风险评估与iso27001测试题目

1、测试题（总分值100,时间一小时）信息平安管理体系（ISMS）实行了一种叫做PDCA的管理模式，请简述其内容。（5分）PDCA是一种循环过程，所以我们通常把它叫做PDCA循环，并把这个循环图叫做“戴明环”简述确定ISMS的范围和边界时需要考虑的方面？ （5分）依据公司所从事的业务、性质、办公地点、各种信息资产（见资产清单）、拥 有技术的特点确定信息平安管理体系的范围。列举ISMS的11个掌握领域？ （5分）信息方针、信息平安组织、资产管理、人力资源平安、物理和环境平 安、通信和操作管理、访问掌握、信息系统平安要求、信息平安大事 管理、业务连续性管理、符合性信息平安管理体系文件的层次？ （5分）

2、信息平安管理体系文件由四个层次的文件组成，它们分别是：手册、程序文件、作业指 导书、纪录建立信息平安方针应考虑那些方面？ （5分）依据业务、组织、位置、资产和技术等方面的特性和信息平安在公司业务中 的重要程度确定信息平安管理体系的方针。风险管理包括哪些过程？（5分）资产识别与估价、威逼评估、脆弱性评估、对现有平安掌握的识别、风险评价、风险处理、 剩余风险、风险掌握风险处置措施有哪些？ （5分）规避风险，实行有效的掌握措施避开风险的发生；接受风险，在肯定程度上有意识、有目的地接受风险；风险转移，转移相关业务风险到其他方面。信息平安具有那几种性质？ （5分）脆弱性、连续性、牢靠性、威逼性资产有哪些

3、类别？（5分）人员资产、物理资产、软件资产、文件资产、服务资产、形象资产10,实施风险评估需要哪些步骤？ （5分）资产识别与估价、威逼评估、脆弱性评估、对现有平安掌握的识别、风险评价、风险处理、 剩余风险、风险掌握11,资产赋值应包含哪几方面的赋值？（5分）机密性、完整性、可用性12,资产各个等级分值如何划分？资产评价准那么是什么？（5分）依据资产赋值结果，确定重要资产的范围，围绕重要资产进行风险评估。等级标识描述5很高特别重要，其平安属性破坏后可能对组织造成特别严峻的损失4高重要，其平安属性破坏后可能对组织造成比拟严峻的损失3中等比拟重要，其平安属性破坏后可能对组织造成中等程度的损失2低不太

4、重要，其平安属性破坏后可能对组织造成较低 的损失1很低不重要，其平安属性破坏后对组织造成导很小的损失，甚至忽视不计13、脆弱性的有哪些类型？识别脆弱性时主要应关注哪些对象？并列举1、技术脆弱性、管理脆弱性2、物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接 地与防雷、电磁防护、通信线路的保护、机房区域防护、机 房设施管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问掌握策略、内部访问 掌握策略、网络设施平安配置等方面进行识别系统软件从补丁安装、物理保护、用户帐号、口令策略、资源共享、 大事审计、访问掌握、新系统配置、注册表加固、网络平安、 系统管理等方面进行识别应用中间件

5、从合同平安、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问掌握策略、数据完整性、通信、 鉴别机制、密码保护等方面进行识别技术管理从物理和环境平安、通信与操作管理、访问掌握、系统开发 与维护、业务连续性等方面进行识别组织管理从平安策略、组织平安、资产分类与掌握、人员平安、符合 性等方面进行识别14,出几个关于资产脆弱性例子。（10分）设施维护措施不完善、物理访问掌握不健全、口令不当，权限安排不合理15,资产值和风险值的计算函数各是什么？其中各个字母的含义是什么？ （15分）计算资产值假如资产值为A保密性为c完整性为i可用性为a那么A=c+i+a计算风险值假设资产价值=庆威逼频率=T脆弱性严峻度=V那么平安大事发生可能性F=平安大事的损失L= JJTjZ风险值R= L X F16,威逼怎样分类？不同类型划分法各有哪些类别？列举出几个威逼的例子。（15分）1、基于表现形式的威逼分类表分类威逼子类软硬件故障设施硬件故障、传输设施故障、存储 媒体故障、系统软件故障、应用软件故障、 数据库软件故障、开发环境故障等物理 环境影响断电、静电、灰尘、潮湿、温度、鼠 蚁虫害、电磁干扰、洪灾、火灾、地震等无作 为或操作 失误维护错误、操作失误等管理不到位管理制度和策略不完善、管理规程