2021年10月信息安全管理体系基础答案及解析.pdfVIP

一、单选题

1、ISO/IEC27001描述的风险分析过程不包括（）。

A、分析风险发生的原因

B、确定风险级别

C、评估识别的风险发生后，可能导致的潜在后果

D、评估所识别的风险实际发生的可能性

解析：【喵呜刷题小喵解析】：ISO/IEC

27001描述的风险分析过程包括确定风险级别、评估识别的风险发生后，可能导致

的潜在后果以及评估所识别的风险实际发生的可能性。然而，分析风险发生的原因

并不属于ISO/IEC27001描述的风险分析过程的内容。因此，答案为A。

2、依据GB/T22080，网络隔离指的是（）。

A、不同网络运营商之间的隔离

B、不同用户组之间的隔离

C、内网与外网的隔离

D、信息服务、用户及信息系统

解析：【喵呜刷题小喵解析】：依据GB/T22080，网络隔离指的是内网与外网的隔

离。这是因为在网络安全中，内网和外网是两个不同的网络环境，内网通常指的是

组织内部的网络环境，而外网则指的是互联网等外部环境。为了保障组织内部的信

息安全，需要将内网和外网进行隔离，以防止外部攻击者通过外网对内部网络进行

攻击和窃取信息。因此，网络隔离是指内网与外网的隔离，选项C正确。其他选项

A、B、D与题目要求不符。

3、有关信息安全管理，风险评估的方法比起基线的方法，主要的优势在于它确保

（）。

A、不考虑资产的价值，基本水平的保护都会被实施

B、对所有信息资产保护都投入相同的资源

C、对信息资产实施适当水平的保护

D、信息资产过度的保护

解析：【喵呜刷题小喵解析】：基线方法通常基于预设的、固定的保护级别，不考

虑资产的实际价值或风险。而风险评估方法则根据资产的实际价值和潜在风险来确

定适当的保护级别。这种方法能够确保对信息资产实施适当水平的保护，而不是过

度或不足的保护。因此，与基线方法相比，风险评估方法的主要优势在于它能够确

保对信息资产实施适当水平的保护。

4、在以下认为的恶意攻击行为中，属于主动攻击的是（）。

A、数据窃听

B、误操作

C、数据流分析

D、数据篡改

解析：【喵呜刷题小喵解析】：在网络安全中，主动攻击和被动攻击是两种主要的

攻击类型。主动攻击是指攻击者直接对系统或数据进行干预，如篡改、删除或伪造

数据。被动攻击则是指攻击者通过监听、截获或分析网络流量来获取敏感信息，但

不直接干预系统或数据。从题目给出的选项中分析：A.

数据窃听：这是一种被动攻击，攻击者通过监听网络流量来获取敏感信息。B.

误操作：这通常不是攻击行为，而是由于用户或系统错误导致的操作失误。C.

数据流分析：这也是一种被动攻击，攻击者通过分析网络流量来识别数据模式或规

律。D.

数据篡改：这是主动攻击的一种，攻击者直接修改或篡改系统中的数据。因此，属

于主动攻击的是数据篡改，所以正确答案是D。

5、ISO/IEC27001所采用的过程方法是（）。

A、PPTR方法

B、SMART方法

C、PDCA方法

D、SWOT方法

解析：【喵呜刷题小喵解析】：ISO/IEC27001是信息安全管理体系的国际标准，它

采用的过程方法是PDCA方法，即Plan（计划）、Do（执行）、Check（检查）和A

ct（处理）循环。这种方法在质量管理中广泛应用，也适用于信息安全管理体系的

建立、实施、监视和改进。因此，选项C“PDCA方法”是正确的。其他选项，如AP

PTR方法、SMART方法和SWOT方法，都不是ISO/IEC27001所采用的过程方法。

6、以下哪些可由操作人员执行？（）

A、审批变更

B、更改配置文件

C、安装系统软件

D、添加/删除用户

解析：【喵呜刷题小喵解析】：根据题目描述，我们需要判断哪些操作可以由操作

人员执行。A.审批变更-

一般来说，审批变更涉及到多个部门的协同工作，可能需要经过管理层或相关部门

的审批，因此操作人员可能无法单独执行。B.更改配置文件-

更改配置文件通常需要一定的技术知识和操作权限，可能涉及到系统安全或稳定性

，因此可能不适合由操作人员单独执行。C.安装系统软件-

安装系统软件通常需要管理员权限，并且可能涉及到系统级的更改，因此不适合由

操作人员单独执行。D.添加/删除用户-

添加或删除用户通常是日常操作的一部分，可以由具有适当权限的操作人员执行。

因此，只有选项D是可以由操作人员执行的。

7、《中华人民共和国认证认可条例》规定，认证人员自被撤销职业资格之日起（

）内，认可机构不再接受其注册申请。

A、2年

B、3年

C、4年

D、5年

解