2021年3月CCAA国家信息安全管理体系质量审核员复习题含解析.doc

2021年3月CCAA国家信息安全管理体系质量审核员复习题

一、单项选择题

1、不属于公司信息资产的是（）

A、客户信息

B、公司旋转在IDC机房的服务器

C、保洁服务

D、以上都不对

2、关于备份，以下说法正确的是(）

A、备份介质中的数据应定期进行恢复测试

B、如果组织删减了“信息安全连续性”要求，同机备份或备份本地存放是可接受的

C、发现备份介质退化后应考虑数据迁移

D、备份信息不是管理体系运行记录，不须规定保存期

3、最高管理者应（）。

A、确保制定ISMS方针

B、制定ISMS目标和计划

C、实施ISMS内部审核

D、主持ISMS管理评审

4、某公司进行风险评估后发现公司的无线网络存在大的安全隐患、为了处置这个风险，公司不再提供无线网络用于办公，这种处置方式属于（）

A、风险接受

B、风险规避

C、风险转移

D、风险减缓

5、根据《互联网信息服务管理办法》规定，国家对经营性互联网信息服务实行（）

A、国家经营

B、地方经营

C、许可制度

D、备案制度

6、《信息安全等级保护管理办法》规定,应加强涉密信息系统运行中的保密监督检查对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评。

A、半年

B、1年

C、1.5年

D、2年

7、系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应用程序，数据库系统、用户设置、系统参数等信息，以便迅速（）

A、恢复全部程序

B、恢复网络设置

C、恢复所有数据

D、恢复整个系统

8、加密技术可以保护信息的(）

A、机密性

B、完整性

C、可用性

D、A+B

9、为信息系统用户注册时，以下正确的是:（）

A、按用户的职能或业务角色设定访问权

B、组共享用户ID按组任务的最大权限注册

C、预设固定用户ID并留有冗余，以保障可用性

D、避免频繁变更用户访问权

10、审核发现是指（）

A、审核中观察到的事实

B、审核的不符合项

C、审核中收集到的审核证据对照审核准则评价的结果

D、审核中的观察项

11、下列哪项不是监督审核的目的？（）

A、验证认证通过的ISMS是否得以持续实现

B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化

C、确认是否持续符合认证要求

D、作出是否换发证书的决定

12、关于防范恶意软件，以下说法正确的是：（）

A、物理隔断信息系统与互联网的连接即可防范恶意软件

B、安装入侵探测系统即可防范恶意软件

C、建立白名单即可防范恶意软件

D、建立探测、预防和恢复机制以防范恶意软件

13、在考虑网络安全策略时，应该在网络安全分析的基础上从以下哪两个方面提出相应的对策？

A、硬件和软件

B、技术和制度

C、管理员和用户

D、物理安全和软件缺陷

14、关于信息系统登录口令的管理，以下做法不正确的是：()

A、必要时，使用密码技术、生物识等替代口令

B、用提示信息告知用户输入的口令是否正确

C、明确告知用户应遵从的优质口令策略

D、使用互动式管理确保用户使用优质口令

15、根据《信息安全等级保护管理办法》,对于违反信息安全法律、法规行为的行政处罚中()是较轻的处罚方式

A、警告

B、罚款

C、没收违法所得

D、吊销许可证

16、组织在确定与ISMS相关的内部和外部沟通需求时可以不包括(）

A、沟通周期

B、沟通内容

C、沟通时间

D、沟通对象

17、下列不属于取得认证机构资质应满足条件的是（）。

A、取得法人资格

B、有固定的场所

C、完成足够的客户案例

D、具有足够数量的专职认证人员

18、《信息技术信息安全事件分类分级指南》中的灾害性事件是由于（）对信息系统物理破坏而导致的信息安全事件。

A、网络攻击

B、不可抗力

C、自然灾害

D、人为因素

19、审核发现是指（）

A、审核中观察到的事实

B、审核的不符合项

C、审核中收集到的审核证据对照审核准则评价的结果

D、审核中的观察项

20、文件化信息创建和更新时，组织应确保适当的（)

A、对适宜性和有效性的评审和批港

B、对充分性和有效性的测量和批准

C、对适宜性和充分性的测量和批准

D、对适宜性和充业性的评审和批准

21、风险识别过程中需要识别的方面包括:资产识别、识别威胁、识别现有控制措施、(）

A、识别可能性和影响

B、识别脆弱性和识别后果

C、识别脆弱性和可能性

D、识别脆弱性和影响

22、ISO/IEC27001描述的风险分析过程不包括（）

A、分析风险发生的原因

B、确定风险级别

C、评估识别的风险发生后，可能导致的潜在后果

D、评估所识别的风险实际发生的可能性

23、（）是指系统、服务或网络的一种可识别的状态的发生，它可能是对信息安全策略的违反或防护措施的失效，或是和安全关联的一个先前未知的状态。

A、信息安全事态

B、信息安全事件

C、信息安全事故

D、信息安全故障

24、对保