企业信息安全面试题CISM认证知识应用.docxVIP

第PAGE页共NUMPAGES页

企业信息安全面试题：CISM认证知识应用

一、单选题（共10题，每题2分，总计20分）

背景：某金融机构采用混合云架构，存储大量客户敏感数据。内部审计发现部分访问日志未完整记录，存在合规风险。

1.在CISM框架下，该机构应优先采用哪种控制措施以降低日志记录风险？

A.实施日志聚合系统

B.减少日志保留期限

C.依赖人工抽查审计

D.关闭非必要服务日志

2.若某员工离职后仍能访问公司系统，依据CISM的治理原则，以下哪项措施最符合权限管理要求？

A.仅注销邮箱账户

B.维持原权限至合同终止

C.执行即时权限回收

D.要求员工签署竞业协议

3.某企业遭遇勒索软件攻击，数据被加密。CISM中哪个流程有助于评估损失并制定恢复策略？

A.事件响应计划

B.风险评估矩阵

C.业务连续性规划

D.第三方风险管理

4.CISM认证对信息安全治理者的要求中，以下哪项描述最准确？

A.直接执行技术操作

B.制定技术标准

C.监督技术实施

D.负责系统运维

5.某公司采用零信任架构，要求每次访问都必须验证身份。CISM中支持该策略的理论基础是？

A.分权管理

B.最小权限原则

C.风险接受度

D.责任分离

6.在CISM框架下，如何确保员工理解信息安全政策？

A.仅提供政策文档

B.定期培训与考核

C.设定处罚条款

D.依赖技术自动执行

7.某跨国企业需满足GDPR合规，CISM中哪个流程有助于协调不同地区的法律要求？

A.合规性评估

B.跨境数据传输协议

C.法律风险评估

D.数据本地化策略

8.针对供应链风险，CISM建议采用哪种方法评估第三方供应商的安全能力？

A.自我声明审查

B.现场安全评估

C.仅依赖KPI考核

D.推荐第三方机构认证

9.某企业数据泄露事件涉及第三方服务提供商，CISM要求企业执行哪个流程以追责？

A.调查报告

B.合同约束条款

C.持续监控机制

D.事件通报系统

10.CISM强调信息安全管理需与业务目标一致，以下哪项最符合该原则？

A.优先投入技术设备

B.剥离非核心业务安全需求

C.设定独立的安全预算

D.制定与业务无关的安全策略

二、多选题（共5题，每题3分，总计15分）

背景：某制造企业引入工业物联网（IIoT）设备，需确保生产数据安全。

11.CISM框架中，以下哪些措施有助于防范IIoT设备的安全风险？

A.设备身份认证

B.数据传输加密

C.关闭不必要端口

D.定期固件更新

E.仅依赖防火墙防护

12.针对信息安全治理，CISM建议哪些关键利益相关者参与决策？

A.CEO

B.IT运维团队

C.法务部门

D.财务部门

E.员工代表

13.CISM强调风险治理，以下哪些措施属于风险缓解策略？

A.购买保险

B.技术隔离

C.提高员工意识

D.法律诉讼

E.备份策略

14.某企业采用DevSecOps流程，CISM要求在以下哪些阶段融入安全控制？

A.需求设计

B.代码开发

C.测试验证

D.部署上线

E.运维监控

15.CISM认证对信息安全治理者的能力要求包括哪些方面？

A.政策制定能力

B.风险评估能力

C.法律法规知识

D.技术操作技能

E.沟通协调能力

三、案例分析题（共2题，每题10分，总计20分）

背景1：某医疗机构使用电子病历系统，但部分医生可越权访问非分管患者数据。

背景2：某零售企业遭受DDoS攻击，导致官网瘫痪，客户投诉激增。

16.结合CISM框架，分析上述医疗机构的权限管理问题并提出改进建议。

（要求：说明问题本质、CISM相关原则、改进措施）

17.针对DDoS攻击事件，结合CISM的应急响应流程，说明企业应如何改进安全防护。

（要求：说明响应阶段、关键措施、长期改进方向）

四、简答题（共3题，每题5分，总计15分）

18.简述CISM认证对信息安全治理者的核心能力要求。

19.CISM框架中，风险治理与合规性管理的关系是什么？

20.企业如何通过CISM框架提升供应链信息安全水平？

答案与解析

一、单选题答案与解析

1.A

解析：日志记录需完整、不可篡改，日志聚合系统可集中管理，确保合规性。选项B、C、D均无法有效解决日志完整性问题。

2.C

解析：CISM强调“及时权限回收”，离职员工权限应立即撤销，避免数据泄露。

3.C

解析：业务连续性规划（BCP）涉及灾难恢复，有助于评估损失并制定恢复策略。

4.C

解析：CISM治理者需监督技术实施，而非直接操作或制定标准。

5.B

解析：零信任基于“最小权限原则”，要求每次访问都验证身份。

6.B

解析：