最新CISP模拟考试题库及答案（二）_对于信息安全框架的体系模型中对于四个层面描述正确的是

51、 以下对ISO27001标准的描述不正确的是：
A. 企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范
的所有要求
B. ISO27001标准与信息系统等级保护等国家标准相冲突
C.ISO27001是源自于英国的国家标准BS7799
D. ISO27001是当前国际上最被认可的信息安全管理标准
【答案】B
52、 对安全策略的描述不正确的是
A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程
B. 策略应有一个属主，负责按复查程序维护和复查该策略
C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；
D. 安全策略一旦建立和发布，则不可变更；
【答案】D
53、 以下对企业信息安全活动的组织描述不正确的是
A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。
B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。
C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。
D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施
【答案】D
54、企业信息资产的管理和控制的描述不正确的是
A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；
B. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；
C.企业的信息资产不应该分类分级，所有的信息系统要统一对待
D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产
【答案】C
55、有关人员安全的描述不正确的是
A. 人员的安全管理是企业信息安全管理活动中最难的环节
B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查
C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作
D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号
【答案】C
56、以下有关通信与日常操作描述不正确的是
A. 信息系统的变更应该是受控的
B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则
C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏
D. 内部安全审计无需遵循独立性、客观性的原则
【答案】D
57、以下有关访问控制的描述不正确的是
A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理
B. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配
C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；
D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入；
【答案】D
58、有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是
A. 信息系统的开发设计，应该越早考虑系统的安全需求越好
B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统
C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理
D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险
【答案】C
59、有关信息安全事件的描述不正确的是
A. 信息安全事件的处理应该分类、分级
B. 信息安全事件的数量可以反映企业的信息安全管控水平
C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小
D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生
【答案】C
60、 以下有关信息安全方面的业务连续性管理的描述，不正确的是
A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营
B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务
C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档
D. 信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入
【答案】D
61、企业信息安全事件的恢复过程中，以下哪个是最关键的？
A. 数据
B. 应用系统
C.通信链路
D. 硬件/软件
【答案】A
62、企业ISMS(信息安全管理体系)建设的原则不包括以下哪个
A. 管理层足够重视
B. 需要全员参与
C.不必遵循过程的方法
D. 需要持续改进
【答案】C
63、PDCA特征的描述不正确的是
A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题
B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题
C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足
D. 信息安全风险管理的思路不符合PDCA的问题解决思路
【答案】D
64、对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？
A. 改进措施包括纠正和预防措施
B. 改进措施可由受审单位提出并实施
C.不可以对体系文件进行更新或修改
D. 对改进措施的评价应该包括措施的有效性的分析
【答案】C
65、ISMS的审核的层次不包括以下哪个？
A. 符合性审核
B. 有效性审核
C.正确性审核
D. 文件审核
【答案】C
66、以下哪个不可以作为ISMS管理评审的输入
A. ISMS审计和评审的结果
B. 来自利益伙伴的反馈
C. 某个信息安全项目的技术方案
D. 预防和纠正措施的状态
【答案】C
67、有关认证和认可的描述，以下不正确的是
A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）
B. 根据对象的不同，认证通常分为产品认证和体系认证
C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认
D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求
【答案】D
68、 信息的存在及传播方式
A. 存在于计算机、磁带、纸张等介质中
B. 记忆在人的大脑里
C… 通过网络打印机复印机等方式进行传播
D. 通过投影仪显示
【答案】D
69、下面哪个组合不是是信息资产
A. 硬件、软件、文档资料
B. 关键人员
C… 组织提供的信息服务
D. 桌子、椅子
【答案】D
70、实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？
A. 约定的标准及相关法律的要求
B.已识别的安全需求
C. 控制措施有效实施和维护
D. ISO13335风险评估方法
【答案】D
71、 以下对审核发现描述正确的是
A. 用作依据的一组方针、程序或要求
B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息
C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项
D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述
【答案】C
72、ISMS审核常用的审核方法不包括？
A. 纠正预防
B.文件审核
C. 现场审核
D. 渗透测试
【答案】A
73、 ISMS的内部审核员（非审核组长）的责任不包括？
A. 熟悉必要的文件和程序；
B.根据要求编制检查列表；
C. 配合支持审核组长的工作，有效完成审核任务；
D. 负责实施整改内审中发现的问题；
【答案】D
74、审核在实施审核时，所使用的检查表不包括的内容有？
A. 审核依据
B.审核证据记录
C. 审核发现
D. 数据收集方法和工具
【答案】C
75、ISMS审核时，首次会议的目的不包括以下哪个？
A. 明确审核目的、审核准则和审核范围
B.明确审核员的分工
C. 明确接受审核方责任，为配合审核提供必要资源和授权
D. 明确审核进度和审核方法，且在整个审核过程中不可调整
【答案】D
76、ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？
A. 关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项
B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行
C. 孤立的偶发性的且对信息安全管理体系无直接影响的问题；
D. 审核员识别的可能改进项
【答案】D
77、 以下关于ISMS内部审核报告的描述不正确的是？
A. 内审报告是作为内审小组提交给管理者代表或最高管理者的工作成果
B.内审报告中必须包含对不符合性项的改进建议
C. 内审报告在提交给管理者代表或者最高管理者之前应该受审方管理者沟通协商，核实报告内容。
D. 内审报告中必须包括对纠正预防措施实施情况的跟踪
【答案】D
78、 信息系统审核员应该预期谁来授权对生产数据和生产系统的访问？
A.流程所有者
B.系统管理员
C.安全管理员
D.数据所有者
【答案】D
79、 当保护组织的信息系统时，在网络防火墙被破坏以后，通常的下一道防线是下列哪一项？
A. 个人防火墙
B.防病毒软件
C.入侵检测系统
D.虚拟局域网设置
【答案】C
80、负责授权访问业务系统的职责应该属于：
A.数据拥有者
B.安全管理员
C. IT 安全经理
D.请求者的直接上司
【答案】 A