2024年第二期国家注册ISMS审核员考试题目—信息安全管理体系含解析.doc

2024年第二期国家注册ISMS审核员考试题目—信息安全管理体系

一、单项选择题

1、以下说法不正确的是(）

A、应考虑组织架构与业务目标的变化的风险评估进行再评审

B、应考虑以往未充分识别的威胁对风险评估结果进行再评估

C、制造部增加的生产场所对信息安全风险无影响

D、安全计划应适时更新

2、在规划如何达到信息安全目标时，组织应确定（）

A、要做什么，有什么可用资源，由谁负责，什么时候开始，如何测量结果

B、要做什么，需要什么资源，由谁负责，什么时候完成，如何测量结果

C、要做什么，需要什么资源，由谁负责，什么时候完成，如何评价结果

D、要做什么，有什么可用资源，由谁执行，什么时候开始，如何评价结果

3、数字签名可以有效对付哪一类信息安全风险？

A、非授权的阅读

B、盗窃

C、非授权的复制

D、篡改

4、相关方的要求可以包括（）

A、标准、法规要求和合同义务

B、法律、标准要求和合同义务

C、法律、法规和标准要求和合同义务

D、法律、法规要求和合同义务

5、ISMS管理评审的输出应包括（）

A、可能影响ISMS的任何变更

B、以往风险评估没有充分强调的脆弱点或威胁

C、风险评估和风险处理计划的更新

D、改进的建议

6、在根据组织规模确定基本审核时间的前提下，下列哪一条属于增加审核时间的要素（）。

A、其产品/过程无风险或有低的风险

B、客户的认证准备

C、仅涉及单一的活动过程

D、具有高风险的产品或过程

7、《信息安全等级保护管理办法》规定，应加强沙密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每（）至少进行次保密检查或者系统测评。

A、半年

B、1年

C、1.5年

D、2年

8、组织应（）。

A、对信息按照法律要求、价值、重要性及其对授权泄露或修改的敏感性进行分级

B、对信息按照制度要求、价值、有效性及其对授权泄露或修改的敏感性进行分级

C、对信息按照法律要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级

D、对信息按照制度要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级

9、下列哪项不是监督审核的目的？（）

A、验证认证通过的ISMS是否得以持续实现

B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化

C、确认是否持续符合认证要求

D、做出是否换发证书的决定

10、被黑客控制的计算机常被称为(）

A、蠕虫

B、肉鸡

C、灰鸽子

D、木马

11、（）是建立有效的计算机病毒防御体系所需要的技术措施

A、补丁管理系统、网络入侵检测和防火墙

B、漏洞扫描、网络入侵检测和防火墙

C、漏洞扫描、补丁管理系统和防火墙

D、网络入侵检测、防病毒系统和防火墙

12、风险评价是指（）

A、系统地使用信息来识别风险来源和评估风险

B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程

C、指导和控制一个组织相关风险的协调活动

D、以上都对

13、下列不属于公司信息资产的有

A、客户信息

B、被放置在IDC机房的服务器

C、个人使用的电脑

D、审核记录

14、主动式射频识别卡(RFID)存在哪一种弱点?（）

A、会话被劫持

B、被窃听

C、存在恶意代码

D、被网络钓鱼攻击DR

15、下列不属于常用云服务类型的是（)

A、软件即服务

B、邮件即服务

C、平台即服务

D、基础设施即服务

16、服务连续性管理中,恢复时间目标指（）

A、IT服务复原到正常工作状态的时间

B、IT服务复原到约定的最低可用性水平的时间

C、关键服务恢复到约定的最低可用性水平的时间

D、基础设施服务恢复到约定的可用性的时间

17、按照PDCA思路进行审核，是指（）

A、按照受审核区域的信息安全管理活动的PDCA过程进行审核

B、按照认证机构的PDCA流程进行审核

C、按照认可规范中规定的PDCA流程进行审核

D、以上都对

18、下列措施中不能用于防止非授权访问的是（）

A、采取密码技术

B、采用最小授权

C、采用权限复查

D、采用日志记录

19、局域网环境下与大型计算机环境下的本地备份方式在（）方面有主要区别。

A、主要结构

B、容错能力

C、网络拓扑

D、局域网协议

20、不属于WEB服务器的安全措施的是（）

A、保证注册帐户的时效性

B、删除死帐户

C、强制用户使用不易被破解的密码

D、所有用户使用一次性密码

21、ISO/IEC20000-1适用于通过ITSMS的()服务规划、设计、转换、交付和改进。

A、有效策划与保持持续改进

B、有效实施与运行持续改进

C、有效实施与保持持续改进

D、有效策划与运行持续改进

22、ISMS文件的多少和详细程度取于

A、组织的规模和活动的类型

B、过程及其相互作用的复杂程度

C、人员的能力

D、A+B+C

23、关于容量管理，以下说法不正确的是（）

A、根据业务对系统性能的需求，设置阈值和