信息安全管理教程试题库
1. 根据IS013335标准，信息是通过在数据上施加某些约定而赋予这些数据的特殊含义。(√)
2. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。
3. 只要投资充足，技术措施完备，就能够保证百分之百的信息安全。
4. 我国在2006年提出的(2006—2020年国家信息化发展战略》将“建设国家信息安全保障体系”作为9大战略发展方向之一。(√)
5. 2003年7月国家信息化领导小组第三次会议发布的27号文件，是指导我国信息安全保障工作和加快推进信息化的纲领性文献。(√)
6. 在我国，严重的网络犯罪行为也不需要接受刑法的相关处罚。
7. 安全管理的合规性，主要是指在有章可循的基础之上，确保信息安全工作符合国家法律、法规、行业标准、机构内部的方针和规定。(√)
8. Windows2000/xp系统提供了口令安全策略，以对XX口令安全进行保护。(√)
9. 信息安全等同于网络安全。
10. GB l7859与目前等级保护所规定的安全等级的含义不同，GB l7859中等级划分为现在的等级保护奠定了基础。(√)
11. 口令认证机制的安全性弱点，可以使得攻击者破解合法用户XX信：息，进而非法获得系统和资源访问权限。(√)
12. PKI系统所有的安全操作都是通过数字证书来实现的。(√)
13. PKI系统使用了非对称算法．对称算法和散列算法。(√)
14. 一个完整的信息安全保障体系，应当包括安全策略(Policy)、保护(Protection)、检测(Detection)、响应(Reaction)、恢复(Restoration)五个主要环节。(√)
15. 信息安全的层次化特点决定了应用系统的安全不仅取决于应用层安全机制，同样依赖于底层的物理、网络和系统等层面的安全状况。(√)
16. 实现信息安全的途径要借助两方面的控制措施、技术措施和管理措施，从这里就能看出技术和管理并重的基本思想，重技术轻管理，或者重管理轻技术，都是不科学，并且有局限性的错误观点。(√)
17. 按照BS 7799标准，信息安全管理应当是一个持续改进的周期性过程。(√)
18. 虽然在安全评估过程中采取定量评估能获得准确的分析结果，但是由于参数确定较为困难，往往实际评估多采取定性评估，或者定性和定量评估相结合的方法。(√)
19. 一旦发现计算机XX犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。
20. 定性安全风险评估结果中，级别较高的安全风险应当优先采取控制措施予以应对。(√)
21. 网络边界保护中主要采用防火墙系统，为了保证其有效发挥作用，应当避免在内网和外网之间存在不经过防火墙控制的其他通信连接。(√)
22. 网络边界保护中主要采用防火墙系统，在内网和外网之间存在不经过防火墙控制的其他通信连接，不会影响到防火墙的有效保护作用。
23. 防火墙虽然是网络层重要的安全机制，但是它对于计算机病毒缺乏保护能力。(√)
24. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型。
25. 信息技术基础设施库(ITIL)，是由英国发布的关于IT服务管理最佳实践的建议和指导方针，旨在解决IT服务质量不佳的情况。(√)
26. 美国国家标准技术协会NIST发布的《SP 800—30》中详细阐述了IT系统风险管理内容。(√)
27. 防火墙在静态包过滤技术的基础上，通过会话状态检测技术将数据包的过滤处理效率大幅提高。(√)
28. 通常在风险评估的实践中，综合利用基线评估和详细评估的优点，将二者结合起来。(√)
29. 脆弱性分析技术，也被通俗地称为漏洞扫描技术。该技术是检测远程或本地系统安全脆弱性的一种安全技术。(√)
1. 下列关于信息的说法______是错误的。
A. 信息是人类社会发展的重要支柱
B. 信息本身是无形的
C. 信息具有价值，需要保护
D. 信息可以以独立形态存在
2. 信息安全经历了三个发展阶段，以下______不属于这三个发展阶段。
A.通信XX阶段
B.加密机阶段
C.信息安全阶段
D.安全保障阶段
3. 信息安全在通信XX阶段对信息安全的关注局限在______安全属性。
A.不可否认性
B.可用性
C.XX性
D.完整性
4. 信息安全在通信XX阶段中主要应用于______领域。
A.军事
B.商业
C.科研
D.教育
5. 信息安全阶段将研究领域扩展到三个基本属性，下列______不属于这三个基本属性。
A.XX性
B.完整性
C.不可否认性
D.可用性
6. 安全保障阶段中将信息安全体系归结为四个主要环节，下列______是正确的。
A. 策略、保护、响应、恢复
B. 加密、认证、保护、检测
C. 策略、网络攻防、密码学、备份
D. 保护、检测、响应、恢复
7. 下面所列的______安全机制不属于信息安全保障体系中的事先保护环节。
A.杀毒软件
B.数字证书认证
C.防火墙
D.数据库加密
8. 根据IS0的信息安全定义，下列选项中______是信息安全三个基本属性之一。
A.真实性
B.可用性
C.可审计性
D.可靠性
9. 为了数据传输时不发生数据截获和信息泄密，采取了加密机制。这种做法体现了信息安全的______属性。
A.XX性
B.完整性
C.可靠性
D.可用性
10. 定期对系统和数据进行备份，在发生灾难时进行恢复。该机制是为了满足信息安全的______属性。
A.真实性
B.完整性
C.不可否认性
D.可用性
11. 数据在存储过程中发生了非法访问行为，这破坏了信息安全的______属性。
A.XX性
B.完整性
C.不可否认性
D.可用性
12. 网上银行系统的一次转账操作过程中发生了转账金额被非法篡改的行为，这破坏了信息安全的______属性。
A.XX性
B.完整性
C.不可否认性
D.可用性
13. PDR安全模型属于______类型。
A.时间模型
B.作用模型
C.结构模型
D.关系模型
14. 《信息安全国家学说》是______的信息安全基本纲领性文件。
A.法国
B.美国
C.俄罗斯
D.英国
15. 下列的______犯罪行为不属于我国刑法规定的与计算机有关的犯罪行为。
A. 窃取国家秘密
B. 非法侵入计算机信息系统
C. 破坏计算机信息系统
D. 利用计算机实施金融诈骗
16. 我国刑法______规定了非法侵入计算机信息系统罪。
A.第284条
B.第285条
C.第286条
D.第287条
17. 信息安全领域内最关键和最薄弱的环节是______。
A.技术
B.策略
C.管理制度
D.人
18. 信息安全管理领域权威的标准是______。
A. IS015408
B. IS017799／IS027001
C. IS09001
D. IS014001
19. IS017799／IS027001最初是由______提出的国家标准。
A.美国
B.澳大利亚
C.英国
D.中国
20. IS017799的内容结构按照______进行组织。
A. 管理原则
B. 管理框架
C. 管理域-控制目标-控制措施
D. 管理制度
21. ______对于信息安全管理负有责任。
A. 高级管理层
B. 安全管理员
C. IT管理员
D. 所有与信息系统有关人员
22. 对于提高人员安全意识和安全操作技能来说，以下所列的安全管理最有效的是______。
A.安全检查
B.教育与培训
C.责任追究
D.制度约束
23. 《计算机信息系统安全保护条例》是由中华人民XX国______第l47号发布的。
A. 国务院令
B. 全国人民代表大会令
C. 公安部令
D. 国家安全部令
24. 《互联网上网服务营业场所管理条例》规定，______负责互联网上网服务营业场所安全审核和对违反网络安全管理规定行为的查处。
A.人民法院
B.公安机关
C.工商行政管理部门
D.国家安全部门
25. 计算机病毒最本质的特性是______。
A.寄生性
B.潜伏性
C.破坏性
D.攻击性
26. ______安全策略是得到大部分需求的支持并同时能够保护企业的利益。
A.有效的
B.合法的
C.实际的
D.成熟的
27. 在PDR安全模型中最核心的组件是______。
A.策略
B.保护措施
C.检测措施
D.响应措施
28. 制定灾难恢复策略，最重要的是要知道哪些是商务工作中最重要的设施，在发生灾难后，这些设施的______。
A.恢复预算是多少
B.恢复时间是多长
C.恢复人员有几个
D.恢复设备有多少
29. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的成果文档被称为______。
A. 可接受使用策略AUP
B. 安全方针
C. 适用性声明
D. 操作规X
30. 对保护数据来说，功能完善、使用灵活的______必不可少。
A.系统软件
B.备份软件
C.数据库软件
D.网络软件
31. 防止静态信息被非授权访问和防止动态信息被截取解密是______。
A.数据完整性
B.数据可用性
C.数据可靠性
D.数据XX性
32. 用户身份鉴别是通过______完成的。
A.口令验证
B.审计策略
C.存取控制
D.查询功能
33. 故意输入计算机病毒以及其他有害数据，危害计算机信息系统安全的个人，由公安机关处以______。
A. 3年以下有期徒刑或拘役
B. 警告或者处以5000元以下的罚款
C. 5年以上7年以下有期徒刑
D. 警告或者15000元以下的罚款
34. 网络数据备份的实现主要需要考虑的问题不包括______。
A.架设高速局域网
B.分析应用环境
C.选择备份硬件设备
D.选择备份管理软件
35. 《计算机信息系统安全保护条例》规定，对计算机信息系统中发生的案件，有关使用单位应当在______向当地县级以上人民政府公安机关报告。
A.8小时内
B.12小时内
C.24小时内
D.48小时内
36. 公安部网络XX案件举报的网址是______。
A. .netpolice.
B. .gongan.
37. 对于违反信息安全法律、法规行为的行政处罚中，______是较轻的处罚方式。
A.警告
B.罚款
C.没收XX所得
D.吊销许可证
38. 对于XX行为的罚款处罚，属于行政处罚中的______。
A.人身自由罚
B.声誉罚
C.财产罚
D.资格罚
39. 对于XX行为的通报批评处罚，属于行政处罚中的______。
A.人身自由罚
B.声誉罚
C.财产罚
D.资格罚
40. 1994年2月国务院发布的《计算机信息系统安全保护条例》赋予______对计算机信息系统的安全保护工作行使监督管理职权。
A.信息产业部
B.全国人大
C.公安机关
D.国家工商总局
41. 《计算机信息网络国际联网安全保护管理办法》规定，互联单位、接入单位、使用计算机信息网络国际联网的法人和其他组织(包括跨省、自治区、直辖市联网的单位和所属的分支机构)，应当自网络正式联通之日起______日内，到所在地的省、自治区、直辖市人民政府公安机关指定的受理机关办理备案手续。
A.7
B.10
C.15
D.30
42. 互联网服务提供者和联网使用单位落实的记录留存技术措施，应当具有至少保存天记录备份的功能。
A.10
B.30
C.60
D.90
43. 对网络层数据包进行过滤和控制的信息安全技术机制是______。
A.防火墙
B.IDS
C.Sniffer
D.IPSec
44. 下列不属于防火墙核心技术的是______。
A. (静态/动态)包过滤技术
B. NAT技术
C. 应用代理技术
D. 日志审计
45. 应用代理防火墙的主要优点是______。
A. 加密强度更高
B. 安全控制更细化、更灵活
C. 安全服务的透明性更好
D. 服务对象更广泛
46. 安全管理中经常会采用“权限分离”的办法，防止单个人员权限过高，出现内部人员的XX犯罪行为，“权限分离”属于______控制措施。
A.管理
B.检测
C.响应
D.运行
47. 安全管理中采用的“职位轮换”或者“强制休假”办法是为了发现特定的岗位人员是否存在违规操作行为，属于______控制措施。
A.管理
B.检测
C.响应
D.运行
48. 下列选项中不属于人员安全管理措施的是______。
A.行为监控
B.安全培训
C.人员离岗
D.背景/技能审查
49. 《计算机病毒防治管理办法》规定，______主管全国的计算机病毒防治管理工作。
A. 信息产业部
B. 国家病毒防X管理中心
C. 公安部公共信息网络安全监察
D. 国务院信息化建设领导小组
50. 计算机病毒的实时监控属于______类的技术措施。
A.保护
B.检测
C.响应
D.恢复
51. 针对操作系统安全漏洞的蠕虫病毒根治的技术措施是______。
A. 防火墙隔离
B. 安装安全补丁程序
C. 专用病毒查杀工具
D. 部署网络入侵检测系统
52. 下列能够有效地防御未知的新病毒对信息系统造成破坏的安全措施是______。
A. 防火墙隔离
B. 安装安全补丁程序
C. 专用病毒查杀工具
D. 部署网络入侵检测系统
53. 下列不属于网络蠕虫病毒的是______。
A. 冲击波
B. SQL SLAMMER
C. CIH
D. 振荡波
54. 传统的文件型病毒以计算机操作系统作为攻击对象，而现在越来越多的网络蠕虫病毒将攻击X围扩大到了______等重要网络资源。
A.网络带宽
B.数据包
C.防火墙
D.LINUX
55. ______不是计算机病毒所具有的特点。
A.传染性
B.破坏性
C.潜伏性
D.可预见性
56. 关于灾难恢复计划错误的说法是______。
A. 应考虑各种意外情况
B. 制定详细的应对处理办法
C. 建立框架性指导原则，不必关注于细节
D. 正式发布前，要进行讨论和评审
57. 对于远程访问型VPN来说，______产品经常与防火墙及NAT机制存在兼容性问题，导致安全隧道建立失败。
A. IPSee VPN
B. SSL VPN
C. MPLS VPN
D. L2TP VPN
58. 1999年，我国发布的第一个信息安全等级保护的国家标准GB 17859—1999，提出将信息系统的安全等级划分为______个等级，并提出每个级别的安全功能要求。
A.7
B.8
C.6
D.5
59. 等级保护标准GB l7859主要是参考了______而提出。
A.欧洲ITSEC
B.美国TCSEC
https://www.360docs.net/doc/5d9793934.html,
D.BS 7799
60. 我国在1999年发布的国家标准______为信息安全等级保护奠定了基础。
A. GB l77998
B. GB l5408
C. GB l7859
D. GB l4430
61. 信息安全登记保护的5个级别中，______是最高级别，属于关系到国计民生的最关键信息系统的保护。
A.强制保护级
B.专控保护级
C.监督保护级
D.指导保护级
E.自主保护级
62. 《信息系统安全等级保护实施指南》将______作为实施等级保护的第一项重要内容。
A.安全定级
B.安全评估
C.安全规划
D.安全实施
63. ______是进行等级确定和等级保护管理的最终对象。
A.业务系统
B.功能模块
C.信息系统
D.网络系统
64. 当信息系统中包含多个业务子系统时，对每个业务子系统进行安全等级确定，最终信息系统的安全等级应当由______所确定。
A. 业务子系统的安全等级平均值
B. 业务子系统的最高安全等级
C. 业务子系统的最低安全等级
D. 以上说法都错误
65. 下列关于风险的说法，______是错误的。
A. 风险是客观存在的
B. 导致风险的外因是普遍存在的安全威胁
C. 导致风险的外因是普遍存在的安全脆弱性
D. 风险是指一种可能性
66. 下列关于风险的说法，______是正确的。
A. 可以采取适当措施，完全清除风险
B. 任何措施都无法完全清除风险
C. 风险是对安全事件的确定描述
D. 风险是固有的，无法被控制
67. 风险管理的首要任务是______。
A.风险识别和评估
B.风险转嫁
C.风险控制
D.接受风险
68. 关于资产价值的评估，______说法是正确的。
A. 资产的价值指采购费用
B. 资产的价值无法估计
C. 资产价值的定量评估要比定性评估简单容易
D. 资产的价值与其重要性密切相关
69. 采取适当的安全控制措施，可以对风险起到______作用。
A.促进
B.增加
C.减缓
D.清楚
70. 当采取了安全控制措施后，剩余风险______可接受风险的时候，说明风险管理是有效的。
A.等于
B.大于
C.小于
D.不等于
71. 安全威胁是产生安全事件的______。
A.内因
B.外因
C.根本原因
D.不相关因素
72. 安全脆弱性是产生安全事件的______。
A.内因
B.外因
C.根本原因
D.不相关因素
73. 下列关于用户口令说法错误的是______。
A. 口令不能设置为空
B. 口令长度越长，安全性越高
C. 复杂口令安全性足够高，不需要定期修改
D. 口令认证是最常见的认证机制
74. 在使用复杂度不高的口令时，容易产生弱令的安全脆弱性，被攻击者利用，从而破解用户XX，下列______具有最好的口令复杂度。
A. morrison
B. Wm.$*F2m5
C. 27776394
D. wangjing1977
75. 按照通常的口令使用策略，口令修改操作的周期应为______天。
A.60
B.90
C.30
D.120
76. 对口令进行安全性管理和使用，最终是为了______。
A. 口令不被攻击者非法获得
B. 防止攻击者非法获得访问和操作权限
C. 保证用户XX的安全性
D. 规X用户操作行为
77. 人们设计了______，以改善口令认证自身安全性不足的问题。
A.统一身份管理
B.指纹认证
C.数字证书认证
D.动态口令认证机制
78. PKI是______。
A. Private Key Infrastructure
B. Public Key Institute
C. Public Key Infrastructure
D. Private Key Institute
79. 公钥密码基础设施PKI解决了信息系统中的______问题。
A.身份信任
B.权限管理
C.安全审计
D.加密
80. PKI所管理的基本元素是______。
A.密钥
B.用户身份
C.数字证书
D.数字签名
81. 最终提交给普通终端用户，并且要求其签署和遵守的安全策略是______。
A.口令策略
B.XX协议
C.可接受使用策略
D.责任追究制度
82. 下列关于信息安全策略维护的说法，______是错误的。
A. 安全策略的维护应当由专门的部门完成
B. 安全策略制定完成并发布之后，不需要再对其进行修改
C. 应当定期对安全策略进行审查和修订
D. 维护工作应当周期性进行
83. 链路加密技术是在OSI协议层次的第二层，数据链路层对数据进行加密保护，其处理的对象是______。
A.比特流
B.IP数据包
C.数据帧
D.应用数据
84. 防火墙最主要被部署在______位置。
A.网络边界
B.骨干线路
C.重要服务器
D.桌面终端
85. 下列关于防火墙的错误说法是______。
A. 防火墙工作在网络层
B. 对IP数据包进行分析和过滤
C. 重要的边界保护机制
D. 部署防火墙，就解决了网络安全问题
86. IPSec协议工作在______层次。
A.数据链路层
B.网络层
C.应用层
D.传输层
87. IPSec协议中涉及到密钥管理的重要协议是______。
A.IKE
B.AH
C.ESP
D.SSL
88. 信息安全管理中，______负责保证安全管理策略与制度符合更高层法律、法规的要求，不发生矛盾和冲突。
A.组织管理
B.合规性管理
C.人员管理
D.制度管理
89. 下列______机制不属于应用层安全。
A.数字签名
B.应用代理
C.主机入侵检测
D.应用审计
90. 保证用户和进程完成自己的工作而又没有从事其他操作可能，这样能够使失误出错或蓄意袭击造成的危害降低，这通常被称为______。
A.适度安全原则
B.授权最小化原则
C.分权原则
D.木桶原则
信息安全管理试题集
信息安全管理－试题集 判断题： 1.信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2.一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3.我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题：
1.信息安全经历了三个发展阶段，以下(B)不属于这三个发展阶段。 A.通信保密阶段 B.加密机阶段 C.信息安全阶段 D.安全保障阶段 2.信息安全阶段将研究领域扩展到三个基本属性，下列（ C ）不属于这三个基本属性。 A.保密性 B.完整性 C.不可否认性 D.可用性 3.下面所列的（ A ）安全机制不属于信息安全保障体系中的事先保护环节。 A.杀毒软件 B.数字证书认证 C.防火墙 D.数据库加密 4.《信息安全国家学说》是（ C ）的信息安全基本纲领性文件。 A.法国 B.美国 C.俄罗斯 D.英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5.信息安全领域内最关键和最薄弱的环节是（ D ）。 A.技术 B.策略 C.管理制度 D.人
6.信息安全管理领域权威的标准是（ B ）。 A.ISO15408 B.ISO17799/ISO27001(英） C.ISO9001 D.ISO14001 7.《计算机信息系统安全保护条例》是由中华人民共和国（A)第147号发布的。 A.国务院令 B.全国人民代表大会令 C.公安部令 D.国家安全部令 8.在PDR安全模型中最核心的组件是（ A ）。 A.策略 B.保护措施 C.检测措施 D.响应措施 9.在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（ A )。 A.可接受使用策略AUP B.安全方针 C.适用性声明 D.操作规范 10.互联网服务提供者和联网使用单位落实的记录留存技术措施，应当具有至少保存（ C ）天记录备份的功能。 A.10 B.30 C.60 D.90 11.下列不属于防火墙核心技术的是（ D ）
信息安全管理体系审核员 真题
ISMS 201409/11 一、简答 1、内审不符合项完成了30/35，审核员给开了不符合，是否正确你怎么审核 [参考]不正确。应作如下审核： （1）询问相关人员或查阅相关资料（不符合项整改计划或验证记录），了解内审不符合项的纠正措施实施情况，分析对不符合的原因确定是否充分， 所实施的纠正措施是否有效； （2）所采取的纠正措施是否与相关影响相适宜，如对业务的风险影响，风险控制策略和时间点目标要求，与组织的资源能力相适应。 （3）评估所采取的纠正措施带来的风险，如果该风险可接受，则采取纠正措施，反之可采取适当的控制措施即可。 综上，如果所有纠正措施符合风险要求，与相关影响相适宜，则纠正措 施适宜。 2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的， 成绩从那里要，要来后一看都合格，就结束了审核，对吗 [参考]不对。 应按照标准GB/T 22080-2008条款培训、意识和能力的要求进行如下审核：（1）询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件（2）查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、经验、技术和应用能力方面的评价要求，以及相关的培 训规程及评价方法； （3）查阅网管培训记录，是否符合岗位能力要求和培训规程的规定要求
（4）了解相关部门和人员对网管培训后的工作能力确认和培训效果的评价，是否保持记录 （5）如果岗位能力经评价不能满足要求时，组织是否按规定要求采取适当的措施，以保证岗位人员的能力要求。 二、案例分析 1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威胁的预防；笔记本经常带入带出，有时在家工作，领导同意了，在家也没什么不安全的。 A 组织场所外的设备安全应对组织场所的设备采取安全措施，要考虑工作在组织场所以外的不同风险 2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，因为买的都 是正版。 A 操作系统变更后应用的技术评审当操作系统发生变更时，应对业务的关键应用进行评审和测试，以确保对组织的运行和安全没有负面影响。 3、创新公司委托专业互联网运营商提供网络运营，供应商为了提升服务级别，采用了新技术，也通知了创新公司，但创新认为新技术肯定更好，就没采取任何措施，后来因为软件不兼容造成断网了。 A 第三方服务的变更管理应管理服务提供的变更，包括保持和改进现有的信息安全策略、规程和控制措施，并考虑到业务系统和涉及过程的关键程度及风险的评估。 4、查某公司信息安全事件处理时，有好几份处理报告的原因都是感染计算机病毒，负责人说我们严格的杀毒软件下载应用规程，不知道为什么没有效，估计其
信息安全管理试题集
信息安全管理试题集
信息安全管理－试题集 判断题： 1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题： 1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。 A. 通信保密阶段 B. 加密机阶段 C. 信息安全阶段 D.
安全保障阶段 2. 信息安全阶段将研究领域扩展到三个基本属性，下列（ C ）不属于这三个基本属性。 A. 保密性 B. 完整性 C. 不可否认性 D. 可用性 3. 下面所列的（ A ）安全机制不属于信息安全保障体系中的事先保护环节。 A. 杀毒软件 B. 数字证书认证 C. 防火墙 D. 数据库加密 4. 《信息安全国家学说》是（ C ）的信息安全基本纲领性文件。 A. 法国 B. 美国 C. 俄罗斯 D. 英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5. 信息安全领域内最关键和最薄弱的环节是（ D ）。 A. 技术 B. 策略 C. 管理制度 D. 人 6. 信息安全管理领域权威的标准是（ B ）。 A. ISO 15408 B. ISO 17799/ISO 27001(英） C. ISO 9001 D. ISO 14001 7. 《计算机信息系统安全保护条例》是由中华人民共和国（A )第147号发布的。 A. 国务院令 B. 全国人民代表大会令 C. 公安部令 D. 国家安全部令 8. 在PDR安全模型中最核心的组件是（ A ）。
最新信息安全管理考试真题
一、判断题（本题共15道题，每题1分，共15分。请认真阅读题目，然后在对的题目后面打√，在错误的题目后面打×） 1. 口令认证机制的安全性弱点，可以使得攻击者破解合法用户帐户信：息，进而非法获得系统和资源访问权限。(√) 2. PKI系统所有的安全操作都是通过数字证书来实现的。(√) 3. PKI系统使用了非对称算法．对称算法和散列算法。(√) 4. 一个完整的信息安全保障体系，应当包括安全策略(Policy)、保护(Protection)、检测(Detection)、响应(Reaction)、恢复(Restoration)五个主要环节。(√) 5. 信息安全的层次化特点决定了应用系统的安全不仅取决于应用层安全机制，同样依赖于底层的物理、网络和系统等层面的安全状况。(√) 6. 实现信息安全的途径要借助两方面的控制措施、技术措施和管理措施，从这里就能看出技术和管理并重的基本思想，重技术轻管理，或者重管理轻技术，都是不科学，并且有局限性的错误观点。(√) 7. 按照BS 7799标准，信息安全管理应当是一个持续改进的周期性过程。(√) 8. 虽然在安全评估过程中采取定量评估能获得准确的分析结果，但是由于参数确定较为困难，往往实际评估多采取定性评估，或者定性和定量评估相结合的方法。(√) 9. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。(×) 10. 定性安全风险评估结果中，级别较高的安全风险应当优先采取控制措施予以应对。(√) 11. 网络边界保护中主要采用防火墙系统，为了保证其有效发挥作用，应当避免在内网和外网之间存在不经过防火墙控制的其他通信连接。(√) 12. 网络边界保护中主要采用防火墙系统，在内网和外网之间存在不经过防火墙控制的其他通信连接，不会影响到防火墙的有效保护作用。(×) 13. 防火墙虽然是网络层重要的安全机制，但是它对于计算机病毒缺乏保护能力。(√) 14. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型。(×) 15. 信息技术基础设施库(ITIL)，是由英国发布的关于IT服务管理最佳实践的建议和指导方针，旨在解决IT服务质量不佳的情况。(√) 二、选择题（本题共25道题，每题1分，共25分。请认真阅读题目，且每个题目只有一个正确答案，并将答案填写在题目相应位置。） 1. 防止静态信息被非授权访问和防止动态信息被截取解密是__D____。 A.数据完整性 B.数据可用性 C.数据可靠性 D.数据保密性 2. 用户身份鉴别是通过___A___完成的。 A.口令验证 B.审计策略 C.存取控制 D.查询功能 3. 故意输入计算机病毒以及其他有害数据，危害计算机信息系统安全的个人，由公安机关处以___B___。 A. 3年以下有期徒刑或拘役 B. 警告或者处以5000元以下的罚款 C. 5年以上7年以下有期徒刑 D. 警告或者15000元以下的罚款 4. 网络数据备份的实现主要需要考虑的问题不包括__A____。 A.架设高速局域网 B.分析应用环境 C.选择备份硬件设备 D.选择
信息安全管理练习题
-2014 信息安全管理练习题判断题： 1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题： 1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。 A. 通信保密阶段 B. 加密机阶段 C. 信息安全阶段 D. 安全保障阶段 2. 信息安全阶段将研究领域扩展到三个基本属性，下列（ C ）不属于这三个基本属性。 A. 保密性 B. 完整性 C. 不可否认性 D. 可用性 3. 下面所列的（ A ）安全机制不属于信息安全保障体系中的事先保护环节。 A. 杀毒软件 B. 数字证书认证 C. 防火墙 D. 数据库加密 4. 《信息安全国家学说》是（ C ）的信息安全基本纲领性文件。 A. 法国 B. 美国 C. 俄罗斯 D. 英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5. 信息安全领域内最关键和最薄弱的环节是（ D ）。 A. 技术 B. 策略 C. 管理制度 D. 人 6. 信息安全管理领域权威的标准是（ B ）。 A. ISO 15408 B. ISO 17799/ISO 27001(英） C. ISO 9001 D. ISO 14001 7. 《计算机信息系统安全保护条例》是由中华人民共和国（ A )第147号发布的。 A. 国务院令 B. 全国人民代表大会令 C. 公安部令 D. 国家安全部令 8. 在PDR安全模型中最核心的组件是（ A ）。 A. 策略 B. 保护措施 C. 检测措施 D. 响应措施 9. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（ A )。 A. 可接受使用策略AUP B. 安全方针 C. 适用性声明 D. 操作规范 应当具有至少10. 互联网服务提供者和联网使用单位落实的记录留存技术措施，
信息安全管理练习题
信息安全管理练习题-2014 判断题： 1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题： 1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。 A. 通信保密阶段 B. 加密机阶段 C. 信息安全阶段 D. 安全保障阶段 2. 信息安全阶段将研究领域扩展到三个基本属性，下列（C）不属于这三个基本属性。 A. 保密性 B. 完整性 C. 不可否认性 D. 可用性 3. 下面所列的（A）安全机制不属于信息安全保障体系中的事先保护环节。 A. 杀毒软件 B. 数字证书认证 C. 防火墙 D. 数据库加密 4. 《信息安全国家学说》是（C）的信息安全基本纲领性文件。 A. 法国 B. 美国 C. 俄罗斯 D. 英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5. 信息安全领域内最关键和最薄弱的环节是（D）。 A. 技术 B. 策略 C. 管理制度 D. 人 6. 信息安全管理领域权威的标准是（B）。 A. ISO 15408 B. ISO 17799/ISO 27001(英） C. ISO 9001 D. ISO 14001 7. 《计算机信息系统安全保护条例》是由中华人民共和国（A )第147号发布的。 A. 国务院令 B. 全国人民代表大会令 C. 公安部令 D. 国家安全部令 8. 在PDR安全模型中最核心的组件是（A）。 A. 策略 B. 保护措施 C. 检测措施 D. 响应措施 9. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（A)。 A. 可接受使用策略AUP B. 安全方针 C. 适用性声明 D. 操作规范
企业信息安全管理中文题库
案例研究＃1 高山滑雪高山滑雪众议院众议院概况经营滑雪胜地，提供住宿，餐饮，娱乐等为客户提供服务。该公司最近收购了4 Contoso的度假胜地从有限公司物理位置该公司的主要办事处设在丹佛。公司有10个度假胜地，在北美，其中3个在加拿大。被收购的四个新度假村位于欧洲。每个度假村有90至160个用户以下计划的变化。变化的计划将在未来3个月： 该公司将在维也纳开设分支机构。维也纳办事处将支持美国四大欧洲度假胜地以同样的方式说，丹佛的办公室目前支持朝鲜。 在北美的所有服务器将更新到Windows Server 2003。 所有客户端电脑将升级到Windows XP专业版。服务器 在4.0域的成员和客户端计算机在Windows NT升级，将在NT域迁移到Active Directory 中。 一个新的文件名为Server1的服务器将安装和配置。它将运行Windows Server 2003。 每个度假村将作为度假等未经验证的用户，一些客户亭安装。 为了保持市场竞争力的高档，该公司将无线互联网连接提供给客户参观的胜地。业务流程信息技术（IT）部门是位于丹佛的办公室。IT部门经营公司的网站，数据库和电子邮件服务器。IT部门还管理丹佛办公室客户的电脑。IT人员前往度假胜地进行重大升级，新安装，故障排除和先进的美国北的服务器在该度假村位于英寸每个度假村都至少有一个桌面支持技术人员，以支持客户端计算机。根据他们的经验，有些技术人员有可能被诉诸行政服务器的权利。欧洲度假村有一个共同的财务部。人力资源（人事）部门保持一个Web应用程序命名https://www.360docs.net/doc/5d9793934.html,，提供个性化的信息保密每名雇员。该应用程序具有以下特点： 它使用https://www.360docs.net/doc/5d9793934.html,和https://www.360docs.net/doc/5d9793934.html,。70 - 298领先的IT测试和认证的方式工具， 这是在丹佛举行的一个Web服务器办公室。 员工可以访问应用程序从家里或工作。 保留部门的公共网站维护一个名为https://www.360docs.net/doc/5d9793934.html,。该网站具有以下特点： 它使用https://www.360docs.net/doc/5d9793934.html,和https://www.360docs.net/doc/5d9793934.html,。 它是从互联网上查阅的任何地方。 这个网站还包括该公司对每一个静态内容的手段。目录服务使用Active Directory域命名为北美https://www.360docs.net/doc/5d9793934.html,。丹佛IT部门管理的领域。 该https://www.360docs.net/doc/5d9793934.html,域仍将是林的根域。欧洲金融部门具有Windows NT 4.0域命名CONTOSODOM。每个欧洲城包含一个域控制器运行Windows NT Server 4.0的所有员工都和连接用户帐户在Active Directory或在Windows NT 4.0域。现有的网络基础设施的地点是在展会上展出的网络图。
信息技术与信息安全 题库及答案
2014广西信息技术与信息安全公需科目题库（一） 1.(2分) 特别适用于实时和多任务的应用领域的计算机是（D）。 A. 巨型机 B. 大型机 C. 微型机 D. 嵌入式计算机 2.(2分) 负责对计算机系统的资源进行管理的核心是（C）。 A. 中央处理器 B. 存储设备 C. 操作系统 D. 终端设备 3.(2分) 2013年12月4日国家工信部正式向中国移动、中国联通、中国电信发放了（C）4G牌照。 A. WCDMA B. WiMax C. TD-LTE D. FDD-LTE 4.(2分) 以下关于盗版软件的说法，错误的是（A）。 A. 若出现问题可以找开发商负责赔偿损失 B. 使用盗版软件是违法的 C. 成为计算机病毒的重要来源和传播途径之一 D. 可能会包含不健康的内容 5.(2分) 涉密信息系统工程监理工作应由（A）的单位或组织自身力量承担。 A. 具有信息系统工程监理资质的单位 B. 具有涉密工程监理资质的单位 C. 保密行政管理部门 D. 涉密信息系统工程建设不需要监理 6.(2分) 以下关于智能建筑的描述，错误的是（B）。 A. 智能建筑强调用户体验，具有内生发展动力。 B. 随着建筑智能化的广泛开展，我国智能建筑市场已接近饱和。 C. 建筑智能化已成为发展趋势。 D. 智能建筑能为用户提供一个高效、舒适、便利的人性化建筑环境。 7.(2分) 网页恶意代码通常利用（C）来实现植入并进行攻击。 A. 口令攻击 B. U盘工具 C. IE浏览器的漏洞 D. 拒绝服务攻击 8.(2分) 信息系统在什么阶段要评估风险？（D） A. 只在运行维护阶段进行风险评估，以识别系统面临的不断变化的风险和脆弱性，从而确定安全措施的有效性，确保安全目标得以实现。 B. 只在规划设计阶段进行风险评估，以确定信息系统的安全目标。 C. 只在建设验收阶段进行风险评估，以确定系统的安全目标达到与否。 D. 信息系统在其生命周期的各阶段都要进行风险评估。 9.(2分) 下面不能防范电子邮件攻击的是（D）。
自考信息安全概论习题及答案
信息安全概论习题及答案 第1章概论 1．谈谈你对信息的理解. 答：信息是事物运动的状态和状态变化的方式。 2．什么是信息技术? 答：笼统地说，信息技术是能够延长或扩展人的信息能力的手段和方法。 本书中，信息技术是指在计算机和通信技术支持下，用以获取、加工、存储、变换、显示和传输文字、数值、图像、视频、音频以及语音信息，并且包括提供设备和信息服务两大方面的方法与设备的总称。 也有人认为信息技术简单地说就是3C：Computer＋Communication＋Control。 3．信息安全的基本属性主要表现在哪几个方面? 答：（1）完整性（Integrity） （2）保密性（Confidentiality） （3）可用性（Availability） （4）不可否认性（Non-repudiation） （5）可控性（Controllability） 4．信息安全的威胁主要有哪些? 答： （1）信息泄露 （2）破坏信息的完整性 （3）拒绝服务 （4）非法使用 （非授权访问） （5）窃听 （6）业务流分 析 （7）假冒 （8）旁路控制 （9）授权侵犯
（10）特洛伊木马 （11）陷阱门 （12）抵赖 （13）重放 （14）计算机病 毒 （15）人员不慎 （16）媒体废弃 （17）物理侵入 （18）窃取 （19）业务欺骗 等 5．怎样实现信息安全? 答：信息安全主要通过以下三个方面： A 信息安全技术：信息加密、数字签名、数据完整性、身份鉴别、访问控制、安全数据库、网络控制技术、反病毒技术、安全审计、业务填充、路由控制机制、公证机制等； B 信息安全管理：安全管理是信息安全中具有能动性的组成部分。大多数安全事件和安全隐患的发生，并非完全是技术上的原因，而往往是由于管理不善而造成的。安全管理包括：人事管理、设备管理、场地管理、存储媒体管理、软件管理、网络管理、密码和密钥管理等。 C 信息安全相关的法律。法律可以使人们了解在信息安全的管理和应用中什么是违法行为，自觉遵守法律而不进行违法活动。法律在保护信息安全中具有重要作用对于发生的违法行为，只能依靠法律进行惩处，法律是保护信息安全的最终手段。同时，通过法律的威慑力，还可以使攻击者产生畏惧心理，达到惩一警百、遏制犯罪的效果。 第2章信息保密技术 1．为了实现信息的安全，古典密码体制和现代密码体制所依赖的要素有何不同？
信息安全管理教程试题库
1. 根据IS013335标准，信息是通过在数据上施加某些约定而赋予这些数据的特殊含义。(√) 2. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。 3. 只要投资充足，技术措施完备，就能够保证百分之百的信息安全。 4. 我国在2006年提出的(2006—2020年国家信息化发展战略》将“建设国家信息安全保障体系”作为9大战略发展方向之一。(√) 5. 2003年7月国家信息化领导小组第三次会议发布的27号文件，是指导我国信息安全保障工作和加快推进信息化的纲领性文献。(√) 6. 在我国，严重的网络犯罪行为也不需要接受刑法的相关处罚。 7. 安全管理的合规性，主要是指在有章可循的基础之上，确保信息安全工作符合国家法律、法规、行业标准、机构内部的方针和规定。(√) 8. Windows2000/xp系统提供了口令安全策略，以对XX口令安全进行保护。(√) 9. 信息安全等同于网络安全。 10. GB l7859与目前等级保护所规定的安全等级的含义不同，GB l7859中等级划分为现在的等级保护奠定了基础。(√) 11. 口令认证机制的安全性弱点，可以使得攻击者破解合法用户XX信：息，进而非法获得系统和资源访问权限。(√) 12. PKI系统所有的安全操作都是通过数字证书来实现的。(√) 13. PKI系统使用了非对称算法．对称算法和散列算法。(√) 14. 一个完整的信息安全保障体系，应当包括安全策略(Policy)、保护(Protection)、检测(Detection)、响应(Reaction)、恢复(Restoration)五个主要环节。(√) 15. 信息安全的层次化特点决定了应用系统的安全不仅取决于应用层安全机制，同样依赖于底层的物理、网络和系统等层面的安全状况。(√) 16. 实现信息安全的途径要借助两方面的控制措施、技术措施和管理措施，从这里就能看出技术和管理并重的基本思想，重技术轻管理，或者重管理轻技术，都是不科学，并且有局限性的错误观点。(√) 17. 按照BS 7799标准，信息安全管理应当是一个持续改进的周期性过程。(√) 18. 虽然在安全评估过程中采取定量评估能获得准确的分析结果，但是由于参数确定较为困难，往往实际评估多采取定性评估，或者定性和定量评估相结合的方法。(√) 19. 一旦发现计算机XX犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。 20. 定性安全风险评估结果中，级别较高的安全风险应当优先采取控制措施予以应对。(√) 21. 网络边界保护中主要采用防火墙系统，为了保证其有效发挥作用，应当避免在内网和外网之间存在不经过防火墙控制的其他通信连接。(√) 22. 网络边界保护中主要采用防火墙系统，在内网和外网之间存在不经过防火墙控制的其他通信连接，不会影响到防火墙的有效保护作用。 23. 防火墙虽然是网络层重要的安全机制，但是它对于计算机病毒缺乏保护能力。(√) 24. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型。 25. 信息技术基础设施库(ITIL)，是由英国发布的关于IT服务管理最佳实践的建议和指导方针，旨在解决IT服务质量不佳的情况。(√) 26. 美国国家标准技术协会NIST发布的《SP 800—30》中详细阐述了IT系统风险管理内容。(√) 27. 防火墙在静态包过滤技术的基础上，通过会话状态检测技术将数据包的过滤处理效率大幅提高。(√) 28. 通常在风险评估的实践中，综合利用基线评估和详细评估的优点，将二者结合起来。(√) 29. 脆弱性分析技术，也被通俗地称为漏洞扫描技术。该技术是检测远程或本地系统安全脆弱性的一种安全技术。(√)
网络信息安全管理考试题和答案
成都网络信息安全管理考试答案 1.信息安全的主要属性有保密性、完整性、可用性。【对】 错 对√ 2.信息安全管理体系由若干信息安全管理类组成。【对】 错 对√ 3.集中监控的网状部署结构的节点监控中心之间的通讯需要与管理中心协调调度方可进行。【错】 错√ 对 4.为了安全起见，网络安全员与报警处置中心联系的只使用网络这条唯一通道。【错】 错√ 对 5.黑色星期四"是因有人通过BELL实验室与Internet连接的有漏洞的机器上放置了一个蠕虫程序而引起网 络灾难得名的。【错】 错√ 对 6.信息战的军事目标是指一个国家军队的网络系统、信息系统、数据资源。【错】 错√ 对 7.网络物理隔离是指两个网络间链路层、网络层在任何时刻都不能直接通讯。【错】 错√ 对 8.对 二、单选题：(共8小题，共32分） 1．关于实现信息安全过程的描述，以下哪一项论述不正确。【 D】 A．信息安全的实现是一个大的过程，其中包含许多小的可细分过程 B．组织应该是别信息安全实现中的每一个过程
C．对每一个分解后的信息安全的过程实施监控和测量 D．信息安全的实现是一个技术的过程√ 2. 建立和实施信息安全管理体系的重要原则是。【D】 A．领导重视 B．全员参与 C．持续改进 D．以上各项都是√ 3. 组织在建立和实施信息安全管理体系的过程中，领导重视可以。【D】 A．指明方向和目标 B．提供组织保障 C．提供资源保障 D.以上各项都是√ 4. 你认为建立信息安全管理体系时，首先因该：【B】 A．风险评估 B．建立信息安全方针和目标√ C．风险管理 D．制定安全策略 5.《计算机信息系统安全专用产品检测和销售许可证管理办法》是由那个部门颁布的：【B】 A．保密局 B．公安部√
信息安全管理试题及答案
信息安全管理一试题集 判断题： 1.信息安全保障阶段中，安全策略是核心,对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（X ） 注释:在统一安全策略的指导下,安全事件的事先预防（保护），事发处理（检测Detection 和响应Reaction）.事后恢复（恢复Restoration ）四个主要环节相互配合，构成一个完整的保障体系,在这里安全策略只是指导作用,而日骸心。 2.—旦发现计算机违法扌瞬案件，信息系统所有者应当在2天内迅速向当地公安机关报案, 并配合公安机关的取证和调查。（X ） 注釋:应在24小时内报案 3.我国刑法中有关计算机犯罪的规走,走义了3种新的30罪类型（x ） 注释：共3种计算机才。罪，但只有2种新的3（2罪类型。 单选题： 1?信息安全经历了三个发展阶段，以下（B ）不属于这三个发展阶段。 A.通信保密阶段 B.加密机阶段 C.信息安全阶段 D.安全保障阶段 2.信息安全阶段将研究领域扩展到三个基本属性,下列（C ）不属于这三个基本属性。 A.保密性 B.完整性 C.不可否认性 D.可用性 3.下面所列的（A ）安全机制不属于信息安全保瞳体系中的事先保护环节。 A.杀毒软件 B.数字证书认证 C.防火墙 D. 姻库加密
4.《信息安全国家学说》是（C ）的信息安全基本纲领性文件。 A.法国 B.美国 C.俄罗斯 D.英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5?信息安全领域内最关键和最薄^的环节是（D X A.技术 B.策略 C.管理制度 D.人 6?信息安全管理领域权威的标准是（B \ A. ISO 15408 B.ISO 17799/ISO 27001（英） C. ISO 9001 D. ISO 14001 7.《计算机信息系统安全保护条例》是由中华人民共和国（A ）第147号发布的。 A.国务院令 B.全国人民代表大会令 C.公安部令 D.国家安全部令 8.在PDR安全模型中最核心的组件是（A ' A.策略 B.保护措施 C.检测措施 D.响应措施 9.在完成了大部分策略的编制工作后,需要对其进行总结和提炼,产生的结果文档被称为 （A ）。 A.可接受使用策略AUP B.安全方针 C.适用性声明 D.操作规范 10.互联网服务提供者和联网使用单位落实的记录留存技术措施，应当具有至少保存 （C ）天记录备份的功能。 A. 10 B. 30 C. 60 D.90 11.下列不属于防火墙核心技术的是（D ） A.（静态/动态）包过滤技术 B. NAT技术 C.应用俺技术 D.日志审计 12.应用代理防火墙的主要优点是（B ） A.加密强度更高 B.安全控制更细化、更灵活 C.安全服务■的透明性更好 D.服务对象更广泛13?对于远程访问型VPN来说，（A ）产品经常与防火墙及NAT机制存在兼容性
网络信息安全管理考试题和答案
网络信息安全管理考试答案 1.信息安全的主要属性有性、完整性、可用性。【对】 错 对√ 2.信息安全管理体系由若干信息安全管理类组成。【对】 错 对√ 3.集中监控的网状部署结构的节点监控中心之间的通讯需要与管理中心协调调度方可进行。【错】 错√ 对 4.为了安全起见，网络安全员与报警处置中心联系的只使用网络这条唯一通道。【错】 错√ 对 5.黑色星期四"是因有人通过BELL实验室与Internet连接的有漏洞的机器上放置了一个蠕虫程序而引起网 络灾难得名的。【错】 错√ 对 6.信息战的军事目标是指一个国家军队的网络系统、信息系统、数据资源。【错】 错√ 对 7.网络物理隔离是指两个网络间链路层、网络层在任何时刻都不能直接通讯。【错】 错√ 对 8.对 二、单选题：(共8小题，共32分） 1．关于实现信息安全过程的描述，以下哪一项论述不正确。【 D】 A．信息安全的实现是一个大的过程，其中包含许多小的可细分过程 B．组织应该是别信息安全实现中的每一个过程
C．对每一个分解后的信息安全的过程实施监控和测量 D．信息安全的实现是一个技术的过程√ 2. 建立和实施信息安全管理体系的重要原则是。【D】 A．领导重视 B．全员参与 C．持续改进 D．以上各项都是√ 3. 组织在建立和实施信息安全管理体系的过程中，领导重视可以。【D】 A．指明方向和目标 B．提供组织保障 C．提供资源保障 D.以上各项都是√ 4. 你认为建立信息安全管理体系时，首先因该：【B】 A．风险评估 B．建立信息安全方针和目标√ C．风险管理 D．制定安全策略 5.《计算机信息系统安全专用产品检测和销售许可证管理办法》是由那个部门颁布的：【B】A．局 B．公安部√ C．密码办
信息安全管理习题及答案
精心整理 精心整理 信息安全管理－试题集 判断题： 1.信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection 和响应Reaction)、事后恢复（恢复Restoration ）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2.一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取 3.1.A.2.A.3.A. 4.A. 5.A. 6. 7.A. 8.在A. 9.A.10. A.10 B.30 C.60 D.90 11.下列不属于防火墙核心技术的是（ D ） A.（静态/动态)包过滤技术 B.NAT 技术 C.应用代理技术 D.日志审计 12.应用代理防火墙的主要优点是（ B) A.加密强度更高 B.安全控制更细化、更灵活 C.安全服务的透明性更好 D.服务对象更广泛 13.对于远程访问型VPN 来说，（ A ）产品经常与防火墙及NAT 机制存在兼容性问题，导致安全隧道建立失败。 A.IPSecVPN B.SSLVPN C.MPLSVPN D.L2TPVPN 注：IPSec 协议是一个应用广泛，开放的VPN 安全协议，目前已经成为最流行的VPN 解决方案。在IPSec 框架当中还有一个必不可少的要素:Internet 安全关联和密钥管理协议——IKE(或者叫ISAKMP/Oakley)，它提供自动建立安全关联和管理密钥的功能。
精心整理 精心整理 14.1999年，我国发布的第一个信息安全等级保护的国家标准GB17859-1999，提出将信息系统的安全等级划分为（ D ）个等级，并提出每个级别的安全功能要求。 A.7 B.8 C.6 D.5 注：该标准参考了美国的TCSEC 标准，分自主保护级、指导保护级、监督保护级、强制保护级、专控保护级。 15.公钥密码基础设施PKI 解决了信息系统中的（ A ）问题。 A.身份信任 B.权限管理 C.安全审计 D.加密 注：PKI （PublicKeyInfrastructure,公钥密码基础设施)，所管理的基本元素是数字证书。 16.最终提交给普通终端用户，并且要求其签署和遵守的安全策略是（ C ）。 A.口令策略 B.保密协议 C.可接受使用策略AUP D.责任追究制度 知识点： 1.《信息系统安全等级保护测评准则》将测评分为安全控制测试和系统整体测试两个方面。 2.4.5.6.7.8.9.10.12.1 3.1 4.1 5.1 6.1 7.1 8.级。 19.20.21. 23.信息安全策略必须具备确定性、全面性和有效性。 24.网络入侵检测系统，既可以对外部黑客的攻击行为进行检测，也可以发现内部攻击者的操作行为，通常部署在网络交换机的监听端口、内网和外网的边界。 25.技术类安全分3类：业务信息安全类（S 类）、业务服务保证类（A 类）、通用安全保护类（G 类）。其中S 类关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改；A 类关注的是保护系统连续正常的运行等；G 类两者都有所关注。 26.如果信息系统只承载一项业务，可以直接为该信息系统确定安全等级，不必划分业务子系统。 27.信息系统生命周期包括5个阶段：启动准备、设计/开发、实施/实现、运行维护和系统终止阶段。而安全等级保护实施的过程与之相对应，分别是系统定级、安全规划设计、安全实施、安全运行维护和系统终止。
信息安全考试题库(附答案)
考试内容: 信息安全的要素、威胁、Hash函数的相关概念、计算机病毒特性及理解方面的要点 1，信息安全的基本概念(安全的定义信息技术安全概述网络攻击的形式等 ) 2，信息保密技术(古典加密对称加密非对称加密 RAS划重点两种密码体制和其代表方法) 3，信息认证技术(信息摘要函数，数字签名，身份认证技术 ) 4，密钥管理技术(概念基础密钥管理知识密钥管理系统) 5，访问控制技术(模型、基本要素、相关要素实现机制) 访问级别审计之类的不考 6，网络攻击和防范(主要网络攻击技术：计算机病毒技术) 防火墙之类的不考 考试形式: 闭卷考试 1，判断(讲过的知识点的灵活运用)10分 2，填空(关键知识点)20分 3，简答(基本，核心的部分言简意赅的说清楚就好)40分 4，计算(要求详细过程，主要是实验内容对实验之外的内容也要关注)30分 信息保密 注意实验和平时作业 习题： Q1、常见信息安全威胁（至少列出十种） 信息破坏、破坏信息完整性、拒绝服务、非法使用（非授权访问）、窃听、业务流分析、假冒、旁路控制、授权侵犯、特洛伊木马、陷阱门、抵赖、重放、计算机病毒、人员不慎、媒体废弃、物理入侵、窃取、业务欺骗 Q2、衡量密码体制安全性的方法？ 1、计算安全性：度量破译密码体制所需计算上的努力 2、可证明安全性：通过规约的方式为密码安全性提供证据，如果使用某种具体方法破译一个密码体制，就有可能有效的解决一个公认困难的数学问题 类比： NP完全问题的规约
3 无条件安全性：假设攻击者具有无限的计算资源和计算能力时，密码体制仍然安全 Q3、以p=5，q=7为例，简述RSA算法的加密和解密过程 // 自选密钥Eg：n=p*q=35 f(n)=(p-1)(q-1)=24 若gcd(e,f(n))=1 则取 e=5 由d=e-1modf(n) 可取d=5 加密：若明文为Z，m值为26，则m e=265=11881376，密文c=m e mod n=31 解密：密文为31，则c d=315=28629151 解密m=c d mod n=26 即Z Q4：满足什么条件的Hash函数是安全的？ 如果对于原像问题、第二原像问题、碰撞问题这三个问题都是难解的，则认为该Hash函数是安全的。 Q5：列出针对Hash函数的主要攻击类型。 生日攻击、穷举攻击、中途相遇攻击 Q6:简述身份信息认证系统的构成 被验证身份者、验证者、攻击者、可信任的机构作为仲裁或调解机构 Q7:密钥可以分为哪些类型 数据加密密钥和密钥加密密钥 密钥加密密钥又分为主密钥和初级密钥、二级密钥 Q8:简述密钥保护的基本原则 1、密钥永远不可以以明文的形式出现在密码装置之外。 2、密码装置是一种保密工具，即可以是硬件，也可以是软件。 Q9:什么是访问控制？它包括哪几个要素 访问控制是指主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。访问控制是在身份认证的基础上，根据身份对提出的资源访问请求加以控制，是针对越权使用资源的现象进行防御的措施。访问控制是网络安全防范和保护的主要策略，它可以限制对关键资源的访问，防止非法用户或合法用户的不慎操作所造成的破坏。 要素是：主体、客体、访问策略 Q10:自主访问控制和强制访问控制有什么区别？ 1、自主访问控制（Discretionary Access Control）是一种最为普遍
信息安全管理体系ISMS2016年6月考题
2016信息安全管理体系（ISMS）审核知识试卷 2016年6月 一、单选题 1、密码就是一种用于保护数据保密性的密码学技术、由（）方法及相应运行过程。 A、加密算法和密钥生成 B、加密算法、解密算法、密钥生成 C、解密算法、密钥生成 D、加密算法、解密算法 2、计算机安全保护等级的第三级是（）保护等级 A、用户自主 B、安全标记 C、系统审计 D、结构化 3、隐蔽信道是指允许进程以（）系统安全策略的方式传输信息的通信信道 A、补强 B、有益 C、保护 D、危害 4、 5、 6、ISMS关键成功因素之一是用于评价信息安全 A、测量 B、报告 C、传递 D、评价 7、防止恶语和移动代码是保护软件和信息的（） A、完整性 B、保密性 C、可用性 D、以上全部 8、以下强健口令的是（） A、a8mom9y5fub33 B、1234 C、Cnas D、Password 9、开发、测试和（）设施应分离、以减少未授权访问或改变运行系统的风险 A、系统 B、终端 C、配置 D、运行 10、设备、（）或软件在授权之前不应带出组织场所 A、手机 B、文件 C、信息 D、以上全部
11、包含储存介质的设备的所有项目应进行核查，以确保在处置之前，（）和注册软件已被删 除或安全地写覆盖 A、系统软件 B、游戏软件 C、杀毒软件 D、任何敏感信息 12、雇员、承包方人员和（）的安全角色和职责应按照组织的信息安全方针定义并形成文件 A、第一方人员 B、第二方人员 C、第三方人员 D、IT经理 13、对于任用的终止或变化时规定职责和义务在任用终止后仍然有效的内容应包含在（）合同 中。 A、雇员 B、承包方人员 C、第三方人员 D、A+B+C 14、ISMS文件的多少和详细程度取决于（） A、组织的规模和活动的类型 B、过程及其相互作用的复杂程度 C、人员的能力 D、A+B+C 15、为确保信息资产的安全，设备、信息和软件在（）之前不应带出组织 A、使用 B、授权 C、检查合格 D、识别出薄弱环节 16、对于所有拟定的纠正和预防措施，在实施前应先通过（）过程进行评审。 A、薄弱环节识别 B、风险分析 C、管理方案 D、A+B 17、组织机构在应建立起评审ISMS时，应考虑（） A、风险评估的结果 B、管理方案 C、法律、法规和其它要素 D、A+C 18、ISMS管理评审的输出应包括： A、可能影响ISMS的任何变更 B、以往风险评估没有充分强调的薄弱点或威胁 C、风险评估和风险处理计划的更新 D、改进的建议 19、在信息安全管理中进行（），可以有效解决人员安全意识薄弱问题。 A、内容监控 B、安全教育和培训 C、责任追查和惩处 D、访问控制 20、经过风险处理后遗留的风险是（） A、重大风险 B、有条件的接受风险 C、不可接受的风险 D、残余风险 21、（）是指系统、服务或网络的一种可识别的状态的发生，它可能是对信息安全策略的违反 或防护措施的失效，或是和安全关联的一个先前未知的状态。 A、信息安全事态 B、信息安全事件 C、信息安全事故 D、信息安全故障 22、系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应 用程序、数据库系统、用户设置、系统参数等信息，以便迅速（）。 A、恢复全部程序 B、回复网络设置 C、回复所有数据 D、恢复整个系统 23、不属于计算机病毒防治的策略的是（）。