2021年12月ISMS審核員復習題-信息安全管理體系含解析

2021年12月ISMS審核員復習題—信息安全管理體系一、單項選擇題1、ISMS不一定必須保留的文件化信息有()A、適用性聲明B、信息安全風險評估過程記錄C、管理評審結果D、重要業務系統操作指南2、下列哪項對于審核報告的描述是錯誤的?（）A、主要內容應與末次會議的內容基本一致B、在對審核記錄匯總整理和信息安全管理體系評價以后由審核組長起草形成C、正式的審核報告由組長將報告交給認證審核機構審核后，由委托方將報告的副本轉給受審核方D、以上都不對3、在規劃如何達到信息安全目標時，組織應確定（）A、要做什么，有什么可用資源，由誰負責，什么時候開始，如何測量結果B、要做什么，需要什么資源，由誰負責，什么時候完成，如何測量結果C、要做什么，需要什么資源，由誰負責，什么時候完成，如何評價結果D、要做什么，有什么可用資源，由誰執行，什么時候開始，如何評價結果4、關于GB/T22081標準，以下說法正確的是：（）A、提供了選擇控制措施的指南，可用作信息安全管理體系認證的依據B、提供了選擇控制措施的指南，不可用作信息安全管理體系認證的依據C、提供了信息安全風險評估的指南，是ISO/IEC27001的構成部分D、提供了信息安全風險評估的依據，是實施ISCVIEC27000的支持性標準5、計算機病毒是計算機系統中一類隱藏在（）上蓄意破壞的搗亂程序A、內存B、軟盤C、存儲介質D、網絡6、信息安全基本屬性是（）。A、保密性、完整性、可靠性B、保密性、完整性、可用性C、可用性、保密性、可能性D、穩定性、保密性、完整性7、運行SMS和服務所裾的資源包括()A、人員、技術、信息和資產B、人員、技術、材料和資金C、人員、技術、信息和資金D、人員、資產、信息和資金8、末次會議包括（）A、請受審核方確認不符合報告、并簽字B、向審核方遞交審核報告C、雙方就審核發現的不同意見進行討論D、以上都不準確9、當獲得的審核證據表明不能達到審核目的時，審核組長可以（）A、宣布停止受審核方的生產/服務活動B、向審核委托方和受審核方報告理由以確定適當的措施C、宣布取消末次會議D、以上都不可以10、根據《信息安全等級保護管理辦法》,對于違反信息安全法律、法規行為的行政處罰中()是較輕的處罰方式A、警告B、罰款C、沒收違法所得D、吊銷許可證11、ISO/IEC20000-3與ISO/IEC20000J之間的關系是()A、ISO/IEC20000-3為ISO/IEC20000-1提供了實施指南B、ISO/IEC20000-3為ISO/IEC20000-1提供了范圍定義的指南C、ISO/IEC20000-3為ISO/IEC20000-1提供了過程參考模型D、ISO/IEC20000-3為ISO/IEC20000-1提供了實施計劃樣例12、關于備份，以下說法正確的是(）A、備份介質中的數據應定期進行恢復測試B、如果組織刪減了“信息安全連續性”要求，同機備份或備份本地存放是可接受的C、發現備份介質退化后應考慮數據遷移D、備份信息不是管理體系運行記錄，不須規定保存期13、最高管理者應確保服務管理體系要求整合到組織（）中，證實對服務管理體系的領導承諾。A、活動B、資源C、過程D、目標14、下列哪一種情況下，網絡數據管理協議(NDM.P)可用于備份?（）A、需要使用網絡附加存儲設備(NAS)時B、不能使用TCP/IP的環境時C、需要備份舊的備份系統不能處理的文件許可時中先創學D、要保證跨多個數據卷的備份連續、一致時15、在信息安全管理體系審核時，應遵循（）原則。A、保密性和基于準則的B、保密性和基于風險的C、最小特權原則最小特權原則是信息系統安全的最基本原則D、建立阻塞點原則阻塞點就是在網絡系統對外連接通道內，可以被系統管理人員進行監控的連接控制點。16、根據《中華人民共和國國家秘密法》，國家秘密的最高密級為(）A、特密B、絕密C、機密D、秘密17、《計算機信息系統安全保護條例》規定：對計算機信息系統中發生的案件，有關使用單位應當在()向當地縣民政府公安機關報告A、8小時內B、12小時內C、24小時內D、48小時內18、"多級SLA"是一個三層結構，下列哪層不是這樣類型SLA的部分？()A、客戶級別B、公司級別C、配置級別D、服務級別19、GB/T22080-2016中所指資產的價值取決于（）A、資產的價格B、資產對于業務的敏感程度C、資產的折損率D、以上全部20、實施管理評審的目的是為確保信息安全管理體系的（）A、充分性B、適宜性C、有效性D、以上都是21、ISO/IEC27001描述的風險分析過程不包括（）A、分析風險發生的原因B、確定風險級別C、評估識別的風險發生后，可能導致的潛在后果D、評估所識別的風險實際發生的可能性22、關于信息系統登錄口令的管理，以下做法不正確的是：()A、必要時，使用密碼技術、生物識等替代口令B、用提示信息告知用戶輸入的口令是否正確C、明確告知用戶應遵從的優質口令策略D、使用互動式管理確保用戶使用優質口令23、風險偏好是組織尋求或保留風險的（）A、行動B、計劃C、意愿D、批復24、風險識別過程中需要識別的方面包括:資產識別、識別威脅、識別現有控制措施、(）A、識別可能性和影響B、識別脆弱性和識別后果C、識別脆弱性和可能性D、識別脆弱性和影響25、依據GB/T220802016/SO/EC.27001:2013標準，組織應（）。A、識別在組織范圍內從事會影響組織信息安全績效的員工的必要能力B、確保在組織控制下從事會影響組織信息安全績效的員工的必要能力C、確定在組織控制下從事會影響組織信息安全績效的工作人員的必要能力D、鑒定在組織控制下從事會影響組織信息安全績效的工作人員的必要能力26、關于信息安全策略，下列說法正確的是（）A、信息安全策略可以分為上層策略和下層策略B、信息安全方針是信息安全策略的上層部分C、信息安全策略必須在體系建設之初確定并發布D、信息安全策略需要定期或在重大變化時進行評審27、不屬于計算機病毒防治的策略的是（）A、確認您手頭常備一張真正“干凈”的引導盤B、及時、可靠升級反病毒產品C、新購置的計算機軟件也要進行病毒檢測D、整理磁盤28、下面哪一種環境控制措施可以保護計算機不受短期停電影響?（）A、電力線路調節器B、電力浪涌保護設備C、備用的電力供應D、可中斷的電力供應29、描述組織采取適當的控制措施的文檔是（）A、管理手冊B、適用性聲明C、風險處置計劃D、風險評估程序30、若通過桌面系統對終端實行IP、MAC綁定，該網絡IP地址分配方式應為（）A、靜態B、動態C、均可D、靜態達到50%以上即可31、某公司進行風險評估后發現公司的無線網絡存在大的安全隱患、為了處置這個風險，公司不再提供無線網絡用于辦公，這種處置方式屬于（）A、風險接受B、風險規避C、風險轉移D、風險減緩32、下列哪個選項不屬于審核組長的職責?A、確定審核的需要和目的B、組織編制現場審核有關的工作文件C、主持首末次會議和市核組會議D、代表審核方與受中核方領導進行溝通33、組織應在相關（）上建立信息安全目標A、組織環境和相關方要求B、戰略和意思C、戰略和方針D、職能和層次34、組織應()與其意圖相關的，且影響其實現信息安全管理體系預期結果能力的外部和內部事項。A、確定B、制定C、落實D、確保35、依據ISO/IEC20000-1:2018,服務目錄應()A、描述服務及其結果B、由顧客制定C、是合同的一部分D、是統一所有服務描述的匯總36、ITIL的最新版本是(）A、ITILV4B、ITILV3C、ITILV5D、ITILV237、(）是確保信息沒有非授權泄密，即信息不被未授權的個人、實現或過程，不為其所用。A、搞抵賴性B、完整性C、機密性D、可用性38、依據GB/T22080/ISO/IEC27001，信息分類方案的目的是（）A、劃分信息的數據類型，如供銷數據、生產數據、開發測試數據，以便于應用大數據技術對其分析B、確保信息按照其對組織的重要程度受到適當水平的保護C、劃分信息載體的不同介質以便于儲存和處理，如紙張、光盤、磁盤D、劃分信息載體所屬的職能以便于明確管理責任39、下面哪個不是典型的軟件開發模型？（）A、變換型B、漸增型C、瀑布型D、結構型40、關于內部審核下面說法不正確的是(）。A、組織應定義每次審核的審核準則和范圍B、通過內部審核確定ISMS得到有效實施和維護C、組織應建立、實施和維護一個審核方案D、組織應確保審核結果報告至管理層二、多項選擇題41、計算機信息系統的安全保護，應保障（）A、計算機及相關配套設施的安全B、網絡安全C、運行環境安全D、計算機功能和正常發揮42、關于目標，下列說法正確的是（）A、目標現的結果B、溝通記錄C、目標可以采用不同方式進行表示，例如：操作準則D、目標可以是不同層次的，例如組織、項目和產品43、“云計算機服務”包括哪幾個層面？（）A、PaasB、SaaSC、IaaSD、PIIS44、風險處置的可選措施包括（）。A、風險識別B、風險分析C、風險轉移D、風險減緩45、某金融服務公司為其個人注冊會員提供了借資金和貸款服務，以下不正確的做法是（）A、公司使用微信群發布，申請借貸的會員背景姿料、借貸額度等進行討論評審B、公司使用微信群發布公司內部投資策略文件C、公司要求所有員工簽署NDA,不得泄露會員背景及具體借貸項目信息D、公司要求員工不得向朋友圏轉化其微信群會討論的信息46、對風險安全等級三級及以上系統，以下說法正確的是（）。A、采用雙重身份鑒別機制B、對用戶和數據采用安全標記C、系統管理員可任意訪問日志記錄D、三年開展一次網絡安全等級測評工作47、公司M將信息系統運維外包給公司N,以下符合GB/T22080-2016標準要求的做法是（）A、與N簽署協議規定服務級別及安全要求B、在對N公司人員服務時，接入M公司的移動電腦事前進行安全掃描C、將多張核心機房門禁卡統一登記在N公司項目組組長名下，由其按需發給進入機房的N公司人員使用D、對N公司帶入帶出機房的電腦進行檢查登記，硬盤和U盤不在此檢查登記范圍內48、信息安全管理中，支持性基礎設施指：()A、供電、通信設施B、消防、防雷設施C、空調及新風系統、水氣暖供應系統D、網絡設備49、《中華人民共和國網絡安全法》適用于在中華人民共和國境內（）網絡，以及網絡安全的監督管理。A、建設B、運營C、維護D、使用50、下列屬于“開發安全”活動的是（）。A、應規范用戶修改軟件包，必須的修改應嚴格管制B、應用系統若有變更，應進行適當審核與測試C、軟件應盡量采用自行開發避免外包或采購D、軟件的采購應注意其是否內藏隱密通道及特洛伊木馬程序51、組織建立的信息安全目標，應（）A、是可測量的B、與信息安方針一致C、得到溝通D、適當時更新52、以下屬于信息安全事態或事件的是:（）A、服務、設備或設施的丟失B、系統故障或超負載C、物理安全要求的違規D、安全策略變更的臨時通知53、以下（）活動是ISMS監視預評審階段需完成的內容A、實施培訓和意識教育計劃B、實施ISMS內部審核C、實施ISMS管理評審D、采取糾正措施54、對于組織在風險處置過程中所選的控制措施，以下說法正確的是（）A、將所有風險都必須被降低至可接受的級別B、可以將風險轉移C、在滿足公司策略和方針條件下，有意識、客觀地接受風險D、規避風險55、訪問控制包括()A、網絡和網絡服務的訪問控制B、邏輯訪問控制C、用戶訪問控制D、物理訪問控制三、判斷題56、糾正是指為消除已發現的不符合或其他不的原因所采取的措施。（）正確錯誤57、最高管理層應通過“確保持續改進”活動，證實對信息安全管理體系的領導和承諾。（）正確錯誤58、組織應持續改進信息安全管理體系的適宜性、充分性和有效性（）正確錯誤59、信息安全管理體系的范圍必須包括組織的所有場所和業務，這樣才能保證安全。（）正確錯誤60、《中華人民共和國網絡安全法》中的“網絡運營者”，指網絡服務提供者，不包括其他類型的網絡所有者和管理者。（）正確錯誤61、信息安全管理體系的范圍必須包括組織的所有場所和業務，這樣才能保證安全。（）正確錯誤62、信息系統中的“單點故障”指僅有一個故障點，因此屬于較低風險等級的事件。（）正確錯誤63、信息安全風險準則包括風險接受準則和風險評價準則。（）正確錯誤64、審核方案應包括審核所需的資源，例如交通和食宿。（）正確錯誤65、容量管理策略可以考慮增加容量或降低容量要求（）正確錯誤

參考答案一、單項選擇題1、D2、A3、C4、B解析:iso/iec27002本標準可作為組織基于gb/t22080實現信息安全管理體系過程中選擇控制時的參考，或作為組織在實現通用信息安全控制時的指南。cnas-cc1702認證規范性引用文件有cnas-cc01:2015，iso/iec2700,iso/iec27001:2013所以iso/iec27002指南不能用作isms認證的依據，故選B5、C6、B解析:270002,19信息安全，保持信息的保密性，完整性，可用性。故選B7、C8、C9、B10、A11、B12、A13、A14、A15、