信息安全管理體系ISMS真題-案例分析及參考答案

ISMS信息安全技術真題案例分析參考答案試題一〔25分〕13，將解答填入答題紙的對應欄內?！菊f明】公司指定了國外的S公司作為遠程無線抄表系統(tǒng)的無線模塊供給商，并選定本市F智能電全面的工程治理和系統(tǒng)集成工作。F公司的楊經理是該工程的工程經理。在初步了解用戶的需求后，F公司馬上著手系統(tǒng)的開發(fā)與集成工作。5個月后，整套系統(tǒng)安司要求FS公司S得不面臨改造。1〔6分〕300字以內文字指出F公司在工程執(zhí)行過程中有何不妥。2〔9分〕風險識別是風險治理的重要活動。請簡要說明風險識別的主要內容并指出選用S公司無線模塊產品存在哪些風險？3〔10分〕400字以內文字說明工程經理應實行哪些方法解決上述案例中的問題。參考答案：[問題一] 請用300字以內文字指出F公司工程執(zhí)行過程中有何不妥。答案：沒有建立完善的工程治理體系或制定合理的工程治理打算并遵照執(zhí)行。程不標準。整個開發(fā)過程缺乏用戶參與，比方進展階段式的驗收，階段性成果的簽字確認。缺乏對分包商〔S公司〕的監(jiān)視治理，尤其是對S公司無線模塊產品的質量治理沒有了解或詢問國家或行業(yè)的相關標準、技術標準。沒有對工程進展可行性分析。[問題二] 風險識別是風險治理的重要活動。請簡要說明風險識別的主要內容并指出選用S公司無線模塊存在哪些風險？答案：風險識別是確定何種風險可能會對工程產生影響，并將這些風險的特征形成文件。風險識別的內容：1、識別并確定工程有哪些潛在風險；2、識別引起這些風險的主要因素；3、識別工程風險可能的后果；存在的風險：質量風險；〔無線模塊的性能、技術指標是否滿足系統(tǒng)需求，符合行業(yè)標準標準〕選購風險〔供給商的資信、供貨力量等〕合同風險〔合同條款是否明確了雙方的權利責任與義務等〕人員風險 〔工程中的各崗位人員是否勝任〕方案與技術風險〔方案是否合理，承受的技術是否先進、成熟〕政策、法律法規(guī)風險〔國外Ｓ公司無線模塊的性能技術指標是否與國家行業(yè)標準相符〕[問題三] 請用400字以內文字說明工程經理應實行哪些方法解決上述案例中的問題。建立組織級的工程治理體系對工程進展可行分析加強需求開發(fā)與需求治理。完整、準確獵取用戶需求并進展需求驗證。加強質量治理，編制質量治理規(guī)劃進展階段式的質量評審與質量審計與用戶協(xié)商并確定驗收標準、驗收標準。加強對分包商〔S公司〕的監(jiān)視治理了解或詢問國家或行業(yè)的相關標準、技術標準。加強風險治理加強合同治理試題二〔25分〕13，將解答填入答題紙的對應欄內?！菊f明】某系統(tǒng)集成商A公司擔當了某科研機構的信息系統(tǒng)集成工程軟硬件系統(tǒng)的集成等工作。30A106個月，同時增加局部功能點。由于此客戶為A公司的重要客戶，為維護客戶關系，A公司同意了建設單位的要求。為了完成工程建設任務，A公司將應用軟件分成了多個子系統(tǒng)，并分別組織開發(fā)團隊突擊開發(fā)，時開頭具體設計與局部編碼工作；同時聘請了6名應屆畢業(yè)生參加開發(fā)團隊。然A公司實行了多種措施來滿足工程工期和增功能的要求，但工程還是頻繁消滅設計的6系統(tǒng)消滅運行不穩(wěn)定狀況和數據不全都的狀況作；并且工程建設單位對A公司按合同規(guī)定提出的階段驗收申請不予回應。1〔10分〕請簡要分析A公司沒有按期保質保量完本錢工程的緣由。2〔5分〕結合本試題所述工程工期的調整，請簡述A公司應依據何種程序進展變更治理。3〔10分〕使工程能夠進入驗收階段。參考答案：[問題一] 請簡要分析A公司沒有按期保質保量完本錢工程的緣由。１、 工期壓縮過短(由10個月壓縮至6個月)２、 工程工作范圍增大(增加局部功能點)３、 無視了質量治理或沒有制定質量治理打算,沒有嚴格遵循軟件開發(fā)過程治理標準CMM進展開發(fā)活動４、 雙方沒建立統(tǒng)一的溝通渠道５、 沒有進展階段式評審和審計,缺乏有效的質量保證與質量掌握措施６、 沒有進展多個子系統(tǒng)接口的集成測試與確認測試,沒有進展版本掌握、配置審核進度方面：７、 人力資源治理方面中團隊組建與建設欠缺,聘畢業(yè)生缺乏開發(fā)閱歷８、 有可能工作量過大、所需資源缺乏，超負荷９、 制定的進度打算不科學不合理或實行的進度掌握措施不得力、效果不好１０、 沒有建立有效的變更掌握治理機制、流程。[問題二] 結合本試題所述工程工期的調整，請簡述A公司應依據何種程序進展變更治理。１、 由建設方書面提出并遞交工期變更的申請２、 A公司相關人員分析變更對工程范圍、質量、本錢等方面的影響３、 審核并批準變更４、 執(zhí)行變更，調整并修改工程進度打算，并實行措施保證變更受控５、 變更確認、驗證６、 通知受變更影響的相關工程干系人[問題三] 公司重任命王工為該工程的工程經理，負責工程的后續(xù)工作。請指出王工應實行哪些措施使工程能夠進入驗收階段。１、 與建設方協(xié)商縮減工程范圍或分期完成，先期完成關鍵主體功能局部并提出交換條件。２、 增加或重調配資源３、 設里程碑、在保證質量盡量不加大本錢的條件下留意對關鍵路徑上的任務工期進展壓縮，４、 實行措施加強對進度的掌握與治理，同時留意對進度打算進展動態(tài)調整。５、 加強團隊建設與治理加強對聘員工的培訓，提高個人與團隊的工作效率。系統(tǒng)接口的集成測試與確認測試，７、 加強配置治理進展有效的版本掌握等設方〔客戶〕出具工程進展報告，對工程進展階段性驗收并要求客戶簽字確認，并留意與客戶方的非正式溝通方式〔以利促進感情便利驗收〕客戶協(xié)商簽訂補充協(xié)議。１０、 建立組織級的工程治理體系，建立并完善工程的變更掌握治理機制與流程并遵照執(zhí)行。試題三〔25分〕13，將解答填入答題紙的對應欄內?！菊f明】M3個大學同學共同出資創(chuàng)立的一家信息系統(tǒng)開發(fā)公司，經過近2年時間的磨礪，公司的業(yè)務逐步到達了肯定規(guī)模。公司成員也從最初的330人，公司的組織機構也漸漸完善。為了適應業(yè)務進展需要，漸漸擺脫作坊式開發(fā)狀態(tài)，公司打算實施工程治理制度。隨后公司成立了工程治理部，并聘請了計算機專業(yè)博士生小王作為工程治理部經理。小王上任后，首先用了半天的時間對公司成員介紹工程治理相關理念，然后參考工程治理教材和國外一些大型工程治理閱歷制定了一系列相關規(guī)定以及獎懲措施，針對正在開發(fā)的頂目分別指定了技術骨干作為工程的工程經理。但是由于公司擔當的業(yè)務大多是時間緊任務重的工程，每個人可能同時擔當著多個工程，開發(fā)人員對工程治理不是很熱心，認為“公司規(guī)模小沒有必要進展工程治理”，與其花費了大量時間開會、寫文檔，不如幾個人碰碰頭說說就可以了。實際開發(fā)工作中總是以開發(fā)任務重等緣由不依據規(guī)定履行工程治理程序。小王依據自己制定的規(guī)定，對公司一些員工進展了懲罰。公司員工對此有不滿心情，使得某些工程沒有按期完成，公司也因此受到了肯定的損失。1】〔10分〕200字以內的文字指出M公司在實行工程治理制度的過程中存在的問題。2】〔6分〕針對“公司規(guī)模小沒有必要進展工程治理”200字以內的文字談談你的看法。3】〔9分〕請用300字以內的文字說明小王應當實行哪些措施來擺脫目前面臨的逆境。參考答案：[問題一] 請用200字以內的文字指出M公司在實行工程治理制度的過程中存在的問題。１、缺乏公司高層領導的充分參與和必要的技持２、工程治理制度的制定缺乏公司員工的充分參與。３、工程治理制度的制定因依據企業(yè)的自身特點“量體裁衣”，因地制宜。４、制定的規(guī)定與獎懲措施沒有征求員工建議也沒有報請相關高層領導或相關部門批準實施，缺乏公正性、權威性。５、培訓不充分或培訓效果不好，工程治理的相關學問理念沒有引起足夠的重視或沒有深入人心。6、 缺乏對技術骨干就關于工程治理學問方面的充分培訓與指導。[問題二] 針對“公司規(guī)模小沒有必要進展工程治理”的說法，請用200字以內的文字談談你的看法。不管公司大小，進展工程治理都是格外有必要要在公司內推行工程治理，首先建立或完善組織級的工程治理體系，在公司內普及工程治理學問，并建立相應的軟硬件環(huán)境，制定制度、定崗定員并明確相應的責任，全體參與等。工程治理體系健立健全了，公司的壯大與進展便有了堅實的根底。工程治理意義：１、提高公司實現組織戰(zhàn)略的力量。２、提高公司市場競爭力，有效掌握本錢、提高生產效率的力量。３、提高公司組織級工程治理水平，增加風險治理的力量。[問題三] 請用300字以內的文字說明小王應當實行哪些措施來擺脫目前面臨的逆境。１、爭取公司高層領導的參與和有力支持〔以便供給資金、相關資源的支持〕。２、加強培訓，在公司內部普及工程治理學問，尤其是對作為技術骨干的工程經理的指導、培訓，〔以便發(fā)揮其應有的領頭羊作用〕３、加強溝通、實行多種溝通方式〔比方座談、召開會議等形式〕，爭取員工的理解、參與與支持４、廣泛調研、高層決策合理制定相應的工程治理制度和建立和完善工程治理體系、治理流程。５、優(yōu)化調整目前的組級構造，轉化為矩陣型或工程型構造，發(fā)揮工程治理部應用的作用，加強對公司工程的指導與詢問、加強對多工程的治理與監(jiān)控。６、重視工程學問治理，加強工程閱歷教訓的溝通總結。二、案例分析二、案例分析1、查某公司設備資產，負責人說臺式機放在辦公室，辦公室做了來自環(huán)境的威逼的預防；筆記本常常帶入帶出，有時在家工作，領導同意了，在家也沒什么擔憂全的。A9.2.5 組織場所外的設備安全應對組織場所的設備實行安全措施，要考慮工作在組織場所以外的不同風險2、某公司操作系統(tǒng)升級都直接設置為系統(tǒng)自動升級，沒出過什么事，由于買的都是正版。A12.5.2操作系統(tǒng)變更后應用的技術評審當操作系統(tǒng)發(fā)生變更時，應對業(yè)務的關鍵應用進展評審和測試，以確保對組織的運行和安全沒有負面影響。3、創(chuàng)公司托付專業(yè)互聯網運營商供給網絡運營，供給商為了提升效勞級別，承受了技術，也通知了創(chuàng)公司，但創(chuàng)認為技術確定更好，就沒實行任何措施，后來由于軟件不兼容造成斷網了。A10.2.3第三方效勞的變更治理應治理效勞供給的變更，包括保持和改進現有的信息安全策略、規(guī)程和掌握措施，并考慮到業(yè)務系統(tǒng)