ISMS考试 判断题
2023年第二期ISMS信息安全管理体系CCAA审核员模拟试题含解析
2023年第二期ISMS信息安全管理体系CCAA审核员模拟试题一、单项选择题1、最高管理者应（）。
A、确保制定ISMS方针B、制定ISMS目标和计划C、实施ISMS内部审核D、主持ISMS管理评审2、关于GB/T22080-2016/ISO/IEC27001:2013标准，下列说法错误的是（）A、标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求B、标准中所表述要求的顺序反映了这些要求要实现的顺序C、信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中D、信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性3、根据《信息安全等级保护管理办法》,对于违反信息安全法律、法规行为的行政处罚中()是较轻的处罚方式A、警告B、罚款C、没收违法所得D、吊销许可证4、风险处置是（）A、识别并执行措施来更改风险的过程B、确定并执行措施来更改风险的过程C、分析并执行措施来更改风险的过程D、选择并执行措施来更改风险的过程5、信息分级的目的是（）A、确保信息按照其对组织的重要程度受到适当级别的保护B、确保信息按照其级别得到适当的保护C、确保信息得到保护D、确保信息按照其级别得到处理6、描述组织采取适当的控制措施的文档是（）A、管理手册B、适用性声明C、风险处置计划D、风险评估程序7、信息安全管理中，支持性基础设施指：（）A、供电、通信设施B、消防、防雷设施C、空调及新风系统、水气暖供应系统D、以上全部8、形成ISMS审核发现时，不需要考虑的是（）A、所实施控制措施与适用性声明的符合性B、适用性声明的完备性和适宜性C、所实施控制措施的时效性D、所实施控制措施的有效性9、在考虑网络安全策略时，应该在网络安全分析的基础上从以下哪两个方面提出相应的对策？A、硬件和软件B、技术和制度C、管理员和用户D、物理安全和软件缺陷10、信息安全管理体系是用来确定（)A、组织的管理效率B、产品和服务符合有关法律法规程度C、信息安全管理体系满足审核准则的程度D、信息安全手册与标准的符合程度11、以下不属于信息安全事态或事件的是：A、服务、设备或设施的丢失B、系统故障或超负载C、物理安全要求的违规D、安全策略变更的临时通知12、管理员通过桌面系统下发IP、MAC绑定策略后，终端用户修改了IP地址，对其的处理方式不包括(）A、自动恢复其IP至原绑定状态B、断开网络并持续阻断C、弹出提示街口对其发出警告D、锁定键盘鼠标13、桌面系统级联状态下，关于上级服务器制定的强制策略，以下说法正确的是（）A、下级管理员无权修改，不可删除B、下级管理员无权修改，可以删除C、下级管理员可以修改，可以删除D、下级管理员可以修改，不可删除14、风险处置计划，应（）A、获得风险责任人的批准，同时获得对残余风险的批准B、获得最高管理者的批准，同时获得对残余风险的批准C、获得风险部门负责人的批准，同时获得对残余风险的批准D、获得管理者代表的批准，同时获得对残余风险的批准15、风险评价是指（）A、系统地使用信息来识别风险来源和评估风险B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C、指导和控制一个组织相关风险的协调活动D、以上都对16、组织确定的信息安全管理体系范围应（）A、形成文件化信息并可用B、形成记录并可用C、形成文件和记录并可用D、形成程字化信息并可用17、局域网环境下与大型计算机环境下的本地备份方式在（）方面有主要区别。
2022年9月CCAA注册审核员ISMS信息安全管理体系模拟试题含解析
2022年9月CCAA注册审核员ISMS信息安全管理体系模拟试题一、单项选择题1、应定期评审信息系统与组织的（）的符合性。
A、信息安全目标和标准B、信息安全方针和策C、信息安全策略和制度D、信息安全策略和标准2、()是指系统、服务或网络的一种可识别的状态的发生，它可能是对信息安全方针的违反或控制措施的失效，或是和安全相关的一个先前未知的状态A、信息安全事态B、信息安全事件C、信息安全事故D、信息安全故障3、根据GB/T22080-2016中控制措施的要求，关于技术脆弱性管理，以下说法正确的是：（）A、技术脆弱性应单独管理，与事件管理没有关联B、了解某技术脆弱性的公众范围越广，该脆弱性对于组织的风险越小C、针对技术脆弱性的补丁安装应按变更管理进行控制D、及时安装针对技术脆弱性的所有补丁是应对脆弱性相关风险的最佳途径4、关于文件管理下列说法错误的是（）A、文件发布前应得到批准，以确保文件是适宜的B、必要时对文件进行评审、更新并再次批准C、应确保文件保持清晰，易于识别D、作废文件应及时销毁，防止错误使用5、容量管理的对象包括（）A、服务器内存B、网络通信带宽C、人力资源D、以上全部6、虚拟专用网(VPN)的数据保密性，是通过什么实现的?（）A、安全接口层(sSL,SecureSocketsLayer〉B、风险隧道技术(Tunnelling)C、数字签名D、风险钓鱼7、关于顾客满意，以下说法正确的是：（）A、顾客没有抱怨，表示顾客满意B、信息安全事件没有给顾客造成实质性的损失，就意味着顾客满意C、顾客认为其要求己得到满足，即意味着顾客满意D、组织认为顾客要求己得到满足，即意味着顾客满意8、关于《中华人民共和国网络安全法》中的“三同步”要求，以下说法正确的是A、建设关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B、建设三级以上信息系统须保证安全子系统同步规划、同步建设、同步使用C、建设机密及以上信息系统须保证安全子系统同步规划、同步建设、同步使用D、以上都不对9、在考虑网络安全策略时，应该在网络安全分析的基础上从以下哪两个方面提出相应的对策？A、硬件和软件B、技术和制度C、管理员和用户D、物理安全和软件缺陷10、组织应（）。
2021年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系含解析
2021年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系一、单项选择题1、关于信息安全管理体系认证，以下说法正确的是（）A、认证决定人员不宜推翻审核组的正面结论B、认证决定人员不宜推翻审核组的负面结论C、认证机构应对客户组织的ISMS至少进行一次完整的内部审核D、认证机构必须遵从客户组织规定的内部审核和管理评审的周期2、信息系统的变更管理包括（）A、系统更新的版本控制B、对变更申请的审核过程C、变更实施前的正式批准D、以上全部3、系统备份与普通数据备份的不同在于，它不仅备份系统屮的数据，还备份系统中安装的应用程序、数据库系统、用户设置、系统参数等信息，以便迅速（）。
A、恢复全部程序B、恢复网络设置C、恢复所有数据D、恢复整个系统4、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域5、口令管理系统应该是（）,并确保优质的口令A、唯一式B、交互式C、专人管理式D、A+B+C6、《信息安全等级保护管理办法》规定，应加强涉密信息系统运行中的保密监督检查对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评A、半年B、1年C、1,5年D、2年7、《信息安全管理体系认证机构要求》中规定，第二阶段审核（）进行A、在客户组织的场所B、在认证机构以网络访问的形式C、以远程视频的形式D、以上都对8、在每天下午5点使计算机结束时断开终端的连接属于（）A、外部终端的物理安全B、通信线的物理安全C、窃听数据D、网络地址欺骗9、关于GB/T22081-2016/ISO/IEC27002:2013,以下说法错误的是（）A、该标准是指南类标准B、该标准中给出了IS0/IEC27001附录A中所有控制措施的应用指南C、该标准给出了ISMS的实施指南D、该标准的名称是《信息技术安全技术信息安全管理实用规则》10、—家投资顾问商定期向客户发送有关财经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾问商的公钥加密邮件的HASH值C、电子邮件发送前，用投资顾问商的私钥数字签名邮件D、电子邮件发送前，用投资顾问商的私钥加密邮件11、第三方认证审核时，对于审核提出的不符合项，审核组应：（）A、与受审核方共同评审不符合项以确认不符合的条款B、与受审核方共同评审不符合项以确认不符合事实的准确性C、与受审核方共同评审不符合以确认不符合的性质D、以上都对12、《信息安全等级保护管理办法》规定,应加强涉密信息系统运行中的保密监督检查对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评。
2018年11月ISMS信息安全管理体系审核员考试试题(网友回忆版)
2018年11月ISMS信息安全管理体系审核员考试试题（网友回忆版）[单选题]1.安全标签是一种访（江南博哥）问控制机制，它适用于下列哪一种访问控制策略？（）A.基本角色的策略B.基于身份的策略C.用户向导的策略D.强制性访问控制策略参考答案：D[单选题]3.文件化信息创建和更新时，组织应确保适当的（）A.对适宜性和有效性的评审和批准B.对充分性和有效性的测量和批准C.对适宜性和充分性的测量和批准D.对适宜性和充分性的评审和批准参考答案：D[单选题]5.从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A.计算机舞弊B.欺骗或胁迫C.计算机偷窃D.计算机破坏参考答案：B[单选题]6.残余风险是指:（）A.风险评估前，以往活动遗留的风险B.风险评估后，对以往活动遗留的风险的估值C.风险处置后剩余的风险，比可接受风险低D.风险处置后剩余的风险，不一定比可接受风险低参考答案：D[单选题]7.在规划如何达到信息安全目标时，组织应确定（）A.要做什么，有什么可用资源，由谁负责，什么时候开始，一次何测量结果B.要做什么，需要什么资源，由谁负责，什么时候完成，如何测量结果C.要做什么，需要什么资源，由谁负贵，什么时候完成如何评价结果D.要做什么，有什么可用资源，由谁执行，什么时候开始，如何评价结果参考答案：C[单选题]8.当获得的审核证据表明不能达到审核目的时，申核组长可以（）A.宣布停止受审核方的生产/服务活动B.向审核委托方和受审核方报告理中以确定适当的措施C.宣布取消末次会议D.以上各项都不可以参考答案：B[单选题]9.风险处置计划，应（）A.获得风险责任人的批准，同时获得对残余风险的批准B.获得最高管理者的批准，同时获得对残余风险的批准C.获得风险部门负责人的批准，同时获得对残余风险的批准D.获得管理者代表的批准，同时获得对残余风险的批准参考答案：A[单选题]10.GB/T22080-2016中所指资产的价值取决于（）A.资产的价格B.资产对于业务的敏感程度C.资产的折损率D.以上全部参考答案：B[单选题]11.虚拟专用网（VPN）的数据保密性，是通过什么实现的？（）A.安全接口层（sSL，SecureSocketsLayer"/>B.风险隧道技术（Tunnelling）C.数字签名D.风险钓鱼参考答案：B[单选题]12.关于《中华人民共和国保密法》，以下说法正确的是:（）A.该法的目的是为了保守国家秘密而定B.该法的执行可替代以ISO/IEC27001为依据的信息安全管理体系C.该法适用于所有组织对其敏感信息的保护D.国家秘密分为秘密、机密、绝密三级，由组织自主定级、自主保护参考答案：A[单选题]13.关于《中华人民共和国网络安全法》中的“三同步”要求，以下说法正确的是A.指关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B.指所有信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用C.指涉密信息系统建设时须保证安全技术措施同步规划、同步建设、同步使用D.指网信办指定信息系统建设时须保证安全技术措施同步规划、同步建设，同步使用参考答案：A[单选题]14.对于交接区域的信息安全管理，以下说法正确的是:（）A.对于进入组织的设备设施予以检查验证，对于离开组织的设备设施则不必验证B.对于离开组织的设备设施予以检查验证，对于进入组织的设备设施则不必验证C.对于进入和离开组织的设备设施均须检查验证D.对于进入和离开组织的设备设施，验证携带者身份信息;可替代对设备设施的验证参考答案：C[单选题]15.依据GB/T22080/ISO/1EC27001，关于网络服务的访问控制策略，以下正确的是（）A.没有陈述为禁止访问的网络服务，视为允许方问的网络服务B.对于允许访问的网络服务，默认可通过无线、VPN等多种手段链接C.对于允许访问的网络服务，按照规定的授权机制进行授权D.以上都对参考答案：C[单选题]16.组织应（）A.定义和使用安全来保护敏感或关键信息和信息处理没施的区域B.识别和使用安全来保护敏感或关键信息和信息处理没施的区域C.识别和控制安全来保护敏感或关键信息和信息处理没施的区域D.定义和控控安全来保护敏感或关键信息和信息处理没施的区域参考答案：A[单选题]17.关于信息安全产品的使用，以下说法正确的是:（）A.对于所有的信息系統，信息安全产品的核心技术、关鍵部件须具有我国自主知识产权B.对于三级以上信息系統，己列入信息安全产品认征目录的，应取得国家信息安全产品人证机构颁发的认证证书C.对于四级以上信息系銃、信息安全广品研制的主要技术人员须无犯罪记录D.对于四级以上信息系統，信息安全声品研制单位须声明没有故意留有或设置漏洞参考答案：B[单选题]18.关于容量管理，以下说法不正确的是（）A.根据业务对系统性能的需求，设置阈值和监视调整机制B.针对业务关键性，设置资源占用的优先级C.对于关键业务，通过放宽阈值以避免或减少报警的干扰D.依据资源使用趋势数据进行容量规划参考答案：C[单选题]19.若通过桌面系统对终端实行IP、MAC绑定，该网络IP地址分配方式应为（）A.静态B.动态C.均可D.静态达到50%以上即可参考答案：A[单选题]20.国家秘密的保密期限应为:（）A.绝密不超过三十年，机密不超过二十年，秘密不超过十年B.绝密不低于三十年，机密不低于二十年，秘密不低于十年C.绝密不超过二十五年，机密不超过十五年，秘密不超过五年D.绝密不低于二十五年，机密不低于十五年，秘密不低于五年参考答案：A参考解析：国家秘密的保密期限，除有特殊规定外，绝密级事项不超过三十年，机密级事项不超过二十年，秘密级事项不超过十年。
2019年05月ISMS信息安全管理体系审核员考试试题(网友回忆版)
2019年05月ISMS信息安全管理体系审核员考试试题（网友回忆版）[单选题]1.下列中哪个活动是（江南博哥）组织发生重大变更后一定要开展的活动？（）A.对组织的信息安全管理体系进行变更B.执行信息安全风险评估C.开展内部审核D.开展管理评审参考答案：B[单选题]3.对于外部方提供的软件包，以下说法正确的是：（）A.组织的人员可随时对其进行适用性调整B.应严格限制对软件包的调整以保护软件包的保密性C.应严格限制对软件包的调整以保护软件包的完整性和可用性D.以上都不对参考答案：D[单选题]5.从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A.计算机舞弊B.欺骗或胁迫C.计算机偷窃D.计算机破坏参考答案：B[单选题]6.当获得的审核证据表明不能达到审核目的时，审核组长可以（）A.宣布停止受审核方的生产/服务活动B.向审核委托方和受审核方报告理由以确定适当的措施C.宣布取消末次会议D.以上各项都不可以参考答案：B[单选题]7.在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级。
A.3B.4C.5D.6参考答案：C[单选题]8.假如某人向一台远程主机发送特定的数据包，却不想远程主机响应其的数据包，说明此人能使用的是下列哪一种类型的攻击手段？（）A.特洛伊木马B.地址欺骗C.缓冲区溢出D.拒绝服务参考答案：B[单选题]9.控制影响信息安全的变更，包括（）A.组织、业务活动、信息及处理设施和系统变更B.组织、业务过程、信息处理设施和系统变更C.组织、业务过程、信息及处理设施和系统变更D.组织、业务活动、信息处理设施和系统变更参考答案：B[单选题]10.第三方认证审核时确定审核范围的程序是：（）A.组织提出、与审核组协商、认证机构确认、认证合同规定B.组织申请、认证机构评审、认证合同规定、审核组确认C.组织提出、与咨询机构协商、认证机构确认D.认证机构提出、与组织协商、审核组确认、认证合同规定参考答案：B[单选题]11.以下描述不正确的是（）A.防范恶意和移动代码的目标是保护软件和信息的完整性B.纠正措施的目的是为了消除不符合的原因，防止不符合的再发生C.风险分析、风险评价、风险处理的整个过程称为风险管理D.控制措施可以降低安全事件发生的可能性，但不能降低安全事件的潜在影响参考答案：D[单选题]12.ISMS管理评审的输出应包括（）A.可能影响ISMS的任何变更B.以往风险评估没有充分强调的脆弱点或威胁C.风险评估和风险处理计划的更新D.改进的建议参考答案：D[单选题]13.《信息安全管理体系认证机构要求》中规定，第二阶段审核（）进行A.在客户组织的场所B.在认证机构以网络访问的形式C.以远程视频的形式D.以上都对参考答案：A[单选题]14.审核员在信息安全控制措施评审过程中采用的评审方法不包括（）。
2021年第一期CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识含解析
2021年第一期CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识一、单项选择题1、审核发现是指（）A、审核中观察到的事实B、审核的不符合项C、审核中收集到的审核证据对照审核准则评价的结果D、审核中的观察项2、根据《中华人民共和国国家秘密法》，国家秘密的最高密级为(）A、特密B、绝密C、机密D、秘密3、文件化信息创建和更新时，组织应确保适当的（）A、对适宜性和有效性的评审和批准B、对充分性和有效性的测量和批准C、对适宜性和充分性的测量和批准D、对适宜性和充分性的评审和批准4、信息安全残余风险是（）。
A、没有处置完成的风险B、没有评估的风险C、处置之后仍存在的风险D、处置之后没有报告的风险5、ISMS文件的多少和详细程度取于A、组织的规模和活动的类型B、过程及其相互作用的复杂程度C、人员的能力D、A+B+C6、数字签名可以有效对付哪一类信息安全风险？A、非授权的阅读B、盗窃C、非授权的复制D、篡改7、以下对GB/T22081-2016/IS0/IEC27002:2013标准的描述，正确的是（）A、该标准属于要求类标准B、该标准属于指南类标准C、该标准可用于一致性评估D、组织在建立ISMS时，必须满足该标准的所有要求8、审核计划中不包括（）。
A、本次及其后续审核的时间安排B、审核准则C、审核组成员及分工D、审核的日程安排9、公司A在内审时发现部分员工计算机开机密码少于6位，公司文件规定员工计算机密码必须6位及以上，那么中哪一项不是针对该问题的纠正措施？()A、要求员工立即改正B、对员工进行优质口令设置方法的培训C、通过域控进行强制管理D、对所有员工进行意识教育10、创建和更新文件化信息时，组织应确保适当的（）A、对适宜性和有效性的评审和批准B、对充分性和有效性的测量和批准C、对适宜性和充分性的测量和批准D、对适宜性和充分性的评审和批准11、保密性是指（）A、根据授权实体的要求可访问的特性B、信息不被未授权的个人、突体或过程利用或知悉的特性C、保护信息的准确和完整的特性D、以上都不対12、以下不属于信息安全事态或事件的是：A、服务、设备或设施的丢失B、系统故障或超负载C、物理安全要求的违规D、安全策略变更的临时通知13、桌面系统级联状态下，关于上级服务器制定的强制策略，以下说法正确的是（）A、下级管理员无权修改，不可删除B、下级管理员无权修改，可以删除C、下级管理员可以修改，可以删除D、下级管理员可以修改，不可删除14、设置防火墙策略是为了(）A、进行访问控制B、进行病毒防范C、进行邮件内容过滤D、进行流量控制15、下列哪个选项不属于审核组长的职责?A、确定审核的需要和目的B、组织编制现场审核有关的工作文件C、主持首末次会议和市核组会议D、代表审核方与受中核方领导进行沟通16、过程是指（）A、有输入和输出的任意活动B、通过使用资源和管理，将输入转化为输出的活动C、所有业务活动的集合D、以上都不对17、ISO/IEC27001描述的风险分析过程不包括（）A、分析风险发生的原因B、确定风险级别C、评估识别的风险发生后，可能导致的潜在后果D、评估所识别的风险实际发生的可能性18、根据GB/T22080-2016标准，审核中下列哪些章节不能删减(）。
2022年第三期CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识含解析
2022年第三期CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识一、单项选择题1、信息安全管理体系是用来确定（)A、组织的管理效率B、产品和服务符合有关法律法规程度C、信息安全管理体系满足审核准则的程度D、信息安全手册与标准的符合程度2、涉及运行系统验证的审计要求和活动，应（）A、谨慎地加以规划并取得批准，以便最小化业务过程的中断B、谨慎地加以规划并取得批准，以便最大化保持业务过程的连续C、谨慎地加以实施并取得批准，以便最小化业务过程的中断D、谨慎地加以实施并取得批准，以便最大化保持业务过程的连续3、下列措施中，（）是风险管理的内容。
A、识别风险B、风险优先级评价C、风险处置D、以上都是4、ISMS文件的多少和详细程度取决于()A、组织的规模和活动的类型B、过程及其相互作用的复杂程度C、人员的能力D、以上都对5、容量管理的对象包括（）A、信息系统内存B、办公室空间和基础设施C、人力资源D、以上全部6、控制影响信息安全的变更，包括（)A、组织、业务活动、信息及处理设施和系统变更B、组织、业务过程、信息处理设施和系统变更C、组织、业务过程、信息及处理设施和系统变更D、组织、业务活动、信息处理设施和系统变更7、容量管理的对象包括（）A、服务器内存B、网络通信带宽C、人力资源D、以上全部8、风险识别过程中需要识别的方面包括：资产识别、识别威胁、识别现有控制措施、（）。
A、识别可能性和影响B、识别脆弱性和识别后果C、识别脆弱性和可能性D、识别脆弱性和影响9、如果信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，则应具备的保护水平为：（）A、三级B、二级D、五级10、以下可表明知识产权方面符合GB/T22080/ISO/IEC27001要求的是：（）A、禁止安装未列入白名单的软件B、禁止使用通过互联网下载的免费软件C、禁止安装未经验证的软件包D、禁止软件安装超出许可权规定的最大用户数11、关于互联网信息服务，以下说法正确的是A、互联网服务分为经营性和非经营性两类，其中经营性互联网信息服务应当在电信主管部门备案B、非经营性互联网信息服务未取得许可不得进行C、从事经营性互联网信息服务，应符合《中华人民共和国电信条例》规定的要求D、经营性互联网服务，是指通过互联网向上网用户无尝提供具有公开性、共享性信息的服务活动12、制定信息安全管理体系方针，应予以考虑的输入是（）A、业务战略B、法律法规要求C、合同要求D、以上全部13、PKI的主要组成不包括(）A、SSLB、CRC、CA14、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
2022年第四期CCAA国家注册审核员考试题目—ISMS信息安全管理体系含解析
2022年第四期CCAA国家注册审核员考试题目—ISMS信息安全管理体系一、单项选择题1、根据GB/T22080-2016/ISO/IEC27001:2013标准，以下做法不正确的是（）A、保留含有敏感信息的介质的处置记录B、离职人员自主删除敏感信息的即可C、必要时采用多路线路供电D、应定期检查机房空调的有效性2、最高管理层应（），以确保信息安全管理体系符合本标准要求。
A、分配职责与权限B、分配岗位与权限C、分配责任和权限D、分配角色和权限3、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保4、你所在的组织正在计划购置一套适合多种系统的访问控制软件包来保护关键信息资源，在评估这样一个软件产品时最重要的标准是什么?（）A、要保护什么样的信息B、有多少信息要保护C、为保护这些重要信息需要准备多大的投入D、不保护这些重要信息,将付出多大的代价5、下列说法不正确的是（）A、残余风险需要获得管理者的批准B、体系文件应能够显示出所选择的控制措施回溯到风险评估和风险处置过程的结果C、所有的信息安全活动都必须记录D、管理评审至少每年进行一次6、关于备份，以下说法正确的是(）A、备份介质中的数据应定期进行恢复测试B、如果组织删减了“信息安全连续性”要求，同机备份或备份本地存放是可接受的C、发现备份介质退化后应考虑数据迁移D、备份信息不是管理体系运行记录，不须规定保存期7、计算机信息系统安全专用产品是指：（）A、用于保护计算机信息系统安全的专用硬件和软件产品B、按安全加固要求设计的专用计算机C、安装了专用安全协议的专用计算机D、特定用途（如高保密）专用的计算机软件和硬件产品8、口令管理系统应该是（）,并确保优质的口令A、唯一式B、交互式C、专人管理式D、A+B+C9、确定资产的可用性要求须依据（）。
A、授权实体的需求B、信息系统的实际性能水平C、组织可支付的经济成本D、最高管理者的决定10、最高管理者应（）。
2021年10月ISMS信息安全管理体系审核员考试试题(网友回忆版)
2021年10月ISMS信息安全管理体系审核员考试试题（网友回忆版）[单选题]1.ISO/IEC2（江南博哥）7001描述的风险分析过程不包括()A.分析风险发生的原因B.确定风险级别C.评估识别的风险发生后，可能导致的潜在后果D.评估所识别的风险实际发生的可能性参考答案：A[单选题]4.在以下认为的恶意攻击行为中，属于主动攻击的是()A.数据窃听B.误操作C.数据流分析D.数据篡改参考答案：D[单选题]5.ISO/IEC27001所采用的过程方法是()A.PPTR方法B.SMART方法C.PDCA方法D.SWOT方法参考答案：C[单选题]6.以下哪些可由操作人员执行？()A.审批变更B.更改配置文件C.安装系统软件D.添加/删除用户参考答案：C[单选题]7.《中华人民共和国认证认可条例》规定，认证人员自被撤销职业资格之日起()内，认可机构不再接受其注册申请。
A.2年B.3年C.4年D.5年参考答案：D[单选题]8.《信息技术安全技术信息安全治理》对应的国际标准号为()A.ISO/IEC27011B.ISO/IEC27012C.ISO/IEC27013D.ISO/IEC27014参考答案：D[单选题]9.文件化信息指()A.组织创建的文件B.组织拥有的文件C.组织要求控制和维护的信息及包含该信息的介质D.对组织有价值的文件参考答案：C[单选题]10.由认可机构对认证机构、检测机构、实验室从事评审、审核的认证活动人员的能力和执业资格，予以承认的合格评定活动是()A.认证B.认可C.审核D.评审参考答案：B[单选题]11.根据《中华人民共和国国家秘密法》，国家秘密的最高密级为()A.特密B.绝密C.机密D.秘密参考答案：B[单选题]12.被黑客控制的计算机常被称为()A.蠕虫B.肉鸡C.灰鸽子D.木马参考答案：B[单选题]13.防火墙提供的接入模式不包括()A.透明模式B.混合模式C.网关模式D.旁路接入模式参考答案：D[单选题]14.设置防火墙策略是为了()A.进行访问控制B.进行病毒防范C.进行邮件内容过滤D.进行流量控制参考答案：A[单选题]15.组织在确定与ISMS相关的内部和外部沟通需求时可以不包括()A.沟通周期B.沟通内容C.沟通时间D.沟通对象参考答案：A[单选题]16.审核抽样时，可以不考虑的因素是()A.场所差异B.管理评审的结果C.最高管理者D.内审的结果参考答案：C[单选题]17.PKI的主要组成不包括()A.SSLB.CRC.CAD.RA参考答案：A[单选题]18.ISO/IEC27701是()A.是一份基于27002的指南性标准B.是27001和27002的隐私保护方面的扩展C.是ISMS族以外的标准D.在隐私保护方面扩展了270001的要求参考答案：B[单选题]19.根据《信息安全等级保护管理办法》,对于违反信息安全法律、法规行为的行政处罚中()是较轻的处罚方式A.警告B.罚款C.没收违法所得D.吊销许可证参考答案：A[单选题]20.关于内部审核下面说法不正确的是()。
2022年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系含解析
2022年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系一、单项选择题1、根据ISO/IEC27001中规定，在决定讲行第二阶段审核之间，认证机构应审查第一阶段的审核报告，以便为第二阶段选择具有（）A、所需审核组能力的要求B、客户组织的准备程度C、所需能力的审核组成员D、客户组织的场所分布2、关于《中华人民共和国网络安全法》中的“三同步”要求，以下说法正确的是A、指关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B、指所有信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用C、指涉密信息系统建设时须保证安全技术措施同步规划、同步建设、同步使用D、指网信办指定信息系统建设时须保证安全技术措施同步规划、同步建设,同步使用3、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保4、组织应（），以确信相关过程按计划得到执行。
A、处理文件化信息达到必要的程度B、保持文件化信息达到必要的程度C、保持文件化信息达到可用的程度D、产生文件化信息达到必要的程度5、PKI的主要组成不包括(）A、SSLB、CRC、CAD、RA6、漏洞检测的方法分为（）A、静态检测B、动态测试C、混合检测D、以上都是7、风险处置是（）A、识别并执行措施来更改风险的过程B、确定并执行措施来更改风险的过程C、分析并执行措施来更改风险的过程D、选择并执行措施来更改风险的过程8、下列哪一种情况下，网络数据管理协议(NDM.P)可用于备份?（）A、需要使用网络附加存储设备(NAS)时B、不能使用TCP/IP的环境时C、需要备份旧的备份系统不能处理的文件许可时中先创学D、要保证跨多个数据卷的备份连续、一致时9、依据GB/T22080-2016/IS(VIEC27001:2013标准，以下说法正确的是（）A、对于进入组织的设备和资产须验证其是否符合安全策略，对于离开组织的设备设施则不须验证B、对于离开组织的设备和资产须验证其合格证，对于进入组织的设备设施则不必验证C、对于离开组织的设备和资产须验证相关授权信息D、对于进入和离开组织的设备和资产，验证携带者身份信息，可替代对设备设施的验证10、监督、检查、指导计算机信息系统安全保护工作是（）对计算机信息系统安全保护履行法定职责之一A、电信管理机构B、公安机关C、国家安全机关D、国家保密局11、信息安全管理体系中提到的“资产责任人”是指:（）A、对资产拥有财产权的人B、使用资产的人C、有权限变更资产安全属性的人D、资产所在部门负责人12、组织应()与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。