2025年注册信息安全经理(CISM)考试题库（附答案和详细解析）（1101）.docxVIP

注册信息安全经理（CISM）考试试卷

一、单项选择题（共10题，每题1分，共10分）

信息安全治理的核心目标是：

A.部署最新的安全技术工具

B.确保信息安全与业务目标一致

C.满足所有合规性要求

D.提高员工的安全意识培训覆盖率

答案：B

解析：信息安全治理的核心是通过协调安全策略、资源和流程，使信息安全与组织的业务目标保持一致（CISMCBK信息安全治理章节）。选项A是技术手段，非目标；C是治理的部分结果；D是支持措施，均非核心目标。

以下哪项是风险评估中“残余风险”的正确定义？

A.未被识别的潜在风险

B.采取控制措施后仍存在的风险

C.由外部威胁引发的风险

D.因控制措施失效导致的新增风险

答案：B

解析：残余风险指在实施控制措施后仍未消除的风险（CISM风险与合规章节）。选项A是未识别风险；C是威胁来源分类；D是控制失效后的二次风险，均不符合定义。

最小特权原则的最佳实践是：

A.为所有用户分配相同的基础权限

B.根据岗位职责分配完成工作所需的最低权限

C.定期审查管理员权限但不包括普通用户

D.仅在新员工入职时分配权限，离职时不回收

答案：B

解析：最小特权原则要求用户权限严格限于完成工作所需的最小范围（CISM信息安全项目管理章节）。选项A违反“最小”要求；C未覆盖普通用户审查；D未及时回收权限，均不符合最佳实践。

安全策略的制定主体通常是：

A.信息安全团队

B.高级管理层

C.合规部门

D.技术运维部门

答案：B

解析：安全策略是组织层面的指导性文件，需由高级管理层批准并推动实施（CISM信息安全治理章节）。其他选项负责策略的执行或细化，而非制定主体。

以下哪项不属于信息安全事件的范畴？

A.员工误删核心业务数据

B.外部黑客攻击导致系统瘫痪

C.服务器因硬件故障停机

D.内部人员泄露客户隐私信息

答案：C

解析：信息安全事件需与安全相关（如威胁利用脆弱性），硬件故障属于运维事件（CISM信息安全事件管理章节）。其他选项均涉及安全威胁或脆弱性。

数据分类的主要目的是：

A.简化数据存储架构

B.为不同敏感级别的数据分配相应的保护措施

C.满足审计要求的文档记录

D.提高数据检索效率

答案：B

解析：数据分类通过区分敏感等级，确保高敏感数据获得更严格的保护（CISM信息安全项目管理章节）。其他选项是间接结果，非主要目的。

业务连续性计划（BCP）的核心目标是：

A.预防所有可能的中断事件

B.在中断事件发生后快速恢复关键业务

C.替代灾难恢复计划（DRP）

D.降低信息安全事件的发生概率

答案：B

解析：BCP关注中断事件后的业务恢复能力，而非预防（CISM信息安全事件管理章节）。A是预防措施目标；C中BCP与DRP互补而非替代；D是风险控制目标。

安全审计的主要目的是：

A.发现并惩罚违规行为

B.验证控制措施的有效性

C.记录所有系统操作日志

D.满足监管机构的强制要求

答案：B

解析：安全审计通过检查控制措施的执行情况，评估其是否有效（CISM信息安全治理章节）。A是审计的次要结果；C是审计的基础工作；D是外部驱动因素，均非主要目的。

以下哪项是访问控制的“主体”？

A.数据库服务器

B.申请登录的员工

C.存储的客户名单

D.网络防火墙规则

答案：B

解析：访问控制中，主体是请求访问资源的实体（如用户），客体是被访问的资源（如数据、系统）（CISM信息安全项目管理章节）。A、C是客体；D是控制机制。

隐私保护的核心原则“数据最小化”指：

A.尽可能减少存储的数据量

B.仅收集完成业务目标所需的必要数据

C.对所有数据进行加密存储

D.限制数据保留时间不超过1年

答案：B

解析：数据最小化要求收集的数据范围严格限于业务所需（CISM风险与合规章节）。A是结果而非原则；C是保护措施；D是数据保留原则，均不符合定义。

二、多项选择题（共10题，每题2分，共20分）

信息安全治理框架通常包括以下哪些要素？（）

A.安全策略与标准

B.角色与责任分配

C.预算与资源管理

D.员工绩效考核

答案：ABC

解析：信息安全治理框架涵盖策略（A）、组织架构（B）、资源分配（C）等核心要素（CISM信息安全治理章节）。D属于人力资源管理范畴，非治理框架要素。

风险评估的关键步骤包括：（）

A.资产识别与赋值

B.威胁与脆弱性分析

C.风险优先级排序

D.控制措施成本核算

答案：ABC

解析：风险评估流程包括资产识别（A）、威胁/脆弱性分析（B）、风险计算与排序（C）（CISM风险与合规章节）。D属于风险应对阶段的工作。

安全意识培训的目标包括：（）

A.提高员工对安全策略的认知

B.减少人为错误导致的安全事件

C.