时间:2020-12-19 01:07:34
1、单项选择题 下面关于访问控制模型的说法不正确的是：（）
A.DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权。
B.DAC实现提供了一个基于“need-to-know”的访问授权的方法，默认拒绝任何人的访问。访问许可必须被显式地赋予访问者。
C.在MAC这种模型里，管理员管理访问控制。管理员制定策略，策略定义了哪个主体能访问哪个对象。但用户可以改变它。
D.RBAC模型中管理员定义一系列角色（roles）并把它们赋予主体。系统进程和普通用户可能有不同的角色。设置对象为某个类型，主体具有相应的角色就可以访问它。
2、单项选择题 审核在实施审核时，所使用的检查表不包括的内容有？（）
A.审核依据
B.审核证据记录
C.审核发现
D.数据收集方法和工具
3、单项选择题 下面关于定性风险评估方法的说法正确的是（）
A.通过将资产价值和风险等量化为财务价值和方式来进行计算的一种方法
B.采用文字形式或叙述性的数值范围来描述潜在后果的大小程度及这些后果发生的可能性
C.在后果和可能性分析中采用数值，并采用从各种各样的来源中得到的数据
D.定性风险分析提供了较好的成本效益分析
4、单项选择题 以下选项中那一项是对信息安全风险采取的纠正机制？（）
A.访问控制
B.入侵检测
C.灾难恢复
D.防病毒系统
5、单项选择题 以下只用于密钥交换的算法是（）
A.RSA
B.ECC
C.DH
D.RC4
6、单项选择题 （）下列哪个版本的Windows自带了防火墙，该防火墙能够监控和限制用户计算机的网络通信。
A.Windows98
B.WindowsME
C.Windows2000
D.WindowsXP
7、单项选择题 有关Kerberos说法下列哪项是正确的？（）
A.它利用公钥加密技术。
B.它依靠对称密码技术。
C.它是第二方的认证系统。
D.票据授予之后将加密数据，但以明文方式交换密码
8、单项选择题 ISO27004是指以下哪个标准（）
A.《信息安全管理体系要求》
B.《信息安全管理实用规则》
C.《信息安全管理度量》
D.《ISMS实施指南》
9、单项选择题 下列哪一项是首席安全官的正常职责？（）
A.定期审查和评价安全策略
B.执行用户应用系统和软件测试与评价
C.授予或废除用户对IT资源的访问权限
D.批准对数据和应用系统的访问权限
10、单项选择题 下列哪一种密码算法是基于大数分解难题的？（）
A.ECC
B.RSA
C.DES
D.Diffie-Hellman
11、单项选择题 下列对于Rootkit技术的解释不准确的是：（）
A.Rootkit是攻击者用来隐藏自己和保留对系统的访问权限的一组工具
B.Rootkit是一种危害大、传播范围广的蠕虫
C.Rootkit和系统底层技术结合十分紧密
D.Rootkit的工作机制是定位和修改系统的特定数据，改变系统的正常操作流程
12、单项选择题 下列关于安全审计的内容说法中错误的是（）。
A.应对网络系统中的网络设备运行情况、网络流量、用户行为等进行日志记录。
B.审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
C.应能根据记录数据进行分析，并生成报表。
D.为了节约存储空间，审计记录可以随意删除、修改或覆盖。
13、单项选择题 目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）
A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室
14、判断题 系统里的信息涉及国家秘密的信息系统，只要其中的涉密信息很少，就不算是涉密信息系统。
15、单项选择题 当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看：（）
A.访问控制列表
B.系统服务配置情况
C.审计记录
D.用户帐户和权限的设置
16、单项选择题 有关认证和认可的描述，以下不正确的是（）
A.认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）
B.根据对象的不同，认证通常分为产品认证和体系认证
C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认
D.企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求
17、单项选择题 为什么实现单点登录的批处理文件及脚本文件需要被保护存储？（）
A.因为最小授权原则
B.因为它们不可以被操作员访问到
C.因为它们可能包含用户身份信息
D.因为知所必须原则
18、单项选择题 我国信息安全事件分级分为以下哪些级别（）
A.特别重大事件-重大事件-较大事件-一般事件
B.特别重大事件-重大事件-严重事件-较大事件-一般事件
C.特别严重事件-严重事件-重大事件-较大事件-一般事件
D.特别严重事件-严重事件-较大事件-一般事件
19、单项选择题 作为信息安全管理人员，你认为变更管理过程最重要的是？（）
A.变更过程要留痕
B.变更申请与上线提出要经过审批
C.变更过程要坚持环境分离和人员分离原则
D.变更要与容灾预案同步
20、单项选择题 一个组织的灾难恢复（DR，disasterrecovery）策略的变更时将公司的关键任务应用的恢复点目标（RPO）被缩短了，下述哪个是该变更的最显著风险？（）
A.现有的DR计划没有更新以符合新的RPO
B.DR小组没有基于新的RPO进行培训
C.备份没有以足够的频率进行以实现新的RPO
D.该计划没有基于新的RPO进行测试
21、判断题 标准访问控制列表通过网络地址和传输中的数据类型进行信息流控制，且只允许过滤目的地址。
22、单项选择题 下面哪一个不是系统设计阶段风险管理的工作内容（）
A.安全技术选择
B.软件设计风险控制
C.安全产品选择
D.安全需求分析
23、单项选择题 计算机安全事故发生时，下列哪些人不被通知或者最后才被通知：（）
A.系统管理员
B.律师
C.恢复协调员
D.硬件和软件厂商
24、单项选择题 TCP三次握手协议的第一步是发送一个：（）
A.SYN包
B.ACK包
C.UDP包
D.null包
25、判断题 任何话题只有积累了足够数量或者分量的帖子，才能体现这种持续关注度。
26、单项选择题 下列对于CC的“评估保证级”（EAL）的说法最准确的是：（）
A.代表着不同的访问控制强度
B.描述了对抗安全威胁的能力级别
C.是信息技术产品或信息技术系统对安全行为和安全功能的不同要求
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度
27、单项选择题 外部组织使用组织敏感信息资产时，以下正确的做法是？（）
A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。
28、单项选择题 渗透测试作为网络安全评估的一部分（）
A.提供保证所有弱点都被发现
B.在不需要警告所有组织的管理层的情况下执行
C.找到存在的能够获得未授权访问的漏洞
D.在网络边界上执行不会破坏信息资产
29、单项选择题 下述攻击手段中不属于DOS攻击的是：（）
A.Smurf攻击
B.Land攻击
C.Teardrop攻击
D.CGI溢出攻击
30、单项选择题 以下关于ISMS内部审核报告的描述不正确的是？（）
A.内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果
B.内审报告中必须包含对不符合性项的改进建议
C.内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商，核实报告内容。
D.内审报告中必须包括对纠正预防措施实施情况的跟踪
31、单项选择题 在评估逻辑访问控制时，应该首先做什么（）
A.把应用在潜在访问路径上的控制项记录下来
B.在访问路径上测试控制来检测是否他们具功能化
C.按照写明的策略和实践评估安全环境
D.对信息流程的安全风险进行了解
32、判断题 互联网不良信息泛滥的原因有多种，网络道德观念的缺乏属其中一种。
33、问答题 多边安全模型有哪两种？
34、单项选择题 以下哪一个不是安全审计的作用？（）
A.记录系统被访问的过程及系统保护机制的运行状态。
B.发现试图绕过保护机制的行为。
C.及时发现并阻止用户身份的变化
D.报告并阻碍绕过保护机制的行为并记录相关进程，为灾难恢复提供信息。
35、单项选择题 当客户需要访问组织信息资产时，下面正确的做法是？（）
A.应向其传达信息安全要求及应注意的信息安全问题。
B.尽量配合客户访问信息资产。
C.不允许客户访问组织信息资产。
D.不加干涉，由客户自己访问信息资产。
36、单项选择题 管理者何时可以根据风险分析结果对已识别风险不采取措施（）
A.当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时
B.当风险减轻方法提高业务生产力时
C.当引起风险发生的情况不在部门控制范围之内时
D.不可接受
37、单项选择题 在招聘过程中，如果在岗位人员的背景调查中出现问题时，以下做法正确的是？（）
A.继续执行招聘流程。
B.停止招聘流程，取消应聘人员资格。
C.与应聘人员沟通出现的问题。
D.再进行一次背景调查。
38、单项选择题 下面那个不是信息安全风险的要素？（）
A.资产及其价值
B.数据安全
C.威胁
D.控制措施
39、单项选择题 有关信息安全事件的描述不正确的是（）
A.信息安全事件的处理应该分类、分级
B.信息安全事件的数量可以反映企业的信息安全管控水平
C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小
D.信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生
40、单项选择题 以下对于IPsec协议说法正确的是：（）
A.鉴别头（AH）协议，不能加密包的任何部分
B.IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C.IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D.在使用传输模式时，IPsec为每个包建立一个新的包头，而在隧道模式下使用原始包头
41、单项选择题 以下哪个模型主要用于医疗资料的保护？（）
A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型
42、单项选择题 下列哪一个是PKI体系中用以对证书进行访问的协议？（）
A.SSL
B.LDAP
C.CA
D.IKE
43、单项选择题 （）在访问控制中，对网络资源的访问是基于什么的？
A、用户
B、权限
C、访问对象
D、工作组
44、单项选择题 Linux文件系统采用的是树型结构，在根目录下默认存在var目录，它的的功用是？（）
A.公用的临时文件存储点
B.系统提供这个目录是让用户临时挂载其他的文件系统
C.某些大文件的溢出区
D.最庞大的目录，要用到的应用程序和文件几乎都在这个目录
45、单项选择题 以下哪项行为可能使用嗅探泄露系统的管理员密码？（）
A.使用root用户访问FTP程序
B.使用root用户连接SSH服务
C.使用root进行SCP文件传输
D.在本地使用root用户登录
46、判断题 电子商务促进了企业基础架构的变革和变化。
47、判断题 网页防篡改属于内容过滤技术的应用领域。
48、单项选择题 信息安全管理手段不包括以下哪一项（）
A.技术
B.流程
C.人员
D.市场
49、填空题 物流是电子商务（）的基础。
50、单项选择题 以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？（）
A.ISO/IEC7498-2
B.BS7799
C.通用评估准则
D.IATF
51、单项选择题 系统上线前应当对系统安全配置进行检查，不包括下列哪种安全检查（）
A.主机操作系统安全配置检查
B.网络设备安全配置检查
C.系统软件安全漏洞检查
D.数据库安全配置检查
52、单项选择题 作为信息安全治理的成果，战略方针提供了：（）
A.企业所需的安全要求
B.遵从最佳实务的安全基准
C.日常化制度化的解决方案
D.风险暴露的理解
53、判断题 专家评估是论文评价的主要方法之一。
54、单项选择题 在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么做？（）
A.外部代理商的处理应该接受一个来自独立代理进行的IS审计。
B.外部代理商的员工必须接受该组织的安全程序的培训。
C.来自外部代理商的任何访问必须限制在停火区（DMZ）
D.该组织应该进行风险评估，并制定和实施适当的控制。
55、单项选择题 网络安全技术层面的特性有可控性、可用性、完整性、保密性和（）
A、多样性
B、复杂性
C、可操作性
D、不可否认性
56、填空题 在企业推进信息化的过程中应（）风险。
57、单项选择题 在进行人员的职责定义时，在信息安全方面应考虑什么因素？（）
A.人员的背景、资质的可靠性
B.人员需要履行的信息安全职责
C.人员的工作能力
D.人员沟通、协调能力
58、单项选择题 测试程序变更管理流程时，安全管理体系内审员使用的最有效的方法是：（）
A.由系统生成的信息跟踪到变更管理文档
B.检查变更管理文档中涉及的证据的精确性和正确性
C.由变更管理文档跟踪到生成审计轨迹的系统
D.检查变更管理文档中涉及的证据的完整性
59、单项选择题 一个备份站点包括电线、空调和地板，但不包括计算机和通讯设备，那么它属于（）
A.冷站
B.温站
C.直线站点
D.镜像站点
60、单项选择题 下述攻击手段中不属于DOS攻击的是：（）
A.Smurf攻击
B.Land攻击
C.Teardrop攻击
D.CGI溢出攻击
61、单项选择题 下列哪一个是国家推荐标准（）
A.GB/T18020-1999
B.SJ/T30003-93
C.ISO/IEC15408
D.GA243-2000
62、单项选择题 以下哪组全部都是多边安全模型？（）
A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BMA模型
D.Clark－Wilson模型和Chinese wall模型
63、单项选择题 数字证书在International Telecommunications Union（ITU）的哪个标准中定义的？（）
A.X.400
B.X.25
C.X.12
D.X.509
64、填空题 （）是密码学发展史上唯一一次真正的革命。
65、单项选择题 在实施风险分析期间，识别出威胁和潜在影响后应该（）
A.识别和评定管理层使用的风险评估方法
B.识别信息资产和基本系统
C.揭示对管理的威胁和影响
D.识别和评价现有控制
66、问答题 RSA采用哪个数量原理？
67、单项选择题 在完成了业务影响分析（BIA）后，下一步的业务持续性计划应该是什么（）
A.测试和维护业务持续性计划
B.制定一个针对性计划
C.制定恢复策略
D.实施业务持续性计划
68、单项选择题 以下哪一个选项是从软件自身功能出发，进行威胁分析（）
A.攻击面分析
B.威胁建模
C.架构设计
D.详细设计
69、单项选择题 以下对企业信息安全活动的组织描述不正确的是（）
A.企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施
70、单项选择题 哪个端口被设计用作开始一个SNMP Trap？（）
A.TCP 161
B.UDP 161
C.UDP 162
D.TCP 169
71、单项选择题 某公司的在实施一个DRP项目，项目按照计划完成后。聘请了专家团队进行评审，评审过程中发现了几个方而的问题，以下哪个代表最大的风险（）
A.没有执行DRP测试
B.灾难恢复策略没有使用热站进行恢复
C.进行了BIA，但其结果没有被使用
D.灾难恢复经理近期离开了公司
72、填空题 信息安全人员管理中岗位安全考核主要是从（）、（）方面进行。
73、单项选择题 下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络？（）
A.虚拟专用网
B.专线
C.租用线路
D.综合服务数字网
74、单项选择题 DNS查询（queries）工具中的DNS服务使用哪个端口？（）
A.UDP 53
B.TCP 23
C.UDP 23
D.TCP 53
75、单项选择题 组织机构应根据事故类型建立揭制策略，需要考虑以下几个因素，除了：（）
A、实施策略需要的时间和资源
B、攻击者的动机
C、服务可用性
D、证据保留的时间
76、单项选择题 数据库的加密方法中，采用（），则密钥管理较为简单，只需借用文件加密的密钥管理方法。
A、库外加密
B、库内加密
C、记录加密
D、元组加密
77、单项选择题 以下哪些不是设备资产：（）
A.机房设施
B.周边设施
C.管理终端
D.操作系统
78、填空题 电子商务是成长潜力（），综合效益（）的产业。
79、单项选择题 在自主访问环境中，以下哪个实体可以将信息访问权授予给其他人？（）
A.经理
B.集团负责人
C.安全经理
D.数据所有者
80、单项选择题 ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？（）
A.关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项
B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行
C.孤立的偶发性的且对信息安全管理体系无直接影响的问题；
D.审核员识别的可能改进项
81、单项选择题 在下面的加密方法中，哪个加解密的效率最低：（）
A、记录加密
B、属性加密
C、元素加密
D、表加密
82、单项选择题 OSI开放系统互联安全体系架构中的安全服务分为鉴别服务、访问控制、机密性服务、完整性服务、抗抵赖服务，其中机密性服务描述正确的是？（）
A.包括原发方抗抵赖和接受方抗抵赖
B.包括连接机密性、无连接机密性、选择字段机密性和业务流保密
C.包括对等实体鉴别和数据源鉴别
D.包括具有恢复功能的连接完整性、没有恢复功能的连接完整性、选择字段连接完整性、无连接完整性和选择字段无连接完整性
83、单项选择题 使用热站作为备份的优点是：（）
A.热站的费用低
B.热站能够延长使用时间
C.热站在短时间内可运作
D.热站不需要和主站点兼容的设备和系统软件
84、单项选择题 在制定组织间的保密协议，以下哪一个不是需要考虑的内容？（）
A.需要保护的信息。
B.协议期望持续时间。
C.合同双方的人员数量要求。
D.违反协议后采取的措施。
85、单项选择题 在人力资源审计期间，安全管理体系内审员被告知在IT部门和人力资源部门中有一个关于期望的IT服务水平的口头协议。安全管理体系内审员首先应该做什么？（）
A.为两部门起草一份服务水平协议
B.向高级管理层报告存在未被书面签订的协议
C.向两部门确认协议的内容
D.推迟审计直到协议成为书面文档
86、单项选择题 BIBA模型基于两种规则来保障数据的完整性的保密性，分别是：（）
A.上读，主体不可读安全级别高于它的数据；下写，主体不可写安全级别低于它的数据
B.下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级别低于它的数据
C.上读，主体不可读安全级别低于它的数据；下写，主体不可写安全级别高于它的数据
D.下读，主体不可读安全级别低于它的数据；上写，主体不可写安全级别高于它的数据
87、单项选择题 当审核一个组织的业务连续性计划时，某IS审计师观察到这个被审计组织的数据和软件文件被周期性的进行了备份。有效性计划哪一个特性在这里被证明？（）
A.防止
B.减轻
C.恢复
D.响应
88、单项选择题 为了达到组织灾难恢复的要求，备份时间间隔不能超过：（）
A．服务水平目标（SLO）
B．恢复时间目标（RTO）
C．恢复点目标（RPO）
D．停用的最大可接受程度（MAO）
89、单项选择题 Visa和MasterCard共同开发的用于信用卡交易的安全协议是什么？（）
A.SSL
B.SET
C.PPTP
D.三重DES
90、单项选择题 在业务持续性计划中，下面哪一项具有最高的优先级？（）
A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点
91、单项选择题 下面关于定性风险评估方法的说法不正确的是（）
A.易于操作，可以对风险进行排序并能够对那些需要立即改善的环节进行标识
B.主观性强，分析结果的质量取决于风险评估小组成员的经验和素质
C."耗时短、成本低、可控性高"
D.能够提供量化的数据支持，易被管理层所理解和接受
92、单项选择题 组织回顾信息系统灾难恢复计划时应：（）
A.每半年演练一次
B.周期性回顾并更新
C.经首席执行官（CEO）认可
D.与组织的所有部门负责人沟通
93、单项选择题 以下哪一种环境控制适用于保护短期内电力环境不稳定条件下的计算机设备？（）
A.电路调整器Power line conditioners
B.电流浪涌防护装置A surge protective device
C.替代电源
D.不间断供电
94、单项选择题 覆盖和消磁不用在对以下哪一种计算机存储器或存储媒介进行清空的过程？（）
A.随机访问存储器（RAM）
B.只读存储器（ROM）
C.磁性核心存储器
D.磁性硬盘
95、判断题 免疫性不属于计算机病毒特征。
96、单项选择题 在数据库系统中，（）是信息系统的第一道屏障。
A、数据加密
B、数据库加密
C、口令保护
D、数据审计
97、单项选择题 下面哪类设备常用于风险分析过程中，识别系统中存在的脆弱性？（）
A.防火墙
B.IDS
C.漏洞扫描器
D.UTM
98、判断题 传播网络病毒，恶意进行网络攻击不属于网络不诚信问题的表现。
99、单项选择题 下面哪个组合不是是信息资产（）
A.硬件、软件、文档资料
B.关键人员
C.组织提供的信息服务
D.桌子、椅子
100、单项选择题 为了预防逻辑炸弹，项目经理采取的最有效的措施应该是（）
A.对每日提交的新代码进行人工审计
B.代码安全扫描
C.安全意识教育
D.安全编码培训教育
101、填空题 美国（）政府提出来网络空间的安全战略。
102、单项选择题 （）通过注册表或者安全策略，限制匿名连接的目的是什么？
A、匿名连接会造成系统额外负担，影响性能
B、匿名连接影响网络效率
C、匿名连接能够探测SAM的帐号和组
D、匿名连接直接导致系统被他人远程控制
103、单项选择题 下面哪一项最准确的阐述了安全检测措施和安全审计之间的区别？（）
A.审计措施不能自动执行，而检测措施可以自动执行
B.检测措施不能自动执行，而审计措施可以自动执行
C.审计措施是一次性的或周期性的进行，而检测措施是实时的进行
D.检测措施是一次性的或周期性的进行，而审计措施是实时的进行
104、单项选择题 制定应急响应策略主要需要考虑（）
A.系统恢复能力等级划分
B.系统恢复资源的要求
C.费用考虑
D.人员考虑
105、单项选择题 下列关于互惠原则说法不正确的是（）。
A、互惠原则是网络道德的主要原则之一
B、网络信息交流和网络服务具有双向性
C、网络主体只承担义务
D、互惠原则本质上体现的是赋予网络主体平等与公正
106、单项选择题 下面关于密码算法的说法错误的是？（）
A.分组密码又称作块加密
B.流密码又称作序列密码
C.DES算法采用的是流密码
D.序列密码每次加密一位或一个字节的明文
107、单项选择题 当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专业人士最重要的考虑因素？该提供商：（）
A.满足并超过行业安全标准
B.同意可以接受外部安全审查
C.其服务和经验有很好的市场声誉
D.符合组织的安全策略
108、填空题 利用（）已经成为了计算机病毒传播的一个发展趋势。
109、单项选择题 （）以下哪些不是操作系统安全的主要目标？
A、标志用户身份及身份鉴别
B、按访问控制策略对系统用户的操作进行控制
C、防止用户和外来入侵者非法存取计算机资源
D、检测攻击者通过网络进行的入侵行为
110、单项选择题 安全评估人员正为某个医疗机构的生产和测试环境进行评估。在访谈中，注意到生产数据被用于测试环境测试，这种情况下存在哪种最有可能的潜在风险？（）
A.测试环境可能没有充足的控制确保数据的精确性
B.测试环境可能由于使用生产数据而产生不精确的结果
C.测试环境的硬件可能与生产环境的不同
D.测试环境可能没有充分的访问控制以确保数据机密性
111、单项选择题 安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？（）
A.Biba模型中的不允许向上写
B.Biba模型中的不允许向下读
C.Bell-LaPadula模型中的不允许向下写
D.Bell-LaPadula模型中的不允许向上读
112、单项选择题 校园网内由于病毒攻击、非法入侵等原因，200台以内的用户主机不能正常工作，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
113、单项选择题 在逻辑访问控制中如果用户账户被共享，这种局面可能造成的最大风险是：（）
A.非授权用户可以使用ID擅自进入
B.用户访问管理费时
C.很容易猜测密码
D.无法确定用户责任
114、单项选择题 下面哪一项不是风险评估的过程？（）
A.风险因素识别
B.风险程度分析
C.风险控制选择
D.风险等级评价
115、单项选择题 以下关于备份站点的说法哪项是正确的（）
A.应与原业务系统具有同样的物理访问控制措施
B.应容易被找到以便于在灾难发生时以备紧急情况的需要
C.应部署在离原业务系统所在地较近的地方
D.不需要具有和原业务系统相同的环境监控等级
116、单项选择题 拒绝式服务攻击会影响信息系统的哪个特性？（）
A.完整性
B.可用性
C.机密性
D.可控性
117、填空题 防火墙规则集应该尽可能的（），规则集越（），错误配置的可能性就越小，系统就越安全。
118、单项选择题 黑客造成的主要危害是（）
A.破坏系统、窃取信息及伪造信息
B.攻击系统、获取信息及假冒信息
C.进入系统、损毁信息及谣传信息
D.进入系统，获取信息及伪造信息
119、单项选择题 （）关于Windows2000中的身份验证过程，下面哪种说法是错误的？
A、如果用户登录一个域，则Windows2000将把这些登录信息转交给域控制器处理。
B、如果用户登录本机，则Windows2000将把这些登录信息转交给域控制器处理。
C、如果用户登录一个域，则Windows2000利用域控制器含有的目录副本，验证用户的登录信息。
D、如果用户登录本机，则Windows2000利用本机的安全子系统含有的本机安全数据库，验证用户的登录信息。
120、判断题 安装入侵检测软件不会帮助减少收到的垃圾邮件数量。
121、单项选择题 矩阵分析法通常是哪种风险评估采用的方法（）
A.定性风险评估
B.定量分析评估
C.安全漏洞评估
D.安全管理评估
122、单项选择题 企业的业务持续性计划中应该以记录以下内容的预定规则为基础（）
A.损耗的持续时间
B.损耗的类型
C.损耗的可能性
D.损耗的原因
123、问答题 入侵检测系统分为哪几种，各有什么特点？
124、单项选择题 通常最好由谁来确定系统和数据的敏感性级别？（）
A.审计师
B.终端用户
C.拥有者
D.系统分析员
125、判断题 根据《儿童互联网保护法》，美国的公共图书馆都必须给联网计算机安装^色 情过滤系统，否则图书馆将无法获得政府提供的技术补助资金。
126、单项选择题 以下哪一项是防范SQL注入攻击最有效的手段？（）
A.删除存在注入点的网页
B.对数据库系统的管理权限进行严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进行严格的过滤
127、单项选择题 包括了对整个应用程序、控制程序的逻辑和数据的逻辑合法性和合理性的审计方法是（）
A、设备安全的审计
B、应用程序的审计
C、系统操作的审计
D、欺诈行为的审计
128、单项选择题 以下哪一个是ITU的数字证书标准（）
A.SSL
B.SHTTP
C.x.509
D.SOCKS
129、单项选择题 对安全策略的描述不正确的是（）
A.信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B.策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D.安全策略一旦建立和发布，则不可变更
130、单项选择题 监视恶意代码主体程序是否正常的技术是？（）
A.进程守护
B.备份文件
C.超级权限
D.HOOK技术
131、单项选择题 关于数据库注入攻击的说法错误的是：（）
A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火墙对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限
132、单项选择题 下列哪一项是DOS攻击的一个实例？（）
A.SQL注入
B.IPSpoof
C.Smurf攻击
D.字典破解
133、单项选择题 对能力成熟度模型解释最准确的是？（）
A.它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。
B.它通过严格考察工程成果来判断工程能力。
C.它与统计过程控制的理论出发点不同，所以应用于不同领域。
D.它是随着信息安全的发展而诞生的重要概念。
134、填空题 蹭网指攻击者使用自己计算机中的无线网卡连接他人的无线路由器上网，而不是通过（）提供的线路上网。
135、单项选择题 下面对于标识和鉴别的解释最准确的是：（）
A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性
B.标识用于区别不同的用户，而鉴别用于赋予用户权限
C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性
D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限
136、单项选择题 组织内数据安全官的最为重要的职责是：（）
A.推荐并监督数据安全策略
B.在组织内推广安全意识
C.制定IT安全策略下的安全程序/流程
D.管理物理和逻辑访问控制
137、单项选择题 BS7799这个标准是由下面哪个机构研发出来的？（）
A.美国标准协会
B.英国标准协会
C.中国标准协会
D.国际标准协会
138、单项选择题 你的ATM卡为什么说是双重鉴定的形式？（）
A.它结合了你是什么和你知道什么
B.它结合了你知道什么和你有什么
C.它结合了你控制什么和你知道什么
D.它结合了你是什么和你有什么
139、单项选择题 以下对审核发现描述正确的是（）
A.用作依据的一组方针、程序或要求
B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息
C.将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项
D.对审核对象的物理位置、组织结构、活动和过程以及时限的描述
140、单项选择题 电子商务交易必须具备抗抵赖性，目的在于防止（）。
A.一个实体假装成另一个实体
B.参与此交易的一方否认曾经发生过此次交易
C.他人对数据进行非授权的修改、破坏
D.信息从被监视的通信过程中泄漏出去
141、单项选择题 《关于信息安全等级保护的实施意见》中信息和信息系统安全保护等级的第三级的定义是（）
A.自主保护级
B.指导保护级
C.强制保护级
D.监督保护级
142、单项选择题 戴明循环执行顺序，下面哪项正确？（）
A.PLAN-ACT-DO-CHECK
B.CHECK-PLAN-ACT-DO
C.PLAN-DO-CHECK-ACT
D.ACT-PLAN-CHECK-DO
143、填空题 露天开采的原矿成本由（）和（）两部分组成。
144、单项选择题 以下哪个标准是ISO27001的前身标准？（）
A.BS5750
B.BS7750
C.BS7799
D.BS15000
145、问答题 蠕虫病毒的特点？
146、单项选择题 关于标准、指南、程序的描述，哪一项是最准确的？（）
A.标准是建议性的策略，指南是强制执行的策略
B.程序为符合强制性指南的一般性建议
C.程序是为符合强制性指南的一般性建议
D.程序是为符合强制性标准的的说明
147、单项选择题 下列哪一种情况会损害计算机安全策略的有效性？（）
A.发布安全策略时
B.重新检查安全策略时
C.测试安全策略时
D.可以预测到违反安全策略的强制性措施时
148、单项选择题 当建立一个业务持续性计划时，使用下面哪一个工具用来理解组织业务流程？（）
A.业务持续性自我评估
B.资源的恢复分析
C.风险评估和业务影响评估
D.差异分析
149、单项选择题 下列哪一项最好地支持了24/7可用性？（）
A.日常备份
B.离线存储
C.镜像
D.定期测试
150、单项选择题 系统要达到什么样的（），取决于系统所处理信息地重要程度、价值和敏感性。
A、可行性
B、系统灵活性
C、用户地方便性
D、完整性
151、单项选择题 以下哪项是组织中为了完成信息安全目标，针对信息系统，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制等活动？（）
A.反应业务目标的信息安全方针、目标以及活动；
B.来自所有级别管理者的可视化的支持与承诺；
C.提供适当的意识、教育与培训
D.以上所有
152、单项选择题 以下对信息安全问题产生的根源描述最准确的是：（）
A.信息安全问题是由于信息技术的不断发展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏
153、判断题 一次买断以后再版就不必再给作者支付稿费。
154、单项选择题 下列有关密码学的说法中错误的是：（）
A.密码学是研究信息系统安全保密的科学。由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进行分析，以便推出机密变量、包括明文在内的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进行编码，实现对信息的隐蔽。
155、单项选择题 防火墙通过（）控制来阻塞邮件附件中的病毒。
A.数据控制
B.连接控制
C.ACL控制
D.协议控制
156、单项选择题 下面哪种方法在数据中心灭火最有效并且是环保的？（）
A.哈龙气体
B.湿管
C.干管
D.二氧化碳气
157、单项选择题 以下哪个进程不属于NFS服务器端的进程？（）
A.statd
B.mountd
C.nfsd
D.Automounter
158、单项选择题 下面哪种方法可以替代电子银行中的个人标识号（PINs）的作用？（）
A.虹膜检测技术
B.语音标识技术
C.笔迹标识技术
D.指纹标识技术
159、单项选择题 下列哪类访问控制模型是基于安全标签实现的？（）
A.自主访问控制
B.强制访问控制
C.基于规则的访问控制
D.基于身份的访问控制
160、单项选择题 以下关于“最小特权”安全管理原则理解正确的是：（）
A.组织机构内的敏感岗位不能由一个人长期负责
B.对重要的工作进行分解，分配给不同人员完成
C.一个人有且仅有其执行岗位所足够的许可和权限
D.防止员工由一个岗位变动到另一个岗位，累积越来越多的权限
161、单项选择题 下面哪一项不属于微软SDL的七个阶段之一？（）
A.培训
B.需求
C.销售
D.验证
162、单项选择题 一个单位在处理一台储存过高密级信息的计算机是首先应该做什么？（）
A.将硬盘的每一个比特写成“O”
B.将硬盘彻底毁坏
C.选择秘密信息进行删除
D.进行低级格式化
163、单项选择题 下面哪一个不是系统废弃阶段风险管理的工作内容（）
A.安全测试
B.对废弃对象的风险评估
C.防止敏感信息泄漏
D.人员培训
164、单项选择题 某种防火墙的缺点是没有办法从非常细微之处来分析数据包，但它的优点是非常快，这种防火墙是以下的哪一种？（）
A.电路级网关
B.应用级网关
C.会话层防火墙
D.包过滤防火墙
165、单项选择题 （）对于帐户策略的描述，以下哪句话是错误的？
A、可以设定最短密码长度和密码最长期限。
B、可以强制锁定指定次数登录不成功的用户
C、帐户策略一律应用于域内的所有用户帐户
D、可以为同一域内的不同部门定义不同帐户策略
166、单项选择题 以下对信息安全描述不正确的是（）
A.信息安全的基本要素包括保密性、完整性和可用性
B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性
C.信息安全就是不出安全事故/事件
D.信息安全不仅仅只考虑防止信息泄密就可以了
167、单项选择题 （）是指事务在运行至正常终止前被中止，这时恢复子系统应利用日志文件撤销此事物已对数据库进行的修改。
A、系统故障
B、事故故障
C、介质故障
D、软件故障
168、单项选择题 一名攻击者试图通过暴力攻击来获取下列哪一项信息？（）
A.加密密钥
B.加密算法
C.公钥
D.密文
169、单项选择题 在制定一个正式的企业安全计划时，最关键的成功因素将是？（）
A.成立一个审查委员会
B.建立一个安全部门
C.向执行层发起人提供有效支持
D.选择一个安全流程的所有者
170、单项选择题 信息安全管理体系要求的核心内容是？（）
A.风险评估
B.关键路径法
C.PDCA循环
D.PERT
171、单项选择题 如果双方使用的密钥不同，从其中的一个密钥很难推出另外一个密钥，这样的系统称为（）
A.常规加密系统
B.单密钥加密系统
C.公钥加密系统
D.对称加密系统
172、单项选择题 维持对于信息资产的适当的安全措施的责任在于（）
A.安全管理员
B.系统管理员
C.数据和系统的所有者
D.系统作业人员
173、单项选择题 某组织的信息系统策略规定，终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应：（）
A.报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查
174、单项选择题 Kerberos依赖什么加密方式？（）
A.ElGamal密码加密
B.秘密密钥加密。
C.Blowfish加密。
D.公钥加密。
175、单项选择题 下面哪一种物理访问控制能够对非授权访问提供最高级别的安全？（）
A.bolting门锁
B.Cipher密码锁
C.电子门锁
D.指纹扫描器
176、判断题 电子商务的网络零售不包括B2C和2C。
177、单项选择题 以下关于软件安全测试说法正确的是？（）
A.软件安全测试就是黑盒测试。
B.Fuzz测试是经常采用的安全测试方法之一。
C.软件安全测试关注的是软件的功能。
D.软件安全测试可以发现软件中产生的所有安全问题。
178、单项选择题 下面哪一个不是系统规划阶段风险管理的工作内容（）
A.明确安全总体方针
B.明确系统安全架构
C.风险评价准则达成一致
D.安全需求分析
179、单项选择题 网络“抄袭”纠纷频发反映了（）
A、互联网产业创新活力不足
B、互联网诚信缺失
C、互联网市场行为亟待规范
D、互联网立法工作的滞后
180、单项选择题 以下哪一项属于物理安全方面的管理控制措施？（）
A.照明
B.护柱
C.培训
D.建筑设施的材料
181、填空题 计算机病毒可能在用户打开（）文件时被启动。
182、单项选择题 在什么情况下，热站会作为一个恢复策略被执行？（）
A.低灾难容忍度
B.高恢复点目标（RPO）
C.高恢复时间目标（RTO）
D.高灾难容忍度
183、单项选择题 在确定威胁的可能性时，可以不考虑以下哪个？（）
A.威胁源
B.潜在弱点
C.现有控制措施
D.攻击所产生的负面影响
184、单项选择题 以下哪种做法是正确的“职责分离”做法？（）
A.程序员不允许访问产品数据文件
B.程序员可以使用系统控制台
C.控制台操作员可以操作磁带和硬盘
D.磁带操作员可以使用系统控制台
185、单项选择题 评估应急响应计划时，下列哪一项应当最被关注：（）
A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体应急响应计划被文档化，但详细恢复步骤没有规定
D.事件通告的职责没有被识别
186、单项选择题 拒绝服务攻击损害了信息系统的哪一项性能？（）
A.完整性
B.可用性
C.保密性
D.可靠性
187、单项选择题 组织允许外部通过互联网访问组织的局域网之前，首先要考虑实施以下哪项措施？（）
A.保护调制解调器池。
B.考虑适当的身份验证方式。
C.为用户提供账户使用信息。
D.实施工作站锁定机制。
188、单项选择题 较低的恢复时间目标（恢复时间目标）的会有如下结果：（）
A.更高的容灾
B.成本较高
C.更长的中断时间
D.更多许可的数据丢失
189、单项选择题 谁对组织的信息安全负最终责任？（）
A.安全经理
B.高管层
C.IT经理
D.业务经理
190、单项选择题 以下哪一种局域网传输媒介是最可靠的？（）
A.同轴电缆
B.光纤
C.双绞线（屏蔽）
D.双绞线（非屏蔽）
191、单项选择题 我国信息安全事件分级不考虑下列哪一个要素？（）
A.信息系统的重要程度
B.系统损失
C.社会影响
D.业务损失
192、单项选择题 以下对ISO27001标准的描述不正确的是（）
A.企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求
B.ISO27001标准与信息系统等级保护等国家标准相冲突
C.ISO27001是源自于英国的国家标准BS7799
D.ISO27001是当前国际上最被认可的信息安全管理标准
193、单项选择题 在BS779-2：2002版中，下列对P-D-C-A过程的描述错误的是？（）
A.P代表PLAN，即建立ISMS环境&风险评估
B.D代表DO，即实现并运行ISMS
C.C代表CHECK，即监控和审查ISMS
D.A代表ACT，即执行ISMS
194、单项选择题 下列几个OSI层中，哪一层能够提供访问控制服务？（）
A.传输层
B.表示层
C.会话层
D.数据链路层
195、单项选择题 以下哪个模型主要用于金融机构信息系统的保护？（）
A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型
196、单项选择题 在软件程序测试的哪个阶段一个组织应该进行体系结构设计测试？（）
A.可接受性测试
B.系统测试
C.集成测试
D.单元测试
197、单项选择题 Linux系统一般使用GRUB作为启动的MBR程序，GRUB如何配置才能放置用户加入单用户模式重置root密码？（）
A.删除敏感的配置文件
B.注释gruB.conf文件中的启动项
C.在对应的启动title上配置进入单用户的密码
D.将GRUB程序使用非对称秘钥加密
198、单项选择题 以下哪项不属于信息系统安全保障模型包含的方面？（）
A.保障要素。
B.生命周期。
C.安全特征。
D.通信安全。
199、填空题 信息安全风险评估的自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的（）提供技术支持。
200、单项选择题 下列岗位哪个在招聘前最需要进行背景调查？（）
A.采购人员
B.销售人员
C.财务总监
D.行政人员
201、单项选择题 以下有关访问控制的描述不正确的是（）
A.口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D.双因子认证（又称强认证）就是一个系统需要两道密码才能进入
202、单项选择题 信安标委中哪个小组负责信息安全管理工作？（）
A、WG1
B、WG5
C、WG7
203、单项选择题 一个组织具有的大量分支机构且分布地理区域较广。以确保各方面的灾难恢复计划的评估，具有成本效益的方式，应建议使用：（）
A.数据恢复测试
B.充分的业务测试
C.前后测试
D.预案测试
204、填空题 根据SHARE78标准，在（）级情况下，备份中心处于活动状态，网络实时传送数据、流水日志、系统处于工作状态，数据丢失与恢复时间一般是小时级的。
205、单项选择题 有关定性风险评估和定量风险评估的区别，以下描述不正确的是（）
A.定性风险评估比较主观，而定量风险评估更客观
B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D.定性风险评估和定量风险评估没有本质区别，可以通用
206、单项选择题 对信息安全风险评估工作成果理解正确的是：（）
A．信息安全风险评估工作的最重要成果是按高中低级排列的风险列表。
B．通过信息安全风险评估工作，不仅能够明确系统安全风险，还能够获得如何控制风险的详细建议。
C．信息安全风险评估工作最终成果是信息系统安全问题（脆弱点）列表。
D．信息安全风险评估工作最终成果是信息系统安全威胁列表。
207、多项选择题 不同设VLAN之间要进行通信，可以通过（）。
A、交换机
B、路由器
C、网闸
D、入侵检测
E、入侵防御系统
208、单项选择题 测试人员与开发人员交互测试发现的过程中，开发人员最关注的什么？（）
A.bug的数量
B.bug的严重程度
C.bug的复现过程
D.bug修复的可行性
209、单项选择题 在检查IT安全风险管理程序，安全风险的测量应该（）
A.列举所有的网络风险
B.对应IT战略计划持续跟踪
C.考虑整个IT环境
D.识别对（信息系统）的弱点的容忍度的结果
210、单项选择题 以下对信息安全管理的描述错误的是（）
A.保密性、完整性、可用性
B.抗抵赖性、可追溯性
C.真实性私密性可靠性
D.增值性
211、单项选择题 当你发送一条GRANT语句时，服务器会在（）里创建一个记录项并把你用户名、主机名和口令记录在User、Host和Password列中。
A、db权限表
B、host权限表
C、table_priv权限表
D、user权限表
212、单项选择题 下列哪个协议可以防止局域网的数据链路层的桥接环路：（）
A.HSRP
B.STP
C.VRRP
D.OSPF
213、判断题 电子商务是成长潜力大，综合效益好的产业。
214、单项选择题 在客户/服务器系统中，安全方面的改进应首先集中在：（）
A.应用软件级
B.数据库服务器级
C.数据库级
D.应用服务器级
215、单项选择题 以下哪个选项不是信息中心（IC）工作职能的一部分？（）
A.准备最终用户的预算
B.选择PC的硬件和软件
C.保持所有PC的硬件和软件的清单
D.提供被认可的硬件和软件的技术支持
216、单项选择题 下面各种方法，哪个是制定灾难恢复策略必须最先评估的（）
A.所有的威胁可以被完全移除
B.一个可以实现的成本效益，内置的复原
C.恢复时间可以优化
D.恢复成本可以最小化
217、单项选择题 下面哪一项不是主机型入侵检测系统的优点？（）
A.性能价格比高
B.视野集中
C.敏感细腻
D.占资源少
218、判断题 科学观察可以分为直接观察和间接观察。
219、单项选择题 下面哪一个是定义深度防御安全原则的例子？（）
A.使用由两个不同提供商提供的防火墙检查进入网络的流量
B.在主机上使用防火墙和逻辑访问控制来控制进入网络的流量
C.在数据中心建设中不使用明显标志
D.使用两个防火墙检查不同类型进入网络的流量
220、单项选择题 信息安全管理体系策略文件中第一层文件是？（）
A.信息安全工作程序
B.信息安全方针政策
C.信息安全作业指导书
D.信息安全工作记录
221、单项选择题 以下哪项机制与数据处理完整性相关（）
A.数据库事务完整性机制
B.数据库自动备份复制机制
C.双机并行处理，并相互验证
D.加密算法
222、单项选择题 应急响应计划应该多久测试一次？（）
A.10年
B.当基础环境或设施发生变化时
C.2年
D.当组织内业务发生重大的变更时
223、单项选择题 单位中下面几种人员中哪种安全风险最大？（）
A.临时员工
B.外部咨询人员
C.现在对公司不满的员工
D.离职的员工
224、单项选择题 下面对ISO27001的说法最准确的是：（）
A.该标准的题目是信息安全管理体系实施指南
B.该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C.该标准提供了一组信息安全管理相关的控制措施和最佳实践
D.该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型
225、单项选择题 关于信息安全策略文件以下说法不正确的是哪个？（）
A.信息安全策略文件应由管理者批准、发布。
B.信息安全策略文件并传达给所有员工和外部相关方。
C.信息安全策略文件必须打印成纸质文件进行分发。
D.信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方法。
226、单项选择题 以下哪一个是包过滤防火墙的优点？（）
A.可以与认证、授权等安全手段方便的集成。
B.与应用层无关，无须改动任何客户机和主机的应用程序，易于安装和使用。
C.提供透明的加密机制
D.可以给单个用户授权
227、单项选择题 以下哪些模型可以用来保护分级信息的机密性？（）
A.Biba模型和Bell－Lapadula模型
B.Bell－Lapadula模型和信息流模型
C.Bell－Lapadula模型和Clark－Wilson模型
D.Clark－Wilson模型和信息流模型
228、单项选择题 由于病毒攻击、非法入侵等原因，校园网部分园区瘫痪，或者邮件、计费服务器不能正常工作，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
229、单项选择题
在选择外部供货生产商时，评价标准按照重要性的排列顺序是：（）
1.供货商与信息系统部门的接近程度
2.供货商雇员的态度
3.供货商的信誉、专业知识、技术
4.供货商的财政状况和管理情况
A.4，3，1，2
B.3，4，2，1
C.3，2，4，1
D.1，2，3，4
230、单项选择题 下列哪项不属于SSE-CMM中能力级别3“充分定义”级的基本内容：（）
A.改进组织能力
B.定义标准过程
C.协调安全实施
D.执行已定义的过程
231、单项选择题 下列哪一项体现了适当的职责分离？（）
A.磁带操作员被允许使用系统控制台。
B.操作员是不允许修改系统时间。
C.允许程序员使用系统控制台。
D.控制台操作员被允许装载磁带和磁盘。
232、单项选择题 以下哪项是正确的信息安全保障发展历史顺序？（）
A.通信安全→计算机安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
B.通信安全→信息安全保障→计算机安全→信息系统安全→网络空间安全/信息安全保障
C.计算机安全→通信安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
D.通信安全→信息系统安全→计算机安全→信息安全保障→网络空间安全/信息安全保障
233、单项选择题 “进不来”“拿不走”“看不懂”“改不了”“走不脱”是网络信息安全建设的目的。其中，“看不懂”是指下面那种安全服务：（）
A.数据加密
B.身份认证
C.数据完整性
D.访问控制
234、多项选择题 网络安全审计系统一般包括（）。
A.网络探测引擎
B.数据管理中心
C.审计中心
D.声光报警系统
235、单项选择题 （）下列哪个标准本身由两个部分组成，一部分是一组信息技术产品的安全功能需要定义，另一部分是对安全保证需求的定义？
A、可信任计算机系统评估标准（TCSEC）
B、信息技术安全评价准则（ITSEC）
C、信息技术安全评价联邦准则（FC）
D、CC标准
236、单项选择题 下列对SSE-CMM说法错误的是？（）
A.它通过域维和能力维共同形成对安全工程能力的评价
B.域维定义了实施安全工程的所有实施活动
C.能力维定义了工程能力的判断标准
D.“公共特征”是域维中对获得过程区目标的必要步骤的定义
237、单项选择题 在对Linux系统中dir目录及其子目录进行权限权限统一调整时所使用的命令是什么？（）
A.rm-fr-755/dir
B.ls-755/dir
C.chmod755/dir/*
D.chmod-R755/dir
238、单项选择题 （）的主要任务是指对数据库系统应用程序或用户使用资源的情况进行记录和审计，用以保证数据的安全。
A、数据库备份
B、数据库恢复
C、数据库审计
D、数据库转储
239、单项选择题 以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性（）
A.ITSEC
B.TCSEC
C.GB/T9387.2
D.彩虹系列的橙皮书
240、单项选择题 （）默认情况下，所有用户对新创建的文件共享有什么权限？
A、读取
B、完全控制
C、写入
D、修改
241、单项选择题 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？（）
A.约定的标准及相关法律的要求
B.已识别的安全需求
C.控制措施有效实施和维护
D.ISO13335风险评估方法
242、单项选择题 下面哪一项不是ISMSPlan阶段的工作？（）
A.定义ISMS方针
B.实施信息安全风险评估
C.实施信息安全培训
D.定义ISMS范围
243、单项选择题 不受限制的访问生产系统程序的权限将授予以下哪些人？（）
A.审计师
B.不可授予任何人
C.系统的属主。
D.只有维护程序员
244、单项选择题 下列哪项是私有IP地址？（）
A.10.5.42.5
B.172.76.42.5
C.172.90.42.5
D.241.16.42.5
245、单项选择题 有关人员安全的描述不正确的是（）
A.人员的安全管理是企业信息安全管理活动中最难的环节
B.重要或敏感岗位的人员入职之前，需要做好人员的背景检查
C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作
D.人员离职之后，必须清除离职员工所有的逻辑访问帐号
246、单项选择题 系统地识别和管理组织所应用的过程，特别是这些过程之间的相互作用，称为什么？（）
A.戴明循环
B.过程方法
C.管理体系
D.服务管理
247、单项选择题 拥有电子资金转帐销售点设备的大型连锁商场，有中央通信处理器连接银行网络，对于通信处理机，下面哪一项是最好的灾难恢复计划。（）
A.每日备份离线存储
B.选择在线备份程序
C.安装双通讯设备
D.在另外的网络节点选择备份程序
248、单项选择题 在信息系统安全中，暴露由以下哪两种因素共同构成的？（）
A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏
249、单项选择题 单点登录系统主要的关切是什么？（）
A.密码一旦泄露，最大程度的非授权访问将可能发生。
B.将增加用户的访问权限。
C.用户的密码太难记。
D.安全管理员的工作量会增加。
250、单项选择题 对于Linux的安全加固项说法错误的是哪项？（）
A.使用uname-a确认其内核是否有漏洞
B.检查系统是否有重复的UID用户
C.查看login.defs文件对于密码的限制
D.查看hosts文件确保Tcpwapp er生效
251、单项选择题 事件响应方法学定义了安全事件处理的流程，这个流程的顺序是：（）
A.准备－抑制－检测－根除－恢复－跟进
B.准备－检测－抑制－恢复－根除－跟进
C.准备－检测－抑制－根除－恢复－跟进
D.准备－抑制－根除－检测－恢复－跟进
252、单项选择题 CC中的评估保证级4级（EAL3）对应TCSEC和ITSEC的哪个级别？（）
A."对应TCSECB1级，对应ITSECE4级"
B."对应TCSECC2级，对应ITSECE4级"
C."对应TCSECB1级，对应ITSECE3级"
D."对应TCSECC2级，对应ITSECE2级"
253、单项选择题 如果可能最应该得到第一个应急事件通知的小组是（）
A.应急响应领导小组
B.应急响应日常运行小组
C.应急响应技术保障小组
D.应急响应实施小组
254、单项选择题 有什么方法可以测试办公部门的无线安全？（）
A.Wardialing战争语言
B.社会工程学
C.战争驾驶
D.密码破解
255、单项选择题 255.0.0.0是哪类网址的默认MASK？（）
A.A类
B.B类
C.C类
D.D类
256、多项选择题 防火墙管理中（）具有设定规则的权限。
A.用户
B.审计员
C.超级管理员
D.普通管理员
257、单项选择题 ISO27001认证项目一般有哪几个阶段？（）
A.管理评估，技术评估，操作流程评估
B.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证
C.产品方案需求分析，解决方案提供，实施解决方案
D.基础培训，RA培训，文件编写培训，内部审核培训
258、单项选择题 在互联网环境中，网络舆论的形成变得较为复杂，但大致遵循（）模式。
A、新闻信息——舆论形成
B、民间舆论——新闻报道
C、产生话题——话题持续存活——形成网络舆论——网络舆论发展——网络舆论平息
D、产生话题——形成网络舆论——网络舆论平息
259、单项选择题 下面安全套接字层协议（SSL）的说法错误的是？（）
A.它是一种基于web应用的安全协议
B.由于SSL是内嵌在浏览器中的，无需安全客户端软件，所以相对于IPSec更简单易用
C.SSL与IPSec一样都工作在网络层
D.SSL可以提供身份认证、加密和完整性校验的功能
260、单项选择题 下面哪一个不是系统运行维护阶段风险管理的工作内容（）
A.安全运行和管理
B.安全测试
C.变更管理
D.风险再次评估
261、单项选择题 管理评审的最主要目的是（）
A.确认信息安全工作是否得到执行
B.检查信息安全管理体系的有效性
C.找到信息安全的漏洞
D.考核信息安全部门的工作是否满足要求
262、填空题 APT攻击是一种“（）”的攻击。
263、单项选择题 DDOS攻击的主要目换是：（）
A.破坏完整性和机密性
B.破坏可用性
C.破坏机密性和可用性
D.破坏机密性
264、多项选择题 下列符合我国网络舆论特点的是（）。
A、参与主体的广泛化与复杂化
B、互动参与性
C、时效性
D、监督性
265、单项选择题 风险评估实施过程中资产识别的范围主要包括什么类别（）
A.网络硬件资产
B.数据资产
C.软件资产
D.以上都包括
266、单项选择题 下列哪一项不是安全编程的原则：（）
A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法
267、单项选择题 以下哪项不是信息安全的主要目标（）
A.确保业务连续性
B.保护信息免受各种威胁的损害
C.防止黑客窃取员工个人信息
D.投资回报和商业机遇最大化
268、判断题 对于一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法和最先进的设备，而是由系统本身最薄弱之处及漏洞所确定的。
269、单项选择题 输入参数过滤可以预防以下哪些攻击（）
A.SQL注入、跨站脚本、缓冲区溢出
B.SQL注入、跨站脚本、DNS毒药
C.SQL注入、跨站请求伪造、网络窃听
D.跨站请求伪造、跨站脚本、DNS毒药
270、单项选择题 安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的（）
A.辅助辨识和分析未经授权的活动或攻击
B.对与己建立的安全策略的一致性进行核查
C.及时阻断违反安全策略的访问
D.帮助发现需要改进的安全控制措施
271、单项选择题 灾难性恢复计划（DRP）基于：（）
A.技术方面的业务连续性计划
B.操作部分的业务连续性计划
C.功能方面的业务连续性计划
D.总体协调的业务连续性计划
272、单项选择题 （）以下关于注册表子树用途描述错误的是哪个？
A、KEY_LOCAL_MACHINE包含了所有与本机有关的操作系统配置数据。
B、HKEY_CURRENT_USER包含当前用户的交互式的数据。
C、HKEY_CLASSES_ROOT包含软件的配置信息。
D、HKEY_USERS包含了活动的硬件
273、单项选择题 当选择的控制措施成本高于风险带来的损失时，应考虑（）
A.降低风险
B.转移风险
C.避免风险
D.接受风险
274、单项选择题 以下哪个与电子邮件系统没有直接关系？（）
A．PEM
B．PGP
C．X.500
D．X.400
275、单项选择题 ISMS文档体系中第一层文件是？（）
A.信息安全方针政策
B.信息安全工作程序
C.信息安全作业指导书
D.信息安全工作记录
276、单项选择题 以下哪一个不是VLAN的划分方式（）
A.根据TCP端口来划分
B.根据MAC地址来划分
C.根据IP组播划分
D."根据网络层划分"
277、单项选择题 面向对象的开发方法中，以下哪些机制对安全有帮助（）
A.封装
B.多态
C.继承
D.重载
278、单项选择题 根据PPDR模型：（）
A.一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B.判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C.如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的
D.如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间
279、单项选择题 恶意代码的第一个雏形是？（）
A.磁芯大战
B.爬行者
C.清除者
D.BRAIN
280、单项选择题 对于Linux操作系统中shadow文件说法不正确的是？（）
A.shadow文件可以指定用户的目录
B.shadow文件中定义了密码的使用期限
C.读取shadow文件能够发现秘钥的加密方法
D.shadow文件对于任何人是不可以读取的
281、单项选择题 用于跟踪路由的命令是（）
A.nestat
B.regedit
C.systeminfo
D.tracert
282、单项选择题 信息系统的价值确定需要与哪个部门进行有效沟通确定？（）
A.系统维护部门
B.系统开发部门
C.财务部门
D.业务部门
283、单项选择题 下面选项中不属于数据库安全模型的是：（）
A.自主型安全模型
B.强制型安全模型
C.基于角色的模型
D.访问控制矩阵
284、单项选择题 信息安全风险评估对象确立的主要依据是什么（）
A.系统设备的类型
B.系统的业务目标和特性
C.系统的技术架构
D.系统的网络环境
285、多项选择题 网络主体要提高自身的道德修养，要做到（）方面。
A、提高自己的道德修养水平
B、提高自己的道德修养层次
C、提高自己的网络技术水平
D、坚决同不道德的网络行为作斗争
286、单项选择题 在一个业务继续计划的模拟演练中，发现报警系统严重受到设施破坏。下列选项中，哪个是可以提供的最佳建议：（）
A.培训救护组如何使用报警系统
B.报警系统为备份提供恢复
C.建立冗余的报警系统
D.把报警系统存放地窖里
287、单项选择题 一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪个是最有效的技术来达成这个策略？（）
A.状态检测防火墙
B.网页内容过滤
C.网页缓存服务器
D.代理服务器
288、单项选择题 风险评估实施过程中脆弱性识别主要包括什么方面（）
A.软件开发漏洞
B.网站应用漏洞
C.主机系统漏洞
D.技术漏洞与管理漏洞
289、单项选择题 （）WindowsNT/XP的安全性达到了橘皮书的第几级？
A.C1级
B.B、C2级
C.C、B1级
D.D、B2级
290、单项选择题 BMA访问控制模型是基于（）
A.健康服务网络
B.ARPANET
C.ISP
D.INTERNET
291、单项选择题 下列对“信息安全风险”的描述正确的是：（）
A.是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险
B.是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险
C.是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险
D.是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险
292、单项选择题 网络安全一般是指网络系统的硬件、软件及其（）受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。
A、系统中的文件
B、系统中的图片
C、系统中的数据
D、系统中的视频
293、单项选择题 在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性。以下哪一层提供了抗抵赖性？（）
A.表示层
B.应用层
C.传输层
D.数据链路层
294、单项选择题 保护轮廓（PP）是下面哪一方提出的安全要求？（）
A.评估方
B.开发方
C.用户方
D.制定标准方
295、单项选择题 由于独立的信息系统增加，一个国有房产公司要求在发生重大故障后，必须保证能够继续提供IT服务。需要实施哪个流程才能提供这种保证性？（）
A.可用性管理
B.IT服务连续性管理
C.服务级别管理
D.服务管理
296、判断题 两种经济形态并存的局面将成为未来世界竞争的主要格局。
297、单项选择题 机构应该把信息系统安全看作：（）
A.业务中心
B.风险中心
C.业务促进因素
D.业务抑制因素
298、填空题 即使在企业环境中，（）作为企业纵深防御的一部分也是十分必要的。
299、单项选择题 可信计算机安全评估准则（TCSEC）与什么有关：（）
A.桔皮书
B.ISO15408
C.RFC1700
D.BS7799
300、单项选择题 Kerberos可以防止以下哪种攻击？（）
A.隧道攻击。
B.重放攻击。
C.破坏性攻击。
D.处理攻击。