CISP试题及答案
1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】 C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】 D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】 D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】 A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】 D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B. 风险评估的结果C.组织原则目标和业务需要D. 企业领导的个人意志【答案】 D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D. 基础培训，RA培训，文件编写培训，内部审核培训【答案】 B9. 构成风险的关键因素有哪些？A. 人，财，物B. 技术，管理和操作C.资产，威胁和弱点D. 资产，可能性和严重性【答案】 C10. 以下哪些不是应该识别的信息资产？A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】 C11. 以下哪些是可能存在的威胁因素？BA. 设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】 B12. 以下哪些不是可能存在的弱点问题？A. 保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】 C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A. 只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】 B14. 风险分析的目的是？A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】 C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
D. 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。
【答案】 A16. 有关定性风险评估和定量风险评估的区别，以下描述不正确的是A. 定性风险评估比较主观，而定量风险评估更客观B. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证C.定性风险评估更成熟，定量风险评估还停留在理论阶段D. 定性风险评估和定量风险评估没有本质区别，可以通用【答案】 D17. 降低企业所面临的信息安全风险，可能的处理手段不包括哪些A. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷B. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击D. 通过业务外包的方式，转嫁所有的安全风险【答案】 D18. 风险评估的基本过程是怎样的？A. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险B. 通过以往发生的信息安全事件，找到风险所在C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位D. 风险评估并没有规律可循，完全取决于评估者的经验所在【答案】 A19. 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的A. 只关注外来的威胁，忽视企业内部人员的问题B. 相信来自陌生人的邮件，好奇打开邮件附件C.开着电脑离开，就像离开家却忘记关灯那样D. 及时更新系统和安装系统和应用的补丁【答案】 D20. 以下对ISO27001标准的描述不正确的是A. 企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求B. ISO27001标准与信息系统等级保护等国家标准相冲突C.ISO27001是源自于英国的国家标准BS7799D. ISO27001是当前国际上最被认可的信息安全管理标准【答案】 B21. 对安全策略的描述不正确的是A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程B. 策略应有一个属主，负责按复查程序维护和复查该策略C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；D. 安全策略一旦建立和发布，则不可变更；【答案】 D22. 以下对企业信息安全活动的组织描述不正确的是A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。
B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。
应该让外部伙伴意识到其责任和必须遵守的规定。
D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施【答案】 D23. 企业信息资产的管理和控制的描述不正确的是A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；B. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；C.企业的信息资产不应该分类分级，所有的信息系统要统一对待D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产【答案】 C24. 有关人员安全的描述不正确的是A. 人员的安全管理是企业信息安全管理活动中最难的环节B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号【答案】 C25. 以下有关通信与日常操作描述不正确的是A. 信息系统的变更应该是受控的B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏D. 内部安全审计无需遵循独立性、客观性的原则【答案】 D26. 以下有关访问控制的描述不正确的是A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理B. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入；【答案】 D27. 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是A. 信息系统的开发设计，应该越早考虑系统的安全需求越好B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险【答案】 C28. 有关信息安全事件的描述不正确的是A. 信息安全事件的处理应该分类、分级B. 信息安全事件的数量可以反映企业的信息安全管控水平C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生【答案】 C29. 以下有关信息安全方面的业务连续性管理的描述，不正确的是A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档D. 信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入【答案】 D30. 企业信息安全事件的恢复过程中，以下哪个是最关键的？A. 数据B. 应用系统C.通信链路D. 硬件/软件【答案】 A31. 企业ISMS(信息安全管理体系)建设的原则不包括以下哪个A. 管理层足够重视B. 需要全员参与C.不必遵循过程的方法D. 需要持续改进【答案】 C32. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】 D33. 对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？A. 改进措施包括纠正和预防措施B. 改进措施可由受审单位提出并实施C.不可以对体系文件进行更新或修改D. 对改进措施的评价应该包括措施的有效性的分析【答案】 C34. ISMS的审核的层次不包括以下哪个？A. 符合性审核B. 有效性审核C.正确性审核D. 文件审核【答案】 C35. 以下哪个不可以作为ISMS管理评审的输入A. ISMS审计和评审的结果B. 来自利益伙伴的反馈C. 某个信息安全项目的技术方案D. 预防和纠正措施的状态【答案】 C36. 有关认证和认可的描述，以下不正确的是A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）B. 根据对象的不同，认证通常分为产品认证和体系认证C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求【答案】 D37. 信息的存在及传播方式A. 存在于计算机、磁带、纸张等介质中B. 记忆在人的大脑里C.. 通过网络打印机复印机等方式进行传播D. 通过投影仪显示【答案】 D38. 下面哪个组合不是是信息资产A. 硬件、软件、文档资料B. 关键人员C.. 组织提供的信息服务D. 桌子、椅子【答案】 D39. 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？A. 约定的标准及相关法律的要求B.已识别的安全需求C. 控制措施有效实施和维护D. ISO13335风险评估方法【答案】 D40. 以下对审核发现描述正确的是A. 用作依据的一组方针、程序或要求B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述【答案】 C41. ISMS审核常用的审核方法不包括？A. 纠正预防B.文件审核C. 现场审核D. 渗透测试【答案】 A42. ISMS的内部审核员（非审核组长）的责任不包括？A. 熟悉必要的文件和程序；B.根据要求编制检查列表；C. 配合支持审核组长的工作，有效完成审核任务；D. 负责实施整改内审中发现的问题；【答案】 D43. 审核在实施审核时，所使用的检查表不包括的内容有？A. 审核依据B.审核证据记录C. 审核发现D. 数据收集方法和工具【答案】 C44. ISMS审核时，首次会议的目的不包括以下哪个？A. 明确审核目的、审核准则和审核范围B.明确审核员的分工C. 明确接受审核方责任，为配合审核提供必要资源和授权D. 明确审核进度和审核方法，且在整个审核过程中不可调整【答案】 D45. ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？A. 关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行C. 孤立的偶发性的且对信息安全管理体系无直接影响的问题；D. 审核员识别的可能改进项【答案】 D46. 以下关于ISMS内部审核报告的描述不正确的是？A. 内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果B.内审报告中必须包含对不符合性项的改进建议C. 内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商，核实报告内容。
CISP试题与答案(515多题整理版)
1. 以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了【答案】C2. 以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3. 以下对信息安全管理的描述错误的是A.信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人【答案】D4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行【答案】A5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是A. ISMS是一个遵循PDCA模式的动态发展的体系B. ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的，应该解决所有的信息安全问题【答案】D6. PDCA特征的描述不正确的是A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D. 信息安全风险管理的思路不符合PDCA的问题解决思路【答案】D7. 以下哪个不是信息安全项目的需求来源A. 国家和地方政府法律法规与合同的要求B. 风险评估的结果C.组织原则目标和业务需要D. 企业领导的个人意志【答案】D8. ISO27001认证项目一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D. 基础培训，RA培训，文件编写培训，内部审核培训【答案】B9. 构成风险的关键因素有哪些？A. 人，财，物B. 技术，管理和操作C.资产，威胁和弱点D. 资产，可能性和严重性【答案】C10. 以下哪些不是应该识别的信息资产？A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】C11. 以下哪些是可能存在的威胁因素？BA. 设备老化故障B.病毒和蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】B12. 以下哪些不是可能存在的弱点问题？A. 保安工作不得力B.应用系统存在BugC. 内部人员故意泄密D. 物理隔离不足【答案】C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？A. 只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者和用户【答案】B14. 风险分析的目的是？A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；【答案】C15. 对于信息安全风险的描述不正确的是？A. 企业信息安全风险管理就是要做到零风险B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
cisp试题及答案
cisp试题及答案一、选择题1. CISP（注册信息安全专业人员）认证的主要目标是（）。
A. 提升个人技能B. 保障企业信息安全C. 遵守法律法规D. 所有以上选项答案：D2. 在信息安全领域中，以下哪项不属于常见的安全威胁类型？（）。
A. 恶意软件B. 自然灾害C. 未经授权访问D. 拒绝服务攻击答案：B3. 风险评估的目的是（）。
A. 评估组织的财务状况B. 确定信息资产的价值C. 识别和评估潜在的安全风险D. 增加市场份额答案：C4. 以下哪项是信息安全管理的最佳实践？（）。
A. 仅依赖技术解决方案B. 忽略员工的安全意识培训C. 定期进行安全审计和评估D. 仅在发生安全事件后才采取行动答案：C5. CISP认证考试中，关于数据保密性的正确理解是（）。
A. 确保数据只能被授权用户访问B. 确保数据的完整性C. 确保数据的可用性D. 确保数据的不可否认性答案：A二、填空题1. CISP认证是由________（组织名称）颁发的，旨在证明持有者在信息安全领域具有专业知识和技能。
答案：国际信息系统安全认证联盟（ISC）²2. 在信息安全中，________是一种通过隐藏信息内容来保护数据不被未授权者理解的方法。
答案：加密3. 为了防止网络攻击，组织应该实施________策略，以确保所有用户和设备都符合安全标准。
答案：安全访问控制4. 信息安全事件响应计划的主要目的是________，减少安全事件对组织的影响。
答案：快速识别和响应安全事件5. 社会工程攻击利用的是人的________，通过欺骗手段获取敏感信息或访问权限。
答案：心理弱点三、简答题1. 描述信息安全管理的三个关键组成部分。
答：信息安全管理的三个关键组成部分包括策略制定，即制定明确的安全目标和规则；实施控制措施，包括技术和程序控制以降低风险；以及持续监控和审计，确保安全措施的有效性并进行必要的调整。
2. 解释什么是渗透测试以及它在信息安全中的作用。
CISP题库350题(答案)
中国信息安全测评中心CISP认证模拟试题中电运行信息安全网络技术测评中心编辑1.以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A．提高信息技术产品的国产化率B．保证信息安全资金投入C．加快信息安全人才培养D．重视信息安全应急处理工作2.以下哪一项不是《GB/T20274信息安全保障评估框架》给出的信息安全保障模型具备的特点？A．强调信息系统安全保障持续发展的动态性，即强调信息系统安全保障应贯穿于整个信息系统生命周期的全过程B．强调信息系统安全保障的概念，通过综合技术、管理、工程和人员的安全保障要求来实施和实现信息系统的安全保障目标C．以安全概念和关系为基础，将安全威胁和风险控制措施作为信息系统安全保障的基础和核心D．通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征3.以下关于信息系统安全保障是主观和客观的结合说法最准确的是：A．信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全B．通过技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心C．是一种通过客观证据向信息系统评估者提供主观信心的活动D．是主观和客观综合评估的结果4.与PDR模型相比，P2DR模型多了哪一个环节？A．防护B．检测C．反应D．策略5.在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于_______。
A．明文B．密文C．密钥D．信道6.通过对称密码算法进行安全消息传输的必要条件是：A．在安全的传输信道上进行通信B．通讯双方通过某种方式，安全且秘密地共享密钥C．通讯双方使用不公开的加密算法D．通讯双方将传输的信息夹杂在无用信息中传输并提取7.以下关于代替密码的说法正确的是：A．明文根据密钥被不同的密文字母代替B．明文字母不变，仅仅是位置根据密钥发生改变C．明文和密钥的每个bit异或D．明文根据密钥作移位8.AES在抵抗差分密码分析及线性密码分析的能力比DES更有效，已经替代DES成为新的数据加密标准。
CISP整理试题及标准答案
1.在橙皮书的概念中，信任是存在于以下哪一项中的?Ａ.ﻩ操作系统B．网络C.ﻩ数据库D．应用程序系统答案:Ａ2.下述攻击手段中不属于DOS攻击的是：（）A.ﻩSmurf攻击B.ﻩLaｎｄ攻击C. Teardrop攻击D．CＧI溢出攻击答案:Ｄ。
3.“中华人民共和国保守国家秘密法”第二章规定了国家秘密的范围和密级，国家秘密的密级分为:（）A．ﻩ“普密”、“商密”两个级别Ｂ．“低级”和“高级”两个级别C. “绝密”、“机密”、“秘密”三个级别D.ﻩ“一密”、“二密”、“三密”、“四密”四个级别答案:C。
4.应用软件测试的正确顺序是：A．ﻩ集成测试、单元测试、系统测试、验收测试B.ﻩ单元测试、系统测试、集成测试、验收测试C. 验收测试、单元测试、集成测试、系统测试D.ﻩ单元测试、集成测试、系统测试、验收测试答案：选项D。
5.多层的楼房中，最适合做数据中心的位置是:Ａ．ﻩ一楼B.ﻩ地下室Ｃ. 顶楼D．ﻩ除以上外的任何楼层答案：D。
6.随着全球信息化的发展，信息安全成了网络时代的热点，为了保证我国信息产业的发展与安全，必须加强对信息安全产品、系统、服务的测评认证，中国信息安全产品测评认证中心正是由国家授权从事测评认证的国家级测评认证实体机构，以下对其测评认证工作的错误认识是：A.ﻩ测评与认证是两个不同概念,信息安全产品或系统认证需经过申请、测试、评估，认证一系列环节。
B.ﻩ认证公告将在一些媒体上定期发布,只有通过认证的产品才会向公告、测试中或没有通过测试的产品不再公告之列。
C．ﻩ对信息安全产品的测评认证制度是我国按照WTO规则建立的技术壁垒的管理体制。
D.ﻩ通过测试认证达到中心认证标准的安全产品或系统完全消除了安全风险。
答案:D。
7.计算机安全事故发生时，下列哪些人不被通知或者最后才被通知:Ａ.ﻩ系统管理员Ｂ．ﻩ律师C.ﻩ恢复协调员D.ﻩ硬件和软件厂商答案：B。
8.下面的哪种组合都属于多边安全模型?Ａ.ﻩTCSEＣ和Bｅｌl-LａＰadｕlaB．Chｉneｓe Ｗａll和BMＡC. TＣSEC 和Clark-WilsｏnD. Chiｎｅse Wall 和Ｂiｂa答案：B。
cisp试题及答案(515多题整理版)
cisp试题及答案(515多题整理版) cisp试题及答案（515多题整理版）1. 以下哪项不是CISP的组成部分？A. 信息安全政策B. 信息安全组织C. 信息安全培训D. 信息安全审计答案：D2. CISP的全称是什么？A. Certified Information Systems ProfessionalB. Certified Information Security ProfessionalC. Certified Information Systems Security ProfessionalD. Certified Information System Professional答案：B3. CISP认证的有效期是多久？A. 1年B. 2年C. 3年D. 5年答案：C4. CISP认证的考试形式是什么？A. 笔试B. 机试C. 口试D. 实操答案：B5. CISP认证的考试语言有哪些？A. 英语B. 中文C. 法语D. 所有选项答案：D6. CISP认证考试的题型是什么？A. 单选题B. 多选题C. 判断题D. 简答题答案：A7. CISP认证考试的总题数是多少？A. 100题B. 200题C. 300题D. 400题答案：C8. CISP认证考试的通过分数是多少？A. 60%B. 70%C. 80%D. 90%答案：C9. CISP认证考试的考试时间是多长？A. 1小时B. 2小时C. 3小时D. 4小时答案：C10. CISP认证考试的报名费用是多少？A. 500美元B. 700美元C. 1000美元D. 1500美元答案：B11. CISP认证考试的考试内容主要涉及哪些方面？A. 信息安全管理B. 信息安全技术C. 信息安全法律D. 所有选项答案：D12. CISP认证考试的考试内容不包括以下哪项？A. 风险评估B. 业务持续性管理C. 信息安全策略D. 数据库管理答案：D13. CISP认证考试的考试内容中，关于信息安全策略的知识点包括哪些？A. 信息安全策略的制定B. 信息安全策略的实施C. 信息安全策略的评估D. 所有选项答案：D14. CISP认证考试的考试内容中，关于风险评估的知识点包括哪些？A. 风险识别B. 风险分析C. 风险处理D. 所有选项答案：D15. CISP认证考试的考试内容中，关于业务持续性管理的知识点包括哪些？A. 业务影响分析B. 灾难恢复计划C. 应急响应计划D. 所有选项答案：D16. CISP认证考试的考试内容中，关于信息安全技术的知识点包括哪些？A. 加密技术B. 防火墙技术C. 入侵检测系统D. 所有选项答案：D17. CISP认证考试的考试内容中，关于信息安全法律的知识点包括哪些？A. 数据保护法B. 计算机犯罪法C. 知识产权法D. 所有选项答案：D18. CISP认证考试的考试内容中，关于信息安全管理的知识点包括哪些？A. 安全管理的框架B. 安全管理的过程C. 安全管理的控制D. 所有选项答案：D19. CISP认证考试的考试内容中，关于信息安全培训的知识点包括哪些？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 所有选项答案：D20. CISP认证考试的考试内容中，关于信息安全审计的知识点包括哪些？A. 审计计划B. 审计程序C. 审计报告D. 所有选项答案：D21. CISP认证考试的考试内容中，关于信息安全组织管理的知识点包括哪些？A. 组织结构B. 组织政策C. 组织文化D. 所有选项答案：D22. CISP认证考试的考试内容中，关于信息安全培训的知识点不包括以下哪项？A. 培训需求分析B. 培训计划制定C. 培训效果评估D. 培训课程设计答案：D23. CISP认证考试的考试内容中，关于信息安全审计的知识点不。
CISP试题及答案(515多题整理版)
1. 以下对信息平安描述不正确的选项是A.信息平安的根本要素包括保密性、完整性与可用性B.信息平安就是保障企业信息系统能够连续、可靠、正常地运行，使平安事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息平安就是不出平安事故/事件D.信息平安不仅仅只考虑防止信息泄密就可以了【答案】C2. 以下对信息平安管理的描述错误的选项是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D.增值性【答案】D3. 以下对信息平安管理的描述错误的选项是A.信息平安管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息平安的重要性C.平安技术是信息平安的构筑材料，平安管理是真正的粘合剂与催化剂D.信息平安管理工作的重点是信息系统，而不是人【答案】D4. 企业按照ＩＳＯ２７００１标准建立信息平安管理体系的过程中，对关键成功因素的描述不正确的选项是A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可B. 来自高级管理层的明确的支持与承诺C.对企业员工提供必要的平安意识与技能的培训与教育D. 所有管理者、员工及其他伙伴方理解企业信息平安策略、指南与标准，并遵照执行【答案】A5. 信息平安管理体系〔ISMS〕是一个怎样的体系，以下描述不正确的选项是A. ISMS是一个遵循PDCA模式的动态开展的体系B. ISMS是一个文件化、系统化的体系采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D. ISMS应该是一步到位的，应该解决所有的信息平安问题【答案】D6. PDCA特征的描述不正确的选项是A. 顺序进展，周而复始，发现问题，分析问题，然后是解决问题B. 大环套小环，平安目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进展总结，稳固成绩，改良缺乏D. 信息平安风险管理的思路不符合PDCA的问题解决思路【答案】D7. 以下哪个不是信息平安工程的需求来源A. 国家与地方政府法律法规与合同的要求B. 风险评估的结果C.组织原那么目标与业务需要D. 企业领导的个人意志【答案】D8. ISO27001认证工程一般有哪几个阶段？A. 管理评估，技术评估，操作流程评估B. 确定范围与平安方针，风险评估，风险控制〔文件编写〕，体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D. 根底培训，RA培训，文件编写培训，内部审核培训【答案】B9. 构成风险的关键因素有哪些？A. 人，财，物B. 技术，管理与操作C.资产，威胁与弱点D. 资产，可能性与严重性【答案】C10. 以下哪些不是应该识别的信息资产？A. 网络设备B.客户资料C. 办公桌椅D. 系统管理员【答案】C11. 以下哪些是可能存在的威胁因素？BA. 设备老化故障B.病毒与蠕虫C. 系统设计缺陷D. 保安工作不得力【答案】B12. 以下哪些不是可能存在的弱点问题？A. 保安工作不得力B.应用系统存在BugC. 内部人员成心泄密D. 物理隔离缺乏【答案】C13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原那么？A. 只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C. 可以从业务流程出发，识别各个环节与阶段所需要以及所产出的关键资产D. 资产识别务必明确责任人、保管者与用户【答案】B14. 风险分析的目的是？A. 在实施保护所需的本钱与风险可能造成的影响之间进展技术平衡；B.在实施保护所需的本钱与风险可能造成的影响之间进展运作平衡；C. 在实施保护所需的本钱与风险可能造成的影响之间进展经济平衡；D. 在实施保护所需的本钱与风险可能造成的影响之间进展法律平衡；【答案】C15. 对于信息平安风险的描述不正确的选项是？A. 企业信息平安风险管理就是要做到零风险B. 在信息平安领域，风险〔Risk〕就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理〔Risk Management〕就是以可承受的代价，识别控制减少或消除可能影响信息系统的平安风险的过程。
CISP真题及参考答案
答案：D。
4、美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求 时，将信息技术信息分为： A、内网和外网两个部分 B、本地计算环境、区域边界、网络和基础设施、支撑性基础设施四个部分 C、用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分 D、可信用户终端、服务器、系统软件、网络设备和通信线路、应用软件、安 全防护措施六个部分
答案：C。
3、关于信息保障技术框架（IATF），下列说法错误的是： A、IATF 强调深度防御，关注本地计算环境、区域边界、网络和基础设施、 支撑性基础设施等多个领域的安全保障； B、IATF 强调深度防御，即对信息系统采用多层防护，实现组织的业务安全 运作； C、IATF 强调从技术、管理和人等多个角度来保障信息系统的安全； D、IATF 强调的是以安全监测、漏洞监测和自适应填充“安全问题”为循环 来提高网络安全
答案：C。
42、 以下关于 Linux 超级权限的说明，不正确的是： A、一般情况下，为了系统安全，对于一般常规基本的应用，不需要 root 用 户来操作完成 B、普通用户可以通过 su 和 sudo 来获得系统的超级权限 C、对系统日志的管理，添加和删除用户等管理工作，必须以 root 用户登录 才能进行 D、Root 是系统的超级用户，无论会否为文件和程序的所有者都具有访问权 限
答案：B。
22、 下列对强制访问控制描述不正确的是： A、主体对客体的所有访问请求按照强制访问控制策略进行控制 B、强制访问控制中，主体和客体分配有一个安全属性 C、客体的创建者无权控制客体的访问权限 D、强制访问控制不可与自主访问控制结合使用
答案：D。
23、 以下哪些模型关注与信息安全的完整性？ A、Biba 模型和 Bell-Lapadula 模型 B、Bell-Lapadula 模型和 Chinese Wall 模型 C、Biba 模型和 Clark-Wilson 模型 D、ClarK-Wilson 模型和 Chinese Wall 模型
CISP试题及答案五套题
1.人们对信息平安的认识从信息技术平安开展到信息平安保障，主要是出于：A. 为了更好的完成组织机构的使命B. 针对信息系统的攻击方式发生重大变化C. 风险控制技术得到革命性的开展D. 除了保密性，信息的完整性和可用性也引起了人们的关注2.?GB/T 20274信息系统平安保障评估框架?中的信息系统平安保障级中的级别是指：A. 对抗级B. 防护级C. 能力级D. 监管级3.下面对信息平安特征和范畴的说法错误的选项是：A. 信息平安是一个系统性的问题，不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B. 信息平安是一个动态的问题，他随着信息技术的开展普及，以及产业根底，用户认识、投入产出而开展C. 信息平安是无边界的平安，互联网使得网络边界越来越模糊，因此确定一个组织的信息平安责任是没有意义的D. 信息平安是非传统的平安，各种信息网络的互联互通和资源共享，决定了信息平安具有不同于传统平安的特点4. 美国国防部提出的?信息保障技术框架?〔IATF〕在描述信息系统的平安需求时，将信息技术系统分为：A. 内网和外网两个局部B. 本地计算机环境、区域边界、网络和根底设施、支撑性根底设施四个局部C. 用户终端、效劳器、系统软件、网络设备和通信线路、应用软件五个局部D. 信用户终端、效劳器、系统软件、网络设备和通信线路、应用软件，平安防护措施六个局部5. 关于信息平安策略的说法中，下面说法正确的选项是：A. 信息平安策略的制定是以信息系统的规模为根底B. 信息平安策略的制定是以信息系统的网络？？？C. 信息平安策略是以信息系统风险管理为根底D. 在信息系统尚未建立完成之前，无法确定信息平安策略6. 以下对于信息平安保障深度防御模型的说法错误的选项是：A. 信息平安外部环境：信息平安保障是组织机构平安、国家平安的一个重要组成局部，因此对信息平安的讨论必须放在国家政策、法律法规和标准的外部环境制约下。
CISP试题及答案-7套题详解
1.下面关于信息安全保障的说法正确的是:A.信息安全保障的概念是与信息安全的概念同时产生的B.信息系统安全保障要素包括信息的完整性、可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的,从风险和策略出发,实施在系统的生命周期内确保信息的安全属性2.根据《GB/T20274信息安全保障评估框架》,对信息系统安全保障能力进行评估应A.信息安全管理和信息安全技术2个方面进行B.信息安全管理、信息安全技术和信息安全工程3个方面进行C.信息安全管理、信息安全技术、信息安全工程和人员4个方面进行D.信息安全管理、信息安全技术、信息安全工程、法律法规和人员5个方面进行3.哪一项不是《GB/T20274信息安全保障评估框架》给出的信息安全保障模通过以风险和策略为基础,在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素,从而使信息系统安全保障实现信息安全的安全特征4.对于信息安全发展历史描述正确的是:A.信息安全的概念是随着计算机技术的广泛应用而诞生的B.目前信息安全己经发展到计算机安全的阶段C.目前信息安全不仅仅关注信息技术,人们意识到组织、管理、工程过程和人员同样是促进系统安全性的重要因素D.我们可以将信息安全的发展阶段概括为,由“计算机安全”到“通信安全”,再到“信息安全”,直至现在的“信息安全保障”5.ISO的OSI安全体系结构中,以下哪一个安全机制可以提供抗抵赖安全服务A.加密B.数字签名C.访问控制D.路由控制6.表示层7.以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性A.ITSECB.TCSECC.GB/T9387.2D.彩虹系列的橙皮书8.下面对于CC的“保护轮廓”(PP)的说法最准确的是:A.对系统防护强度的描述B.对评估对象系统进行规范化的描述C.对一类TOE的安全需求,进行与技术实现无关的描述D.由一系列保证组件构成的包,可以代表预先定义的保证尺度9.以下哪一项属于动态的强制访问控制模型?A.Bell一Lapudufa模型B.10.C.Strong star property处于D.Bell一Lapadula模型的访问规则主要是出于对保密性的保护而制定的11.下面对于强制访问控制的说法错误的是?A它可以用来实现完整性保护,也可以用来实现机密性保护B在强制访问控制的系统中,用户只能定义客体的安全属性C它在军方和政府等安全要求很高的地方应用较多D它的缺点是使用中的便利性比较低12.以下哪两个安全模型分别是多级完整性模型和多边保密模型?A.Biba模型和Bell一Lapadula模型B.Bell一Lapaduia模型和Biba模型C.Chinese Wall模型和Bell一Lapadula模型D.Biba模型和Chinese Wall模型13.在一个使用Chinese Wall模型建立访问控制的信息系统中,数据W和数据X在一个兴趣冲突域中,数据Y和数据Z在另一个兴趣冲突域中,那么可以确定一个新注册的用户:A.只有访问了W之后,才可以访问XB.只有访问了W之后,才可以访问Y和Z中的一个C.无论是否访问W,都只能访问Y和Z中的一个D.无论是否访问W,都不能访问Y或Z14.BMA访问控制模型是基于A.健康服务网络B.ARPANETC.ISPD.INTERNET15.16.证书持有者的公钥证书颁发机构的签名证书有效期17.下面关于密码算法的说法错误的是?A.分组密码又称作块加密B.流密码又称作序列密码C.DES算法采用的是流密码D.序列密码每次加密一位或一个字节的明文18.下面对于SSH的说法错误的是?A.SSH是Secure Shell的简称B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSHD.SSH2比SSH1更安全19.下面对于标识和鉴别的解释最准确的是:A.标识用于区别不同的用户,而鉴别用于验证用户身份的真实性B.标识用于区别不同的用户,而鉴别用于赋予用户权限C.标识用于保证用户信息的完整性,而鉴别用于验证用户身份的真实性D.标识用于保证用户信息的完整性,而鉴别用于赋予用户权限20.指纹、虹膜、语音识别技术是以下哪一种鉴别方式的实例:A.你是什么B.你有什么C.你知道什么D.你做了什么21.安全审计是对系统活动和记录的独立检查和验证,以下哪一项不是审计系统的A.辅助辨识和分析未经授权的活动或攻击B.对与己建立的安全策略的一致性进行核查C.及时阻断违反安全策略的访问D.帮助发现需要改进的安全控制措施22.下面哪一项不是通用IDS模型的组成部分:A.传感器B.过滤器23.24.以下哪一项属于物理安全方面的管理控制措施?A.照明B.护柱C.培训D.建筑设施的材料25.以下哪种不是火灾探测器类型:A.电离型烟传感器B.光电传感器C.声学震动探测系统D.温度传感器26.以下关于事故的征兆和预兆说法不正确的是:A.预兆是事故可能在将来出现的标志B.征兆是事故可能己经发生或正在发生的标志C.预兆和征兆的来源包括网络和主机IDS、防病毒软件、系统和网络日志D.所有事故的预兆和征兆都是可以发现的27.组织机构应根据事故类型建立揭制策略,需要考虑以下几个因素,除了:A、实施策略需要的时间和资源B、攻击者的动机C、服务可用性D、证据保留的时间28、下面安全套接字层协议(SSL)的说法错误的是?A、它是一种基于Web应用的安全协议B、由于SSL是内嵌的浏览器中的,无需安全客户端软件,所以相对于IPSEC更简C、SSL与IPSec一样都工作在网络层D、SSL可以提供身份认证、加密和完整性校验的功能29、用来为网络中的主机自动分配IP地址、子网掩码、默认网关、wins服务器地址的网?A、ARPB、IGMPC、ICMPD、DHCP301下面哪一项不是VPN协议标准:A、L2TPB、ipsecC、TACACS+D、PPTP30、IPSEC的两种使用模式分别是_______和_____A传输模式、安全壳模式B传输模式、隧道模式C隧道模式、ESP模式D安全壳模式、AH模式31、组成IPSEC的主要安全协议不包括以下哪一项:A、ESPB、DSSC、IKED、AH32、在UNIX系统中输入命令“LS-al test”显示如下;-rwxr-xr-x3root root1024Sep1311:58test”对他的含义解释错误的是:A、这是一个文件,而不是目录B、文件的拥有者可以对这个文件读、写和执行的操作C、文件所属组的成员有可以读它,也可以执行它D、其他所有用户只可以执行它33、计算机具有的IP地址是有限的,但通常计算机会开启多项服务或运行多个应用程序,那么如何在网络通信中对这些程序或服务进行单独标识?A分配网络端口号(如ftp服务对应21端口)B利用MAC地址C使用子网掩码D利用PKI/CA34、Apache Web服务器的配置文件一般位于/usr/local/apache/conf目录,其中用来控制用户访问Apache目录的配置文件是:A httpd.confB srm.confC inetd.confD access.conf35、下面哪一项是操作系统中可信通路(trust path)机制的实例?A Window系统中ALT+CTRL+DELB root在Linux系统上具有绝对的权限C以root身份作任何事情都要谨慎D控制root用户的登录可以在/etc/security目录下的access.conf文件中进行设置36、以下对Windows服务的说法错误的是()A为了提升系统的安全性管理员应尽量关闭不需要的服务B Windows服务只有在用户成功登录系统后才能运行C可以作为独立的进程运行或以DLL的形式依附在Svchost.exeD windows服务通常是以管理员的身份运行的37、以下哪一项不是IIS服务器支持的访问控制过滤类型?A网络地址访问控制B web服务器许可C NTFS许可D异常行为过滤38、下列哪一项与数据库的安全有直接关系?A访问控制的粒度B数据库的大小C关系表中属性的数量D关系表中元组的数量39、下列哪一组Oracle数据库的默认用户名和默认口令?A用户名:“Scott”;口令:“tiger”B用户名:“Sa”;口令:“nullr”C用户名:“root”;口令:“null”D用户名:“admin”;口令:“null”40、关于数据库安全的说法错误的是?A数据库系统的安全性很大程度上依赖于DBMS的安全机制B许多数据库系统在操作系统一下文件形式进行管理,因此利用操作系统漏洞可以窃取数据库文件C为了防止数据库中的信息被盗取,在操作系统层次对文件进行加密是唯一从根本上解决问题的手段D数据库的安全需要在网络系统、操作系统和数据库管理系统三个方面进行保护42、下面关于计算机恶意代码发展趋势的说法错误的是:A木马和病毒盗窃日益猖獗B利用病毒犯罪的组织性和趋利性增加C综合利用多种编程新技术、对抗性不断增加D复合型病毒减少,而自我保护功能增加43、关于网页中的恶意代码,下列说法错误的是:A网页中的恶意代码只能通过IE浏览器发挥作用B网页中恶意代码可以修改系统注册表C网页中的恶意代码可以修改系统文件D网页中的恶意代码可以窃取用户的机密性文件44、下面对于“电子邮件炸弹”的解释最准确的是:A邮件正文中包含的恶意网站链接B邮件附件中具有强破坏性的病毒C社会工程的一种方式,具有恐吓内容的邮件D在短时间内发送大量邮件软件,可以造成目标邮箱爆满45、以下哪一项是常见Web站点脆弱性扫描工具:A SnifferB NmapC AppscanD LC46、下面哪一项不是安全编程的原则A尽可能使用高级语言进行编程B尽可能让程序只实现需要的功能C不要信任用户输入的数据D尽可能考虑到意外的情况,并设计妥善的处理方法47、黑客进行攻击的最后一个步骤是:A侦查与信息收集B漏洞分析与目标选定C获取系统权限D打扫战场、清楚证据48、下面哪一项是缓冲溢出的危害?A可能导致shellcode的执行而非法获取权限,破坏系统的保密性B执行shellcode后可能进行非法控制,破坏系统的完整性C可能导致拒绝服务攻击,破坏系统的可用性D以上都是49、以下哪一项是DOS攻击的一个实例A SQL注入B IP SpoofC Smurf攻击D字典破解50、以下对于蠕虫病毒的错误说法是()A通常蠕虫的传播无需用户的操作B蠕虫病毒的主要危害体现在对数据保密的破坏C蠕虫的工作原理与病毒相似,除了没有感染文件D是一段能不以其他程序为媒介,从一个电脑系统复制到另一个电脑系统51、以下哪一项不是跨站脚本攻击?A给网站挂马B盗取COOKIEC伪造页面信息D暴力破解密码52.对能力成熟度模型解释最准确的是?A.它认为组织的能力依赖与严格定义,管理完善,可测可控的有效业务过程。
cisp试题及答案
cisp试题及答案一、选择题1. CISP（注册信息安全专业人员）认证的主要目标是（）。
A. 提升个人技能B. 保障企业信息安全C. 遵守法律法规D. 降低企业运营成本答案：B2. 在信息安全管理中，风险评估的目的是（）。
A. 识别潜在的威胁B. 确定安全措施的成本C. 制定安全策略D. 所有以上选项答案：D3. CISP认证考试中，关于数据加密的说法正确的是（）。
A. 对称加密算法比非对称加密算法更安全B. 非对称加密算法需要两个密钥C. 哈希函数是可逆的D. 量子加密是目前最安全的加密方式答案：B4. 以下哪项不属于信息安全管理的基本原则？（）。
A. 保密性B. 完整性C. 可用性D. 可追溯性答案：D5. CISP认证考试中，关于网络安全的说法正确的是（）。
A. 防火墙可以防止所有类型的网络攻击B. VPN提供了数据传输过程中的加密C. 入侵检测系统可以防止入侵行为的发生D. 网络隔离可以完全避免网络攻击答案：B二、填空题1. CISP认证是由________（组织名称）颁发的，旨在证明持证人在信息安全领域具有专业知识和技能。
答案：（ISC）²2. 在信息安全领域中，________是一种通过隐藏信息内容来保护数据不被未授权访问的技术。
答案：加密3. 为了确保信息的完整性，通常会使用________技术来验证数据在传输或存储过程中是否被篡改。
答案：哈希函数4. 信息安全管理体系（ISMS）的国际标准是ISO/IEC 27001，它包括了一套用于________的准则和规定。
答案：管理信息安全5. 社会工程学是一种利用人的________来获取敏感信息或未授权访问系统的方法。
答案：心理和行为特点三、简答题1. 简述信息安全的重要性。
答案：信息安全对于保护个人隐私、企业商业秘密、国家安全等方面至关重要。
它可以有效防止数据泄露、网络攻击、身份盗窃等风险，确保信息的保密性、完整性和可用性。