CISP模拟考试题库（附答案）

今日学习目标：CISP

创作者：码农玛卡巴卡

个人主页： 码农玛卡巴卡的个人主页

题目来源网络，如有侵权请联系删除

1、以下对信息安全描述不正确的是

A.信息安全的基本要素包括保密性、完整性和可用性

B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性

C.信息安全就是不出安全事故/事件

D.信息安全不仅仅只考虑防止信息泄密就可以了

2. 以下对信息安全管理的描述错误的是

A.保密性、完整性、可用性

B.抗抵赖性、可追溯性

C.真实性私密性可靠性

D.增值性

3. 以下对信息安全管理的描述错误的是

A.信息安全管理的核心就是风险管理

B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性

C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂

D.信息安全管理工作的重点是信息系统，而不是人

4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是

A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可

B. 来自高级管理层的明确的支持和承诺

C.对企业员工提供必要的安全意识和技能的培训和教育

D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行

5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是

A. ISMS是一个遵循PDCA模式的动态发展的体系

B. ISMS是一个文件化、系统化的体系

C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定

D. ISMS应该是一步到位的，应该解决所有的信息安全问题

6. PDCA特征的描述不正确的是

A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题

B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题

C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足

D. 信息安全风险管理的思路不符合PDCA的问题解决思路

7. 以下哪个不是信息安全项目的需求来源

A. 国家和地方政府法律法规与合同的要求

B. 风险评估的结果

C.组织原则目标和业务需要

D. 企业领导的个人意志

8. ISO27001认证项目一般有哪几个阶段？

A. 管理评估，技术评估，操作流程评估

B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证

C.产品方案需求分析，解决方案提供，实施解决方案

D. 基础培训，RA培训，文件编写培训，内部审核培训

9. 构成风险的关键因素有哪些？

A. 人，财，物

B. 技术，管理和操作

C.资产，威胁和弱点

D. 资产，可能性和严重性

10. 以下哪些不是应该识别的信息资产？

A. 网络设备

B.客户资料

C. 办公桌椅

D. 系统管理员

11. 以下哪些是可能存在的威胁因素？

A. 设备老化故障

B.病毒和蠕虫

C. 系统设计缺陷

D. 保安工作不得力

12. 以下哪些不是可能存在的弱点问题？

A. 保安工作不得力

B.应用系统存在Bug

C. 内部人员故意泄密

D. 物理隔离不足

13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？

A. 只识别与业务及信息系统有关的信息资产，分类识别

B.所有公司资产都要识别

C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产

D. 资产识别务必明确责任人、保管者和用户

14. 风险分析的目的是？

A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；

B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；

C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；

D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；

15. 对于信息安全风险的描述不正确的是？

A. 企业信息安全风险管理就是要做到零风险

B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性

C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

D. 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。

16. 有关定性风险评估和定量风险评估的区别，以下描述不正确的是

A. 定性风险评估比较主观，而定量风险评估更客观

B. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证

C.定性风险评估更成熟，定量风险评估还停留在理论阶段

D. 定性风险评估和定量风险评估没有本质区别，可以通用

17. 降低企业所面临的信息安全风险，可能的处理手段不包括哪些

A. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷

B. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；

C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击

D. 通过业务外包的方式，转嫁所有的安全风险

【答案】 D

18. 风险评估的基本过程是怎样的？

A. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险

B. 通过以往发生的信息安全事件，找到风险所在

C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位

D. 风险评估并没有规律可循，完全取决于评估者的经验所在

19. 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的

A. 只关注外来的威胁，忽视企业内部人员的问题

B. 相信来自陌生人的邮件，好奇打开邮件附件

C.开着电脑离开，就像离开家却忘记关灯那样

D. 及时更新系统和安装系统和应用的补丁

20. 以下对ISO27001标准的描述不正确的是

A. 企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求

B. ISO27001标准与信息系统等级保护等国家标准相冲突

C.ISO27001是源自于英国的国家标准BS7799

D. ISO27001是当前国际上最被认可的信息安全管理标准

21. 对安全策略的描述不正确的是

A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程

B. 策略应有一个属主，负责按复查程序维护和复查该策略

C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；

D. 安全策略一旦建立和发布，则不可变更；

22. 以下对企业信息安全活动的组织描述不正确的是

A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。

B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。

C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。

D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施

23. 企业信息资产的管理和控制的描述不正确的是

A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；

B. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；

C.企业的信息资产不应该分类分级，所有的信息系统要统一对待

D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产

24. 有关人员安全的描述不正确的是

A. 人员的安全管理是企业信息安全管理活动中最难的环节

B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查

C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作

D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号

25. 以下有关通信与日常操作描述不正确的是

A. 信息系统的变更应该是受控的

B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则

C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏

D. 内部安全审计无需遵循独立性、客观性的原则

26. 以下有关访问控制的描述不正确的是

A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理

B. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配

C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；

D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入；

27. 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是

A. 信息系统的开发设计，应该越早考虑系统的安全需求越好

B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统

C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理

D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险

28. 有关信息安全事件的描述不正确的是

A. 信息安全事件的处理应该分类、分级

B. 信息安全事件的数量可以反映企业的信息安全管控水平

C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小

D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生

29. 以下有关信息安全方面的业务连续性管理的描述，不正确的是

A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营

B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务

C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档

D. 信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入

30. 企业信息安全事件的恢复过程中，以下哪个是最关键的？

A. 数据

B. 应用系统

C.通信链路

D. 硬件/软件

31. 企业ISMS(信息安全管理体系)建设的原则不包括以下哪个

A. 管理层足够重视

B. 需要全员参与

C.不必遵循过程的方法

D. 需要持续改进

32. PDCA特征的描述不正确的是

A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题

B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题

C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足

D. 信息安全风险管理的思路不符合PDCA的问题解决思路

33. 对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？

A. 改进措施包括纠正和预防措施

B. 改进措施可由受审单位提出并实施

C.不可以对体系文件进行更新或修改

D. 对改进措施的评价应该包括措施的有效性的分析

34. ISMS的审核的层次不包括以下哪个？

A. 符合性审核

B. 有效性审核

C.正确性审核

D. 文件审核

35. 以下哪个不可以作为ISMS管理评审的输入

A. ISMS审计和评审的结果

B. 来自利益伙伴的反馈

C. 某个信息安全项目的技术方案

D. 预防和纠正措施的状态

36. 有关认证和认可的描述，以下不正确的是

A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）

B. 根据对象的不同，认证通常分为产品认证和体系认证

C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认

D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求

37. 信息的存在及传播方式

A. 存在于计算机、磁带、纸张等介质中

B. 记忆在人的大脑里

C.. 通过网络打印机复印机等方式进行传播

D. 通过投影仪显示

38. 下面哪个组合不是是信息资产

A. 硬件、软件、文档资料

B. 关键人员

C.. 组织提供的信息服务

D. 桌子、椅子

39. 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？

A. 约定的标准及相关法律的要求

B.已识别的安全需求

C. 控制措施有效实施和维护

D. ISO13335风险评估方法

40. 以下对审核发现描述正确的是

A. 用作依据的一组方针、程序或要求

B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息

C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项

D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述