信息安全管理体系习题.doc

. .信息平安管理体系培训习题汇编目录练习题一单项选择题.1练习题二多项选择题19练习题三判断题.27练习题四案例分析题.29ISMS 测验一.35ISMS 测验二.49ISMS测验三.52练习题一参考答案.60练习题二参考答案.61练习题三参考答案.61练习题四参考答案.62ISMS测验一参考答案.63ISMS测验二参考答案.64ISMS测验三参考答案.64. .word.zl. .练习题一单项选择题从下面各题选项中选出一个最恰当的答案，并将相应字母填在下表相应位置中。1、ISMS文件的多少和详细程度取于D(A)组织的规模和活动的类型 (B)过程及其相互作用的复杂程度(C)人员的能力 (D) A+B+C2、对于所釘拟定的纠正和预防措施，在实施前应通过 B 过程进展评审。(A)薄弱环节识别B)风险分析(C)管理案D A+C (E) A+B3、组织机构在建立和评审ISMS时，应考虑E (A)风险评估的结果B管理案(C)法律、法规和其它要求D A+B (E) A+C4、ISMS管理评审的输出应包括(C )(A)可能影响ISMS的任变更(B)以往风险评估没有充分强调的脆弱点或威胁C)风险评估和风险处理方案的更新(D)改进的建议5、在信息平安管理中进展B ，可以有效解决人员平安意识薄弱问题。(A)容监控 (B)平安教育和培训(C)责任追查和惩罚 (D)访问控制. .word.zl. .6、经过风险处理后遗留的风险是( D )A重大风险 (B)有条件的承受风险C不可承受的风险D剩余风险7、( A )是指系统、效劳或网络的一种可识别的状态的发生，它可能是对信息平安策略的违反或防护措施的失效，或是和平安关联的一个先前未知的状态。A)信息平安事态B)信息平安事件C)信息平安事故D)信息平安故障8、系统备份与普通数据备份的不同在于，它不仅备份系统屮的数据，还备份系统中安装的应用程序、数据库系统、用户设置、系统参数等信息，以便迅速 D。A恢复全部程序B)恢复网络设置C恢复所有数据 (D)恢复整个系统9、不属于计算机病毒防治的策略的是 D A确认您手头常备一真正“干净的引导盘B及时、可靠升级反病毒产品C新购置的计算机软件也要进展病毒检测D整理磁盘10、抵御电子入侵措施中，不正确的选项是( D)A不用生日做密码B不要使用少于5位的密码C不要使用纯数字D自己做效劳器11、不属于常见的危险密码是DA跟用户名一样的密码B使用生日作为密码C只有4位数的密码D10位的综合型密码12、在每天下午5点使计算机完毕时断开终端的连接属于 AA外部终端的物理平安B通信线的物理平安C窃听数据D网络地址欺骗13、不属于WEB效劳器的平安措施的是 D (A)保证注册XX的时效性 (B)删除死XX (C )强制用户使用不易被破解的密码 (D)所有用户使用一次性密码14、1999年，我国发布的第一个信息平安等级保护的标准GB 17859-1999，提出将信息系统的平安等级划分为 D个等级，并提出每个级别的平安功能要求。A) 7 (B) 8 (C) 6 (D) 515、文件初审是评价受审ISMS文件的描述与审核准那么的D A)充分性和适宜性B)有效性和符合性C)适宜性、充分性和有效性D)以上都不对16、在认证审核时，一阶段帝核是C(A)是了解受审ISMS是否正常运行的过程 (B)是必须进展的 (C)不是必须的过程 (D)以上都不准确17、末次会议包括DA请受审核确认不符合报告、并签字B向审核递交审核报告C双就审核发现的不同意见进展讨论D以上都不准确18、审核组长在末次会议上宣布的审核结论是依据E得出的。( A)审核目的 ( B)不符合项的重程度(C)所有的审核发现 (D) A+B (E) A+B+C19、将收集到的审核证据对照 C进展评价的结果是审核发现。(A)GB/T 22080标准B法律、法规要求(C)审核准那么D)信息平安管理体系文件20、审核准那么有关的并且能够证实的记录、事实述或其他信息称为BA信息平安信息B)审核证据C检验记录D)信息源21、现场审核吋间应该包括B(A)文件评审时间B)首、末次会议的时间(C)编写审核报告的时间D)午餐时间22、在第三认证审核时，C不是审核员的职责。(A)实施审核B)确定不合格项(C)对发现的不合格项采取纠正措施(D)验证受审核所采取纠正措施的有效性23、审核的工作文件包括D。(A)检杳表B)审核抽样方案(C)信息记录表格D) a+b+c24、在市核中发现了正在使用的某个文件，这是B。(A)审核准那么B)审核发现(C)审核证据D)車核结论25、以下说法不正确的选项是C。A审核组可以由一名或多名审核员组成B至少配备一名经认可具有专业能力的成员C实习审核员可在技术专家指导下承担审核任务D审核组长通常由高级审核员担任26、现场审核的完毕是指A。(A)末次会议完毕B)对不符合项纠正措施进展验证后(C)发了经批准的审核报告时D)监视审核完毕27、信息平安管理体系中提到的“资产责任人是指：C(A)对资产拥有财产权的人。B)使用资产的人。(C)有权限变更资产平安属性的人。D)资产所在部门负责人。28、组织应给予信息以适当级别的保护，是指：B (A)应实施尽可能先进的保护措施以确保其XX性。 (B)应按信息对于组织业务的关键性给予充分和必要的保护。 (C)应确保信息对于组织的所有员工可用。 (D)以上都对。29、认证审核时，审核组应：A(A)在审核前将审核方案提交受审核确认。(B)在审核结朿时将帘核方案提交受屯核确认。(C)随着审核的进展与受审核共同确认审核方案。(D)将审核方案提交审核委托批准即可。30、考虑设备平安是为了：D(A)防止设备丧失、损坏带来的财产损失。(B)有序保障设备维修时的备件供应。(C)及时对设备进展升级和更新换代。(D)控制资产的丧失、损坏、失窃、危及资产平安以及组织活动中断的风险。31、信息处理设施的变更管理不包括：D)(A)信息处理设施用途的变更。(B)信息处理设施故障部件的更换。(C)信息处理设施软件的升级。(D)以上都不对。32、定期备份和测试信息是指：C(A)每次备份完成吋对备份结果进展检査，以确保备份效采。(B)对系统测试记录进展定期备份。(C)定期备份，定期对备份数据的完整性和可用性进展测试。(D)定期检查备份存储介质的容量。33、 一个组织或平安域所有信息处理设施；已设准确时钟源同步是为了：B(A)便于针对使用信息处理设施的人员计算工时(B)便于探测未经授权的信息处理活动的发生(C)确保信息处理的及时性得到控制(D)人员异地工作时统一作息时间。34、第三认证审核时，对于审核提出的不符合项，审核组应：B)(A)与受审核共同评审不符合项以确认不符合的条款。(B)与受审核共同评审不符合项以确认不符合事实的准确性。(C)与受审核共同评审不符合以确认不符合的性质。(D)以上都对。35、为防止对网络效劳的未授权访问，组织应：A)(A)制定平安策略，确保用户应仅能访问已获专门授权使用的效劳。(B)制止部人员访问互联网。(C)制止外部人员访问组织局域网。(D)以上都对。36、组织应进展平安需求分析，规定对平安控制的要求，由(D)(A)组织需建立新的信息系统时；(B)组织的原有信息系统扩容或升级时；(C)组织向顾客交付软件系统时；(D)A+B37、确定资产的可用性要求须依据：A(A)授权实体的需求。 (B)信息系统的实际性能水平。(C)组织可支付的经济本钱。 (D)最高管理者的决定。38、剩余风险是：C(A)低于可承受风险水平的风险。 (B)高于可承受风险水平的风险。(C)经过风险处置后剩余的风险。 (D)未经处置的风险。39、对于经背性互联网信息效劳实施：B(A)备案制度。 (B)可制度。(C)行政监管制度。 (D)备案与行政监管相结合的管理制度。40、网络路由控制应遵从：C(A)端到端连接最短路径策略；(B)信息系统应用的最正确效率策略；(C)确保计算机连接和信息留不违反业务应用的访问控制策略；(D)A+B+C041、认证审核初审时，可以不进展第一阶段现场审核的条件之一是：B(A)审核组考虑时间效率可用一个阶段审核完成所有的审核准那么要求。(B)审核组长己充分了解受审核的信息平安管理过程。(C)受审核认为一个阶段的审核能完成全部的审核要求。(D)不允第一阶段不进展现场审核的情况。42、对于第三效劳提供，以下描述正确的选项是：B(A)为了监视和评审第三提供的效劳，第三人员提供效劳时应有人员全程陪同。(B)应定期度量和评价第三遵从商定的平安策略和效劳水平的程度。(C)第三效劳提供应有符合ITIL的流程。(D)第三效劳的变更须向组织呈报以备案。43、为了确保布缆平安，以下正确的做法是：D(A)使用同一电缆管道铺设电源电缆和通信电缆。(B)网络电缆采用明线架设，以便于探查故障和维修。(C)配线盘应尽量放置在公共可访问区域，以便于应急管理。(D)使用配线标记和设备标记，编制配线列表。44、针对获证组织扩大围的审核，以下说确的是：AC(A)可以和监视审核起进展。 (B)是监视审核的形式之一。(C)一种特殊审核。 (D)以上都对。45、对于针对信息系统的软件包，以下说确的是：B(A)组织应具有有能力的人员，以便随吋对软件包进展适出性修改。(B)应尽量劝阻对软件包实施变更，以躲避变更的风险。(C)软件包不必作为配置项进展管理。(D)软件包的安装必须由其开发商实施安装。46、以下不属于信息平安事态或事件的是：D(A)效劳、设备或设施的丧失 (B)系统故障或超负载(C)物理平安要求的违规 (D)平安策略变更的临时通知47、以下可认定为审核围变更的事项是：D(A)受审核组织增加一个制造场所。 (B)受审核组织职能单元和人员规模增加。(C)受审核组织业务过程增加。 (D) 以上全部。48、在认证审核时，审核组在现场有权限自行决定变更的事项包括：C(A)帘核准那么 (B)审核人日数(C)审核路线 (D)应受审核的业务过程49、审核员的检查表应：B(A)事先提交受审核评审确认。(B)基于审核准那么事先编制。(C)针对不同的受审核组织应统一格式和容。(D)由审核组长负责编制审核组使用的检查表。50、以下属于信息平安管理体系审核发现的是(C)(A)审核员看到的物理入口控制式B审核员看到的信息系统资源阈值(C)审核员看到的移动介质的使用与平安策略的符合性(D)审核员看到的工程质量保证活动与CMMI规程的符合性51、审核组中的技术专家是：A(A)为审核组提供文化、法律、技术等面知识咨询的人员。(B)特別负责对受审核的专业技术过程进展审核的人员。(C)审核期间为受审核提供技术咨询的人员。D从专业的角度对审核员的审核进展观察评价的人员。52、审核人日数的计算式是审核天数乘以：C(A)审核组中审核员+实习审核员+技术专家+观察员的总人数(B)审核组中审核员+实习审核员的总人数(C)审核组中审核员的总人数(D)审核组屮审核员+实审核员+技术专家的总人数53、信息平安管理体系初次认证审核时，第一阶段审核应：(D)(A)对受审核信息安企管理体系的筹划进展审核和评价，对应GB/T22080-2021的 4.2.1条要求。(B)对受审核信息平安管理体系的部审核及管理评审的有效性进展审核和评价。(C)对受审核信息平安管理体系文件的符合性、适宜性和有效性进展审核和评价。(D)对受审核信息平安管理体系文件进展审核和符合性评价。54、按照“PDCA思路进展审核，是指：(A)(A)按照受审核区域的信息平安管理活动的"PDCA"过程进展审核。(B)按照认证机构的“PDCA流程进展审核。(C)按照认可规中规定的“PDCA流程进展审核。(D)以上都对。55、关于审核结论，以下说确的是：D(A)审核组综合了所有审核证据进展合理推断的结果。(B)审核组综合了所有审核证据与受审核充分协商的结果。(C)审核组权衡了不符合的审核发现的数量及重程度后得出的结果。(D)审核组考虑了审核目的和所有审核发现后得出的审核结果。56、第三认证审核时确定审核围的程序是：(B)(A)组织提出、与审核组协商、认证机构确认、认证合同规定(B)组织申请、认证机构评审、认证合同规定、审核组确认(C)组织提出、与咨询机构协商、认证机构确认(D)认证机构提出、与组织协商、审核组确认、认证合同规定57、审核报告是：C(A)受审核的资产。 (B)审核委托和受审核的共同资产。(C)审核委托的资产。 (D)审核组和审核委托的资产。58、认证审核前，审核组长须与受审核确认审核的可行性，特别应考虑：A(A)核实组织申请认证围需承受审核的组织构造、场所分布等根本信息。(B)注总审核的程序性安排事先应对受审核组织XX。(C)注意审核拟访问的文件、记录、场所等事先应对受审核组织XX。(D)要求受审核组织做好准备向审核组开放所有信息的访问权。59、信息平安管理体系认证审核时，为了获取审核证据，应考虑的信息源为：D)(A)受审核的办公自动化系统管理与维护相关的过程和活动。(B)受审核场所已确定为涉及秘密的相关过程和活动。(C)受审核的核心财务系统的管理与维护相关的过程和活动。(D)受审核中请认证_的业务过程和活动。60、认证审核时，审核组拟抽査的样本应：B(A)山受审核熟悉的人员事先选取，做好准备。(B)由审核组明确总体并在受控状态下独立抽样。(C)由审核组和受审核人员协商抽样。(D)由受审核安排的向导实施抽样。61、认证审核期间，当审核证据说明审核目的不能实现时，审核组应D(A)起讨论，决定后续措施。 (B)审核组长权衡，决定后续措施。(C)由受审核决定后续措施。 (D)报告审核委托并说明理由，确定后续措施。62、认证审核时，对于审核组提出的不符合审核准那么的审核发现，以下说确的是B(A)受审核负责采取纠正措施，纠正措施的实施是审核活动的一局部。(B)审核组须验证纠正措施的有效性，纠正措施的实施不是审核活动的一局部。(C)审核组须就不符合项的原因分析提出建议，确定纠正措施是否正确。(D)采取纠正措施是受审核的职责，审核组什么都不做。63、信息平安管理体系认证过程包含了：D(A)现场审核首次会议开场到末次会议完毕的所有活动。(B)从审核准备到审核报告提交期间的所有活动。(C)一次初审以及至少2次监视审核的所有活动。(D)从受理认证到证书到期期间所有的审核以及认证效劳和管理活动。64、第三认证时的监视审核不一定是对整个体系的审核，以下说确的是：D(A)组织获得认证围的职能区域可以抽查，但标准条款不可以抽查。(B)组织获得认证围的业务过程可以抽沓，但职能区域不可以抽杳。(C)组织获得认证围的业务过程和职能区域都不可以抽查，仅标准条款可以抽杳。(D)标准条款可以抽查，但针对审和管理评审以及持续改进面的审核不可缺少。65、设立信息平安管理体系认证机构，须得到以下哪个机构的批准，可在中国境从事认证活动：( B )(A)中国合格评定认可委员会(B)屮国认证认可监视管理委员会(C)中国认证认可协会(D)工商注册管理部门66、信息平安等级保护采取AA自主定级、自主保护的原那么。BXX部门定级、自主保护的原那么。C公安部门定级、自主保护的原那么。DXX部门定级、公安部门监视保护的原那么。67、信息平安管埋体系是指：C(A)信息系统设施 (B)防火墙(C)组织建立信息平安针和目标并实现这些目标的体系(D)网络维护人员的工作的集合68、信息平安管理体系可以:D (A)帮助组织实现信息平安目标B)提供持续改进的框架 (C)向组织和顾客提供信任D) a+b+c69、系统的识别和管理组织所应用的过程，特别是这些过程之间的相互作用，称为：D) (A)管理的系统法B)信息平安管理体系法 (C)过程法D)以事实为根底的决策法70、以下措施中，哪些是风险管理的容：D (A)识别风险B)风险优先级评价 (C)风险化解D)以上都是71、与审核准那么有关的并且能够证实的记录、事实述或其它信息称为：A (A)审核证据B)平安信息 (C)记录D) a+b+c72、选择的控制目标和控制措施、以及选择的原因应记录在以下那个文件中：C (A)平安针B)风险评估报告 (C)适用性声明D)风险处置方案73、风险处置方案应该包含：(D (A)管理措施B)资源需求 (B)职责分配D) a+b+c74、实施第三信息平安管理体系审核，主要是为了：(D)(A)发现尽可能多的不符合项(B)检测信息平安产品质量的符合性(C)建立互利的供关系(D)证实组织的信息平安管理体系符合已确定的审核准那么的程度要求75、文件在信息平安管理体系中是一个必须的耍素，文件有助于：(CD) (A)审核员进展文件审查B)评价体系的有效性 (C)确保可追溯性D) b+c76、ISO/IEC27001 是(AD) (A)以信息平安为主题的管理标准B)与信息平安相关的技术性标准 (C)编制业务连续性方案的指南D)以上都不是77、网页防篡改技术的0的是保护网页发布信息的：B)A)XX性B)完整性C)可用性(D)以上全部78、标准GB/T22080中"物理平安边指的是：D(A)组织的建筑物边界B)计算机机房出入口 (C)组织的前台接待处D)含有信息和信息处理设施的区域边79、标准GB/T22080中所措资产的价值取决于：BA)资产的价格B)资产对于业务的敏感程度C)资产的折损率D)以上全部80、对一段时间发生的信息平安事件类型、频次、处理本钱的统计分析AA)属于事件管理B)属于问题管理C)属于变更管理D)属于配置管理81、在组织的整体业务连续性管理过程中应考虑(A).(A)信息平安的需求B)问题管理的需求(C)变更管理的需求D)配置管理的需求82、下面哪一种平安技术是鉴别用户身份的最好法：B)A)智能卡B)生物测量技术(C)挑战-响应令牌D)用户身份识别码和口令83、最正确的提供本地效劳器上的处理工资数据的访问控制是：C(A)记录每次访问的信息(B)对敏感的交易事务使用单独的密码/口令(C)使用软件来约束授权用户的访问(D)限制只有营业时间才允系统访问84、当方案对组织的远程办公系统进展加密吋，应该首先冋答下面哪一个问题?(D)A什么样的数据属于XX信息B员工需要访问什么样的系统和数据C需要什么样类型的访问D系统和数据具有什么样的敏感程度85、下面哪一种属于网络上的被动攻击CD (A)消息总改B)伪装C拒绝效劳D)流量分析86、虚拟专用网VPN)提供以下哪一种功能？BA对网络嗅探器隐藏信息B强制实施平安策略C检测到网络错误和用户对网络资源的滥用D制定访问规那么87、在本地效劳器上不启动动态主机配置协议DHCP)，可以：A(A)降低未授权访问网络资源的风险 (B)不适用于小型网络(C)能自动分配IP地址 (D)增加无线加密协议WEP)相关的风险练习题二多项选择题从下面各题选项中选出两个或两个以上最恰当的答案，并将答案填在下表相应位置中。1、在信息平安事件管理中，AC是所有员工应该完成的活动。 (A)报告平安面的漏洞或弱点B)对漏洞进展修补 (C)发现并报告平安事件D)发现立即处理平安事件2、信息系统平安保护法律规的根本原那么是ACD(A)谁主管谁负责的原那么B)全面管理的原那么(C)预防为主的原那么D)风险管理的原那么3、以下说确的是AC(A)信息网络的物理平安要从环境平安和设备平安两个角度来考虑。(B)计算机场地可以选择在化工厂生产车间附近。(C)计算机场地在正常情况下温度保持在1828摄氏度。(D)机房供电线路和动力、照明用电可以用同一线路。4、标准GB/T22080中“支持性设施指的是：(ABCD)AUPS电源B)电力设施C)空调系统D)消防设施5、信息平安的符合性检查包括：ABCA法律法规符合性B)技术标准符合性 (C)平安策略符合性D)部审核活动6、基于风险的考虑，组织应予以管理的第三效劳的变更包括ACD(A)效劳级别的变更 (B)第三后台效劳流程的变更(C)效劳定义的变更 (D)效劳提供人员的变更7、( ABCD)是建立有效的计算机病毒防御体系所需要的技术措施。(A)防火墙B)补丁管理系统 (C)网络入侵检测D)杀毒软件E)漏洞扫描8、审核围确实定应考虑：BCD。(A)组织的管理权限(B)组织的活动领域(C)组织的现场区域(D)覆盖的时期9、审核原那么是审核员从事审核活动应遵循的根本要求，以下什么是审核员应遵循的原那么(ABCDA道德行为B)保守XXC公正表达D)职业素如 (E)独立性10、根据发布的<认证及认证培训咨询人员管埋方法>规定,以下哪些人员不得在一个认证机构从事认证活动 ABCD。(A)已经在另外一个认证机构从事认证活动的人员(B)公务员(C)从事认证咨询活动的人员(D)已经与认证咨询机构签订合同的认证咨询人员11、信息平安管理体系认证审核的围即CD。A组织的全部经营管理围。B组织的全部信息平安管理围。C组织根据其业务、组织、位置、资产和技术等面的特性确定信息安企管理体系围。D组织承诺按照GB/T22080标准要求建立、实施和保持信息平安管理体系的围。12、为防止业务中断，保护关键业务过程免受信息系统失误或灾难的影响，应ABD。A定义恢复的优先顺序；B定义恢复时间指标；C按事件管理流程进展处置；D针对业务中断进展风险评估。13、信息平安管理体系认证是：ABC。A与信息平安管理体系有关的规定要求得到满足的证实活动。B对信息系统是否满足有关的规定要求的评价。C信息平安管理体系认证是合格评定活动的一种。D是信息平安风险管理的实施活动。14、以下符合“责任分割原那么的做法是：BCD。A不同职级人员工作区域隔离。B保持平安审核人员的独立性。C授权者、操作者和监视者三者责任别离。D事件报告人员与事件处理人员职责别离。15、访问信息系统的用户注册的管理是：AB。A对用户访问信息系统和效劳的授权的管理。B对用户予以注册时须同时考虑与访问控制策略的一致性。 (C)当ID)资源充裕时可允用户使用多个ID) (D)用户在组织变换丁.作岗位吋不必重新评审其所用ID)的访问权。16、对于用户访问信息系统使用的口令，以下说确的是：CD。A口令必须定期更换。B同一工作组的成员可以共享口令。C如果使用生物识别技术，可替代口令。D如果使用智能卡鉴别技术，可替代U令。17、可以通过使用适宜的加密技术实现的平安目标包括：ABCD。A信息的XX性B信息的完整性C信息的真实性D信息的抗抵赖性18、信息平安管理体系审核的抽样过程是:( ACD)。A调查性质的抽样。B验收性质的抽样。C通过对样本的评价来推断总体。D有弃真的风险和取伪的风险。19、关于商用密码技术和产品，以下说确的是：BCD。A任组织不得随意进口密码产品，但可以出口商用密码产品。B商用密码技术属于秘密。C商用密码是对不涉及秘密的容进展加密保护的产品。D商用密码产品的用户不得转让其使用的商用密码产品。20、可被视为可靠的电子签名须同时符合以下条件：ABCD。A电子签名制作数据用于电子签名时，属于电子签名人专有。B签署时电子签名制作数据仅由电子签名人控制。C签署后对电子签名的任改动能够被发现。D签署后对数据电文容和形式的任改的那个能够被发现。21、降低风险的处置措施可以是ABA降低某项威胁发生的可能性B降低某项威胁导致的后果重程度C杜绝某项威胁的发生的可能性D杜绝威胁导致的后果22、以下说确的是：ABDA应考虑组织架构与业务目标的变化对风险评估结果进展再评审。B应考虑以往未充分识别的威胁对风险评估结果进展再评审。C制造部增加的生产场所对信息平安风险无影响。D平安方案应适时更新。23、信息系统审计需考虑：ABA信息系统审计的控制措施B信息系统审计工具的保护C技术符含性核查D知识产权24、从平安的角度来看，能提前做好平安防准备的组织，对平安事件的处理不恰当的是( ABD )A较高的本钱，较小的事件，较慢的恢复B中等本钱，中等的事件，屮等速度的恢复C较低的本钱，较小的事件，较快的恢复D较高的本钱，较大的事件，较快的恢复25、使用电子通信设施进展信息交换的规程和控制宜考虑ABCD)A电子通信设施可承受使用的策略或指南B检测和防止可能通过使用电子通信传输的恶意代码的规程C维护数据的授权承受者的正式记录D密码技术的使用26、 应用完毕时终止活动的会话，除非采种合造的锁定机制保证其平安，符合信息平安的 ABCD措施A使用网络效劳的策略B)清空桌雨和屏幕策略C无人值守的用P设备D)使用密码的控制策略27、在网络访问控制中，对外部连接的用户鉴别时，宜考虑：( ABD )A回拨规程B硬件令牌或询问C使用回拨调制解调器控制措施，可以使用呼叫转发的网络效劳D基于密码技术的法28、关于口令管理系统，描述正确的有：(ABC)A口令是确认用户具有访问计算机效劳的授权的主要手段之一B维护用户以前使用的口令的记录，并防止重复使用C分开存储口令文件和应用系统数据D不允用户变更自己的口令29、开发和支持过程中的平安，包括：( ABCD )A变更控制规程B)操作系统变更后应用的技术评审C对程序源代码的访问控制D)软件包变更的限制30、对技术符合性进展核查，假设使用渗透测试或脆弱性评估时：ABC(A)测试宜预先方案，并形成文件B)需要专业技术专家执行C方案可重复执行D)可以代替风险评估31、在业务连续性管理过程中的关键要素包括：BDA确保人员的平安、信息处理设施和组织财产得到保护B定期测试和更新已有的方案和过程C调整或增加访问控制措施D识别关键业务过程中涉及的所有资产32、对程序源代码访问控制的目的包括：ABCDA防止无意识的变更B)以减少潜在的计算机程序的破坏C以防引入非授权功能D)维护所有软件更新的版本控制33、应用系统的设计与实施宜确保导致完整性损坏的处理故障的风险减至最小，要考虑的特定围包括：ABCDA确认系统生成的输入数据B使用添加、修改和删除功能，以实现数据变更C使用适当的规程恢复故障，以确保数据的正确处理D防利用缓冲区超出/益处进展的攻击34、与信息处理或通信系统的问题有关的用户或系统程序所报告的故障进展处置，处置规那么包括：ABCA评审纠正措施，以及所采取措施给予了充分的授权B评审故障日志，以确保故障已得到令人满意的解决C如果具有出错记录的系统功能，宜确保该功能处于开启状态D评审纠正措施，以确保没有损害控制措施练习题四案例分析题请对以下场景进展分析，写出不符合标准条款的编号及容，并写出不符合事实。1、审査某知名的总部时，审核员来到公司列室发现任客户可以随意进入，并且该列室中有5 台演示用的台式电脑可以连接外网和网，现场有参观人员正在上网查询该公司的资料。A11.4.62、 市核员在审核公司设备和网络操作机房时发现，作为公司资料和数据的中心，中心有程序文件GX28) 规定必须对进出机房人员进展控制，除授权工作人员可凭磁卡进出外，其余人员进出均须办理准入和登记手续。现场发现未经授权的人员XX进出机器和网络操作机房，却没有任登记记录，工作人员解释说是供应商正在调试网络设备。A9.1.23、 审核员扫描XX公司的网络，发现在用软件只有很少的计算机打了补丁程序，并且运行的操作系统上的多数软件是网络下载，多数是免费版本，现场管理人员认为下载的软件都是从知名上下载的,不会有问题。4.2.1D34、 xx银行在2021年一季度发生了10起开通网上转帐客户的资金损失事故，最后银行成认密码系统设计太简单，并赔偿客户损失。但在2021年45月又发生7起类似事故,系统管理说：“我们目前也没有方法，只能赔款了。A13.2.25、 审核员在现场审核吋发现公司存有一份软件淸单，当询问淸单上所列的软件足否都是通过正规途径购置的软件，管理员答复有的是到正规商店，有的是通过网络购置的。A10.2.16、 审核员来到某软件开发公司进展审核时，来到计算机机房时发现，公司的效劳器、数据库均在，中心部设置有前、后两个门，前门有门禁系统，只有授权人员凭门卡能进入，而后门那么锁住了，当询问谁有钥匙，机房主管答复：前门口保安有。当来到前门门岗时，发现钥匙挂在保安办公室的钥匙箱，而该钥匙箱没有锁，保安主管说：有需要的时候任人可以翻开取钥匙且不用办理登记手续。A9.1.27、审核员在公司的资产登记表中发现，公司于年初将一批2003年购置的电脑特价处理给员工，这些电脑原用于核心业务系统。当询问系统管理员是否在出售前进展了格式化处理，该系统管理员说：“由于当时新进了多新的电脑设备，需要安装调试，没空处理老的电脑，再