2023年3月CCAA國家注冊審核員復習題—ITSMS信息技術服務管理基礎一、單項選擇題1、根據ISO/IEC20000-1:2018標準的要求，信息安全管理的目的是保護與SMS和服務相關的所有形式的信息()。A、保密性、完整性和可用性B、適宜性、充分性和有效性C、法律合規性D、技術合規性2、依據GB/Z20986，以下說法不正確的是()。A、網絡掃描監聽是網絡攻擊事件B、蠕蟲事件是有害程序事件C、僵尸網絡是網絡攻擊事件D、信息篡改是信息破壞事件3、下列哪項不是監督審核的目的?()A、驗證認證通過的ITSMS是否得以持續實現B、驗證是否考慮了由于組織運轉過程的變化而可能弓|起的體系的變化C、確認是否持續符合認證要求D、做出是否換發證書的決定4、根據ISOIEC0000-1:2018標準的要求，對“問題和事件之間關系”的描述，正確的是()。A、在目標時間內未能解決的事件將被轉到問題管理B、單個事件永遠不會造成某個問題記錄被打開C、始終會導致某個問題記錄被打開D、一個或多個實際或潛在事件的原因，就是問題5、以下選項不屬于信息安全領域的測量和監視技術的是A、單位時間的訪問流量分析B、呼叫中心話術系統監聽C、網絡行為管理D、入侵檢測系統6、設計和轉換新的或變更服務的目標是（）。A、為保證新的服務和變更服務的服務接受標準得到完全滿足B、為保證新的服務和變更服務的提議完全評價C、為保證新的服務和變更服務的提議得到完全評估和授權D、為保證新的服務和變更服務在約定的成本和服務質量上可交付和可管理7、根據《互聯網信息服務管理辦法》規定，國家對于經營性互聯網信息服務實行()。A、備案制度B、許可制度C、行政監管制度D、備案與行政監管相結合的管理制度8、()指應當盡可能調查所有與投訴有關的背景和信息A、投訴響應B、投訴終止C、投訴調查D、受理告知9、目前信息技術服務管理體系的認證周期為()。A、2年B、3年C、4年D、根據實際情況確定10、()是不確定性對目標的影響。A、風險評估B、風險C、不符合D、風險處置11、《中華人民共和國認證認可條例》要求，認證機構及其認證人員對()負責。A、審核發現B、審核證據C、認證結果D、認證結論12、以下不屬于網絡安全控制技術的是()。A、防火墻技術B、訪問控制C、差錯控制D、入侵檢測技術13、關鍵信息基礎設施的運營者應當自行或委托網絡安全服務機構()對其網絡的安全性和可能存在的風險檢測評估。A、至少半年一次B、至少兩年一次C、至少一年一次D、至少每年兩次14、《信息安全技術信息安全事件分類分級指南》中將信息內容安全事件分為()個子類。A、5B、6C、7D、415、《信息系統安全等級保護實施指南》將（）作為實施等級保護的第一項內容。A、安全定級B、安全規劃C、安全評估D、安全實施16、根據ISO/IECTR20000-4標準，業務關系管理過程的結果是()。A、計劃和實施與客戶的溝通B、確定客戶和利害相關方C、其他選項均正確D、識別和監控客戶的需求和期望17、組織應進行容量規劃，包括基于服務需求的（）的容量。A、當前和預測B、時間閾值C、時間尺度D、以往18、組織應定義所有事件的記錄、優先次序、業務影響、分類、更新、升級、解決和()。A、報告B、溝通C、回復顧客D、正式關閉19、根據ISO/IEC20000-1:2018標準的要求，通常使用()過程對事件信息進行定期分析以確定明顯的趨勢。A、服務級別管理B、問題管理C、變更管理D、事件管理20、容錯是指某組件發生失效后，IT務或配置項()。A、繼續正確運行的能力B、繼續部分正確運行的能力C、失去繼續正確運行的能力D、繼續正確運行的流程21、根據GB/Z20986標準，計算機信息系統安全專用產品是指()。A、安裝了專用安全協議的專用計算機B、按安全加固要求設計的專用計算機C、用于保護計算機信息系統安全的專用硬件和軟件產品D、特定用途(如高保密)專用的計算機軟件和硬件產品22、建立服務目錄的價值在于()。A、表現變更對業務的影響B、展示配置項之間的關系C、對交付的IT服務提供一個集中的信息源D、預測IT基礎架構事務的根本原因23、國家對計算機信息系統安全專用產品的銷售實行的管理制度是()。A、許可證制度B、備案制度C、申報與審批制度D、測評、認證與審批制度24、一家汽車修理廠根據ISO/IEC20000-1建立SMS時，以下哪一項說法是錯誤的?()A、將服務的設計、建立和轉換過程外包給第三方B、客戶沒有需求，所以可以不建立服務報告管理過程C、對供應商的活動進行監視，并要求定期提供工作報告D、在建立服務目錄時，考慮現有服務以及客戶的要求25、闡明所取得的結果或提供所完成活動的證據的是文件是()。A、報告B、記錄C、演示D、協議26、《信息安全技術信息技術信息安全事件分類分級指南》中災害性事件是由于()對信息系統物理破壞而導致的信息安全事件。A、網絡攻擊B、不可抗力C、自然災害D、人為因素27、根據ISO/IEC20000-1:2018標準的要求，以下說法正確的是()。A、一次發布可以針對一個或多個變更進行，每一個變更都應在發布前經過測試B、部署計劃往往針對的是多個系統進行的較為復雜的發布C、其他全部D、變更、發布、部署可以是同一個活動28、變更管理策略不要求對()進行定義。A、每周變更日期B、確定可能對客戶和服務產生重大影響變更的判斷標準C、變更管理控制下的服務組件或其他項D、變更類別和如何對其進行管理29、()標準描述了用于過程評估的概念和術語。A、ISO/IECTR15504-3B、ISO/IEC15504-2C、ISO/IEC15504-1D、ISO/IECTR15504-430、在發布部署運行環境中之前，應建立受影響配置項的A、文件B、目錄C、備份D、基線31、根據ISO/IEC20000-1:2018標準的要求，持續服務改進的目標是()。A、為提高管理服務過程效率所采取的鑒定活動B、在不犧牲顧客滿意度的情況下提高IT務的成本效益C、持續改進SMS服務的適宜性、充分性和有效性，以維護客戶和相關方的價值D、在用戶同意的水平上交付和管理服務的生產活動32、《中華人民共和國計算機信息系統安全保護條例》所稱的計算機信息系統，是指由計算機及其相關的和配套的設備、設施(含網絡)構成的，按照一定的應用目標和規則對信息進行采集、()、檢索等處理的人機系統。A、存儲、加工、處置B、存儲、使用、處置C、存儲、傳輸、使用D、加工、存儲、傳輸33、依據《中華人民共和國網絡安全法》應予以重點保護的信息基礎設施，指的是（）。A、一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施B、一旦遭到破壞、數據泄露，可能嚴重危害國家安全、國計民生的信息基礎設施C、一旦遭到破壞、數據泄露，可能危害國家安全、國計民生的信息基礎設施D、一旦遭到破壞、數據泄露，可能危害國家安全、國計民生、公共利益的網絡系統34、()不是每個過程都需要定義的部分。A、輸出B、資源C、輸入D、活動35、根據ISO/IEC20000-1:2018標準的要求，事件應基于需要進行升級，“升級”指()。A、問題管理向變更管理升級B、事件管理向發布管理升級C、服務等級的升級D、將事件、問題轉給具有更高技術的小組或更高級別的管理人員36、《計算機信息系統安全保護條例》規定:對計算機信息系統中發生的案件，有關使用單位應當在（）小時內向當地縣級以上人民政府公安機關報告。A、8小時內B、12小時內C、24小時內D、48小時內37、在建立信息技術服務管理體系時所用的風險評估方法必須()。A、遵循風險評估的國際標準B、使用定性的方法C、使用定量的方法D、選用能夠產生可比較和可再現結果的方法38、下列描述中()不是最高管理者的管理職責。A、確定建立了服務管理方針和服務管理目標B、溝通有效服務管理的重要性C、促進SMS和服務的持續改進D、制定具體的服務過程39、()主要用于檢測軟件的功能，性能和其他特性是否與用于需求一致。A、系統測試B、集成測試C、確認測試D、單元測試40、管理體系的初次認證審核應分為哪兩個階段實施?A、預審核和監督審核B、第一階段和第二階段C、預審核和初次訪問審核D、第一階段和監督審核二、多項選擇題41、確定審核時間，時間的分配應考慮以下哪些ITSMS特定因素()。A、在ITSMS范圍內，SLAs的水平和所使用的第三方協議B、適用于認證的標準和法規C、參與服務提供的其他相關方的數量，例如:供應商、充當供應商的內部小組或顧客D、以往已證實的ITSMS績效42、根據GBT9264標準，基礎環境運維服務，包括對保證信息系統正常運行所必需的()。A、空調B、主機設備的定期巡檢C、安防系統的例行檢查及狀態監控D、機房電力系統故障處理43、根據ISO/IEC20000-1:2018標準的要求采用SMS是組織的戰略決策，受組織()的影響。A、服務生命周期中涉及的其他各方B、治理C、目標D、服務有效性和韌性44、ISO/IEC200標準中I1服務的預算及核算管理的內容包括哪些?()A、預算編制B、計費C、核算D、采購45、事件管理中以下哪項不是管理性升級的活動()?A、將一個事件的信息通知更多的高層管理者B、將事件轉給具有更高技術水平的人解決C、為保持顧客滿意使用盡可能多高級專家D、不能滿足SLA中規定的事件解決時間要求46、計算機網絡拓撲結構是指網絡中各個站點相互連接的形式，主要的拓撲結構有()以及他們的混合型。A、星型拓撲B、環型拓撲C、總線型拓撲D、樹型拓撲47、內審策劃文件中應包括()A、不符合準則B、審核范圍C、審核頻次和方法D、審核結論48、依據GB/Z20986,信息安全事件分級考慮的要素包括A、客戶投訴數B、社會影響C、系統損失D、信息系統重要程度49、以下關于網絡釣魚的說法中，正確的是（）。A、網絡釣魚是“社會I程攻擊"的一種形式B、網絡釣魚融合了偽裝、欺騙等多種攻擊方式C、網絡釣魚與Web服務沒有關系D、典型的網絡釣魚攻擊都將被攻擊者引誘到一個通過精心設計的釣魚網站上50、OSI(開放系統互聯)模型由哪些組成?()A、網絡層B、會話層C、表示層D、傳輸層51、組織可以使用下列哪些參數來定義SMS的適用范圍，以確保包含在范圍內和排除在范圍外的內容清楚明確。(）A、提供的服務B、提供服務的組織，例如，單一部門，多個部門或所有部門C、提供服務的地理位置D、服務的顧客52、依據GB/Z20986，信息安全事件分級考慮的要素包括().A、客戶投訴數B、社會影響C、系統損失D、信息系統重要程度53、在運行ITSMS，應給予不滿意的投訴者以盡可能多的途徑求助和參與爭議解決過程。包括()。A、電話B、電子郵件C、網上提交D、傳真54、依據ISO20000-6:2017以下可以構成減少ITSMS初審人日的因素包括（）。A、已獲得的認證在最近12個月內對其至少實施了一次審核B、擬認證的范圍已獲得ISO/IEC27001證書C、已獲得其他認證的范圍大于擬認證的范圍D、擬認證的范圍與獲得LSMS證書范圍等同55、下列哪項的變化受變更管理控制（）?A、服務目錄B、SLAC、服務需求D、供方合同三、判斷題56、根據GB/T29264標準，呼叫中心服務是運行服務大類中的一個子類。（）57、《中華人民共和國網絡安全法》中明確，關鍵信息基礎設施的運營者應當自行或者委托網絡安全服務機構對其網絡的安全性和可能存在的風險每兩年至少進行一次檢測評估。58、根據ISO/IEC20000-1:2018標準的要求，該標準僅用于信息技術領域的組織建立SMS。()59、郵箱服務提供方可定義吞吐量作為閾值指標。60、相關方可以包括不在ITSMS范圍內的組織的一部分。61、保密性是指對數據的保護以防止未經授權的訪問和使用。62、開展信息技術服務管理體系認證必須以正式發布的國家標準為依據。63、根據ISO/IEC20000-1:2018標準的要求，本標準中的供應商管理指的是外部供應商的管理。()64、ISO/IEC20000-2為建立、實現、保持和持續改進一個SMS提供了要求。()65、發生中斷事件后，必須啟動問題管理。

參考答案一、單項選擇題1、A2、C3、D4、D5、B6、A7、B8、C9、B10、B解析:參考GB/T29246-2017/ISO/IEC27000:20162.68風險定義:是對目標的不確定性影響。11、C12、C13、C14、D15、A16、C17、A18、D19、B20、A21、C22、C解析:參考ISO/IEC20000-1:20183.2.17服務目錄定義，是指關于組織提供給客戶的文檔化信息。C項描述最為符合。23、A24、B25、B26、B解析:參考《信息技術信息安全事件分類分級指南》4.2.6災害性事件原文:災害性事件是指由于不可抗力對信息系統造成物理破壞而導致的信息安全事件。災害性事件包括水災、臺風、地震、雷擊、坍塌、火災、恐怖襲擊、戰爭等導致的信息安全事件。27、A28、A29、C30、D解析:參考ISO/IEC200