2025年注册信息系统审计师(CISA)考试题库（附答案和详细解析）（0922）.docxVIP

注册信息系统审计师（CISA）考试试卷

一、单项选择题（共10题，每题1分，共10分）

1.在IT审计中，以下哪类审计证据的可靠性最高？

A.被审计单位提供的电子报表打印件

B.审计师直接从数据库导出的原始交易记录

C.被审计部门负责人口头确认的控制流程

D.第三方供应商提供的设备维护日志复印件

答案：B

解析：审计证据的可靠性遵循“直接获取＞间接获取”“原始记录＞复印件/口头说明”的原则。选项B是审计师直接获取的原始电子记录，可靠性最高；选项A是打印件（非原始），选项C是口头说明（无书面证据），选项D是复印件（非原始且来自第三方但非直接获取），可靠性均低于B。

2.IT治理中，以下哪项属于合理的职责分离？

A.系统开发人员兼任系统运维管理员

B.数据库管理员（DBA）负责数据录入

C.网络工程师负责防火墙规则审批

D.财务系统操作员与系统权限审批员分离

答案：D

解析：职责分离的核心是避免“操作、记录、审批”由同一人执行。选项D中操作员（执行）与审批员（监督）分离，符合要求；选项A（开发与运维）、B（管理与操作）、C（执行与审批）均违反职责分离原则。

3.信息系统开发生命周期（SDLC）中，“用户需求确认”属于哪个阶段？

A.可行性研究阶段

B.系统设计阶段

C.需求分析阶段

D.测试与部署阶段

答案：C

解析：SDLC通常包括需求分析、系统设计、开发、测试、部署、维护等阶段。用户需求确认是需求分析阶段的核心任务，用于明确系统功能和性能要求，因此选C。

4.访问控制的核心原则是？

A.最小权限原则

B.双因素认证原则

C.定期密码更换原则

D.多级别访问原则

答案：A

解析：访问控制的核心是确保用户仅获得完成工作所需的最小权限（最小权限原则），其他选项（双因素认证、密码更换）是实现最小权限的技术手段，多级别访问是权限分配的一种方式，而非核心原则。

5.灾难恢复计划（DRP）的关键测试方法是？

A.桌面演练（TabletopExercise）

B.模拟测试（SimulationTest）

C.全面恢复测试（FullRecoveryTest）

D.以上都是

答案：D

解析：DRP测试需分阶段进行，桌面演练（讨论流程）、模拟测试（部分系统恢复）、全面恢复测试（全系统切换）均为关键方法，需结合使用以验证计划有效性，因此选D。

6.以下哪种加密技术通常用于保护传输中的数据？

A.AES（高级加密标准）

B.RSA（非对称加密）

C.SHA-256（哈希算法）

D.DES（数据加密标准）

答案：B

解析：传输中的数据需要身份验证和密钥交换，RSA（非对称加密）常用于安全传输（如HTTPS中的SSL/TLS握手）；AES和DES是对称加密，主要用于存储数据加密；SHA-256是哈希算法，用于数据完整性验证。

7.IT风险评估中，“计算潜在损失金额与发生概率的乘积”属于？

A.定性评估

B.定量评估

C.半定量评估

D.德尔菲法

答案：B

解析：定量评估通过数值（如货币、概率）量化风险（如“损失100万元×概率20%=20万元期望损失”）；定性评估使用等级（高/中/低）描述风险，因此选B。

8.IT审计报告的最终版本应包含？

A.审计发现的详细技术细节

B.管理层对审计发现的响应

C.审计师的个人改进建议

D.被审计部门的历史违规记录

答案：B

解析：最终审计报告需包含审计目标、范围、发现、建议及管理层对建议的响应（如整改计划），以体现闭环管理。选项A（技术细节）通常附于附录，选项C（个人建议）应基于组织标准，选项D（历史记录）非必要内容。

9.变更管理的正确流程顺序是？

A.实施→测试→审批

B.审批→测试→实施

C.测试→审批→实施

D.测试→实施→审批

答案：C

解析：变更管理的核心是“先测试、再审批、后实施”，确保变更不会破坏现有系统稳定性。测试（验证可行性）→审批（管理层确认）→实施（正式部署）是标准流程，因此选C。

10.信息安全政策的最终批准权应属于？

A.IT部门负责人

B.内部审计部门

C.高级管理层（如董事会）

D.法律合规部门

答案：C

解析：信息安全政策是组织层面的战略文件，需由高级管理层（如董事会）批准以确保权威性和资源支持，其他部门（IT、审计、合规）负责执行或监督，因此选C。

二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）

1.制定IT审计计划时，需考虑的关键因素包括？

A.组织战略目标

B.过往审计发现的整改情况

C.员工绩效考核结果

D.可用审计资源

答案：ABD

解析：IT审计计划需基于风险评估（与战略目标关联）、过往整改情况（重复风险）及资源限制（如人员、时间）。