2024年8月CCAA信息安全管理体系质量审核员考试题目含解析.doc

2024年8月CCAA信息安全管理体系质量审核员考试题目

一、单项选择题

1、在实施技术符合性评审时，以下说法正确的是（）

A、技术符合性评审即渗透测试

B、技术符合性评审即漏洞扫描与渗透测试的结合

C、渗透测试和漏洞扫描可以替代风险评估

D、渗透测试和漏洞扫描不可替代风险评估

2、创建和更新文件化信息时，组织应确保适当的（）

A、对适宜性和有效性的评审和批准

B、对充分性和有效性的测量和批准

C、对适宜性和充分性的测量和批准

D、对适宜性和充分性的评审和批准

3、物理安全周边的安全设置应考虑：（）

A、区域内信息和资产的敏感性分类

B、重点考虑计算机机房，而不是办公区或其他功能区

C、入侵探测和报警机制

D、A+C

4、关于访问控制策略，以下不正确的是：（）

A、须考虑被访问客体的敏感性分类、访问主体的授权方式、时限和访问类型

B、对于多任务访问，一次性赋予全任务权限

C、物理区域的管理规定须遵从物理区域的访问控制策

D、物理区域访问控制策略应与其中的资产敏感性一致

5、创建和更新文件化信息时，组织应确保适当的（）。

A、对适宜性和有效性的评审和批准

B、对充分性和有效性的测量和批准

C、对适宜性和充分性的测量和批准

D、对适宜性和充分性的评审和批准

6、已知错误是一个已识别根本原因或解决方案降低或消除对服务影响的()

A、问题

B、事件

C、错误

D、事态

7、容量管理的对象包括（）

A、信息系统内存

B、办公室空间和基础设施

C、人力资源

D、以上全部

8、防火墙提供的接入模式不包括(）

A、透明模式

B、混合模式

C、网关模式

D、旁路接入模式

9、（）不是每个过程都需要定义的部分

A、输出

B、资源

C、输入

D、活动

10、对于较大范围的网络，网络隔离是（）

A、可以降低成本

B、可以降低不同用户组之间非授权访问的风险

C、必须物理隔离和必须禁止无线网络

D、以上都对

11、访问控制是确保对资产的访问，是基于（）要求进行授权和限制的手段。

A、用户权限

B、可被用户访问的资料

C、系统是否遭受入侵

D、可给予哪些主体访问

12、以下哪项不属于脆弱性范畴？（）

A、黑客攻击

B、操作系统漏洞

C、应用程序BUG

D、人员的不良操作习惯

13、系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应用程序，数据库系统、用户设置、系统参数等信息，以便迅速（）

A、恢复全部程序

B、恢复网络设置

C、恢复所有数据

D、恢复整个系统

14、审核证据是指（）

A、与审核准则有关的，能够证实的记录、事实陈述或其他信息

B、在审核过程中收集到的所有记录、事实陈述或其他信息

C、一组方针、程序或要求

D、以上都不对

15、关于《中华人民共和国保密法》，以下说法正确的是：（）

A、该法的目的是为了保守国家秘密而定

B、该法的执行可替代以ISCVIEC27001为依据的信息安全管理体系

C、该法适用于所有组织对其敏感信息的保护

D、国家秘密分为秘密、机密、绝密三级，由组织自主定级、自主保护

16、《中华人民共和国认证认可条例》规定，认证人员自被撤销职业资格之日起（）内，认可机构不再接受其注册申请。

A、2年

B、3年

C、4年

D、5年

17、实施管理评审的目的是为确保信息安全管理体系的（）

A、充分性

B、适宜性

C、有效性

D、以上都是

18、ISMS管理评审的输出应包括（）

A、可能影响ISMS的任何变更

B、以往风险评估没有充分强调的脆弱点或威胁

C、风险评估和风险处理计划的更新

D、改进的建议

19、《计算机信息系统安全保护条例》中所称计算机信息系统，是指

A、对信息进行采集、加工、存储、传输、检索等处理的人机系统

B、计算机及其相关的设备、设施，不包括软件

C、计算机运算环境的总和，但不含网络

D、一个组织所有计算机的总和，包括未联网的微型计算机

20、根据ISO/IEC27001中规定，在决定讲行第二阶段审核之间，认证机构应审查第一阶段的审核报告，以便为第二阶段选择具有（）

A、所需审核组能力的要求

B、客户组织的准备程度

C、所需能力的审核组成员

D、客户组织的场所分布

21、确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程其所用，是指（）

A、完整性

B、可用性

C、机密性

D、抗抵赖性

22、在以下认为的恶意攻击行为中，属于主动攻击的是()

A、数据窃听

B、误操作

C、数据流分析

D、数据篡改

23、依据GB/T220802016/SO/EC.27001:2013标准，组织应（）。

A、识别在组织范围内从事会影响组织信息安全绩效的员工的必要能力

B、确保在组织控制下从事会影响组织信息安全绩效的员工的必要能力

C、确定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力