2022年12月CCAA信息安全管理体系质量审核员复习题含解析.doc

2022年12月CCAA信息安全管理体系质量审核员复习题

一、单项选择题

1、关于信息安全策略，下列说法正确的是（）

A、信息安全策略可以分为上层策略和下层策

B、信息安全方针是信息安全策略的上层部分

C、信息安全策略必须在体系建设之初确定并发布

D、信息安全策略需要定期或在重大变化时进行评审

2、下列不一定要进行风险评估的是（）

A、发布新的法律法规

B、ISMS最高管理者人员变更

C、ISMS范围内的网络采用新的网络架构

D、计划的时间间隔

3、(）是确保信息没有非授权泄密，即信息不被未授权的个人、实现或过程，不为其所用。

A、搞抵赖性

B、完整性

C、机密性

D、可用性

4、审核证据是指（）

A、与审核准则有关的，能够证实的记录、事实陈述或其他信息

B、在审核过程中收集到的所有记录、事实陈述或其他信息

C、一组方针、程序或要求

D、以上都不对

5、下面哪个不是《中华人民共和国密码法》中密码的分类？（）

A、核心密码

B、普通密码

C、国家密码

D、商用密码

6、残余风险是指:（）

A、风险评估前，以往活动遗留的风险

B、风险评估后，对以往活动遗留的风险的估值

C、风险处置后剩余的风险，比可接受风险低

D、风险处置后剩余的风险，不一定比可接受风险低

7、下列()不是创建和维护测量要执行的活动。

A、开展测量活动

B、识别当前支持信息需求的安全实践

C、开发和更新测量

D、建立测量文档并确定实施优先级

8、()是风险管理的重要一环。

A、管理手册

B、适用性声明

C、风险处置计划

D、风险管理程序

9、Saas是指(）

A、软件即服务

B、服务平台即月勝

C、服务应用即服务

D、服务瞇即服务

10、涉及运行系统验证的审计要求和活动，应（）

A、谨慎地加以规划并取得批准，以便最小化业务过程的中断

B、谨慎地加以规划并取得批准，以便最大化保持业务过程的连续

C、谨慎地加以实施并取得批准，以便最小化业务过程的中断

D、谨慎地加以实施并取得批准，以便最大化保持业务过程的连续

11、数字签名可以有效对付哪一类信息安全风险？

A、非授权的阅读

B、盗窃

C、非授权的复制

D、篡改

12、对于较大范围的网络，网络隔离是（）

A、可以降低成本

B、可以降低不同用户组之间非授权访问的风险

C、必须物理隔离和必须禁止无线网络

D、以上都对

13、对于交接区域的信息安全管理，以下说法正确的是:（）

A、对于进入组织的设备设施予以检查验证,对于离开组织的设备设施则不必验证

B、对于离开组织的设备设施予以检查验证,对于进入组织的设备设施则不必验证

C、对于进入和离开组织的设备设施均须检查验证

D、对于进入和离开组织的设备设施，验证携带者身份信息;可替代对设备设施的验证

14、风险处置是（）

A、识别并执行措施来更改风险的过程

B、确定并执行措施来更改风险的过程

C、分析并执行措施来更改风险的过程

D、选择并执行措施来更改风险的过程

15、加密技术可以保护信息的(）

A、机密性

B、完整性

C、可用性

D、A+B

16、访问控制是指确定（）以及实施访问权限的过程

A、用户权限

B、可给予哪些主体访问权利

C、可被用户访问的资源

D、系统是否遭受入侵

17、对于外部方提供的软件包，以下说法正确的是：（）

A、组织的人员可随时对其进行适用性调整

B、应严格限制对软件包的调整以保护软件包的必威体育官网网址性

C、应严格限制对软件包的调整以保护软件包的完整性和可用性

D、以上都不对

18、运行SMS和服务所裾的资源包括()

A、人员、技术、信息和资产

B、人员、技术、材料和资金

C、人员、技术、信息和资金

D、人员、资产、信息和资金

19、防止计算机中信息被窃取的手段不包括（）

A、用户识别

B、权限控制

C、数据加密

D、数据备份

20、以下描述不正确的是（）

A、防范恶意和移动代码的目标是保护软件和信息的完整性

B、纠正措施的目的是为了消除不符合的原因，防止不符合的再发生

C、风险分析、风险评价、风险处理的整个过程称为风险管理

D、控制措施可以降低安全事件发生的可能性，但不能降低安全事件的潜在影响

21、对于可能超越系统和应用控制的实用程序,以下做法正确的是（）

A、实用程序的使用不在审计范围内

B、建立禁止使用的实用程序清单

C、紧急响应时所使用的实用程序不需要授权

D、建立、授权机制和许可使用的实用程序清单

22、关于GB/T22081标准，以下说法正确的是：（）

A、提供了选择控制措施的指南，可用作信息安全管理体系认证的依据

B、提供了选择控制措施的指南，不可用作信息安全管理体系认证的依据

C、提供了信息安全风险评估的指南，是ISO/IEC27001的构成部分

D、提供了信息安全风险评估的依据，是实施ISCVIEC27000的支持性标准

23、在现场审核结束