信息系统安全评测与风险评估试题及答案

1、.：.；信息系统平安评测与风险评价试题 姓名 分数 一：填空题36分1.信息平安评测实践上蕴含着丰富的思想内涵，严肃的 ，严谨的 ，严厉的 以及极具魅力的评测技巧，是一个科学和艺术圆满结合的领域。2.在评测一个信息系统的数据平安时，国家规范要求从数据完好性，数据 性和数据的 与恢复三个环节来思索。3.资产分类的方法较多，大体归纳为2种，一种是“自然形状，即按照系统组成成分和效力内容来分类，如分成“数据，软件 ，效力 ，其他六大类，还可以按照“信息形状将资产分为“信息， 和 三大类。4.资产识别包括资产分类和 两个环节。5.要挟的识别可以分为重点识别和 6脆弱性识别分为脆弱性发现 脆弱性验证和

2、7.风险的三个要素是资产 和 8.应急呼应方案应包含准那么， 预防和预警机制 和附件6个根本要素。二：问答题：64分什么是平安域？目前中国划分平安域的方法大致有哪些？10分数据平安评测是主要运用哪三种方法进展评测？他如何了解？10分国家规范中把主机评测分为哪八个环节？他如何了解？10分什么是资产和资产价值？什么是要挟和要挟识别？什么是脆弱性？ 14分什么是风险评价？如何进展风险计算？ 20分 答案一：填空题答案：科学精神 任务作风 严密性 备份硬件 人员 信息载体和信息环境资产赋值全面识别脆弱性分类 脆弱性赋值脆弱性 要挟角色及职责 应急呼应流程 二：问答题答案：平安域是将一个大型信息系统中具

3、有某种类似性的子系统聚集在一同。目前，中国划分平安域的方法大致归纳有资产价值类似性平安域，业务运用类似性平安域，平安需求类似性平安域和平安要挟类似性平安域。国家规范中要求信息平安评测工程师运用“访谈，“检查和“测试这三种方法进展评测。访谈：指评测人员经过与信息系统有关人员进展交流，讨论等活动，获取证据以证明信息系统平安等级维护措施能否有效的一种方法。检查：指评测人员经过对测评对象进展察看，检查和分析等活动，获取证据证明信息系统平安等级维护措施能否有效的一种方法。测试：指评测人员经过对测评对象按照预定的方法/工具使其产生特定的行为等活动，然后查看，分析输出结果，获取证据以证明信息系统平安等级维护

4、措施能否有效的一种方法。身份鉴别 自主访问控制 强迫访问控制 平安审计 剩余信息维护 入侵防备 恶意代码防备 资产是对组织具有价值的信息或资源，是平安战略维护的对象资产价值是资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进展资产识别的租用内容。要挟指能够导致对系统或组织危害的事故潜在的原因。脆弱性指能够被要挟利用的资产或假设干资产的薄弱环节。脆弱性识别，指分析和度量能够被要挟利用的资产薄弱环节的过程风险评价指，按照国家有关规范对信息系统及由其处置，传输和存储的信息的严密性，完好性和可用性等平安属性进展分析和评价的过程。它要分析资产面临的要挟及要挟利用脆弱性导致平安事件的能够性，并结合平安事件所涉及的资产价值来判别平安事件一但发生对组织呵斥的影响。风险计算的方式化表示为： 风险值=R(A,T,V)=R(L(T,V),F(Ia,Va)R表示风险计算函数T表示要挟V表示脆