- HTTPS 采用（ ） 协议实现安全网站访问。
B．IPSec C．PGP D．SET
- 以下ACL句子中的含义是允许172.168.0.0/24 网段所有PC访问10.1.0.10 中的FTP
服务”的是（ ） 。
A．access-list 101 deny tcp 172.168.0.0 0.0.0.255 host 10.1.0.10 eq ftp
C．access-list 101 deny tcp host 10.1.0.10 172.168.0.0 0.0.0.255 eq ftpr
- access-list 101 permit tcp host 10.1.0.10 172.168.0.0 0.0.0.255 eq ftp
- 以下关于加密算法的叙述是正确的（ ） 。
A．DES 算法采用128 加密位密钥
B．DES 算法用两个不同的密钥加密
D．三重DES 算法采用2 加密不同的密钥
- IIS 在服务支持的身份验证方法中，用户名和密码需要在网络上明确传递
是（ ） 。
A．.NET Passport 身份验证 B．集成Windows身份验证
D摘要式身份验证
- 按照RSA如果选择两个奇数，算法p=5，q=3，公钥e=7.私钥d是（ ） 。
A．6 C．8 D．9
- 在网络层工作的下列隧道协议是（ ） 。
A．SSL B．L2TP D．PPTP
- IEEE 802.11i 使用的加密算法是（ ） 。
A．DES B．3DES C．IDEA
- 在下列选项中，属于报文摘要算法的是（ ） 。
A．DES 和MD5 C．RSA 和SHA-1 D．DES 和RSA
- 蠕虫病毒属于以下病毒。
B．Trojan.QQPSW病毒
C．Backdoor.IRCBot 病毒 D．Macro.Melissa 病毒
- 在下列安全协议中，实现安全电子邮件的协议是（ ）
A．IPsec B．L2TP D．PPTP
- 在公钥系统中，用户A发送给用户B的数据应使用（ ）进行加密。
A．甲的公钥 C． 乙的公钥 D． 乙的私钥
- SNMP 采用UDP 由于提供的数据报告服务传递信息，（ ） 。
A．UDP 比TCP更加可靠
B．UDP 可以比较数据报文TCP 数据报文大
C．UDP 是面向连接的传输方式
- 防止网络管理中的各种安全威胁。SNMP不可预防的安全威胁是（ ） 。
A篡改管理信息：通过改变传输中的管理信息SNMP 实施未经授权的管理操作
C假冒合法用户：未经授权的用户冒充授权用户，试图实施管理操作
D消息泄露：SNMP第三方窃听了发动机之间交换的信息
- 在Windows在系统中，默认权限最低的用户组是（ ）。
B.administrators C.power users D.users
- IIS6.0 支持的身份验证安全机制有4个 种验证方法， 安全等级最高的验证方法之一是
（ ）。
A匿名身份验证 C.基本身份验证 D摘要式身份验证
- 以下关于钓鱼网站的说法是错误的（ ）。
A.钓鱼网站模仿真实网站URL 地址
C．钓鱼网站用于窃取访问者的机密信息
D．钓鱼网站可以通过Email 传播网址
- 支持安全WEB 服务的协议是（ ）。
B.WINS C.SOAP D.HTTP
- 甲和乙要进行通信，甲对发送的消息附加了数字签名，乙收到该消息后利用（ ）验证该消息的真实性。
B．甲的私钥 C．乙的公钥 D．乙的私钥
- 下列算法中，()属于摘要算法。
（ ） A.DES C.Diffie-Hellman D.AES
- 网络的可用性是指（ ）。
A．网络通信能力的大小
B．用户用于网络维修的时间
C．网络的可靠性
- 安全电子邮件使用（ ）协议。
B.HTTPS C.MIME D.DES
- 在分布式环境中实现身份认证可以有多种方案，以下选项中最不安全的身份认证方案是（ ） 。
B．用户发送口令，由智能卡产生解密密钥
C．用户从KDC获取会话密钥
D．用户从CA获取数字证书
- 下面关于数字签名的说法错误的是（ ） 。
B．能够对发送者的身份进行认证
C．如果接收者对报文进行了篡改，会被发现
D．网络中的某一用户不能冒充另一用户作为发送者或接收者
- 下面的选项中，属于传输层安全协议的是 （ ） 。
A．IPsec B．L2TP D．PPTP
- 某银行为用户提供网上服务，允许用户通过浏览器管理自己的银行账户信息。为保障通信的安全，该 Web 服务器可选的协议是 （ ） 。
A．POP B．SNMP C．HTTP
- 以下关于网络安全设计原则的说法，错误的是 （ ） 。
A．充分、全面、完整地对系统的安全漏洞和安全威胁进行分析、评估和检测，
是设计网络安全系统的必要前提条件
B．强调安全防护、监测和应急恢复。要求在网络发生被攻击的情况下，必须尽
可能快地恢复网络信息中心的服务，减少损失
D．网络安全应以不能影响系统的正常运行和合法用户的操作活动为前提
- 网络隔离技术的目标是确保把有害的攻击隔离，在保证可信网络内部信息部不外泄的前提下，完成网络间数据的安全交换。下列隔离技术中，安全性最好的是 （ ） 。
A．多重安全网关 B．防火墙 C．VLAN 隔离
- 在 Kerberos 系统中，使用一次性密钥和 （ ） 来防止重放攻击。
B．数字签名 C．序列号 D．数字证书
- 在下面 4 种病毒中， （ ） 可以远程控制网络中的计算机。
A．worm.Sasser.f B．Win32.CIH C．Trojan.qq3344 D．Macro.Melissa
- IPSec 的加密和认证过程中所使用的密钥由 （ ） 机制来生成和分发。
A．ESP B．IKE C．TGS D．AH
- SSL 协议使用的默认端口是 （ ） 。
A．80 B．445 C．8080 D．443
- 在Kerberos系统中，使用一次性密钥和（ ） 来防止重放攻击
A．时间戳 B．数字签名 C．序列号 D．数字证书
- 在下面4种病毒中， （ ） 可以远程控制网络中的计算机。
A．worm.Sasser.f B．Win32.CIH C．Trojan.qq3344 D．Macro.Melissa
- 将ACL应用到路由器接口的命令时（ ） 。
A．Router(config-if)# ip access-group 10 out
B．Router(config-if)# apply accss-list 10 out
C．Router(config-if)# fixup access-list 10 out
D．Router(config-if)# route access-group 10 out
- IPSec的加密和认证过程中所使用的密钥由（ ） 机制来生成和分发。
A．ESP B．IKE C．TGS D．AH
- SSL协议使用的默认端口是（ ） 。
A．80 B．445 C．8080 D．443
- 网络安全体系设计可从物理线路安全、网络安全、系统安全、应用安全等方面来进行，
其中数据库容灾属于（ ） 。
A．物理线路安全和网络安全 B．应用安全和网络安全
C．系统安全和网络安全 D．系统安全和应用安全
- 以下关于网络安全设计原则的说法，错误的是（ ） 。
A．充分、全面、完整地对系统的安全漏洞和安全威胁进行分析、评估和检测，
是设计网络安全系统的必要前提条件
B．强调安全防护、监测和应急恢复。要求在网络发生被攻击的情况下，必须尽
可能快地恢复网络信息中心的服务，减少损失
C．考虑安全问题解决方案时无需考虑性能价格的平衡，强调安全与保密系统的
设计应与网络设计相结合
D．网络安全应以不能影响系统的正常运行和合法用户的操作活动为前提
- 安全散列算法SHA-1 产生的摘要的位数是（ ） 。
A．64 B．128 C．160 D．256
- 在 X.509标准中，不包含在数字证书中的数据域是（ ） 。
A．序列号 B．签名算法 C．认证机构的签名 D．私钥
- 包过滤防火墙对通过防火墙的数据包进行检查，只有满足条件的数据包才能通过，对数据包的检查内容一般不包括（ ） 。
A．源地址 B．目的地址 C．协议 D．有效载荷
- 下面关于ARP 木马的描述中，错误的是（ ） 。
A．ARP 木马利用ARP协议漏洞实施破坏
B．ARP 木马发作时可导致网络不稳定甚至瘫痪
D．ARP 木马把虚假的网关MAC地址发给受害主机
- 在 Windows Server 2003 下若选择安全登录，则首先需要按（ ） 组合键。
A．Shift+Alt+Esc B．Ctrl+Alt+Tab C．Ctrl+Shift D．Ctrl+Alt+Del
- 为了防止电子邮件中的恶意代码，应该用（ ） 方式阅读电子邮件。
A．纯文本 B．网页 C．程序 D．会话
- 常用对称加密算法不包括（ ） 。
A．DES B．RC-5 C．IDEA D．RSA
- 数字签名功能不包括（ ） 。
A．防止发送方的抵赖行为 B．发送方身份确认
C．接收方身份确认 D．保证数据的完整性
- 下列安全协议中， （ ） 能保证交易双方无法抵赖。
A．SET B．HTTPS C．PGP D．MOSS
- 安全审计是保障计算机系统安全的重要手段，其作用不包括（ ） 。
A．重现入侵者的操作过程
B．发现计算机系统的滥用情况
C．根据系统运行日志，发现潜在的安全漏洞
D．保证可信计算机系统内部信息不外泄
- 下面的选项中，属于传输层安全协议的是（ ） 。
A．IPsec B．L2TP C．TLS D．PPTP
- 某银行为用户提供网上服务，允许用户通过浏览器管理自己的银行账户信息。为保障通信的安全，该Web 服务器可选的协议是（ ） 。
A．POP B．SNMP C．HTTP D．HTTPS
- 关于网络安全，以下说法正确的是 （ ） 。
A．使用无线传输可以防御网络监听
B．木马是一种蠕虫病毒
C．使用防火墙可以有效地防御病毒
D．冲击波病毒利用 Windows 的 RPC 漏洞进行传播
- 许多黑客利用软件实现中的缓冲区溢出漏洞进行攻击，对于这一威胁，最可靠的解决方案是 （ ） 。
A．安装防火墙 B．安装用户认证系统
C．安装相关的系统补丁软件 D．安装防病毒软件
- （ ） 无法有效防御 DDoS 攻击。
A．根据 IP 地址对数据包进行过滤
B．为系统访问提供更高级别的身份认证
C．安装防病毒软件
D．使用工具软件检测不正常的高流量
- IPSec VPN 安全技术没有用到 （ ） 。
A．隧道技术 B．加密技术 C．入侵检测技术 D．身份认证技术
- 某公司用三台 Web 服务器维护相同的 Web 信息，并共享同一域名。在 Windows 的 DNS 服 务器中通过 （ ） 操作，可以确保域名解析并实现负载均衡。
A．启用循环（Round Robin），添加每个 Web 服务器的主机记录
B．禁止循环（Round Robin），启动转发器指向每个 Web 服务器
C．启用循环（Round Robin），启动转发器指向每个 Web 服务器
D．禁止循环（Round Robin），添加每个 Web 服务器的主机记录
A．在这种身份验证方式中，用户名和密码在发送前要经过加密处理，所以是一种安 全的身份验证方案。
B．这种身份验证方案结合了 Windows NT 质询/响应身份验证和 Kerberos v5 身份验 证两种方式。
C．如果用户系统在域控制器中安装了活动目录服务，而且浏览器支持 Kerberos v5
身份认证协议，则使用 Kerberos v5 身份验证。
D．客户机通过代理服务器建立连接时，可采用集成 Windows 身份验证方案进行验证。
- 在安装 SSL 时，在“身份验证方法”对话框中应选用的登录验证方式是 （ ） 。
A．匿名身份验证
B．基本身份验证
C．集成 Windows 身份验证
D．摘要式身份验证
E．.Net Passport 身份验证
- 下列行为不属于网络攻击的是 （ ） 。
A．连续不停 Ping 某台主机
B．发送带病毒和木马的电子邮件
C．向多个邮箱群发一封电子邮件
D．暴力破解服务器密码
- 采用 Kerberos 系统进行认证时，可以在报文中加入 （ ） 来防止重放攻击。
A．会话密钥 B．时间戳 C．用户 ID D．私有密钥
- 包过滤防火墙通过 （ ） 来确定数据包是否能通过。
A．路由表 B．ARP 表 C．NAT 表 D．过滤规则
- 目前在网络上流行的“熊猫烧香”病毒属于 （ ） 类型的病毒。
A．目录 B．引导区 C．蠕虫 D．DOS
- 多形病毒指的是 （ ） 的计算机病毒。
A．可在反病毒检测时隐藏自己 B．每次感染都会改变自己
C．可以通过不同的渠道进行传播 D．可以根据不同环境造成不同破坏
- SNMP 采用 UDP 提供数据报服务，这是由于 （ ） 。
A．UDP 比 TCP 更加可靠
B．UDP 数据报文可以比 TCP 数据报文大
C．UDP 是面向连接的传输方式
D．采用 UDP 实现网络管理不会太多增加网络负载
- 在 SNMPv2 中，一个实体发送一个报文，一般经过四个步骤：
① 加入版本号和团体名，构造报文；
② 把 PDU、源和目标端口地址以及团体名传送给认证服务，认证服务产生认证码或
对数据进行加密，返回结果；
③ 根据要实现的协议操作构造 PDU；
④ 进行 BER 编码，产生 0/1 比特串。
这四个步骤的正确次序是 （ ） 。
A．①③②④ B．③②①④
C．④①③② D．②①③④
- 安全电子邮件协议 PGP 不支持 （ ） 。
A．确认发送者的身份 B．确认电子邮件未被修改
C．防止非授权者阅读电子邮件 D．压缩电子邮件大小
- Needham-Schroeder 协议是基于 （ ） 的认证协议。
A．共享密钥 B．公钥 C．报文摘要 D．数字证书
- 在网络管理中要防护各种安全威胁。在 SNMPv3 中，不必要或无法防护的安全威胁是 （ ） 。
A．篡改管理信息：通过改变传输中的 SNMP 报文实施未经授权的管理操作
B．通信分析：第三者分析管理实体之间的通信规律，从而获取管理信息
C．假冒合法用户：未经授权的用户冒充授权用户，企图实施管理操作
D．消息泄露：SNMP 引擎之间交换的信息被第三者偷听
- 下面关于几个网络管理工具的描述中，错误的是 （ ） 。
A．netstat 可用于显示 IP、TCP、UDP、ICMP 等协议的统计数据
B．sniffer 能够使网络接口处于杂收模式，从而可截获网络上传输的分组
C．winipcfg 采用 MS-DOS 工作方式显示网络适配器和主机的有关信息
D．tracert 可以发现数据包到达目标主机所经过的路由器和到达时间
- 在 Windows XP 中用事件查看器查看日志文件，可看到的日志包括 （ ） 。
A．用户访问日志、安全性日志和系统日志
B．应用程序日志、安全性日志和系统日志
C．网络攻击日志、安全性日志和记帐日志
D．网络连接日志、安全性日志和服务日志
- 以下对信息安全描述不正确的是（ ）
A.信息安全的基本要素包括保密性、完整性和可用性
B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性
C.信息安全就是不出安全事故/事件
D.信息安全不仅仅只考虑防止信息泄密就可以了
- 以下对信息安全管理的描述错误的是（ ）
A.保密性、完整性、可用性
B.抗抵赖性、可追溯性
C.真实性私密性可靠性
D.增值性
- 以下对信息安全管理的描述错误的是（ ）
A.信息安全管理的核心就是风险管理
B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性
C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂
D.信息安全管理工作的重点是信息系统，而不是人
- 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是（ ）
A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可
B. 来自高级管理层的明确的支持和承诺
C.对企业员工提供必要的安全意识和技能的培训和教育
D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行
- 以下哪个不是信息安全项目的需求来源（ ）
A.国家和地方政府法律法规与合同的要求
B.风险评估的结果
C.组织原则目标和业务需要
D.企业领导的个人意志
- ISO27001认证项目一般有哪几个阶段？（ ）
A. 管理评估，技术评估，操作流程评估
B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证
C.产品方案需求分析，解决方案提供，实施解决方案
D. 基础培训，RA培训，文件编写培训，内部审核培训
- 构成风险的关键因素有哪些？（ ）
A. 人，财，物
B.技术，管理和操作
C.资产，威胁和弱点
D. 资产，可能性和严重性
- 以下哪些不是应该识别的信息资产？（ ）
A. 网络设备
B.客户资料
C. 办公桌椅
D. 系统管理员
- 以下哪些是可能存在的威胁因素？（ ）
A. 设备老化故障
B.病毒和蠕虫
C. 系统设计缺陷
D. 保安工作不得力
- 以下哪些不是可能存在的弱点问题？（ ）
A. 保安工作不得力
B.应用系统存在Bug
C. 内部人员故意泄密
D. 物理隔离不足
- 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？（ ）
A. 只识别与业务及信息系统有关的信息资产，分类识别
B.所有公司资产都要识别
C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产
D. 资产识别务必明确责任人、保管者和用户
- 风险分析的目的是？（ ）
A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；
B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；
C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；
D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；
- 对于信息安全风险的描述不正确的是？（ ）
A. 企业信息安全风险管理就是要做到零风险
B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性
C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。
D. 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。
- 有关定性风险评估和定量风险评估的区别，以下描述不正确的是（ ）
A. 定性风险评估比较主观，而定量风险评估更客观
B. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证
C.定性风险评估更成熟，定量风险评估还停留在理论阶段
D. 定性风险评估和定量风险评估没有本质区别，可以通用
- 降低企业所面临的信息安全风险，可能的处理手段不包括哪些（ ）
A. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷
B.通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；
C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击
D. 通过业务外包的方式，转嫁所有的安全风险
- 风险评估的基本过程是怎样的？（ ）
A. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险
B. 通过以往发生的信息安全事件，找到风险所在
C. 风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位
D. 风险评估并没有规律可循，完全取决于评估者的经验所在
- 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的（ ）
A. 只关注外来的威胁，忽视企业内部人员的问题
B.相信来自陌生人的邮件，好奇打开邮件附件
C.开着电脑离开，就像离开家却忘记关灯那样
D.及时更新系统和安装系统和应用的补丁
- 对安全策略的描述不正确的是（ ）
A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B. 策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D. 安全策略一旦建立和发布，则不可变更；
- 以下对企业信息安全活动的组织描述不正确的是（ ）
A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。
B.企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施
- 企业信息资产的管理和控制的描述不正确的是（ ）
A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；
B.企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；
C.企业的信息资产不应该分类分级，所有的信息系统要统一对待
D.企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产
- 有关人员安全的描述不正确的是（ ）
A. 人员的安全管理是企业信息安全管理活动中最难的环节
B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查
C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作
D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号
- 以下有关通信与日常操作描述不正确的是（ ）
A. 信息系统的变更应该是受控的
B.企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D. 内部安全审计无需遵循独立性、客观性的原则
- 以下有关访问控制的描述不正确的是（ ）
A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B.系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入；
- 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是（ ）
A. 信息系统的开发设计，应该越早考虑系统的安全需求越好
B.信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统
C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理
D.运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险
- 有关信息安全事件的描述不正确的是（ ）
A. 信息安全事件的处理应该分类、分级
B. 信息安全事件的数量可以反映企业的信息安全管控水平
C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小
D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生
- 以下有关信息安全方面的业务连续性管理的描述，不正确的是（ ）
A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营
B.企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务
C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档
D. 信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入
- 企业信息安全事件的恢复过程中，以下哪个是最关键的？（ ）
A. 数据
B.应用系统
C.通信链路
D. 硬件/软件
- 有关认证和认可的描述，以下不正确的是（ ）
A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）
B. 根据对象的不同，认证通常分为产品认证和体系认证
C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认
D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求
- 信息的存在及传播方式（ ）
A.存在于计算机、磁带、纸张等介质中
B.记忆在人的大脑里
C.通过网络打印机复印机等方式进行传播
D.通过投影仪显示
- 下面哪个组合不是是信息资产（ ）
A. 硬件、软件、文档资料
B. 关键人员
C. 组织提供的信息服务
D. 桌子、椅子
- 以下对审核发现描述正确的是（ ）
A. 用作依据的一组方针、程序或要求
B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息
C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项
D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述
- 审核在实施审核时，所使用的检查表不包括的内容有？（ ）
A. 审核依据
B.审核证据记录
C. 审核发现
D. 数据收集方法和工具
- 信息系统审核员应该预期谁来授权对生产数据和生产系统的访问？（ ）
A.流程所有者
B.系统管理员
C.安全管理员
D.数据所有者
- 当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一道防线是下列哪一项？（ ）
A. 个人防火墙
B.防病毒软件
C.入侵检测系统
D.虚拟局域网设置
- 负责授权访问业务系统的职责应该属于：（ ）
A.数据拥有者
B.安全管理员
C. IT 安全经理
D.请求者的直接上司
- 在提供给一个外部代理商访问信息处理设施前，一个组织应该怎么做？（ ）
A.外部代理商的处理应该接受一个来自独立代理进行的IS 审计。
B.外部代理商的员工必须接受该组织的安全程序的培训。
C. 来自外部代理商的任何访问必须限制在停火区（DMZ）
D.该组织应该进行风险评估，并制定和实施适当的控制。
- 处理报废电脑的流程时，以下哪一个选项对于安全专业人员来说是最重要考虑的内容？（ ）
A.在扇区这个级别上，硬盘已经被多次重复写入，但是在离开组织前没有进行重新格式化。
B.硬盘上所有的文件和文件夹都分别删除了，并在离开组织进行重新格式化。
C. 在离开组织前，通过在硬盘特定位置上洞穿盘片，进行打洞，使得硬盘变得不可读取。
D.由内部的安全人员将硬盘送到附近的金属回收公司，对硬盘进行登记并粉碎。
- 一个组织已经创建了一个策略来定义用户禁止访问的网站类型。哪个是最有效的技术来达成这个策略？（ ）
A.A.状态检测防火墙
B.B.网页内容过滤
C..网页缓存服务器
D.D.代理服务器
- 当组织将客户信用审查系统外包给第三方服务提供商时，下列哪一项是信息安全专人士最重要的考虑因素？该提供商：（ ）
A.满足并超过行业安全标准
B.同意可以接受外部安全审查
C.其服务和经验有很好的市场声誉
D.符合组织的安全策略
- 一个组织将制定一项策略以定义了禁止用户访问的WEB 站点类型。为强制执行这一策略，最有效的技术是什么？（ ）
A.状态检测防火墙
B.WE内容过滤器
C.WEB 缓存服务器
D.应该代理服务器
- 在制定一个正式的企业安全计划时，最关键的成功因素将是？（ ）
A.成立一个审查委员会
B.建立一个安全部门
C.向执行层发起人提供有效支持
D.选择一个安全流程的所有者
- 对业务应用系统授权访问的责任属于：（ ）
A.数据所有者
B.安全管理员
C.IT 安全经理
D.申请人的直线主管
- 下列哪一项是首席安全官的正常职责？（ ）
A.定期审查和评价安全策略
B.执行用户应用系统和软件测试与评价
C.授予或废除用户对IT 资源的访问权限
D.批准对数据和应用系统的访问权限
- 向外部机构提供其信息处理设施的物理访问权限前，组织应当做什么？（ ）
A.该外部机构的过程应当可以被独立机构进行IT 审计
B.该组织应执行一个风险评估，设计并实施适当的控制
C.该外部机构的任何访问应被限制在DMZ 区之内
D.应当给该外部机构的员工培训其安全程序
- 某组织的信息系统策略规定，终端用户的ID 在该用户终止后90 天内失效。组织的信息安全内审核员应：（ ）
A.报告该控制是有效的，因为用户ID 失效是符合信息系统策略规定的时间段的
B.核实用户的访问权限是基于用所必需原则的
C.建议改变这个信息系统策略，以保证用户ID 的失效与用户终止一致
D.建议终止用户的活动日志能被定期审查
- 减少与钓鱼相关的风险的最有效控制是：（ ）
A.系统的集中监控
B.钓鱼的信号包括在防病毒软件中
C.在内部网络上发布反钓鱼策略
D.对所有用户进行安全培训
- 在人力资源审计期间，安全管理体系内审员被告知在IT 部门和人力资源部门中有一个关于期望的IT 服务水平的口头协议。安全管理体系内审员首先应该做什么？（ ）
A.为两部门起草一份服务水平协议
B.向高级管理层报告存在未被书面签订的协议
C.向两部门确认协议的内容
D.推迟审计直到协议成为书面文档
- 下面哪一个是定义深度防御安全原则的例子？（ ）
A.使用由两个不同提供商提供的防火墙检查进入网络的流量
B.在主机上使用防火墙和逻辑访问控制来控制进入网络的流量
C.在数据中心建设中不使用明显标志
D.使用两个防火墙检查不同类型进入网络的流量
- 下面哪一种是最安全和最经济的方法，对于在一个小规模到一个中等规模的组织中通过互联网连接私有网络？（ ）
A.虚拟专用网
B.专线
C.租用线路
D.综合服务数字网.
- 通过社会工程的方法进行非授权访问的风险可以通过以下方法避免：（ ）
A.安全意识程序
B.非对称加密
C.入侵侦测系统
D.非军事区
- 在安全人员的帮助下，对数据提供访问权的责任在于：（ ）
A.数据所有者.
B.程序员
C.系统分析师.
D.库管员
- 信息安全策略,声称"密码的显示必须以掩码的形式"的目的是防范下面哪种攻击风险？（ ）
A.尾随
B.垃圾搜索
C. 肩窥
D. 冒充
- 管理体系审计员进行通信访问控制审查，首先应该关注：（ ）
A.维护使用各种系统资源的访问日志
B.在用户访问系统资源之前的授权和认证
C.通过加密或其他方式对存储在服务器上数据的充分保护
D.确定是否可以利用终端系统资源的责任制和能力.
- 下列哪一种防病毒软件的实施策略在内部公司网络中是最有效的：（ ）
A.服务器防毒软件
B.病毒墙
C.工作站防病毒软件
D.病毒库及时更新
- 测试程序变更管理流程时，安全管理体系内审员使用的最有效的方法是：（ ）
A.由系统生成的信息跟踪到变更管理文档
B.检查变更管理文档中涉及的证据的精确性和正确性
C.由变更管理文档跟踪到生成审计轨迹的系统
D.检查变更管理文档中涉及的证据的完整性
- 内部审计部门,从组织结构上向财务总监而不是审计委员会报告,最有可能：（ ）
A.导致对其审计独立性的质疑
B.报告较多业务细节和相关发现
C. 加强了审计建议的执行
D. 在建议中采取更对有效行动
- 下面哪一种情况可以使信息系统安全官员实现有效进行安全控制的目的?（ ）