災(zāi)難后信息系統(tǒng)恢復(fù)過程所需要的數(shù)據(jù)和資源B、災(zāi)難后信息系統(tǒng)恢復(fù)過程所需要的任務(wù)和行動計劃C、A+BD、一份描述原信息系統(tǒng)配置清單的文件第1卷參考答案一.參考題庫1.正確答案:A,C,D2.正確答案:A3.正確答案:A4.正確答案:A5.正確答案:A6.正確答案:A,B,C,D7.正確答案:A8.正確答案:D9.正確答案:A,B,C,D10.正確答案:A,B,C,D11.正確答案:A12.正確答案:A13.正確答案:錯誤14.正確答案:B15.正確答案:A16.正確答案:D17.正確答案:A18.正確答案:A,B,C19.正確答案:B20.正確答案:C21.正確答案:D22.正確答案:錯誤23.正確答案:A,B,D24.正確答案: