NISP-3

1.下列关于防火墙的说法正确的是()

A.出站规则即其他主机连入你的电脑的规则

B.入栈规则即你的电脑连接其他主机的规则

C.默认情况下防火墙允许所有传入连接

D.默认情况下防火墙允许所有传出连接

2.SMTP连接服务器使用端口()。

A.21

B.80

C.25

D.110

3.应急响应是信息安全事件管理的重要内容之一。关于应急响应工作,下面描述错误的是()

A.信息安全应急响应，通常是指一个组织为了应对各种安全意外事件的发生所采取的防范措施，既包括预 防性措施，也包括事件发生后的应对程序，

B.应急响应工作有其鲜明的特点，具有高技术复杂性与专业性、强突发性、对知识经验的高依赖性，以及 需要广泛的协调与合作

C.应急响应是组织在处置应对突发/重大信息安全事件时的工作，其主要包括两部分工作：安全事件发生 时正确指挥，事件发生后全面总结

D.应急响应工作的起源和相关机构的成立和 1988 年 11 月发生 的莫里斯蠕虫事件有关，基于该事件人们 更加重视安全事件的应急处理和整体协调

解答:C 是准备

4. 信息安全组织的管理，涉及到内部组织和外部各方两个控制目标，为了实施控制外部各方目标，包括下列哪个选项？

A 信息安全的管理承诺，信息安全协调，信息安全职责的分配

B 信息处理设施的授权过程，保密性协议，与政府部门的联系

C 与特定利益集团的联系，信息安全的独立评审

D 与外部各方面相关风险的识别，处理外部各方协议中的安全问题 服务水平协议：sla

5.在NTFS文件系统中,如果一个共享文件夹的共享权限和NTFS权限发生了冲突,那么以下说法正确的是:(）

A.系统会认定最多的权限

B.共享权限优先NTFS权限

C.系统会认定最少的权限

D.以上都不是

6. 在使用系统安全工程-能力成熟度模型(SSECMM)对一个组织的安全工程能力成熟度进行测量时，有关测量结果，错误理解的是

A 如果该组织在执行某个特定的过程区域具备了一个特定级别的部门公共特征时，这个组织过程的能力成熟度未达到级别

B 如果该组织过个工程区域（ProcessAreas PA)具备了定义标准过程，执行已定义的过程，两个公共特征， 对此工程区域的能力成熟度级别达到 3 级充分定义级

C 如果某个区域过程（PrpcessAreas PA）包含的 4 个基本措施（Base Pracbces，BP)执行此 BP 时执行了 3 个 BP 此过程区域的能力成熟度级别为 0

D 组织在不同的过程区域能力成熟度可能处于不同级别上

解答：B 要三个

7.Windows系统下的用于存储用户名的文件是()

A.PASSWD

B.USERNAMES

C.SECRET

D.SAM

8.我国正式公布了电子签名法,数字签名机制用于实现()需求

A.完整性

B.抗否认

C.可用性

D.保密性

9.2003年以来,我国高度重视信息安全保障工作,先后制定并发布了多个文件,从政策层面为开展并推进信息   安全保障工作进行了规划。下面选项中哪个不是我国发布的文件()

A.《《国家信息安全战略报告》(国信【2005】2 号)

B.《国家网络安全综合计划（CNCI）》(国令【2008】54 号)

C.《国家信息化领导小组关于加强信息安全保障工作的意见》（中办公【2003】27 号)

D.《关于全力推进信息化发展和切实保障信息安全的若干意见》(国发 23 号)

解答：B 美国三道防线，为降威胁

10. 在风险管理中，残余风险是指在实施了新安全控制措施后还剩下的风险，关于残余风险下列描述错误的是

A. 应编制残余风险清单，并获得管理层对残余风险的书面批准

B 管理层确认残余风险，是对风险评估工作的一种肯定

C 接受残余风险，则表明没有必要防范和加固所有的安全漏洞，也没有必要无限制的提高安全保护措施的强度，对于安全保护措施的选择要考虑到成本和技术（x，应为效益）因素的限制

D 如果残余风险没有降低，则只能被动的选择接受风险，即风险不采取进一步的处理措施，接受风险可能带来的后果

11.我国依照信息系统的重要程度、安全事件造成的系统损失以及带来的社会影响等因素,将信息安全事件分为若干个级别,其中,能够对特别重要的信息系统产生特别严重影响或破坏的信息安全事件,如使特别重要信息系统遭受特别重大的统损失,如造成系统大面积瘫痪,使其丧失业务处理能力,或系统关键数据的保密性、完整性、可用性遭到严重破坏的,应属于哪-级信息安全事件()

A.Ⅲ级

B.I级

C.特别级

D.IV级

12. GB/T22080/2008“信息技术安全技术，信息安全管理体系要求”指出建立信息安全管理体系，应参照 PDCA 模式进行，信息安全管理体系，应包括建立 ISMS，实施和运行 ISMS，监视和审评 ISMS，保持和改进 ISMS 等过程，并在这些过程中将实施若干活动，请选出以下描述错误的是：

A 制定 ISMS 方针是建立 ISMS 阶段工作内容

B 实施培训和意识教育计划是实施运行 ISMS 阶段工作内容

C 进行有效性监测是监视和评审 ISMS 阶段工作内容

D 实施内部审核，是保护和改进 ISMS 阶段内容

13.关于信息安全保障技术框架( nformation assurance tehnical framework IATE),下面描述错误的是()

A 最初由 NSA 发布，后来由国际化标准组织转为国际标准，供各国家信息系统建设参与使用

B IATF 是一个通用框架，可以用到多种应用场景，通过对复杂信息系统结构和描述，然后再以此框架讨 论新系统的安全保护问题

C IATF 提出了深度防御的思想，便提供一个框架进行多层保护，以防信息系统面临的各种威胁

D 强制人、技术和操作是深度防御的三个主要层面，也就是讨论人在技术支持下运行维护的信息安全保障问题

解答： A 不是国标

14.下列关于漏洞的说法,不正确的是()

A.安全漏洞是信息安全的核心

B.漏洞是指计算机系统在硬件、软件、协议的设计、具体实现以及系统安全策略上存在的缺陷和不足

C.漏洞狭义的概念是指软件程序漏洞或缺陷

D.为了防止计算机的漏洞被黑客利用,我们可以关掉计算机的自动更新功能

15. 下列措施不能防止账户口令暴力破解的是()

A.修改默认的管理员账户名

B.设置多位由数字和字母组成的超长密码

C.限制口令输入次数

D.更换密码时新密码不能与之前密码相同或相似

16. 若一个组织称自己的ISMS符合ISO/IEC27001或GB/22080标准要求，其信息安全措施通常管理方面实施常规控制，资产管理包含对资产负责和信息分类两个控制目标，信息分类控制的目标是为了确保信息受到适当级别的保护，通常采取以下哪项控制措施（）

A.分类指南

B.资产责任人

C.资产清单

D.资产的可接受使用

解答：2015版-CISP0303信息安全控制措施_v3.0课案 - 百度文库  （第24页）

17. 下列不属于本地安全策略的是（）

A、本地策略

B、高级安全Windows防火墙

C、组策略

D、账户策略

18. 恢复时间目标（Recovery Time Objective RTO）和恢复点目标（RECOVERY Point Objective RPO ）是业务连续性和灾难恢复工作中的两个重要指标，随着信息系统越来越重要和信息技术越来越先进，这两个指标的数值越来越小，小华准备为其工作的信息系统拟定RTO和RPO指标，则以下描述中，正确的是()

A、RTO不可以为0,RPO也不可以为0

B、RTP可以为0，RPO也可以为0

C、RTO不可以为0，RPO可以为0

D、RTO可以为0，RPO不可以为0

19. 从系统工程的角度来处理信息安全问题，以下说法错误的是（）

A.系统安全工程旨在了解企业存在的安全风险，建立一组平衡的安全需求，融合各种工程学科的努力将此安全需求转换  为贯穿系统整个生存期的程实施指南

B、系统安全工程能力成熟模型（SSM-CMM ）是一种衡量安全工程实践能力的方法，是一种使用面向开发的方法

C、系统安全工程需对安全机制的正确性有效性做出诠释，证明安全系统的信任度能够达到企业的要求，或系统遗留的安全薄弱性可容许范围之内。

D、系统安全工程能力成熟度模型（SSE-CMM）是在原有能力成熟度模型（CMM）的基础上，通过对安全工作过程进行

管理的途径，将系统工程转变为一个完好定义的、成熟的、可测量的先进学科。

20. 为保障信息系统的安全，某经营公共服务系统的公司准备并编制一份针对性的信息安全保障方案，并将编制任务交给了小王，为此，小王决定首先编制出一份信息安全需求报告。并对此项工作，下面说法错误的是（）

A、信息安全需求是安全方案设计和安全措施的依据

B、信息安全需求应当时从信息系统所有者（用户）的角度出发，使用规范化、结构化的语言来描述信息系统安全保障需求

C、信息安全需求应当基于信息安全风险评估结果、业务需求和有关政策法规和标准的合规性要求得到

D、信息安全需求来自于该公众服务信息系统的功能设计方案

21. 在信息安全保障工作中，人才是非常重要的因素，近年来，我国一直高度重视我国信息安全人才队伍的培养和建设。在以下关于我国人才培养工作的描述中，错误的是（）

A、除正规大学教育外，我国信息安全人才非学历教育已基于形成了以各种认证为核心，辅以各种职业技能培训的信息安全人才培训体系，包括“注册信息专业人员（CISP）”资质认证和一些大型企业的信息安全资质认证

B、2015年，为加快网络空间安全高层次人才培养，经报国务院学位委员会批准，国务院学位委员会、教育部决定在“工学”门类下增设“网络空间安全”一级学科，这对于我国网络信息安全人才成体系统化、规模化、系统化培养起到积极推动作用

C、在【国家信息化领导小组关于加强信息安全保障工作的意见】（中办方{2003}27号）中，针对信息安全人才建设与培养工作提出了“加快新鲜全人才培养，增强全民信息安全意识”的指导精神

D、经过十余年的发展，我国信息安全人才培养已经成熟和体系化，每年培养的信息安全人员的数量较多，基本能同社会实际需求相匹配；同时，高校信息安全专业毕业人才的综合能力要求高、知识更全面因而社会培养应重点放在非专业人才培养上

22. 有关系统安全工程-能力成熟度模型(SEE-CMM)中基本实施(BasePractices，BP)，正确的理解是

A、BP不限定于特定地方法或工具，不同于的业务背景中可以使用不同方法

B、BP不是根据广泛的现有资料、实践和专家意见综合得出的

C、BP不代表信息安全工程领域的最佳实践

D、BP不是过程区域（Process Areas PA）的强控制

23. 关于强密码的特征，说法错误的是（）

A、不包含用户的生日、电话、用户名、真实姓名或公司名等

B、必须包含大写字母、小写字母、数字和非字母字符

C、长度至少要6个字符

D、不包含完整的字典词汇

解答：强密码长度至少有 8 个字符

24.公司甲做了很多政府网站安全项目，在为网游设计安全保障方案时，借鉴以前项目经验，为乙设计了多重数据加密安全措施，但用户提出不需要这些加密措施，理由是影响了网站性能，使用户访问量受限双方引起争议。下面说法那个是错误的（）

A、乙要综合考虑业务、合规性和风险，与甲共同确定网站安全需求

B、乙对信息安全不重视，低估了黑客能力，不舍得花钱

C、甲在需求分析阶段没有进行风险评估，所部属的加密针对性不足，造成浪费

D、甲充分考虑网游网站的业务与政府网站业务的区别

25. 某公司建设面向内部员工的办公自动化系统和面向外部客户的营销系统，通过公开招标选择M 公司已经提交了验收申请，监理公司需要对M公司提交的软件配置文件进行审查。在以下所提交的文档中，哪一项属于开发类型文档（）

A、项目计划书

B、质量控制计划

C、需求说明书

D、评审报告

26.下列信息系统安全说法正确的是：

A．加固所有的服务器和网络设备就可以保证网络的安全

B．只要资金允许就可以实现绝对的安全

C．断开所有的服务可以保证信息系统的安全

D．信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略

27. 《信息安全保障技术框架》（information  Assurance  Technical  Framework, IATF ）是由哪个下面哪个国家发布的。（）

A.欧盟

B.俄罗斯

C.中国

D.美国

28. 下列关于操作系统的说法不正确的是（)

A. Linux 系统是一款闭源操作系统。

B. 操作系统在计算机系统中位于硬件和应用软件之间，所以操作系统既面向系统资源又面向用户。

C. 常见的个人操作系统有windows 列和Linux 系列。

D. 操作系统为用户提供两种接口命令接口和程序接口。

29. 若一个组织声称自己的ISO /IEC 27001或GB/T22080标准要求。其信息安全控制措施通常在以下方面实施常规控制，不包括哪一项？

A. 人力资源安全，物理和环境安全，通信和操作安全

B. 访问控制、信息系统获取,开发和维护,符合性

C. 信息安全方针,信息安全组织,资产管理

D. 规划和建设ISMS

30. 用户在设置口令时，以下原则哪个是错误的（)

A. 不要使用与个人有关的信息作为口令内容

B. 可以使用空口令

C. 不要设置短于8个字符或仅包含字母和数字的口令

D. 严禁使用与账号相同或相似的口令

31. 下面关于信息系统安全保障模型，说法不正确的是（）

A. 国家标准《信息系统安全保障评估框架第一步，简介和一般模型》中的信息系统安全保障。模型将风      险和策略作为基础和核心

B. 信息系统安全保障强调是动态持续性的长效安全,而不仅是某时间点下的安全

C. 信息系统安全保障主要是确保信息系统的保密性，完整性和可用性。单位对信息系统进行维护和使用的人员，在能力和培训方面不需要投入

D. 模型中的信息系统生命周期模型是抽象的概念性说明模型在信息系统安全保障具体操作时，可以具体环境和要求进行改动和细化

32. 下列安全防护配置措施不正确的是（）

A. 关闭系统审核策略

B. 关闭系统不必要的端口

C. 开启操作系统口令策略

D. 开启防火墙和杀毒软件

33. 下列关于端口说法错误的是（）

A. 在网络环境中可以使用防火墙或者本地策略的方式关闭一些端口

B.  IP地址的端口是以端口号来标记的，端口号范围是0~65535

C. 使用Net show命令可以查看哪些计算机正在与本机连接

D. 端口按协议类型可以分为TCP端口，UDP端口

34. 关于信息安全保障措施框架（IATF ）,以下说法不正确的是（）

A. 分成策略允许在适当的时候采用低安全及保障解决方案以便降低信息安全保障的成本

B. IATF深度防御战略要求在网络体系结构的各个可能位置实现所有信息安全保障机制

C. I ATM从人技术和操作三个层面提供一个框架实施多层保护使攻击者即使攻破一层也无法破坏整个信息基础设施

D. 也许在关键区域例如区域边界使用高安全及保障解决方案，确保系统安全性

35. 下列关于CA 的说法错误的是（）

A. CA 可以没有证书

B. CA 是负责发布证书的一组机构

C. CA 可分为企业CA 和独立CA

D. CA 负责为用户分配公共秘钥和私人秘钥

36. 随着信息技术的不断发展，信息系统的重要性也越来越突出,而与此同时，发生的信息安全事件也越来越多。综合分析信息安全问题产生的根源。下面描述正确的是（）

A.信息系统质自身存在脆弱性是根本原因。信息系统越来越重要，但同时自身开发、部署和使用过程中存 在的脆弱性，导致了诸多安全事件发生。因此杜绝脆弱性的存在，是解决信息安全问题的根本所在

B.信息系统面临诸多黑客的威胁，包括恶意攻击者和恶作剧攻击者，信息系统的应用越来越广，接触信息 系统的人越多，信息系统越可能遭受攻击，因此避免有恶意攻击可能的人接触信息系统就可以解决信息安 全问题

C.信息安全问题产生的根源要从内因和外因两个方面分析，因为信息系统自身有脆弱性，同时外部又有危 险，从而导致新系统可能发生安全事件，因此要防范信息安全风险，应该从内外因同时着手

D.信息安全问题的根本原因是内因、外因、人三个因素的综合作用，内因和外因都可能导致安全事件的发 生，但最重要的还是人的因素，外部攻击者和内部人员通过远程攻击、本地破坏和内外勾结等手段，导致 安全事件发生，因此对人这个因素的防范是安全工作的重点

37.随着信息安全涉及的范围越来越广,各个组织对信息安全管理的需求越来越迫切,越来越多的组织开始尝试使用参考ISO27001介绍的ISMS来实施信息安全管理体系,提高组织的信息安全管理能力。关于ISMS,下面描述错误的是()

A组织的管理层应全面了解组织所面临的信息安全风险,决定风险可接受级别和风险可接受准则,并确认接受和相关残余风险

B在组织中,应有信息技术责任部门](如信息中心)制定并颁布信息安全方针,为组织的ISMS建设指明方向并提供总体纲领,明确总体要求

C组织的信息安全目标信息安全方针和要求应传达到全组织范围内,应包括全体员工,同时,也应传达客户、合作伙伴和供应商等外部各方

D组织的管理层应确保ISMS目标和相应的计划得以制定,信息安全管理目标应明确、可度量,风险管理计划应具体、具备可行性

 

38.某项目的主要内容为建造A类机房,监理单位需要根据《电子信息系统机房设计规范》(GB50174-2008)的相关要求,对承建单位的施工设计方案进行审核,以下关于监理单位给出的审核意见错误的是()

A.  A级主机房应设置自动喷水灭火系统

B.  因机房属于A级主机房,因此设计方案中应考虑配备柴油发电机,当市电发生故障时,所配备的柴油发电机应能承担全部负荷的需要

C.  由于高端小型机发热量大,因此采用活动地板下送风,上回风的方式

D.  在异地建立备份机房,设计时应与主要机房等级相司

 

39.有关系统安全工程-能力成熟度模型(SSE-CMM),错误的理解是:

A.SSE-CMM要求实施组织与其他组织相互作用,如开发方、产品供应商、集成商和

咨询服务商等

B.SSE-CMM可以使安全工程成为一个确定的、成熟的和可度量的科目

C.基于SSE-CMM的工程是独立工程,与软件工程、硬件工程、通信工程等分别规划

实施

D.SSE-CMM覆盖整个组织的活动,包括管理、组织和工程活动等,而不仅仅是系统

安全的工程活动

答案

解释: SSE-CMN是系统工程,不可以独立实施。

 

40.有关系统安全工程-能力成熟度模型(SSE-CMM)中基本实施( Base Practice)正确的

理解是

A.BP不限定于特定的方法工具,不同业务背景中可以使用不同的方法

B.BP不是根据广泛的现有资料,实施和专家意见综合得出的

C.BP不代表信息安全工程领域的最佳实践

D.BP不是过程区域( Process Areas，PA)的强制项

答案

解释:BP属于安全工程的最小单元,其不限定于特定的方法工具,不同业务背景中

可以使用不同的方法;是根据广泛的现有资料,实施和专家意见综合得出的;代表着

信息安全工程领域的最佳实践;并且是过程区域( Process Areas，PA)的强制项

 

 

41.下面关于信息系统安全保障模型的说法不正确的是:

A 国家标准《信息系统安全保障评估框架第一部分：简介和一般模型》(GB／T20274．1-2006)中的信息系 统安全保障模型将风险和策略作为基础和核心

B 模型中的信息系统生命周期模型是抽象的概念性说明模型，在信息系统安全保障具体操作时，可根据具 体环境和要求进行改动和细化

C 信息系统安全保障强调的是动态持续性的长效安全，而不仅是某时间点下的安全

D 信息系统安全保障主要是确保信息系统的保密性、完整性和可用性，单位对信息系统运行维护和使用的 人员在能力和培训方面不需要投入.

42.安全多用途互联网邮件扩展( Secure Nultipurpose Internet Mail Pxtension,S/MIME)是指一种保障邮件安全的技术,下面描述错误的是()

A．S/MIME支持用户身份认证和邮件加密

B．S/MIME支持数字证书

C．S/MIME采用了非对称密码学机制

D．S/MIME采用了邮件防火墙技术

解答：没有邮件防火墙这一说。

43.从历史演进来看,信息安全的发展经历了多个阶段,其中,有一个阶段的特点是:网络信息系统逐步形成,信息安全注重保护信息在存储、处理和传输过程中免受非授权的访问,开始使用防火墙、防病毒、PK和VPN等安全产品。这个阶段是(

A.信息系统安全阶段

B.通信安全阶线

C.计算机安全阶段

D.信息安全保阶段

 

44. “进不来” “拿不走” “看不懂” “改不了” “走不脱”是网络信息安全建设的目的。其中，“看不懂”是指下面那种安全服务：

A．数据加密    

B．身份认证   

C．数据完整性

D．访问控制

45.在风险管理中,残余风险是指在实施了新的或增强的安全措施后还剩下的风险,关于残余风险,下面描述错误的是()

A.风险处理措施确定以后,应编制详细的残余风险清单,并获得管理层对残余风的书面批准,这也是风险管理中的一个重要过程

B.接受残余风险,则表明没有必要防范和加固所有的安全漏洞,也没有必要无限制地提高安全保护措施的强度,对安全保护措施的选择要考虑到成本和技术等因素的限制。

C.如果残余风险没有降低到可接受的级别,则只能被动地选择接受风险,即对风验不进行下一步的处理措施，接受风险可能带来的结果。

D.管理层确认接受残余风险,是对风险评估工作的一种肯定,表示管理层已经全面了解了组织所面临的风险,并理解在风险一日变为现实后,组织能够且必须承担的后果

 

46..信息安全风险评估是信息安全风险管理工作中的重要环节。在国家网络与信息安全协调小组发布的《关于开展信息安全风险评估工作的意见》(国信办[2006]5号)中,风险评估分为自评估和检査评估两种形式,并对两种工作形势提出了有关工作原则和要求。下面选项中描述正确的是()

A.信息安全风险评估应以自评估为主,自评估和检查评估相互结合、互为补充

B.信息安全风险评估应以自评估为主,自评估和检查评估相互结合、互为补充

C.自评估和检查评估是相互排斥的,无特殊理由的单位均应选择检查评估,以保证安全效果

D.自评估和检查评估时相互排斥的,单位应慎重地从两种工作形式选择个,并长期使用

47.关于信息在 Windows系统中,存在默认共享功能,方便了局域网用户使用,但对个人用户来说存安全风险。如果电脑联网,网络上的任何人都可以通过共享使用或修改文件。小刘在装有 Windows xp系统的计算机上进行安全设置时,需要关闭默认共享。下列选项中,不能关闭默认共享的操作是()

A.将“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\enmanser ver \paraneters"项中的“ AutoshareWks"项键值改为0

B. 在命令窗口中输入命令,删除C盘默认共享: net share C/del

C.将“ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lenmanser ver \paraneters项中的“ Autoshareserver项键值改为0

D.将" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lenmanser ver \paraneters"项中的" Autodisconnect”项键值改为0

48. 信息保障技术框架（ IATF）是美国国家安全局（ NSA）制定的，为 保护美国政府和工业界的信息与信息技术设施提供技术指南，关于 IATF 的说法错误的是？

A.IATF的代表理论为“深度防御” 。

B.IATF强调人、 技术、操作这三个核心要素， 从多种不同的角度对信息系 统进行防护。

C.IATF关注本地计算环境、 区域边界、 网络和基础设施三个信息安全保障 领域SS。

D.IATF 论述了系统工程、系统采购、风险管理、认证和鉴定以及生命周 期支持等过程。

49. 入侵检测系统有其技术优越性，但也有其局限性，下列说法错误的是：

A 对用户只是要求高，配置、操作和管理使用过于简单，容易遭受攻击

B 高虚警率，入侵检测系统会产生大量的警告消息和可疑的入侵行为记录，用户处理负担加重

C 入侵检测系统，在应对自身攻击时，对其他数据的检测可能会被控制或者受到影响

D 警告消息记录如果不完整，可能无法与入侵行为关联

50. 某银行有 5 台交换机连接了大量交易机构的网络，如图所示，在基于以太网的通信中，A 要与 B 通信， A 必须先广播“RP 请求信息”获取 B 的物理地址。每到月底时用户发现该银行网络服务速度极慢，银行调 查后发现为当其中一台交换机收到 ARP 请求后会发送到除接收端口以外的其它所有端口，ARP 请求会被转 发到网络中的所有客户机上，为降低网络的消耗，将广播流限制在固定区域内，可以采取的技术是

A.VLAN 划分

B 动态分配地址

C 为路由交换设备修改默认口令

D 设立入侵防御系统

51. 王工是某某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，发现当前案例中共有 两个重要资产，资产 A1 和资产 A2，其中资产 A1 面临两个主要威胁，威胁 T1 和威胁 T2，而资产 A2 面临 一个主要威胁，威胁 T3。威胁 T1 可以利用资产 A1 存在的两个脆弱性，脆弱性 v1 和脆弱性 v2，威胁 T2 可以利用的资产 A1 存在的三个脆弱性，脆弱性 v3、脆弱性 v4 和脆弱性 v5，威胁 T3 可以利用的资产 A2 存在的两个脆弱性，脆弱性 v6、脆弱性 v7，根据上述条件，请问，使用相乘法时，应该为资产 A1 计算几 个风险值（）

A.6

B.5

C.3

D.2

52.2008年1月2日,美国发布第54号总统令,建立国家网络安全综合计划( Comprchensive NationalCybersecuity Initative, CNCI)。CNCI计划建立三道防线:第一道防线,减少漏洞和隐患,预防入侵;第二道防线,全面应对各类威胁;第三道防线,强化未来安全环境。从以上内容,我们可以看岀以下哪种分析是正确的

A.CNCI的目的是尽快研发并部署新技术和彻底改变其槽糕的网络安全现状,而不是在现在的网络基础上修修补补

B.CNCI彻底改变了以往的美国信息安全战略,不再把关键基础设施视为信息安全保障重点,而是追求所有网络和系统的全面安全保障

C.从CNCI可以看出,威胁主要是来自外部的,而漏洞和隐患主要是存在于内部的

D.CNCI是以风险为核心,三道防线首要的任务是降低其网络所面临的风险

53.随着信息技术的不断发展,信息系统的重要性也越来越突出,而与此同时,发生的信息安全事件也越来越多。综合分析信息安全问题产生的根源,下面描述正确的是()

A.信息安全问题产生的根源要从内因和外因两个方面分析,因为信息系统自身存在脆弱性,同时外部又有威胁源,从而导致信息系统可能发生安全事件。因此,要防范信息安全风险,需从内外因同时着手

B.信息安全问题的根本原因是内因、外因和人三个因素的综合作用,内因和外因都可能导致安全事件的发生,但最重要的还是人的因素,外部攻击者和内部工作人员通过远程攻击、本地破坏和内外勾结等手段导致安全事件发生。因此,对人这个因素的防范应是安全工作重点

C.信息系统面临诸多黑客的威胁,包括恶意攻击者和恶作剧攻击者。信息系统应用越来越广泛,接触信息系统的人越多,信息系统越可能遭受攻击。因此,避免有恶意攻击可能的人接触信息系统就可以解决信息安全问题

D.信息系统自身存在脆弱性是根本原因。信息系统越来越重要,同时自身在开发、部署和使用过程中存在的脆弱性,导致了诸多的信息安全事件发生。因此,杜绝脆弱性的存在是解决信息安全问题的根本所在

54. 下面对“零日（zero-day）漏洞”的理解中正确的是，

A 举一个特定的漏洞，该漏洞每年 1 月 1 日零点发作，可以被攻击者用来远程攻击，获取主机权限

B 举一个特定的漏洞，特指在 2010 年被发现出来的一种漏洞，该漏洞被“震网”病毒所利用，用来攻击 伊朗布什尔核电站基础设施

C 指一类漏洞，即特别好被利用，一旦成功利用该漏洞，可以在一天内完成攻击，且成功达到攻击目标

D 指一类漏洞，即刚被发现后立即被恶意利用的安全漏洞，一般来说，那些已经被小部分人发现，但是还 未公布，还不存在安全补丁的漏洞都是零日漏洞

55.小王在学习信息安全管理体系相关知识之后,对于建立信息安全管理体系,自己总结了下面四条要求,其中理解不正确的是()

A.信息安全管理体系的建立应参照国际国内有关标准实施,因为这些标准是标准化组织在总结研究了很多实际的或潜在的问题后,制定的能共同的和重复使用的规则

B.信息安全管理体系应强调全过程和动态控制的思想,因为安全问题是动态的,系统所处的安全环境也不会成不变的,不可能建设永远安全的系统

C.信息安全管理体系应体现科学性和全面性的特点,因为要对信息安全管理设计的方方面面实施较为均衡的管理,避兔遗漏某些方面而导致组织的整体信息安全水平过低

D.信息安全管理体系的建立应基于最新的信息安全技术,因为这是国家有关信息安全的法律和法规方面的要求,这体现以预防控制为主的思想