IOS/IEC 27001 ISMS审核员考试基础知识201606
一、单项选择
1、Cp是理想过程能力指数，Cpk是实际过程能力指数，以下（）是正确的。
A、Cp＞Cpk B、Cp＜Cpk C、Cp≤Cpk D、Cp≥Cpk
A、充分性 B、适宜性 C、可用性 D、有效性
3、应为远程工作活动开发和实施策略、（）和规程。
A、制定目标 B、，明确职责 C、编制作业指导书 D、操作计划
A、已经发生 B、可能发生 C、意外 D、A+B+C
5、根据《互联网信息服务管理办法》规定，国家对经营性互联网信息服务实行（）。
A、国家经营 B、地方经营 C、许可制度 D、备案制度
6、以下说法不正确的是（）
B、应考虑以往未充分识别的威胁对风险评估结果进行再评估
C、制造部增加的生产场所对信息安全风险无影响
D、安全计划应适时更新
7、组织在建立和评审信息安全管理体系时，应考虑（）
A、风险评估的结果 B、管理方案 C、法律、法规和其他要求 D、A+C
8、管理体系是指（）。
A、建立方针和目标并实现这些目标的体系
B、相互关联的相互作用的一组要素
C、指挥和控制组织的协调活动
D、以上都对
9、风险评价是指（）
A、系统地使用信息来识别风险来源和评估风险
B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程
C、指导和控制一个组织相关风险的协调活动
D、以上都对
10、以下属于计算机病毒感染事件的纠正措施的是（）
A、对计算机病毒事件进行相应和处理
B、将感染病毒的计算机从网络隔离
C、对相关责任人进行处罚
D、以上都不对
11、监督、检查、指导计算机信息系统安全保护工作是（）对计算机信息系统安全保护履行法定职责之一
A、电信管理机构 B、公安机关 C、国家安全机关 D、国家保密局
12、国家秘密的密级分为（）
A、绝密 B、机密 C、秘密 D、以上都对
13、《信息安全等级保护管理办法》规定，应加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评。
A、半年 B、1年 C、年 D、2年
14、《中华人民共和国认证认可条例》规定，认证人员自被撤销职业资格之日起（）内，认可机构再接受其注册申请。
A、2年 B、3年 C、4年 D、5年
15、《信息安全管理体系认证机构要求》中规定，第二阶段审核（）进行。
A、在客户组织的场所 B、在认证机构以网络访问的形式
C、以远程视频的形式 C、以上都对
16、以下关于认证机构的监督要求表述错误的是（）
A、认证机构宜能够针对客户组织的与信息安全有关的资产威胁、脆弱性和影响制定监督方案，并判断方案的合理性
B、认证机构的监督方案应由认证机构和客户共同来制定
C、监督审核可以与其他管理体系的审核相结合
D、认证机构应对认证证书的使用进行监督
17、渗透测试（）
A、可能会导致业务系统无法正常运行
B、是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法
C、渗透人员在局域网中进行测试，以期发现和挖掘系统存在的漏洞，然后输出渗透测试报告
D、必须在计算机网络系统首次使用前进行，以确保系统安全
18、以下哪个算法是非对称加密算法（）
A、RSA B、DES C、3DES D、AES
19、下面是关于计算机病毒的两种论断，经判断（）
①计算机病毒也是一种程序，它在某些条件下激活，起干扰破坏作用，并能传染到其他程序中去。 ②计算机病毒只会破坏磁盘上的数据。经判断
A、只有①正确 B．只有②正确 C．①②都正确 D．①②都不正确
20、以下关于入侵检测系统功能的叙述中，（）是不正确的。
A、保护内部网络免受非法用户的侵入？
B、评估系统关键资源和数据文件的完整性？
C、识别已知的攻击行为？
D、统计分析异常行为
21、容灾就是减少灾难事件发生的可能性以及限制灾难对（）所造成的影响的一整套行为。
A、销售业务流程 B、财务业务流程 C、生产业务流程 D、关键业务流程
22、（）属于管理脆弱性的识别对象。
A、物理环境 B、网络结构 C、应用系统 D、技术管理
23、防止计算机中信息被窃取的手段不包括（）
A、用户识别 B、权限控制 C、数据加密 D数据备份
24、从技术上说，网络容易受到攻击的原因主要是由于网络软件不完善和（）本身存在安全漏洞造成的。
A、人为使用 B、硬件设备 C、操作系统 D、网络协议
25-32 暂无
28、被黑客控制的计算机常被称为（）
A、蠕虫 B、肉鸡 C、灰鸽子 D、木马
30、被动扫描的优点不包括（）
A、无法被监测 B、只需要监听网络流量 C、 D、不需要主动
31、从技术的角度讲，数据备份的策略不包括（）
A、完全备份 B、增量备份 C、定期备份 D、差异备份
32、下列属于公司信息资产的有
A、资产信息 B、被放置在IDC机房的服务器 C、 D、以上都不对
33、信息安全管理实用规则ISO/IEC 27002属于（）标准
A、词汇类标准 B、指南类标准 C、要求类标准 D、技术类标准
34、依据GB/T22080/ISO/IEC 27001的要求，管理者应（）
A、制定ISMS目标和计划 B、实施ISMS管理评审
C、决定接受风险的准则和风险的可接受级别 D、以上都不对
35、以下对ISO/IEC 27002的描述，正确的是（）
A、该标准属于要求类标准 B、该标准属于指南类标准
C、该标准可用于一致性评估 D、组织在建立ISMS时，必须满足该标准的所有要求
36、要确保信息受到适当等级的保护，需要（）
A、对不同类别的信息分别标记和处理 B、将所有信息存放于重要服务器上，严加保管
C、应将重要信息打印，加盖机密章后锁起来 D、以上都不对
37、对于信息安全方针，（）是ISO/IEC 27001所要求的。
A、信息安全方针应形成文件 B、信息安全方针文件为公司内部重要信息，不得向外部泄露 C、信息安全方针文件应包括对信息安全管理的一般和特定职责的定义
D、信息安全方针是建立信息安全工作的总方向和原则，不可变更
38、适用性声明文件应（）
A、描述与组织相关和适用的控制目标和控制措施 B、版本应保持稳定不变
C、应包含标准GB/T22080附录A的所有条款 D、应删除组织不拟实施的控制措施
39、信息系统的变更管理包括（）
A、系统更新的版本控制 B、对变更申请的审核过程
C、变更实施前的正式批准 D、以上全部
40、以下对信息安全描述不准确的是（）
A、保密性、完整性、可用性 B、适宜性、充分性、有效性
C、保密性、完整性、可核查性 D、真实性、可核查性、可靠性
41、ISMS文件的多少和详细程度取决于（）
A、组织的规模和活动的类型 B、过程及其相互作用的复杂程度
C、人员的能力 D、以上都对
42、ISMS管理评审的输出应考虑变更对安全规程和控制措施的影响，但不包括（）
A、业务要求变更 B、合同义务变更 C、安全要求的变更 D、以上都对
43、经过风险处理后遗留的风险通常称为（）
A、重大风险 B、有条件的接受风险 C、不可接受的风险 D、残余风险
44、在公共可用系统中可用信息的（）宜受保护，以防止未授权的修改。
A、保密性 B、可用性 C、完整性 D、不可抵赖性
45、当操作系统发生变更时，应对业务的关键应用进行（）以确保对组织的运行和安全没有负面影响。
A、隔离和迁移 B、评审和测试 C、评审和隔离 D、验证和确认
46、应要求信息系统和服务的（）ios13测试版记录并报告观察到的或怀疑的任何系统或服务的安全弱点
A、雇员 B、承包方 C、第三方人员 D、以上全对
47、主体访问权限的（）。即仅执行授权活动所必需的那些权利被称为最小特定权限。
A、最高限度 B、最低限度 C、平均限度 D、次低限度
48、远程访问就是从另一网络或者从一个（）到所访问网络的终端设备上访问网络资源的过程。
A、连接 B、永不连接 C、并不永久连接 D、永久连接
49、业务连续性管理主要目标是防止业务活动中断，保护关键业务过程免受信息系统重大失误或灾难的影响，并确保他们的及时（）
A、可用 B、恢复 C、回退 D、维护
50、设置研发内部独立内网是采取（）的控制措施
A、上网流量管控 B、行为管理 C、敏感系统隔离 D、信息交换
51、当访问某资源存在不存活的联接时，会导致非法用户冒用并进行重放攻击的可能性，因此应采取（）控制措施
A、密码控制 B、密匙控制 C、会话超时 D、远程访问控制
52、开发、测试和（）设施应分离，以减少未授权访问或改变运行系统的风险。
A、配置 B、系统 C、终端 D、运行
53、（）是建立有效的计算机病毒防御体系所需要的技术措施
A、防火墙、网络入侵检测和防火墙 B、漏洞扫描、网络入侵检测和防火墙
C、漏洞扫描、补丁管理系统和防火墙 D、网络入侵检测、防病毒系统和防火墙
54、符合性要求包括（）
A、知识产权保护 B、公司信息保护 C、个人隐私的保护 D、以上都对
55、容灾的目的和实质是（）
A、数据备份 B、系统的 C、业务连续性管理 D、防止数据被破坏
56、以下描述正确的是（）
A、只要组织的业务不属于网络实时交易，即可不考虑应用“时钟同步”
B、对一段时间内发生的信息安全事件类型、频次、处理成本的统计分析不属于时间管理的范畴
C、实施信息安全管理，须考虑各利益相关方的需求以及可操作性方面的权衡
D、撤销对信息和信息处理设施的访问权是针对的组织雇员离职的情况
57、以下描述不正确的是（）
A、防范恶意和移动代码的目标是保护软件和信息的完整性
发布评论