CISP官方信息安全保障章节练习一
CISP练习题(1)
1、如果接收机和发送机不在一个局域网，则数据要经过下面哪一个设备进行一次或多次转发（）A、路由器B、交换机C、集线器D、防火墙答案：A2、信息系统安全主要从几个方面进行评估？A、1个（技术）B、2个（技术、管理）C、3个（技术、管理、工程）D、4个（技术、管理、工程、应用）答案：C3、对称密码算法与非对称密码算法相比，具有的特点是（）A、加密密钥与解密秘钥不同B、加密速度快C、密钥管理简单D、可以用于数字签名答案：B4、在应急响应的六阶段方法的遏制阶段，若遇到异常，用户所做的工作应遵循的行为规范是（）A、应尽快关闭系统或断开网络B、应修改系统或应用软件达到抑制目的C、监控并记录可以的现象，直到处理该类安全事件的人员到达D、按照应急响应策略向系统所有者报告任何可疑的现象答案：C5、对信息安全保障的理解不正确的是（）A、信息安全保障应综合技术、管理和人B、购买性能良好的信息安全产品、培训高素质的信息安全技术人员就能保障信息系统的安全C、社会各方的积极参与是信息安全保障所必需的D、应该在信息系统生命周期的全过程都进行信息安全保障答案：B6、关于信息系统安全保障工程实施通用模型的说法，不正确的是（）A、系统生命周期包括5个阶段B、系统生命周期立项阶段的退出准则为信息系统的整体规划完成C、信息系统安全保障工程实施框架描述了信息系统安全工程应用于系统生命周期的具体工程实践流程D、信息系统安全工程由六个过程组成答案：B7、常见的网络信息系统不安全因素包括（）A、网络因素B、应用因素C、管理因素D、以上皆是答案：D8、SSL提供哪些协议上的数据安全：A、HTTP,FTP和TCP/IPB、SKIP,SNMP和IPC、UDP,VPN和SONETD、PPTP,DMI和RC4答案：A9、以下哪一项是伪装成有用程序的恶意软件？A、计算机病毒B、特洛伊木马C、逻辑炸弹D、蠕虫程序答案：B10、操作应用系统由于错误发生故障下列哪个控制是最没有用的？A、错误统计B、日志C、检查点控制D、回复记录答案：A11、在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性以下哪一层提供了抗抵赖性？A、表示层B、应用层C、传输层D、数据链路层答案：B12、Intranet没有使用以下哪一项？A、Java编程语言B、TCP/IP协议C、公众网络D、电子邮件答案：C13、下列关于计算机病毒说法错误的是（）A、有些病毒仅能攻击某一种操作系统，如winD.owsB、病毒一般附着在其他应用程序之后C、每种病毒都会给用户造成严重后果D、有些病毒能损坏计算机硬件答案：C14、关于系统安全工程能力成熟模型（SSE-CMM）的说法，不正确的是（）A、对安全服务提供商来说，SSE-CMM中包含的很多安全过程实施元素有助于理解客户的安全需求B、SSE-CMM覆盖整个工程的生命周期、整个组织机构、并与其它规范并行的相互作用，以及其它机构发生相互作用C、SSE-CMM将安全工程划分三个基本的过程：风险、工程、保证D、SSE-CMM主要用于指导系统安全工程的完善和改进，使系统安全工程成为一个清晰定义的、成熟的、可管理的、可控制的、有效的、可度量的学科答案：A15、计算机病毒会对下列计算机服务造成威胁，除了：A、完整性B、有效性C、保密性D、可用性答案：C16、“可信计算基（TCB）”不包括：A、执行安全策略的所有硬件B、执行安全策略的软件C、执行安全策略的程序组件D、执行安全策略的人答案：D17、下面哪种方法产生的密码是最难记忆的？A、将用户的生日倒转或是重排B、将用户的年薪倒转或是重排C、将用户配偶的名字倒转或是重排D、用户随机给出的字母答案：D18、以下哪一项计算机安全程序的组成部分是其他组成部分的基础？A、制度和措施B、漏洞分析C、意外事故处理计划D、采购计划答案：A19、关于信息安全风险评估工作的一些说法，不正确的是（）A、按“严密组织、规范操作、讲究科学、注重实效”的原则展开B、应按照“谁主管谁负责。
CISP考试(习题卷1)
CISP考试(习题卷1)第1部分：单项选择题，共94题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]制定应急响应策略主要需要考虑A)系统恢复能力等级划分B)系统恢复资源的要求C)费用考虑D)人员考虑答案:D解析:2.[单选题]信息安全风险评估师信息安全风险管理工作中的重要环节。
在《关于开展信息安全 风险评估工作的意见》（国信办[2006]5 号）中，指出了风险评估分为自评估和检 查评估两种形式，并对两种工作形式提出了有关工作原则和要求。
下面选项中描述 错误的是？A)自评估是由信息系统拥有、运营或使用单位发起的对本单位信息系统进行 的风险评估B)检查评估是指信息系统上级管理部门组织的国家有关职能部门依法开展的 风险评估C)信息安全风险评估应以自评估为主，自评估和检查评估相互结合、互为补 充D)自评估和检查评估是相互排斥的，单位应慎重地从两种工作形式选择一个， 并坚持使用答案:D解析:3.[单选题]区别脆弱性评估和渗透测试是脆弱性评估A)检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失B)和渗透测试为不同的名称但是同一活动C)是通过自动化工具执行，而渗透测试是一种完全的手动过程D)是通过商业工具执行，而渗透测试是执行公共进程答案:A解析:4.[单选题]某个新成立的互联网金融公司拥有 10 个与互联网直接连接的 IP 地址，但是该网 络内有 15 台个人计算机，这些个人计算机不会同时开机并连接互联网。
为解决公司员 工的上网问题，公司决定将这 10 个互联网地址集中起来使用，当任意一台个人计算机 开机并连接网络时，管理中心从这 10 个地址中任意取出一个尚未分配的 IP 地址分配给 这个人的计算机。
他关机时，管理中心将该地为收回，并重新设置为未分配。
可见，只 要同时打开的个人计算机数量少于或等于可供分配的 IP 地址，那么，每台个人计算机 可以获取一个 IP 地址，并实现与互联网的连接。
CISP官方信息安全管理章节练习一
CISP信息安全管理章节练习一一、单选题。
(共100题,共100分,每题1分)1. 小李去参加单位组织的信息安全培训后，他把自己对信息安全管理体系（Information Security Management System, ISMS）的理解画了以下一张图，但是他还存在一个空白处未填写，请帮他选择一个最合适的选项（）。
a、监控和反馈ISMSb、批准和监督ISMSc、监视和评审ISMSd、沟通和资询ISMS最佳答案是:c2. 在对安全控制进行分析时，下面哪个描述是不准确的？a、对每一项安全控制都应该进行成本收益分析，以确定哪一项安全控制是必须的和有效的b、应确保选择对业务效率影响最小的安全措施c、选择好实施安全控制的时机和位置，提高安全控制的有效性d、仔细评价引入的安全控制对正常业务带来的影响，采取适当措施，尽可能减少负面效应最佳答案是:b3. 以下哪一项不是信息安全管理工作必须遵循的原则？a、风险管理在系统开发之初就应该予以充分考虑，并要贯穿于整个系统开发过程之中b、风险管理活动应成为系统开发、运行、维护、直至废弃的整个生命周期内的持续性工作c、由于在系统投入使用后部署和应用风险控制措施针对性会更强，实施成本会相对较低d、在系统正式运行后，应注重残余风险的管理，以提高快速反应能力最佳答案是:c4. 对信息安全风险评估要素理解正确的是：a、资产识别的粒度随着评估范围、评估目的的不同而不同，既可以是硬件设备，也可以是业务系统，也可以是组织机构b、应针对构成信息系统的每个资产做风险评价c、脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而找出的差距项d、信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁最佳答案是:a5. 以下哪一项不是建筑物的自动化访问审计系统记录的日志的内容：a、出入的原因b、出入的时间c、出入口的位置d、是否成功进入最佳答案是:a6. 信息安全策略是管理层对信息安全工作意图和方向的正式表述，以下哪一项不是信息安全策略文档中必须包含的内容：a、说明信息安全对组织的重要程度b、介绍需要符合的法律法规要求c、信息安全技术产品的选型范围d、信息安全管理责任的定义最佳答案是:c7. 作为信息中心的主任，你发现没有足够的人力资源保证将数据库管理员和网络管理员的岗位分配给两个不同的人担任，这种情况造成了一定的安全风险，这时你应当怎么做？a、抱怨且无能为力b、向上级报告该情况，等待增派人手c、通过部署审计措施和定期审查来降低风险d、由于增加人力会造成新的人力成本，所以接受该风险最佳答案是:c8. 通过评估应用开发项目，而不是评估能力成熟度模型（CMM），IS审计师应该能够验证：a、可靠的产品是有保证的b、程序员的效率得到了提高c、安全需求得到了规划、设计d、预期的软件程序（或流程）得到了遵循最佳答案是:d9. 某公司正在对一台关键业务服务器进行风险评估：该服务器价值138000元，针对某个特定威胁的暴露因子（EF）是45%，该威胁的年度发生率（ARO）为每10年发生1次。
CISP试题-11月考试最新题目-红字为模糊的题目_CISP试题_CISP试题
CISP 2012.111. 关于信息安全保障，下列说法正确的是：A. 信息安全保障是一个客观到主观的过程，即通过采取技术、管理等手段，对信息资源的保密性、完整性、可用性提供保护，从而给信息系统所有者以信心B. 信息安全保障的需求是由信息安全策略所决定的，是自上而下的一个过程，这个过程中，决策者的能力和决心非常重要C. 信息系统安全并不追求万无一失，而是要根据基金预算，做到量力而行D. 以上说法都正确2. 人们对信息安全的认识从信息技术安全发展到信息安全保障，主要是由于：A. 为了更好地完成组织机构的使命B. 针对信息系统的攻击方式发生重大变化C. 风险控制技术得到革命性的发展D. 除了保密性，信息的完整性和可用性也引起了人们的关注3. 关于信息安全发展的几个阶段，下列说法中错误的是：A. 信息安全的发展是伴随着信息技术的发展，为应对其面临的不同威胁而发展起来的B. 通信安全阶段中，重要的是通过密码技术保证所传递信息的保密性、完整性和可用性C. 信息安全阶段，综合了通信安全阶段和计算机安全阶段的需求D. 信息安全保障阶段，最重要的目标是保障组织机构使命（任务）的正常进行4. 按照技术能力、所拥有的资源和破坏力来排列，下列威胁中哪种威胁最大？A. 个人黑客B. 网络犯罪团伙C. 网络战士D. 商业间谍5. 信息系统安全主要从哪几个方面进行评估？A. 1个（技术）B. 2个（技术、管理）C. 3个（技术、管理、工程）D. 4个（技术、管理、工程、应用）6. 完整性机制可以防范以下哪种攻击？A. 假冒源地址或用户的地址的欺骗攻击B. 抵赖做过信息的递交行为C. 数据传输中被窃听获取D. 数据传输中被篡改或破坏没拍到7的问题，缺。
A. 策略B. 检测C. 响应D. 加密8. 依据信息系统安全保障评估框架，确定安全保障需求考虑的因素不包括下列哪一方面？A. 法规政策的需求B. 系统的价值C. 系统需对抗的威胁D. 系统的技术构成9. 依据国家标准GB/T20274《信息系统安全保障评估框架》，在信息系统安全目标中，评估对象包括哪些内容？A. 信息系统管理体系、技术体系、业务体系B. 信息系统整体、信息系统安全管理、信息系统安全技术和信息系统安全工程C. 信息系统安全管理、信息系统安全技术和信息系统安全工程D. 信息系统组织机构、管理制度、资产10．关于信息安全保障管理体系建设所需要重点考虑的因素，下列说法错误的是：A. 国家、上级机关的相关政策法规需求B. 组织的业务使命C. 信息系统面临的风险D. 项目的经费预算11. 在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于____________。
CISP官方信息安全技术章节练习一
CISP信息安全技术章节练习一一、单选题。
(共100题,共100分,每题1分)1. 安全的运行环境是软件安全的基础，操作系统安全配置是确保运行环境安全必不可少的工作，某管理员对即将上线的Windows操作系统进行了以下四项安全部署工作，其中哪项设置不利于提高运行环境安全?a、操作系统安装完成后安装最新的安全补丁，确保操作系统不存在可被利用的安全漏洞b、为了方便进行数据备份，安装Windows操作系统时只使用一个分区所有数据和操作系统都存放在C盘c、操作系统上部署防病毒软件，以对抗病毒的威胁d、将默认的管理员账号Administrator改名，降低口令暴力破解攻击的发生可能最佳答案是:b2. 对于抽样而言,以下哪项是正确的?a、抽样一般运用于与不成文或无形的控制相关联的总体b、如果内部控制健全,置信系统可以取的较低c、通过尽早停止审计测试,属性抽样有助于减少对某个属性的过量抽样d、变量抽样是估计给定控制或相关控制集合发生率的技术最佳答案是:b3. 以下关于账户策略中密码策略中各项作用说明，哪个是错误的：a、“密码必须符合复杂性要求”是用于避免用户产生诸如1234,1111这样的弱口令b、“密码长度最小值”是强制用户使用一定长度以上的密码c、“强制密码历史”是强制用户不能再使用曾经使用过的任何密码d、“密码最长存留期”是为了避免用户使用密码时间过长而不更换最佳答案是:c4.如图所示，主体S对客体01有读（R）权限，对客体O2有读（R）、写（W）、拥有（Own）权限。
该图所表示的访问控制实现方法是：a、访问控制表（ACL)b、访问控制矩阵c、能力表（CL）d、前缀表（Profiles）最佳答案是:c5. 关于数据库恢复技术，下列说法不正确的是：a、数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决，当数据库中数据被破坏时，可以利用冗余数据来进行修复b、数据库管理员定期地将整个数据库或部分数据库文件备份到磁带或另一个磁盘上保存起来，是数据库恢复中采用的基本技术c、日志文件在数据库恢复中起着非常重要的作用，可以用来进行事务故障恢复和系统故障恢复，并协助后备副本进行介质故障恢复d、计算机系统发生故障导致数据未储存到固定存储器上，利用日志文件中故障发生的数据值，将数据库恢复到故障发生前的完整状态，这一对事务的操作称为提交最佳答案是:d6. 以下关于WIndows系统账号存储管理机制SAM(Security Accounts Manager）的说法哪个是正确的：a、存储在注册中的账号数据是管理员组用户都可以访问，具有较高的安全性b、存储在注册表中的账号数据只有administrator账户才有权访问，具有较高的安全性c、存续在册表中的账号数据任何用户都可以直接访问，灵活方便d、存储在注册表中的账号数据有只有System账户才能访问，具有较高的安全性最佳答案是:d7. 以下关于安全套接层（Security Sockets Layer，SSL)说法错误的是：a、受到SSL防护的web服务器比没有SSL的web服务器要安全b、当浏览器上的统一资源定位符（Uniform Resource Locator,URL)出现https时，说明用户正使用配置了SSL协议的Web服务器c、SSL可以看到浏览器与服务器之间的安全通道d、SSL提供了一种可靠地端到端的安全服务最佳答案是:a8. 以下哪一项不是常见威胁对应的消减措施：a、假冒攻击可以采用身份认证机制来防范b、为了防止传输的信息被篡改，收发双方可以使用单向Hash函数来验证数据的完整性c、为了防止发送方否认曾经发送过的消息，收发双方可以使用消息验证码来防止抵赖d、为了防止用户提升权限，可以采用访问控制表的方式来管理权限最佳答案是:c9. 某购物网站开发项目经过需求分析进入系统设计阶段，为了保证用户账户的安全，项目开发人员决定用户登陆时如果用户名或口令输入错误，给用户返回“用户名或口令输入错误”信息，输入错误达到三次，将暂时禁止登录该账户，请问以上安全设计遵循的是哪项安全设计原则：a、最少共享机制原则b、经济机制原则c、不信任原则d、默认故障处理保护原则最佳答案是:c10. 某网站管理员小邓在流量监测中发现近期网站的入站ICMP流量上升了250%，尽管网站没有发现任何的性能下降或其他问题，但为了安全起见，他仍然向主管领导提出了应对措施，作为主管负责人，请选择有效的针对此问题的应对措施：a、在防火墙上设置策略，阻止所有的ICMP流量进入（关掉ping）b、删除服务器上的ping.exe程序c、增加带宽以应对可能的拒绝服务攻击d、增加网站服务器以应对即将来临的拒绝服务攻击最佳答案是:a11. 由于发生了一起针对服务器的口令暴力破解攻击，管理员决定对设置账户锁定策略以对抗口令暴力破解。
CISP信息安全管理习题0001
1•根据相关标准，信息安全风险管理可以分为背景建立、风险评估，风险处理，批准监督、监控审查和沟通咨询等阶段。
模拟该流程。
文档《风险分析报告》应属于哪个阶段的输出成果（）。
A风险评估B风险处理C批准监督D监控审查2.<p>某单位在实施信息安全风险评估后，形成了若干文档，下面（）中的文档不应属于风险评估&dquo;准备”阶段输出的文档。
</p>A《风险评估工作计划》，主要包括本次风险评估的目的、意义、范围、目标、组织结构、角色进度安排等内容B《风险评估方法和工具列表》，主要包括拟用的风险评估方法和测试评估工具等内容C《已有安全措施列表》，主要包括经检查确认后的已有技术和管理各方面安全措施等内容D《风险评估准则要求》，主要包括风险评估参考标准、采用的风险分析方法、风险计算方法、分类准则等内容3•规范的实施流程和文档管理，是信息安全风险评估结果取得成果的重要基础，vspan style="line-height: 20.8px;"> 按照规范v/span>的风险评估实施流程,下面哪个文档应当是风险要素识别阶段的输出成果()A《风险评估方案》B《重要保护的资产清单》C《风险计算报告》D《风险程度等级列表》4.定量风险分析是从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，准确度量风险的可能性和损失量，小王采用该方法来为单位机房计算火灾的风险大小，假设单位机房的总价值为200万元人民币，暴露系数(ErpomireFactor,EF )是x，年度发生率(Annualixed Rato ofOccurrence,ARO )为0.1，而小王计算的年度预期损失(Annualixed Loss Rrpectancy,ALE )值为5万元人民币。
由此x值应该是 ()5.不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据各自的实际情况，选择适当的风险评估方法，下面的描述中，错误的是() A定量风险分析是用从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，以度量风险的可能性和损失量B定量风险分析相比定性风险分析能得到准确的数值，所以在实际工作中应使用定量风险分析，而不应选择定性风险分析C定性风险分析过程中，往往需要凭借分析者的经验直接进行，所以分析结果和风险评估团队的素质、经验和知识技能密切相关D定性风险分析更具有主观性，而定量风险分析更具客观性6•某单位在一次信息安全风险管理活动中，风险评估报告提出服务器A的PTP 服务存在高风险的漏洞，随后该单位在风险处理时选择了关闭PTP服务的处理措施，请问该措施属于哪种风险处理方式（）A风险降低B风险规避C风险转移D风险接受7.残余风险是风险管理中的一个重要概念，在信息安全风险管理中，关于残余风险描述错误的是（）A残余风险是采取了安全措施后，仍然可能存在的风险，一般来说，是在综合考虑了安全成本与效益后不去控制的风险B残余风险应受到密切监理，它会随着时间的推移而发生变化，可能会在将来诱发新的安全事件C实施风险处理时，应将残余风险清单告知信息系统所在组织的高管，使其了解残余风险的存在和可能造成的后果D信息安全风险处理的主要准则是尽可能降低和控制信息安全风险，以最小的残余风险值作为风险管理效果评估指标9•某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？A:部门经理B:高级管理层C：信息资产所有者D：最终用户10.以下对信息安全风险管理理解最准确的说法是：A: 了解风险B:转移风险C: 了解风险并控制风险D: 了解风险并转移风险11.在信息安全风险管理工作中，识别风险时主要重点考虑的要素应包括：A：资产及其价值、威胁、脆弱性、现有的和计划的控制措施B：资产及其价值、系统的漏洞、脆弱性、现有的和计划的控制措施C:完整性、可用性、机密性、不可抵赖性D:以上都不正确12.以下哪一项不是信息安全风险分析过程中所要完成的工作：A：识别用户B：识别脆弱性C：评估资产价值D:计算机安全事件发生的可能性13.王工是某单位系统管理员，他在某次参加了单位组织的风险管理工作时，发现当前案例中共有两个重要资产：资产A1和资产A2 ;其中资产A1面临两个主要威胁：威胁T1和威胁T2;而资产A2面临一个主要威胁：威胁T3;威胁T1 可以利用的资产A1存在的两个脆弱性；脆弱性V1和脆弱性V2 :威胁T2可以利用资产A1存在的三个脆弱性，脆弱性V3、脆弱性V4和脆弱性V5;威胁T3 可以利用的资产A2存在的两个脆弱性，脆弱性V6和脆弱性V7.根据上述条件，请问：使用相乘法时，应该为资产A1计算几个风险值（）B 3C 5D 614.A:内部计算机处理B:系统输入输出C:通讯和网络D:外部计算机处理15•《信息安全技术信息安全风险评估规范GB /T 20984-2007》中关于信息系统生命周期各阶段的风险评估描述不正确的是：A:规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。
CISP相关试题及答案集
1. 人们对信息安全的认识从信息技术安全发展到信息安全保障，主要是出于：AA. 为了更好的完成组织机构的使命B. 针对信息系统的攻击方式发生重大变化C. 风险控制技术得到革命性的发展D. 除了保密性，信息的完整性和可用性也引起了人们的关注2.《GB/T 20274信息系统安全保障评估框架》中的信息系统安全保障级中的级别是指：CA. 对抗级B. 防护级C. 能力级D. 监管级3. 下面对信息安全特征和范畴的说法错误的是：CA. 信息安全是一个系统性的问题，不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B. 信息安全是一个动态的问题，他随着信息技术的发展普及，以及产业基础，用户认识、投入产出而发展C. 信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任是没有意义的D. 信息安全是非传统的安全，各种信息网络的互联互通和资源共享，决定了信息安全具有不同于传统安全的特点4. 美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求时，将信息技术系统分为：BA. 内网和外网两个部分B. 本地计算机环境、区域边界、网络和基础设施、支撑性基础设施四个部分C. 用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分D. 信用户终端、服务器、系统软件、网络设备和通信线路、应用软件，安全防护措施六个部分5. 关于信息安全策略的说法中，下面说法正确的是：CA. 信息安全策略的制定是以信息系统的规模为基础B. 信息安全策略的制定是以信息系统的网络？？？C. 信息安全策略是以信息系统风险管理为基础D. 在信息系统尚未建设完成之前，无法确定信息安全策略6. 下列对于信息安全保障深度防御模型的说法错误的是：CA. 信息安全外部环境：信息安全保障是组织机构安全、国家安全的一个重要组成部分，因此对信息安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下。
CISP试题及答案-一套题
1.下面关于信息安全保障的说法错误的是：A。
信息安全保障的概念是与信息安全的概念同时产生的B。
信息系统安全保障要素包括信息的完整性，可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施各种保障要素，在系统的生命周期内确保信息的安全属性.以下哪一项是数据完整性得到保护的例子？A。
某网站在访问量突然增加时对用户连接数量进行了限制，保证已登录的用户可以完成操作B。
在提款过程中ATM终端发生故障，银行业务系统及时对该用户的账户余额进行了冲正操作C。
某网管系统具有严格的审计功能,可以确定哪个管理员在何时对核心交换机进行了什么操作D。
李先生在每天下班前将重要文件锁在档案室的保密柜中,使伪装成清洁工的商业间谍无法查看注重安全管理体系建设，人员意识的培训和教育，是信息安全发展哪一个阶段的特点？A。
通信安全B。
计算机安全C.信息安全D。
信息安全保障以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A.提高信息技术产品的国产化率B。
保证信息安全资金注入C.加快信息安全人才培养D。
重视信息安全应急处理工作以下关于置换密码的说法正确的是：A。
明文根据密钥被不同的密文字母代替B.明文字母不变,仅仅是位置根据密钥发生改变C。
明文和密钥的每个bit异或D。
明文根据密钥作了移位以下关于代替密码的说法正确的是：A。
明文根据密钥被不同的密文字母代替B。
明文字母不变，仅仅是位置根据密钥发生改变C.明文和密钥的每个bit异或D。
明文根据密钥作了移位7常见密码系统包含的元素是：A。
明文、密文、信道、加密算法、解密算法B。
明文、摘要、信道、加密算法、解密算C。
明文、密文、密钥、加密算法、解密算法D。
消息、密文、信道、加密算法、解密算法8在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于____________________A.明文B.密文C.密钥D。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
精心整理
CISP 信息安全保障章节练习一
一、单选题。
(共40题,共100分,每题2.5分)
1.我国信息安全保障工作先后经历了启动、逐步展开和积极推进，以及深化落实三个阶段，以下关于我国信息安全保障各阶段说法不正确的是：
a 、2001年，国家信息化领导小组重组，网络与信息安全协调小组成立，我国信息安全保障工作正式启动
b 、2003年7月，国家信息化领导小组制定出台了《关于加强信息信息安全保障工作的意见》（中办发27号文件），明确了“积极防御、综合防范”的国家信息安全保障工作方针
c 、2003年，中办发27号文件的发布标志着我国信息安全保障进入深化落实阶段
d 2.a c d 3.a d 4.案，关于此a b c 得到
d 5.a 安全技术，管理等方面的标准。
b 、重视信息安全应急处理工作，确定由国家密码管理局牵头成立“国家网络应急中心”推动了应急处理和信息通报技术合作工作进展。
c 、推进信息安全等级保护工作，研究制定了多个有关信息安全等级保护的规范和标准，重点保障了关系国定安全，经济命脉和社会稳定等方面重要信息系统的安全性。
d 、实施了信息安全风险评估工作，探索了风险评估工作的基本规律和方法，检验并修改完善了有关标准，培养和锻炼了人才队伍。
最佳答案是:b
6.信息安全保障是网络时代各国维护国家安全和利益的首要任务，以下哪个国家最早将网络安全上长升为国家安全战略，并制定相关战略计划。
a、中国
b、俄罗斯
c、美国
d、英国
最佳答案是:c
7.下列关于信息系统生命周期中安全需求说法不准确的是：
a、明确安全总体方针，确保安全总体方针源自业务期望
b、描述所涉及系统的安全现状，提交明确的安全需求文档
c、向相关组织和领导人宣贯风险评估准则
d、对系统规划中安全实现的可能性进行充分分析和论证
最佳答案是:c
8.下列关于信息系统生命周期中实施阶段所涉及主要安全需求描述错误的是：
a、确保采购定制的设备.软件和其他系统组件满足已定义的安全要求
b、确保整个系统已按照领导要求进行了部署和配置
c
d
9.
a
b
c
d
10.
a
b
c
d
11.
a
b
c
d、
12.(NSA)发布，最初目的是为保障美国政府和工业的信息基础设施安全提供技术指南，其中，提出需要防护的三类“焦点区域”是：
a、网络和基础设施区域边界重要服务器
b、网络和基础设施区域边界计算环境
c、网络机房环境网络接口计算环境
d、网络机房环境网络接口重要服务器
最佳答案是:b
13.关于信息安全保障的概念，下面说法错误的是：
a、信息系统面临的风险和威胁是动态变化的，信息安全保障强调动态的安全理念
b、信息安全保障已从单纯的保护和防御阶段发展为保护.检测和响应为一体的综合阶段
c、在全球互联互通的网络空间环境下，可单纯依靠技术措施来保障信息安全
d、信息安全保障把信息安全从技术扩展到管理，通过技术.管理和工程等措施的综合融合，形成对信息.信息系统及业务使命的保障
最佳答案是:c
14.关于信息安全保障技术框架(IATF)，以下说法不正确的是：
a、分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本
b、IATF从人.技术和操作三个层面提供一个框架实施多层保护，使攻击者即使攻破一层也无法破坏整个信息基础设施
c、允许在关键区域(例如区域边界)使用高安全级保障解决方案，确保系统安全性
d、IATF深度防御战略要求在网络体系结构的各个可能位置实现所有信息安全保障机制
最佳答案是:d
15.下面关于信息系统安全保障模型的说法不正确的是：
a中
b
c
d
16.
a
b
c
d
17.
a
相关
b
c
d
18.
a
b
c、统筹规划，突出重点，强化基础工作
d、全面提高信息安全防护能力，保护公众利益，维护国家安全
最佳答案是:d
19.软件安全保障的思想是在软件的全生命周期中贯彻风险管理的思想，在有限资源前提下实现软件安全最优防护，避免防范不足带来的直接损失，也需要关注过度防范造成的间接损失，在以下软件安全开发策略中，不符合软件安全保障思想的是：
a、在软件立项时考虑到软件安全相关费用，经费中预留了安全测试.安全评审相关费用，确保安全经费得到落实
b、在软件安全设计时，邀请软件安全开发专家对软件架构设计进行评审，及时发现架构设计中存在的安全不足
c、确保对软编码人员进行安全培训，使开发人员了解安全编码基本原则和方法，确保开发人员编
写出安全的代码
d、在软件上线前对软件进行全面安全性测试，包括源代码分析.模糊测试.渗透测试，未经以上测试的软件不允许上线运行
最佳答案是:d
20.依据国家标准GB/T20274《信息系统安全保障评估框架》，安全环境指的是：
a、组织机构内部相关的组织、业务、管理策略
b、所有的信息系统安全相关的运行环境，如已知的物理部署、自然条件、建筑物等
c、国家的法律法规、行业的政策、制度规范等
d、以上都是
最佳答案是:d
21.质量保证小组通常负责：
a
b
c
d
22.
a
b
c
d
23.
a
b
c
d
24.
a
b
c
d
25.
a、掌控系统的风险，制定正确的策略
b、确保系统的保密性.完整性和可用性
c、是系统的技术.管理.工程过程和人员等安全保障质量达到要求
d、保障信息系统实现组织机构的使命
最佳答案是:d
26.关于信息保障技术框架（IATF），下列说法错误的是：
a、IATF强调深度防御，关注本地计算环境、区域边界、网络和基础设施、支撑性基础设施等多个领域的安全保障
b、IATF强调深度防御，即对信息系统采用多层防护，实现组织的业务安全运作
c、IATF强调从技术、管理和人等多个角度来保障信息系统的安全
d、IATF强调的是以安全监测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全
最佳答案是:d
27.以下那种信息安全工作实践应用了信息安全保障的核心原理和思想？
a、以ISMS运行为核心，采用技术和管理手段对建设好的系统进行维护
b、以IATF为基础，涉及包括防毒、入侵检测、加密、审计在内的安全防护体系
c、以CIA为核心，对计算机网络进行安全加固、检测和评估
d、在系统生命周期内，以人为本，按照技管并重的原则，通过安全工程过程来构建安全体系
最佳答案是:d
28.信息安全保障是一种立体保障，在运行时的安全工作不包括：
a、安全评估
b、产品选购
c、备份与灾难恢复
d、监控
最佳答案是:b
29.以下关于信息安全保障说法中哪一项不正确？
a
b
c
d
30.
a、技术
31.
a、德国
32.依据
a、准备
33.
a
b
c
d
34.
a
b、组织的业务使命
c、信息系统面临的风险
d、项目的经费预算
最佳答案是:d
35.关于信息安全保障，下列说法正确的是:
a、信息安全保障是一个客观到主观的过程，即通过采取技术、管理、工程等手段，对信息资源的保密性、完整性、可用性提供保护，从而给信息系统所有者以信心
b、信息安全保障的需求是由信息安全策略所决定的，是自上而下的一个过程，在这个过程中，决策者的能力和决心非常重要
c、信息系统安全并不追求万无一失，而是要根据资金预算，做到量力而行
d、以上说法都正确
最佳答案是:a
36.在灾难发生期间，下列哪一种应用系统应当首先被恢复？
a、总账系统
b、供应链系统
c、固定资产系统
d、客户需求处理系统
最佳答案是:d
37.与PDR模型相比，P2DR模型多了哪一个环节？
a、防护
b、检测
c、反应
d、策略
最佳答案是:d
38.以下关于信息系统安全保障是主观和客观的结合说法最准确的是：
a、信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全
b、通过技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心
c、是一种通过客观证据向信息系统评估者提供主观信心的活动
d
39.
a
b
c
d
40.
一？
a
b。