2017年09月审核知识（改考前）答案及解析.pdfVIP

一、单选题

1、信息安全管理中，变更管理应予以控制的风险包括（）。

A、组织架构、业务流程变更的风险

B、信息系统配置、物理位置变更的风险

C、信息系统新的组件、功能模块发布的风险

D、以上全部

解析：【喵呜刷题小喵解析】在信息安全管理中，变更管理需要予以控制的风险涵

盖了多个方面。组织架构和业务流程的变更可能导致原有的安全策略失效或管理失

效，增加安全漏洞的风险；信息系统的配置和物理位置的变更可能改变原有的安全

环境，使系统更容易受到攻击；而信息系统新的组件或功能模块的发布，如果没有

经过严格的安全评估，也可能引入新的安全风险。因此，变更管理应予以控制的风

险包括组织架构、业务流程变更的风险，信息系统配置、物理位置变更的风险，以

及信息系统新的组件、功能模块发布的风险，即选项D所述“以上全部”。

2、关于防范恶意软件，以下说法正确的是（）。

A、物理隔断信息系统与互联网的连接即可防范恶意软件

B、安装入侵深测系统即可防范恶意软件

C、建立白名单即可防范恶意软件

D、建立探测、预防和恢复机制以防范恶意软件

解析：【喵呜刷题小喵解析】对于防范恶意软件，我们需要从多个层面进行考虑。

A选项提到“物理隔断信息系统与互联网的连接即可防范恶意软件”，这实际上是一

种过于简单和片面的做法。恶意软件可以通过多种途径传播，不仅仅是互联网连接

。物理隔断可能阻止了一部分传播途径，但并不能完全解决问题。B选项“安装入

侵深测系统即可防范恶意软件”同样存在问题。入侵检测系统（IDS）确实可以检

测到某些恶意软件的入侵行为，但它并不能主动预防恶意软件的感染。C选项“建

立白名单即可防范恶意软件”也是不全面的。白名单确实可以帮助我们识别和允许

已知安全的应用运行，但对于未知的或经过伪装的恶意软件，白名单就无能为力了

。D选项“建立探测、预防和恢复机制以防范恶意软件”则更加全面和合理。通过建

立探测、预防和恢复机制，我们可以及时发现恶意软件的入侵行为，并采取预防措

施阻止其传播，同时，在受到攻击后也能迅速恢复系统正常运行。综上所述，D选

项“建立探测、预防和恢复机制以防范恶意软件”是最全面和有效的做法，因此是正

确答案。

3、以下不属于可降低信息传输中的信息安全风险的措施是（）。

A、规定使用通信设施的限制规定

B、使用铠甲线缆以及数据加密

C、双路供电以及定期测试备份电机

D、记录物理介质运输全程的交接信息

解析：【喵呜刷题小喵解析】：题目要求找出不属于可降低信息传输中的信息安全

风险的措施。A选项“规定使用通信设施的限制规定”是有效的安全措施，有助于控

制对通信设施的访问，减少潜在的安全风险。B选项“使用铠甲线缆以及数据加密”

同样是有效的安全措施，能够增强数据传输的安全性，降低被截获和破解的风险。

D选项“记录物理介质运输全程的交接信息”也是一个安全措施，能够追踪物理介质

的安全，降低物理安全风险。而C选项“双路供电以及定期测试备份电机”与信息安

全风险的降低没有直接关系。双路供电和定期测试备份电机主要是为了提高系统的

可用性和可靠性，与信息安全风险的降低没有直接联系。因此，C选项是不属于可

降低信息传输中的信息安全风险的措施。

4、依据GB/T2208/ISO/IC27001，不属于第三方服务监视和评审范畴的是（）。

A、监视和评审服务级别协议的符合性

B、监视和评审服务方人员聘用和考核的流程

C、监视和评审服务交付遵从协议规定的安全要求的程度

D、监视和评审服务方跟踪处理信息安全事件的能力

解析：【喵呜刷题小喵解析】：依据GB/T2208/ISO/IC27001，第三方服务监视和评

审范畴主要包括监视和评审服务级别协议的符合性、监视和评审服务交付遵从协议

规定的安全要求的程度以及监视和评审服务方跟踪处理信息安全事件的能力。而监

视和评审服务方人员聘用和考核的流程并不属于第三方服务监视和评审的范畴。因

此，答案为B。

5、在进行技术符合性评审时，以下说法正确的是（）。

A、技术符合性评审即渗透测试

B、技术符合性评审即漏洞扫描和渗透测试的结合

C、渗透测试和漏洞扫描可以替代风险评估

D、渗透测试和漏洞扫描不可替代风险评估

解析：【喵呜刷题小喵解析】：技术符合性评审是一个全面的评估过程，旨在确保

技术系统或产品符合预定的标准、规范或要求。渗透测试和漏洞扫描是评估技术系

统安全性的工具，它们可以帮助发现潜在的安全漏洞，但并不能完全替代风险评估

。风险评估是一个更广泛的过程，它考虑了多种因素，包括技术、操作、管理等，

以全面评估系统的安全状况。因此，