2021年第三期ISMS审核员考试题目—信息安全管理体系含解析.doc

2021年第三期ISMS审核员考试题目—信息安全管理体系

一、单项选择题

1、信息安全管理中,以下哪一种描述能说明“完整性”（）。

A、资产与原配置相比不发生缺失的情况

B、资产不发生任何非授权的变更

C、软件或信息资产内容构成与原件相比不发生缺失的情况

D、设备系统的部件和配件不发生缺失的情况

2、变更请求为提出针对服务、（）或IT服务管理体系（ITSMS）的变更建议

A、服务组件

B、服务软件

C、配置项

D、配置管理数据库

3、组织的风险责任人不可以是（）

A、组织的某个部门

B、某个系统管理员

C、风险转移到组织

D、组织的某个虚拟小组负责人

4、下列哪个措施不是用来防止对组织信息和信息处理设施的未授权访问的？（）

A、物理入口控制

B、开发、测试和运行环境的分离

C、物理安全边界

D、在安全区域工作

5、描述组织采取适当的控制措施的文档是（）

A、管理手册

B、适用性声明

C、风险处置计划

D、风险评估程序

6、《信息安全管理体系认证机构要求》中規定，第二阶段审核（）进行

A、在客户组织的场所

B、在认证机构以网络访向的形式

C、以远程视频的形式

D、以上都対

7、根据GB/T22080-2016标准的要求，组织（）实施风险评估

A、应按计划的时间间隔或当重大变更提出或发生时

B、应按计划的时间间隔且当重大变更提出或发生时

C、只需在重大变更发生时

D、只需按计划的时间间隔

8、—家投资顾问商定期向客户发送有关财经新闻的电子邮件，如何保证客户收到资料没有被修改（）

A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值

B、电子邮件发送前，用投资顾问商的公钥加密邮件的HASH值

C、电子邮件发送前，用投资顾问商的私钥数字签名邮件

D、电子邮件发送前，用投资顾问商的私钥加密邮件

9、下面哪一种属于网络上的被动攻击（）

A、消息篡改

B、伪装

C、拒绝服务

D、流量分析

10、风险处置是（）

A、识别并执行措施来更改风险的过程

B、确定并执行措施来更改风险的过程

C、分析并执行措施来更改风险的过程

D、选择并执行措施来更改风险的过程

11、以下对GB/T22081-2016/IS0/IEC27002:2013标准的描述，正确的是（）

A、该标准属于要求类标准

B、该标准属于指南类标准

C、该标准可用于一致性评估

D、组织在建立ISMS时，必须满足该标准的所有要求

12、在访问因特网时，为了防止Web网页中恶意代码对自己计算机的损害，可以采取的防范措施是(）

A、利用SSL访问Web站点

B、将要访问的Web站点按其可信度分配到浏览器的不同安全区域

C、在浏览器中安装数字证书

D、利用IP安全协议访问Web站点

13、下列措施中，（）是风险管理的内容。

A、识别风险

B、风险优先级评价

C、风险处置

D、以上都是

14、在根据组织规模确定基本审核时间的前提下，下列哪一条属于增加审核时间的要素（）。

A、其产品/过程无风险或有低的风险

B、客户的认证准备

C、仅涉及单一的活动过程

D、具有高风险的产品或过程

15、信息安全基本属性是（）。

A、保密性、完整性、可靠性

B、保密性、完整性、可用性

C、可用性、保密性、可能性

D、稳定性、保密性、完整性

16、在发布一个软件升级，修复某个已知错误后，哪个流程能确保配置信息被正确更新（）

A、变更管理

B、服务级别管理

C、配置管理

D、发布和部署管理

17、为确保采用一致和有效的方法对信息安全事件进行管理，下列控制措施哪个不是必须的？（）

A、建立信息安全事件管理的责任

B、建立信息安全事件管理规程

C、对信息安全事件进行响应

D、在组织内通报信息安全事件

18、根据《互联网信息服务管理办法》，互联网接入服务提供者应当记录上网用户的(）

A、用户帐号、上网时间、访问端口信息

B、用户帐户、上网时间、访问内容

C、用户帐号、访问IP地址、用户计算机型号

D、上网时间、用户帐号、互联网地址

19、以下关于认证机构的监督要求表述错误的是（）

A、认证机构宜能够针对客户组织的与信息安全有关的资产威胁、脆弱性和影响制定监督方案，并判断方案的合理性

B、认证机构的监督方案应由认证机构和客户共同来制定

C、监督审核可以与其他管理体系的审核相结合

D、认证机构应对认证证书的使用进行监督

20、ISO/IEC27701是（）

A、是一份基于27002的指南性标准

B、是27001和27002的隐私保护方面的扩展

C、是ISMS族以外的标准

D、在隐私保护方面扩展了270001的要求

21、关于GB/T22080-2016/ISO/IEC27001:2013标准，下列说法错误的是（）

A、标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求

B、标准中所表述要求的顺序反映了这些要求