CISP试题及答案

1.以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2.以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3.以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4.企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A.不需要全体员工的参入，只要ＩＴ部门的人员参入即可B.来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D.所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5.信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A.ISMS是一个遵循PDCA模式的动态发展的体系B.ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D.ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6.PDCA特征的描述不正确的是A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7.以下哪个不是信息安全项目的需求来源A.国家和地方政府法律法规与合同的要求B.风险评估的结果C.组织原则目标和业务需要D.企业领导的个人意志【答案】D8.ISO27001认证项目一般有哪几个阶段？A.管理评估，技术评估，操作流程评估B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D.基础培训，RA培训，文件编写培训，内部审核培训【答案】B9.构成风险的关键因素有哪些？A.人，财，物B.技术，管理和操作C.资产，威胁和弱点D.资产，可能性和严重性【答案】C10.以下哪些不是应该识别的信息资产？A.网络设备B.客户资料C.办公桌椅D.系统管理员【答案】C11.以下哪些是可能存在的威胁因素？BA.设备老化故障B.病毒和蠕虫C.系统设计缺陷D.保安工作不得力【答案】B12.以下哪些不是可能存在的弱点问题？A.保安工作不得力B.应用系统存在BugC.内部人员故意泄密D.物理隔离不足【答案】C13.风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A.只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C.可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D.资产识别务必明确责任人、保管者和用户【答案】B14.风险分析的目的是？A.在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C.在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D.在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15.对于信息安全风险的描述不正确的是？A.企业信息安全风险管理就是要做到零风险B.在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（RiskManagement）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。D.风险评估（RiskAssessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。【答案】A16.有关定性风险评估和定量风险评估的区别，以下描述不正确的是A.定性风险评估比较主观，而定量风险评估更客观B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证C.定性风险评估更成熟，定量风险评估还停留在理论阶段D.定性风险评估和定量风险评估没有本质区别，可以通用【答案】D17.降低企业所面临的信息安全风险，可能的处理手段不包括哪些A.通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷B.通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击D.通过业务外包的方式，转嫁所有的安全风险【答案】D18.风险评估的基本过程是怎样的？A.识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险B.通过以往发生的信息安全事件，找到风险所在C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位D.风险评估并没有规律可循，完全取决于评估者的经验所在【答案】A19.企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的A.只关注外来的威胁，忽视企业内部人员的问题B.相信来自陌生人的邮件，好奇打开邮件附件C.开着电脑离开，就像离开家却忘记关灯那样D.及时更新系统和安装系统和应用的补丁【答案】D20.以下对ISO27001标准的描述不正确的是A.企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求B.ISO27001标准与信息系统等级保护等国家标准相冲突C.ISO27001是源自于英国的国家标准BS7799D.ISO27001是当前国际上最被认可的信息安全管理标准【答案】B21.对安全策略的描述不正确的是A.信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程B.策略应有一个属主，负责按复查程序维护和复查该策略C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；D.安全策略一旦建立和发布，则不可变更；【答案】D22.以下对企业信息安全活动的组织描述不正确的是A.企业应该在组织内建立发起和控制信息安全实施的管理框架。B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施【答案】D23.企业信息资产的管理和控制的描述不正确的是A.企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；B.企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；C.企业的信息资产不应该分类分级，所有的信息系统要统一对待D.企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产【答案】C24.有关人员安全的描述不正确的是A.人员的安全管理是企业信息安全管理活动中最难的环节B.重要或敏感岗位的人员入职之前，需要做好人员的背景检查C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作D.人员离职之后，必须清除离职员工所有的逻辑访问帐号【答案】C25.以下有关通信与日常操作描述不正确的是A.信息系统的变更应该是受控的B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏D.内部安全审计无需遵循独立性、客观性的原则【答案】D26.以下有关访问控制的描述不正确的是A.口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；D.双因子认证（又称强认证）就是一个系统需要两道密码才能进入；【答案】D27.有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是A.信息系统的开发设计，应该越早考虑系统的安全需求越好B.信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理D.运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险【答案】C28.有关信息安全事件的描述不正确的是A.信息安全事件的处理应该分类、分级B.信息安全事件的数量可以反映企业的信息安全管控水平C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小D.信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生【答案】C29.以下有关信息安全方面的业务连续性管理的描述，不正确的是A.信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营B.企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档D.信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入【答案】D30.企业信息安全事件的恢复过程中，以下哪个是最关键的？A.数据B.应用系统C.通信链路D.硬件/软件【答案】A31.企业ISMS(信息安全管理体系)建设的原则不包括以下哪个A.管理层足够重视B.需要全员参与C.不必遵循过程的方法D.需要持续改进【答案】C32.PDCA特征的描述不正确的是A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D33.对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？A.改进措施包括纠正和预防措施B.改进措施可由受审单位提出并实施C.不可以对体系文件进行更新或修改D.对改进措施的评价应该包括措施的有效性的分析【答案】C34.ISMS的审核的层次不包括以下哪个？A.符合性审核B.有效性审核C.正确性审核D.文件审核【答案】C35.以下哪个不可以作为ISMS管理评审的输入A.ISMS审计和评审的结果B.来自利益伙伴的反馈C.某个信息安全项目的技术方案D.预防和纠正措施的状态【答案】C36.有关认证和认可的描述，以下不正确的是A.认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）B.根据对象的不同，认证通常分为产品认证和体系认证C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认D.企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求【答案】D37.信息的存在及传播方式A.存在于计算机、磁带、纸张等介质中B.记忆在人的大脑里C..通过网络打印机复印机等方式进行传播D.通过投影仪显示【答案】D38.下面哪个组合不是是信息资产A.硬件、软件、文档资料B.关键人员C..组织提供的信息服务D.桌子、椅子【答案】D39.实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？A.约定的标准及相关法律的要求B.已识别的安全需求C.控制措施有效实施和维护D.ISO13335风险评估方法【答案】D40.以下对审核发现描述正确的是A.用作依据的一组方针、程序或要求B.与审核准则有关的并且能够证实的记录