CISP試題及答案復習試題附答案

第頁CISP試題及答案復習試題附答案1.下面哪一種情況可以使信息系統(tǒng)安全官員實現(xiàn)有效進行安全控制的目的?A、完整性控制的需求是基于風險分析的結(jié)果B、控制已經(jīng)過了測試C、安全控制規(guī)范是基于風險分析的結(jié)果D、控制是在可重復的基礎上被測試的【正確答案】：D2.系統(tǒng)上線前應當對系統(tǒng)安全配置進行檢查，不包括下列哪種安全檢查A、主機操作系統(tǒng)安全配置檢查B、網(wǎng)絡設備安全配置檢查C、系統(tǒng)軟件安全漏洞檢查D、數(shù)據(jù)庫安全配置檢查【正確答案】：C3.關于標準、指南、程序的描述，哪一項是最準確的？A、標準是建議性的策略，指南是強制執(zhí)行的策略B、程序為符合強制性指南的一般性建議C、程序是為符合強制性指南的一般性建議D、程序是為符合強制性標準的的說明【正確答案】：C4.在對業(yè)務持續(xù)性計劃進行驗證時，以下哪項最為重要A、數(shù)據(jù)備份準時執(zhí)行B、備份站點已簽訂合約，并且在需要時可以使用C、人員安全計劃部署適當D、保險【正確答案】：A5.下面那個不是信息安全風險的要素？A、資產(chǎn)及其價值B、數(shù)據(jù)安全C、威脅D、控制措施【正確答案】：B6.下列哪一項是首席安全官的正常職責？A、定期審查和評價安全策略B、執(zhí)行用戶應用系統(tǒng)和軟件測試與評價C、授予或廢除用戶對IT資源的訪問權限D(zhuǎn)、批準對數(shù)據(jù)和應用系統(tǒng)的訪問權限【正確答案】：B7.對系統(tǒng)安全需求進行評審，以下那類人不適合參與A、系統(tǒng)分析員B、業(yè)務代表C、安全專家D、合規(guī)代表【正確答案】：A8.如果將風險管理分為風險評估和風險減緩，那么以下哪個不屬于風險減緩的內(nèi)容？A、計算風險B、選擇合適的安全措施C、實現(xiàn)安全措施D、接受殘余風險【正確答案】：A9.制定應急響應策略主要需要考慮A、系統(tǒng)恢復能力等級劃分B、系統(tǒng)恢復資源的要求C、費用考慮D、人員考慮【正確答案】：C10.Linux系統(tǒng)一般使用GRUB作為啟動的MBR程序，GRUB如何配置才能放置用戶加入單用戶模式重置root密碼?A、刪除敏感的配置文件B、注釋grub.conf文件中的啟動項C、在對應的啟動title上配置進入單用戶的密碼D、將GRUB程序使用非對稱秘鑰加密【正確答案】：C11.某組織的信息系統(tǒng)策略規(guī)定，終端用戶的ID在該用戶終止后90天內(nèi)失效。組織的信息安全內(nèi)審核員應：A、報告該控制是有效的，因為用戶ID失效是符合信息系統(tǒng)策略規(guī)定的時間段的B、核實用戶的訪問權限是基于用所必需原則的C、建議改變這個信息系統(tǒng)策略，以保證用戶ID的失效與用戶終止一致D、建議終止用戶的活動日志能被定期審查【正確答案】：C12.下列哪個選項是描述*-完整性公理的？A、Biba模型中不能向上寫B(tài)iba模型中不能向下讀C、BLP模型中不能向下寫D、BLP模型中不能向上讀【正確答案】：C13.用于跟蹤路由的命令是A、nestatB、regeditC、systeminfoD、tracert【正確答案】：A14.一組將輸入轉(zhuǎn)化為輸出的相互關聯(lián)或相互作用的什么叫做過程？A、數(shù)據(jù)B、信息流C、活動D、模塊【正確答案】：C15.如果雙方使用的密鑰不同，從其中的一個密鑰很難推出另外一個密鑰，這樣的系統(tǒng)稱為A、常規(guī)加密系統(tǒng)B、單密鑰加密系統(tǒng)C、公鑰加密系統(tǒng)D、對稱加密系統(tǒng)【正確答案】：B16.在某個公司中,以下哪個角色最適合評估信息安全的有效性?A、公司的專家B、業(yè)務經(jīng)理C、IT審計員D、信息安全經(jīng)理【正確答案】：C17.應急響應哪一個階段用來降低事件再次發(fā)生的風險A、遏制B、根除C、跟蹤D、恢復【正確答案】：D18.20世紀70－90年代，信息安全所面臨的威脅主要是非法訪問、惡意代碼和脆弱口令等，請問這是信息安全發(fā)展的什么階段？A、通信安全。B、計算機安全。C、信息系統(tǒng)安全。D、信息安全保障。【正確答案】：B19.應急響應領導小組主要職責包括：A、對應急響應工作的承諾和支持，包括發(fā)布正式文件、提供必要資源（人財物）等；B、審核并批準應急響應計劃；C、負責組織的外部協(xié)作工作D、組織應急響應計劃演練【正確答案】：D20.信息資產(chǎn)分級的最關鍵要素是A、價值B、時間C、安全性D、所有者【正確答案】：A21.在軟件開發(fā)的需求定義階段，在軟件測試方面，以下哪一個選項被制定？A、覆蓋關鍵應用的測試數(shù)據(jù)B、詳細的安全測試計劃C、質(zhì)量保證測試標準D、用戶驗收測試標準【正確答案】：A22.在進行風險分析的時候，發(fā)現(xiàn)預測可能造成的風險的經(jīng)濟損失時有一定困難。為了評估潛在的損失，應該：A、計算相關信息資產(chǎn)的攤銷費用B、計算投資的回報C、應用定性的方法進行評估D、花費必要的時間去評估具體的損失的金額【正確答案】：B23.以下哪個不是信息安全項目的需求來源A、國家和地方政府法律法規(guī)與合同的要求B、風險評估的結(jié)果C、組織原則目標和業(yè)務需要D、企業(yè)領導的個人意志【正確答案】：D24.以下哪個模型主要用于醫(yī)療資料的保護？A、Chinesewall模型BIBA模型Clark－Wilson模型D、BMA模型【正確答案】：B25.BIBA模型基于兩種規(guī)則來保障數(shù)據(jù)的完整性的保密性，分別是：A、上讀，主體不可讀安全級別高于它的數(shù)據(jù)；下寫，主體不可寫安全級別低于它的數(shù)據(jù)B、下讀，主體不可讀安全級別高于它的數(shù)據(jù)；上寫，主體不可寫安全級別低于它的數(shù)據(jù)C、上讀，主體不可讀安全級別低于它的數(shù)據(jù)；下寫，主體不可寫安全級別高于它的數(shù)據(jù)D、下讀，主體不可讀安全級別低于它的數(shù)據(jù)；上寫，主體不可寫安全級別高于它的數(shù)據(jù)【正確答案】：B26.誰對組織的信息安全負最終責任？A、安全經(jīng)理B、高管層C、IT經(jīng)理D、業(yè)務經(jīng)理【正確答案】：B27.降低企業(yè)所面臨的信息安全風險，可能的處理手段不包括哪些A、通過良好的系統(tǒng)設計、及時更新系統(tǒng)補丁，降低或減少信息系統(tǒng)自身的缺陷B、通過數(shù)據(jù)備份、雙機熱備等冗余手段來提升信息系統(tǒng)的可靠性；C、建立必要的安全制度和部署必要的技術手段，防范黑客和惡意軟件的攻擊D、通過業(yè)務外包的方式，轉(zhuǎn)嫁所有的安全風險【正確答案】：D28.以下哪些模型可以用來保護分級信息的機密性？A、Biba模型和Bell－Lapadula模型Bell－Lapadula模型和信息流模型C、Bell－Lapadula模型和Clark－Wilson模型D、Clark－Wilson模型和信息流模型BLP信息流模型ChineseWallBibaClark-wilsonBMA【正確答案】：B29.在風險分析中，以下哪種說法是正確的？A、定量影響分析的主要優(yōu)點是它對風險進行排序并對那些需要立即改善的環(huán)節(jié)進行標識。B、定性影響分析可以很容易地對控制進行成本收益分析。C、定量影響分析不能用在對控制進行的成本收益分析中。D、定量影響分析的主要優(yōu)點是它對影響大小給出了一個度量【正確答案】：D30.相對于不存在災難恢復計劃，和當前災難恢復計劃的成本對比，最接近的是：A、增加B、減少C、保持不變D、不可預知【正確答案】：B31.在計算可接受的關鍵業(yè)務流程恢復時間時A、只需考慮停機時間的成本B、需要分析恢復操作的成本C、停機時間成本和恢復操作成本都需要考慮D、可以忽略間接的停機成本【正確答案】：A32.對一項應用的控制進行了檢查,將會評估A、該應用在滿足業(yè)務流程上的效率B、任何被發(fā)現(xiàn)風險影響C、業(yè)務流程服務的應用D、應用程序的優(yōu)化【正確答案】：B33.以下哪種做法是正確的“職責分離”做法？A、程序員不允許訪問產(chǎn)品數(shù)據(jù)文件B、程序員可以使用系統(tǒng)控制臺C、控制臺操作員可以操作磁帶和硬盤D、磁帶操作員可以使用系統(tǒng)控制臺【正確答案】：A34.以下對企業(yè)信息安全活動的組織描述不正確的是A、企業(yè)應該在組織內(nèi)建立發(fā)起和控制信息安全實施的管理框架。B、企業(yè)應該維護被外部合作伙伴或者客戶訪問和使用的企業(yè)信息處理設施和信息資產(chǎn)的安全。C、在沒有采取必要控制措施，包括簽署相關協(xié)議之前，不應該授權給外部伙伴訪問。應該讓外部伙伴意識到其責任和必須遵守的規(guī)定。D、企業(yè)在開展業(yè)務活動的過程中，應該完全相信員工，不應該對內(nèi)部員工采取安全管控措施【正確答案】：D35.為了有效的完成工作，信息系統(tǒng)安全部門員工最需要以下哪一項技能？A、人際關系技能B、項目管理技能C、技術技能D、溝通技能【正確答案】：D36.下面哪一個不是系統(tǒng)運行維護階段風險管理的工作內(nèi)容A、安全運行和管理B、安全測試C、變更管理D、風險再次評估【正確答案】：B37.職責分離的主要目的是？A、防止一個人從頭到尾整個控制某一交易或者活動B、不同部門的雇員不可以在一起工作C、對于所有的資源都必須有保護措施D、對于所有的設備都必須有操作控制措施【正確答案】：A38.以下哪一種環(huán)境控制適用于保護短期內(nèi)電力環(huán)境不穩(wěn)定條件下的計算機設備？A、電路調(diào)整器PowerlineconditionersB、電流浪涌防護裝置AsurgeprotectivedeviceC、替代電源D、不間斷供電【正確答案】：A39.信息安全風險管理的對象不包括如下哪項A、信息自身B、信息載體C、信息網(wǎng)絡D、信息環(huán)境【正確答案】：C40.以下信息安全原則，哪一項是錯誤的？A、實施最小授權原則B、假設外部系統(tǒng)是不安全的C、消除所有級別的信息安全風險D、最小化可信任的系統(tǒng)組件【正確答案】：B41.如果惡意開發(fā)人員想在代碼中隱藏邏輯炸1彈，什么預防方式最有效？A、源代碼周期性安全掃描B、源代碼人工審計C、滲透測試D、對系統(tǒng)的運行情況進行不間斷監(jiān)測記錄【正確答案】：B42.以下哪個標準是ISO27001的前身標準？A、BS5750BS7750C、BS7799D、BS15000【正確答案】：C43.一個組織的網(wǎng)絡設備的資產(chǎn)價值為100000元，一場意外火災使其損壞了價值的25%,按照經(jīng)驗統(tǒng)計，這種火災一般每5年發(fā)生一次，年預期損失ALE為A、5000元B、10000元C、25000元D、15000元【正確答案】：A44.擁有電子資金轉(zhuǎn)帳銷售點設備的大型連鎖商場，有中央通信處理器連接銀行網(wǎng)絡，對于通信處理機，下面哪一項是最好的災難恢復計劃。A、每日備份離線存儲B、選擇在線備份程序C、安裝雙通訊設備D、在另外的網(wǎng)絡節(jié)點選擇備份程序【正確答案】：D45.資產(chǎn)清單可包括？A、服務及無形資產(chǎn)B、信息資產(chǎn)C、人員D、以上所有【正確答案】：D46.在準備災難恢復計劃時下列哪項應該首先實施？A、做出恢復策略B、執(zhí)行業(yè)務影響分析C、明確軟件系統(tǒng)、硬件和網(wǎng)絡組件結(jié)構(gòu)D、委任具有明確的雇員、角色和層級的恢復團隊【正確答案】：D47.在對Linux系統(tǒng)中dir目錄及其子目錄進行權限權限統(tǒng)一調(diào)整時所使用的命令是什么？A、rm-fr-755/dirB、ls-755/dirC、chmod755/dir/*D、chmod-R755/dir【正確答案】：D48.信息安全審核是指通過審查、測試、評審等手段，檢驗風險評估和風險控制的結(jié)果是否滿足信息系統(tǒng)的安全要求，這個工作一般由誰完成？A、機構(gòu)內(nèi)部人員B、外部專業(yè)機構(gòu)C、獨立第三方機構(gòu)D、以上皆可【正確答案】：D49.對于信息安全策略的描述錯誤的是？A、信息安全策略是以風險管理為基礎，需要做到面面俱到，杜絕風險的存在。B、信息安全策略是在有限資源的前提下選擇最優(yōu)的風險管理對策。C、防范不足會造成直接的損失；防范過多又會造成間接的損失。D、信息安全保障需要從經(jīng)濟、技術、管理的可行性和有效性上做出權衡和取舍?！菊_答案】：A50.管理評審的最主要目的是A、確認信息安全工作是否得到執(zhí)行B、檢查信息安全管理體系的有效性C、找到信息安全的漏洞D、考核信息安全部門的工作是否滿足要求【正確答案】：B51.BLP模型基于兩種規(guī)則來保障數(shù)據(jù)的機秘度與敏感度，它們是什么？A、下讀，主體不可讀安全級別高于它的數(shù)據(jù)；上寫，主體不可寫安全級別低于它的數(shù)據(jù)B、上讀，主體不可讀安全級別高于它的數(shù)據(jù)；下寫，主體不可寫安全級別低于它的數(shù)據(jù)C、上讀，主體不可讀安全級別低于它的數(shù)據(jù)；下寫，主體不可寫安全級別高于它的數(shù)據(jù)D、下讀，主體不可讀安全級別低于它的數(shù)據(jù)；上寫，主體不可寫安全級別高于它的數(shù)據(jù)【正確答案】：B52.我國信息安全事件分級不考慮下列哪一個要素？A、信息系統(tǒng)的重要程度B、系統(tǒng)損失C、社會影響D、業(yè)務損失【正確答案】：A53.惡意代碼的第一個雛形是？A、磁芯大戰(zhàn)B、爬行者C、清除者D、BRAIN【正確答案】：A54.下列角色誰應該承擔決定信息系統(tǒng)資源所需的保護級別的主要責任？A、信息系統(tǒng)安全專家B、業(yè)務主管C、安全主管D、系統(tǒng)審查員【正確答案】：B55.當發(fā)生災難時，以下哪一項能保證業(yè)務交易的有效性A、從當前區(qū)域外的地方持續(xù)每小時1次地傳送交易磁帶B、從當前區(qū)域外的地方持續(xù)每天1次地傳送交易磁帶C、抓取交易以整合存儲設備D、從當前區(qū)域外的地方實時傳送交易磁帶【正確答案】：C56.以下哪項不屬于造成信息安全問題的自然環(huán)境因素？A、縱火。B、地震。C、極端天氣。D、洪水?！菊_答案】：A57.個人問責不包括下列哪一項？A、訪問規(guī)則。B、策略與程序。C、審計跟蹤。D、唯一身份標識符。【正確答案】：B58.在信息安全策略體系中，下面哪一項屬于計算機或信息安全的強制性規(guī)則？A、標準（Standard）B、安全策略（Securitypolicy）C、方針（Guideline）D、流程（Procedure）【正確答案】：A59.以下哪一個不是OSI安全體系結(jié)構(gòu)中的安全機制A、數(shù)字簽名B、路由控制C、數(shù)據(jù)交換D、抗抵賴【正確答案】：D60.以下對信息安全管理的描述錯誤的是A、信息安全管理的核心就是風險管理B、人們常說，三分技術，七分管理，可見管理對信息安全的重要性C、安全技術是信息安全的構(gòu)筑材料，安全管理是真正的粘合劑和催化劑D、信息安全管理工作的重點是信息系統(tǒng)，而不是人【正確答案】：D61.有關信息安全事件的描述不正確的是A、信息安全事件的處理應該分類、分級B、信息安全事件的數(shù)量可以反映企業(yè)的信息安全管控水平C、某個時期內(nèi)企業(yè)的信息安全事件的數(shù)量為零，這意味著企業(yè)面臨的信息安全風險很小D、信息安全事件處理流程中的一個重要環(huán)節(jié)是對事件發(fā)生的根源的追溯，以吸取教訓、總結(jié)經(jīng)驗，防止類似事情再次發(fā)生【正確答案】：C62.下面哪個組合不是是信息資產(chǎn)A、硬件、軟件、文檔資料B、關鍵人員C、組織提供的信息服務D、桌子、椅子【正確答案】：D63.定義ISMS范圍時，下列哪項不是考慮的重點A、組織現(xiàn)有的部門B、信息資產(chǎn)的數(shù)量與分布C、信息技術的應用區(qū)域D、IT人員數(shù)量【正確答案】：D64.下面哪一項不是ISMSPlan階段的工作？A、定義ISMS方針B、實施信息安全風險評估C、實施信息安全培訓D、定義ISMS范圍【正確答案】：C65.一個公司解雇了一個數(shù)據(jù)庫管理員,并且解雇時立刻取消了數(shù)據(jù)庫管理員對公司所有系統(tǒng)的訪問權,但是數(shù)據(jù)管理員威脅說數(shù)據(jù)庫在兩個月內(nèi)將被刪除，除非公司付他一大筆錢。數(shù)據(jù)管理員最有可能采用下面哪種手段刪除數(shù)據(jù)庫？A、放置病毒B、蠕蟲感染C、DoS攻擊D、邏輯炸1彈攻擊【正確答案】：D66.Kerberos可以防止以下哪種攻擊？A、隧道攻擊。B、重放攻擊。C、破壞性攻擊。D、處理攻擊。【正確答案】：B67.在完成了業(yè)務影響分析（BIA）后，下一步的業(yè)務持續(xù)性計劃應該是什么A、測試和維護業(yè)務持續(xù)性計劃B、制定一個針對性計劃C、制定恢復策略D、實施業(yè)務持續(xù)性計劃【正確答案】：C68.如果只能使用口令遠程認證，以下哪種方案安全性最好？A、高質(zhì)量靜態(tài)口令，散列保護傳輸B、高質(zhì)量靜態(tài)口令，固定密鑰加密保護傳輸C、動態(tài)隨機口令，明文傳輸D、高質(zhì)量靜態(tài)口令，增加隨機值，明文傳輸【正確答案】：C69.CA的核心職責是A、簽發(fā)和管理證書B、審核用戶真實信息C、發(fā)布黑名單D、建立實體鏈路安全【正確答案】：D70.組織的安全策略可以是廣義的，也可以是狹義的，下面哪一條是屬于廣義的安全策略？A、應急計劃B、遠程辦法C、計算機安全程序D、電子郵件個人隱私【正確答案】：C71.基本的計算機安全需求不包括下列哪一條：A、安全策略和標識B、絕對的保證和持續(xù)的保護C、身份鑒別和落實責任D、合理的保證和連續(xù)的保護【正確答案】：B72.風險評估的過程中，首先要識別信息資產(chǎn)，資產(chǎn)識別時，以下哪個不是需要遵循的原則？A、只識別與業(yè)務及信息系統(tǒng)有關的信息資產(chǎn)，分類識別B、所有公司資產(chǎn)都要識別C、可以從業(yè)務流程出發(fā)，識別各個環(huán)節(jié)和階段所需要以及所產(chǎn)出的關鍵資產(chǎn)D、資產(chǎn)識別務必明確責任人、保管者和用戶【正確答案】：B73.以下有關通信與日常操作描述不正確的是？A、信息系統(tǒng)的變更應該是受控的B、企業(yè)在崗位設計和人員工作分配時應該遵循職責分離的原則C、移動介質(zhì)使用是一個管理難題，應該采取有效措施，防止信息泄漏D、所有日常操作按照最佳實踐來進行操作，無需形成操作手冊?！菊_答案】：C74.恢復階段的行動一般包括A、建立臨時業(yè)務處理能力B、修復原系統(tǒng)損害C、在原系統(tǒng)或新設施中恢復運行業(yè)務能力D、避免造成更大損失【正確答案】：B75.下面哪一項組成了CIA三元組？A、保密性，完整性，保障B、保密性，完整性，可用性C、保密性，綜合性，保障D、保密性，綜合性，可用性【正確答案】：B76.應急響應計劃文檔不應該A、分發(fā)給公司所有人員B、分發(fā)給參與應急響應工作的所有人員C、具有多份拷貝在不同的地點保存D、由專人負責保存與分發(fā)【正確答案】：A77.有關人員安全管理的描述不正確的是？A、人員的安全管理是企業(yè)信息安全管理活動中最難的環(huán)節(jié)。B、重要或敏感崗位的人員入職之前，需要做好人員的背景檢查。C、如職責分離難以實施，企業(yè)對此無能為力，也無需做任何工作。D、人員離職之后，必須清除離職員工所有的邏輯訪問帳號?！菊_答案】：C78.在TCP中的六個控制位哪一個是用來請求同步的A、SYNB、ACKC、FIND、RST【正確答案】：A79.當客戶需要訪問組織信息資產(chǎn)時，下面正確的做法是？A、應向其傳達信息安全要求及應注意的信息安全問題。B、盡量配合客戶訪問信息資產(chǎn)。C、不允許客戶訪問組織信息資產(chǎn)。D、不加干涉，由客戶自己訪問信息資產(chǎn)?！菊_答案】：A80.以下哪項不是記錄控制的要求？A、清晰、易于識別和檢索B、記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應形成文件并實施C、建立并保持，以提供證據(jù)D、記錄應盡可能的達到最詳細【正確答案】：D81.下列哪項不是Kerberos密鑰分發(fā)服務（KDS）的一部分？A、Kerberos票證授予服務器（TGS）。B、Kerberos身份驗證服務器（KAS）。C、存放用戶名和密碼的數(shù)據(jù)庫。D、Kerberos票證吊銷服務器（TRS）。【正確答案】：D82.以下哪一個是包過濾防火墻的優(yōu)點？A、可以與認證、授權等安全手段方便的集成。B、與應用層無關，無須改動任何客戶機和主機的應用程序，易于安裝和使用。C、提供透明的加密機制D、可以給單個用戶授權【正確答案】：C83.PDCA特征的描述不正確的是A、順序進行，周而復始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標的達成都是分解成多個小目標，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風險管理的思路不符合PDCA的問題解決思路【正確答案】：D84.給計算機系統(tǒng)的資產(chǎn)分配的記號被稱為什么A、安全屬性B、安全特征C、安全標記D、安全級別【正確答案】：A85.有關信息安全事件的描述不正確的是？A、信息安全事件的處理應該分類、分級B、信息安全事件的數(shù)量可以反映企業(yè)的信息安全管控水平C、對于一些信息安全隱患，如果還沒造成損失，就沒必要進行報告。D、信息安全事件處理流程中的一個重要環(huán)節(jié)是對事件發(fā)生的根源的追溯，以吸取教訓、總結(jié)經(jīng)驗，防止類似事情再次發(fā)生【正確答案】：C86.某個機構(gòu)的網(wǎng)絡遭受多次入侵攻擊，下面那一種技術可以提前檢測到這種行為？A、殺毒軟件B、包過濾路由器C、蜜罐D(zhuǎn)、服務器加固【正確答案】：D87.負責制定、執(zhí)行和維護內(nèi)部安全控制制度的責任在于:A、IS審計員.B、管理層.C、外部審計師.D、程序開發(fā)人員.【正確答案】：B88.在設計某公司技術性的恢復策略時,以下哪個方面是安全人員最為關注的?A、目標恢復時間RTOB、業(yè)務影響分析C、從嚴重災難中恢復的能力D、目標恢復點RPO【正確答案】：B89.在一個分布式環(huán)境中，以下哪一項能夠最大程度減輕服務器故障的影響？A、冗余路徑B、(服務器)集群C、撥號備份鏈路D、備份電源【正確答案】：B90.合適的信息資產(chǎn)存放的安全措施維護是誰的責任A、安全管理員B、系統(tǒng)管理員C、數(shù)據(jù)和系統(tǒng)所有者D、系統(tǒng)運行組【正確答案】：C91.在確定威脅的可能性時，可以不考慮以下哪個？A、威脅源B、潛在弱點C、現(xiàn)有控制措施D、攻擊所產(chǎn)生的負面影響【正確答案】：D92.哪一項不是業(yè)務影響分析（BIA）的工作內(nèi)容A、確定應急響應的恢復目標B、確定公司的關鍵系統(tǒng)和業(yè)務C、確定業(yè)務面臨風險時的潛在損失和影響D、確定支持公司運行的關鍵系統(tǒng)【正確答案】：C93.以下哪一種身份驗證機制為移動用戶帶來驗證問題？A、可重復使用的密碼機制B、一次性口令機制。C、挑戰(zhàn)響應機制。D、基于IP地址的機制【正確答案】：D94.在未受保護的通信線路上傳輸數(shù)據(jù)和使用弱口令是一種？A、弱點B、威脅C、可能性D、影響【正確答案】：A95.有關定性風險評估和定量風險評估的區(qū)別，以下描述不正確的是A、定性風險評估比較主觀，而定量風險評估更客觀B、定性風險評估容易實施，定量風險評估往往數(shù)據(jù)準確性很難保證C、定性風險評估更成熟，定量風險評估還停留在理論階段D、定性風險評估和定量風險評估沒有本質(zhì)區(qū)別，可以通用【正確答案】：D96.以下哪些不是介質(zhì)類資產(chǎn)：A、紙質(zhì)文檔B、存儲介質(zhì)C、軟件介質(zhì)D、憑證【正確答案】：A97.組織與供應商協(xié)商服務水平協(xié)議，下面哪一個最先發(fā)生？A、制定可行性研究.B、檢查是否符合公司策略.C、草擬服務水平協(xié)議.D、草擬服務水平要求【正確答案】：B98.下面哪一個是定義深度防御安全原則的例子？A、使用由兩個不同提供商提供的防火墻檢查進入網(wǎng)絡的流量B、在主機上使用防火墻和邏輯訪問控制來控制進入網(wǎng)絡的流量C、在數(shù)據(jù)中心建設中不使用明顯標志D、使用兩個防火墻檢查不同類型進入網(wǎng)絡的流量【正確答案】：A99.干管滅火器系統(tǒng)使用A、水，但是只有在發(fā)現(xiàn)火警以后水才進入管道B、水，但是水管中有特殊的防水劑CO2代替水D、哈龍代替水【正確答案】：A100.以下關于軟件安全測試說法正確的是？A、軟件安全測試就是黑盒測試。B、Fuzz測試是經(jīng)常采用的安全測試方法之一。C、軟件安全測試關注的是軟件的功能。D、軟件安全測試可以發(fā)現(xiàn)軟件中產(chǎn)生的所有安全問題?！菊_答案】：B101.一個備份站點包括電線、空調(diào)和地板，但不包括計算機和通訊設備，那么它屬于A、冷站B、溫站C、直線站點D、鏡像站點【正確答案】：C102.下面安全策略的特性中，不包括哪一項？A、指導性B、靜態(tài)性C、可審核性D、非技術性【正確答案】：B103.以下發(fā)現(xiàn)屬于Linux系統(tǒng)嚴重威脅的是什么？A、發(fā)現(xiàn)不明的SUID可執(zhí)行文件B、發(fā)現(xiàn)應用的配置文件被管理員變更C、發(fā)現(xiàn)有惡意程序在實時的攻擊系統(tǒng)D、發(fā)現(xiàn)防護程序收集了很多黑客攻擊的源地址【正確答案】：A104.對于Linux操作系統(tǒng)中shadow文件說法不正確的是？A、shadow文件可以指定用戶的目錄B、shadow文件中定義了密碼的使用期限C、讀取shadow文件能夠發(fā)現(xiàn)秘鑰的加密方法D、shadow文件對于任何人是不可以讀取的【正確答案】：A105.以下哪種訪問控制策略需要安全標簽？A、基于角色的策略B、基于標識的策略C、用戶指向的策略D、強制訪問控制策略【正確答案】：C106.以下哪項行為可能使用嗅探泄露系統(tǒng)的管理員密碼？A、使用root用戶訪問FTP程序B、使用root用戶連接SSH服務C、使用root進行SCP文件傳輸D、在本地使用root用戶登錄【正確答案】：A107.“如果一條鏈路發(fā)生故障，那么只有和該鏈路相連的終端才會受到影響”，這一說法是適合于以下哪一種拓撲結(jié)構(gòu)的網(wǎng)絡的？A、星型B、樹型C、環(huán)型D、復合型【正確答案】：A108.戴明循環(huán)執(zhí)行順序，下面哪項正確？A、PLAN-ACT-DO-CHECKB、CHECK-PLAN-ACT-DOC、PLAN-DO-CHECK-ACTD、ACT-PLAN-CHECK-DO【正確答案】：C109.以下哪種情形下最適合使用數(shù)據(jù)鏡像來作為恢復策略？A、高的災難容忍度B、高的恢復時間目標(RTO)C、低的恢復點目標(RPO)D、高的恢復點目標(RPO)【正確答案】：A110.下列哪一項是一個適當?shù)臏y試方法適用于業(yè)務連續(xù)性計劃(BCP)?A、試運行B、紙面測試C、單元D、系統(tǒng)【正確答案】：D111.通常最好由誰來確定系統(tǒng)和數(shù)據(jù)的敏感性級別？A、審計師B、終端用戶C、擁有者D、系統(tǒng)分析員【正確答案】：C112.以下哪一項是兩家公司為災難恢復簽訂互惠協(xié)議而面臨的最大風險？A、各自的發(fā)展將導致(互相間)軟硬件不兼容。B、當需要時資源未必可用。C、恢復計劃無法演練。D、各家公司的安全基礎架構(gòu)可能不同。【正確答案】：C113.從風險管理的角度，以下哪種方法不可??？A、接受風險B、分散風險C、轉(zhuǎn)移風險D、拖延風險【正確答案】：D114.根據(jù)組織業(yè)務連續(xù)性計劃（BCP）的復雜程度，可以建立多個計劃來滿足業(yè)務連續(xù)和和災難恢復的各方面。在這種情況下，有必要：A、每個計劃和其它計劃保持協(xié)調(diào)一致B、所有的計劃要整合到一個計劃中C、每個計劃和其他計劃相互依賴D、指定所有計劃實施的順序【正確答案】：A115.在信息處理設施（IPF）的硬件更換之后，業(yè)務連續(xù)性流程經(jīng)理首先應該實施下列哪項活動？A、驗證與熱門站點的兼容性B、檢查實施報告C、進行災難恢復計劃的演練D、更新信息資產(chǎn)清單【正確答案】：B116.建立應急響應計劃時候第一步應該做什么？A、建立備份解決方案B、實施業(yè)務影響分析C、建立業(yè)務恢復計劃D、確定應急人員名單【正確答案】：D117.以下哪些不屬于敏感性標識A、不干貼方式B、印章方式C、電子標簽D、個人簽名【正確答案】：D118.那種測試結(jié)果對開發(fā)人員的影響最大A、單元測試和集成測試B、系統(tǒng)測試C、驗收測試D、滲透測試【正確答案】：C119.降低企業(yè)所面臨的信息安全風險的手段，以下說法不正確的是？A、通過良好的系統(tǒng)設計、及時更新系統(tǒng)補丁，降低或減少信息系統(tǒng)自身的缺陷B、通過數(shù)據(jù)備份、雙機熱備等冗余手段來提升信息系統(tǒng)的可靠性；C、建立必要的安全制度和部署必要的技術手段，防范黑客和惡意軟件的攻擊D、通過業(yè)務外包的方式，轉(zhuǎn)嫁所有的安全風險責任【正確答案】：D120.在實施風險分析期間，識別出威脅和潛在影響后應該A、識別和評定管理層使用的風險評估方法B、識別信息資產(chǎn)和基本系統(tǒng)C、揭示對管理的威脅和影響D、識別和評價現(xiàn)有控制【正確答案】：D121.在部署風險管理程序的時候，哪項應該最先考慮到：A、組織威脅，弱點和風險概括的理解B、揭露風險的理解和妥協(xié)的潛在后果C、基于潛在結(jié)果的風險管理優(yōu)先級的決心D、風險緩解戰(zhàn)略足夠在一個可以接受的水平上保持風險的結(jié)果【正確答案】：A122.對緩沖區(qū)溢出攻擊預防沒有幫助的做法包括A、輸入?yún)?shù)過濾，安全編譯選項B、操作系統(tǒng)安全機制、禁止使用禁用APIC、安全編碼教育D、滲透測試【正確答案】：D123.TCP/IP協(xié)議的4層概念模型是？A、應用層、傳輸層、網(wǎng)絡層和網(wǎng)絡接口層B、應用層、傳輸層、網(wǎng)絡層和物理層C、應用層、數(shù)據(jù)鏈路層、網(wǎng)絡層和網(wǎng)絡接口層D、會話層、數(shù)據(jù)鏈路層、網(wǎng)絡層和網(wǎng)絡接口層【正確答案】：A124.下面哪一項不是風險評估的過程？A、風險因素識別B、風險程度分析C、風險控制選擇D、風險等級評價【正確答案】：C125.以下哪項活動對安全編碼沒有幫助A、代碼審計B、安全編碼規(guī)范C、編碼培訓D、代碼版本管理【正確答案】：D126.減少與釣魚相關的風險的最有效控制是：A、系統(tǒng)的集中監(jiān)控B、釣魚的信號包括在防病毒軟件中C、在內(nèi)部網(wǎng)絡上發(fā)布反釣魚策略D、對所有用戶進行安全培訓【正確答案】：D127.下面哪一個不是系統(tǒng)規(guī)劃階段風險管理的工作內(nèi)容A、明確安全總體方針B、明確系統(tǒng)安全架構(gòu)C、風險評價準則達成一致D、安全需求分析【正確答案】：B128.如何對信息安全風險評估的過程進行質(zhì)量監(jiān)控和管理？A、對風險評估發(fā)現(xiàn)的漏洞進行確認B、針對風險評估的過程文檔和結(jié)果報告進行監(jiān)控和審查C、對風險評估的信息系統(tǒng)進行安全調(diào)查D、對風險控制測措施有有效性進行測試【正確答案】：B129.Kerberos依賴什么加密方式？A、ElGamal密碼加密B、秘密密鑰加密。C、Blowfish加密。D、公鑰加密?！菊_答案】：B130.應急響應計劃應該多久測試一次？A、10年B、當基礎環(huán)境或設施發(fā)生變化時C、2年D、當組織內(nèi)業(yè)務發(fā)生重大的變更時【正確答案】：D131.在Linux操作系統(tǒng)中，為了授權用戶具有管理員的某些個性需求的權限所采取的措施是什么？A、告訴其他用戶root密碼B、將普通用戶加入到管理員組C、使用visudo命令授權用戶的個性需求D、創(chuàng)建單獨的虛擬賬戶【正確答案】：C132.審核在實施審核時，所使用的檢查表不包括的內(nèi)容有？A、審核依據(jù)B、審核證據(jù)記錄C、審核發(fā)現(xiàn)D、數(shù)據(jù)收集方法和工具【正確答案】：C133.以下關于UNIX引導過程描述正確的是？A、"1.開始引導裝入程序(bootloader)2.開始其他系統(tǒng)“自發(fā)的”進程3.內(nèi)核初始化并運行內(nèi)核程序4.運行系統(tǒng)起始腳本B、"1.開始引導裝入程序(bootloader)2.內(nèi)核初始化并運行內(nèi)核程序3.開始其他系統(tǒng)“自發(fā)的”進程4.運行系統(tǒng)起始腳本C、"1.開始引導裝入程序(bootloader)2.內(nèi)核初始化并運行內(nèi)核程序3.運行系統(tǒng)起始腳本4.開始其他系統(tǒng)“自發(fā)的”進程D、"1.內(nèi)核初始化并運行內(nèi)核程序2.開始引導裝入程序(bootloader)3.開始其他系統(tǒng)“自發(fā)的”進程4.運行系統(tǒng)起始腳本【正確答案】：B134.應急響應領導小組組長應由以下哪個選項擔任？A、最高管理層B、信息技術部門領導C、業(yè)務部門領導D、外部專家【正確答案】：D135.安全管理評估工具通常不包括A、調(diào)查問卷B、檢查列表C、訪談提綱D、漏洞掃描【正確答案】：D136.組織在制定災難恢復計劃時，應該最先針對以下哪點制定A、所有信息系統(tǒng)流程B、所有應用系統(tǒng)流程C、信息系統(tǒng)經(jīng)理指派的路程D、業(yè)務經(jīng)理定義的流程優(yōu)先級【正確答案】：C137.所有進入物理安全區(qū)域的人員都需經(jīng)過A、考核B、授權C、批準D、認可【正確答案】：C138.當建立一個業(yè)務持續(xù)性計劃時，使用下面哪一個工具用來理解組織業(yè)務流程？A、業(yè)務持續(xù)性自我評估B、資源的恢復分析C、風險評估和業(yè)務影響評估D、差異分析【正確答案】：B139.對業(yè)務應用系統(tǒng)授權訪問的責任屬于：A、數(shù)據(jù)所有者B、安全管理員C、IT安全經(jīng)理D、申請人的直線主管【正確答案】：A140.信息的存在及傳播方式A、存在于計算機、磁帶、紙張等介質(zhì)中B、記憶在人的大腦里C、通過網(wǎng)絡打印機復印機等方式進行傳播D、通過投影儀顯示【正確答案】：D141.降低風險的控制措施有很多，下面哪一個不屬于降低風險的措施？A、在網(wǎng)絡上部署防火墻B、對網(wǎng)絡上傳輸?shù)臄?shù)據(jù)進行加密C、制定機房安全管理制度D、購買物理場所的財產(chǎn)保險【正確答案】：D142.第一個建立電子政務標準的國家是？A、英國。B、美國。C、德國。D、俄羅斯?！菊_答案】：C143.由于病毒攻擊、非法入侵等原因，校園網(wǎng)整體癱瘓，或者校園網(wǎng)絡中心全部DNS、主WEB服務器不能正常工作；由于病毒攻擊、非法入侵、人為破壞或不可抗力等原因，造成校園網(wǎng)出口中斷，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：B144.安全技術評估工具通常不包括A、漏洞掃描工具B、入侵檢測系統(tǒng)C、調(diào)查問卷D、滲透測試工具【正確答案】：C145.當選擇的控制措施成本高于風險帶來的損失時，應考慮A、降低風險B、轉(zhuǎn)移風險C、避免風險D、接受風險【正確答案】：D146.校園網(wǎng)內(nèi)由于病毒攻擊、非法入侵等原因，200臺以內(nèi)的用戶主機不能正常工作，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：D147.一個組織將制定一項策略以定義了禁止用戶訪問的WEB站點類型。為強制執(zhí)行這一策略，最有效的技術是什么？A、狀態(tài)檢測防火墻B、WE內(nèi)容過濾器C、WEB緩存服務器D、應該代理服務器【正確答案】：B148.以下哪項不屬于信息系統(tǒng)安全保障模型包含的方面？A、保障要素。B、生命周期。C、安全特征。D、通信安全?！菊_答案】：D149.以下哪項不屬于PDCA循環(huán)的特點？A、按順序進行，它靠組織的力量來推動，像車輪一樣向前進，周而復始，不斷循環(huán)B、組織中的每個部分，甚至個人，均可以PDCA循環(huán)，大環(huán)套小環(huán)，一層一層地解決問題C、每通過一次PDCA循環(huán)，都要進行總結(jié)，提出新目標，再進行第二次PDCA循環(huán)D.組織中的每個部分，不包括個人，均可以PDCA循環(huán)，大環(huán)套小環(huán)，一層一層地解決問題【正確答案】：D150.PDCA特征的描述不正確的是A、順序進行，周而復始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標的達成都是分解成多個小目標，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風險管理的思路不符合PDCA的問題解決思路【正確答案】：D151.信息安全管理措施不包括：A、安全策略B、物理和環(huán)境安全C、訪問控制D、安全范圍【正確答案】：D152.以下哪些不是無形資產(chǎn)A、客戶關系B、電子數(shù)據(jù)C、商業(yè)信譽D、企業(yè)品牌【正確答案】：B153.以下哪一個不是安全審計需要具備的功能？A、記錄關鍵事件B、提供可集中處理審計日志的數(shù)據(jù)形式C、實時安全報警D、審計日志訪問控制【正確答案】：D154.在數(shù)據(jù)中心使用穩(wěn)壓電源，以保證:A、硬件免受電源浪涌B、主電源被破壞后的完整性維護C、主電源失效后可以立即使用D、針對長期電力波動的硬件包含【正確答案】：A155.從業(yè)務角度出發(fā)，最大的風險可能發(fā)生在那個階段A、立項可行性分析階段B、系統(tǒng)需求分析階段C、架構(gòu)設計和編碼階段D、投產(chǎn)上線階段【正確答案】：A156.下面哪一個不是對點擊劫持的描述A、是一種惡意攻擊技術，用于跟蹤網(wǎng)絡用戶并獲取私密信息B、通過讓用戶來點擊看似正常的網(wǎng)頁來遠程控制其電腦C、可以用嵌入代碼或文本的形式出現(xiàn)，在用戶毫不知情的情況下完成攻擊D、可以對方網(wǎng)絡癱瘓【正確答案】：A157.下面哪一項不是ISMSCheck階段的工作？A、安全事件響應B、安全內(nèi)部審核C、管理評審D、更新安全計劃【正確答案】：A158.有關認證和認可的描述，以下不正確的是A、認證就是第三方依據(jù)程序?qū)Ξa(chǎn)品、過程、服務符合規(guī)定要求給予書面保證（合格證書）B、根據(jù)對象的不同，認證通常分為產(chǎn)品認證和體系認證C、認可是由某權威機構(gòu)依據(jù)程序?qū)δ硤F體或個人具有從事特定任務的能力給予的正式承認D、企業(yè)通過ISO27001認證則說明企業(yè)符合ISO27001和ISO27002標準的要求【正確答案】：D159.一個組織已經(jīng)創(chuàng)建了一個策略來定義用戶禁止訪問的網(wǎng)站類型。哪個是最有效的技術來達成這個策略？A.狀態(tài)檢測防火墻B.網(wǎng)頁內(nèi)容過濾C、網(wǎng)頁緩存服務器D.代理服務器【正確答案】：B160.信息安全管理工作小組可就哪些問題向外部安全專家或特定外部組織尋求信息安全方面的建議？A、相關安全信息的最佳實踐和最新狀態(tài)知識。B、盡早接受到關于攻擊和脆弱點的警告、建議和補丁C、分享和交換關于新的技術、產(chǎn)品、威脅或脆弱點信息D、以上都是【正確答案】：D161.以下對信息安全描述不正確的是A、信息安全的基本要素包括保密性、完整性和可用性B、信息安全就是保障企業(yè)信息系統(tǒng)能夠連續(xù)、可靠、正常地運行C、信息安全就是不出安全事故/事件D、信息安全風險是科技風險的一部分【正確答案】：C162.以下關于備份站點的說法哪項是正確的A、應與原業(yè)務系統(tǒng)具有同樣的物理訪問控制措施B、應容易被找到以便于在災難發(fā)生時以備緊急情況的需要C、應部署在離原業(yè)務系統(tǒng)所在地較近的地方D、不需要具有和原業(yè)務系統(tǒng)相同的環(huán)境監(jiān)控等級【正確答案】：A163.信息安全政策聲明：”每個人必須在進入每一個控制門時，都必須讀取自己的證件”,防范的是哪一種攻擊方式?A、尾隨PiggybackingB、肩窺ShouldersurfingC、DumpsterdivingD、冒充Impersonation【正確答案】：A164.為了解決操作人員執(zhí)行日常備份的失誤，管理層要求系統(tǒng)管理員簽字日常備份，這是一個風險,,例子：A、防止B、轉(zhuǎn)移C、緩解D、接受【正確答案】：C165.在正常情況下，應急響應計劃培訓應該至少多久一次A、1年B、2年C、半年D、5年【正確答案】：D166.下面對自由訪問控制（DAC）描述正確的是A、比較強制訪問控制而言不太靈活B、基于安全標簽C、關注信息流D、在商業(yè)環(huán)境中廣泛使用【正確答案】：D167.拒絕式服務攻擊會影響信息系統(tǒng)的哪個特性？A、完整性B、可用性C、機密性D、可控性【正確答案】：B168.依據(jù)信息系統(tǒng)安全保障模型，以下那個不是安全保證對象A、機密性B、管理C、過程D、人員【正確答案】：A169.以下哪一項對安全風險的描述是準確的？A、安全風險是指一種特定脆弱性利用一種或一組威脅造成組織的資產(chǎn)損失或損害的可能性。B、安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失事實。C、安全風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性D、安全風險是指資產(chǎn)的脆弱性被威脅利用的情形?！菊_答案】：C170.當保護組織的信息系統(tǒng)時，在網(wǎng)絡防火墻被破壞以后，通常的下一道防線是下列哪一項？A、個人防火墻B、防病毒軟件C、入侵檢測系統(tǒng)D、虛擬局域網(wǎng)設置【正確答案】：C171.信息安全活動應由來自組織不同部門并具備相關角色和工作職責的代表進行，下面哪項包括非典型的安全協(xié)調(diào)應包括的人員？A、管理人員、用戶、應用設計人員B、系統(tǒng)運維人員、內(nèi)部審計人員、安全專員C、內(nèi)部審計人員、安全專員、領域?qū)＜褼、應用設計人員、內(nèi)部審計人員、離職人員【正確答案】：D172.當審核一個組織的業(yè)務連續(xù)性計劃時，某IS審計師觀察到這個被審計組織的數(shù)據(jù)和軟件文件被周期性的進行了備份。有效性計劃哪一個特性在這里被證明？A、防止B、減輕C、恢復D、響應【正確答案】：D173.向外部機構(gòu)提供其信息處理設施的物理訪問權限前，組織應當做什么？A、該外部機構(gòu)的過程應當可以被獨立機構(gòu)進行IT審計B、該組織應執(zhí)行一個風險評估，設計并實施適當?shù)目刂艭、該外部機構(gòu)的任何訪問應被限制在DMZ區(qū)之內(nèi)D、應當給該外部機構(gòu)的員工培訓其安全程序【正確答案】：B174.以下只用于密鑰交換的算法是A、RSAB、ECCC、DHD、RC4【正確答案】：A175.路由器工作在OSI的哪一層A、傳輸層B、數(shù)據(jù)鏈路層C、網(wǎng)絡層D、應用層【正確答案】：A176.回顧組織的風險評估流程時應首先A、鑒別對于信息資產(chǎn)威脅的合理性B、分析技術和組織弱點C、鑒別并對信息資產(chǎn)進行分級D、對潛在的安全漏洞效果進行評價【正確答案】：C177.信息安全風險管理的最終責任人是？A、決策層B、管理層C、執(zhí)行層D、支持層【正確答案】：A178.以下哪組全部都是多邊安全模型？A、BLP模型和BIBA模型BIBA模型和Clark－Wilson模型Chinesewall模型和BMA模型D、Clark－Wilson模型和Chinesewall模型【正確答案】：A179.在一個業(yè)務繼續(xù)計劃的模擬演練中，發(fā)現(xiàn)報警系統(tǒng)嚴重受到設施破壞。下列選項中，哪個是可以提供的最佳建議：A、培訓救護組如何使用報警系統(tǒng)B、報警系統(tǒng)為備份提供恢復C、建立冗余的報警系統(tǒng)D、把報警系統(tǒng)存放地窖里【正確答案】：D180.系統(tǒng)地識別和管理組織所應用的過程，特別是這些過程之間的相互作用，稱為什么？A、戴明循環(huán)B、過程方法C、管理體系D、服務管理【正確答案】：B181.在信息安全管理日常工作中，需要與哪些機構(gòu)保持聯(lián)系？A、政府部門B、監(jiān)管部門C、外部專家D、以上都是【正確答案】：D182.信息安全管理體系（ISMS）是一個怎樣的體系，以下描述不正確的是A、ISMS是一個遵循PDCA模式的動態(tài)發(fā)展的體系B、ISMS是一個文件化、系統(tǒng)化的體系C、ISMS采取的各項風險控制措施應該根據(jù)風險評估等途徑得出的需求而定D、ISMS應該是一步到位的，應該解決所有的信息安全問題【正確答案】：D183.指導和規(guī)范信息安全管理的所有活動的文件叫做？A、過程B、安全目標C、安全策略D、安全范圍【正確答案】：C184.以下哪個模型主要用于金融機構(gòu)信息系統(tǒng)的保護？A、Chinesewall模型BIBA模型Clark－Wilson模型D、BMA模型【正確答案】：D185.下面哪一個不是系統(tǒng)實施階段風險管理的工作內(nèi)容A、安全測試B、檢查與配置C、配置變更D、人員培訓【正確答案】：C186.在制定控制前，管理層首先應該保證控制A、滿足控制一個風險問題的要求B、不減少生產(chǎn)力C、基于成本效益的分析D、檢測行或改正性的【正確答案】：A187.評估業(yè)務連續(xù)計劃效果最好的方法是：A、使用適當?shù)臉藴蔬M行規(guī)劃和比較B、之前的測試結(jié)果C、緊急預案和員工培訓D、環(huán)境控制和存儲站點【正確答案】：C188.PDCA特征的描述不正確的是A、順序進行，周而復始，發(fā)現(xiàn)問題，分析問題，然后是解決問題B、大環(huán)套小環(huán)，安全目標的達成都是分解成多個小目標，一層層地解決問題C、階梯式上升，每次循環(huán)都要進行總結(jié)，鞏固成績，改進不足D、信息安全風險管理的思路不符合PDCA的問題解決思路【正確答案】：D189.測試人員與開發(fā)人員交互測試發(fā)現(xiàn)的過程中，開發(fā)人員最關注的什么？A、bug的數(shù)量B、bug的嚴重程度C、bug的復現(xiàn)過程D、bug修復的可行性【正確答案】：C190.下面哪一種物理訪問控制能夠?qū)Ψ鞘跈嘣L問提供最高級別的安全？A、bolting門鎖B、Cipher密碼鎖C、電子門鎖D、指紋掃描器【正確答案】：A191.以下哪些不是設備資產(chǎn)：A、機房設施B、周邊設施C、管理終端D、操作系統(tǒng)【正確答案】：D192.以下哪一個是數(shù)據(jù)保護的最重要的目標？A、確定需要訪問信息的人員B、確保信息的完整性C、拒絕或授權對系統(tǒng)的訪問D、監(jiān)控邏輯訪問【正確答案】：A193.在設計業(yè)務連續(xù)性計劃時，企業(yè)影響分析可以用來識別關鍵業(yè)務流程和相應的支持程序，它主要會影響到下面哪一項內(nèi)容的制定？A、維護業(yè)務連續(xù)性計劃的職責B、選擇站點恢復供應商的條件C、恢復策略D、關鍵人員的職責【正確答案】：C194.以下不屬于Linux安全加固的內(nèi)容是什么？A、配置iptablesB、配置TcpwapperC、啟用SelinuxD、修改root的UID【正確答案】：D195.數(shù)據(jù)保護最重要的目標是以下項目中的哪一個A、識別需要獲得相關信息的用戶B、確保信息的完整性C、對信息系統(tǒng)的訪問進行拒絕或授權D、監(jiān)控邏輯訪問【正確答案】：B196.當以下哪一類人員維護應用系統(tǒng)軟件的時候，會造成對“職責分離”原則的違背？A、數(shù)據(jù)維護管理員B、系統(tǒng)故障處理員C、系統(tǒng)維護管理員D、系統(tǒng)程序員【正確答案】：D197.在人力資源審計期間，安全管理體系內(nèi)審員被告知在IT部門和人力資源部門中有一個關于期望的IT服務水平的口頭協(xié)議。安全管理體系內(nèi)審員首先應該做什么？A、為兩部門起草一份服務水平協(xié)議B、向高級管理層報告存在未被書面簽訂的協(xié)議C、向兩部門確認協(xié)議的內(nèi)容D、推遲審計直到協(xié)議成為書面文檔【正確答案】：C198.以下關于在UNIX系統(tǒng)里啟動與關閉服務的說法不正確的是？A、在UNIX系統(tǒng)中,服務可以通過inetd進程來啟動B、通過在/etc/inetd.conf文件中注釋關閉正在運行的服務C、通過改變腳本名稱的方式禁用腳本啟動的服務D、在UNIX系統(tǒng)中,服務可以通過啟動腳本來啟動【正確答案】：B199.對于信息安全風險的描述不正確的是？A、企業(yè)信息安全風險管理就是要做到零風險B、在信息安全領域，風險（Risk）就是指信息資產(chǎn)遭受損壞并給企業(yè)帶來負面影響及其潛在可能性C、風險管理（RiskManagement）就是以可接受的代價，識別控制減少或消除可能影響信息系統(tǒng)的安全風險的過程。D、風險評估（RiskAssessment）就是對信息和信息處理設施面臨的威脅、受到的影響、存在的弱點以及威脅發(fā)生的可能性的評估。【正確答案】：A200.下面哪一個不是脆弱性識別的手段A、人員訪談B、技術工具檢測C、信息資產(chǎn)核查D、安全專家人工分析【正確答案】：C201.對于Linux審計說法錯誤的是？A、Linux系統(tǒng)支持細粒度的審計操作B、Linux系統(tǒng)可以使用自帶的軟件發(fā)送審計日志到SOC平臺C、Linux系統(tǒng)一般使用auditd進程產(chǎn)生日志文件D、Linux在secure日志中登陸成功日志和審計日志是一個文件【正確答案】：D202.構(gòu)成風險的關鍵因素有哪些？A、人，財，物B、技術，管理和操作C、資產(chǎn)，威脅和弱點D、資產(chǎn)，可能性和嚴重性【正確答案】：C203.區(qū)別脆弱性評估和滲透測試是脆弱性評估A、檢查基礎設施并探測脆弱性，然而穿透性測試目的在于通過脆弱性檢測其可能帶來的損失B、和滲透測試為不同的名稱但是同一活動C、是通過自動化工具執(zhí)行，而滲透測試是一種完全的手動過程D、是通過商業(yè)工具執(zhí)行，而滲透測試是執(zhí)行公共進程【正確答案】：A204.企業(yè)信息安全事件的恢復過程中，以下哪個是最關鍵的？A、數(shù)據(jù)B、應用系統(tǒng)C、通信鏈路D、硬件/軟件【正確答案】：A205.下面哪個功能屬于操作系統(tǒng)中的安全功能A、控制用戶的作業(yè)排序和運行B、對計算機用戶訪問系統(tǒng)和資源情況進行記錄C、保護系統(tǒng)程序和作業(yè)，禁止不合要求的對程序和數(shù)據(jù)的訪問D、實現(xiàn)主機和外設的并行處理以及異常情況的處理【正確答案】：D206.ISMS審核時，對審核發(fā)現(xiàn)中，以下哪個是屬于嚴重不符合項？A、關鍵的控制程序沒有得到貫徹，缺乏標準規(guī)定的要求可構(gòu)成嚴重不符合項B、風險評估方法沒有按照ISO27005（信息安全風險管理）標準進行C、孤立的偶發(fā)性的且對信息安全管理體系無直接影響的問題；D、審核員識別的可能改進項【正確答案】：D207.組織回顧信息系統(tǒng)災難恢復計劃時應：A、每半年演練一次B、周期性回顧并更新C、經(jīng)首席執(zhí)行官(CEO)認可D、與組織的所有部門負責人溝通【正確答案】：A208.默認情況下Linux主機在機房托管期間被惡意用戶進行了SSH遠程的暴力破解，此時安全工程師需要拒絕其訪問的源地址，應該使用那種方式查詢其訪問的記錄？A、cat/var/log/secureB、whoC、whoamiD、cat/etc/security/access.log【正確答案】：A209.《關于信息安全等級保護的實施意見》中信息和信息系統(tǒng)安全保護等級的第三級的定義是A、自主保護級B、指導保護級C、強制保護級D、監(jiān)督保護級【正確答案】：D210.設施、網(wǎng)絡、平臺、介質(zhì)、應用類信息資產(chǎn)的保密期限為A、3年B、長期C、4月D、短期【正確答案】：B211.信息資產(chǎn)敏感性指的是：A、機密性B、完整性C、可用性D、安全性【正確答案】：A212.在加固數(shù)據(jù)庫時,以下哪個是數(shù)據(jù)庫加固最需要考慮的？A、修改默認配置B、規(guī)范數(shù)據(jù)庫所有的表空間C、存儲數(shù)據(jù)被加密D、修改數(shù)據(jù)庫服務的服務端口【正確答案】：A213.當更新一個正在運行的在線訂購系統(tǒng)時，更新都記錄在一個交易磁帶和交易日志副本。在一天業(yè)務結(jié)束后，訂單文件備份在磁帶上。在備份過程中，驅(qū)動器故障和訂單文件丟失。以下哪項對于恢復文件是必須的？A、前一天的備份文件和當前的交易磁帶B、前一天的交易文件和當前的交易磁帶C、當前的交易磁帶和當前的交易日志副本D、當前的交易日志副本和前一天的交易交易文件【正確答案】：A214.我國的信息安全測評主要對象不包括？A、信息產(chǎn)品安全測評。B、信息安全人員資質(zhì)測評。C、服務商資質(zhì)測評。D、信息保障安全測評?！菊_答案】：D215.關于信息安全策略文件的評審以下說法不正確的是哪個？A、信息安全策略應由專人負責制定、評審。B、信息安全策略評審每年應進行兩次，上半年、下半年各進行一次。C、在信息安全策略文件的評審過程中應考慮組織業(yè)務的重大變化。D、在信息安全策略文件的評審過程中應考慮相關法律法規(guī)及技術環(huán)境的重大變化?！菊_答案】：B216.由于病毒攻擊、非法入侵等原因，校園網(wǎng)部分樓宇出現(xiàn)網(wǎng)絡癱瘓，或者FTP及部分網(wǎng)站服務器不能響應用戶請求，屬于以下哪種級別事件A、特別重大事件B、重大事件C、較大事件D、一般事件【正確答案】：D217.以下哪一種人最有可能給公司帶來最大的安全風險？A、臨時工B、當前員工C、以前員工D、咨詢?nèi)藛T【正確答案】：B218.輸入?yún)?shù)過濾可以預防以下哪些攻擊A、SQL注入、跨站腳本、緩沖區(qū)溢出B、SQL注入、跨站腳本、DNS毒藥C、SQL注入、跨站請求偽造、網(wǎng)絡竊聽D、跨站請求偽造、跨站腳本、DNS毒藥【正確答案】：A219.開發(fā)人員認為系統(tǒng)架構(gòu)設計不合理，需要討論調(diào)整后，再次進入編碼階段。開發(fā)團隊可能采取的開發(fā)方法為A、瀑布模型B、凈室模型C、XP模型D、迭代模型【正確答案】：A220.ISMS審核時，首次會議的目的不包括以下哪個？A、明確審核目的、審核準則和審核范圍B、明確審核員的分工C、明確接受審核方責任，為配合審核提供必要資源和授權D、明確審核進度和審核方法，且在整個審核過程中不可調(diào)整【正確答案】：D221.以下誰具有批準應急響應計劃的權利A、應急委員會B、各部門C、管理層D、外部專家【正確答案】：D222.以下關于風險評估的描述不正確的是？A、作為風險評估的要素之一，威脅發(fā)生的可能需要被評估B、作為風險評估的要素之一，威脅發(fā)生后產(chǎn)生的影響需要被評估C、風險評估是風險管理的第一步D、風險評估是風險管理的最終結(jié)果【正確答案】：B223.信息安全管理組織說法以下說法不正確的是？A、信息安全管理組織人員應來自不同的部門。B、信息安全管理組織的所有人員應該為專職人員。C、信息安全管理組織應考慮聘請外部專家。D、信息安全管理組織應建立溝通、協(xié)調(diào)機制?！菊_答案】：B224.時間的流逝對服務中斷損失成本和中斷恢復成本會有什么影響？A、兩個成本增加B、中斷的損失成本增加，中斷恢復的成本隨時問的流逝而減少C、兩個成本都隨時間的流逝而減少D、沒有影響【正確答案】：B225.以下哪一個不是網(wǎng)絡隱藏技術？A、端口復用B、"無端口技術"C、反彈端口技術DLL注入【正確答案】：D226.下面哪項不是實施信息安全管理的關鍵成功因素A、理解組織文化B、得到高層承諾C、部署安全產(chǎn)品D、納入獎懲機制【正確答案】：C227.應急響應流程一般順序是A、信息安全事件通告、信息安全事件評估、應急啟動、應急處置和后期處置B、信息安全事件評估、信息安全事件通告、應急啟動、應急處置和后期處置C、應急啟動、應急處置、信息安全事件評估、信息安全事件通告、后期處置D、信息安全事件評估、應急啟動、信息安全事件通告、應急處置和后期處置【正確答案】：A228.對信息安全的理解，正確的是A、信息資產(chǎn)的保密性、完整性和可用性不受損害的能力，是通過信息安全保障措施實現(xiàn)的B、通過信息安全保障措施，確保信息不被丟失C、通過信息安全保證措施，確保固定資產(chǎn)及相關財務信息的完整性D、通過技術保障措施，確保信息系統(tǒng)及財務數(shù)據(jù)的完整性、機密性及可用性【正確答案】：A229.在檢查IT安全風險管理程序，安全風險的測量應該A、列舉所有的網(wǎng)絡風險B、對應IT戰(zhàn)略計劃持續(xù)跟蹤C、考慮整個IT環(huán)境D、識別對(信息系統(tǒng))的弱點的容忍度的結(jié)果【正確答案】：C230.風險評估實施過程中脆弱性識別主要包括什么方面A、軟件開發(fā)漏洞B、網(wǎng)站應用漏洞C、主機系統(tǒng)漏洞D、技術漏洞與管理漏洞【正確答案】：D231.風險評估的基本過程是怎樣的？A、識別并評估重要的信息資產(chǎn)，識別各種可能的威脅和嚴重的弱點，最終確定風險B、通過以往發(fā)生的信息安全事件，找到風險所在C、風險評估就是對照安全檢查單，查看相關的管理和技術措施是否到位D、風險評估并沒有規(guī)律可循，完全取決于評估者的經(jīng)驗所在【正確答案】：A232.ISO27001認證項目一般有哪幾個階段？A、管理評估，技術評估，操作流程評估B、確定范圍和安全方針，風險評估，風險控制（文件編寫），體系運行，認證C、產(chǎn)品方案需求分析，解決方案提供，實施解決方案D、基礎培訓，RA培訓，文件編寫培訓，內(nèi)部審核培訓【正確答案】：B233.以下哪一個不是安全審計的作用？A、記錄系統(tǒng)被訪問的過程及系統(tǒng)保護機制的運行狀態(tài)。B、發(fā)現(xiàn)試圖繞過保護機制的行為。C、及時發(fā)現(xiàn)并阻止用戶身份的變化D、報告并阻礙繞過保護機制的行為并記錄相關進程，為災難恢復提供信息?！菊_答案】：C234.以下哪項是ISMS文件的作用？A、是指導組織有關信息安全工作方面的內(nèi)部“法規(guī)”--使工作有章可循。B、是控制措施（controls）的重要部分C、提供客觀證據(jù)--為滿足相關方要求，以及持續(xù)改進提供依據(jù)D、以上所有【正確答案】：D235.組織的災難恢復計劃應該:A、減少恢復時間，降低恢復費用B、增加恢復時間，提高恢復費用C、減少恢復的持續(xù)時間，提高恢復費用D、對恢復時間和費用都不影響【正確答案】：D236.系統(tǒng)管理員屬于？A、決策層B、管理層C、執(zhí)行層D、既可以劃為管理層，又可以劃為執(zhí)行層【正確答案】：C237.ISO27004是指以下哪個標準A、《信息安全管理體系要求》B、《信息安全管理實用規(guī)則》C、《信息安全管理度量》D、《ISMS實施指南》【正確答案】：C238.以下哪個選項是缺乏適當?shù)陌踩刂频谋憩F(xiàn)A、威脅B、脆弱性C、資產(chǎn)D、影響【正確答案】：C239.當涉及到信息算計系統(tǒng)犯罪取證時，應與哪個部門取得聯(lián)系？A、監(jiān)管機構(gòu)B、重要客戶C、供應商D、政府部門【正確答案】：D240.以下哪些不是網(wǎng)絡類資產(chǎn)：A、網(wǎng)絡設備B、基礎服務平臺C、網(wǎng)絡安全設備D、主干線路【正確答案】：B241.對安全策略的描述不正確的是？A、信息安全策略應得到組織的最高管理者批準。B、策略應有一個所有者，負責按復查程序維護和復查該策略。C、安全策略應包括管理層對信息安全管理工作的承諾。D、安全策略一旦建立和發(fā)布，則不可變更?！菊_答案】：D242.一個個人經(jīng)濟上存在問題的公司職員有權獨立訪問高敏感度的信息，他可能竊取這些信息賣給公司的競爭對手，如何控制這個風險A、開除這名職員B、限制這名職員訪問敏感信息C、刪除敏感信息D、將此職員送公1安部門【正確答案】：B243.為了保護企業(yè)的知識產(chǎn)權和其它資產(chǎn)，當終止與員工的聘用關系時下面哪一項是最好的方法？A、進行離職談話，讓員工簽署保密協(xié)議，禁止員工賬號，更改密碼B、進行離職談話，禁止員工賬號，更改密碼C、讓員工簽署跨邊界協(xié)議D、列出員工在解聘前需要注意的所有責任【正確答案】：A244.內(nèi)部審計師發(fā)現(xiàn)不是所有雇員都了解企業(yè)的信息安全策略。內(nèi)部審計師應當?shù)贸鲆韵履捻椊Y(jié)論：A、這種缺乏了解會導致不經(jīng)意地泄露敏感信息B、信息安全不是對所有職能都是關鍵的C、IS審計應當為那些雇員提供培訓D、該審計發(fā)現(xiàn)應當促使管理層對員工進行繼續(xù)教育【正確答案】：A245.Linux文件系統(tǒng)采用的是樹型結(jié)構(gòu)，在根目錄下默認存在var目錄，它的的功用是？A、公用的臨時文件存儲點B、系統(tǒng)提供這個目錄是讓用戶臨時掛載其他的文件系統(tǒng)C、某些大文件的溢出區(qū)D、最龐大的目錄，要用到的應用程序和文件幾乎都在這個目錄【正確答案】：C246.以下標準內(nèi)容為“信息安全管理體系要求”的是哪個？A、ISO27000B、ISO27001C、ISO27002D、ISO27003【正確答案】：B247.以下有關通信與日常操作描述不正確的是A、信息系統(tǒng)的變更應該是受控的B、企業(yè)在崗位設計和人員工作分配時應該遵循職責分離的原則C、移動介質(zhì)使用是一個管理難題，應該采取有效措施，防止信息泄漏D、內(nèi)部安全審計無需遵循獨立性、客觀性的原則【正確答案】：D248.通常情況下，怎樣計算風險？A、將威脅可能性等級乘以威脅影響就得出了風險。B、將威脅可能性等級加上威脅影響就得出了風險。C、用威脅影響除以威脅的發(fā)生概率就得出了風險。D、用威脅概率作為指數(shù)對威脅影響進行乘方運算就得出了風險?！菊_答案】：A249.關于控制措施選擇描述不正確的是A、總成本中應考慮控制措施維護成本B、只要控制措施有效，不管成本都應該首先選擇C、首先要考慮控制措施的成本效益D、應該考慮控制措施實施的成熟度【正確答案】：B250.災難恢復SHARE78的第三層是指A、卡車運送B、電子鏈接C、活動狀態(tài)的備份中心D、0數(shù)據(jù)丟失【正確答案】：B251.以下哪項不是信息安全的主要目標A、確保業(yè)務連續(xù)性B、保護信息免受各種威脅的損害C、防止黑客竊取員工個人信息D、投資回報和商業(yè)機遇最大化【正確答案】：C252.在一家企業(yè)的業(yè)務持續(xù)性計劃中，什么情況被宣布為一個危機沒有被定義。這一點關系到的主要風險是：A、對這種情況的評估可能會延遲B、災難恢復計劃的執(zhí)行可能會被影響C、團隊通知可能不會發(fā)生D、對潛在危機的識別可能會無效【正確答案】：B253.實施信息系統(tǒng)訪問控制首先需要進行如下哪一項工作？A、信息系統(tǒng)資產(chǎn)分類B、信息系統(tǒng)資產(chǎn)標識C、創(chuàng)建訪問控制列表D、梳理信息系統(tǒng)相關信息資產(chǎn)【正確答案】：A254.作為業(yè)務繼續(xù)計劃流程中的一部分，在業(yè)務影響分析中下面哪個選項應該最先確認？A、組織的風險，像單點失敗或設備風險B、重要業(yè)務流程的威脅C、根據(jù)恢復優(yōu)先級設定的重要業(yè)務流程D、重建業(yè)務的所需的資源【正確答案】：B255.ISMS審核常用的審核方法不包括？A、糾正預防B、文件審核C、現(xiàn)場審核D、滲透測試【正確答案】：A256.一個組織具有的大量分支機構(gòu)且分布地理區(qū)域較廣。以確保各方面的災難恢復計劃的評估，具有成本效益的方式，應建議使用：A、數(shù)據(jù)恢復測試B、充分的業(yè)務測試C、前后測試D、預案測試【正確答案】：A257.特洛伊木馬攻擊的危脅類型屬于A、授權侵犯威脅B、植入威脅C、滲入威脅D、破壞威脅【正確答案】：D258.企業(yè)按照ＩＳＯ２７００１標準建立信息安全管理體系的過程中，對關鍵成功因素的描述不正確的是A、不需要全體員工的參入，只要ＩＴ部門的人員參入即可B、來自高級管理層的明確的支持和承諾C、對企業(yè)員工提供必要的安全意識和技能的培訓和教育D、所有管理者、員工及其他伙伴方理解企業(yè)信息安全策略、指南和標準，并遵照執(zhí)行【正確答案】：A259."在選擇外部供貨生產(chǎn)商時，評價標準按照重要性的排列順序是：1.供貨商與信息系統(tǒng)部門的接近程度2.供貨商雇員的態(tài)度3.供貨商的信譽、專業(yè)知識4.供貨商的財政狀況和管理情況、技術A、4，3，1，2B、3，4，2，1C、3，2，4，1D、1，2，3，4【正確答案】：B260.風險控制是依據(jù)風險評估的結(jié)果，選擇和實施合適的安全措施。下面哪個不是風險控制的方式？A、規(guī)避風險B、轉(zhuǎn)移風險C、接受風險D、降低風險【正確答案】：C261.在安全人員的幫助下，對數(shù)據(jù)提供訪問權的責任在于：A、數(shù)據(jù)所有者.B、程序員C、系統(tǒng)分析師.D、庫管員【正確答案】：A262.信息系統(tǒng)的價值確定需要與哪個部門進行有效溝通確定？A、系統(tǒng)維護部門B、系統(tǒng)開發(fā)部門C、財務部門D、業(yè)務部門【正確答案】：D263.下面哪一個不是高層安全方針所關注的A、識別關鍵業(yè)務目標B、定義安全組織職責C、定義安全目標D、定義防火墻邊界防護策略【正確答案】：D264.評估應急響應計劃時，下列哪一項應當最被關注：A、災難等級基于受損功能的范圍，而不是持續(xù)時間B、低級別災難和軟件事件之間的區(qū)別不清晰C、總體應急響應計劃被文檔化，但詳細恢復步驟沒有規(guī)定D、事件通告的職責沒有被識別【正確答案】：B265.信息資產(chǎn)面臨的主要威脅來源主要包括A、自然災害B、系統(tǒng)故障C、內(nèi)部人員操作失誤D、以上都包括【正確答案】：D266.在軟件程序測試的哪個階段一個組織應該進行體系結(jié)構(gòu)設計測試?A、可接受性測試B、系統(tǒng)測試C、集成測試D、單元測試【正確答案】：C267.災難性恢復計劃(DRP)基于:A、技術方面的業(yè)務連續(xù)性計劃B、操作部分的業(yè)務連續(xù)性計劃C、功能方面的業(yè)務連續(xù)性計劃D、總體協(xié)調(diào)的業(yè)務連續(xù)性計劃【正確答案】：C268.對于在ISMS內(nèi)審中所發(fā)現(xiàn)的問題，在審核之后應該實施必要的改進措施并進行跟蹤和評價，以下描述不正確的是？A、改進措施包括糾正和預防措施B、改進措施可由受審單位提出并實施C、不可以對體系文件進行更新或修改D、對改進措施的評價應該包括措施的有效性的分析【正確答案】：C269.P2DR模型中的“反應”是在檢測到安全漏洞和安全事件時，通過及時的響應措施將網(wǎng)絡系統(tǒng)的安全性調(diào)整到風險最低的狀態(tài)，這些措施包括？A、關閉服務。B、向上級匯報。C、跟蹤。D、消除影響?！菊_答案】：B270.下列哪一個是國家推薦標準A、GB/T18020-1999B、SJ/T30003-93C、ISO/IEC15408D、GA243-2000【正確答案】：D271.在信息系統(tǒng)安全中，風險由以下哪兩種因素共同構(gòu)成的？A、攻擊和脆弱性B、威脅和攻擊C、威脅和脆弱性D、威脅和破壞【正確答案】：C272.信息安全管理最關注的是？A、外部惡