时间:2019-12-18 01:45:11
1、单项选择题 根据PPDR模型：（）
A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间
2、单项选择题 下列哪一项体现了适当的职责分离？（）
A.磁带操作员被允许使用系统控制台。
B.操作员是不允许修改系统时间。
C.允许程序员使用系统控制台。
D.控制台操作员被允许装载磁带和磁盘。
3、单项选择题 对系统安全需求进行评审，以下那类人不适合参与（）
A.系统分析员
B.业务代表
C.安全专家
D.合规代表
4、单项选择题 网络安全一般是指网络系统的硬件、软件及其（）受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。
A、系统中的文件
B、系统中的图片
C、系统中的数据
D、系统中的视频
5、单项选择题 下列岗位哪个在招聘前最需要进行背景调查？（）
A.采购人员
B.销售人员
C.财务总监
D.行政人员
6、单项选择题 有关信息安全事件的描述不正确的是（）
A.信息安全事件的处理应该分类、分级
B.信息安全事件的数量可以反映企业的信息安全管控水平
C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小
D.信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生
7、单项选择题 应急响应流程一般顺序是（）
A.信息安全事件通告、信息安全事件评估、应急启动、应急处置和后期处置
B.信息安全事件评估、信息安全事件通告、应急启动、应急处置和后期处置
C.应急启动、应急处置、信息安全事件评估、信息安全事件通告、后期处置
D.信息安全事件评估、应急启动、信息安全事件通告、应急处置和后期处置
8、单项选择题 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？（）
A.约定的标准及相关法律的要求
B.已识别的安全需求
C.控制措施有效实施和维护
D.ISO13335风险评估方法
9、单项选择题 “进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。其中，“看不懂”是指下面那种安全服务：（）
A.数据加密
B.身份认证
C.数据完整性
D.访问控制
10、单项选择题 在完成了业务影响分析（BIA）后，下一步的业务持续性计划应该是什么（）
A.测试和维护业务持续性计划
B.制定一个针对性计划
C.制定恢复策略
D.实施业务持续性计划
11、问答题 网络安全的网络设备防护的内容是什么？
12、单项选择题 广义的网络信息保密性是指（）
A、利用密码技术对信息进行加密处理，以防止信息泄漏和保护信息不为非授权用户掌握
B、保证数据在传输、存储等过程中不被非法修改
C、对数据的截获、篡改采取完整性标识的生成与检验技术
D、保守国家机密，或是未经信息拥有者的许可，不得非法泄漏该保密信息给非授权人员
13、单项选择题 下面哪一种方式，能够最有效的约束雇员只能履行其分内的工作？（）
A.应用级访问控制
B.数据加密
C.卸掉雇员电脑上的软盘和光盘驱动器
D.使用网络监控设备
14、单项选择题 发现一台被病毒感染的终端后，首先应：（）
A.拔掉网线
B.判断病毒的性质、采用的端口
C.在网上搜寻病毒解决方法
D.呼叫公司技术人员
15、判断题 在线调查进入门槛低，信息发布自由度和开放度很高，具有跟帖评论、推荐阅读、RSS订阅等的互动功能。
16、单项选择题 维持对于信息资产的适当的安全措施的责任在于（）
A.安全管理员
B.系统管理员
C.数据和系统的所有者
D.系统作业人员
17、单项选择题 在BS779-2：2002版中，下列对P-D-C-A过程的描述错误的是？（）
A.P代表PLAN，即建立ISMS环境&风险评估
B.D代表DO，即实现并运行ISMS
C.C代表CHECK，即监控和审查ISMS
D.A代表ACT，即执行ISMS
18、单项选择题 计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：（）
A.系统管理员
B.律师
C.恢复协调员
D.硬件和软件厂商
19、单项选择题 数据库访问控制策略中，（）是只让用户得到有相应权限的信息，这些信息恰到可以让用户完成自己的工作，其他的权利一律不给。
A、最大程度共享策略
B、颗粒大小策略
C、存取类型控制策略
D、只需策略
20、问答题 RSA采用哪个数量原理？
21、判断题 电子商务的网络零售不包括B2C和2C。
22、单项选择题 在未受保护的通信线路上传输数据和使用弱口令是一种？（）
A.弱点
B.威胁
C.可能性
D.影响
23、单项选择题 组织中对于每个独立流程都有对应的业务连续性计划，但缺乏全面的业务连续性计划，应采取下面哪一项行动？（）
A.建议建立全面的业务连续性计划
B.确认所有的业务连续性计划是否相容
C.接受已有业务连续性计划
D.建议建立单独的业务连续性计划
24、单项选择题 一个单位在处理一台储存过高密级信息的计算机是首先应该做什么？（）
A.将硬盘的每一个比特写成“O”
B.将硬盘彻底毁坏
C.选择秘密信息进行删除
D.进行低级格式化
25、单项选择题 “如果一条链路发生故障，那么只有和该链路相连的终端才会受到影响”，这一说法是适合于以下哪一种拓扑结构的网络的？（）
A.星型
B.树型
C.环型
D.复合型
26、单项选择题 在一个分布式环境中，以下哪一项能够最大程度减轻服务器故障的影响？（）
A.冗余路径
B.（服务器）集群
C.拨号备份链路
D.备份电源
27、单项选择题 下面对于SSH的说法错误的是？（）
A.SSH是SecureShell的简称
B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证
C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D.SSH2比SSH1更安全
28、单项选择题 应急响应哪一个阶段用来降低事件再次发生的风险（）
A.遏制
B.根除
C.跟踪
D.恢复
29、单项选择题 在进行人员的职责定义时，在信息安全方面应考虑什么因素？（）
A.人员的背景、资质的可靠性
B.人员需要履行的信息安全职责
C.人员的工作能力
D.人员沟通、协调能力
30、单项选择题 降低风险的控制措施有很多，下面哪一个不属于降低风险的措施？（）
A.在网络上部署防火墙
B.对网络上传输的数据进行加密
C.制定机房安全管理制度
D.购买物理场所的财产保险
31、单项选择题 系统地识别和管理组织所应用的过程，特别是这些过程之间的相互作用，称为什么？（）
A.戴明循环
B.过程方法
C.管理体系
D.服务管理
32、单项选择题 SMTP连接服务器使用端口（）
A.21
B.25
C.80
D.110
33、单项选择题 以下哪些不是介质类资产：（）
A.纸质文档
B.存储介质
C.软件介质
D.凭证
34、单项选择题 黑客进行攻击的最后一个步骤是：（）
A.侦查与信息收集
B.漏洞分析与目标选定
C.获取系统权限
D.打扫战场、清楚证据
35、单项选择题 数据保护最重要的目标是以下项目中的哪一个（）
A.识别需要获得相关信息的用户
B.确保信息的完整性
C.对信息系统的访问进行拒绝或授权
D.监控逻辑访问
36、单项选择题 下列哪一项准确描述了哈希算法、数字签名和对称密钥算法所提供的功能？（）
A.身份鉴别和完整性，完整性，机密性和完整性
B.完整性，身份鉴别和完整性，机密性和可用性
C.完整性，身份鉴别和完整性，机密性
D.完整性和机密性，完整性，机密性
37、单项选择题 OSI的第五层是：（）
A.会话层
B.传输层
C.网络层
D.表示层
38、单项选择题 某公司在测试灾难恢复计划时是发现恢复业务运营所必要的关键数据没有被保留，可能由于什么没有明确导致的？（）
A.服务中断的时间间隔
B.目标恢复时间（RTO）
C.服务交付目标
D.目标恢复点（RPO）
39、单项选择题 对业务应用系统授权访问的责任属于：（）
A.数据所有者
B.安全管理员
C.IT安全经理
D.申请人的直线主管
40、单项选择题 评估BCP时，下列哪一项应当最被关注：（）
A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体BCP被文档化，但详细恢复步骤没有规定
D.宣布灾难的职责没有被识别
41、单项选择题 信息安全审核是指通过审查、测试、评审等手段，检验风险评估和风险控制的结果是否满足信息系统的安全要求，这个工作一般由谁完成？（）
A.机构内部人员
B.外部专业机构
C.独立第三方机构
D.以上皆可
42、单项选择题 在进行风险分析的时候，发现预测可能造成的风险的经济损失时有一定困难。为了评估潜在的损失，应该：（）
A.计算相关信息资产的摊销费用
B.计算投资的回报
C.应用定性的方法进行评估
D.花费必要的时间去评估具体的损失的金额
43、单项选择题 有效减少偶然或故意的未授权访问、误用和滥用的有效方法是如下哪项？（）
A.访问控制
B.职责分离
C.加密
D.认证
44、单项选择题 下面哪一项不是ISMS Check阶段的工作？（）
A.安全事件响应
B.安全内部审核
C.管理评审
D.更新安全计划
45、单项选择题 下列哪项是系统问责所需要的？（）
A.授权。
B.多人共用同一帐号。
C.审计机制。
D.系统设计的形式化验证
46、单项选择题 在信息处理设施（IPF）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动？（）
A.验证与热门站点的兼容性
B.检查实施报告
C.进行灾难恢复计划的演练
D.更新信息资产清单
47、单项选择题 （）哪个版本的Windows允许对隐藏文件加密？
A、Windows98
B、WindowsME
C、Windows2000
D、WindowsServer2003
48、单项选择题 外部组织使用组织敏感信息资产时，以下正确的做法是？（）
A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。
49、单项选择题 下面对自由访问控制（DAC）描述正确的是（）
A.比较强制访问控制而言不太灵活
B.基于安全标签
C.关注信息流
D.在商业环境中广泛使用
50、单项选择题 减少与钓鱼相关的风险的最有效控制是：（）
A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训
51、单项选择题 在某个公司中，以下哪个角色最适合评估信息安全的有效性？（）
A.公司的专家
B.业务经理
C.IT审计员
D.信息安全经理
52、单项选择题 下列哪一项是DOS攻击的一个实例？（）
A.SQL注入
B.IPSpoof
C.Smurf攻击
D.字典破解
53、单项选择题 FINGER服务使用哪个TCP端口？（）
A.69
B.119
C.79
D.70
54、单项选择题 （）的主要任务是指对数据库系统应用程序或用户使用资源的情况进行记录和审计，用以保证数据的安全。
A、数据库备份
B、数据库恢复
C、数据库审计
D、数据库转储
55、单项选择题 应用软件测试的正确顺序是：（）
A.集成测试、单元测试、系统测试、验收测试
B.单元测试、系统测试、集成测试、验收测试
C.验收测试、单元测试、集成测试、系统测试
D.单元测试、集成测试、系统测试、验收测试
56、单项选择题 设施、网络、平台、介质、应用类信息资产的保密期限为（）
A.3年
B.长期
C.4月
D.短期
57、填空题 （）是一项用来表述课题研究进展及结果的报告形式。
58、单项选择题 以下对企业信息安全活动的组织描述不正确的是（）
A.企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施
59、单项选择题 下列对于蠕虫病毒的描述错误的是：（）
A.蠕虫的传播无需用户操作
B.蠕虫会消耗内存或网络带宽，导致DOS
C.蠕虫的传播需要通过“宿主”程序或文件
D.蠕虫程序一般由“传播模块”、“隐藏模块”和“目的功能模块”构成
60、单项选择题 在WindowsNT/2K中，哪些成员可以修改新建文件或文件夹的默认共享设置？（）
A.域管理员
B.域用户
C.所有人
D.管理员
61、单项选择题 测试程序变更管理流程时，安全管理体系内审员使用的最有效的方法是：（）
A.由系统生成的信息跟踪到变更管理文档
B.检查变更管理文档中涉及的证据的精确性和正确性
C.由变更管理文档跟踪到生成审计轨迹的系统
D.检查变更管理文档中涉及的证据的完整性
62、单项选择题 在互联网环境中，网络舆论的形成变得较为复杂，但大致遵循（）模式。
A、新闻信息——舆论形成
B、民间舆论——新闻报道
C、产生话题——话题持续存活——形成网络舆论——网络舆论发展——网络舆论平息
D、产生话题——形成网络舆论——网络舆论平息
63、单项选择题 下列哪个为我国计算机安全测评机构（）
A.CNITSEC
B.TCSEC
C.FC
D.CC
64、单项选择题 下面安全套接字层协议（SSL）的说法错误的是？（）
A.它是一种基于web应用的安全协议
B.由于SSL是内嵌在浏览器中的，无需安全客户端软件，所以相对于IPSec更简单易用
C.SSL与IPSec一样都工作在网络层
D.SSL可以提供身份认证、加密和完整性校验的功能
65、判断题 传播网络病毒，恶意进行网络攻击不属于网络不诚信问题的表现。
66、单项选择题 数据库视图用于？（）
A.确保相关完整性
B.方便访问数据
C.限制用户对数据的访问.
D.提供审计跟踪
67、单项选择题 银行柜员的访问控制策略实施以下的哪一种？（）
A.基于角色的策略。
B.基于身份的策略。
C.基于用户的策略。
D.基于规则政策。
68、单项选择题 ISO/IEC27002由以下哪一个标准演变而来？（）
A.BS7799-1
B.BS7799-2
C.ISO/IEC17799
D.ISO/IEC13335
69、单项选择题 应急响应计划应该多久测试一次？（）
A.10年
B.当基础环境或设施发生变化时
C.2年
D.当组织内业务发生重大的变更时
70、单项选择题 安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的（）
A.辅助辨识和分析未经授权的活动或攻击
B.对与己建立的安全策略的一致性进行核查
C.及时阻断违反安全策略的访问
D.帮助发现需要改进的安全控制措施
71、单项选择题 在检查IT安全风险管理程序，安全风险的测量应该（）
A.列举所有的网络风险
B.对应IT战略计划持续跟踪
C.考虑整个IT环境
D.识别对（信息系统）的弱点的容忍度的结果
72、判断题 网络社会具有先进性、开放性、自由性、虚假性等特点。
73、填空题 防火墙规则集应该尽可能的（），规则集越（），错误配置的可能性就越小，系统就越安全。
74、单项选择题 信息安全策略，声称“密码的显示必须以掩码的形式”的目的是防范下面哪种攻击风险？（）
A.尾随
B.垃圾搜索
C.肩窥
D.冒充
75、单项选择题 P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？（）
A.检测。
B.报警。
C.记录。
D.实时监控。
76、单项选择题 在企业内部互联网中，一个有效的安全控制机制是：（）
A.复查
B.静态密码
C.防火墙
D.动态密码
77、单项选择题 根据组织业务连续性计划（BCP）的复杂程度，可以建立多个计划来满足业务连续和和灾难恢复的各方面。在这种情况下，有必要：（）
A.每个计划和其它计划保持协调一致
B.所有的计划要整合到一个计划中
C.每个计划和其他计划相互依赖
D.指定所有计划实施的顺序
78、单项选择题 以下对于IATF信息安全保障技术框架的说法错误的是：（）
A、它由美国国家安全局公开发布
B、它的核心思想是信息安全深度防御（Defense-in-Depth）
C、它认为深度防御应当从策略、技术和运行维护三个层面来进行
D、它将信息系统保障的技术层面分为计算环境、区域边界、网络和基础设置和支撑性技术设施4个部分
79、单项选择题 在自主访问环境中，以下哪个实体可以将信息访问权授予给其他人？（）
A.经理
B.集团负责人
C.安全经理
D.数据所有者
80、单项选择题 以下哪项不属于造成信息安全问题的自然环境因素？（）
A.纵火
B.地震
C.极端天气
D.洪水
81、单项选择题 以下哪一个是包过滤防火墙的优点？（）
A.可以与认证、授权等安全手段方便的集成。
B.与应用层无关，无须改动任何客户机和主机的应用程序，易于安装和使用。
C.提供透明的加密机制
D.可以给单个用户授权
82、单项选择题 通常最好由谁来确定系统和数据的敏感性级别？（）
A.审计师
B.终端用户
C.拥有者
D.系统分析员
83、单项选择题 TCP/IP的通信过程是？（）
A.——SYN/ACK——>，<——ACK，——SYN/ACK——>
B.——SYN/ACK——>，<——SYN/ACK——，——ACK——>
C.——SYN——>，<——ACK，——SYN——>，<——ACK——
D.——SYN——>，<——SYN/ACK——，——ACK——>
84、单项选择题 路由器工作在OSI的哪一层（）
A.传输层
B.数据链路层
C.网络层
D.应用层
85、单项选择题 Rlogin在哪个TCP端口运行？（）
A.114
B.513
C.212
D.271
86、单项选择题 ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？（）
A.关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项
B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行
C.孤立的偶发性的且对信息安全管理体系无直接影响的问题；
D.审核员识别的可能改进项
87、单项选择题 我国信息安全事件分级分为以下哪些级别（）
A.特别重大事件-重大事件-较大事件-一般事件
B.特别重大事件-重大事件-严重事件-较大事件-一般事件
C.特别严重事件-严重事件-重大事件-较大事件-一般事件
D.特别严重事件-严重事件-较大事件-一般事件
88、单项选择题 对能力成熟度模型解释最准确的是？（）
A.它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。
B.它通过严格考察工程成果来判断工程能力。
C.它与统计过程控制的理论出发点不同，所以应用于不同领域。
D.它是随着信息安全的发展而诞生的重要概念。
89、单项选择题 下面哪一项不是ISMSPlan阶段的工作？（）
A.定义ISMS方针
B.实施信息安全风险评估
C.实施信息安全培训
D.定义ISMS范围
90、单项选择题 特洛伊木马攻击的危胁类型属于（）
A.授权侵犯威胁
B.植入威胁
C.渗入威胁
D.破坏威胁
91、单项选择题 一个组织将制定一项策略以定义了禁止用户访问的WEB站点类型。为强制执行这一策略，最有效的技术是什么？（）
A.状态检测防火墙
B.WE内容过滤器
C.WEB缓存服务器
D.应该代理服务器
92、填空题 涉密信息系统的建设使用单位应对系统设计方案进行审查论证，保密行政管理部门应参与方案审查论证，在（）方面加强指导。
93、单项选择题 信息的存在及传播方式（）
A.存在于计算机、磁带、纸张等介质中
B.记忆在人的大脑里
C.通过网络打印机复印机等方式进行传播
D.通过投影仪显示
94、填空题 APT攻击是一种“（）”的攻击。
95、单项选择题 以下哪项不属于PDCA循环的特点？（）
A.按顺序进行，它靠组织的力量来推动，像车轮一样向前进，周而复始，不断循环
B.组织中的每个部分，甚至个人，均可以PDCA循环，大环套小环，一层一层地解决问题
C.每通过一次PDCA循环，都要进行总结，提出新目标，再进行第二次PDCA循环
D.组织中的每个部分，不包括个人，均可以PDCA循环，大环套小环，一层一层地解决问题
96、单项选择题 对一项应用的控制进行了检查，将会评估（）
A.该应用在满足业务流程上的效率
B.任何被发现风险影响
C.业务流程服务的应用
D.应用程序的优化
97、单项选择题 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的（）
A.只关注外来的威胁，忽视企业内部人员的问题
B.相信来自陌生人的邮件，好奇打开邮件附件
C.开着电脑离开，就像离开家却忘记关灯那样
D.及时更新系统和安装系统和应用的补丁
98、多项选择题 网络违法犯罪的表现形式有（）。
A、网络诈骗
B、网络^色 情
C、网络盗窃
D、网络赌博
99、单项选择题 （）WindowsNT/XP的安全性达到了橘皮书的第几级？
A.C1级
B.B、C2级
C.C、B1级
D.D、B2级
100、单项选择题 （）是我国网络社会治理的方针。
A、分工负责、齐抓共管
B、积极防御、综合防范
C、一手抓管理、一手抓发展
D、保障公民权益、维护社会稳定
101、单项选择题 在零传输（Zone transfers）中DNS服务使用哪个端口？（）
A.TCP 53
B.UDP 53
C.UDP 23
D.TCP 23
102、单项选择题 一名攻击者试图通过暴力攻击来获取下列哪一项信息？（）
A.加密密钥
B.加密算法
C.公钥
D.密文
103、单项选择题 如何对信息安全风险评估的过程进行质量监控和管理？（）
A.对风险评估发现的漏洞进行确认
B.针对风险评估的过程文档和结果报告进行监控和审查
C.对风险评估的信息系统进行安全调查
D.对风险控制测措施有有效性进行测试
104、单项选择题 如果可能最应该得到第一个应急事件通知的小组是（）
A.应急响应领导小组
B.应急响应日常运行小组
C.应急响应技术保障小组
D.应急响应实施小组
105、单项选择题 下列哪一项最好地支持了24/7可用性？（）
A.日常备份
B.离线存储
C.镜像
D.定期测试
106、单项选择题 IPSEC的抗重放服务的实现原理是什么？（）
A.使用序列号以及滑动窗口原理来实现。
B.使用消息认证码的校验值来实现
C.在数据包中包含一个将要被认证的共享秘密或密钥来实现
D.使用ESP隧道模式对IP包进行封装即可实现。
107、单项选择题 评估IT风险被很好的达到，可以通过：（）
A.评估IT资产和IT项目总共的威胁
B.用公司的以前的真的损失经验来决定现在的弱点和威胁
C.审查可比较的组织出版的损失数据
D.一句审计拔高审查IT控制弱点
108、单项选择题 组织实施了灾难恢复计划。下列哪些步骤应下一步执行？（）
A.取得高级管理人员认可
B.确定的业务需求
C.进行纸面测试
D.进行系统还原测试
109、单项选择题 以下哪些模型可以用来保护分级信息的机密性？（）
A.Biba模型和Bell－Lapadula模型
B.Bell－Lapadula模型和信息流模型
C.Bell－Lapadula模型和Clark－Wilson模型
D.Clark－Wilson模型和信息流模型
110、填空题 计算机网络所面临的威胁主要有对（）的威胁和对网络设备的威胁两种。
111、单项选择题 以下哪个与电子邮件系统没有直接关系？（）
A．PEM
B．PGP
C．X.500
D．X.400
112、单项选择题 RSA公开密钥密码体制的安全性主要基于以下哪个困难问题？（）
A.求合数模平方根的难题
B.离散对数困难问题
C.背包问题
D.大数分解困难问题
113、单项选择题 下面关于访问控制模型的说法不正确的是：（）
A.DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权。
B.DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的访问。访问许可必须被显式地赋予访问者。
C.在MAC这种模型里，管理员管理访问控制。管理员制定策略，策略定义了哪个主体能访问哪个对象。但用户可以改变它。
D.RBAC模型中管理员定义一系列角色（roles）并把它们赋予主体。系统进程和普通用户可能有不同的角色。设置对象为某个类型，主体具有相应的角色就可以访问它。
114、单项选择题 以下关于ISMS内部审核报告的描述不正确的是？（）
A.内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果
B.内审报告中必须包含对不符合性项的改进建议
C.内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商，核实报告内容。
D.内审报告中必须包括对纠正预防措施实施情况的跟踪
115、单项选择题 在Windows操作系统下，由于（）端口探测没有限制，能够让别人探测到一些数据库信息，因此IPSec过滤拒绝掉该端口的UDP通信，可以尽可能地隐藏你的SQLServer。
A、1434
B、1433
C、3305
D、3306
116、单项选择题 以下哪一个不是安全审计的作用？（）
A.记录系统被访问的过程及系统保护机制的运行状态。
B.发现试图绕过保护机制的行为。
C.及时发现并阻止用户身份的变化
D.报告并阻碍绕过保护机制的行为并记录相关进程，为灾难恢复提供信息。
117、单项选择题 以下哪一种局域网传输媒介是最可靠的？（）
A.同轴电缆
B.光纤
C.双绞线（屏蔽）
D.双绞线（非屏蔽）
118、判断题 一次买断以后再版就不必再给作者支付稿费。
119、单项选择题 以下哪些是可能存在的威胁因素？（）
A.设备老化故障
B.病毒和蠕虫
C.系统设计缺陷
D.保安工作不得力
120、填空题 确定信息安全保护等级的步骤是（）、确定两个指标等级、确定业务子系统等级。
121、单项选择题 下列几个OSI层中，哪一层既提供机密性服务又提供完整性服务？（）
A.数据链路层
B.物理层
C.应用层
D.表示层
122、单项选择题 渗透测试作为网络安全评估的一部分（）
A.提供保证所有弱点都被发现
B.在不需要警告所有组织的管理层的情况下执行
C.找到存在的能够获得未授权访问的漏洞
D.在网络边界上执行不会破坏信息资产
123、单项选择题 以下哪项活动对安全编码没有帮助（）
A.代码审计
B.安全编码规范
C.编码培训
D.代码版本管理
124、单项选择题 ITSEC中的F1-F5对应TCSEC中哪几个级别？（）
A.D到B2
B.C2到B3
C.C1到B3
D.C2到A1
125、单项选择题 以下哪项是组织中为了完成信息安全目标，针对信息系统，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制等活动？（）
A.反应业务目标的信息安全方针、目标以及活动；
B.来自所有级别管理者的可视化的支持与承诺；
C.提供适当的意识、教育与培训
D.以上所有
126、单项选择题 下列关于Kerberos的描述，哪一项是正确的？（）
A.埃及神话中的有三个头的狗。
B.安全模型。
C.远程身份验证拨入用户服务器。
D.一个值得信赖的第三方认证协议。
127、单项选择题 在软件程序测试的哪个阶段一个组织应该进行体系结构设计测试？（）
A.可接受性测试
B.系统测试
C.集成测试
D.单元测试
128、判断题 我国网络安全防御工程建设还有待加强就是因为我国国家级投入相对较少。
129、问答题 IPSEC Vpn不包括哪个协议？
130、单项选择题 以下哪一个是ITU的数字证书标准（）
A.SSL
B.SHTTP
C.x.509
D.SOCKS
131、单项选择题 以下信息安全原则，哪一项是错误的？（）
A.实施最小授权原则
B.假设外部系统是不安全的
C.消除所有级别的信息安全风险
D.最小化可信任的系统组件
132、单项选择题 以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？（）
A.ISO/IEC7498-2
B.BS7799
C.通用评估准则
D.IATF
133、单项选择题 由于病毒攻击、非法入侵等原因，校园网部分楼宇出现网络瘫痪，或者FTP及部分网站服务器不能响应用户请求，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
134、单项选择题 在设计某公司技术性的恢复策略时，以下哪个方面是安全人员最为关注的？（）
A.目标恢复时间RTO
B.业务影响分析
C.从严重灾难中恢复的能力
D.目标恢复点RPO
135、单项选择题 在计算可接受的关键业务流程恢复时间时（）
A.只需考虑停机时间的成本
B.需要分析恢复操作的成本
C.停机时间成本和恢复操作成本都需要考虑
D.可以忽略间接的停机成本
136、单项选择题 下面对ISO27001的说法最准确的是：（）
A.该标准的题目是信息安全管理体系实施指南
B.该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C.该标准提供了一组信息安全管理相关的控制措施和最佳实践
D.该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型
137、单项选择题 下面哪一个不是系统废弃阶段风险管理的工作内容（）
A.安全测试
B.对废弃对象的风险评估
C.防止敏感信息泄漏
D.人员培训
138、单项选择题 以下哪个不是信息安全项目的需求来源（）
A.国家和地方政府法律法规与合同的要求
B.风险评估的结果
C.组织原则目标和业务需要
D.企业领导的个人意志
139、判断题 入侵检测技术能够识别来自外部用户的入侵行为和内部用户的未经授权活动。
140、单项选择题 系统管理员属于？（）
A.决策层
B.管理层
C.执行层
D.既可以划为管理层，又可以划为执行层
141、判断题 专家评估是论文评价的主要方法之一。
142、单项选择题 当你发送一条GRANT语句时，服务器会在（）里创建一个记录项并把你用户名、主机名和口令记录在User、Host和Password列中。
A、db权限表
B、host权限表
C、table_priv权限表
D、user权限表
143、单项选择题 在一份热站、温站或冷站协议中，协议条款应包含以下哪一项需考虑的事项（）
A.具体的保证设施
B.订户的总数
C.同时允许使用设施的订户数量
D.涉及的其他用户
144、单项选择题 ISO27004是指以下哪个标准（）
A.《信息安全管理体系要求》
B.《信息安全管理实用规则》
C.《信息安全管理度量》
D.《ISMS实施指南》
145、单项选择题 以下哪一个不是OSI安全体系结构中的安全机制（）
A.数字签名
B.路由控制
C.数据交换
D.抗抵赖
146、单项选择题 下列哪一项是首席安全官的正常职责？（）
A.定期审查和评价安全策略
B.执行用户应用系统和软件测试与评价
C.授予或废除用户对IT资源的访问权限
D.批准对数据和应用系统的访问权限
147、单项选择题 下列哪一项不是IDS可以解决的问题？（）
A.弥补网络协议的弱点
B.识别和报告对数据文件的改动
C.统计分析系统中异常活动模式
D.提升系统监控能力
148、单项选择题 应急响应领导小组组长应由以下哪个选项担任？（）
A.最高管理层
B.信息技术部门领导
C.业务部门领导
D.外部专家
149、单项选择题 当涉及到信息算计系统犯罪取证时，应与哪个部门取得联系？（）
A.监管机构
B.重要客户
C.供应商
D.政府部门
150、单项选择题 以下有关信息安全方面的业务连续性管理的描述，不正确的是（）
A.信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营
B.企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务
C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档
D.信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入
151、填空题 我国于（）年发布实施了《专利法》。
152、单项选择题 SQL的查询方法存在缺陷，因此导致一个用户的查询可能会重用缓冲的（）帐号的连接。
A、Administrator
B、sa
C、user
D、guest
153、单项选择题 （）在访问控制中，对网络资源的访问是基于什么的？
A、用户
B、权限
C、访问对象
D、工作组
154、单项选择题 包括了对整个应用程序、控制程序的逻辑和数据的逻辑合法性和合理性的审计方法是（）
A、设备安全的审计
B、应用程序的审计
C、系统操作的审计
D、欺诈行为的审计
155、单项选择题 安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？（）
A.Biba模型中的不允许向上写
B.Biba模型中的不允许向下读
C.Bell-LaPadula模型中的不允许向下写
D.Bell-LaPadula模型中的不允许向上读
156、判断题 科学观察可以分为直接观察和间接观察。
157、单项选择题 以下哪种做法是正确的“职责分离”做法？（）
A.程序员不允许访问产品数据文件
B.程序员可以使用系统控制台
C.控制台操作员可以操作磁带和硬盘
D.磁带操作员可以使用系统控制台
158、判断题 为特权用户设置口令时，应当使用enablepassword命令，该命令用于设定具有管理权限的口令。
159、单项选择题 在数据链路层中MAC子层主要实现的功能是（）
A.介质访问控制
B.物理地址识别
C.通信协议产生
D.数据编码
160、填空题 《计算机信息系统安全保护条例》规定，（）主管全国计算机信息安全保护工作。
161、单项选择题 信息安全政策声明：“每个人必须在进入每一个控制门时，都必须读取自己的证件”，防范的是哪一种攻击方式？（）
A.尾随Piggybacking
B.肩窥Shoulder surfing
C.Dumpster diving
D.冒充Impersonation
162、判断题 学术论文是学位申请者为申请学位而提交的具有一定学术价值的论文。
163、单项选择题 Apache服务器对目录的默认访问控制是什么？（）
A.“Deny” from “All”
B.Order Deny，“All”
C.Order Deny，Allow
D.“Allow” from“ All”
164、判断题 互惠原则的核心内容是要求消除网络社会由于各种原因造成的网络主体间的交往不畅通、交往障碍。
165、单项选择题 当发生灾难时，以下哪一项能保证业务交易的有效性（）
A.从当前区域外的地方持续每小时1次地传送交易磁带
B.从当前区域外的地方持续每天1次地传送交易磁带
C.抓取交易以整合存储设备
D.从当前区域外的地方实时传送交易磁带
166、多项选择题 网络环境下的舆论信息主要来自（）。
A、新闻评论
B、BBS
C、博客
D、聚合新闻
167、单项选择题 区别脆弱性评估和渗透测试是脆弱性评估（）
A.检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失
B.和渗透测试为不同的名称但是同一活动
C.是通过自动化工具执行，而渗透测试是一种完全的手动过程
D.是通过商业工具执行，而渗透测试是执行公共进程
168、单项选择题 什么类型的软件应用测试被用于测试的最后阶段，并且通常包含不属于开发团队之内的用户成员？（）
A.Alpha测试
B.白盒测试
C.回归测试
D.Beta测试
169、单项选择题 信息安全活动应由来自组织不同部门并具备相关角色和工作职责的代表进行，下面哪项包括非典型的安全协调应包括的人员？（）
A.管理人员、用户、应用设计人员
B.系统运维人员、内部审计人员、安全专员
C.内部审计人员、安全专员、领域专家
D.应用设计人员、内部审计人员、离职人员
170、填空题 计算机病毒可能在用户打开（）文件时被启动。
171、单项选择题 在业务持续性计划中，下面哪一项具有最高的优先级？（）
A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点
172、单项选择题 自主性、自律性（）和多元性都是网络道德的特点.
A、统一性
B、同一性
C、开放性
D、复杂性
173、单项选择题 在进行业务连续性检测时，下列哪一个是被认为最重要的审查？（）
A.热站的建立和有效是必要
B.业务连续性手册是有效的和最新的
C.保险责任范围是适当的并且保费有效
D.及时进行介质备份和异地存储
174、填空题 大部分恶意网站所携带的病毒就是（）病毒。
175、单项选择题 用于跟踪路由的命令是（）
A.nestat
B.regedit
C.systeminfo
D.tracert
176、单项选择题 年度损失值（ALE）的计算方法是什么（）
A.ALE=ARO*AV
B.ALE=AV*SLE
C.“ALE=ARO*SLE"
D.ALE=AV*EF
177、单项选择题 下面对于标识和鉴别的解释最准确的是：（）
A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性
B.标识用于区别不同的用户，而鉴别用于赋予用户权限
C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性
D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限
178、单项选择题 安全策略体系文件应当包括的内容不包括（）
A.信息安全的定义、总体目标、范围及对组织的重要性
B.对安全管理职责的定义和划分
C.口令、加密的使用是阻止性的技术控制措施；
D.违反安全策略的后果
179、单项选择题 下面哪一项最准确的阐述了安全检测措施和安全审计之间的区别？（）
A.审计措施不能自动执行，而检测措施可以自动执行
B.检测措施不能自动执行，而审计措施可以自动执行
C.审计措施是一次性的或周期性的进行，而检测措施是实时的进行
D.检测措施是一次性的或周期性的进行，而审计措施是实时的进行
180、多项选择题 IPSec通过（）实现密钥交换、管理及安全协商。
A.AH
B.ESP
C.ISAKMP/Oakley
D.SKIP
181、单项选择题 以下哪一个不是网络隐藏技术？（）
A.端口复用
B."无端口技术"
C.反弹端口技术
D.DLL注入
182、单项选择题 下面哪一个不是对点击劫持的描述（）
A.是一种恶意攻击技术，用于跟踪网络用户并获取私密信息
B.通过让用户来点击看似正常的网页来远程控制其电脑
C.可以用嵌入代码或文本的形式出现，在用户毫不知情的情况下完成攻击
D.可以对方网络瘫痪
183、单项选择题 系统工程是信息安全工程的基础学科，钱学森说：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，使一种对所有系统都具有普遍意义的科学方法”，下列哪项对系统工程的理解是正确的：（）
A.系统工程是一种方法论
B.系统工程是一种技术实现
C.系统工程是一种基本理论
D.系统工程不以人参与系统为研究对象
184、单项选择题 某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？（）
A.Bell-LaPadula模型
B.Biba模型
C.信息流模型
D.Clark-Wilson模型
185、单项选择题 下列关于互惠原则说法不正确的是（）。
A、互惠原则是网络道德的主要原则之一
B、网络信息交流和网络服务具有双向性
C、网络主体只承担义务
D、互惠原则本质上体现的是赋予网络主体平等与公正
186、单项选择题 系统上线前应当对系统安全配置进行检查，不包括下列哪种安全检查（）
A.主机操作系统安全配置检查
B.网络设备安全配置检查
C.系统软件安全漏洞检查
D.数据库安全配置检查
187、单项选择题 在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性。以下哪一层提供了抗抵赖性？（）
A.表示层
B.应用层
C.传输层
D.数据链路层
188、单项选择题 以下对信息安全描述不正确的是（）
A.信息安全的基本要素包括保密性、完整性和可用性
B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性
C.信息安全就是不出安全事故/事件
D.信息安全不仅仅只考虑防止信息泄密就可以了
189、单项选择题 DDOS攻击的主要目换是：（）
A.破坏完整性和机密性
B.破坏可用性
C.破坏机密性和可用性
D.破坏机密性
190、多项选择题 防火墙管理中（）具有设定规则的权限。
A.用户
B.审计员
C.超级管理员
D.普通管理员
191、单项选择题 下列哪一项不是工程实施阶段信息安全工程监理的主要目标？（）
A.明确工程实施计划，对于计划的调整必须合理、受控
B.促使工程中所使用的产品和服务符合承建合同及国家相关法律、法规和标准
C.促使业务单位与承建单位充分沟通，形成深化的安全需求
D.促使工程实施过程满足承建合同的要求，并与工程设计方案、工程计划相符
192、单项选择题 作为业务继续计划流程中的一部分，在业务影响分析中下面哪个选项应该最先确认？（）
A.组织的风险，像单点失败或设备风险
B.重要业务流程的威胁
C.根据恢复优先级设定的重要业务流程
D.重建业务的所需的资源
193、单项选择题 以下对信息安全问题产生的根源描述最准确的是：（）
A.信息安全问题是由于信息技术的不断发展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏
194、单项选择题 下列哪一种密码算法是基于大数分解难题的？（）
A.ECC
B.RSA
C.DES
D.Diffie-Hellman
195、单项选择题 下面哪项是信息安全管理体系中CHECK（检查）中的工作内容？（）
A.按照计划的时间间隔进行风险评估的评审
B.实施所选择的控制措施
C.采取合适的纠正和预防措施。从其它组织和组织自身的安全经验中吸取教训
D.确保改进达到了预期目标
196、单项选择题 组织的安全策略可以是广义的，也可以是狭义的，下面哪一条是属于广义的安全策略？（）
A.应急计划
B.远程办法
C.计算机安全程序
D.电子邮件个人隐私
197、单项选择题 关于数据库注入攻击的说法错误的是：（）
A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火墙对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限
198、填空题 蹭网指攻击者使用自己计算机中的无线网卡连接他人的无线路由器上网，而不是通过（）提供的线路上网。
199、单项选择题 通常情况下，怎样计算风险？（）
A.将威胁可能性等级乘以威胁影响就得出了风险。
B.将威胁可能性等级加上威胁影响就得出了风险。
C.用威胁影响除以威胁的发生概率就得出了风险。
D.用威胁概率作为指数对威胁影响进行乘方运算就得出了风险。
200、单项选择题 下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络？（）
A.虚拟专用网
B.专线
C.租用线路
D.综合服务数字网
201、单项选择题 在加固数据库时，以下哪个是数据库加固最需要考虑的？（）
A.修改默认配置
B.规范数据库所有的表空间
C.存储数据被加密
D.修改数据库服务的服务端口
202、单项选择题 一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪个是最有效的技术来达成这个策略？（）
A.状态检测防火墙
B.网页内容过滤
C.网页缓存服务器
D.代理服务器
203、单项选择题 关于安全策略的说法，不正确的是（）
A.得到安全经理的审核批准后发布
B.应采取适当的方式让有关人员获得并理解最新版本的策略文档
C.控制安全策略的发布范围，注意保密
D.系统变更后和定期的策略文件评审和改进
204、填空题 露天开采的原矿成本由（）和（）两部分组成。
205、多项选择题 交换机可根据（）来限制应用数据流的最大流量。
A.IP地址
B.网络连接数
C.协议
D.端口
206、单项选择题 以下发现属于Linux系统严重威胁的是什么？（）
A.发现不明的SUID可执行文件
B.发现应用的配置文件被管理员变更
C.发现有恶意程序在实时的攻击系统
D.发现防护程序收集了很多黑客攻击的源地址
207、判断题 科研成果是衡量科学研究任务完成与否、质量优劣以及科研人员贡献大小的重要标志。
208、单项选择题 下列哪一项是常见web站点脆弱性扫描工具：（）
A.AppScan
B.Nmap
C.Sniffer
D.LC
209、单项选择题 信息资产分级的最关键要素是（）
A.价值
B.时间
C.安全性
D.所有者
210、单项选择题 以下关于我国信息安全政策和法律法规的说法错误的是？（）
A.中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识”
B.2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》
C.2007年我国四部委联合发布了《信息安全等级保护管理办法》
D.2006年5月全国人民代表大会常务委员会审议通过了《 信息安全法》
211、单项选择题 防范密码嗅探攻击计算机系统的控制措施包括下列哪一项？（）
A.静态和重复使用的密码。
B.加密和重复使用的密码。
C.一次性密码和加密。
D.静态和一次性密码。
212、单项选择题 以下关于标准的描述，那一项是正确的？（）
A.标准是高级管理层对支持信息安全的声明
B.标准是建立有效安全策略的第一要素
C.标准用来描述组织内安全策略如何实施的
D.标准是高级管理层建立信息系统安全的指示
213、单项选择题 谁对组织的信息安全负最终责任？（）
A.安全经理
B.高管层
C.IT经理
D.业务经理
214、单项选择题 下列角色谁应该承担决定信息系统资源所需的保护级别的主要责任？（）
A.信息系统安全专家
B.业务主管
C.安全主管
D.系统审查员
215、单项选择题 下面哪一项不是安全编程的原则（）
A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法
216、单项选择题 下面哪一项不是主机型入侵检测系统的优点？（）
A.性能价格比高
B.视野集中
C.敏感细腻
D.占资源少
217、单项选择题 建立应急响应计划最重要的是（）
A.业务影响分析
B.测试及演练
C.各部门的参与
D.管理层的支持
218、单项选择题 以下哪个选项是缺乏适当的安全控制的表现（）
A.威胁
B.脆弱性
C.资产
D.影响
219、单项选择题 下面那个不是信息安全风险的要素？（）
A.资产及其价值
B.数据安全
C.威胁
D.控制措施
220、判断题 对钱财的贪婪也是网络违法犯罪行为的原始动力。
221、单项选择题 企业的业务持续性计划中应该以记录以下内容的预定规则为基础（）
A.损耗的持续时间
B.损耗的类型
C.损耗的可能性
D.损耗的原因
222、多项选择题 我国现行的有关互联网安全的法律框架有以下（）层面.
A、法律
B、行政法规
C、行政规章
D、司法解释
223、单项选择题 某个计算机系统遭到了38000次攻击，其中有65％成功，而这中间又有96％没有被检测到，检测到的则有74％没有上报，那么总共上报了多少次攻击（）
A.144
B.388
C.267
D.721
224、单项选择题 （）在HKLM包含的子树中，哪个不能直接访问？配置的数据。
A、Security
B、Hardware
C、Software
D、System
225、单项选择题 （）默认情况下，所有用户对新创建的文件共享有什么权限？
A、读取
B、完全控制
C、写入
D、修改
226、填空题 物流（）电子商务规划框架
227、单项选择题 LDAP使用哪个端口？（）
A.TCP 139
B.TCP 119
C.UDP 139
D.UDP 389
228、单项选择题 从业务角度出发，最大的风险可能发生在那个阶段（）
A.立项可行性分析阶段
B.系统需求分析阶段
C.架构设计和编码阶段
D.投产上线阶段
229、填空题 在一个有多个防火墙存在的环境中，每个连接两个（）的计算机或网络都是DMZ。
230、单项选择题 设计信息安全策略时，最重要的一点是所有的信息安全策略应该：（）
A.非现场存储
B.由IS经理签署
C.发布并传播给用户
D.经常更新
231、单项选择题 下面哪一项不是黑客攻击在信息收集阶段使用的工具或命令。（）
A.NMAP
B.NLSOOKUP
C.ICESWord
D.Xscan
232、单项选择题 以下有关通信与日常操作描述不正确的是（）
A.信息系统的变更应该是受控的
B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D.内部安全审计无需遵循独立性、客观性的原则
233、单项选择题 关于控制措施选择描述不正确的是（）
A.总成本中应考虑控制措施维护成本
B.只要控制措施有效，不管成本都应该首先选择
C.首先要考虑控制措施的成本效益
D.应该考虑控制措施实施的成熟度
234、单项选择题 组织在制定灾难恢复计划时，应该最先针对以下哪点制定（）
A.所有信息系统流程
B.所有应用系统流程
C.信息系统经理指派的路程
D.业务经理定义的流程优先级
235、单项选择题 目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）
A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室
236、填空题 物流是电子商务（）的基础。
237、单项选择题 以下哪个模型主要用于医疗资料的保护？（）
A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型
238、单项选择题 哪个端口被设计用作开始一个SNMP Trap？（）
A.TCP 161
B.UDP 161
C.UDP 162
D.TCP 169
239、单项选择题 下面哪一项是恢复非关键系统的最合理方案？（）
A.温站
B.移动站
C.热站
D.冷站
240、单项选择题 下列信息系统安全说法正确的是：（）
A.加固所有的服务器和网络设备就可以保证网络的安全
B.只要资金允许就可以实现绝对的安全
C.断开所有的服务可以保证信息系统的安全
D.信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略
241、单项选择题 以下哪一个是数据保护的最重要的目标？（）
A.确定需要访问信息的人员
B.确保信息的完整性
C.拒绝或授权对系统的访问
D.监控逻辑访问
242、填空题 我国的信息化发展不平衡，总的来说，（）信息化指数高，从东部到西部信息化指数逐渐降低。
243、单项选择题 Chinese Wall模型的设计宗旨是：（）
A.用户只能访问那些与已经拥有的信息不冲突的信息
B.用户可以访问所有信息
C.用户可以访问所有已经选择的信息
D.用户不可以访问那些没有选择的信息
244、单项选择题 组织机构应根据事故类型建立揭制策略，需要考虑以下几个因素，除了：（）
A、实施策略需要的时间和资源
B、攻击者的动机
C、服务可用性
D、证据保留的时间
245、单项选择题 系统要达到什么样的（），取决于系统所处理信息地重要程度、价值和敏感性。
A、可行性
B、系统灵活性
C、用户地方便性
D、完整性
246、单项选择题 如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为（）
A.常规加密系统
B.单密钥加密系统
C.公钥加密系统
D.对称加密系统
247、单项选择题 覆盖和消磁不用在对以下哪一种计算机存储器或存储媒介进行清空的过程？（）
A.随机访问存储器（RAM）
B.只读存储器（ROM）
C.磁性核心存储器
D.磁性硬盘
248、单项选择题 可信计算机安全评估准则（TCSEC）与什么有关：（）
A.桔皮书
B.ISO15408
C.RFC1700
D.BS7799
249、判断题 我国现行的有关互联网安全的法律框架有法律、行政法规、行政规章和司法解释四个层面。
250、单项选择题 中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：（）
A、为政府单位信息系统进行安全方案设计
B、在信息安全公司从事保安工作
C、在公开场合宣讲安全知识
D、在学校讲解信息安全课程
251、单项选择题 （）作为互联网的诞生地，其互联网发展速度非常之快，信息化程度也是世界之最.
A、美国
B、日本
C、中国
D、德国
252、单项选择题 非对称密码算法具有很多优点，其中不包括：（）
A.可提供数字签名、零知识证明等额外服务
B.加密/解密速度快，不需占用较多资源
C.通信双方事先不需要通过保密信道交换密钥
D.密钥持有量大大减少
253、单项选择题 （）关于Windows2000中的身份验证过程，下面哪种说法是错误的？
A、如果用户登录一个域，则Windows2000将把这些登录信息转交给域控制器处理。
B、如果用户登录本机，则Windows2000将把这些登录信息转交给域控制器处理。
C、如果用户登录一个域，则Windows2000利用域控制器含有的目录副本，验证用户的登录信息。
D、如果用户登录本机，则Windows2000利用本机的安全子系统含有的本机安全数据库，验证用户的登录信息。
254、填空题 灾难恢复和容灾是（）意思。
255、单项选择题 软件的盗版是一个严重的问题。在下面哪一种说法中反盗版的策略和实际行为是矛盾的？（）
A.员工的教育和培训
B.远距离工作（Telecommuting）与禁止员工携带工作软件回家
C.自动日志和审计软件
D.策略的发布与策略的强制执行
256、单项选择题 不受限制的访问生产系统程序的权限将授予以下哪些人？（）
A.审计师
B.不可授予任何人
C.系统的属主。
D.只有维护程序员
257、单项选择题 在TCP中的六个控制位哪一个是用来请求结束会话的（）
A.SYN
B.ACK
C.FIN
D.RST
258、单项选择题 相对于不存在灾难恢复计划，和当前灾难恢复计划的成本对比，最接近的是：（）
A.增加
B.减少
C.保持不变
D.不可预知
259、单项选择题 下列哪一项信息不包含在X.509规定的数字证书中？（）
A.证书有效期
B.证书持有者的公钥
C.证书颁发机构的签名
D.证书颁发机构的私钥
260、判断题 在网络安全技术中，防火墙是第二道防御屏障。
261、单项选择题 关于信息安全策略文件的评审以下说法不正确的是哪个？（）
A.信息安全策略应由专人负责制定、评审。
B.信息安全策略评审每年应进行两次，上半年、下半年各进行一次。
C.在信息安全策略文件的评审过程中应考虑组织业务的重大变化。
D.在信息安全策略文件的评审过程中应考虑相关法律法规及技术环境的重大变化。
262、单项选择题 以下哪些不是应该识别的信息资产？（）
A.网络设备
B.客户资料
C.办公桌椅
D.系统管理员
263、单项选择题 信息安全管理组织说法以下说法不正确的是？（）
A.信息安全管理组织人员应来自不同的部门。
B.信息安全管理组织的所有人员应该为专职人员。
C.信息安全管理组织应考虑聘请外部专家。
D.信息安全管理组织应建立沟通、协调机制。
264、单项选择题 有关定性风险评估和定量风险评估的区别，以下描述不正确的是（）
A.定性风险评估比较主观，而定量风险评估更客观
B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D.定性风险评估和定量风险评估没有本质区别，可以通用
265、单项选择题 关于信息安全策略文件以下说法不正确的是哪个？（）
A.信息安全策略文件应由管理者批准、发布。
B.信息安全策略文件并传达给所有员工和外部相关方。
C.信息安全策略文件必须打印成纸质文件进行分发。
D.信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方法。
266、单项选择题 恶意代码的第一个雏形是？（）
A.磁芯大战
B.爬行者
C.清除者
D.BRAIN
267、填空题 信息安全人员管理中岗位安全考核主要是从（）、（）方面进行。
268、单项选择题 除以下哪项可作为ISMS审核（包括内审和外审）的依据，文件审核、现场审核的依据？（）
A.机房登记记录
B.信息安全管理体系
C.权限申请记录
D.离职人员的口述
269、单项选择题 那一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？（）
A.包过滤防火墙
B.状态检测防火墙
C.应用网关防火墙
D.以上都不能
270、单项选择题 在评估信息系统的管理风险。首先要查看（）
A.控制措施已经适当
B.控制的有效性适当
C.监测资产有关风险的机制
D.影响资产的漏洞和威胁
271、单项选择题 下面哪一个不是系统设计阶段风险管理的工作内容（）
A.安全技术选择
B.软件设计风险控制
C.安全产品选择
D.安全需求分析
272、单项选择题 风险评估的基本过程是怎样的？（）
A.识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险
B.通过以往发生的信息安全事件，找到风险所在
C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位
D.风险评估并没有规律可循，完全取决于评估者的经验所在
273、单项选择题 以下哪一项是已经被确认了的具有一定合理性的风险？（）
A.总风险
B.最小化风险
C.可接受风险
D.残余风险
274、单项选择题 下列几个OSI层中，哪一层能够提供访问控制服务？（）
A.传输层
B.表示层
C.会话层
D.数据链路层
275、单项选择题 以下哪项机制与数据处理完整性相关（）
A.数据库事务完整性机制
B.数据库自动备份复制机制
C.双机并行处理，并相互验证
D.加密算法
276、填空题 对信息的（）；（）；（）的特性称为完整性保护。
277、单项选择题 以下哪一个不是风险控制的主要方式（）
A.规避方式
B.转移方式
C.降低方式
D.隔离方式
278、单项选择题 信息资产面临的主要威胁来源主要包括（）
A.自然灾害
B.系统故障
C.内部人员操作失误
D.以上都包括
279、填空题 完全电子商务（）按照电子商务商业活动的运作方式分类。
280、单项选择题 PSEC中的ESP机制最主要的作用是什么？（）
A.确认信息包的来源
B.进行完整性验证
C.提供机密性服务
D.抗重放攻击
281、单项选择题 校园网内由于病毒攻击、非法入侵等原因，200台以内的用户主机不能正常工作，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
282、单项选择题 下列对系统日志信息的操作中哪一项是最不应当发生的：（）
A.对日志内容进行编辑
B.只抽取部分条目进行保存和查看
C.用新的日志覆盖旧的日志
D.使用专用工具对日志进行分析
283、填空题 信息安全风险评估的自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的（）提供技术支持。
284、单项选择题 根据SSE-CMM以下哪一项不是在安全工程过程中实施安全控制时需要做的？（）
A.获得用户对安全需求的理解
B.建立安全控制的职责
C.管理安全控制的配置
D.进行针对安全控制的教育培训
285、单项选择题 以下哪个标准是ISO27001的前身标准？（）
A.BS5750
B.BS7750
C.BS7799
D.BS15000
286、单项选择题 在TCP中的六个控制位哪一个是用来请求同步的（）
A.SYN
B.ACK
C.FIN
D.RST
287、单项选择题 对于Linux的安全加固项说法错误的是哪项？（）
A.使用uname-a确认其内核是否有漏洞
B.检查系统是否有重复的UID用户
C.查看login.defs文件对于密码的限制
D.查看hosts文件确保Tcpwapper生效
288、单项选择题 在对Linux系统中dir目录及其子目录进行权限权限统一调整时所使用的命令是什么？（）
A.rm-fr-755/dir
B.ls-755/dir
C.chmod755/dir/*
D.chmod-R755/dir
289、单项选择题 在制定控制前，管理层首先应该保证控制（）
A.满足控制一个风险问题的要求
B.不减少生产力
C.基于成本效益的分析
D.检测行或改正性的
290、单项选择题 业务影响分析的主要目的是：（）
A.在灾难之后提供一个恢复行动的计划
B.识别能够影响组织运营持续性的事件
C.公布组织对物理和逻辑安全的义务
D.提供一个有效灾难恢复计划的框架
291、填空题 医药学（）社会科学。
292、填空题 电子商务是成长潜力（），综合效益（）的产业。
293、单项选择题 监视恶意代码主体程序是否正常的技术是？（）
A.进程守护
B.备份文件
C.超级权限
D.HOOK技术
294、单项选择题 下面安全策略的特性中，不包括哪一项？（）
A.指导性
B.静态性
C.可审核性
D.非技术性
295、单项选择题 以下哪一种人给公司带来最大的安全风险？（）
A.临时工
B.咨询人员
C.以前员工
D.当前员工
296、单项选择题 2012年3月份，美国总统奥巴马宣布启动（），旨在提高从庞大而复杂的科学数据中提取知识的能力。
A、大数据研究与开发计划
B、大数据获取与提取计划
C、大数据安全保护计划
D、DT计划
297、单项选择题 下列哪项不是Kerberos密钥分发服务（KDS）的一部分？（）
A.Kerberos票证授予服务器（TGS）。
B.Kerberos身份验证服务器（KAS）。
C.存放用户名和密码的数据库。
D.Kerberos票证吊销服务器（TRS）。
298、单项选择题 在信息系统安全中，风险由以下哪两种因素共同构成的？（）
A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏
299、单项选择题 下列对于CC的“评估保证级”（EAL）的说法最准确的是：（）
A.代表着不同的访问控制强度
B.描述了对抗安全威胁的能力级别
C.是信息技术产品或信息技术系统对安全行为和安全功能的不同要求
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度
300、单项选择题 企业ISMS（信息安全管理体系）建设的原则不包括以下哪个（）
A.管理层足够重视
B.需要全员参与
C.不必遵循过程的方法
D.需要持续改进