ISMS单选题

GB/T29246/ISO/IEC27000 信息安全管理体系 概述和词汇
GB/T22080/ISO/IEC27001 信息安全管理体系 要求
ISO/IEC27002 信息安全管理体系 实践指南
ISO/IEC27003 信息安全管理体系 实施指南
ISO/IEC27004 信息安全管理 测量
ISO/IEC27005 信息安全风险管理
ISO/IEC27006 信息安全管理 审核和认证机构要求

---

2、（技术管理）属于管理脆弱性的识别对象。

4、从技术上讲，网络容易受到攻击的原因主要是由于（网络软件）不完善和（网络协议）本身存在安全漏洞造成的。

13、依据GB/T22080/ISO/IEC27001，建立资产清单即：列明信息生命周期内关联到的资产，明确其对组织业务的关键性。

19、关于特权访问，以下说法正确的是：特殊访问权应与其职能角色一致。

34、对于外部方提供的软件包，以下说法正确的是：应严格限制对软件包的调整以保护软件包的完整性和可用性。

35、依据GB/T22080/ISO/IEC27001，以下可表明符合或不符合第三方服务管理要求的是：与软件应用系统运维方签署专项不泄露协议。

38、依据GB/T22080/ISO/IEC27001，信息安全事件管理需包括：事件报告和处理流程以及事件类型的定义。

39、灾难备份中心指：灾难发生后接替主系统进行数据处理和支持关键业务功能运行的场所。

40、灾难备份系统指：由数据备份系统，备用数据处理系统和备用网络系统组成的用于灾难恢复目的的信息系统。

46、关于入侵检测，以下不正确的是（B）。
A 入侵检测是一个采集知识的过程
B 入侵检测指信息安全事件响应过程
C 分析反常的使用模式是入侵检测技术之一
D 入侵检测包括收集被利用脆弱性发生的时间信息。
解析：GB/T25069:2010。入侵检测：检测入侵的正式过程。该过程一般特征为采集如下知识：反常的使用模式，被利用的脆弱性及其类型、利用的方式，以及何时发生及如何发生。

47、以下不属于秘钥管理内容的是（A）。
A 秘钥材料的复制、转移、更新和确认
B 秘钥材料的生产、登记、认证、注销
C 秘钥材料的撤销、衍生、销毁和恢复
D 秘钥材料的分发、安装、存储和存档
解析：GB/T25069:2010。密钥管理：根据安全策略，实施并应用对秘钥材料进行产生、登记、认证、注销、分发、安装、存储、归档、撤销、衍生、销毁和恢复的服务。

49、信息系统安全等级分为五级，以下说法正确的是：三级系统每年进行一次测评，四级系统每年进行二次评测。
解析：信息安全等级保护管理办法。第十四条，第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。

51、计算机信息系统安全专用产品是指：用于保护计算机信息系统安全的专用硬件和软件产品。

52、关于涉密信息系统的管理，以下说法不正确的是：涉密计算机只有采取了适当防护措施才可接入互联网。
解析：计算机信息系统国际联网保密管理规定。第六条，涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离。

53、国际秘密的保密期限为：除另有规定外，绝密级不超过三十年，机密级不超过二十年，秘密级不超过十年。
解析：中华人民共和国保守国家秘密法。第十五条，国家秘密的保密期限，除另有规定外，绝密级不超过三十年，机密级不超过二十年，秘密级不超过十年。

56、残余风险是指：风险处置后剩余的风险，不一定比可接受风险低。
解析：GB/T29246。残余风险：风险处置后余下的风险。注1：残余风险可能包含未识别的风险。注2：残余风险也可以被称为“保留风险”。

59、以下哪个场景表明了对保密性的保护？
C 针对某一系统服务，用户只有通过了指纹验证，才可在允许的时间段使用。

62、计算机信息系统安全保护条例中所称计算机信息系统，是指：对信息进行采集、加工、存储、传输、检索等处理的人机系统。

66、关于信息安全产品的使用，以下说法正确的是：对于三级以上的信息系统，已列入信息安全产品认证目录的，应取得国家信息安全产品认证机构颁发的认证证书。
解析：信息安全等级保护管理办法。第二十一条，第三级以上信息系统应当选择使用符合以下条件的信息安全产品：
（一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；
（二）产品的核心技术、关键部件具有我国自主知识产权；
（三）产品研制、生产单位及其主要业务、技术人员无犯罪记录；
（四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；
（五）对国家安全、社会秩序、公共利益不构成危害；
（六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。

68、旨在评估信息安全管理体系有效性的标准是：ISO/IEC27004。
解析：信息技术 安全技术 信息安全管理 测量。为了评估按照GB/T22080规定实施的信息安全管理体系和控制措施或控制措施组的有效性，本标准提供了如何编制测度和测量以及如何使用的指南。

74、关于散布图，以下说法正确的是：（B）
A 是描述特性值分布区间的图
B 是描述一对变量关系的图
C 是描述特性随时间变化趋势的图
D 是描述变量类别分布的图
解析：直方图，趋势图和散布图。

80、Cp是理想过程能力指数，Cpk是实际过程能力指数，以下正确的是：Cp >= Cpk。

90、以下属于计算机病毒感染事件的纠正措施的是：（D）
A 对计算机病毒事件进行响应和处理
B 将感染病毒的计算机从网络隔离
C 对相关责任人进行处罚
D 以上都不对
解析：ISO/IEC27000。纠正：消除已查明的不符合的措施。纠正措施：消除不符合成因以防再次发生的措施。ABC都属于纠正。纠正措施可以是：安装防病毒软件、定期实施IT系统审计，核查入侵检测日志等内容。

93、信息安全等级保护管理办法规定，应加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统，每（两年）至少进行一次保密检查或系统评测。
解析：信息安全等级保护管理办法。第三十三条（六）加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评，对绝密级信息系统每年至少进行一次保密检查或者系统测评。

95、信息安全管理体系认证机构要求中，第二阶段审核（在客户组织的场所）进行。
解析：CNAS-CC01:2015。

96、以下关于认证机构的监督要求表述错误的是：认证机构的监督方案应有认证机构和客户共同来制定。
解析：认证方案是由认证机构制定，无需客户参与。

98、以下哪个算法是非对称加密算法？（A）
A RSA
B DES
C 3DES
D AES
解析：非堆成加密算法：RSA、Elgamal；对称加密算法：DES，3DES，AES。

100、以下关于入侵检测系统功能的叙述中，不正确的是：（A）
A 仅保护内部网络免受非法用户侵入
B 评估系统关键资源和数据文件的完整性
C 识别已知的攻击行为
D 统计分析异常行为

103、关于密码技术和密码产品，以下说法正确的是：未经指定，禁止生产商用密码产品。

105、以下哪一项不属于物理入口控制的措施？（C）
A 仅允许佩戴规定类型工牌的人员进入
B 入口处使用指纹识别系统
C 仅允许穿戴规定防护服的人员进入
D 保安核实来访人员的登记信息

116、以下对信息安全描述不准确的是（B）。
A 保密性、完整性、可用性
B 适宜性、充分性、有效性
C 保密性、完整性、可核查性
D 真实性、可核查性、可靠性
解析：GB/T29246。信息安全：对信息的保密性、完整性和可用性的保持。另外，也可包括诸如真实性、可核查性、抗抵赖和可靠性等其他特性。

117、ISMS文件的多少和详细程度取决于（）。
A 组织的规模和活动的类型
B 过程及其相互作用的复杂程度
C 人员的能力
D 以上都对
解析：GB/T22080 7.5.1。不同组织有关信息安全管理体系的文件化信息的详略程度可以不同，这是由于：1）组织的规模及其活动、过程、产品和服务的类型；2）过程及其相互作用的复杂性；3）人员的能力。

124、远程访问就是从另一网络或者从一个（并不永久连接）到所访问网络的终端设备上访问网络资源的过程。
解析：

129、ISMS有效性的定期评审应考虑（安全评审结果）、事故、有效性策略结果等内容。
解析：

132、以下描述正确的是：对一段时间内发生的信息安全事件类型、频次、处理成本的统计分析不属于事件管理的范畴。
解析：问题管理。

137、访问控制是指确定（可给予哪些主体访问权利）以及实施访问权限的过程。

139、安全区域通常的防护措施有（D）。
A 公司前台的电脑显示器背对来访者。
B 进出公司的访客需在门卫处登记。
C 重点机房安装有门禁系统
D A+B+C

143、对于所有拟定的纠正和预防措施，在实施前应先通过（B）过程进行评审。
A 薄弱环节识别