2025年注册信息安全经理(CISM)考试题库（附答案和详细解析）（1201）.docxVIP

注册信息安全经理（CISM）考试试卷

一、单项选择题（共10题，每题1分，共10分）

信息安全治理的核心目标是以下哪项？

A.部署最新安全技术

B.确保与业务战略对齐

C.满足所有合规要求

D.最小化安全投入成本

答案：B

解析：信息安全治理的核心是通过管理层的决策和监督，确保信息安全策略与组织业务目标一致（参考CISMDomain1）。选项A（技术部署）属于执行层面；选项C（合规）是治理的部分目标而非核心；选项D（成本最小化）可能与风险控制冲突，非核心目标。

风险评估中“残余风险”指的是？

A.未被识别的潜在风险

B.已实施控制措施后剩余的风险

C.由第三方引发的风险

D.初始未采取任何控制的风险

答案：B

解析：残余风险是指在采取控制措施后仍未消除的风险（CISMDomain2）。选项A是未知风险；选项C是外部风险；选项D是固有风险（InherentRisk），均不符合定义。

业务连续性计划（BCP）与灾难恢复计划（DRP）的主要区别是？

A.BCP关注业务流程恢复，DRP关注IT系统恢复

B.BCP针对自然灾难，DRP针对人为攻击

C.BCP由IT部门主导，DRP由业务部门主导

D.BCP是短期计划，DRP是长期计划

答案：A

解析：BCP（业务连续性计划）聚焦关键业务流程的持续运行，DRP（灾难恢复计划）侧重IT系统和数据的恢复（CISMDomain4）。选项B错误，两者均覆盖多种威胁；选项C错误，BCP需跨部门协作；选项D无明确时间区分。

信息安全策略的最高层级来源是？

A.行业最佳实践（如ISO27001）

B.组织的业务目标和愿景

C.法律法规（如GDPR）

D.技术团队的需求

答案：B

解析：信息安全策略需基于组织的业务目标和战略制定（CISMDomain1）。选项A、C是策略的输入依据，非最高来源；选项D是执行层面需求。

以下哪项是信息安全事件管理的首要原则？

A.完全阻止所有事件发生

B.快速响应并减少业务影响

C.追究事件责任人

D.记录所有事件细节

答案：B

解析：事件管理的核心是通过快速响应将业务影响降至最低（CISMDomain4）。选项A不现实；选项C是后续步骤；选项D是记录要求，非首要原则。

合规性管理的关键步骤不包括？

A.识别适用的法律法规

B.定期进行合规性审计

C.购买合规性保险

D.差距分析与整改

答案：C

解析：合规管理包括识别法规（A）、审计（B）、差距分析（D）等（CISMDomain2）。购买保险属于风险转移，非合规管理关键步骤。

信息安全项目管理中，“范围蔓延”最可能导致？

A.项目成本超支

B.安全控制过度

C.利益相关者满意

D.风险评估简化

答案：A

解析：范围蔓延（ScopeCreep）指项目范围无控制扩展，通常导致成本增加和进度延迟（CISMDomain3）。选项B、C、D与范围蔓延无直接因果。

以下哪项属于信息资产分类的主要目的？

A.确定资产的物理位置

B.为风险评估提供优先级依据

C.统计资产数量

D.满足审计要求

答案：B

解析：资产分类的核心是根据价值和敏感性确定保护优先级（CISMDomain2）。选项A、C是资产清单内容；选项D是间接结果。

信息安全意识培训的重点对象是？

A.高层管理人员

B.全体员工

C.IT技术人员

D.安全团队成员

答案：B

解析：安全意识需覆盖所有员工，因其是最常见的安全薄弱环节（CISMDomain3）。选项A（管理层）需战略意识；C、D需专业技能培训，非“重点对象”。

以下哪项是验证信息安全控制有效性的最佳方法？

A.查看控制文档

B.进行渗透测试

C.管理层自我声明

D.员工问卷调查

答案：B

解析：渗透测试通过模拟攻击验证控制的实际防护能力（CISMDomain1）。选项A是文档审查；C、D主观性强，均非最佳方法。

二、多项选择题（共10题，每题2分，共20分）（每题至少2个正确选项）

信息安全治理框架应包含以下哪些要素？（）

A.管理层责任与授权

B.信息安全策略与标准

C.安全技术部署方案

D.绩效度量与报告机制

答案：ABD

解析：治理框架核心包括责任分配（A）、策略制定（B）、绩效评估（D）（CISMDomain1）。选项C（技术方案）属于执行层面，非治理框架要素。

风险评估的主要输入包括？（）

A.资产清单与价值

B.威胁与脆弱性数据

C.控制措施有效性

D.员工安全意识水平

答案：ABC

解析：风险评估需资产（A）、威胁/脆弱性（B）、现有控制（C）作为输入（CISMDomain2）。选项D（安全意识）是脆弱性的一部分，非独立输入。

业务连续性计划（BCP