ISO27001信息安全管理体系注册审核员模拟试题

ISO27001 信息安全治理体系注册审核员模拟试题考题A2023-04-07来源：国家注册审核员网一、推断题：(728分〕信息安全的主要属性有保密性、完整性、可用性。【 对】信息安全治理体系由假设干信息安全治理类组成。 【对】集中监控的网状部署构造的节点监控中心之间的通讯需要与治理中心协调调度方可进展。【错】为了安全起见，网络安全员与报警处置中心联系的只使用网络这条唯一通道。【错】“是因有人通过BELLInternet连接的有漏洞的机器上放置了一个蠕虫程序而引起网络灾难得名的。【错】信息战的军事目标是指一个国家军队的网络系统、信息系统、数据资源。【错】网络物理隔离是指两个网络间链路层、网络层在任何时刻都不能直接通讯。【错】二、单项选择题：(832分〕关于实现信息安全过程的描述，以下哪一项论述不正确。【D】A．信息安全的实现是一个大的过程，其中包含很多小的可细分过程B．组织应当是别信息安全实现中的每一个过程C．对每一个分解后的信息安全的过程实施监控和测量D．信息安全的实现是一个技术的过程 √建立和实施信息安全治理体系的重要原则是。 【D】A．领导重视B．全员参与C．持续改进 D．以上各项都是√组织在建立和实施信息安全治理体系的过程中，领导重视可以。【 A．指明方向和目标 B．供给组织保障 C．供给资源保障D.以上各项都是√你认为建立信息安全治理体系时，首先因该：【B】A．风险评估B．建立信息安全方针和目标

C．风险治理

D．制定安全策略《计算机信息系统安全专用产品检测和销售许可证治理方法》是由那个部门公布的：【 A． B．公安部 C．密码办 D．以上都不是计算机信息系统安全专用产品，是指。【C】A．用于保护计算机信息系统安全的专用硬件产品B．用于保护计算机信息系统安全的专用软件产品C．用于保护计算机信息系统安全的专用硬件和软件产品√D．以上都不是涉及国家隐秘的计算机信息系统，必需：【 A．实行物理隔离 B．实行规律隔离

C．实行单向隔离

D．以上都不是计算机信息系统安全等级保护的等级是由那几个因素确定。【B】A．依据计算机信息系统面临的风险B．依据计算机信息系统资源的经济和社会价值及其面临的风险 √C．依据计算机信息系统价值2023-8-5D．以上都不是三、多项选择题：(840分〕信息安全方针和策略的流程是〔〕。【ABC】A．安全方针和策略B．资金投入治理C．信息安全规划从系统整体看，下述那些问题属于系统安全漏洞。【ABC】

D．以上都不是A、产品缺少安全功能

B、产品有Bugs C、缺少足够的安全学问

D、人为错误应对操作系统安全漏洞的根本方法是什么？。【AB】C、准时安装最的安全补丁

B、给全部用户设置严格的口令D、更换到另一种操作系统计算机安全事故包括以下几个方面〔〕。【ABCD】因自然因素，导致发生危害计算机信息系统安全的大事因自然因素，进入可能导致危害计算机信息系统安全的非正常运行状态的大事C．因人为缘由，导致发生危害计算机信息系统安全的大事D．因人为缘由，进入可能导致危害计算机信息系统安全的非正常运行状态的 大事病毒防护必需具备哪些准则。【ABCD】A、拒绝访问力量C、掌握病毒传播的力量

B、病毒检测力量D、去除力量、恢复力量、替代操作防火墙治理员应担当下面哪些责任：〔〕。【ABCD】A．规划和部署，策略制定，规章配置与测试 B．防火墙状态监控C．防火墙日志审计分析 D．安全大事的响应处理应建立计算机信息网络安全治理组织的联网单位有：〔〕。【ABC】A、各互联网接入效劳单位C、专线接入互联网的单位

B、信息效劳单位D、全部接入互联网的单位实行计算机安全事故和计算机案件报告制度是〔〕。【ABCD】A、是计算机信息系统安全监察和安全防范、安全治理工作中的重要组成局部B、是贯彻落实有关安全法规，强化计算机信息系统安全治理的标准性要求C、是公安机关了解把握计算机信息系统应用单位内部安全治理状况的手段D、是国家法规的要求，也是全部计算机使用单位和用户，以及公民应有的职责和义务ISO27001 信息安全治理体系注册审核员模拟试题考题 B一、简答

2023-04-07 来源：国家注册审核员网1、内审不符合项完成了30/35，审核员给开了不符合，是否正确？你怎么审核？【参考】不正确。应作如下询问相关人员或查阅相关资料〔不符合项整改打算或验证记录〕，了解内审不符合项的订正措施实施状况，分析对不符合的缘由确定是否充分，所实施的订正措施是否有效；所实行的订正措施是否与相关影响相适宜，如对业务的风险影响，风险掌握策略和时间点目标要求，与组织的资源力量相适应。评估所实行的订正措施带来的风险，假设该风险可承受，则实行订正措施，反之可实行适当的掌握措施即可。2023-8-5综上，假设全部订正措施符合风险要求，与相关影响相适宜，则订正措施适宜。2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的，成绩从那里要，要来后一看都合格，就完毕了审核，对吗？【参考】不对。应依据标准GB/T22080-2023 条款5.2.2培训、意识和力量的要求进展如下〕询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件？〕查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、阅历、技术和应用力量方面的评价要求，以及相关的培训规程及评价方法；〕查阅网管培训记录，是否符合岗位力量要求和培训规程的规定要求？〕了解相关部门和人员对网管培训后的工作力量确认和培训效果的评价，是否保持记录？〕假设岗位力量经评价不能满足要求时，组织是否按规定要求实行适当的措施，以保证岗位人员的力量要求。二、案例分析1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威逼的预防；笔记本常常带入带出，有时在家工作，领导同意了，在家也没什么担忧全的。A9.2.5 组织场所外的设备安全应对组织场所的设备实行安全措施，要考虑工作在组织场所以外的不同风险。2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，由于买的都是正版。A12.5.2操作系统变更后应用的技术评审 当操作系统发生变更时，应对业务的关键应用进展评审和测试，以确保对组织的运行和安全没有负面影响。3、创公司托付专业互联网运营商供给网络运营，供给商为了提升效劳级别，承受了技术，也通知了创公司，但创认为技术确定更好，就没实行任何措施，后来由于软件不兼容造成断网了。A10.2.3第三方效劳的变更治理应治理效劳供给的变更，包括保持和改进现有的信息安全策略、规程和掌握措施，并考虑到业务系统和涉及过程的关键程度及风险的评估。4、查某公司信息安全大事处理时，有好几份处理报告的缘由都是感染计算机病毒，负责人说我们严格的杀毒软件下载应用规程，不知道为什么没有效，估量其它方法更没用了。订正措施5、查看web效劳器日志觉察，最近几次常常重启，负责人说刚买来还好用，最近总死机，都联系不上供给商负责人了。A10.2.1应确保第三方实施、运行和保持包含在第三方效劳交付效劳交付协议中的安全掌握措施、效劳定义和交付水准。三、单项选择纠错〔选择一个最正确可行的答案〕2023-8-51、一个组织或安全域内全部信息处理设施与已设准确时钟源同步是为了： 便于探测未经授权的信息处理活动的发生2、网络路由掌握应遵从：确保计算机连接和信息流不违反业务应用的访问掌握策略3、针对信息系统的软件包，应尽量劝阻对软件包实施变更，以躲避变更的风险4、国家信息安全等级保护实行：自主定级、自主保护的原则。5、对于用户访问信息系统使用的口令，假设使用生物识别技术，可替代口令67、关于IT系统审核，以下说法正确的选项是： 组织经评估认为IT系统审计风险不行承受时，可以删减。A.15.38、依据GB/T22080 ，组织与员工的保密性协议的内容应：反映组织信息保护需要的保密性或不泄露协议要求9、为了防止对应用系统中信息的未授权访问，正确的做法是： 依据访问掌握策略限制用户访问应用系统功能和隔离敏感系统10、对于全部拟定的订正和预防措施，在实施前应先通过〔 风险分析〕过程进展评审。11WEB效劳器的安全措施是〔保证注册帐户的时效性〕。12、文件初审是评价受审核方ISMS文件的描述与审核准则的〔符合性〕。13、国家对于经营性互联网信息效劳实施：14、针对获证组织扩大范围的审核，以下说法正确的选项是：一种特别审核，可以和监视审核一起进展。15、信息安全治理体系初次认证审核时，第一阶段审核应：对受审核方信息安全治理体系文件进展审核和符合性评价。16、文件在信息安全治理体系中是一个必需的要素，文件有助于： 确保可追溯性。17、对一段时间内发生的信息安全大事类型、频次、处理本钱的统计分析18、哪一种安全技术是鉴别用户身份的最好方法： 生物测量技术。

19、最正确的供给本地效劳器上的处理工资数据的访问掌握是： 使用软件来约束授权用户的访问。2023-8-520、当打算对组织的远程办公系统进展加密时，应当首先答复下面哪一个问题：系统和数据具有什四、简述题1、审核员在某公司审核时，觉察该公司从保安公司聘用的保安的门卡可通行公司全部的门禁。公司主管信息安全的负责人解释说，因保安负责公司的物理区域安全，他们夜里以及节假日要值班和巡查全部区域，所以只能给保安全权限门卡。审核员对此解释表示认同。假设你是审核员，你将如何做？是否有形成文件的访问掌握策略，并且包含针对公司每一局部物理区域的访问掌握策略的内容？访问掌握策略是否基于业务和访问的安全要素进展过评审？核实保安角色是否在访问掌握策略中有明确规定？核实访问掌握策略的制定是否与各物理区域风险评价的结果全都？核实发生过的信息安全大事，是否与物理区域非授权进入有关？核实如何对保安进展背景调查，是否明确了其安全角色和职责？2、答：〔1〕3-5份，了解如何规定对信息安全大事进展总结的机制？该机制中是否明确定义了信息安全大事的类型？该机制是否规定了量化和监视信息安全大事类型、数量和代价的方法和要求，并包括成功的和未遂大事？3-153-5份，了解是否针对信息安全大事进展测量，是否就类型、数量和代价进展了量化的总结，并包括成功的和未遂大事。查阅文件和记录以及访问相关责任人，核实依据监视和量化总结的结果实行后续措施有效防止同类大事的再发生。五、案例分析题1、不符合标准GB/T22080-2023 条款不符合事实：某知名网站总部陈设室中 5台演示用的电脑可以连接外网和内网。2、不符合标准GB/T22080-2023 条款A9.1.2物理入口掌握“安全区域应由适合的入口掌握所保护，以确保只有授权的人员才允许访问。”的要求。不符合事实：现场觉察未经授权的人员张X进出机器和网络操作机房，却没有任何登记记录，而程序文件〔GX28〕规定除授权工作人员可凭磁卡进出外，其余人员进出均须办理准入和登记手续。3、不符合标准GB/T22080-2023 条款4.2.1d)识别风险“3〕识别可能被威逼利用的脆弱性；”的要求。不符合事实：现场治理人员认为下载的软件都是从知名网站上下载的，不会有问题。4、