2022年第一期信息安全管理體系CCAA審核員考試題目一、單項選擇題1、在以下認為的惡意攻擊行為中，屬于主動攻擊的是()A、數據竊聽B、誤操作C、數據流分析D、數據篡改2、GB/T22080-2016中所指資產的價值取決于（）A、資產的價格B、資產對于業務的敏感程度C、資產的折損率D、以上全部3、關于內部審核下面說法不正確的是(）。A、組織應定義每次審核的審核準則和范圍B、通過內部審核確定ISMS得到有效實施和維護C、組織應建立、實施和維護一個審核方案D、組織應確保審核結果報告至管理層4、（）是建立有效的計算機病毒防御體系所需要的技術措施A、補丁管理系統、網絡入侵檢測和防火墻B、漏洞掃描、網絡入侵檢測和防火墻C、漏洞掃描、補丁管理系統和防火墻D、網絡入侵檢測、防病毒系統和防火墻5、依據《中華人民共和國網絡安全法》應予以重點保護的信息基礎設施，指的是()A、一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施B、一旦遭到破壞、數據泄雷，可能嚴重危害國家安全、國計民生的信息基礎設施C、一旦遭到破壞、數據泄露，可能危害國家安全、國計民生的信息基礎設施D、—旦遭到破壞、數據泄露，可能危害國家安全、國計民生、公共利益的網絡系統6、測量控制措施的有效性以驗證安全要求是否被滿足是（）的活動。A、ISMS建立階段B、ISMS實施和運行階段C、ISMS監視和評審階段D、ISMS保持和改進階段7、組織的風險責任人不可以是（）A、組織的某個部門B、某個系統管理員C、風險轉移到組織D、組織的某個虛擬小組負責人8、設置防火墻策略是為了(）A、進行訪問控制B、進行病毒防范C、進行郵件內容過濾D、進行流量控制9、容災的目的和實質是（）A、數據備份B、系統的C、業務連續性管理D、防止數據被破壞10、IT服務中"升級"是（）A、服務等級的升級B、問題管理向變更管理升級C、將事件、問題升級為更高職能的人員或部門處理D、事件管理向問題管理升級11、在ISO組織框架中，負責ISO/IEC27000系列標準編制工作的技術委員會是（）A、ISO/IECJTC1SC27B、ISO/IECJTC13C40C、ISO/IECTC27D、ISO/IECTC4012、TCP/IP協議層次結構由（）A、網絡接口層、網絡層組成B、網絡接口層、網絡層、傳輸層組成C、網絡接口層、網絡層、傳輸層和應用層組成D、其他選項均不正確13、組織應（）A、定義和使用安全來保護敏感或關鍵信息和信息處理設施的區域B、識別和使用安全來保護敏感或關鍵信息和信息處理設施的區域C、識別和控制安全來保護敏感或關鍵信息和信息處理設施的區域D、定義和控控安全來保護敏感或關鍵信息和信息處理設施的區域14、ISMS關鍵成功因素之一是用于評價信息安全管理執行情況和改進反饋建議的（）系統A、報告B、傳遞C、評價D、測量15、根據《互聯網信息服務管理辦法》規定，國家對經營性互聯網信息服務實行()A、國家經營B、地方經營C、備案制度D、許可制度16、關于投訴處理過程的設計，以下說法正確的是：()A、投訴處理過程應易于所有投訴者使用B、投訴處理過程應易于所有投訴響應者使用C、投訴處理過程應易于所有投訴處理者使用D、投訴處理過程應易于為投訴處理付費的投訴者使用17、依據ISO/IEC20000-1:2018,服務目錄應()A、描述服務及其結果B、由顧客制定C、是合同的一部分D、是統一所有服務描述的匯總18、風險識別過程中需要識別的方面包括:資產識別、識別威脅、識別現有控制措施、(）A、識別可能性和影響B、識別脆弱性和識別后果C、識別脆弱性和可能性D、識別脆弱性和影響19、下面哪個不是典型的軟件開發模型？（）A、變換型B、漸增型C、瀑布型D、結構型20、依據GB/T22080/ISO/IEC27001中控制措施的要求，關于網絡服務的訪問控制策略,以下正確的是()A、網絡管理員可以通過telnet在家里遠程登錄、維護核心交換機B、應關閉服務器上不需要的網絡服務C、可以通過防病毒產品實現對內部用戶的網絡訪問控制D、可以通過常規防火墻實現對內部用戶訪問外部網絡的訪問控制21、保密協議或不泄露協議至少應包括：（）A、組織和員工雙方的信息安全職責和責任B、員工的信息安全職責和責任C、組織的信息安全職責和責任D、紀律處罰規定22、信息安全管理體系是用來確定（)A、組織的管理效率B、產品和服務符合有關法律法規程度C、信息安全管理體系滿足審核準則的程度D、信息安全手冊與標準的符合程度23、下列說法不正確的是（）A、殘余風險需要獲得管理者的批準B、體系文件應能夠顯示出所選擇的控制措施回溯到風險評估和風險處置過程的結果C、所有的信息安全活動都必須記錄D、管理評審至少每年進行一次24、(）是確保信息沒有非授權泄密，即信息不被未授權的個人、實現或過程，不為其所用。A、搞抵賴性B、完整性C、機密性D、可用性25、在每天下午5點使計算機結束時斷開終端的連接屬于（）A、外部終端的物理安全B、通信線的物理安全C、竊聽數據D、網絡地址欺騙26、保密性是指（）A、根據授權實體的要求可訪問的特性B、信息不被未授權的個人、突體或過程利用或知悉的特性C、保護信息的準確和完整的特性D、以上都不対27、一家投資顧問商定期向客戶發送有關經新聞的電子郵件，如何保證客戶收到資料沒有被修改（）A、電子郵件發送前，用投資顧問商的私鑰加密郵件的HASH值B、電子郵件發送前，用投資顧何商的公鑰加密郵件的HASH值C、電子郵件發送前，用投資項問商的私鑰數字簽名郵件D、電子郵件發送前，用投資顧向商的私鑰加密郵件28、依據GB/T22080，關于職責分離，以下說法正確的是(）A、信息安全政策的培訓者與審計之間的職責分離B、職責分離的是不同管理層級之間的職責分離C、信息安全策略的制定者與受益者之間的職責分離D、職責分離的是不同用戶組之間的職責分離29、控制影響信息安全的變更，包括（)A、組織、業務活動、信息及處理設施和系統變更B、組織、業務過程、信息處理設施和系統變更C、組織、業務過程、信息及處理設施和系統變更D、組織、業務活動、信息處理設施和系統變更30、IT部門中的所有服務是否都要包含在認證范圍以內？（）A、是的，整個范圍的服務都要包含在認證范圍之內B、只有當其都被提供給相同的客戶群體時C、不，該范圍可限制為服務的子集D、取決于該服務為內部提供還是外部提供31、組織應按照本標準的要求（）信息安全管理體系。A、策劃、實現、監視、和持續改進B、建立、實施、監視、和持續改進C、建立、實現、維護、和持續改進D、策劃、實施、維護、和持續改進32、不屬于公司信息資產的是（）A、客戶信息B、公司旋轉在IDC機房的服務器C、保潔服務D、以上都不對33、()是風險管理的重要一環。A、管理手冊B、適用性聲明C、風險處置計劃D、風險管理程序34、為確保采用一致和有效的方法對信息安全事件進行管理，下列控制措施哪個不是必須的？（）A、建立信息安全事件管理的責任B、建立信息安全事件管理規程C、對信息安全事件進行響應D、在組織內通報信息安全事件35、關于GB/T22081-2016/ISO/IEC27002:2013,以下說法錯誤的是（）A、該標準是指南類標準B、該標準中給出了IS0/IEC27001附錄A中所有控制措施的應用指南C、該標準給出了ISMS的實施指南D、該標準的名稱是《信息技術安全技術信息安全管理實用規則》36、依據GB/T22080,網絡隔離指的是(）A、不同網絡運營商之間的隔離B、不同用戶組之間的隔離C、內網與外網的隔離D、信息服務，用戶及信息系統37、文件化信息創建和更新時，組織應確保適當的（）A、對適宜性和有效性的評審和批準B、對充分性和有效性的測量和批準C、對適宜性和充分性的測量和批準D、對適宜性和充分性的評審和批準38、以下不屬于信息安全事態或事件的是：A、服務、設備或設施的丟失B、系統故障或超負載C、物理安全要求的違規D、安全策略變更的臨時通知39、下面哪一種環境控制措施可以保護計算機不受短期停電影響？（）A、電力線路調節器B、電力浪涌保護設備C、備用的電力供應D、可中斷的電力供應40、（）是指系統、服務或網絡的一種可識別的狀態的發生，它可能是對信息安全策略的違反或防護措施的失效，或是和安全關聯的一個先前未知的狀態。A、信息安全事態B、信息安全事件C、信息安全事故D、信息安全故障二、多項選擇題41、防范端口掃描、漏洞掃描和網絡監聽的措施為(）A、安裝防火墻B、定期更新系統或打補丁C、對網絡上傳輸的信息進行加密D、關閉一些不常用的端口42、風險處置的可選措施包括（）。A、風險識別B、風險分析C、風險轉移D、風險減緩43、計算機信息系統的安全保護，應保障（）A、計算機及相關配套設施的安全B、網絡安全C、運行環境安全D、計算機功能和正常發揮44、管理評審的輸入應包括（）。A、相關方的反饋B、不符合和糾正措施C、信息安全目標完成情況D、業務連續性演練結果45、下列說法正確的是（）A、殘余風險需要獲得風險責任人的批準B、適用性聲明需要包含必要的控制及其選擇的合理性說明C、所有的信息安全活動都必須有記錄D、組織控制下的員工應了解信息安全方針46、以下屬于“信息處理設施”的是（）A、信息處理系統B、信息處理相關的服務C、與信息處理相關的設備D、安置信息處理設備的物理場所與設施47、以下屬于信息安全管理體系審核證據的是（）A、信息系統的閾值列表B、信息系統運行監控中心顯示的實時資源占用數據C、數據恢復測試的日志D、信息系統漏洞測試分析報告48、以下屬于“關鍵信息基礎設施”的是（）。A、輸配電骨干網監控系統B、計算機制造企業IDC供電系統C、髙等院校網絡接入設施D、高鐵信號控制系統49、關于云計算服務中的的安全，以下說法不正確的是（）。A、服務提供方提供身份鑒別能力，云服務客戶自己定義并實施身份鑒別準則B、服務提供方提供身份鑒別能力，并定義和實施身份鑒別準則C、云服務客戶提供身份鑒別能力，服務提供方定義和實施身份鑒別準則D、云服務客戶提供身份鑒別能力，并定義和實施身份鑒別準則50、在開展信息安全績效和ISMS有效性評價時，組織應確定（）A、監視、測量、分析和評價的過程B、適用的監視、測量、分析和評價的方法C、需要被監視和測量的內容D、監視、測量、分析和評價的執行人員51、以下（）活動是ISMS監視預評審階段需完成的內容A、實施培訓和意識教育計劃B、實施ISMS內部審核C、實施ISMS管理評審D、采取糾正措施52、以下場景中符合GB/T22080-20161SO1EC27001:2013標準要求的情況是（）A、某公司為保潔人員發放了公司財務總監、總經理等管理者辦公室的門禁卡，以方便其上班前或下班后打掃這些房間B、某公司將其物理區域敏感性劃為四個等級,分別標上紅橙黃藍標志C、某公司為少數核心項目人員發放了手機，允許其使用手機在指定區域使用公司無線局域網訪問客戶數據FTP，但不允許將手機帶離指定區域D、某公司門禁系統的時鐘比公司視頻監控系統的時鐘慢約10分鐘53、下列哪項屬于《認證機構管理辦法》中規定的設立認證機構應具備的條件？（）A、具有固定的辦公場所和必備設施B、注冊資本不得少于人民幣600萬元C、具有10名以上相應領域的專職認證人員D、具有符合認證認可要求的管理制度54、依據IS020000-6:2017以下可構成減少ITSMS初審人日的因素包括（)A、已獲得的認證在最近12個月內對其至少實施了一次審核B、擬認證的范圍已獲得ISO/IEC27001證書C、已獲得其他認證的范圍大于擬認證的范圍D、擬認證的范圍與獲得ISMS證書范圍等同55、管理評審是為了確保信息安全管理體系持續的（）A、適宜性B、充分性C、有效性D、可靠性三、判斷題56、審核員由實習審核員轉審核員之前，至少必須通過4次完整體系20天的審核。（）正確錯誤57、最高管理層應通過“確保持續改進”活動，證實對信息安全管理體系的領導和承諾。（）正確錯誤58、測量是確定數值和性質的過程。（）正確錯誤59、IT系統日志保存所需的資源不屬于容量管理的范圍。（）正確錯誤60、不同組織有關信息安全管理體系文件化信息的詳細程度應基本相同（）正確錯誤61、利用生物信息進行身份鑒別包括生物行為特征鑒別及生物特征鑒別。正確錯誤62、組織應適當保留信息安全目標文件化信息。（）正確錯誤63、某組織定期請第三方對其IT系統進行漏洞掃描，因此不再進行其他形式的信息安全風險評估，這在認證審核時是可接受的（）正確錯誤64、流量監控能夠有效實現對敏感數據的過濾（)正確錯誤65、記錄可提供符合信息安全管理體系要求和有效運行的證據。（）正確錯誤

參考答案一、單項選擇題1、D2、B3、C4、D解析:以上都是建立有效的計算機病毒防御體系所需要的技術措施，但D選項與病毒防御更相關，故選D5、A6、C7、C8、A9、C10、C11、A12、C13、A14、D15、D16、A17、A18、B19、A20、B21、A22、C23、A24、C25、A26、B27、C28