logo资料库

CISP试题及答案(整理版).docx

发布时间：2022-06-06 发布人：admin 分类：说明书 资料大小：0.08M 资料格式：docx 举报 版权申诉
第1页 / 共78页
第2页 / 共78页
第3页 / 共78页
第4页 / 共78页
第5页 / 共78页
第6页 / 共78页
第7页 / 共78页
第8页 / 共78页
资料共78页，剩余部分请下载后查看
    1. 以下对信息安全描述不正确的是 A.信息安全的基本要素包括保密性、完整性和可用性 B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安 全事件对业务造成的影响减到最小，确保组织业务运行的连续性 C.信息安全就是不出安全事故/事件 D.信息安全不仅仅只考虑防止信息泄密就可以了 ▍答案： C 2. 以下对信息安全管理的描述错误的是 A.保密性、完整性、可用性 B.抗抵赖性、可追溯性 C.真实性私密性可靠性 D.增值性 ▍答案： D 3. 以下对信息安全管理的描述错误的是 A.信息安全管理的核心就是风险管理 B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性 C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂 D.信息安全管理工作的重点是信息系统，而不是人 ▍答案： D 4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中， 对关键成功因素的描述不正确的是 A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可 B. 来自高级管理层的明确的支持和承诺 C.对企业员工提供必要的安全意识和技能的培训和教育 D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准， 并遵照执行 ▍答案： A 5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的 是 A. ISMS 是一个遵循 PDCA 模式的动态发展的体系 B. C.ISMS 采取的各项风险控制措施应该根据风险评估等途径得出的需求而 定 D. ▍答案： D 6. PDCA 特征的描述不正确的是 A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题 B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解 决问题 C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足 D. 信息安全风险管理的思路不符合 PDCA 的问题解决思路 ▍答案： D 7. 以下哪个不是信息安全项目的需求来源 A. 国家和地方政府法律法规与合同的要求 ISMS 应该是一步到位的，应该解决所有的信息安全问题 ISMS 是一个文件化、系统化的体系
    ISO27001 认证项目一般有哪几个阶段？ B. 风险评估的结果 C.组织原则目标和业务需要 D. 企业领导的个人意志 ▍答案： D 8. A. 管理评估，技术评估，操作流程评估 B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行， 认证 C.产品方案需求分析，解决方案提供，实施解决方案 D. 基础培训，RA 培训，文件编写培训，内部审核培训 ▍答案： B 9. 构成风险的关键因素有哪些？ A. 人，财，物 B. 技术，管理和操作 C.资产，威胁和弱点 D. 资产，可能性和严重性 ▍答案： C 10. 以下哪些不是应该识别的信息资产？ A. 网络设备 B.客户资料 C. 办公桌椅 D. 系统管理员 ▍答案： C 11. 以下哪些是可能存在的威胁因素？B A. 设备老化故障 B.病毒和蠕虫 C. 系统设计缺陷 D. 保安工作不得力 ▍答案： B 12. 以下哪些不是可能存在的弱点问题？ A. 保安工作不得力 B.应用系统存在 Bug C. 内部人员故意泄密 D. 物理隔离不足 ▍答案： C 13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个 不是需要遵循的原则？ A. 只识别与业务及信息系统有关的信息资产，分类识别 B.所有公司资产都要识别 C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键 资产 D. 资产识别务必明确责任人、保管者和用户 ▍答案： B 14. 风险分析的目的是？
    A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡； B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡； C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡； D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡； ▍答案： C 15. 对于信息安全风险的描述不正确的是？ A. 企业信息安全风险管理就是要做到零风险 B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带 来负面影响及其潜在可能性 C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或 消除可能影响信息系统的安全风险的过程。 D. 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、 受到的影响、存在的弱点以及威胁发生的可能性的评估。 ▍答案： A 16. 有关定性风险评估和定量风险评估的区别，以下描述不正确的是 A. 定性风险评估比较主观，而定量风险评估更客观 B. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证 C.定性风险评估更成熟，定量风险评估还停留在理论阶段 D. 定性风险评估和定量风险评估没有本质区别，可以通用 ▍答案： D 17. 降低企业所面临的信息安全风险，可能的处理手段不包括哪些 A. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身 的缺陷 B. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性； C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的 攻击 D. 通过业务外包的方式，转嫁所有的安全风险 ▍答案： D 18. 风险评估的基本过程是怎样的？ A. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最 终确定风险 B. 通过以往发生的信息安全事件，找到风险所在 C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位 D. 风险评估并没有规律可循，完全取决于评估者的经验所在 ▍答案： A 19. 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是 适当的 A. 只关注外来的威胁，忽视企业内部人员的问题 B. 相信来自陌生人的邮件，好奇打开邮件附件 C.开着电脑离开，就像离开家却忘记关灯那样 D. 及时更新系统和安装系统和应用的补丁 ▍答案： D 20. 以下对 ISO27001 标准的描述不正确的是 A. 企业通过 ISO27001 认证则必须符合 ISO27001 信息安全管理体系规范
    ISO27001 是当前国际上最被认可的信息安全管理标准 ISO27001 标准与信息系统等级保护等国家标准相冲突 的所有要求 B. C.ISO27001 是源自于英国的国家标准 BS7799 D. ▍答案： B 21. 对安全策略的描述不正确的是 A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的 描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实 施过程 B. 策略应有一个属主，负责按复查程序维护和复查该策略 C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺； D. 安全策略一旦建立和发布，则不可变更； ▍答案： D 22. 以下对企业信息安全活动的组织描述不正确的是 A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。 B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理 设施和信息资产的安全。 C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外 部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。 D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员 工采取安全管控措施 ▍答案： D 23. 企业信息资产的管理和控制的描述不正确的是 A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管 控责任； B. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应 的管控措施； C.企业的信息资产不应该分类分级，所有的信息系统要统一对待 D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息 资产 ▍答案： C 24. 有关人员安全的描述不正确的是 A. 人员的安全管理是企业信息安全管理活动中最难的环节 B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查 C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力， 也无需做任何工作 D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号 ▍答案： C 25. 以下有关通信与日常操作描述不正确的是 A. 信息系统的变更应该是受控的 B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则 C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏 D. 内部安全审计无需遵循独立性、客观性的原则 ▍答案： D
    26. 以下有关访问控制的描述不正确的是 A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护 和管理 B. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”， 即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限 一律不能分配 C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提 升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险； D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入； ▍答案： D 27. 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题， 以下描述错误的是 A. 信息系统的开发设计，应该越早考虑系统的安全需求越好 B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不 仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统 C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密 钥的管理 D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风 险 ▍答案： C 28. 有关信息安全事件的描述不正确的是 A. 信息安全事件的处理应该分类、分级 B. 信息安全事件的数量可以反映企业的信息安全管控水平 C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信 息安全风险很小 D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追 溯，以吸取教训、总结经验，防止类似事情再次发生 ▍答案： C 29. 以下有关信息安全方面的业务连续性管理的描述，不正确的是 A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重 大灾难/破坏时，能够及时恢复，保障企业业务持续运营 B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核 心业务 C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性 计划文档 D. 信息安全方面的业务连续性管理只与 IT 部门相关，与其他业务部门 人员无须参入 ▍答案： D 30. 企业信息安全事件的恢复过程中，以下哪个是最关键的？ A. 数据 B. 应用系统 C.通信链路 D. 硬件/软件 ▍答案： A
    ISMS 的审核的层次不包括以下哪个？ 31. 企业 ISMS(信息安全管理体系)建设的原则不包括以下哪个 A. 管理层足够重视 B. 需要全员参与 C.不必遵循过程的方法 D. 需要持续改进 ▍答案： C 32. PDCA 特征的描述不正确的是 A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题 B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解 决问题 C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足 D. 信息安全风险管理的思路不符合 PDCA 的问题解决思路 ▍答案： D 33. 对于在 ISMS 内审中所发现的问题，在审核之后应该实施必要的改 进措施并进行跟踪和评价，以下描述不正确的是？ A. 改进措施包括纠正和预防措施 B. 改进措施可由受审单位提出并实施 C.不可以对体系文件进行更新或修改 D. 对改进措施的评价应该包括措施的有效性的分析 ▍答案： C 34. A. 符合性审核 B. 有效性审核 C.正确性审核 D. 文件审核 ▍答案： C 35. 以下哪个不可以作为 ISMS 管理评审的输入 A. ISMS 审计和评审的结果 B. 来自利益伙伴的反馈 C. 某个信息安全项目的技术方案 D. 预防和纠正措施的状态 ▍答案： C 36. 有关认证和认可的描述，以下不正确的是 A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面 保证（合格证书） B. 根据对象的不同，认证通常分为产品认证和体系认证 C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能 力给予的正式承认 D. 企业通过 ISO27001 认证则说明企业符合 ISO27001 和 ISO27002 标准 的要求 ▍答案： D 37. 信息的存在及传播方式 A. 存在于计算机、磁带、纸张等介质中 B. 记忆在人的大脑里
    C.. 通过网络打印机复印机等方式进行传播 D. 通过投影仪显示 ▍答案： D 38. 下面哪个组合不是是信息资产 A. 硬件、软件、文档资料 B. 关键人员 C.. 组织提供的信息服务 D. 桌子、椅子 ▍答案： D 39. 实施 ISMS 内审时，确定 ISMS 的控制目标、控制措施、过程和程序 应该要符合相关要求，以下哪个不是？ A. 约定的标准及相关法律的要求 B.已识别的安全需求 C. 控制措施有效实施和维护 D. ISO13335 风险评估方法 ▍答案： D 40. 以下对审核发现描述正确的是 A. 用作依据的一组方针、程序或要求 B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息 C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合 项，也可以是不合格/不符合项 D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述 ▍答案： C 41. A. 纠正预防 B.文件审核 C. 现场审核 D. 渗透测试 ▍答案： A 42. A. 熟悉必要的文件和程序； B.根据要求编制检查列表； C. 配合支持审核组长的工作，有效完成审核任务； D. 负责实施整改内审中发现的问题； ▍答案： D 43. 审核在实施审核时，所使用的检查表不包括的内容有？ A. 审核依据 B.审核证据记录 C. 审核发现 D. 数据收集方法和工具 ▍答案： C 44. A. 明确审核目的、审核准则和审核范围 B.明确审核员的分工 ISMS 的内部审核员（非审核组长）的责任不包括？ ISMS 审核常用的审核方法不包括？ ISMS 审核时，首次会议的目的不包括以下哪个？
    ISMS 审核时，对审核发现中，以下哪个是属于严重不符合项？ C. 明确接受审核方责任，为配合审核提供必要资源和授权 D. 明确审核进度和审核方法，且在整个审核过程中不可调整 ▍答案： D 45. A. 关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不 符合项 B.风险评估方法没有按照 ISO27005（信息安全风险管理）标准进行 C. 孤立的偶发性的且对信息安全管理体系无直接影响的问题； D. 审核员识别的可能改进项 ▍答案： D 46. 以下关于 ISMS 内部审核报告的描述不正确的是？ A. 内审报告是作为内审小组提交给管理者代表或最高管理者的工作成 果 B.内审报告中必须包含对不符合性项的改进建议 C. 内审报告在提交给管理者代表或者最高管理者之前应该受审方管理 者沟通协商，核实报告内容。 D. 内审报告中必须包括对纠正预防措施实施情况的跟踪 ▍答案： D 47. 信息系统审核员应该预期谁来授权对生产数据和生产系统的访 问？ A.流程所有者 B.系统管理员 C.安全管理员 D.数据所有者 ▍答案： D 48. 当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一 道防线是下列哪一项？ A. 个人防火墙 B.防病毒软件 C.入侵检测系统 D.虚拟局域网设置 ▍答案： C 49. 负责授权访问业务系统的职责应该属于： A.数据拥有者 B.安全管理员 C. IT 安全经理 D.请求者的直接上司 ▍答案： A 50. 在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么 做？ A.外部代理商的处理应该接受一个来自独立代理进行的 IS 审计。 B.外部代理商的员工必须接受该组织的安全程序的培训。 C. 来自外部代理商的任何访问必须限制在停火区（DMZ） D.该组织应该进行风险评估，并制定和实施适当的控制。
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料