2024年08月信息安全管理体系基础答案及解析.pdfVIP

一、单选题

1、某数据中心申请ISMS认证的范围为“IC基础设施服务的提供”，对此以下说法正

确的是（）。

A、附录A.17可以删减

B、附录A.8可以删减

C、附录A.12可以删减

D、附录A.14可以删减

解析：

数据中心申请ISMS认证的范围为IC基础设施服务的提供，对于附录的内容，可

以根据实际情况进行筛选。根据参照解析，数据中心主要工作职责是运行维护服务

，不涉及开发的内容与职能，因此附录A.14（系统获取、开发和维护等）不适用，

可以删减。而其他附录如A.8资产管理、A.12运行安全、A.17业务连续性管理的信

息安全方面都是重要的组成部分，不能删减。因此，正确答案是D。

2、信息安全管理中，关于脆弱性，以下说法正确的是（）。

A、组织使用的开源软件不须考虑其技术脆弱性

B、软件开发人员为方便维护留的后门是脆弱性的一种

C、识别资产脆弱性时应考虑资产的固有特性，不包括当前安全控制措施

D、使信息系统与网络物理隔离可杜绝其脆弱性被威胁利用的机会

解析：

针对题目中的四个选项，我们可以进行如下分析：

A选项：组织使用的开源软件不须考虑其技术脆弱性。这是错误的，根据GB/T

27002标准，组织应该考虑其使用的所有软件（包括开源软件）的技术脆弱性管理

。

B选项：软件开发人员为方便维护留的后门是脆弱性的一种。这是正确的。后门

是一种安全漏洞，可以被恶意用户利用，因此可以被视为一种脆弱性。

C选项：识别资产脆弱性时应考虑资产的固有特性，不包括当前安全控制措施。这

是错误的，根据GB/T20984-

2007标准，在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行确

认。

D选项：使信息系统与网络物理隔离可杜绝其脆弱性被威胁利用的机会。这也是错

误的，物理隔离不能完全防止所有的威胁和脆弱性。脆弱性不仅包括技术脆弱性，

还包括管理脆弱性，涵盖网络结构、物理环境、系统软件、应用中间件、应用系统

等多个方面。

因此，正确答案是B。

3、根据GB/T28450标准，ISMS的规模不包括（）。

A、信息系统的数量

B、在组织控制下开展工作的人员总数，以及与ISMS有关的相关方和合同方

C、组织的部门数量

D、ISMS覆盖的场所数量

解析：

根据GB/T

28450标准，ISMS的规模不包括组织的部门数量。ISMS的规模主要包括以下几个

方面：体系所覆盖的人数、使用的信息系统的数量、处理的信息量、用户的数量、

特权用户的数量、IT平台的数量、网络的数量及它们的规模以及体系所覆盖的场所

等。因此，组织的部门数量并不在ISMS规模的考虑范围内。

4、根据GB/T29246标准，风险处置后余下的风险是（）。

A、有条件的接受风险

B、重大风险

C、残余风险

D、不可接受的风险

解析：

根据GB/T

29246标准，风险处置后余下的风险被称为残余风险。因此，正确答案为C。

5、防火墙提供的接入模式不包括（）。

A、透明模式

B、混合模式

C、网关模式

D、旁路接入模式

解析：

防火墙提供的接入模式通常包括透明模式、网关模式和混合模式。透明模式是指防

火墙在网络中透明工作，不改变网络流量和路由；网关模式是指防火墙作为网络中

的网关来使用，处理所有通过的数据包；混合模式则是结合前两者的特点。因此，

旁路接入模式不是防火墙提供的接入模式之一，选项D是正确的答案。

6、《互联网信息服务管理办法》所称互联网信息服务，是指通过互联网向（）提

供信息的服务活动。

A、通过网络

B、监视网络睿

C、上网用户

D、使用网络

解析：

《互联网信息服务管理办法》第二条明确指出，互联网信息服务是指通过互联网向

上网用户提供信息的服务活动。因此，本题正确答案为C，即上网用户。

7、根据GB/T22080-

2016标准，关于信息系统登录口令的管理，以下做法不正确的是（）。

A、适用互动式管理确保用户使用优质口令

B、用提示信息告知用户输入的口令是否正确

C、必要时，使用密码技术、生物识别等替代口令

D、明确告知用户应遵从的优质口令策略

解析：

根据GB/T22080-

2016标准关于信息系统登录口令的管理，关于题目中的四个选项，A、C和D都是

正确的做法。而B选项“用提示信息告知用户输入的口令是否正确”是不正确的，因

为直接告知用户其口令是否正确存在安全隐患，可能会被他人通过窥视等方式获取

到密码信息。因此，B