当前位置：91考试网 -> 考试题库

信息安全师考试：信息安全师考试考试题（考试必看）
2021-03-07 02:14:58 来源:91考试网 作者:www.91exam.org 【大 中 小】
题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。

1、单项选择题  应急响应哪一个阶段用来降低事件再次发生的风险（）

A.遏制
B.根除
C.跟踪
D.恢复


点击查看答案


2、单项选择题  由于独立的信息系统增加，一个国有房产公司要求在发生重大故障后，必须保证能够继续提供IT服务。需要实施哪个流程才能提供这种保证性？（）

A.可用性管理
B.IT服务连续性管理
C.服务级别管理
D.服务管理


点击查看答案


3、单项选择题  测试人员与开发人员交互测试发现的过程中，开发人员最关注的什么？（）

A.bug的数量
B.bug的严重程度
C.bug的复现过程
D.bug修复的可行性


点击查看答案


4、单项选择题  对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？（）

A.改进措施包括纠正和预防措施
B.改进措施可由受审单位提出并实施
C.不可以对体系文件进行更新或修改
D.对改进措施的评价应该包括措施的有效性的分析


点击查看答案


5、单项选择题  向外部机构提供其信息处理设施的物理访问权限前，组织应当做什么？（）

A.该外部机构的过程应当可以被独立机构进行IT审计
B.该组织应执行一个风险评估，设计并实施适当的控制
C.该外部机构的任何访问应被限制在DMZ区之内
D.应当给该外部机构的员工培训其安全程序


点击查看答案


6、多项选择题  网络设备进行远程管理时，应采用（）协议的方式以防被窃听。

A.SSH
B.HTTP
C.HTTPS
D.Telnet
E.FTP


点击查看答案


7、单项选择题  风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？（）

A.只识别与业务及信息系统有关的信息资产，分类识别
B.所有公司资产都要识别
C.可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产
D.资产识别务必明确责任人、保管者和用户


点击查看答案


8、单项选择题  BS7799这个标准是由下面哪个机构研发出来的？（）

A.美国标准协会
B.英国标准协会
C.中国标准协会
D.国际标准协会


点击查看答案


9、单项选择题  人员入职过程中，以下做法不正确的是？（）

A.入职中签署劳动合同及保密协议。
B.分配工作需要的最低权限。
C.允许访问企业所有的信息资产。
D.进行安全意思培训。


点击查看答案


10、单项选择题  关于网页中的恶意代码，下列说法错误的是：（）

A.网页中的恶意代码只能通过IE浏览器发挥作用
B.网页中恶意代码可以修改系统注册表
C.网页中的恶意代码可以修改系统文件
D.网页中的恶意代码可以窃取用户的机密性文件


点击查看答案


11、单项选择题  回顾组织的风险评估流程时应首先（）

A.鉴别对于信息资产威胁的合理性
B.分析技术和组织弱点
C.鉴别并对信息资产进行分级
D.对潜在的安全漏洞效果进行评价


点击查看答案


12、单项选择题  信息安全政策声明：“每个人必须在进入每一个控制门时，都必须读取自己的证件”，防范的是哪一种攻击方式？（）

A.尾随Piggybacking
B.肩窥Shoulder surfing
C.Dumpster diving
D.冒充Impersonation


点击查看答案


13、单项选择题  基本的计算机安全需求不包括下列哪一条：（）

A.安全策略和标识
B.绝对的保证和持续的保护
C.身份鉴别和落实责任
D.合理的保证和连续的保护


点击查看答案


14、单项选择题  对于信息安全管理，风险评估的方法比起基线的方法，主要的优势在于它确保（）

A.信息资产被过度保护
B.不考虑资产的价值，基本水平的保护都会被实施
C.对信息资产实施适当水平的保护
D.对所有信息资产保护都投入相同的资源


点击查看答案


15、单项选择题  下面哪一个不是系统实施阶段风险管理的工作内容（）

A.安全测试
B.检查与配置
C.配置变更
D.人员培训


点击查看答案


16、单项选择题  在软件程序测试的哪个阶段一个组织应该进行体系结构设计测试？（）

A.可接受性测试
B.系统测试
C.集成测试
D.单元测试


点击查看答案


17、单项选择题  下列不属于网络安全测试范畴的是（）。

A.结构安全
B.边界完整性检查
C.剩余信息保护
D.网络设备防护


点击查看答案


18、单项选择题  下列有关密码学的说法中错误的是：（）

A.密码学是研究信息系统安全保密的科学。由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学和密码分析学。
B.密码编码学是对密码体制、密码体制的输入输出关系进行分析，以便推出机密变量、包括明文在内的敏感数据。
C.密码分析学主要研究加密消息的破译或消息的伪造。
D.密码编码学主要研究对信息进行编码，实现对信息的隐蔽。


点击查看答案


19、填空题  对目前大量的数据备份来说，（）是应用得最广的介质。


点击查看答案


20、单项选择题  以下哪项活动对安全编码没有帮助（）

A.代码审计
B.安全编码规范
C.编码培训
D.代码版本管理


点击查看答案


21、单项选择题  在计算可接受的关键业务流程恢复时间时（）

A.只需考虑停机时间的成本
B.需要分析恢复操作的成本
C.停机时间成本和恢复操作成本都需要考虑
D.可以忽略间接的停机成本


点击查看答案


22、单项选择题  Linux文件系统采用的是树型结构，在根目录下默认存在var目录，它的的功用是？（）

A.公用的临时文件存储点
B.系统提供这个目录是让用户临时挂载其他的文件系统
C.某些大文件的溢出区
D.最庞大的目录，要用到的应用程序和文件几乎都在这个目录


点击查看答案


23、单项选择题  ISMS文档体系中第一层文件是？（）

A.信息安全方针政策
B.信息安全工作程序
C.信息安全作业指导书
D.信息安全工作记录


点击查看答案


24、单项选择题  审核方法不包括（）

A.面谈
B.查阅文件和资料
C.与相关方核对
D.查看现场情况


点击查看答案


25、单项选择题  在一个中断和灾难事件中，以下哪一项提供了持续运营的技术手段？（）

A.负载平衡
B.硬件冗余
C.分布式备份
D.高可用性处理


点击查看答案


26、单项选择题  拒绝式服务攻击会影响信息系统的哪个特性？（）

A.完整性
B.可用性
C.机密性
D.可控性


点击查看答案


27、单项选择题  关于控制措施选择描述不正确的是（）

A.总成本中应考虑控制措施维护成本
B.只要控制措施有效，不管成本都应该首先选择
C.首先要考虑控制措施的成本效益
D.应该考虑控制措施实施的成熟度


点击查看答案


28、单项选择题  下列哪个为我国计算机安全测评机构（）

A.CNITSEC
B.TCSEC
C.FC
D.CC


点击查看答案


29、单项选择题  下列哪一项准确描述了哈希算法、数字签名和对称密钥算法所提供的功能？（）

A.身份鉴别和完整性，完整性，机密性和完整性
B.完整性，身份鉴别和完整性，机密性和可用性
C.完整性，身份鉴别和完整性，机密性
D.完整性和机密性，完整性，机密性


点击查看答案


30、单项选择题  TACACS使用哪个端口？（）

A.TCP 69
B.TCP 49
C.UDP 69
D.UDP 49


点击查看答案


31、单项选择题  应急响应领导小组主要职责包括：（）

A.对应急响应工作的承诺和支持，包括发布正式文件、提供必要资源（人财物）等；
B.审核并批准应急响应计划；
C.负责组织的外部协作工作
D.组织应急响应计划演练


点击查看答案


32、填空题  由于网络钓鱼通常利用（）进行传播，因此，各种（）的技术也都可以用来反网络钓鱼。


点击查看答案


33、单项选择题  对于信息安全策略的描述错误的是？（）

A.信息安全策略是以风险管理为基础，需要做到面面俱到，杜绝风险的存在。
B.信息安全策略是在有限资源的前提下选择最优的风险管理对策。
C.防范不足会造成直接的损失；防范过多又会造成间接的损失。
D.信息安全保障需要从经济、技术、管理的可行性和有效性上做出权衡和取舍。


点击查看答案


34、单项选择题  下述攻击手段中不属于DOS攻击的是：（）

A.Smurf攻击
B.Land攻击
C.Teardrop攻击
D.CGI溢出攻击


点击查看答案


35、单项选择题  在制定一个正式的企业安全计划时，最关键的成功因素将是？（）

A.成立一个审查委员会
B.建立一个安全部门
C.向执行层发起人提供有效支持
D.选择一个安全流程的所有者


点击查看答案


36、单项选择题  为什么实现单点登录的批处理文件及脚本文件需要被保护存储？（）

A.因为最小授权原则
B.因为它们不可以被操作员访问到
C.因为它们可能包含用户身份信息
D.因为知所必须原则


点击查看答案


37、填空题  风险评估的相关标准不包括（）。


点击查看答案


38、单项选择题  ITSEC中的F1-F5对应TCSEC中哪几个级别？（）

A.D到B2
B.C2到B3
C.C1到B3
D.C2到A1


点击查看答案


39、单项选择题  单位中下面几种人员中哪种安全风险最大？（）

A.临时员工
B.外部咨询人员
C.现在对公司不满的员工
D.离职的员工


点击查看答案


40、单项选择题  下列哪一项不是IDS可以解决的问题？（）

A.弥补网络协议的弱点
B.识别和报告对数据文件的改动
C.统计分析系统中异常活动模式
D.提升系统监控能力


点击查看答案


41、单项选择题  默认情况下，Window2000域之间的信任关系有什么特点？（）

A.只能单向，可以传递
B.只能单向，不可传递
C.可以双向，可以传递
D.可以双向，不可传递


点击查看答案


42、填空题  数据库管理员拥有（）的一切权限


点击查看答案


43、单项选择题  下列哪一项是一个适当的测试方法适用于业务连续性计划（BCP）？（）

A.试运行
B.纸面测试
C.单元
D.系统


点击查看答案


44、单项选择题  你的ATM卡为什么说是双重鉴定的形式？（）

A.它结合了你是什么和你知道什么
B.它结合了你知道什么和你有什么
C.它结合了你控制什么和你知道什么
D.它结合了你是什么和你有什么


点击查看答案


45、单项选择题  以下哪个标准是ISO27001的前身标准？（）

A.BS5750
B.BS7750
C.BS7799
D.BS15000


点击查看答案


46、单项选择题  下面对于标识和鉴别的解释最准确的是：（）

A.标识用于区别不同的用户，而鉴别用于验证用户身份的真实性
B.标识用于区别不同的用户，而鉴别用于赋予用户权限
C.标识用于保证用户信息的完整性，而鉴别用于验证用户身份的真实性
D.标识用于保证用户信息的完整性，而鉴别用于赋予用户权限


点击查看答案


47、单项选择题  面向对象的开发方法中，以下哪些机制对安全有帮助（）

A.封装
B.多态
C.继承
D.重载


点击查看答案


48、填空题  思维定式（）观察偏差的主观因素。


点击查看答案


49、判断题  在网络安全技术中，防火墙是第二道防御屏障。


点击查看答案


50、单项选择题  下面对于SSH的说法错误的是？（）

A.SSH是SecureShell的简称
B.客户端使用ssh连接远程登录SSH服务器必须经过基于公钥的身份验证
C.通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D.SSH2比SSH1更安全


点击查看答案


51、单项选择题  保护轮廓（PP）是下面哪一方提出的安全要求？（）

A.评估方
B.开发方
C.用户方
D.制定标准方


点击查看答案


52、单项选择题  （）Windows日志有三种类型：系统日志、应用程序日志、安全日志。这些日志文件通常存放在操作系统的安装区域的哪个目录下？

A.system32\config
B.system32\Data
C.system32\drivers
D.system32\Setup


点击查看答案


53、单项选择题  在逻辑访问控制中如果用户账户被共享，这种局面可能造成的最大风险是：（）

A.非授权用户可以使用ID擅自进入
B.用户访问管理费时
C.很容易猜测密码
D.无法确定用户责任


点击查看答案


54、单项选择题  制定应急响应策略主要需要考虑（）

A.系统恢复能力等级划分
B.系统恢复资源的要求
C.费用考虑
D.人员考虑


点击查看答案


55、单项选择题  企业信息资产的管理和控制的描述不正确的是（）

A.企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；
B.企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；
C.企业的信息资产不应该分类分级，所有的信息系统要统一对待
D.企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产


点击查看答案


56、单项选择题  以下哪一个是对于参观者访问数据中心的最有效的控制？（）

A.陪同参观者
B.参观者佩戴证件
C.参观者签字
D.参观者由工作人员抽样检查


点击查看答案


57、单项选择题  建立ISMS的第一步是？（）

A.风险评估
B.设计ISMS文档
C.明确ISMS范围
D.确定ISMS策略


点击查看答案


58、问答题  入侵检测系统分为哪几种，各有什么特点？


点击查看答案


59、单项选择题  合适的信息资产存放的安全措施维护是谁的责任（）

A.安全管理员
B.系统管理员
C.数据和系统所有者
D.系统运行组


点击查看答案


60、单项选择题  （）用于发现攻击目标。

A.ping扫描
B.操作系统扫描
C.端口扫描
D.漏洞扫描


点击查看答案


61、单项选择题  信息安全管理手段不包括以下哪一项（）

A.技术
B.流程
C.人员
D.市场


点击查看答案


62、单项选择题  下面哪项不是实施信息安全管理的关键成功因素（）

A.理解组织文化
B.得到高层承诺
C.部署安全产品
D.纳入奖惩机制


点击查看答案


63、单项选择题  实施逻辑访问安全时，以下哪项不是逻辑访问？（）

A.用户ID。
B.访问配置文件。
C.员工胸牌。
D.密码。


点击查看答案


64、单项选择题  BIBA模型基于两种规则来保障数据的完整性的保密性，分别是：（）

A.上读，主体不可读安全级别高于它的数据；下写，主体不可写安全级别低于它的数据
B.下读，主体不可读安全级别高于它的数据；上写，主体不可写安全级别低于它的数据
C.上读，主体不可读安全级别低于它的数据；下写，主体不可写安全级别高于它的数据
D.下读，主体不可读安全级别低于它的数据；上写，主体不可写安全级别高于它的数据


点击查看答案


65、单项选择题  信息安全需求获取的主要手段（）

A.信息安全风险评估
B.领导的指示
C.信息安全技术
D.信息安全产品


点击查看答案


66、单项选择题  软件的盗版是一个严重的问题。在下面哪一种说法中反盗版的策略和实际行为是矛盾的？（）

A.员工的教育和培训
B.远距离工作（Telecommuting）与禁止员工携带工作软件回家
C.自动日志和审计软件
D.策略的发布与策略的强制执行


点击查看答案


67、单项选择题  在信息安全管理日常工作中，需要与哪些机构保持联系？（）

A.政府部门
B.监管部门
C.外部专家
D.以上都是


点击查看答案


68、单项选择题  下列哪项是用于降低风险的机制（）

A.安全和控制实践
B.财产和责任保险
C.审计与认证
D.合同和服务水平协议


点击查看答案


69、单项选择题  下面关于密码算法的说法错误的是？（）

A.分组密码又称作块加密
B.流密码又称作序列密码
C.DES算法采用的是流密码
D.序列密码每次加密一位或一个字节的明文


点击查看答案


70、单项选择题  对于Linux操作系统中shadow文件说法不正确的是？（）

A.shadow文件可以指定用户的目录
B.shadow文件中定义了密码的使用期限
C.读取shadow文件能够发现秘钥的加密方法
D.shadow文件对于任何人是不可以读取的


点击查看答案


71、单项选择题  安全审计是对系统活动和记录的独立检查和验证，以下哪一项不是审计系统的（）

A.辅助辨识和分析未经授权的活动或攻击
B.对与己建立的安全策略的一致性进行核查
C.及时阻断违反安全策略的访问
D.帮助发现需要改进的安全控制措施


点击查看答案


72、单项选择题  在确定威胁的可能性时，可以不考虑以下哪个？（）

A.威胁源
B.潜在弱点
C.现有控制措施
D.攻击所产生的负面影响


点击查看答案


73、判断题  VLAN技术是基于应用层和网络层之间的隔离技术。


点击查看答案


74、单项选择题  以下哪个不可以作为ISMS管理评审的输入（）

A.ISMS审计和评审的结果
B.来自利益伙伴的反馈
C.某个信息安全项目的技术方案
D.预防和纠正措施的状态


点击查看答案


75、填空题  信息安全策略的基本原则是（）


点击查看答案


76、单项选择题  风险控制是依据风险评估的结果，选择和实施合适的安全措施。下面哪个不是风险控制的方式？（）

A.规避风险
B.转移风险
C.接受风险
D.降低风险


点击查看答案


77、单项选择题  恢复阶段的行动一般包括（）

A.建立临时业务处理能力
B.修复原系统损害
C.在原系统或新设施中恢复运行业务能力
D.避免造成更大损失


点击查看答案


78、单项选择题  对于Linux审计说法错误的是？（）

A.Linux系统支持细粒度的审计操作
B.Linux系统可以使用自带的软件发送审计日志到SOC平台
C.Linux系统一般使用auditd进程产生日志文件
D.Linux在secure日志中登陆成功日志和审计日志是一个文件


点击查看答案


79、单项选择题  

在选择外部供货生产商时，评价标准按照重要性的排列顺序是：（）
1.供货商与信息系统部门的接近程度
2.供货商雇员的态度
3.供货商的信誉、专业知识、技术
4.供货商的财政状况和管理情况

A.4，3，1，2
B.3，4，2，1
C.3，2，4，1
D.1，2，3，4


点击查看答案


80、单项选择题  以下哪一项不是跨站脚本攻击？（）

A.给网站挂马
B.盗取COOKIE
C.伪造页面信息
D.暴力破解密码


点击查看答案


81、单项选择题  有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是（）

A.信息系统的开发设计，应该越早考虑系统的安全需求越好
B.信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统
C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理
D.运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险


点击查看答案


82、单项选择题  当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专业人士最重要的考虑因素？该提供商：（）

A.满足并超过行业安全标准
B.同意可以接受外部安全审查
C.其服务和经验有很好的市场声誉
D.符合组织的安全策略


点击查看答案


83、单项选择题  安全开发制度中，QA最关注的的制度是（）

A.系统后评价规定
B.可行性分析与需求分析规定
C.安全开发流程的定义、交付物和交付物衡量标准
D.需求变更规定


点击查看答案


84、单项选择题  当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看：（）

A.访问控制列表
B.系统服务配置情况
C.审计记录
D.用户帐户和权限的设置


点击查看答案


85、判断题  安装入侵检测软件不会帮助减少收到的垃圾邮件数量。


点击查看答案


86、单项选择题  信息安全管理体系要求的核心内容是？（）

A.风险评估
B.关键路径法
C.PDCA循环
D.PERT


点击查看答案


87、单项选择题  由于IT的发展，灾难恢复计划在大型组织中的应用也发生了变化。如果新计划没有被测试下面哪项是最主要的风险（）

A.灾难性的断电
B.资源的高消耗
C."恢复的总成本不能被最小化"
D.用户和恢复团队在实施计划时可能面临服务器问题


点击查看答案


88、单项选择题  ISO/IEC27002由以下哪一个标准演变而来？（）

A.BS7799-1
B.BS7799-2
C.ISO/IEC17799
D.ISO/IEC13335


点击查看答案


89、单项选择题  NT/2K安全模型中哪个关键组件能够保证用户有权力访问某些特定的资源？（）

A.LONGON过程（LP）
B.安全帐号管理（SAM）
C.安全参考监控器（SRM）
D.本地安全授权（LSA.


点击查看答案


90、单项选择题  负责授权访问业务系统的职责应该属于：（）

A.数据拥有者
B.安全管理员
C.IT安全经理
D.请求者的直接上司


点击查看答案


91、单项选择题  以下哪一项是已经被确认了的具有一定合理性的风险？（）

A.总风险
B.最小化风险
C.可接受风险
D.残余风险


点击查看答案


92、单项选择题  以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用性三项信息安全特性（）

A.ITSEC
B.TCSEC
C.GB/T9387.2
D.彩虹系列的橙皮书


点击查看答案


93、单项选择题  职责分离的主要目的是？（）

A.防止一个人从头到尾整个控制某一交易或者活动
B.不同部门的雇员不可以在一起工作
C.对于所有的资源都必须有保护措施
D.对于所有的设备都必须有操作控制措施


点击查看答案


94、单项选择题  某公司在测试灾难恢复计划时是发现恢复业务运营所必要的关键数据没有被保留，可能由于什么没有明确导致的？（）

A.服务中断的时间间隔
B.目标恢复时间（RTO）
C.服务交付目标
D.目标恢复点（RPO）


点击查看答案


95、单项选择题  以下哪种访问控制策略需要安全标签？（）

A.基于角色的策略
B.基于标识的策略
C.用户指向的策略
D.强制访问控制策略


点击查看答案


96、单项选择题  Visa和MasterCard共同开发的用于信用卡交易的安全协议是什么？（）

A.SSL
B.SET
C.PPTP
D.三重DES


点击查看答案


97、单项选择题  对于Linux的安全加固项说法错误的是哪项？（）

A.使用uname-a确认其内核是否有漏洞
B.检查系统是否有重复的UID用户
C.查看login.defs文件对于密码的限制
D.查看hosts文件确保Tcpwapper生效


点击查看答案


98、单项选择题  戴明循环执行顺序，下面哪项正确？（）

A.PLAN-ACT-DO-CHECK
B.CHECK-PLAN-ACT-DO
C.PLAN-DO-CHECK-ACT
D.ACT-PLAN-CHECK-DO


点击查看答案


99、单项选择题  黑客进行攻击的最后一个步骤是：（）

A.侦查与信息收集
B.漏洞分析与目标选定
C.获取系统权限
D.打扫战场、清楚证据


点击查看答案


100、单项选择题  下面哪一个不是高层安全方针所关注的（）

A.识别关键业务目标
B.定义安全组织职责
C.定义安全目标
D.定义防火墙边界防护策略


点击查看答案


101、单项选择题  （）以下哪个策略不属于本地计算机策略？

A、审核策略
B、Kerberos身份验证策略
C、用户权利指派
D、安全选项


点击查看答案


102、单项选择题  下列哪项不是信息系统安全工程能力成熟度模型（SSE-CMM）的主要过程：（）

A.风险过程
B.保证过程
C.工程过程
D.评估过程


点击查看答案


103、单项选择题  下列对于蠕虫病毒的描述错误的是：（）

A.蠕虫的传播无需用户操作
B.蠕虫会消耗内存或网络带宽，导致DOS
C.蠕虫的传播需要通过“宿主”程序或文件
D.蠕虫程序一般由“传播模块”、“隐藏模块”和“目的功能模块”构成


点击查看答案


104、单项选择题  下列几个OSI层中，哪一层能够提供访问控制服务？（）

A.传输层
B.表示层
C.会话层
D.数据链路层


点击查看答案


105、填空题  我国于（）年发布实施了《专利法》。


点击查看答案


106、单项选择题  以下信息安全原则，哪一项是错误的？（）

A.实施最小授权原则
B.假设外部系统是不安全的
C.消除所有级别的信息安全风险
D.最小化可信任的系统组件


点击查看答案


107、单项选择题  风险分析的目标是达到：（）

A、风险影响和保护性措施之间的价值平衡
B、风险影响和保护性措施之间的操作平衡
C、风险影响和保护性措施之间的技术平衡
D、风险影响和保护性措施之间的逻辑平衡


点击查看答案


108、判断题  互联网不良信息泛滥的原因有多种，网络道德观念的缺乏属其中一种。


点击查看答案


109、单项选择题  当曾经用于存放机密资料的PC在公开市场出售时（）

A.对磁盘进行消磁
B.对磁盘低级格式化
C.删除数据
D.对磁盘重整


点击查看答案


110、单项选择题  作为业务继续计划流程中的一部分，在业务影响分析中下面哪个选项应该最先确认？（）

A.组织的风险，像单点失败或设备风险
B.重要业务流程的威胁
C.根据恢复优先级设定的重要业务流程
D.重建业务的所需的资源


点击查看答案


111、单项选择题  以下关于软件安全测试说法正确的是？（）

A.软件安全测试就是黑盒测试。
B.Fuzz测试是经常采用的安全测试方法之一。
C.软件安全测试关注的是软件的功能。
D.软件安全测试可以发现软件中产生的所有安全问题。


点击查看答案


112、填空题  在两个具有IrDA端口的设备之间（），中间不能有阻挡物。


点击查看答案


113、填空题  对信息的（）；（）；（）的特性称为完整性保护。


点击查看答案


114、单项选择题  下面哪一个不是系统运行维护阶段风险管理的工作内容（）

A.安全运行和管理
B.安全测试
C.变更管理
D.风险再次评估


点击查看答案


115、单项选择题  下面哪一项不是ISMS Check阶段的工作？（）

A.安全事件响应
B.安全内部审核
C.管理评审
D.更新安全计划


点击查看答案


116、单项选择题  信息系统审核员应该预期谁来授权对生产数据和生产系统的访问？（）

A.流程所有者
B.系统管理员
C.安全管理员
D.数据所有者


点击查看答案


117、单项选择题  下面哪一种情况可以使信息系统安全官员实现有效进行安全控制的目的？（）

A.完整性控制的需求是基于风险分析的结果
B.控制已经过了测试
C.安全控制规范是基于风险分析的结果
D.控制是在可重复的基础上被测试的


点击查看答案


118、单项选择题  2011年，（）成为全球年度获得专利最多的公司。

A、百度
B、微软
C、苹果
D、谷歌


点击查看答案


119、单项选择题  信息安全管理体系策略文件中第一层文件是？（）

A.信息安全工作程序
B.信息安全方针政策
C.信息安全作业指导书
D.信息安全工作记录


点击查看答案


120、单项选择题  年度损失值（ALE）的计算方法是什么（）

A.ALE=ARO*AV
B.ALE=AV*SLE
C.“ALE=ARO*SLE"
D.ALE=AV*EF


点击查看答案


121、单项选择题  外部组织使用组织敏感信息资产时，以下正确的做法是？（）

A.确保使用者得到正确的信息资产。
B.与信息资产使用者签署保密协议。
C.告知信息资产使用的时间限制。
D.告知信息资产的重要性。


点击查看答案


122、填空题  确定信息安全保护等级的步骤是（）、确定两个指标等级、确定业务子系统等级。


点击查看答案


123、单项选择题  以下有关通信与日常操作描述不正确的是（）

A.信息系统的变更应该是受控的
B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D.内部安全审计无需遵循独立性、客观性的原则


点击查看答案


124、单项选择题  以下哪一种局域网传输媒介是最可靠的？（）

A.同轴电缆
B.光纤
C.双绞线（屏蔽）
D.双绞线（非屏蔽）


点击查看答案


125、单项选择题  给计算机系统的资产分配的记号被称为什么（）

A.安全属性
B.安全特征
C.安全标记
D.安全级别


点击查看答案


126、单项选择题  “配置管理”是系统工程中的重要概念，它在软件工程和信息安全工程中得到了广泛的应用，下列对于“配置管理”的解释最准确的是？（）

A.配置管理的本质是变更流程管理
B.配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发/维护设备）的所有变化进行控制的过程
C.管理配置是对信息系统的技术参数进行管理
D.管理配置是对系统基线和源代码的版本进行管理


点击查看答案


127、单项选择题  以下哪项机制与数据处理完整性相关（）

A.数据库事务完整性机制
B.数据库自动备份复制机制
C.双机并行处理，并相互验证
D.加密算法


点击查看答案


128、单项选择题  下列哪类访问控制模型是基于安全标签实现的？（）

A.自主访问控制
B.强制访问控制
C.基于规则的访问控制
D.基于身份的访问控制


点击查看答案


129、单项选择题  软件的供应商或是制造商可以在他们自己的产品中或是客户的计算机系统上安装一个“后门”程序。以下哪一项是这种情况面临的最主要风险？（）

A.软件中止和黑客入侵
B.远程监控和远程维护
C.软件中止和远程监控
D.远程维护和黑客入侵


点击查看答案


130、单项选择题  安全技术评估工具通常不包括（）

A.漏洞扫描工具
B.入侵检测系统
C.调查问卷
D.渗透测试工具


点击查看答案


131、单项选择题  数据库管理员执行以下那个动作可能会产生风险？（）

A.根据变更流程执行数据库变更
B.安装操作系统的补丁和更新
C.排列表空间并考虑表合并的限制
D.执行备份和恢复流程


点击查看答案


132、单项选择题  由于病毒攻击、非法入侵等原因，校园网部分园区瘫痪，或者邮件、计费服务器不能正常工作，属于以下哪种级别事件（）

A.特别重大事件
B.重大事件
C.较大事件
D.一般事件


点击查看答案


133、单项选择题  个人问责不包括下列哪一项？（）

A.访问规则。
B.策略与程序。
C.审计跟踪。
D.唯一身份标识符。


点击查看答案


134、单项选择题  在制定控制前，管理层首先应该保证控制（）

A.满足控制一个风险问题的要求
B.不减少生产力
C.基于成本效益的分析
D.检测行或改正性的


点击查看答案


135、单项选择题  下列哪项不是Kerberos密钥分发服务（KDS）的一部分？（）

A.Kerberos票证授予服务器（TGS）。
B.Kerberos身份验证服务器（KAS）。
C.存放用户名和密码的数据库。
D.Kerberos票证吊销服务器（TRS）。


点击查看答案


136、单项选择题  （）在HKLM包含的子树中，哪个不能直接访问？配置的数据。

A、Security
B、Hardware
C、Software
D、System


点击查看答案


137、单项选择题  在Windows操作系统下，由于（）端口探测没有限制，能够让别人探测到一些数据库信息，因此IPSec过滤拒绝掉该端口的UDP通信，可以尽可能地隐藏你的SQLServer。

A、1434
B、1433
C、3305
D、3306


点击查看答案


138、多项选择题  IPSec通过（）实现密钥交换、管理及安全协商。

A.AH
B.ESP
C.ISAKMP/Oakley
D.SKIP


点击查看答案


139、单项选择题  以下哪个模型主要用于金融机构信息系统的保护？（）

A.Chinese wall模型
B.BIBA模型
C.Clark－Wilson模型
D.BMA模型


点击查看答案


140、单项选择题  以下哪一个是包过滤防火墙的优点？（）

A.可以与认证、授权等安全手段方便的集成。
B.与应用层无关，无须改动任何客户机和主机的应用程序，易于安装和使用。
C.提供透明的加密机制
D.可以给单个用户授权


点击查看答案


141、单项选择题  目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，多头管理现状决定法出多门，《计算机信息系统国际联网保密管理规定》是由下列哪个部门所制定的规章制度？（）

A.公安部
B.国家保密局
C.信息产业部
D.国家密码管理委员会办公室


点击查看答案


142、单项选择题  作为信息安全治理的成果，战略方针提供了：（）

A.企业所需的安全要求
B.遵从最佳实务的安全基准
C.日常化制度化的解决方案
D.风险暴露的理解


点击查看答案


143、单项选择题  以下哪个是数据库管理员（DBA）可以行使的职责？（）

A.计算机的操作
B.应用程序开发
C.系统容量规划
D.应用程序维护


点击查看答案


144、单项选择题  降低风险的控制措施有很多，下面哪一个不属于降低风险的措施？（）

A.在网络上部署防火墙
B.对网络上传输的数据进行加密
C.制定机房安全管理制度
D.购买物理场所的财产保险


点击查看答案


145、判断题  对知识产权著作权的法律知识给予更多的宣传和普及是学术腐败治理中个人层面有效方法。


点击查看答案


146、单项选择题  下列哪一个是PKI体系中用以对证书进行访问的协议？（）

A.SSL
B.LDAP
C.CA
D.IKE


点击查看答案


147、单项选择题  （）下列哪个版本的Windows自带了防火墙，该防火墙能够监控和限制用户计算机的网络通信。

A.Windows98
B.WindowsME
C.Windows2000
D.WindowsXP


点击查看答案


148、单项选择题  安全模型是用于精确和形式地描述信息系统的安全特征，解释系统安全相关行为。关于它的作用描述不正确的是？（）

A.准确的描述安全的重要方面与系统行为的关系。
B.开发出一套安全性评估准则，和关键的描述变量。
C.提高对成功实现关键安全需求的理解层次。
D.强调了风险评估的重要性


点击查看答案


149、单项选择题  以下哪一项是防范SQL注入攻击最有效的手段？（）

A.删除存在注入点的网页
B.对数据库系统的管理权限进行严格的控制
C.通过网络防火墙严格限制Internet用户对web服务器的访问
D.对web用户输入的数据进行严格的过滤


点击查看答案


150、单项选择题  以下哪项不属于PDCA循环的特点？（）

A.按顺序进行，它靠组织的力量来推动，像车轮一样向前进，周而复始，不断循环
B.组织中的每个部分，甚至个人，均可以PDCA循环，大环套小环，一层一层地解决问题
C.每通过一次PDCA循环，都要进行总结，提出新目标，再进行第二次PDCA循环
D.组织中的每个部分，不包括个人，均可以PDCA循环，大环套小环，一层一层地解决问题


点击查看答案


151、单项选择题  下面哪类设备常用于风险分析过程中，识别系统中存在的脆弱性？（）

A.防火墙
B.IDS
C.漏洞扫描器
D.UTM


点击查看答案


152、单项选择题  在设计业务连续性计划时，企业影响分析可以用来识别关键业务流程和相应的支持程序，它主要会影响到下面哪一项内容的制定？（）

A.维护业务连续性计划的职责
B.选择站点恢复供应商的条件
C.恢复策略
D.关键人员的职责


点击查看答案


153、填空题  防火墙是设置在内部网络与外部网络（如互联网）之间，实施（）的一个或一组系统。


点击查看答案


154、单项选择题  （）如果有大量计算机需要频繁的分析，则可利用哪个命令工具进行批处理分析？

A、dumpel
B、showpriv
C、Secedit.exe
D、gpolmig.exe


点击查看答案


155、单项选择题  有关人员安全管理的描述不正确的是？（）

A.人员的安全管理是企业信息安全管理活动中最难的环节。
B.重要或敏感岗位的人员入职之前，需要做好人员的背景检查。
C.如职责分离难以实施，企业对此无能为力，也无需做任何工作。
D.人员离职之后，必须清除离职员工所有的逻辑访问帐号。


点击查看答案


156、单项选择题  构成IPSec的主要安全协议不包括下列哪一项：（）

A.ESP
B.DSS
C.IKE
D.AH


点击查看答案


157、单项选择题  以下哪一个不是风险控制的主要方式（）

A.规避方式
B.转移方式
C.降低方式
D.隔离方式


点击查看答案


158、单项选择题  （）的主要任务是指对数据库系统应用程序或用户使用资源的情况进行记录和审计，用以保证数据的安全。

A、数据库备份
B、数据库恢复
C、数据库审计
D、数据库转储


点击查看答案


159、单项选择题  企业按照ISO27001标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是（）

A.不需要全体员工的参入，只要IT部门的人员参入即可
B.来自高级管理层的明确的支持和承诺
C.对企业员工提供必要的安全意识和技能的培训和教育
D.所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行


点击查看答案


160、单项选择题  2012年3月份，美国总统奥巴马宣布启动（），旨在提高从庞大而复杂的科学数据中提取知识的能力。

A、大数据研究与开发计划
B、大数据获取与提取计划
C、大数据安全保护计划
D、DT计划


点击查看答案


161、单项选择题  以下关于标准的描述，那一项是正确的？（）

A.标准是高级管理层对支持信息安全的声明
B.标准是建立有效安全策略的第一要素
C.标准用来描述组织内安全策略如何实施的
D.标准是高级管理层建立信息系统安全的指示


点击查看答案


162、单项选择题  在进行业务连续性检测时，下列哪一个是被认为最重要的审查？（）

A.热站的建立和有效是必要
B.业务连续性手册是有效的和最新的
C.保险责任范围是适当的并且保费有效
D.及时进行介质备份和异地存储


点击查看答案


163、单项选择题  对磁介质的最有效好销毁方法是？（）

A.格式化
B.物理破坏
C.消磁
D.删除


点击查看答案


164、单项选择题  那一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？（）

A.包过滤防火墙
B.状态检测防火墙
C.应用网关防火墙
D.以上都不能


点击查看答案


165、单项选择题  以下哪个进程不属于NFS服务器端的进程？（）

A.statd
B.mountd
C.nfsd
D.Automounter


点击查看答案


166、单项选择题  以下对于IPsec协议说法正确的是：（）

A.鉴别头（AH）协议，不能加密包的任何部分
B.IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C.IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D.在使用传输模式时，IPsec为每个包建立一个新的包头，而在隧道模式下使用原始包头


点击查看答案


167、单项选择题  当选择的控制措施成本高于风险带来的损失时，应考虑（）

A.降低风险
B.转移风险
C.避免风险
D.接受风险


点击查看答案


168、单项选择题  在一个分布式环境中，以下哪一项能够最大程度减轻服务器故障的影响？（）

A.冗余路径
B.（服务器）集群
C.拨号备份链路
D.备份电源


点击查看答案


169、单项选择题  在信息系统安全中，风险由以下哪两种因素共同构成的？（）

A.攻击和脆弱性
B.威胁和攻击
C.威胁和脆弱性
D.威胁和破坏


点击查看答案


170、填空题  在企业推进信息化的过程中应（）风险。


点击查看答案


171、单项选择题  在业务持续性计划中，下面哪一项具有最高的优先级？（）

A.恢复关键流程
B.恢复敏感流程
C.恢复站点
D.将运行过程重新部署到一个替代的站点


点击查看答案


172、单项选择题  DDOS攻击的主要目换是：（）

A.破坏完整性和机密性
B.破坏可用性
C.破坏机密性和可用性
D.破坏机密性


点击查看答案


173、填空题  物流（）电子商务规划框架


点击查看答案


174、单项选择题  下列哪项是私有IP地址？（）

A.10.5.42.5
B.172.76.42.5
C.172.90.42.5
D.241.16.42.5


点击查看答案


175、单项选择题  拥有电子资金转帐销售点设备的大型连锁商场，有中央通信处理器连接银行网络，对于通信处理机，下面哪一项是最好的灾难恢复计划。（）

A.每日备份离线存储
B.选择在线备份程序
C.安装双通讯设备
D.在另外的网络节点选择备份程序


点击查看答案


176、单项选择题  在TCP中的六个控制位哪一个是用来请求同步的（）

A.SYN
B.ACK
C.FIN
D.RST


点击查看答案


177、单项选择题  对业务应用系统授权访问的责任属于：（）

A.数据所有者
B.安全管理员
C.IT安全经理
D.申请人的直线主管


点击查看答案


178、判断题  在SSL握手信息中，采用了RSA、MD5等加密技术来实现机密性和数据完整性。


点击查看答案


179、多项选择题  （）属于网络不诚信问题.

A、发布虚假信息，扩散小道消
B、网上恶搞、网络暴力、人肉搜索
C、境外的网络攻击
D、手机恶意程序


点击查看答案


180、单项选择题  减少与钓鱼相关的风险的最有效控制是：（）

A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训


点击查看答案


181、单项选择题  下列角色谁应该承担决定信息系统资源所需的保护级别的主要责任？（）

A.信息系统安全专家
B.业务主管
C.安全主管
D.系统审查员


点击查看答案


182、单项选择题  下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的：（）

A.服务器防毒软件
B.病毒墙
C.工作站防病毒软件
D.病毒库及时更新


点击查看答案


183、单项选择题  以下对企业信息安全活动的组织描述不正确的是（）

A.企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D.企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施


点击查看答案


184、单项选择题  包括了对整个应用程序、控制程序的逻辑和数据的逻辑合法性和合理性的审计方法是（）

A、设备安全的审计
B、应用程序的审计
C、系统操作的审计
D、欺诈行为的审计


点击查看答案


185、单项选择题  下列哪一项是对信息系统经常不能满足用户需求的最好解释？（）

A.没有适当的质量管理工具
B.经常变化的用户需求
C.用户参与需求挖掘不够
D.项目管理能力不强


点击查看答案


186、单项选择题  以下标准内容为“信息安全管理体系要求”的是哪个？（）

A.ISO27000
B.ISO27001
C.ISO27002
D.ISO27003


点击查看答案


187、单项选择题  如果可能最应该得到第一个应急事件通知的小组是（）

A.应急响应领导小组
B.应急响应日常运行小组
C.应急响应技术保障小组
D.应急响应实施小组


点击查看答案


188、单项选择题  以下哪些不属于脆弱性范畴？（）

A.黑客攻击
B.操作系统漏洞
C.应用程序BUG
D.人员的不良操作习惯


点击查看答案


189、单项选择题  以下关于我国信息安全政策和法律法规的说法错误的是？（）

A.中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识”
B.2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》
C.2007年我国四部委联合发布了《信息安全等级保护管理办法》
D.2006年5月全国人民代表大会常务委员会审议通过了《 信息安全法》


点击查看答案


190、单项选择题  （）关于组策略的描述哪些是错误的？

A、首先应用的是本地组策略
B、除非冲突，组策略的应用应该是累积的
C、如果存在冲突，最先应用的组策略将获胜
D、策略在策略容器上的顺序决定应用的顺序


点击查看答案


191、单项选择题  下面对于CC的“保护轮廓”（PP）的说法最准确的是：（）

A.对系统防护强度的描述
B.对评估对象系统进行规范化的描述
C.对一类TOE的安全需求，进行与技术实现无关的描述
D.由一系列保证组件构成的包，可以代表预先定义的保证尺度


点击查看答案


192、填空题  （）是密码学发展史上唯一一次真正的革命。


点击查看答案


193、单项选择题  下面哪个是管理业务连续性计划中最重要的方面？（）

A.备份站点安全以及距离主站点的距离。
B.定期测试恢复计划
C.完全测试过的备份硬件在备份站点可有
D.多个网络服务的网络连接是可用


点击查看答案


194、单项选择题  默认情况下Linux主机在机房托管期间被恶意用户进行了SSH远程的暴力破解，此时安全工程师需要拒绝其访问的源地址，应该使用那种方式查询其访问的记录？（）

A.cat/var/log/secure
B.who
C.whoami
D.cat/etc/security/access.log


点击查看答案


195、单项选择题  Chinese Wall模型的设计宗旨是：（）

A.用户只能访问那些与已经拥有的信息不冲突的信息
B.用户可以访问所有信息
C.用户可以访问所有已经选择的信息
D.用户不可以访问那些没有选择的信息


点击查看答案


196、多项选择题  威胁网络信息安全的软件因素有（）

A、外部不可抗力
B、缺乏自主创新的信息核心技术
C、网络信息安全意识淡薄
D、网络信息管理存在问题


点击查看答案


197、单项选择题  下列哪项是多级安全策略的必要组成部分？（）

A.主体、客体的敏感标签和自主访问控制。
B.客体敏感标签和强制访问控制。
C.主体的安全凭证、客体的安全标签和强制访问控制。
D.主体、客体的敏感标签和对其“系统高安全模式”的评价


点击查看答案


198、单项选择题  如果数据中心发生灾难，下列那一项完整恢复一个关键数据库的策略是最适合的？（）

A.每日备份到磁带并存储到异地
B.实时复制到异地
C.硬盘镜像到本地服务器
D.实时数据备份到本地网格存储


点击查看答案


199、单项选择题  下面哪一项不是安全编程的原则（）

A.尽可能使用高级语言进行编程
B.尽可能让程序只实现需要的功能
C.不要信任用户输入的数据
D.尽可能考虑到意外的情况，并设计妥善的处理方法


点击查看答案


200、填空题  未来影响电子商务发展的关键因素有（）；（）。


点击查看答案


201、单项选择题  P2DR模型通过传统的静态安全技术和方法提高网络的防护能力，这些技术包括？（）

A.实时监控技术。
B.访问控制技术。
C.信息加密技术。
D.身份认证技术。


点击查看答案


202、填空题  运行（）可以帮助防止遭受网页仿冒欺诈。


点击查看答案


203、单项选择题  以下哪一项属于物理安全方面的管理控制措施？（）

A.照明
B.护柱
C.培训
D.建筑设施的材料


点击查看答案


204、填空题  防火墙规则集应该尽可能的（），规则集越（），错误配置的可能性就越小，系统就越安全。


点击查看答案


205、单项选择题  （）出台了世界第一部规范互联网传播的法律《多媒体法》.

A、美国
B、德国
C、英国
D、新加坡


点击查看答案


206、单项选择题  在实施风险管理程序的时候，下列哪一项应该被最先考虑到：（）

A.组织的威胁，弱点和风险概貌的理解
B.揭露风险的理解和妥协的潜在后果
C.基于潜在结果的风险管理优先级的决心
D.风险缓解战略足够使风险的结果保持在一个可以接受的水平上


点击查看答案


207、单项选择题  下面哪种方法可以替代电子银行中的个人标识号（PINs）的作用？（）

A.虹膜检测技术
B.语音标识技术
C.笔迹标识技术
D.指纹标识技术


点击查看答案


208、单项选择题  如果出现IT人员和最终用户职责分工的问题，下面哪个选项是合适的补偿性控制？（）

A.限制物理访问计算机设备
B.检查应用及事务处理日志
C.在聘请IT人员之前进行背景检查
D.在不活动的特定时间后，锁定用户会话


点击查看答案


209、单项选择题  以下哪项不属于信息安全管理的工作内容（）

A.信息安全培训
B.信息安全考核
C.信息安全规划
D.安全漏洞扫描


点击查看答案


210、单项选择题  某组织的信息系统策略规定，终端用户的ID在该用户终止后90天内失效。组织的信息安全内审核员应：（）

A.报告该控制是有效的，因为用户ID失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查


点击查看答案


211、单项选择题  （）作为互联网的诞生地，其互联网发展速度非常之快，信息化程度也是世界之最.

A、美国
B、日本
C、中国
D、德国


点击查看答案


212、单项选择题  高层管理者对信息安全管理的承诺以下说法不正确的是？（）

A.制定、评审、批准信息安全方针。
B.为信息安全提供明确的方向和支持。
C.为信息安全提供所需的资源。
D.对各项信息安全工作进行执行、监督与检查。


点击查看答案


213、单项选择题  以下哪一种人给公司带来最大的安全风险？（）

A.临时工
B.咨询人员
C.以前员工
D.当前员工


点击查看答案


214、单项选择题  审核在实施审核时，所使用的检查表不包括的内容有？（）

A.审核依据
B.审核证据记录
C.审核发现
D.数据收集方法和工具


点击查看答案


215、单项选择题  信息资产面临的主要威胁来源主要包括（）

A.自然灾害
B.系统故障
C.内部人员操作失误
D.以上都包括


点击查看答案


216、单项选择题  在未受保护的通信线路上传输数据和使用弱口令是一种？（）

A.弱点
B.威胁
C.可能性
D.影响


点击查看答案


217、单项选择题  在制定组织间的保密协议，以下哪一个不是需要考虑的内容？（）

A.需要保护的信息。
B.协议期望持续时间。
C.合同双方的人员数量要求。
D.违反协议后采取的措施。


点击查看答案


218、单项选择题  负责制定、执行和维护内部安全控制制度的责任在于：（）

A.IS审计员
B.管理层
C.外部审计师
D.程序开发人员


点击查看答案


219、单项选择题  企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的（）

A.只关注外来的威胁，忽视企业内部人员的问题
B.相信来自陌生人的邮件，好奇打开邮件附件
C.开着电脑离开，就像离开家却忘记关灯那样
D.及时更新系统和安装系统和应用的补丁


点击查看答案


220、单项选择题  根据SSE-CMM以下哪一项不是在安全工程过程中实施安全控制时需要做的？（）

A.获得用户对安全需求的理解
B.建立安全控制的职责
C.管理安全控制的配置
D.进行针对安全控制的教育培训


点击查看答案


221、单项选择题  一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪个是最有效的技术来达成这个策略？（）

A.状态检测防火墙
B.网页内容过滤
C.网页缓存服务器
D.代理服务器


点击查看答案


222、单项选择题  某公司的业务部门用户需要访问业务数据，这些用户不能直接访问业务数据，而只能通过外部程序来操作业务数据，这种情况属于下列哪种安全模型的一部分？（）

A.Bell-LaPadula模型
B.Biba模型
C.信息流模型
D.Clark-Wilson模型


点击查看答案


223、单项选择题  从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？（）

A.屏蔽路由器
B.双宿堡垒主机
C.屏蔽主机防火墙
D.屏蔽子网防火墙


点击查看答案


224、单项选择题  （）下列哪个标准本身由两个部分组成，一部分是一组信息技术产品的安全功能需要定义，另一部分是对安全保证需求的定义？

A、可信任计算机系统评估标准（TCSEC）
B、信息技术安全评价准则（ITSEC）
C、信息技术安全评价联邦准则（FC）
D、CC标准


点击查看答案


225、判断题  网页防篡改属于内容过滤技术的应用领域。


点击查看答案


226、单项选择题  ISMS的内部审核员（非审核组长）的责任不包括？（）

A.熟悉必要的文件和程序；
B.根据要求编制检查列表；
C.配合支持审核组长的工作，有效完成审核任务；
D.负责实施整改内审中发现的问题


点击查看答案


227、单项选择题  “可信计算基（TCB）”不包括：（）

A.执行安全策略的所有硬件
B.执行安全策略的软件
C.执行安全策略的程序组件
D.执行安全策略的人


点击查看答案


228、填空题  医药学（）社会科学。


点击查看答案


229、判断题  一次买断以后再版就不必再给作者支付稿费。


点击查看答案


230、单项选择题  2008年1月8日，布什以第54号国家安全总统令和第23号国土安全总统令的形式签署的文件是？（）

A.国家网络安全战略。
B.国家网络安全综合计划。
C.信息基础设施保护计划。
D.强化信息系统安全国家计划。


点击查看答案


231、单项选择题  内部审核的最主要目的是（）

A.检查信息安全控制措施的执行情况
B.检查系统安全漏洞
C.检查信息安全管理体系的有效性
D.检查人员安全意识


点击查看答案


232、单项选择题  系统工程是信息安全工程的基础学科，钱学森说：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，使一种对所有系统都具有普遍意义的科学方法”，下列哪项对系统工程的理解是正确的：（）

A.系统工程是一种方法论
B.系统工程是一种技术实现
C.系统工程是一种基本理论
D.系统工程不以人参与系统为研究对象


点击查看答案


233、单项选择题  对一项应用的控制进行了检查，将会评估（）

A.该应用在满足业务流程上的效率
B.任何被发现风险影响
C.业务流程服务的应用
D.应用程序的优化


点击查看答案


234、单项选择题  （）在访问控制中，对网络资源的访问是基于什么的？

A、用户
B、权限
C、访问对象
D、工作组


点击查看答案


235、单项选择题  下列对于基于角色的访问控制模型的说法错误的是？（）

A.它将若干特定的用户集合与权限联系在一起
B.角色一般可以按照部门、岗位、工种等与实际业务紧密相关的类别来划分
C.因为角色的变动往往远远低于个体的变动，所以基于角色的访问控制维护起来比较便利
D.对于数据库系统的适应性不强，是其在实际使用中的主要弱点


点击查看答案


236、单项选择题  为了防止物理上取走数据库而采取的加强数据库安全的方法是（）

A、数据加密
B、数据库加密
C、口令保护
D、数据审计


点击查看答案


237、填空题  物流是电子商务（）的基础。


点击查看答案


238、单项选择题  在对业务持续性计划进行验证时，以下哪项最为重要（）

A.数据备份准时执行
B.备份站点已签订合约，并且在需要时可以使用
C.人员安全计划部署适当
D.保险


点击查看答案


239、问答题  网络安全的网络设备防护的内容是什么？


点击查看答案


240、单项选择题  PDCA特征的描述不正确的是（）

A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题
B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题
C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足
D.信息安全风险管理的思路不符合PDCA的问题解决思路


点击查看答案


241、单项选择题  下面关于定性风险评估方法的说法正确的是（）

A.通过将资产价值和风险等量化为财务价值和方式来进行计算的一种方法
B.采用文字形式或叙述性的数值范围来描述潜在后果的大小程度及这些后果发生的可能性
C.在后果和可能性分析中采用数值，并采用从各种各样的来源中得到的数据
D.定性风险分析提供了较好的成本效益分析


点击查看答案


242、判断题  我国现行的有关互联网安全的法律框架有法律、行政法规、行政规章和司法解释四个层面。


点击查看答案


243、单项选择题  下列关于访问控制模型说法不准确的是？（）

A.访问控制模型主要有3种：自主访问控制、强制访问控制和基于角色的访问控制。
B.自主访问控制模型允许主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问。
C.基于角色的访问控制RBAC中“角色”通常是根据行政级别来定义的。
D.强制访问控制MAC是“强加”给访问主体的，即系统强制主体服从访问控制政策。


点击查看答案


244、单项选择题  在下面的权限中，可更改数据表的权限是（）

A、ALTER
B、GRANT
C、FLUSH
D、RESET


点击查看答案


245、单项选择题  干管灭火器系统使用（）

A.水，但是只有在发现火警以后水才进入管道
B.水，但是水管中有特殊的防水剂
C.CO2代替水
D.哈龙代替水


点击查看答案


246、多项选择题  网络主体要提高自身的道德修养，要做到（）方面。

A、提高自己的道德修养水平
B、提高自己的道德修养层次
C、提高自己的网络技术水平
D、坚决同不道德的网络行为作斗争


点击查看答案


247、单项选择题  在加固数据库时，以下哪个是数据库加固最需要考虑的？（）

A.修改默认配置
B.规范数据库所有的表空间
C.存储数据被加密
D.修改数据库服务的服务端口


点击查看答案


248、判断题  含有虚假的信息源、发件人、路由等信息的电子邮件为垃圾邮件。


点击查看答案


249、单项选择题  有关定性风险评估和定量风险评估的区别，以下描述不正确的是（）

A.定性风险评估比较主观，而定量风险评估更客观
B.定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D.定性风险评估和定量风险评估没有本质区别，可以通用


点击查看答案


250、单项选择题  组织内数据安全官的最为重要的职责是：（）

A.推荐并监督数据安全策略
B.在组织内推广安全意识
C.制定IT安全策略下的安全程序/流程
D.管理物理和逻辑访问控制


点击查看答案


251、判断题  著作权人仅仅指作者。


点击查看答案


252、单项选择题  当以下哪一类人员维护应用系统软件的时候，会造成对“职责分离”原则的违背？（）

A.数据维护管理员
B.系统故障处理员
C.系统维护管理员
D.系统程序员


点击查看答案


253、单项选择题  以下哪项不属于信息系统安全保障模型包含的方面？（）

A.保障要素。
B.生命周期。
C.安全特征。
D.通信安全。


点击查看答案


254、单项选择题  定义ISMS范围时，下列哪项不是考虑的重点（）

A.组织现有的部门
B.信息资产的数量与分布
C.信息技术的应用区域
D.IT人员数量


点击查看答案


255、单项选择题  恶意代码的第一个雏形是？（）

A.磁芯大战
B.爬行者
C.清除者
D.BRAIN


点击查看答案


256、填空题  完全电子商务（）按照电子商务商业活动的运作方式分类。


点击查看答案


257、单项选择题  以下哪一个不是安全审计的作用？（）

A.记录系统被访问的过程及系统保护机制的运行状态。
B.发现试图绕过保护机制的行为。
C.及时发现并阻止用户身份的变化
D.报告并阻碍绕过保护机制的行为并记录相关进程，为灾难恢复提供信息。


点击查看答案


258、单项选择题  在人力资源审计期间，安全管理体系内审员被告知在IT部门和人力资源部门中有一个关于期望的IT服务水平的口头协议。安全管理体系内审员首先应该做什么？（）

A.为两部门起草一份服务水平协议
B.向高级管理层报告存在未被书面签订的协议
C.向两部门确认协议的内容
D.推迟审计直到协议成为书面文档


点击查看答案


259、单项选择题  在TCP中的六个控制位哪一个是用来请求结束会话的（）

A.SYN
B.ACK
C.FIN
D.RST


点击查看答案


260、单项选择题  以下哪些不是介质类资产：（）

A.纸质文档
B.存储介质
C.软件介质
D.凭证


点击查看答案


261、单项选择题  以下哪个不是信息安全项目的需求来源（）

A.国家和地方政府法律法规与合同的要求
B.风险评估的结果
C.组织原则目标和业务需要
D.企业领导的个人意志


点击查看答案


262、单项选择题  不受限制的访问生产系统程序的权限将授予以下哪些人？（）

A.审计师
B.不可授予任何人
C.系统的属主。
D.只有维护程序员


点击查看答案


263、单项选择题  以下哪组全部是完整性模型？（）

A.BLP模型和BIBA模型
B.BIBA模型和Clark－Wilson模型
C.Chinese wall模型和BIBA模型
D.Clark－Wilson模型和Chinese wall模型


点击查看答案


264、单项选择题  特洛伊木马攻击的危胁类型属于（）

A.授权侵犯威胁
B.植入威胁
C.渗入威胁
D.破坏威胁


点击查看答案


265、单项选择题  下列岗位哪个在招聘前最需要进行背景调查？（）

A.采购人员
B.销售人员
C.财务总监
D.行政人员


点击查看答案


266、单项选择题  组织的安全策略可以是广义的，也可以是狭义的，下面哪一条是属于广义的安全策略？（）

A.应急计划
B.远程办法
C.计算机安全程序
D.电子邮件个人隐私


点击查看答案


267、单项选择题  信息安全风险评估对象确立的主要依据是什么（）

A.系统设备的类型
B.系统的业务目标和特性
C.系统的技术架构
D.系统的网络环境


点击查看答案


268、单项选择题  RSA公开密钥密码体制的安全性主要基于以下哪个困难问题？（）

A.求合数模平方根的难题
B.离散对数困难问题
C.背包问题
D.大数分解困难问题


点击查看答案


269、单项选择题  下列哪种方法能够满足双因子认证的需求？（）

A.智能卡和用户PIN
B.用户ID与密码
C.虹膜扫描和指纹扫描
D.用户名和PIN


点击查看答案


270、单项选择题  有关信息安全事件的描述不正确的是（）

A.信息安全事件的处理应该分类、分级
B.信息安全事件的数量可以反映企业的信息安全管控水平
C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小
D.信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生


点击查看答案


271、单项选择题  在准备灾难恢复计划时下列哪项应该首先实施？（）

A.做出恢复策略
B.执行业务影响分析
C.明确软件系统、硬件和网络组件结构
D.委任具有明确的雇员、角色和层级的恢复团队


点击查看答案


272、单项选择题  应急响应计划应该多久测试一次？（）

A.10年
B.当基础环境或设施发生变化时
C.2年
D.当组织内业务发生重大的变更时


点击查看答案


273、单项选择题  在一家企业的业务持续性计划中，什么情况被宣布为一个危机没有被定义。这一点关系到的主要风险是：（）

A.对这种情况的评估可能会延迟
B.灾难恢复计划的执行可能会被影响
C.团队通知可能不会发生
D.对潜在危机的识别可能会无效


点击查看答案


274、单项选择题  对安全策略的描述不正确的是（）

A.信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B.策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D.安全策略一旦建立和发布，则不可变更


点击查看答案


275、单项选择题  从目前的情况看，对所有的计算机系统来说，以下哪种威胁是最为严重的，可能造成巨大的损害？（）

A.没有充分训练或粗心的用户
B.第三方
C.黑客
D.心怀不满的雇员


点击查看答案


276、单项选择题  建立应急响应计划最重要的是（）

A.业务影响分析
B.测试及演练
C.各部门的参与
D.管理层的支持


点击查看答案


277、单项选择题  以下哪些模型可以用来保护分级信息的机密性？（）

A.Biba模型和Bell－Lapadula模型
B.Bell－Lapadula模型和信息流模型
C.Bell－Lapadula模型和Clark－Wilson模型
D.Clark－Wilson模型和信息流模型


点击查看答案


278、单项选择题  以下选项中那一项是对信息安全风险采取的纠正机制？（）

A.访问控制
B.入侵检测
C.灾难恢复
D.防病毒系统


点击查看答案


279、单项选择题  以下不属于Linux安全加固的内容是什么？（）

A.配置iptables
B.配置Tcpwapper
C.启用Selinux
D.修改root的UID


点击查看答案


280、单项选择题  评估BCP时，下列哪一项应当最被关注：（）

A.灾难等级基于受损功能的范围，而不是持续时间
B.低级别灾难和软件事件之间的区别不清晰
C.总体BCP被文档化，但详细恢复步骤没有规定
D.宣布灾难的职责没有被识别


点击查看答案


281、单项选择题  Kerberos可以防止以下哪种攻击？（）

A.隧道攻击。
B.重放攻击。
C.破坏性攻击。
D.处理攻击。


点击查看答案


282、填空题  通常情况下（）发现目标主机开哪些服务。


点击查看答案


283、单项选择题  组织的灾难恢复计划应该：（）

A.减少恢复时间，降低恢复费用
B.增加恢复时间，提高恢复费用
C.减少恢复的持续时间，提高恢复费用
D.对恢复时间和费用都不影响


点击查看答案


284、单项选择题  下面哪一种方式，能够最有效的约束雇员只能履行其分内的工作？（）

A.应用级访问控制
B.数据加密
C.卸掉雇员电脑上的软盘和光盘驱动器
D.使用网络监控设备


点击查看答案


285、单项选择题  单点登录系统主要的关切是什么？（）

A.密码一旦泄露，最大程度的非授权访问将可能发生。
B.将增加用户的访问权限。
C.用户的密码太难记。
D.安全管理员的工作量会增加。


点击查看答案


286、单项选择题  TCP握手中，缩写RST指的是什么？（）

A.Reset
B.Response
C.Reply State
D.Rest


点击查看答案


287、单项选择题  IPSEC的抗重放服务的实现原理是什么？（）

A.使用序列号以及滑动窗口原理来实现。
B.使用消息认证码的校验值来实现
C.在数据包中包含一个将要被认证的共享秘密或密钥来实现
D.使用ESP隧道模式对IP包进行封装即可实现。


点击查看答案


288、单项选择题  那种测试结果对开发人员的影响最大（）

A.单元测试和集成测试
B.系统测试
C.验收测试
D.渗透测试


点击查看答案


289、单项选择题  程序设计和编码的问题引入的风险为：（）

A."网络钓鱼"
B."缓冲区溢出"
C."SYN攻击"
D.暴力破解


点击查看答案


290、单项选择题  以下关于“最小特权”安全管理原则理解正确的是：（）

A.组织机构内的敏感岗位不能由一个人长期负责
B.对重要的工作进行分解，分配给不同人员完成
C.一个人有且仅有其执行岗位所足够的许可和权限
D.防止员工由一个岗位变动到另一个岗位，累积越来越多的权限


点击查看答案


291、单项选择题  下面哪一个不是对点击劫持的描述（）

A.是一种恶意攻击技术，用于跟踪网络用户并获取私密信息
B.通过让用户来点击看似正常的网页来远程控制其电脑
C.可以用嵌入代码或文本的形式出现，在用户毫不知情的情况下完成攻击
D.可以对方网络瘫痪


点击查看答案


292、单项选择题  关于标准、指南、程序的描述，哪一项是最准确的？（）

A.标准是建议性的策略，指南是强制执行的策略
B.程序为符合强制性指南的一般性建议
C.程序是为符合强制性指南的一般性建议
D.程序是为符合强制性标准的的说明


点击查看答案


293、单项选择题  下面哪一项不是主机型入侵检测系统的优点？（）

A.性能价格比高
B.视野集中
C.敏感细腻
D.占资源少


点击查看答案


294、单项选择题  以下对信息安全描述不正确的是（）

A.信息安全的基本要素包括保密性、完整性和可用性
B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性
C.信息安全就是不出安全事故/事件
D.信息安全不仅仅只考虑防止信息泄密就可以了


点击查看答案


295、单项选择题  下列关于互惠原则说法不正确的是（）。

A、互惠原则是网络道德的主要原则之一
B、网络信息交流和网络服务具有双向性
C、网络主体只承担义务
D、互惠原则本质上体现的是赋予网络主体平等与公正


点击查看答案


296、单项选择题  射频识别（RFID）标签容易受到以下哪种风险？（）

A.进程劫持
B.窃听
C.恶意代码
D.Phishing


点击查看答案


297、单项选择题  时间的流逝对服务中断损失成本和中断恢复成本会有什么影响？（）

A.两个成本增加
B.中断的损失成本增加，中断恢复的成本随时问的流逝而减少
C.两个成本都随时间的流逝而减少
D.没有影响


点击查看答案


298、单项选择题  一名攻击者试图通过暴力攻击来获取下列哪一项信息？（）

A.加密密钥
B.加密算法
C.公钥
D.密文


点击查看答案


299、单项选择题  信息安全策略，声称“密码的显示必须以掩码的形式”的目的是防范下面哪种攻击风险？（）

A.尾随
B.垃圾搜索
C.肩窥
D.冒充


点击查看答案


300、单项选择题  信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是（）

A.ISMS是一个遵循PDCA模式的动态发展的体系
B.ISMS是一个文件化、系统化的体系
C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定
D.ISMS应该是一步到位的，应该解决所有的信息安全问题


点击查看答案


题库试看结束后微信扫下方二维码即可打包下载完整版《★信息安全师考试》题库
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
题库试看结束后微信扫下方二维码即可打包下载完整版《信息安全师考试：信息安全师考试》题库，分栏、分答案解析排版、小字体方便打印背记！经广大会员朋友实战检验，此方法考试通过率大大提高！绝对是您考试过关的不二利器！
手机用户可保存上方二维码到手机中，在微信扫一扫中右上角选择“从相册选取二维码”即可。
【大 中 小】【打印】 【繁体】 【关闭】 【返回顶部】
下一篇：初级人力资源管理：工作态度与行..

相关栏目

问题咨询请搜索关注"91考试网"微信公众号后留言咨询