CISA每日一题2014.分析和总结.docxVIP

1231 制定 IS 安全政策最终是谁的责任： A.IS 部门 B.安全委员会 C.安全管理员 D.董事会中文答案:D 制定信息系统安全政策通常是高级管理或懂事会的责任。IS 部门负责执行该政策，无权制定政策。安全委员也会根据懂事会制定的广泛性安全政策形势职能。安全管理员负责实施、监控和执行管理人员建立并授权的安全规则。 1230 当审计师使用不充分的测试步骤导致没能发现存在的重要性错误，导致以下哪种风险： A.业务（商业）风险。 B.检查风险。 C.审计风险。 D.固有风险。答案：B 解释：审计师使用不恰当的测试步骤并且得出重要性错误不存在，属于审计师的检查风险。 1229 以下哪项是针对数据和系统所有权的政策定义不当所带来的最大风险？ 不存在用户管理协调 无法确定明确的用户责任 未授权用户可能获得创建、修改或删除数据的权限D.审计建议可能不会实施 中文答案:C 如果没有政策来定义负责授予具体系统的访问权限的责任人，则没有权限的人员获得（授予） 系统的访问权限的风险将增加。通过分配绚丽来给特定用户授予访问权限，可以增大业务目 标得到适当支持的机会。 1226 IT 安全政策审计的主要目标是确保： A.所有员工安全政策分配并提供给所有员工 B.安全和控制的政策支持业务及 IT 目标C.有已发布的组织架构图，且带功能说明 D.适当分离职责 中文答案:B 业务导向应该是实施安全政策的主