![点击分享此内容可以赚币 分享](/master/images/share_but.png)
CISP试题及答案(515多题整理版)教学文稿.docx
《CISP试题及答案(515多题整理版)教学文稿.docx》由会员分享,可在线阅读,更多相关《CISP试题及答案(515多题整理版)教学文稿.docx(86页珍藏版)》请在咨信网上搜索。
1、CISP试题及答案(515多题整理版)精品文档1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行,使安全事件对业务造成的影响减到最小,确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】 C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】 D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说,三分技术,七分管理,可见管理对信息安全的重要性
2、C.安全技术是信息安全的构筑材料,安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统,而不是人【答案】 D4. 企业按照标准建立信息安全管理体系的过程中,对关键成功因素的描述不正确的是A. 不需要全体员工的参入,只要部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准,并遵照执行【答案】 A5. 信息安全管理体系(ISMS)是一个怎样的体系,以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISM
3、S采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的,应该解决所有的信息安全问题【答案】 D6. PDCA特征的描述不正确的是 A. 顺序进行,周而复始,发现问题,分析问题,然后是解决问题B. 大环套小环,安全目标的达成都是分解成多个小目标,一层层地解决问题C.阶梯式上升,每次循环都要进行总结,巩固成绩,改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B. 风险评估的结果C.组织原则目标和业务需要D. 企业领导的个人意志【答案】 D8. ISO270
4、01认证项目一般有哪几个阶段?A. 管理评估,技术评估,操作流程评估B. 确定范围和安全方针,风险评估,风险控制(文件编写),体系运行,认证C.产品方案需求分析,解决方案提供,实施解决方案D. 基础培训,RA培训,文件编写培训,内部审核培训【答案】 B9. 构成风险的关键因素有哪些?A. 人,财,物B. 技术,管理和操作C.资产,威胁和弱点D. 资产,可能性和严重性【答案】 C10. 以下哪些不是应该识别的信息资产?A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】 C 11. 以下哪些是可能存在的威胁因素?BA. 设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力
5、【答案】 B12. 以下哪些不是可能存在的弱点问题?A. 保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】 C13. 风险评估的过程中,首先要识别信息资产,资产识别时,以下哪个不是需要遵循的原则?A. 只识别与业务及信息系统有关的信息资产,分类识别B.所有公司资产都要识别C. 可以从业务流程出发,识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】 B14. 风险分析的目的是?A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡;B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡;C. 在实施保护
6、所需的成本与风险可能造成的影响之间进行经济平衡;D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡;【答案】 C15. 对于信息安全风险的描述不正确的是?A. 企业信息安全风险管理就是要做到零风险B. 在信息安全领域,风险(Risk)就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理(Risk Management)就是以可接受的代价,识别控制减少或消除可能影响信息系统的安全风险的过程。D. 风险评估(Risk Assessment)就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。【答案】 A16. 有关定性风险评估和定量风险
7、评估的区别,以下描述不正确的是A. 定性风险评估比较主观,而定量风险评估更客观B. 定性风险评估容易实施,定量风险评估往往数据准确性很难保证C.定性风险评估更成熟,定量风险评估还停留在理论阶段D. 定性风险评估和定量风险评估没有本质区别,可以通用【答案】 D17. 降低企业所面临的信息安全风险,可能的处理手段不包括哪些A. 通过良好的系统设计、及时更新系统补丁,降低或减少信息系统自身的缺陷B. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性;C.建立必要的安全制度和部署必要的技术手段,防范黑客和恶意软件的攻击D. 通过业务外包的方式,转嫁所有的安全风险【答案】 D18. 风险评估的基本
8、过程是怎样的?A. 识别并评估重要的信息资产,识别各种可能的威胁和严重的弱点,最终确定风险B. 通过以往发生的信息安全事件,找到风险所在C.风险评估就是对照安全检查单,查看相关的管理和技术措施是否到位D. 风险评估并没有规律可循,完全取决于评估者的经验所在【答案】 A19. 企业从获得良好的信息安全管控水平的角度出发,以下哪些行为是适当的A. 只关注外来的威胁,忽视企业内部人员的问题B. 相信来自陌生人的邮件,好奇打开邮件附件C.开着电脑离开,就像离开家却忘记关灯那样D. 及时更新系统和安装系统和应用的补丁【答案】 D20. 以下对ISO27001标准的描述不正确的是A. 企业通过ISO270
9、01认证则必须符合ISO27001信息安全管理体系规范的所有要求B. ISO27001标准与信息系统等级保护等国家标准相冲突C.ISO27001是源自于英国的国家标准BS7799D. ISO27001是当前国际上最被认可的信息安全管理标准【答案】 B21. 对安全策略的描述不正确的是A. 信息安全策略(或者方针)是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向,用于指导信息安全管理体系的建立和实施过程B. 策略应有一个属主,负责按复查程序维护和复查该策略C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺;D. 安全策略一旦建立和发布,则不可变更;【答案】 D22. 以下
10、对企业信息安全活动的组织描述不正确的是A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。C.在没有采取必要控制措施,包括签署相关协议之前,不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。D. 企业在开展业务活动的过程中,应该完全相信员工,不应该对内部员工采取安全管控措施【答案】 D23. 企业信息资产的管理和控制的描述不正确的是A. 企业应该建立和维护一个完整的信息资产清单,并明确信息资产的管控责任;B. 企业应该根据信息资产的重要性和安全级别的不同要求,采取对应的管控措施;C
11、.企业的信息资产不应该分类分级,所有的信息系统要统一对待D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产【答案】 C24. 有关人员安全的描述不正确的是A. 人员的安全管理是企业信息安全管理活动中最难的环节B. 重要或敏感岗位的人员入职之前,需要做好人员的背景检查C.企业人员预算受限的情况下,职责分离难以实施,企业对此无能为力,也无需做任何工作D. 人员离职之后,必须清除离职员工所有的逻辑访问帐号【答案】 C25. 以下有关通信与日常操作描述不正确的是A. 信息系统的变更应该是受控的B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则C.移动介质使用是一个管理难题,应
12、该采取有效措施,防止信息泄漏 D. 内部安全审计无需遵循独立性、客观性的原则【答案】 D26. 以下有关访问控制的描述不正确的是A. 口令是最常见的验证身份的措施,也是重要的信息资产,应妥善保护和管理B. 系统管理员在给用户分配访问权限时,应该遵循“最小特权原则”,即分配给员工的访问权限只需满足其工作需要的权限,工作之外的权限一律不能分配C.单点登录系统(一次登录/验证,即可访问多个系统)最大的优势是提升了便利性,但是又面临着“把所有鸡蛋放在一个篮子”的风险;D. 双因子认证(又称强认证)就是一个系统需要两道密码才能进入;【答案】 D27. 有关信息系统的设计、开发、实施、运行和维护过程中的安
13、全问题,以下描述错误的是A. 信息系统的开发设计,应该越早考虑系统的安全需求越好B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题,不仅仅要考虑提供一个安全的开发环境,同时还要考虑开发出安全的系统C.信息系统在加密技术的应用方面,其关键是选择密码算法,而不是密钥的管理D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险【答案】 C28. 有关信息安全事件的描述不正确的是A. 信息安全事件的处理应该分类、分级B. 信息安全事件的数量可以反映企业的信息安全管控水平C.某个时期内企业的信息安全事件的数量为零,这意味着企业面临的信息安全风险很小D. 信息安全事件处理流程中的一
14、个重要环节是对事件发生的根源的追溯,以吸取教训、总结经验,防止类似事情再次发生【答案】 C29. 以下有关信息安全方面的业务连续性管理的描述,不正确的是A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时,能够及时恢复,保障企业业务持续运营B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务C.业务连续性计划文档要随着业务的外部环境的变化,及时修订连续性计划文档D. 信息安全方面的业务连续性管理只与IT部门相关,与其他业务部门人员无须参入【答案】 D30. 企业信息安全事件的恢复过程中,以下哪个是最关键的?A. 数据B. 应用系统C.通信链路D. 硬
15、件/软件【答案】 A31. 企业ISMS(信息安全管理体系)建设的原则不包括以下哪个A. 管理层足够重视B. 需要全员参与C.不必遵循过程的方法D. 需要持续改进【答案】 C32. PDCA特征的描述不正确的是 A. 顺序进行,周而复始,发现问题,分析问题,然后是解决问题B. 大环套小环,安全目标的达成都是分解成多个小目标,一层层地解决问题C.阶梯式上升,每次循环都要进行总结,巩固成绩,改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D33. 对于在ISMS内审中所发现的问题,在审核之后应该实施必要的改进措施并进行跟踪和评价,以下描述不正确的是?A. 改进措施包括纠正
16、和预防措施B. 改进措施可由受审单位提出并实施C.不可以对体系文件进行更新或修改D. 对改进措施的评价应该包括措施的有效性的分析【答案】 C34. ISMS的审核的层次不包括以下哪个?A. 符合性审核B. 有效性审核C.正确性审核D. 文件审核【答案】 C35. 以下哪个不可以作为ISMS管理评审的输入A. ISMS审计和评审的结果B. 来自利益伙伴的反馈C. 某个信息安全项目的技术方案D. 预防和纠正措施的状态【答案】 C36. 有关认证和认可的描述,以下不正确的是 A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证(合格证书)B. 根据对象的不同,认证通常分为产品认证和
17、体系认证C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求【答案】 D37. 信息的存在及传播方式A. 存在于计算机、磁带、纸张等介质中B. 记忆在人的大脑里C. 通过网络打印机复印机等方式进行传播D. 通过投影仪显示【答案】 D38. 下面哪个组合不是是信息资产A. 硬件、软件、文档资料B. 关键人员C. 组织提供的信息服务D. 桌子、椅子【答案】 D39. 实施ISMS内审时,确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求,以下哪个不是?A. 约定的标准
18、及相关法律的要求B.已识别的安全需求C. 控制措施有效实施和维护D. ISO13335风险评估方法【答案】 D40. 以下对审核发现描述正确的是A. 用作依据的一组方针、程序或要求B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息C. 将收集到的审核证据依照审核准则进行评价的结果,可以是合格/符合项,也可以是不合格/不符合项D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述【答案】 C41. ISMS审核常用的审核方法不包括?A. 纠正预防B.文件审核C. 现场审核D. 渗透测试【答案】 A42. ISMS的内部审核员(非审核组长)的责任不包括?A. 熟悉必要的文件和程序;
19、B.根据要求编制检查列表;C. 配合支持审核组长的工作,有效完成审核任务;D. 负责实施整改内审中发现的问题;【答案】 D43. 审核在实施审核时,所使用的检查表不包括的内容有?A. 审核依据B.审核证据记录C. 审核发现D. 数据收集方法和工具【答案】 C44. ISMS审核时,首次会议的目的不包括以下哪个?A. 明确审核目的、审核准则和审核范围B.明确审核员的分工C. 明确接受审核方责任,为配合审核提供必要资源和授权D. 明确审核进度和审核方法,且在整个审核过程中不可调整【答案】 D45. ISMS审核时,对审核发现中,以下哪个是属于严重不符合项?A. 关键的控制程序没有得到贯彻,缺乏标准
20、规定的要求可构成严重不符合项B.风险评估方法没有按照ISO27005(信息安全风险管理)标准进行C. 孤立的偶发性的且对信息安全管理体系无直接影响的问题;D. 审核员识别的可能改进项【答案】 D46. 以下关于ISMS内部审核报告的描述不正确的是?A. 内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果B.内审报告中必须包含对不符合性项的改进建议C. 内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商,核实报告内容。D. 内审报告中必须包括对纠正预防措施实施情况的跟踪【答案】 D47. 信息系统审核员应该预期谁来授权对生产数据和生产系统的访问?A.流程所有者B.系统
21、管理员C.安全管理员D.数据所有者【答案】 D48. 当保护组织的信息系统时,在网络防火墙被破坏以后,通常的下一道防线是下列哪一项?A. 个人防火墙B.防病毒软件C.入侵检测系统D.虚拟局域网设置【答案】 C 49. 负责授权访问业务系统的职责应该属于:A.数据拥有者B.安全管理员C. IT 安全经理D.请求者的直接上司【答案】 A50. 在提供给一个外部代理商访问信息处理设施前,一个组织应该怎么做?A.外部代理商的处理应该接受一个来自独立代理进行的IS 审计。B.外部代理商的员工必须接受该组织的安全程序的培训。C. 来自外部代理商的任何访问必须限制在停火区(DMZ)D.该组织应该进行风险评估
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- CISP 试题 答案 515 整理 教学 文稿
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【a199****6536】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【a199****6536】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。