时间:2023-04-13 02:47:35
1、单项选择题 信息分类是信息安全管理工作的重要环节，下面哪一项不是对信息进行分类时需要重点考虑的？（）
A.信息的价值
B.信息的时效性
C.信息的存储
D.法律法规的规定
2、单项选择题 网络安全技术层面的特性有可控性、可用性、完整性、保密性和（）
A、多样性
B、复杂性
C、可操作性
D、不可否认性
3、单项选择题 下面选项中不属于数据库安全模型的是：（）
A.自主型安全模型
B.强制型安全模型
C.基于角色的模型
D.访问控制矩阵
4、单项选择题 不受限制的访问生产系统程序的权限将授予以下哪些人？（）
A.审计师
B.不可授予任何人
C.系统的属主。
D.只有维护程序员
5、单项选择题 有关定性风险评估和定量风险评估的区别，以下描述不正确的是（）
A.定性风险评估比较主观，而定量风险评估更客观
B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D.定性风险评估和定量风险评估没有本质区别，可以通用
6、单项选择题 下列哪个协议可以防止局域网的数据链路层的桥接环路：（）
A.HSRP
B.STP
C.VRRP
D.OSPF
7、判断题 电子商务促进了企业基础架构的变革和变化。
8、单项选择题 管理者何时可以根据风险分析结果对已识别风险不采取措施（）
A.当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时
B.当风险减轻方法提高业务生产力时
C.当引起风险发生的情况不在部门控制范围之内时
D.不可接受
9、单项选择题 审核在实施审核时，所使用的检查表不包括的内容有？（）
A.审核依据
B.审核证据记录
C.审核发现
D.数据收集方法和工具
10、判断题 对钱财的贪婪也是网络违法犯罪行为的原始动力。
11、单项选择题 在计算可接受的关键业务流程恢复时间时（）
A.只需考虑停机时间的成本
B.需要分析恢复操作的成本
C.停机时间成本和恢复操作成本都需要考虑
D.可以忽略间接的停机成本
12、单项选择题 干管灭火器系统使用（）
A.水，但是只有在发现火警以后水才进入管道
B.水，但是水管中有特殊的防水剂
C.CO2代替水
D.哈龙代替水
13、单项选择题 下列哪一种密码算法是基于大数分解难题的？（）
A.ECC
B.RSA
C.DES
D.Diffie-Hellman
14、单项选择题 在客户/服务器系统中，安全方面的改进应首先集中在：（）
A.应用软件级
B.数据库服务器级
C.数据库级
D.应用服务器级
15、判断题 一次买断以后再版就不必再给作者支付稿费。
16、单项选择题 （）出台了世界第一部规范互联网传播的法律《多媒体法》.
A、美国
B、德国
C、英国
D、新加坡
17、判断题 口令复杂度应有要求，所以复杂的口令可以不用修改。
18、单项选择题 下面哪一个不是对点击劫持的描述（）
A.是一种恶意攻击技术，用于跟踪网络用户并获取私密信息
B.通过让用户来点击看似正常的网页来远程控制其电脑
C.可以用嵌入代码或文本的形式出现，在用户毫不知情的情况下完成攻击
D.可以对方网络瘫痪
19、单项选择题 下列哪个为我国计算机安全测评机构（）
A.CNITSEC
B.TCSEC
C.FC
D.CC
20、单项选择题 以下哪个选项是缺乏适当的安全控制的表现（）
A.威胁
B.脆弱性
C.资产
D.影响
21、单项选择题 系统管理员属于？（）
A.决策层
B.管理层
C.执行层
D.既可以划为管理层，又可以划为执行层
22、单项选择题 下面哪种方法可以替代电子银行中的个人标识号（PINs）的作用？（）
A.虹膜检测技术
B.语音标识技术
C.笔迹标识技术
D.指纹标识技术
23、单项选择题 黑客进行攻击的最后一个步骤是：（）
A.侦查与信息收集
B.漏洞分析与目标选定
C.获取系统权限
D.打扫战场、清楚证据
24、单项选择题 软件的供应商或是制造商可以在他们自己的产品中或是客户的计算机系统上安装一个“后门”程序。以下哪一项是这种情况面临的最主要风险？（）
A.软件中止和黑客入侵
B.远程监控和远程维护
C.软件中止和远程监控
D.远程维护和黑客入侵
25、单项选择题 所有进入物理安全区域的人员都需经过（）
A.考核
B.授权
C.批准
D.认可
26、单项选择题 变更控制是信息系统运行管理的重要的内容，在变更控制的过程中：（）
A.应该尽量追求效率，而没有任何的程序和核查的阻碍。
B.应该将重点放在风险发生后的纠正措施上。
C.应该很好的定义和实施风险规避的措施。
D.如果是公司领导要求的，对变更过程不需要追踪和审查
27、单项选择题 当更新一个正在运行的在线订购系统时，更新都记录在一个交易磁带和交易日志副本。在一天业务结束后，订单文件备份在磁带上。在备份过程中，驱动器故障和订单文件丢失。以下哪项对于恢复文件是必须的？（）
A.前一天的备份文件和当前的交易磁带
B.前一天的交易文件和当前的交易磁带
C.当前的交易磁带和当前的交易日志副本
D.当前的交易日志副本和前一天的交易交易文件
28、单项选择题 下列对跨站脚本攻击（XSS）的解释最准确的一项是：（）
A.引诱用户点击虚假网络链接的一种攻击方法
B.构造精妙的关系数据库的结构化查询语言对数据库进行非法的访问
C.一种很强大的木马攻击手段
D.将恶意代码嵌入到用户浏览的web网页中，从而达到恶意的目的
29、单项选择题 一个组织具有的大量分支机构且分布地理区域较广。以确保各方面的灾难恢复计划的评估，具有成本效益的方式，应建议使用：（）
A.数据恢复测试
B.充分的业务测试
C.前后测试
D.预案测试
30、单项选择题 TCP握手中，缩写RST指的是什么？（）
A.Reset
B.Response
C.Reply State
D.Rest
31、单项选择题 下列对于Rootkit技术的解释不准确的是：（）
A.Rootkit是攻击者用来隐藏自己和保留对系统的访问权限的一组工具
B.Rootkit是一种危害大、传播范围广的蠕虫
C.Rootkit和系统底层技术结合十分紧密
D.Rootkit的工作机制是定位和修改系统的特定数据，改变系统的正常操作流程
32、单项选择题 信息安全管理措施不包括：（）
A.安全策略
B.物理和环境安全
C.访问控制
D.安全范围
33、填空题 确定信息安全保护等级的步骤是（）、确定两个指标等级、确定业务子系统等级。
34、单项选择题 如果恢复时间目标增加，则（）
A.灾难容忍度增加
B.恢复成本增加
C.不能使用冷备援计算机中心
D.数据备份频率增加
35、单项选择题 下面关于定性风险评估方法的说法正确的是（）
A.通过将资产价值和风险等量化为财务价值和方式来进行计算的一种方法
B.采用文字形式或叙述性的数值范围来描述潜在后果的大小程度及这些后果发生的可能性
C.在后果和可能性分析中采用数值，并采用从各种各样的来源中得到的数据
D.定性风险分析提供了较好的成本效益分析
36、单项选择题 数字证书在International Telecommunications Union（ITU）的哪个标准中定义的？（）
A.X.400
B.X.25
C.X.12
D.X.509
37、判断题 网页防篡改属于内容过滤技术的应用领域。
38、单项选择题 以下哪一项是防范SQL注入攻击最有效的手段？（）
A.删除存在注入点的网页
B.对数据库系统的管理权限进行严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进行严格的过滤
39、单项选择题 以下关于风险评估的描述不正确的是？（）
A.作为风险评估的要素之一，威胁发生的可能需要被评估
B.作为风险评估的要素之一，威胁发生后产生的影响需要被评估
C.风险评估是风险管理的第一步
D.风险评估是风险管理的最终结果
40、填空题 （）是密码学发展史上唯一一次真正的革命。
41、单项选择题 以下哪些是可能存在的威胁因素？（）
A.设备老化故障
B.病毒和蠕虫
C.系统设计缺陷
D.保安工作不得力
42、单项选择题 区别脆弱性评估和渗透测试是脆弱性评估（）
A.检查基础设施并探测脆弱性，然而穿透性测试目的在于通过脆弱性检测其可能带来的损失
B.和渗透测试为不同的名称但是同一活动
C.是通过自动化工具执行，而渗透测试是一种完全的手动过程
D.是通过商业工具执行，而渗透测试是执行公共进程
43、单项选择题 下列哪种方法能够满足双因子认证的需求？（）
A.智能卡和用户PIN
B.用户ID与密码
C.虹膜扫描和指纹扫描
D.用户名和PIN
44、问答题 RSA的密钥有多长？
45、单项选择题 TCP三次握手协议的第一步是发送一个：（）
A.SYN包
B.ACK包
C.UDP包
D.null包
46、判断题 含有虚假的信息源、发件人、路由等信息的电子邮件为垃圾邮件。
47、单项选择题 以下哪项是ISMS文件的作用？（）
A.是指导组织有关信息安全工作方面的内部“法规”--使工作有章可循。
B.是控制措施（controls）的重要部分
C.提供客观证据--为满足相关方要求，以及持续改进提供依据
D.以上所有
48、多项选择题 学术腐败的表现有（）。
A、以行贿或其他不正当的手段获得科研经费、科研奖项
B、侵吞挪用科研经费
C、利用学者身份为商家做虚假宣传
D、利用手中权力获得名不副实的学位、证书
49、单项选择题 在部署风险管理程序的时候，哪项应该最先考虑到：（）
A.组织威胁，弱点和风险概括的理解
B.揭露风险的理解和妥协的潜在后果
C.基于潜在结果的风险管理优先级的决心
D.风险缓解战略足够在一个可以接受的水平上保持风险的结果
50、单项选择题 下面对于CC的“保护轮廓”（PP）的说法最准确的是：（）
A.对系统防护强度的描述
B.对评估对象系统进行规范化的描述
C.对一类TOE的安全需求，进行与技术实现无关的描述
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度
51、判断题 科学观察可以分为直接观察和间接观察。
52、单项选择题 在信息系统安全中，暴露由以下哪两种因素共同构成的？（）
A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏
53、单项选择题 信息安全需求获取的主要手段（）
A.信息安全风险评估
B.领导的指示
C.信息安全技术
D.信息安全产品
54、单项选择题 面向对象的开发方法中，以下哪些机制对安全有帮助（）
A.封装
B.多态
C.继承
D.重载
55、单项选择题 Chinese Wall模型的设计宗旨是：（）
A.用户只能访问那些与已经拥有的信息不冲突的信息
B.用户可以访问所有信息
C.用户可以访问所有已经选择的信息
D.用户不可以访问那些没有选择的信息
56、单项选择题 在零传输（Zone transfers）中DNS服务使用哪个端口？（）
A.TCP 53
B.UDP 53
C.UDP 23
D.TCP 23
57、单项选择题 信息安全管理体系策略文件中第一层文件是？（）
A.信息安全工作程序
B.信息安全方针政策
C.信息安全作业指导书
D.信息安全工作记录
58、单项选择题 在信息处理设施（IPF）的硬件更换之后，业务连续性流程经理首先应该实施下列哪项活动？（）
A.验证与热门站点的兼容性
B.检查实施报告
C.进行灾难恢复计划的演练
D.更新信息资产清单
59、多项选择题 网络安全审计系统一般包括（）。
A.网络探测引擎
B.数据管理中心
C.审计中心
D.声光报警系统
60、单项选择题 ISO/IEC27002由以下哪一个标准演变而来？（）
A.BS7799-1
B.BS7799-2
C.ISO/IEC17799
D.ISO/IEC13335
61、单项选择题 以下哪个标准描述了典型的安全服务和OSI模型中7层的对应关系？（）
A.ISO/IEC7498-2
B.BS7799
C.通用评估准则
D.IATF
62、单项选择题 年度损失值（ALE）的计算方法是什么（）
A.ALE=ARO*AV
B.ALE=AV*SLE
C.“ALE=ARO*SLE"
D.ALE=AV*EF
63、单项选择题 组织回顾信息系统灾难恢复计划时应：（）
A.每半年演练一次
B.周期性回顾并更新
C.经首席执行官（CEO）认可
D.与组织的所有部门负责人沟通
64、单项选择题 由于病毒攻击、非法入侵等原因，校园网整体瘫痪，或者校园网络中心全部DNS、主WEB服务器不能正常工作；由于病毒攻击、非法入侵、人为破坏或不可抗力等原因，造成校园网出口中断，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
65、单项选择题 网络“抄袭”纠纷频发反映了（）
A、互联网产业创新活力不足
B、互联网诚信缺失
C、互联网市场行为亟待规范
D、互联网立法工作的滞后
66、单项选择题 在评估逻辑访问控制时，应该首先做什么（）
A.把应用在潜在访问路径上的控制项记录下来
B.在访问路径上测试控制来检测是否他们具功能化
C.按照写明的策略和实践评估安全环境
D.对信息流程的安全风险进行了解
67、填空题 运行（）可以帮助防止遭受网页仿冒欺诈。
68、判断题 安装入侵检测软件不会帮助减少收到的垃圾邮件数量。
69、单项选择题 为什么实现单点登录的批处理文件及脚本文件需要被保护存储？（）
A.因为最小授权原则
B.因为它们不可以被操作员访问到
C.因为它们可能包含用户身份信息
D.因为知所必须原则
70、单项选择题 实施逻辑访问安全时，以下哪项不是逻辑访问？（）
A.用户ID。
B.访问配置文件。
C.员工胸牌。
D.密码。
71、单项选择题 （）是指事务在运行至正常终止前被中止，这时恢复子系统应利用日志文件撤销此事物已对数据库进行的修改。
A、系统故障
B、事故故障
C、介质故障
D、软件故障
72、单项选择题 应用软件测试的正确顺序是：（）
A.集成测试、单元测试、系统测试、验收测试
B.单元测试、系统测试、集成测试、验收测试
C.验收测试、单元测试、集成测试、系统测试
D.单元测试、集成测试、系统测试、验收测试
73、单项选择题 组织中对于每个独立流程都有对应的业务连续性计划，但缺乏全面的业务连续性计划，应采取下面哪一项行动？（）
A.建议建立全面的业务连续性计划
B.确认所有的业务连续性计划是否相容
C.接受已有业务连续性计划
D.建议建立单独的业务连续性计划
74、单项选择题 指导和规范信息安全管理的所有活动的文件叫做？（）
A.过程
B.安全目标
C.安全策略
D.安全范围
75、单项选择题 在实施风险管理程序的时候，下列哪一项应该被最先考虑到：（）
A.组织的威胁，弱点和风险概貌的理解
B.揭露风险的理解和妥协的潜在后果
C.基于潜在结果的风险管理优先级的决心
D.风险缓解战略足够使风险的结果保持在一个可以接受的水平上
76、单项选择题 对信息安全的理解，正确的是（）
A.信息资产的保密性、完整性和可用性不受损害的能力，是通过信息安全保障措施实现的
B.通过信息安全保障措施，确保信息不被丢失
C.通过信息安全保证措施，确保固定资产及相关财务信息的完整性
D.通过技术保障措施，确保信息系统及财务数据的完整性、机密性及可用性
77、判断题 学术论文是学位申请者为申请学位而提交的具有一定学术价值的论文。
78、单项选择题 如果只能使用口令远程认证，以下哪种方案安全性最好？（）
A.高质量静态口令，散列保护传输
B.高质量静态口令，固定密钥加密保护传输
C.动态随机口令，明文传输
D.高质量静态口令，增加随机值，明文传输
79、单项选择题 以下对信息安全问题产生的根源描述最准确的是：（）
A.信息安全问题是由于信息技术的不断发展造成的
B.信息安全问题是由于黑客组织和犯罪集团追求名和利造成的
C.信息安全问题是由于信息系统的设计和开发过程中的疏忽造成的
D.信息安全问题产生的内因是信息系统的复杂性，外因是对手的威胁与破坏
80、判断题 网络道德问题产生的客观原因是网络社会的社会背景。
81、单项选择题 下面哪一个不是系统实施阶段风险管理的工作内容（）
A.安全测试
B.检查与配置
C.配置变更
D.人员培训
82、单项选择题 设计信息安全策略时，最重要的一点是所有的信息安全策略应该：（）
A.非现场存储
B.由IS经理签署
C.发布并传播给用户
D.经常更新
83、单项选择题 以下哪种访问控制策略需要安全标签？（）
A.基于角色的策略
B.基于标识的策略
C.用户指向的策略
D.强制访问控制策略
84、判断题 互联网不良信息是指行为人通过互联网发布的公然违反国家的法律、法规及政策，违背社会道德伦理与价值观，对国家、社会及个人造成有害影响并为国家、社会及个人所排斥的，反应现实社会不良现象的互联网信息。
85、单项选择题 下列哪一项准确地描述了可信计算基（TCB）？（）
A.TCB只作用于固件（FirmwarE.
B.TCB描述了一个系统提供的安全级别
C.TCB描述了一个系统内部的保护机制
D.TCB通过安全标签来表示数据的敏感性
86、填空题 互联网安全管理法律法规的适用范围是（）、提供互联网数据中心服务的单位和联网使用单位。
87、单项选择题 以下哪组全部都是多边安全模型？（）
A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BMA模型
D.Clark－Wilson模型和Chinese wall模型
88、单项选择题 以下关于标准的描述，那一项是正确的？（）
A.标准是高级管理层对支持信息安全的声明
B.标准是建立有效安全策略的第一要素
C.标准用来描述组织内安全策略如何实施的
D.标准是高级管理层建立信息系统安全的指示
89、判断题 专家评估是论文评价的主要方法之一。
90、单项选择题 某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？（）
A.Bell-LaPadula模型
B.Biba模型
C.信息流模型
D.Clark-Wilson模型
91、判断题 互惠原则的核心内容是要求消除网络社会由于各种原因造成的网络主体间的交往不畅通、交往障碍。
92、单项选择题 当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看：（）
A.访问控制列表
B.系统服务配置情况
C.审计记录
D.用户帐户和权限的设置
93、单项选择题 下面哪个组合不是是信息资产（）
A.硬件、软件、文档资料
B.关键人员
C.组织提供的信息服务
D.桌子、椅子
94、单项选择题 企业的业务持续性计划中应该以记录以下内容的预定规则为基础（）
A.损耗的持续时间
B.损耗的类型
C.损耗的可能性
D.损耗的原因
95、单项选择题 下列关于互惠原则说法不正确的是（）。
A、互惠原则是网络道德的主要原则之一
B、网络信息交流和网络服务具有双向性
C、网络主体只承担义务
D、互惠原则本质上体现的是赋予网络主体平等与公正
96、单项选择题 建立ISMS的步骤正确的是？（）
A.明确ISMS范围-确定ISMS策略-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）
B.定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）-确定ISMS策略
C.确定ISMS策略-明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-设计ISMS文件-进行管理者承诺（审批）
D.明确ISMS范围-定义风险评估方法-进行风险评估-设计和选择风险处置方法-确定ISMS策略-设计ISMS文件-进行管理者承诺（审批）
97、单项选择题 ISO27004是指以下哪个标准（）
A.《信息安全管理体系要求》
B.《信息安全管理实用规则》
C.《信息安全管理度量》
D.《ISMS实施指南》
98、单项选择题 下面对于标识和鉴别的解释最准确的是：（）
A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性
B.标识用于区别不同的用户，而鉴别用于赋予用户权限
C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性
D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限
99、填空题 物流（）电子商务规划框架
100、单项选择题 对于信息安全策略的描述错误的是？（）
A.信息安全策略是以风险管理为基础，需要做到面面俱到，杜绝风险的存在。
B.信息安全策略是在有限资源的前提下选择最优的风险管理对策。
C.防范不足会造成直接的损失；防范过多又会造成间接的损失。
D.信息安全保障需要从经济、技术、管理的可行性和有效性上做出权衡和取舍。
101、单项选择题 管理评审的最主要目的是（）
A.确认信息安全工作是否得到执行
B.检查信息安全管理体系的有效性
C.找到信息安全的漏洞
D.考核信息安全部门的工作是否满足要求
102、单项选择题 在安全人员的帮助下，对数据提供访问权的责任在于：（）
A.数据所有者
B.程序员
C.系统分析师
D.库管员
103、单项选择题 合适的信息资产存放的安全措施维护是谁的责任（）
A.安全管理员
B.系统管理员
C.数据和系统所有者
D.系统运行组
104、单项选择题 以下对于IATF信息安全保障技术框架的说法错误的是：（）
A、它由美国国家安全局公开发布
B、它的核心思想是信息安全深度防御（Defense-in-Depth）
C、它认为深度防御应当从策略、技术和运行维护三个层面来进行
D、它将信息系统保障的技术层面分为计算环境、区域边界、网络和基础设置和支撑性技术设施4个部分
105、单项选择题 IPSEC的抗重放服务的实现原理是什么？（）
A.使用序列号以及滑动窗口原理来实现。
B.使用消息认证码的校验值来实现
C.在数据包中包含一个将要被认证的共享秘密或密钥来实现
D.使用ESP隧道模式对IP包进行封装即可实现。
106、单项选择题 组织在制定灾难恢复计划时，应该最先针对以下哪点制定（）
A.所有信息系统流程
B.所有应用系统流程
C.信息系统经理指派的路程
D.业务经理定义的流程优先级
107、单项选择题 CC中的评估保证级4级（EAL3）对应TCSEC和ITSEC的哪个级别？（）
A."对应TCSECB1级，对应ITSECE4级"
B."对应TCSECC2级，对应ITSECE4级"
C."对应TCSECB1级，对应ITSECE3级"
D."对应TCSECC2级，对应ITSECE2级"
108、单项选择题 以下哪个选项不是信息中心（IC）工作职能的一部分？（）
A.准备最终用户的预算
B.选择PC的硬件和软件
C.保持所有PC的硬件和软件的清单
D.提供被认可的硬件和软件的技术支持
109、填空题 无线网络不受（）的限制，可以在无线网的信号覆盖区域任何一个位置接入网络。
110、填空题 我国于（）年发布实施了《专利法》。
111、单项选择题 在国家标准中，属于强制性标准的是？（）
A.GB/TXXXX.X-200X
B.GBXXXX-200X
C.DBXX/TXXX-200X
D.QXXX-XXX-200X
112、单项选择题 下面哪项是信息安全管理体系中CHECK（检查）中的工作内容？（）
A.按照计划的时间间隔进行风险评估的评审
B.实施所选择的控制措施
C.采取合适的纠正和预防措施。从其它组织和组织自身的安全经验中吸取教训
D.确保改进达到了预期目标
113、判断题 对于一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法和最先进的设备，而是由系统本身最薄弱之处及漏洞所确定的。
114、单项选择题 人员入职过程中，以下做法不正确的是？（）
A.入职中签署劳动合同及保密协议。
B.分配工作需要的最低权限。
C.允许访问企业所有的信息资产。
D.进行安全意思培训。
115、单项选择题 以下对信息安全描述不正确的是（）
A.信息安全的基本要素包括保密性、完整性和可用性
B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性
C.信息安全就是不出安全事故/事件
D.信息安全不仅仅只考虑防止信息泄密就可以了
116、单项选择题 以下哪些不属于脆弱性范畴？（）
A.黑客攻击
B.操作系统漏洞
C.应用程序BUG
D.人员的不良操作习惯
117、问答题 安全审计按对象不同，可分为哪些类？各类审计的内容又是什么？
118、单项选择题 对系统安全需求进行评审，以下那类人不适合参与（）
A.系统分析员
B.业务代表
C.安全专家
D.合规代表
119、单项选择题 PDCA特征的描述不正确的是（）
A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题
B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题
C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足
D.信息安全风险管理的思路不符合PDCA的问题解决思路
120、单项选择题 下列不属于网络安全测试范畴的是（）。
A.结构安全
B.边界完整性检查
C.剩余信息保护
D.网络设备防护
121、单项选择题 下列哪一项是常见web站点脆弱性扫描工具：（）
A.AppScan
B.Nmap
C.Sniffer
D.LC
122、判断题 对知识产权著作权的法律知识给予更多的宣传和普及是学术腐败治理中个人层面有效方法。
123、单项选择题 由于IT的发展，灾难恢复计划在大型组织中的应用也发生了变化。如果新计划没有被测试下面哪项是最主要的风险（）
A.灾难性的断电
B.资源的高消耗
C."恢复的总成本不能被最小化"
D.用户和恢复团队在实施计划时可能面临服务器问题
124、单项选择题 以下哪些不属于敏感性标识（）
A.不干贴方式
B.印章方式
C.电子标签
D.个人签名
125、单项选择题 组织实施了灾难恢复计划。下列哪些步骤应下一步执行？（）
A.取得高级管理人员认可
B.确定的业务需求
C.进行纸面测试
D.进行系统还原测试
126、单项选择题 构成风险的关键因素有哪些？（）
A.人，财，物
B.技术，管理和操作
C.资产，威胁和弱点
D.资产，可能性和严重性
127、单项选择题 （）WindowsNT/XP的安全性达到了橘皮书的第几级？
A.C1级
B.B、C2级
C.C、B1级
D.D、B2级
128、多项选择题 防火墙管理中（）具有设定规则的权限。
A.用户
B.审计员
C.超级管理员
D.普通管理员
129、填空题 《计算机信息系统安全保护条例》规定，（）主管全国计算机信息安全保护工作。
130、单项选择题 当以下哪一类人员维护应用系统软件的时候，会造成对“职责分离”原则的违背？（）
A.数据维护管理员
B.系统故障处理员
C.系统维护管理员
D.系统程序员
131、单项选择题 系统上线前应当对系统安全配置进行检查，不包括下列哪种安全检查（）
A.主机操作系统安全配置检查
B.网络设备安全配置检查
C.系统软件安全漏洞检查
D.数据库安全配置检查
132、单项选择题 评估IT风险被很好的达到，可以通过：（）
A.评估IT资产和IT项目总共的威胁
B.用公司的以前的真的损失经验来决定现在的弱点和威胁
C.审查可比较的组织出版的损失数据
D.一句审计拔高审查IT控制弱点
133、单项选择题 下面对自由访问控制（DAC）描述正确的是（）
A.比较强制访问控制而言不太灵活
B.基于安全标签
C.关注信息流
D.在商业环境中广泛使用
134、单项选择题 建立ISMS的第一步是？（）
A.风险评估
B.设计ISMS文档
C.明确ISMS范围
D.确定ISMS策略
135、单项选择题 下列有关密码学的说法中错误的是：（）
A.密码学是研究信息系统安全保密的科学。由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进行分析，以便推出机密变量、包括明文在内的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进行编码，实现对信息的隐蔽。
136、填空题 涉密信息系统的建设使用单位应对系统设计方案进行审查论证，保密行政管理部门应参与方案审查论证，在（）方面加强指导。
137、单项选择题 一个组织的网络设备的资产价值为100000元，一场意外火灾使其损坏了价值的25%，按照经验统计，这种火灾一般每5年发生一次，年预期损失ALE为（）
A.5000元
B.10000元
C.25000元
D.15000元
138、单项选择题 渗透测试作为网络安全评估的一部分（）
A.提供保证所有弱点都被发现
B.在不需要警告所有组织的管理层的情况下执行
C.找到存在的能够获得未授权访问的漏洞
D.在网络边界上执行不会破坏信息资产
139、单项选择题 一名攻击者试图通过暴力攻击来获取下列哪一项信息？（）
A.加密密钥
B.加密算法
C.公钥
D.密文
140、单项选择题 下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的：（）
A.服务器防毒软件
B.病毒墙
C.工作站防病毒软件
D.病毒库及时更新
141、单项选择题 下列关于安全审计的内容说法中错误的是（）。
A.应对网络系统中的网络设备运行情况、网络流量、用户行为等进行日志记录。
B.审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
C.应能根据记录数据进行分析，并生成报表。
D.为了节约存储空间，审计记录可以随意删除、修改或覆盖。
142、填空题 计算机病毒可能在用户打开（）文件时被启动。
143、单项选择题 组织内数据安全官的最为重要的职责是：（）
A.推荐并监督数据安全策略
B.在组织内推广安全意识
C.制定IT安全策略下的安全程序/流程
D.管理物理和逻辑访问控制
144、单项选择题 在进行业务连续性检测时，下列哪一个是被认为最重要的审查？（）
A.热站的建立和有效是必要
B.业务连续性手册是有效的和最新的
C.保险责任范围是适当的并且保费有效
D.及时进行介质备份和异地存储
145、单项选择题 在设计某公司技术性的恢复策略时，以下哪个方面是安全人员最为关注的？（）
A.目标恢复时间RTO
B.业务影响分析
C.从严重灾难中恢复的能力
D.目标恢复点RPO
146、单项选择题 制定应急响应策略主要需要考虑（）
A.系统恢复能力等级划分
B.系统恢复资源的要求
C.费用考虑
D.人员考虑
147、单项选择题 作为信息安全管理人员，你认为变更管理过程最重要的是？（）
A.变更过程要留痕
B.变更申请与上线提出要经过审批
C.变更过程要坚持环境分离和人员分离原则
D.变更要与容灾预案同步
148、单项选择题 企业信息资产的管理和控制的描述不正确的是（）
A.企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；
B.企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；
C.企业的信息资产不应该分类分级，所有的信息系统要统一对待
D.企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产
149、单项选择题 在企业内部互联网中，一个有效的安全控制机制是：（）
A.复查
B.静态密码
C.防火墙
D.动态密码
150、单项选择题 信息安全管理工作小组可就哪些问题向外部安全专家或特定外部组织寻求信息安全方面的建议？（）
A.相关安全信息的最佳实践和最新状态知识。
B.尽早接受到关于攻击和脆弱点的警告、建议和补丁
C.分享和交换关于新的技术、产品、威胁或脆弱点信息
D.以上都是
151、单项选择题 DDOS攻击的主要目换是：（）
A.破坏完整性和机密性
B.破坏可用性
C.破坏机密性和可用性
D.破坏机密性
152、单项选择题 风险评估和管理工具通常是指什么工具（）
A.漏洞扫描工具
B.入侵检测系统
C.安全审计工具
D.安全评估流程管理工具
153、单项选择题 以下哪一种局域网传输媒介是最可靠的？（）
A.同轴电缆
B.光纤
C.双绞线（屏蔽）
D.双绞线（非屏蔽）
154、单项选择题 下列哪一项是DOS攻击的一个实例？（）
A.SQL注入
B.IPSpoof
C.Smurf攻击
D.字典破解
155、单项选择题 开发人员认为系统架构设计不合理，需要讨论调整后，再次进入编码阶段。开发团队可能采取的开发方法为（）
A.瀑布模型
B.净室模型
C.XP模型
D.迭代模型
156、单项选择题 在检查IT安全风险管理程序，安全风险的测量应该（）
A.列举所有的网络风险
B.对应IT战略计划持续跟踪
C.考虑整个IT环境
D.识别对（信息系统）的弱点的容忍度的结果
157、单项选择题 网络安全一般是指网络系统的硬件、软件及其（）受到保护，不因偶然的或者恶意的原因而遭受破坏、更改、泄漏，系统连续可靠正常地运行，网络服务不中断。
A、系统中的文件
B、系统中的图片
C、系统中的数据
D、系统中的视频
158、单项选择题 在TCP中的六个控制位哪一个是用来请求结束会话的（）
A.SYN
B.ACK
C.FIN
D.RST
159、判断题 网络社会具有先进性、开放性、自由性、虚假性等特点。
160、单项选择题 应急响应流程一般顺序是（）
A.信息安全事件通告、信息安全事件评估、应急启动、应急处置和后期处置
B.信息安全事件评估、信息安全事件通告、应急启动、应急处置和后期处置
C.应急启动、应急处置、信息安全事件评估、信息安全事件通告、后期处置
D.信息安全事件评估、应急启动、信息安全事件通告、应急处置和后期处置
161、单项选择题 监视恶意代码主体程序是否正常的技术是？（）
A.进程守护
B.备份文件
C.超级权限
D.HOOK技术
162、单项选择题 下面哪一层可以实现编码，加密（）
A.传输层
B.会话层
C.网络层
D.物理层
163、单项选择题 应急响应哪一个阶段用来降低事件再次发生的风险（）
A.遏制
B.根除
C.跟踪
D.恢复
164、问答题 蠕虫病毒的特点？
165、单项选择题 对能力成熟度模型解释最准确的是？（）
A.它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。
B.它通过严格考察工程成果来判断工程能力。
C.它与统计过程控制的理论出发点不同，所以应用于不同领域。
D.它是随着信息安全的发展而诞生的重要概念。
166、单项选择题 某种防火墙的缺点是没有办法从非常细微之处来分析数据包，但它的优点是非常快，这种防火墙是以下的哪一种？（）
A.电路级网关
B.应用级网关
C.会话层防火墙
D.包过滤防火墙
167、单项选择题 P2DR模型强调了落实反应和系统安全的动态性，其中的“检测”使用的主要方法是？（）
A.检测。
B.报警。
C.记录。
D.实时监控。
168、单项选择题 回顾组织的风险评估流程时应首先（）
A.鉴别对于信息资产威胁的合理性
B.分析技术和组织弱点
C.鉴别并对信息资产进行分级
D.对潜在的安全漏洞效果进行评价
169、单项选择题 应急响应领导小组组长应由以下哪个选项担任？（）
A.最高管理层
B.信息技术部门领导
C.业务部门领导
D.外部专家
170、单项选择题 灾难性恢复计划（DRP）基于：（）
A.技术方面的业务连续性计划
B.操作部分的业务连续性计划
C.功能方面的业务连续性计划
D.总体协调的业务连续性计划
171、单项选择题 在未受保护的通信线路上传输数据和使用弱口令是一种？（）
A.弱点
B.威胁
C.可能性
D.影响
172、单项选择题 下列哪一项最好地支持了24/7可用性？（）
A.日常备份
B.离线存储
C.镜像
D.定期测试
173、判断题 VPN与防火墙的部署关系通常分为串联和并联两种模式。
174、单项选择题 第一个建立电子政务标准的国家是？（）
A.英国
B.美国
C.德国
D.俄罗斯
175、单项选择题 恢复策略的选择最可能取决于（）
A.基础设施和系统的恢复成本
B.恢复站点的可用性
C.关键性业务流程
D.事件响应流程
176、单项选择题 数据库视图用于？（）
A.确保相关完整性
B.方便访问数据
C.限制用户对数据的访问.
D.提供审计跟踪
177、单项选择题 下面哪一个不是脆弱性识别的手段（）
A.人员访谈
B.技术工具检测
C.信息资产核查
D.安全专家人工分析
178、单项选择题 下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络？（）
A.虚拟专用网
B.专线
C.租用线路
D.综合服务数字网
179、单项选择题 如果可能最应该得到第一个应急事件通知的小组是（）
A.应急响应领导小组
B.应急响应日常运行小组
C.应急响应技术保障小组
D.应急响应实施小组
180、单项选择题 当曾经用于存放机密资料的PC在公开市场出售时（）
A.对磁盘进行消磁
B.对磁盘低级格式化
C.删除数据
D.对磁盘重整
181、单项选择题 以下哪组全部是完整性模型？（）
A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BIBA模型
D.Clark－Wilson模型和Chinese wall模型
182、单项选择题 BIBA模型基于两种规则来保障数据的完整性的保密性，分别是：（）
A.上读，主体不可读安全级别高于它的数据；下写，主体不可写安全级别低于它的数据
B.下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级别低于它的数据
C.上读，主体不可读安全级别低于它的数据；下写，主体不可写安全级别高于它的数据
D.下读，主体不可读安全级别低于它的数据；上写，主体不可写安全级别高于它的数据
183、单项选择题 以下哪种做法是正确的“职责分离”做法？（）
A.程序员不允许访问产品数据文件
B.程序员可以使用系统控制台
C.控制台操作员可以操作磁带和硬盘
D.磁带操作员可以使用系统控制台
184、单项选择题 下列对SSE-CMM说法错误的是？（）
A.它通过域维和能力维共同形成对安全工程能力的评价
B.域维定义了实施安全工程的所有实施活动
C.能力维定义了工程能力的判断标准
D.“公共特征”是域维中对获得过程区目标的必要步骤的定义
185、单项选择题 目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）
A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室
186、单项选择题 在数据库系统中，（）是信息系统的第一道屏障。
A、数据加密
B、数据库加密
C、口令保护
D、数据审计
187、单项选择题 从业务角度出发，最大的风险可能发生在那个阶段（）
A.立项可行性分析阶段
B.系统需求分析阶段
C.架构设计和编码阶段
D.投产上线阶段
188、多项选择题 网络主体要提高自身的道德修养，要做到（）方面。
A、提高自己的道德修养水平
B、提高自己的道德修养层次
C、提高自己的网络技术水平
D、坚决同不道德的网络行为作斗争
189、单项选择题 下面哪一项不是ISMSPlan阶段的工作？（）
A.定义ISMS方针
B.实施信息安全风险评估
C.实施信息安全培训
D.定义ISMS范围
190、单项选择题 一个备份站点包括电线、空调和地板，但不包括计算机和通讯设备，那么它属于（）
A.冷站
B.温站
C.直线站点
D.镜像站点
191、单项选择题 在一个局域网的环境中，其内在的安全威胁包括主动威胁和被动威胁。以下哪一项属于被动威胁？（）
A.报文服务拒绝
B.假冒
C.数据流分析
D.报文服务更改
192、单项选择题 Linux系统一般使用GRUB作为启动的MBR程序，GRUB如何配置才能放置用户加入单用户模式重置root密码？（）
A.删除敏感的配置文件
B.注释gruB.conf文件中的启动项
C.在对应的启动title上配置进入单用户的密码
D.将GRUB程序使用非对称秘钥加密
193、单项选择题 在信息安全管理日常工作中，需要与哪些机构保持联系？（）
A.政府部门
B.监管部门
C.外部专家
D.以上都是
194、判断题 新兴信息安全技术将成主流是信息安全技术发展趋势。
195、单项选择题 下列哪一项是一个适当的测试方法适用于业务连续性计划（BCP）？（）
A.试运行
B.纸面测试
C.单元
D.系统
196、单项选择题 在业务持续性计划中，RTO指的是什么？（）
A.灾难备份和恢复
B.恢复技术项目
C.业务恢复时间目标
D.业务恢复点目标
197、单项选择题 通常情况下，怎样计算风险？（）
A.将威胁可能性等级乘以威胁影响就得出了风险。
B.将威胁可能性等级加上威胁影响就得出了风险。
C.用威胁影响除以威胁的发生概率就得出了风险。
D.用威胁概率作为指数对威胁影响进行乘方运算就得出了风险。
198、单项选择题 以下哪个标准是ISO27001的前身标准？（）
A.BS5750
B.BS7750
C.BS7799
D.BS15000
199、单项选择题 在WindowsNT/2K中，哪些成员可以修改新建文件或文件夹的默认共享设置？（）
A.域管理员
B.域用户
C.所有人
D.管理员
200、单项选择题 2011年，（）成为全球年度获得专利最多的公司。
A、百度
B、微软
C、苹果
D、谷歌
201、单项选择题 在业务持续性计划中，下面哪一项具有最高的优先级？（）
A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点
202、单项选择题 下面哪一种情况可以使信息系统安全官员实现有效进行安全控制的目的？（）
A.完整性控制的需求是基于风险分析的结果
B.控制已经过了测试
C.安全控制规范是基于风险分析的结果
D.控制是在可重复的基础上被测试的
203、单项选择题 某组织的信息系统策略规定，终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应：（）
A.报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查
204、单项选择题 默认情况下，SQLServer的监听端口是（）。
A、1434
B、1433
C、3305
D、3306
205、判断题 科研成果是衡量科学研究任务完成与否、质量优劣以及科研人员贡献大小的重要标志。
206、单项选择题 ISMS的审核的层次不包括以下哪个？（）
A.符合性审核
B.有效性审核
C.正确性审核
D.文件审核
207、单项选择题 下列岗位哪个在招聘前最需要进行背景调查？（）
A.采购人员
B.销售人员
C.财务总监
D.行政人员
208、单项选择题 下列对“信息安全风险”的描述正确的是：（）
A.是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险
B.是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险
C.是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险
D.是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险
209、单项选择题 组织允许外部通过互联网访问组织的局域网之前，首先要考虑实施以下哪项措施？（）
A.保护调制解调器池。
B.考虑适当的身份验证方式。
C.为用户提供账户使用信息。
D.实施工作站锁定机制。
210、单项选择题 关于安全策略的说法，不正确的是（）
A.得到安全经理的审核批准后发布
B.应采取适当的方式让有关人员获得并理解最新版本的策略文档
C.控制安全策略的发布范围，注意保密
D.系统变更后和定期的策略文件评审和改进
211、单项选择题 “如果一条链路发生故障，那么只有和该链路相连的终端才会受到影响”，这一说法是适合于以下哪一种拓扑结构的网络的？（）
A.星型
B.树型
C.环型
D.复合型
212、单项选择题 对缓冲区溢出攻击预防没有帮助的做法包括（）
A.输入参数过滤，安全编译选项
B.操作系统安全机制、禁止使用禁用API
C.安全编码教育
D.渗透测试
213、判断题 访问控制的主要作用是防止非法的主体进入受保护的网络资源，允许合法用户访问受保护的网络资源，允许合法的用户对受保护的网络资源进行非授权的访问。
214、判断题 减速器的润滑方式，一般都采用油池润滑。（）
215、填空题 利用（）已经成为了计算机病毒传播的一个发展趋势。
216、单项选择题 下列哪项是私有IP地址？（）
A.10.5.42.5
B.172.76.42.5
C.172.90.42.5
D.241.16.42.5
217、单项选择题 以下哪个与电子邮件系统没有直接关系？（）
A．PEM
B．PGP
C．X.500
D．X.400
218、单项选择题 信息安全政策声明：“每个人必须在进入每一个控制门时，都必须读取自己的证件”，防范的是哪一种攻击方式？（）
A.尾随Piggybacking
B.肩窥Shoulder surfing
C.Dumpster diving
D.冒充Impersonation
219、单项选择题 从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？（）
A.屏蔽路由器
B.双宿堡垒主机
C.屏蔽主机防火墙
D.屏蔽子网防火墙
220、单项选择题 下列生物识别设备，哪一项的交差错判率（CER）最高？（）
A.虹膜识别设备
B.手掌识别设备
C.声音识别设备
D.指纹识别设备
221、单项选择题 以下哪一项是已经被确认了的具有一定合理性的风险？（）
A.总风险
B.最小化风险
C.可接受风险
D.残余风险
222、单项选择题 2012年3月份，美国总统奥巴马宣布启动（），旨在提高从庞大而复杂的科学数据中提取知识的能力。
A、大数据研究与开发计划
B、大数据获取与提取计划
C、大数据安全保护计划
D、DT计划
223、单项选择题 电子商务交易必须具备抗抵赖性，目的在于防止（）。
A.一个实体假装成另一个实体
B.参与此交易的一方否认曾经发生过此次交易
C.他人对数据进行非授权的修改、破坏
D.信息从被监视的通信过程中泄漏出去
224、填空题 我国的信息化发展不平衡，总的来说，（）信息化指数高，从东部到西部信息化指数逐渐降低。
225、单项选择题 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是（）
A.ISMS是一个遵循PDCA模式的动态发展的体系
B.ISMS是一个文件化、系统化的体系
C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定
D.ISMS应该是一步到位的，应该解决所有的信息安全问题
226、单项选择题 有关认证和认可的描述，以下不正确的是（）
A.认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）
B.根据对象的不同，认证通常分为产品认证和体系认证
C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认
D.企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求
227、单项选择题 在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么做？（）
A.外部代理商的处理应该接受一个来自独立代理进行的IS审计。
B.外部代理商的员工必须接受该组织的安全程序的培训。
C.来自外部代理商的任何访问必须限制在停火区（DMZ）
D.该组织应该进行风险评估，并制定和实施适当的控制。
228、填空题 未来影响电子商务发展的关键因素有（）；（）。
229、单项选择题 在实施风险分析期间，识别出威胁和潜在影响后应该（）
A.识别和评定管理层使用的风险评估方法
B.识别信息资产和基本系统
C.揭示对管理的威胁和影响
D.识别和评价现有控制
230、单项选择题 Apache服务器对目录的默认访问控制是什么？（）
A.“Deny” from “All”
B.Order Deny，“All”
C.Order Deny，Allow
D.“Allow” from“ All”
231、单项选择题 在评估信息系统的管理风险。首先要查看（）
A.控制措施已经适当
B.控制的有效性适当
C.监测资产有关风险的机制
D.影响资产的漏洞和威胁
232、单项选择题 下面哪一项不是安全编程的原则（）
A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法
233、单项选择题 构成IPSec的主要安全协议不包括下列哪一项：（）
A.ESP
B.DSS
C.IKE
D.AH
234、判断题 互联网不良信息泛滥的原因有多种，网络道德观念的缺乏属其中一种。
235、单项选择题 Linux文件系统采用的是树型结构，在根目录下默认存在var目录，它的的功用是？（）
A.公用的临时文件存储点
B.系统提供这个目录是让用户临时挂载其他的文件系统
C.某些大文件的溢出区
D.最庞大的目录，要用到的应用程序和文件几乎都在这个目录
236、单项选择题 非对称密码算法具有很多优点，其中不包括：（）
A.可提供数字签名、零知识证明等额外服务
B.加密/解密速度快，不需占用较多资源
C.通信双方事先不需要通过保密信道交换密钥
D.密钥持有量大大减少
237、单项选择题 在一个使用ChineseWall模型建立访问控制的信息系统中，数据W和数据X在一个兴趣冲突域中，数据Y和数据Z在另一个兴趣冲突域中，那么可以确定一个新注册的用户：（）
A.只有访问了W之后，才可以访问X
B.只有访问了W之后，才可以访问Y和Z中的一个
C.无论是否访问W，都只能访问Y和Z中的一个
D.无论是否访问W，都不能访问Y或Z
238、单项选择题 在下面的加密方法中，哪个加解密的效率最低：（）
A、记录加密
B、属性加密
C、元素加密
D、表加密
239、单项选择题 PSEC中的ESP机制最主要的作用是什么？（）
A.确认信息包的来源
B.进行完整性验证
C.提供机密性服务
D.抗重放攻击
240、单项选择题 以下哪些模型可以用来保护分级信息的机密性？（）
A.Biba模型和Bell－Lapadula模型
B.Bell－Lapadula模型和信息流模型
C.Bell－Lapadula模型和Clark－Wilson模型
D.Clark－Wilson模型和信息流模型
241、多项选择题 威胁网络信息安全的软件因素有（）
A、外部不可抗力
B、缺乏自主创新的信息核心技术
C、网络信息安全意识淡薄
D、网络信息管理存在问题
242、单项选择题 （）默认情况下，所有用户对新创建的文件共享有什么权限？
A、读取
B、完全控制
C、写入
D、修改
243、单项选择题 下面哪一项是缓冲溢出的危害？（）
A.可能导致shellcode的执行而非法获取权限，破坏系统的保密性
B.执行shellcode后可能进行非法控制，破坏系统的完整性
C.可能导致拒绝服务攻击，破坏系统的可用性
D.以上都是
244、单项选择题 （）下列哪个标准本身由两个部分组成，一部分是一组信息技术产品的安全功能需要定义，另一部分是对安全保证需求的定义？
A、可信任计算机系统评估标准（TCSEC）
B、信息技术安全评价准则（ITSEC）
C、信息技术安全评价联邦准则（FC）
D、CC标准
245、单项选择题 关于数据库注入攻击的说法错误的是：（）
A．它的主要原因是程序对用户的输入缺乏过滤
B．一般情况下防火墙对它无法防范
C．对它进行防范时要关注操作系统的版本和安全补丁
D．注入成功后可以获取部分权限
246、单项选择题 ISMS文档体系中第一层文件是？（）
A.信息安全方针政策
B.信息安全工作程序
C.信息安全作业指导书
D.信息安全工作记录
247、单项选择题 对磁介质的最有效好销毁方法是？（）
A.格式化
B.物理破坏
C.消磁
D.删除
248、单项选择题 哪一项不是业务影响分析（BIA）的工作内容（）
A.确定应急响应的恢复目标
B.确定公司的关键系统和业务
C.确定业务面临风险时的潜在损失和影响
D.确定支持公司运行的关键系统
249、多项选择题 网络环境下的舆论信息主要来自（）。
A、新闻评论
B、BBS
C、博客
D、聚合新闻
250、单项选择题 以下哪一个是对于参观者访问数据中心的最有效的控制？（）
A.陪同参观者
B.参观者佩戴证件
C.参观者签字
D.参观者由工作人员抽样检查
251、单项选择题 以下有关访问控制的描述不正确的是（）
A.口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D.双因子认证（又称强认证）就是一个系统需要两道密码才能进入
252、单项选择题 保护轮廓（PP）是下面哪一方提出的安全要求？（）
A.评估方
B.开发方
C.用户方
D.制定标准方
253、判断题 标准访问控制列表通过网络地址和传输中的数据类型进行信息流控制，且只允许过滤目的地址。
254、单项选择题 当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专业人士最重要的考虑因素？该提供商：（）
A.满足并超过行业安全标准
B.同意可以接受外部安全审查
C.其服务和经验有很好的市场声誉
D.符合组织的安全策略
255、单项选择题 以下哪一个不是安全审计需要具备的功能？（）
A.记录关键事件
B.提供可集中处理审计日志的数据形式
C.实时安全报警
D.审计日志访问控制
256、单项选择题 下列哪一项不是工程实施阶段信息安全工程监理的主要目标？（）
A.明确工程实施计划，对于计划的调整必须合理、受控
B.促使工程中所使用的产品和服务符合承建合同及国家相关法律、法规和标准
C.促使业务单位与承建单位充分沟通，形成深化的安全需求
D.促使工程实施过程满足承建合同的要求，并与工程设计方案、工程计划相符
257、单项选择题 什么类型的软件应用测试被用于测试的最后阶段，并且通常包含不属于开发团队之内的用户成员？（）
A.Alpha测试
B.白盒测试
C.回归测试
D.Beta测试
258、单项选择题 在橙皮书的概念中，信任是存在于以下哪一项中的？（）
A.操作系统
B.网络
C.数据库
D.应用程序系统
259、单项选择题 以下哪种为丢弃废旧磁带前的最佳处理方式？（）
A.复写磁带
B.初始化磁带卷标
C.对磁带进行消磁
D.删除磁带
260、单项选择题 DNS查询（queries）工具中的DNS服务使用哪个端口？（）
A.UDP 53
B.TCP 23
C.UDP 23
D.TCP 53
261、单项选择题 一个个人经济上存在问题的公司职员有权独立访问高敏感度的信息，他可能窃取这些信息卖给公司的竞争对手，如何控制这个风险（）
A.开除这名职员
B.限制这名职员访问敏感信息
C.删除敏感信息
D.将此职员送公安部门
262、单项选择题 在正常情况下，应急响应计划培训应该至少多久一次（）
A.1年
B.2年
C.半年
D.5年
263、单项选择题 从目前的情况看，对所有的计算机系统来说，以下哪种威胁是最为严重的，可能造成巨大的损害？（）
A.没有充分训练或粗心的用户
B.第三方
C.黑客
D.心怀不满的雇员
264、单项选择题 在下面的权限中，可更改数据表的权限是（）
A、ALTER
B、GRANT
C、FLUSH
D、RESET
265、单项选择题 下面那个不是信息安全风险的要素？（）
A.资产及其价值
B.数据安全
C.威胁
D.控制措施
266、单项选择题 在准备灾难恢复计划时下列哪项应该首先实施？（）
A.做出恢复策略
B.执行业务影响分析
C.明确软件系统、硬件和网络组件结构
D.委任具有明确的雇员、角色和层级的恢复团队
267、单项选择题 那一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？（）
A.包过滤防火墙
B.状态检测防火墙
C.应用网关防火墙
D.以上都不能
268、单项选择题 CA的核心职责是（）
A.签发和管理证书
B.审核用户真实信息
C.发布黑名单
D.建立实体链路安全
269、单项选择题 作为业务继续计划流程中的一部分，在业务影响分析中下面哪个选项应该最先确认？（）
A.组织的风险，像单点失败或设备风险
B.重要业务流程的威胁
C.根据恢复优先级设定的重要业务流程
D.重建业务的所需的资源
270、单项选择题 关于信息安全策略文件以下说法不正确的是哪个？（）
A.信息安全策略文件应由管理者批准、发布。
B.信息安全策略文件并传达给所有员工和外部相关方。
C.信息安全策略文件必须打印成纸质文件进行分发。
D.信息安全策略文件应说明管理承诺，并提出组织的管理信息安全的方法。
271、单项选择题 依据信息系统安全保障模型，以下那个不是安全保证对象（）
A.机密性
B.管理
C.过程
D.人员
272、单项选择题
在选择外部供货生产商时，评价标准按照重要性的排列顺序是：（）
1.供货商与信息系统部门的接近程度
2.供货商雇员的态度
3.供货商的信誉、专业知识、技术
4.供货商的财政状况和管理情况
A.4，3，1，2
B.3，4，2，1
C.3，2，4，1
D.1，2，3，4
273、单项选择题 由于病毒攻击、非法入侵等原因，校园网部分园区瘫痪，或者邮件、计费服务器不能正常工作，属于以下哪种级别事件（）
A.特别重大事件
B.重大事件
C.较大事件
D.一般事件
274、判断题 网络道德的本质是社会道德，是社会道德在网络领域中的新体现。
275、填空题 对目前大量的数据备份来说，（）是应用得最广的介质。
276、单项选择题 信息资产敏感性指的是：（）
A.机密性
B.完整性
C.可用性
D.安全性
277、单项选择题 在进行风险分析的时候，发现预测可能造成的风险的经济损失时有一定困难。为了评估潜在的损失，应该：（）
A.计算相关信息资产的摊销费用
B.计算投资的回报
C.应用定性的方法进行评估
D.花费必要的时间去评估具体的损失的金额
278、填空题 （）是一项用来表述课题研究进展及结果的报告形式。
279、判断题 VLAN技术是基于应用层和网络层之间的隔离技术。
280、单项选择题 255.0.0.0是哪类网址的默认MASK？（）
A.A类
B.B类
C.C类
D.D类
281、单项选择题 以下哪一种人给公司带来最大的安全风险？（）
A.临时工
B.咨询人员
C.以前员工
D.当前员工
282、单项选择题 应急响应计划文档不应该（）
A.分发给公司所有人员
B.分发给参与应急响应工作的所有人员
C.具有多份拷贝在不同的地点保存
D.由专人负责保存与分发
283、单项选择题 以下哪一项属于物理安全方面的管理控制措施？（）
A.照明
B.护柱
C.培训
D.建筑设施的材料
284、单项选择题 组织内应急通知应主要采用以下哪种方式（）
A.电话
B.电子邮件
C.人员
D.公司OA
285、单项选择题 降低风险的控制措施有很多，下面哪一个不属于降低风险的措施？（）
A.在网络上部署防火墙
B.对网络上传输的数据进行加密
C.制定机房安全管理制度
D.购买物理场所的财产保险
286、单项选择题 以下哪项是正确的信息安全保障发展历史顺序？（）
A.通信安全→计算机安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
B.通信安全→信息安全保障→计算机安全→信息系统安全→网络空间安全/信息安全保障
C.计算机安全→通信安全→信息系统安全→信息安全保障→网络空间安全/信息安全保障
D.通信安全→信息系统安全→计算机安全→信息安全保障→网络空间安全/信息安全保障
287、单项选择题 以下描述中不属于SSH用途的为？（）
A.用于远程的安全管理，使用SSH客户端连接远程SSH服务器，建立安全的Shell交互环境
B.用于本地到远程隧道的建立，进而提供安全通道，保证某些业务安全传输
C.进行对本地数据使用SSH的秘钥进行加密报错，以提高其业务的可靠性
D.SCP远程安全数据复制借助SSH协议进行传输，SSH提供其安全隧道保障
288、单项选择题 信息安全策略，声称“密码的显示必须以掩码的形式”的目的是防范下面哪种攻击风险？（）
A.尾随
B.垃圾搜索
C.肩窥
D.冒充
289、单项选择题 为了预防逻辑炸弹，项目经理采取的最有效的措施应该是（）
A.对每日提交的新代码进行人工审计
B.代码安全扫描
C.安全意识教育
D.安全编码培训教育
290、填空题 在一个有多个防火墙存在的环境中，每个连接两个（）的计算机或网络都是DMZ。
291、问答题 密码的研究、生产、销售时哪个部门负责的？
292、单项选择题 哪个端口被设计用作开始一个SNMP Trap？（）
A.TCP 161
B.UDP 161
C.UDP 162
D.TCP 169
293、多项选择题 我国现行的有关互联网安全的法律框架有以下（）层面.
A、法律
B、行政法规
C、行政规章
D、司法解释
294、单项选择题 中国信息安全测评中心对CISP注册信息安全专业人员有保持认证要求，在证书有效期内，应完成至少6次完整的信息安全服务经历，以下哪项不是信息安全服务：（）
A、为政府单位信息系统进行安全方案设计
B、在信息安全公司从事保安工作
C、在公开场合宣讲安全知识
D、在学校讲解信息安全课程
295、单项选择题 那种测试结果对开发人员的影响最大（）
A.单元测试和集成测试
B.系统测试
C.验收测试
D.渗透测试
296、单项选择题 下列哪一项信息不包含在X.509规定的数字证书中？（）
A.证书有效期
B.证书持有者的公钥
C.证书颁发机构的签名
D.证书颁发机构的私钥
297、单项选择题 以下哪一项是和电子邮件系统无关的？（）
A.PEM（Privacy enhanced mail）
B.PGP（Pretty good privacy）
C.X.500
D.X.400
298、单项选择题 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是（）
A.信息系统的开发设计，应该越早考虑系统的安全需求越好
B.信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统
C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理
D.运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险
299、单项选择题 对一项应用的控制进行了检查，将会评估（）
A.该应用在满足业务流程上的效率
B.任何被发现风险影响
C.业务流程服务的应用
D.应用程序的优化
300、单项选择题 下列信息系统安全说法正确的是：（）
A.加固所有的服务器和网络设备就可以保证网络的安全
B.只要资金允许就可以实现绝对的安全
C.断开所有的服务可以保证信息系统的安全
D.信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略