2025年注册信息安全经理(CISM)考试题库（附答案和详细解析）（1020）.docxVIP

注册信息安全经理（CISM）模拟考试试卷

一、单项选择题（共10题，每题1分，共10分）

信息安全治理的核心目标是：

A.部署最新的安全技术工具

B.确保信息安全与业务目标一致

C.降低安全事件发生次数

D.满足合规性要求

答案：B

解析：信息安全治理的核心是通过协调安全策略、流程和资源，使信息安全与组织的业务目标保持一致（参考CISMCBK信息安全治理章节）。A错误，技术工具是手段而非目标；C错误，降低事件是结果而非核心；D错误，合规是治理的一部分，但非核心。

在风险评估中，“残余风险”是指：

A.未被识别的风险

B.已采取控制措施后剩余的风险

C.不可接受的高风险

D.历史遗留的风险

答案：B

解析：残余风险是指实施控制措施后仍未消除的风险（ISO27005定义）。A是未知风险；C是风险等级判断；D是时间维度的分类，均不符合定义。

信息安全策略的最终批准权应属于：

A.信息安全部门负责人

B.首席信息官（CIO）

C.高级管理层

D.法律合规部门

答案：C

解析：安全策略是组织级政策，需高级管理层批准以确保其权威性和与业务目标的一致性（CISM治理域要求）。其他选项属于执行或支持角色，无最终批准权。

以下哪项是访问控制的“最小权限原则”最佳实践？

A.为所有员工分配相同的基础权限

B.仅授予完成工作所需的最低权限

C.定期审查权限但不调整

D.根据职位高低分配权限

答案：B

解析：最小权限原则要求用户仅获得完成任务所需的最小权限（NISTSP800-53标准）。A违反差异化需求；C未动态调整；D可能导致权限冗余。

数据泄露事件响应的首要步骤是：

A.通知媒体和公众

B.隔离受影响系统

C.分析泄露原因

D.更新安全策略

答案：B

解析：事件响应的优先顺序是控制影响（如隔离系统），防止损失扩大（NISTSP800-61指南）。A可能违反合规流程；C是后续分析；D是事后改进。

以下哪项不属于信息安全项目管理的关键要素？

A.范围管理

B.预算控制

C.技术选型

D.利益相关者沟通

答案：C

解析：项目管理的核心是范围、时间、成本、质量和沟通（PMBOK指南），技术选型属于执行细节。其他选项均为项目管理关键要素。

合规性管理的核心是确保组织：

A.符合所有适用的法律法规

B.超越行业最佳实践

C.避免任何法律诉讼

D.定期更新安全技术

答案：A

解析：合规性管理的目标是符合适用的法律、法规、标准和合同要求（CISM风险与合规域定义）。B是提升目标；C无法完全避免；D是技术手段。

信息安全意识培训的主要目标是：

A.减少人为错误导致的安全事件

B.培养专业安全技术人员

C.满足审计要求

D.提升员工IT操作技能

答案：A

解析：意识培训的核心是通过教育减少人为失误（如误点钓鱼邮件）（ISO27032指南）。B是技能培训；C是间接结果；D与安全无直接关联。

业务连续性计划（BCP）的关键输入是：

A.风险评估结果

B.最新安全漏洞报告

C.员工通讯录

D.供应商合同

答案：A

解析：BCP需基于业务影响分析（BIA）和风险评估结果确定关键业务和恢复优先级（ISO22301标准）。其他选项是支持性信息，非关键输入。

以下哪项是信息安全审计的主要目的？

A.发现所有安全漏洞

B.验证控制措施的有效性

C.替代日常安全监控

D.制定安全策略

答案：B

解析：审计的核心是评估控制措施是否有效实现目标（ISACA审计标准）。A是测试工具的功能；C不能替代监控；D是管理层职责。

二、多项选择题（共10题，每题2分，共20分）

信息安全治理框架通常包括以下哪些要素？（）

A.角色与职责定义

B.安全策略与标准

C.合规性监控机制

D.员工绩效考核

答案：ABC

解析：治理框架需明确角色（如董事会、管理层）、制定策略标准、建立监控机制（ISO38500标准）。D属于人力资源管理，非治理框架核心。

风险评估的主要步骤包括：（）

A.资产识别与赋值

B.威胁与脆弱性分析

C.风险处置策略选择

D.控制措施成本核算

答案：ABC

解析：标准风险评估流程为资产识别→威胁/脆弱性分析→风险计算→处置策略（ISO27005）。D是处置阶段的子步骤，非主要步骤。

访问控制的常见类型包括：（）

A.强制访问控制（MAC）

B.基于角色的访问控制（RBAC）

C.基于属性的访问控制（ABAC）

D.基于时间的访问控制（TBAC）

答案：ABCD

解析：四种均为常见访问控制模型（NISTSP800-162）。MAC由系统强制；RBAC基于角色；ABAC基于用户属性；TBAC基于时间条件。

信息安全事件管理的关键阶段包括：（）

A.准