2022年12月CCAA注冊(cè)審核員考試題目—ISMS信息安全管理體系一、單項(xiàng)選擇題1、《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》規(guī)定：對(duì)計(jì)算機(jī)信息系統(tǒng)中發(fā)生的案件，有關(guān)使用單位應(yīng)當(dāng)在()向當(dāng)?shù)乜h民政府公安機(jī)關(guān)報(bào)告A、8小時(shí)內(nèi)B、12小時(shí)內(nèi)C、24小時(shí)內(nèi)D、48小時(shí)內(nèi)2、信息安全管理中，關(guān)于脆弱性，以下說(shuō)法正確的是()。A、組織使用的開(kāi)源軟件不須考慮其技術(shù)脆弱性B、軟件開(kāi)發(fā)人員為方便維護(hù)留的后門(mén)是脆弱性的一種C、識(shí)別資產(chǎn)脆弱性時(shí)應(yīng)考慮資產(chǎn)的固有特性，不包括當(dāng)前安全控制措施D、使信息系統(tǒng)與網(wǎng)絡(luò)物理隔離可杜絕其脆弱性被威脅利用的機(jī)會(huì)3、—個(gè)信息安全事件由單個(gè)的或一系列的有害或一系列（）信息安全事態(tài)組成，它們具有損害業(yè)務(wù)運(yùn)行和威脅信息安全的極大可能性A、已經(jīng)發(fā)生B、可能發(fā)生C、意外D、A+B+C4、下面哪一種屬于網(wǎng)絡(luò)上的被動(dòng)攻擊（）A、消息篡改B、偽裝C、拒絕服務(wù)D、流量分析5、《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》中所稱(chēng)計(jì)算機(jī)信息系統(tǒng)，是指A、對(duì)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)B、計(jì)算機(jī)及其相關(guān)的設(shè)備、設(shè)施，不包括軟件C、計(jì)算機(jī)運(yùn)算環(huán)境的總和，但不含網(wǎng)絡(luò)D、一個(gè)組織所有計(jì)算機(jī)的總和，包括未聯(lián)網(wǎng)的微型計(jì)算機(jī)6、《中華人民共和國(guó)認(rèn)證認(rèn)可條例》規(guī)定,認(rèn)證人員自被撤銷(xiāo)職業(yè)資格之日起（）內(nèi)，認(rèn)可機(jī)構(gòu)不再接受其注冊(cè)申請(qǐng)A、2年B、3年C、4年D、5年7、組織應(yīng)（）。A、對(duì)信息按照法律要求、價(jià)值、重要性及其對(duì)授權(quán)泄露或修改的敏感性進(jìn)行分級(jí)B、對(duì)信息按照制度要求、價(jià)值、有效性及其對(duì)授權(quán)泄露或修改的敏感性進(jìn)行分級(jí)C、對(duì)信息按照法律要求、價(jià)值、重要性及其對(duì)未授權(quán)泄露或修改的敏感性進(jìn)行分級(jí)D、對(duì)信息按照制度要求、價(jià)值、重要性及其對(duì)未授權(quán)泄露或修改的敏感性進(jìn)行分級(jí)8、組織確定的信息安全管理體系范圍應(yīng)（）A、形成文件化信息并可用B、形成記錄并可用C、形成文件和記錄并可用D、形成程字化信息并可用9、監(jiān)督、檢查、指導(dǎo)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)工作是（）對(duì)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)履行法定職責(zé)之一A、電信管理機(jī)構(gòu)B、公安機(jī)關(guān)C、國(guó)家安全機(jī)關(guān)D、國(guó)家保密局10、根據(jù)《互聯(lián)網(wǎng)信息服務(wù)管理辦法》規(guī)定，國(guó)家對(duì)經(jīng)營(yíng)性互聯(lián)網(wǎng)信息服務(wù)實(shí)行（）A、國(guó)家經(jīng)營(yíng)B、地方經(jīng)營(yíng)C、許可制度D、備案制度11、下列中哪個(gè)活動(dòng)是組織發(fā)生重大變更后一定要開(kāi)展的活動(dòng)？（）A、對(duì)組織的信息安全管理體系進(jìn)行變更B、執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估C、開(kāi)展內(nèi)部審核D、開(kāi)展管理評(píng)審12、關(guān)于信息安全產(chǎn)品的使用，以下說(shuō)法正確的是:（）A、對(duì)于所有的信息系統(tǒng)，信息安全產(chǎn)品的核心技術(shù)、關(guān)鍵部件須具有我國(guó)自主知識(shí)產(chǎn)權(quán)B、對(duì)于三級(jí)以上信息系統(tǒng)，己列入信息安全產(chǎn)品認(rèn)征目錄的，應(yīng)取得國(guó)家信息安全產(chǎn)品人證機(jī)構(gòu)頒發(fā)的認(rèn)證證書(shū)C、對(duì)于四級(jí)以上信息系銃、信息安全廣品研制的主要技術(shù)人員須無(wú)犯罪記錄D、對(duì)于四級(jí)以上信息系統(tǒng)，信息安全聲品研制單位須聲明沒(méi)有故意留有或設(shè)置漏洞13、關(guān)于文件管理下列說(shuō)法錯(cuò)誤的是（）A、文件發(fā)布前應(yīng)得到批準(zhǔn)，以確保文件是適宜的B、必要時(shí)對(duì)文件進(jìn)行評(píng)審、更新并再次批準(zhǔn)C、應(yīng)確保文件保持清晰，易于識(shí)別D、作廢文件應(yīng)及時(shí)銷(xiāo)毀，防止錯(cuò)誤使用14、《信息安全管理體系審核指南》中規(guī)定,ISMS的規(guī)模不包括（)A、體系覆蓋的人數(shù)B、使用的信息系統(tǒng)的數(shù)量C、用戶(hù)的數(shù)量D、其他選項(xiàng)都正確15、對(duì)于所有擬定的糾正和預(yù)防措施，在實(shí)施前應(yīng)通過(guò)（）過(guò)程進(jìn)行評(píng)審。A、薄弱環(huán)節(jié)識(shí)別B、風(fēng)險(xiǎn)分析C、管理方案D、A+CE、A+B16、關(guān)于訪(fǎng)問(wèn)控制策略，以下不正確的是：（）A、須考慮被訪(fǎng)問(wèn)客體的敏感性分類(lèi)、訪(fǎng)問(wèn)主體的授權(quán)方式、時(shí)限和訪(fǎng)問(wèn)類(lèi)型B、對(duì)于多任務(wù)訪(fǎng)問(wèn)，一次性賦予全任務(wù)權(quán)限C、物理區(qū)域的管理規(guī)定須遵從物理區(qū)域的訪(fǎng)問(wèn)控制策D、物理區(qū)域訪(fǎng)問(wèn)控制策略應(yīng)與其中的資產(chǎn)敏感性一致17、當(dāng)獲得的審核證據(jù)表明不能達(dá)到審核目的時(shí)，審核組長(zhǎng)可以（）A、宣布停止受審核方的生產(chǎn)/服務(wù)活動(dòng)B、向?qū)徍宋蟹胶褪軐徍朔綀?bào)告理由以確定適當(dāng)?shù)拇胧〤、宣布取消末次會(huì)議D、以上都不可以18、信息安全殘余風(fēng)險(xiǎn)是（）。A、沒(méi)有處置完成的風(fēng)險(xiǎn)B、沒(méi)有評(píng)估的風(fēng)險(xiǎn)C、處置之后仍存在的風(fēng)險(xiǎn)D、處置之后沒(méi)有報(bào)告的風(fēng)險(xiǎn)19、信息是消除（）的東西A、不確定性B、物理特性C、不穩(wěn)定性D、干擾因素20、不屬于公司信息資產(chǎn)的是（）A、客戶(hù)信息B、公司旋轉(zhuǎn)在IDC機(jī)房的服務(wù)器C、保潔服務(wù)D、以上都不對(duì)21、風(fēng)險(xiǎn)偏好是組織尋求或保留風(fēng)險(xiǎn)的（）A、行動(dòng)B、計(jì)劃C、意愿D、批復(fù)22、拒絕服務(wù)攻擊損害了信息系統(tǒng)哪一項(xiàng)性能（）A、完整性B、可用性C、保密性D、可靠性23、實(shí)施管理評(píng)審的目的是為確保信息安全管理體系的（）A、充分性B、適宜性C、有效性D、以上都是24、依據(jù)GB/T22080,網(wǎng)絡(luò)隔離指的是(）A、不同網(wǎng)絡(luò)運(yùn)營(yíng)商之間的隔離B、不同用戶(hù)組之間的隔離C、內(nèi)網(wǎng)與外網(wǎng)的隔離D、信息服務(wù)，用戶(hù)及信息系統(tǒng)25、根據(jù)GB/T22080-2016標(biāo)準(zhǔn)的要求，組織（）實(shí)施風(fēng)險(xiǎn)評(píng)估A、應(yīng)按計(jì)劃的時(shí)間間隔或當(dāng)重大變更提出或發(fā)生時(shí)B、應(yīng)按計(jì)劃的時(shí)間間隔且當(dāng)重大變更提出或發(fā)生時(shí)C、只需在重大變更發(fā)生時(shí)D、只需按計(jì)劃的時(shí)間間隔26、關(guān)于信息系統(tǒng)登錄的管理，以下說(shuō)法不正確的是（）A、網(wǎng)絡(luò)安全等級(jí)保護(hù)中，三級(jí)以上系統(tǒng)需采用雙重鑒別方式B、登錄失敗應(yīng)提供失敗提示信息C、為提高效率，可選擇保存鑒別信息的直接登錄方式D、使用交互式管理確保用戶(hù)使用優(yōu)質(zhì)口令27、經(jīng)過(guò)風(fēng)險(xiǎn)處理后遺留的風(fēng)險(xiǎn)是（）A、重大風(fēng)險(xiǎn)B、有條件的接受風(fēng)險(xiǎn)C、不可接受的風(fēng)險(xiǎn)D、殘余風(fēng)險(xiǎn)28、()對(duì)于信息安全管理負(fù)有責(zé)任A、高級(jí)管理層B、安全管理員C、IT管理員D、所有與信息系統(tǒng)有關(guān)人員29、保密性是指（）A、根據(jù)授權(quán)實(shí)體的要求可訪(fǎng)問(wèn)的特性B、信息不被未授權(quán)的個(gè)人、突體或過(guò)程利用或知悉的特性C、保護(hù)信息的準(zhǔn)確和完整的特性D、以上都不対30、組織在確定與ISMS相關(guān)的內(nèi)部和外部溝通需求時(shí)可以不包括(）A、溝通周期B、溝通內(nèi)容C、溝通時(shí)間D、溝通對(duì)象31、形成ISMS審核發(fā)現(xiàn)時(shí)，不需要考慮的是（）A、所實(shí)施控制措施與適用性聲明的符合性B、適用性聲明的完備性和適宜性C、所實(shí)施控制措施的時(shí)效性D、所實(shí)施控制措施的有效性32、確定資產(chǎn)的可用性要求須依據(jù)（）。A、授權(quán)實(shí)體的需求B、信息系統(tǒng)的實(shí)際性能水平C、組織可支付的經(jīng)濟(jì)成本D、最高管理者的決定33、ISMS管理評(píng)審的輸出應(yīng)考慮變更對(duì)安全規(guī)程和控制措施的影響，但不包括（）A、業(yè)務(wù)要求變更B、合同義務(wù)變更C、安全要求的變更D、以上都不對(duì)34、關(guān)于備份，以下說(shuō)法正確的是(）A、備份介質(zhì)中的數(shù)據(jù)應(yīng)定期進(jìn)行恢復(fù)測(cè)試B、如果組織刪減了“信息安全連續(xù)性”要求，同機(jī)備份或備份本地存放是可接受的C、發(fā)現(xiàn)備份介質(zhì)退化后應(yīng)考慮數(shù)據(jù)遷移D、備份信息不是管理體系運(yùn)行記錄，不須規(guī)定保存期35、依據(jù)GB/T220802016/SO/EC.27001:2013標(biāo)準(zhǔn)，組織應(yīng)（）。A、識(shí)別在組織范圍內(nèi)從事會(huì)影響組織信息安全績(jī)效的員工的必要能力B、確保在組織控制下從事會(huì)影響組織信息安全績(jī)效的員工的必要能力C、確定在組織控制下從事會(huì)影響組織信息安全績(jī)效的工作人員的必要能力D、鑒定在組織控制下從事會(huì)影響組織信息安全績(jī)效的工作人員的必要能力36、下列哪個(gè)文檔化信息不是GB/T22080-2016/IS0/IEC27001:2013要求必須有的？（）A、信息安全方針B、信息安全目標(biāo)C、風(fēng)險(xiǎn)評(píng)估過(guò)程記錄D、溝通記錄37、以下關(guān)于認(rèn)證機(jī)構(gòu)的監(jiān)督要求表述錯(cuò)誤的是（）A、認(rèn)證機(jī)構(gòu)宜能夠針對(duì)客戶(hù)組織的與信息安全有關(guān)的資產(chǎn)威脅、脆弱性和影響制定監(jiān)督方案，并判斷方案的合理性B、認(rèn)證機(jī)構(gòu)的監(jiān)督方案應(yīng)由認(rèn)證機(jī)構(gòu)和客戶(hù)共同來(lái)制定C、監(jiān)督審核可以與其他管理體系的審核相結(jié)合D、認(rèn)證機(jī)構(gòu)應(yīng)對(duì)認(rèn)證證書(shū)的使用進(jìn)行監(jiān)督38、在形成信息安全管理體系審核發(fā)現(xiàn)時(shí)，應(yīng)（）。A、考慮適用性聲明的完備性和可用性B、考慮適用性聲明的完備性和合理性C、考慮適用性聲明的充分性和可用性D、考慮適用性聲明的充分性和合理性39、依據(jù)GB/T22080/ISO/IEC27001,關(guān)于網(wǎng)絡(luò)服務(wù)的訪(fǎng)問(wèn)控制策略，以下正確的是（）A、網(wǎng)絡(luò)管理員可以通過(guò)telnet在家里遠(yuǎn)程登錄、維護(hù)核心交換機(jī)B、應(yīng)關(guān)閉服務(wù)器上不需要的網(wǎng)絡(luò)服務(wù)C、可以通過(guò)防病毒產(chǎn)品實(shí)現(xiàn)對(duì)內(nèi)部用戶(hù)的網(wǎng)絡(luò)訪(fǎng)問(wèn)控制D、可以通過(guò)常規(guī)防火墻實(shí)現(xiàn)對(duì)內(nèi)部用戶(hù)訪(fǎng)問(wèn)外部網(wǎng)絡(luò)的訪(fǎng)問(wèn)控制40、測(cè)量控制措施的有效性以驗(yàn)證安全要求是否被滿(mǎn)足是（）的活動(dòng)。A、ISMS建立階段B、ISMS實(shí)施和運(yùn)行階段C、ISMS監(jiān)視和評(píng)審階段D、ISMS保持和改進(jìn)階段二、多項(xiàng)選擇題41、以下屬于信息安全管理體系審核的證據(jù)是：（）A、信息系統(tǒng)運(yùn)行監(jiān)控中心顯示的實(shí)時(shí)資源占用數(shù)據(jù)B、信息系統(tǒng)的閾值列表C、數(shù)據(jù)恢復(fù)測(cè)試的日志D、信息系統(tǒng)漏洞測(cè)試分析報(bào)告42、下列有關(guān)涉密信息系統(tǒng)說(shuō)法正確的是（）A、涉密信息系統(tǒng)經(jīng)單位保密工作機(jī)構(gòu)測(cè)試后即可投入使用B、涉密信息系統(tǒng)投入運(yùn)行前應(yīng)當(dāng)經(jīng)過(guò)國(guó)家保密行政管理部門(mén)審批C、涉密計(jì)算機(jī)重裝操作系統(tǒng)后可降為非涉密計(jì)算機(jī)使用D、未經(jīng)單位信息管理部門(mén)批準(zhǔn)不得自行重裝操作系統(tǒng)43、風(fēng)險(xiǎn)評(píng)估過(guò)程中威脅的分類(lèi)一般應(yīng)包括（）A、軟硬件故障、物理環(huán)境影響B(tài)、無(wú)作為或操作失誤、管理不到位、越權(quán)或?yàn)E用C、網(wǎng)絡(luò)攻擊、物理攻擊D、泄密、篡改、抵賴(lài)44、常規(guī)控制圖主要用于區(qū)分（）A、過(guò)程處于穩(wěn)態(tài)還是非穩(wěn)態(tài)B、過(guò)程能力的大小C、過(guò)程加工的不合格品率D、過(guò)程中存在偶然波動(dòng)還是異常波動(dòng)45、以下做法正確的是（）A、使用生產(chǎn)系統(tǒng)數(shù)據(jù)測(cè)試時(shí),應(yīng)先將數(shù)據(jù)進(jìn)行脫敏處理B、為強(qiáng)化新員工培訓(xùn)效果,盡可能使用真實(shí)業(yè)務(wù)案例和數(shù)據(jù)C、員工調(diào)換項(xiàng)目組時(shí)，其愿使用計(jì)算機(jī)中的項(xiàng)目數(shù)據(jù)經(jīng)妥善刪除后可帶入新項(xiàng)目組使用D、信息系統(tǒng)管理域內(nèi)所有的終端啟動(dòng)屏幕保護(hù)時(shí)間應(yīng)一致46、信息安全方針應(yīng)（）A、形成文件化信息并可用B、與組織內(nèi)外相關(guān)方全面進(jìn)行溝通C、確保符合組織的戰(zhàn)略方針D、適當(dāng)時(shí)，對(duì)相關(guān)方可用47、常規(guī)控制圖主要用于區(qū)分（）A、過(guò)程處于穩(wěn)態(tài)還是非穩(wěn)態(tài)B、過(guò)程能力的大小C、過(guò)程加工的不合格品率D、過(guò)程中存在偶然波動(dòng)還是異常波動(dòng)48、計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)，應(yīng)保障;（）A、計(jì)算機(jī)及相關(guān)和配套設(shè)備的安全B、設(shè)施(含網(wǎng)絡(luò))的安全C、運(yùn)行壞境的安全D、計(jì)算機(jī)功能的正常發(fā)揮49、IS0/IEC27000系列標(biāo)準(zhǔn)主要包括哪幾類(lèi)標(biāo)準(zhǔn)？()A、要求類(lèi)B、應(yīng)用類(lèi)C、指南類(lèi)D、術(shù)語(yǔ)類(lèi)50、信息安全是保證信息的(),另外也可包括諸如真實(shí)性，可核查性，不可否認(rèn)性和可靠性等特性。A、可用性B、機(jī)密性C、完備性D、完整性51、信息安全績(jī)效的反饋，包括以下哪些方面的趨勢(shì)（）A、不符合和糾正措施B、監(jiān)視測(cè)量的結(jié)果C、審核結(jié)果D、信息安全方針完成情況52、信息安全管理體系范圍和邊界的確定依據(jù)包括（）A、業(yè)務(wù)B、組織C、物理D、資產(chǎn)和技術(shù)53、關(guān)于審核委托方，以下說(shuō)法正確的是：（）A、認(rèn)證審核的委托方即受審核方B、受審核方是第一方審核的委托方C、受審核方的行政上級(jí)作為委托方時(shí)是第二方審核D、組織對(duì)其外包服務(wù)提供方的審核是第二方審核54、依據(jù)GB/T22080，經(jīng)管理層批準(zhǔn)，定期評(píng)審的信息安全策略包括（）A、信息備份策略B、訪(fǎng)問(wèn)控制策略C、信息傳輸策略D、密鑰管理策略55、GB/T22080-2016/ISO/IEC27001:2013標(biāo)準(zhǔn)中A12,3,1條款要求（）A、設(shè)定備份策B、定期測(cè)試備份介質(zhì)C、定期備份D、定期測(cè)試信息和軟件三、判斷題56、最高管理層應(yīng)通過(guò)“確保持續(xù)改進(jìn)”活動(dòng)，證實(shí)對(duì)信息安全管理體系的領(lǐng)導(dǎo)和承諾57、IT系統(tǒng)日志保存所需的資源不屬于容量管理的范圍。（）58、組織應(yīng)識(shí)別并提供建立、實(shí)現(xiàn)、維護(hù)和持續(xù)改進(jìn)信息安全管理體系所需的資源。（）59、較低的恢復(fù)時(shí)間目標(biāo)會(huì)有更長(zhǎng)的中斷時(shí)間。（）60、計(jì)算機(jī)信息系統(tǒng)是由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸檢索等處理的人機(jī)系統(tǒng)（）61、訪(fǎng)問(wèn)控制列表指由主體以及主體對(duì)客體的訪(fǎng)問(wèn)權(quán)限所組成列表。62、完全備份就是對(duì)全部數(shù)據(jù)庫(kù)數(shù)據(jù)進(jìn)行備份。（）63、檢測(cè)性控制是為了防止未經(jīng)授權(quán)的入侵者從內(nèi)部或外部訪(fǎng)問(wèn)系統(tǒng)，并降低進(jìn)入該系統(tǒng)的無(wú)意錯(cuò)誤操作導(dǎo)致的影響（）64、審核員由實(shí)習(xí)審核員轉(zhuǎn)審核員之前，至少必須通過(guò)4次完整體系20天的審核。（）65、考慮了組織所實(shí)施的活動(dòng),即可確定組織信息安全管理體系范圍。（）

參考答案一、單項(xiàng)選擇題1、C2、B3、C解析:信息安全事件，指一個(gè)或一系列意外或不期望的信息安全事態(tài)組成，他們極有可能損害業(yè)務(wù)運(yùn)行并威脅信息安全。故選C4、D解析:主動(dòng)攻擊會(huì)導(dǎo)致某些數(shù)據(jù)流的篡改和虛假數(shù)據(jù)流的產(chǎn)生，這類(lèi)攻擊分篡改，偽造消息數(shù)據(jù)和終端（拒絕服務(wù)）。被動(dòng)攻擊中攻擊者不對(duì)數(shù)據(jù)信息做任何修改，截取/竊聽(tīng)是指為未經(jīng)用戶(hù)同意和認(rèn)可的情況下攻擊者獲得了信息或相關(guān)數(shù)據(jù)。通常包括竊聽(tīng)，流量分析，破解弱加密的數(shù)據(jù)流等攻擊方式。故選D5、A6、D7、C解析:參考ISO/IEC27001：2013附錄A8,2信息分級(jí)，信息應(yīng)按照法律要求、價(jià)值、重要性及其對(duì)未授權(quán)泄露或修改的敏感性進(jìn)行分級(jí)8、A9、B10、C解析:《互聯(lián)網(wǎng)信息服務(wù)管理辦法》，國(guó)家對(duì)經(jīng)營(yíng)性互聯(lián)網(wǎng)信息服務(wù)實(shí)行許可制度；對(duì)非經(jīng)營(yíng)性互聯(lián)網(wǎng)信息服務(wù)實(shí)行備案制度，故選C11、B12、B13、D14、D15、B16、B17、B18、C解析:參考GB/T20984-2007信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范，3,12殘余風(fēng)險(xiǎn)是指采取了安全措施后，信息系統(tǒng)仍然可能存在的風(fēng)險(xiǎn)。故選C19、A20、C21、C22、B23、D24、D25、A26、C解析:應(yīng)確保秘密鑒別信息的保密性，確保鑒別信息得到適當(dāng)?shù)谋Ｗo(hù)，C選項(xiàng)為提高效率而保存鑒別信息的直接登錄方式，不能確保鑒別信息得到保護(hù)，故選C27、D28、D29、B30、A31、C32、A解析:資產(chǎn)在可用性上的不同要求，依據(jù)