2024年第一期国家ISMS信息安全管理体系审核员复习题含解析.doc

2024年第一期国家ISMS信息安全管理体系审核员复习题

一、单项选择题

1、ISO/IEC20000J标准的范围声明是很重要的，因为()

A、它定义了管理体系根据什么予以认证

B、它详细描述了所有已被认证的公司

C、它详细描述了所有已被认耐砂

D、它确定了哪些流程已超出了范围

2、根据《中华人民共和国网络安全法》，关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订（）协议,明确安全和保密义务与责任

A、安全保密

B、安全保护

C、安全保障

D、安全责任

3、对于所有拟定的纠正和预防措施，在实施前应通过（）过程进行评审。

A、薄弱环节识别

B、风险分析

C、管理方案

D、A+C

E、A+B

4、GB/T22080-2016中所指资产的价值取决于（）

A、资产的价格

B、资产对于业务的敏感程度

C、资产的折损率

D、以上全部

5、信息安全管理中，支持性基础设施指：（）

A、供电、通信设施

B、消防、防雷设施

C、空调及新风系统、水气暖供应系统

D、以上全部

6、PKI的主要组成不包括(）

A、SSL

B、CR

C、CA

D、RA

7、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。

A、确定

B、制定

C、落实

D、确保

8、以下描述不正确的是（）

A、防范恶意和移动代码的目标是保护软件和信息的完整性

B、纠正措施的目的是为了消除不符合的原因，防止不符合的再发生

C、风险分析、风险评价、风险处理的整个过程称为风险管理

D、控制措施可以降低安全事件发生的可能性，但不能降低安全事件的潜在影响

9、容灾的目的和实质是（）

A、数据备份

B、系统的

C、业务连续性管理

D、防止数据被破坏

10、风险责任人是指（）

A、具有责任和权限管理一项风险的个人或实体

B、实施风险评估的组织的法人

C、实施风险评估的项目负责人或项目任务责任人

D、信息及信息处理设施的使用者

11、风险评估过程一般应包括（）

A、风险识别

B、风险分析

C、风险评价

D、以上全部

12、拒绝服务攻击损害了信息系统哪一项性能（）

A、完整性

B、可用性

C、保密性

D、可靠性

13、在信息安全管理中进行（），可以有效解决人员安全意识薄弱问题。

A、内容监控

B、安全教育和培训

C、责任追查和惩处

D、访问控制

14、以下哪些可由操作人员执行？（)

A、审批变更

B、更改配置文件

C、安装系统软件

D、添加/删除用户

15、下列哪个措施不是用来防止对组织信息和信息处理设施的未授权访问的？（）

A、物理入口控制

B、开发、测试和运行环境的分离

C、物理安全边界

D、在安全区域工作

16、《信息安全技术信息安全事件分类分级指南》中的灾害性事件是由于（）对信息系统造成物理破坏而导致的信息安全事件。

A、人为因素

B、自然灾难

C、不可抗力

D、网络故障

17、在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级

A、3

B、4

C、5

D、6

18、下列那些事情是审核员不必要做的？（）

A、对接触到的客户信息进行保密

B、客观公正的给出审核结论

C、关注客户的喜好

D、尽量使用客户熟悉的表达方式

19、从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子?（）

A、计算机舞弊

B、欺骗或胁迫

C、计算机偷窃

D、计算机破坏

20、以下说法不正确的是(）

A、应考虑组织架构与业务目标的变化的风险评估进行再评审

B、应考虑以往未充分识别的威胁对风险评估结果进行再评估

C、制造部增加的生产场所对信息安全风险无影响

D、安全计划应适时更新

21、涉及运行系统验证的审计要求和活动，应（）

A、谨慎地加以规划并取得批准，以便最小化业务过程的中断

B、谨慎地加以规划并取得批准，以便最大化保持业务过程的连续

C、谨慎地加以实施并取得批准，以便最小化业务过程的中断

D、谨慎地加以实施并取得批准，以便最大化保持业务过程的连续

22、主动式射频识别卡(RFID)存在哪一种弱点?（）

A、会话被劫持

B、被窃听

C、存在恶意代码

D、被网络钓鱼攻击DR

23、可用性是指（）

A、根据授权实体的要求可访问和利用的特性

B、信息不能被未授权的个人，实体或者过程利用或知悉的特性

C、保护资产的准确和完整的特性

D、反映事物真实情况的程度

24、某公司进行风险评估后发现公司的无线网络存在大的安全隐患、为了处置这个风险，公司不再提供无线网络用于办公，这种处置方式属于（）

A、风险接受

B、风险规避

C、风险转移

D、风险减缓

25、IT部门中的所有服务是否都要包含在认证范围以内？（）

A、是的，整个范围的服务都要包含在认证范围之内

B、只有当其都被提供给相同的客户群体时

C、不，该范围可限制为服务的子集

D、取决于该服务为内部提供还是