谁考过CISP啊，好考吗？都考什么啊？

CISP模拟练习题3：

1.以下对异地备份中心的理解最准确的是
D.与生产中心面临相同区域性风险的机率很小
答案(d)答题解析： 答案为 D，建立异地备份中心的核心思想是减少相同区域性风险。

2.信息安全工程作为信息安全保障的重要组成部门，主要是为了解决
C.信息系统生命周期的过程安全问题
答案© 答题解析： 信息安全工程作为信息安全保障的重要组成部门，主要是为了解决信息系统生命周期的过程安全问题。

3.不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根
据各自的实际情况选择适当的风险评估方法。下面的描述中错误的是（）
B.定量风险分析相比定性风险分析能得到准确的数值，所以在实际工作中应使用定量
风险分析，而不应选择定性风险分析
答案(b) 答题解析： 实际工作中根据情况选择定量、定性或定量与定性相结合。

4.假设一个系统已经包含了充分的预防控制措施，那么安装监测控制设备
C.是可选的，可以实现深度防御
答案© 答题解析： 正确为 C

5.以下哪一项在防止数据介质被滥用时是不推荐使用的方法
D.用快速格式化删除存储介质中的保密文件
答案(d)答题解析：快速格式化删除存储介质中的保密文件不能防止信息泄露。快速格式化只
是删除了文件索引，并没有真正的删除文件，可以通过工具进行恢复。

6.下列哪一种方法属于基于实体“所有”鉴别方法
D.用户使用集成电路卡(如智能卡)完成身份鉴别
答案(d) 答题解析： 实体所有鉴别包括身份证、IC 卡、钥匙、USB-Key 等

7.鉴别的基本途径有三种：所知、所有和个人特征，以下哪一项不是基于你所知道的
B.令牌
答案(b) 答题解析： 令牌是基于实体所有的鉴别方式

8.某公司系统管理员最近正在部署一台 Web 服务器，使用的操作系统是 windows，
在进行日志安全管理设置时，系统管理员拟定四条日志安全策略给领导进行参考，其
中能有效应对攻击者获得系统权限后对日志进行修改的策略是
A.网络中单独部署 syslog 服务器，将 Web 服务器的日志自动发送并存储到该 syslog
日志服务器中
答案(a) 答题解析： 在多重备份存储情况下，可以防护日志被篡改的攻击（前提非实时同步）。

9.从系统工程的角度来处理信息安全问题，以下说法错误的是
C.系统安全工程能力成熟度模型(SSE-CMM)是一种衡量安全工程实践能力的方法，是
一种使用面向开发的方法。
答案© 答题解析： SSE-CMM 是面向工程过程质量控制的一套方法。

10.以下对于信息安全事件理解错误的是
D.通过部署信息安全策略并配合部署防护措施，能够对信息及信息系统提供保护，杜
绝信息安全事件的发生
答案(d) 答题解析： 安全事件无法杜绝。

11.与 PDR 模型相比，P2DR 模型多了哪一个环节?（ ）
D.策略
答案(d) 答题解析： PPDR 是指策略、保护、检测和反应（或响应）。PPDR 比 PDR 多策略

12.下列对于信息安全保障深度防御模型的说法错误的是
D.信息安全技术方案：“从外而内、自下而上、形成边界到端的防护能力”
答案(d)答题解析：正确描述是从内而外，自上而下，从端到边界的防护能力。

13.有关系统安全工程-能力成熟度模型(SSE-CMM)，错误的理解是
C.基于 SSE-CMM 的工程是独立工程，与软件工程、硬件工程、通信工程等分别规划
实施
答案© 答题解析： SSE-CMM 是系统工程，不可以独立实施。

14.信息系统安全工程(ISMS)的一个重要目标就是在 IT 项目的各个阶段充分考虑安全因
素，在 IT 项目的立项阶段，以下哪一项不是必须进行的工作
D.通过测试证明系统的功能和性能可以满足安全要求答案(d)
答题解析： D 属于项目的验收阶段，不属于 IT 项目的立项阶段，题干属于立项阶段。

15.在实施信息安全风险评估时，需要对资产的价值进行识别、分类和赋值，关于资产
价值的评估，以下选项中正确的是
C.资产的价值与其重要性密切相关
答案© 答题解析： 答案为 C。

16.为推动和规范我国信息安全等级保护工作，我国制定和发布了信息安全等级保护工
作所需要的一系列标准，这些标准可以按照等级保护工作的工作阶段大致分类。下面
四个标准中，（）规定了等级保护定级阶段的依据、对象、流程、方法及等级变更等
内容。
B.GB／T 22240-2008《信息系统安全保护等级定级指南》
答案(b) 答题解析： 答案为 B。

17.微软 SDL 将软件开发生命周期制分为七个阶段，并列出了十七项重要的安全活动。
其中“弃用不安全的函数”属于（）的安全活动
C.实施阶段
答案© 答题解析： 七个阶段为培训，要求，设计，实施，验证，发布和响应，弃用不安全的函数为编码实施阶段。

18.关于我国加强信息安全保障工作的主要原则，以下说法错误的是
D.全面提高信息安全防护能力，保护公众利益，维护国家安全
答案(d) 答题解析： D 描述的是信息安全保障工作目标；ABC 描述的是信息安全保障的原则。

19.下面的角色对应的信息安全职责不合理的是
B.信息安全部门主管——提供各种信息安全工作必须的资源
答案(b)
答题解析： 通常由管理层提供各种信息安全工作必须的资源。

20.关于信息安全事件管理和应急响应，以下说法错误的是
B.应急响应方法，将应急响应管理过程分为遏制、根除、处置、恢复、报告和跟踪 6
个阶段
答案(b)答题解析： 应急响应的六个阶段是准备、检测、遏制、根除、恢复、跟踪总结。