信息安全管理体系ISMS真题-案例分析及参考答案

ISMS信息安全技术真题案例分析参考答案试题一〔25分〕13，将解答填入答题纸的对应栏内。【说明】公司指定了国外的S公司作为远程无线抄表系统的无线模块供给商，并选定本市F智能电全面的工程治理和系统集成工作。F公司的杨经理是该工程的工程经理。在初步了解用户的需求后，F公司马上着手系统的开发与集成工作。5个月后，整套系统安司要求FS公司S得不面临改造。1〔6分〕300字以内文字指出F公司在工程执行过程中有何不妥。2〔9分〕风险识别是风险治理的重要活动。请简要说明风险识别的主要内容并指出选用S公司无线模块产品存在哪些风险？3〔10分〕400字以内文字说明工程经理应实行哪些方法解决上述案例中的问题。参考答案：[问题一] 请用300字以内文字指出F公司工程执行过程中有何不妥。答案：没有建立完善的工程治理体系或制定合理的工程治理打算并遵照执行。程不标准。整个开发过程缺乏用户参与，比方进展阶段式的验收，阶段性成果的签字确认。缺乏对分包商〔S公司〕的监视治理，尤其是对S公司无线模块产品的质量治理没有了解或询问国家或行业的相关标准、技术标准。没有对工程进展可行性分析。[问题二] 风险识别是风险治理的重要活动。请简要说明风险识别的主要内容并指出选用S公司无线模块存在哪些风险？答案：风险识别是确定何种风险可能会对工程产生影响，并将这些风险的特征形成文件。风险识别的内容：1、识别并确定工程有哪些潜在风险；2、识别引起这些风险的主要因素；3、识别工程风险可能的后果；存在的风险：质量风险；〔无线模块的性能、技术指标是否满足系统需求，符合行业标准标准〕选购风险〔供给商的资信、供货力量等〕合同风险〔合同条款是否明确了双方的权利责任与义务等〕人员风险 〔工程中的各岗位人员是否胜任〕方案与技术风险〔方案是否合理，承受的技术是否先进、成熟〕政策、法律法规风险〔国外Ｓ公司无线模块的性能技术指标是否与国家行业标准相符〕[问题三] 请用400字以内文字说明工程经理应实行哪些方法解决上述案例中的问题。建立组织级的工程治理体系对工程进展可行分析加强需求开发与需求治理。完整、准确猎取用户需求并进展需求验证。加强质量治理，编制质量治理规划进展阶段式的质量评审与质量审计与用户协商并确定验收标准、验收标准。加强对分包商〔S公司〕的监视治理了解或询问国家或行业的相关标准、技术标准。加强风险治理加强合同治理试题二〔25分〕13，将解答填入答题纸的对应栏内。【说明】某系统集成商A公司担当了某科研机构的信息系统集成工程软硬件系统的集成等工作。30A106个月，同时增加局部功能点。由于此客户为A公司的重要客户，为维护客户关系，A公司同意了建设单位的要求。为了完成工程建设任务，A公司将应用软件分成了多个子系统，并分别组织开发团队突击开发，时开头具体设计与局部编码工作；同时聘请了6名应届毕业生参加开发团队。然A公司实行了多种措施来满足工程工期和增功能的要求，但工程还是频繁消灭设计的6系统消灭运行不稳定状况和数据不全都的状况作；并且工程建设单位对A公司按合同规定提出的阶段验收申请不予回应。1〔10分〕请简要分析A公司没有按期保质保量完本钱工程的缘由。2〔5分〕结合本试题所述工程工期的调整，请简述A公司应依据何种程序进展变更治理。3〔10分〕使工程能够进入验收阶段。参考答案：[问题一] 请简要分析A公司没有按期保质保量完本钱工程的缘由。１、 工期压缩过短(由10个月压缩至6个月)２、 工程工作范围增大(增加局部功能点)３、 无视了质量治理或没有制定质量治理打算,没有严格遵循软件开发过程治理标准CMM进展开发活动４、 双方没建立统一的沟通渠道５、 没有进展阶段式评审和审计,缺乏有效的质量保证与质量掌握措施６、 没有进展多个子系统接口的集成测试与确认测试,没有进展版本掌握、配置审核进度方面：７、 人力资源治理方面中团队组建与建设欠缺,聘毕业生缺乏开发阅历８、 有可能工作量过大、所需资源缺乏，超负荷９、 制定的进度打算不科学不合理或实行的进度掌握措施不得力、效果不好１０、 没有建立有效的变更掌握治理机制、流程。[问题二] 结合本试题所述工程工期的调整，请简述A公司应依据何种程序进展变更治理。１、 由建设方书面提出并递交工期变更的申请２、 A公司相关人员分析变更对工程范围、质量、本钱等方面的影响３、 审核并批准变更４、 执行变更，调整并修改工程进度打算，并实行措施保证变更受控５、 变更确认、验证６、 通知受变更影响的相关工程干系人[问题三] 公司重任命王工为该工程的工程经理，负责工程的后续工作。请指出王工应实行哪些措施使工程能够进入验收阶段。１、 与建设方协商缩减工程范围或分期完成，先期完成关键主体功能局部并提出交换条件。２、 增加或重调配资源３、 设里程碑、在保证质量尽量不加大本钱的条件下留意对关键路径上的任务工期进展压缩，４、 实行措施加强对进度的掌握与治理，同时留意对进度打算进展动态调整。５、 加强团队建设与治理加强对聘员工的培训，提高个人与团队的工作效率。系统接口的集成测试与确认测试，７、 加强配置治理进展有效的版本掌握等设方〔客户〕出具工程进展报告，对工程进展阶段性验收并要求客户签字确认，并留意与客户方的非正式沟通方式〔以利促进感情便利验收〕客户协商签订补充协议。１０、 建立组织级的工程治理体系，建立并完善工程的变更掌握治理机制与流程并遵照执行。试题三〔25分〕13，将解答填入答题纸的对应栏内。【说明】M3个大学同学共同出资创立的一家信息系统开发公司，经过近2年时间的磨砺，公司的业务逐步到达了肯定规模。公司成员也从最初的330人，公司的组织机构也渐渐完善。为了适应业务进展需要，渐渐摆脱作坊式开发状态，公司打算实施工程治理制度。随后公司成立了工程治理部，并聘请了计算机专业博士生小王作为工程治理部经理。小王上任后，首先用了半天的时间对公司成员介绍工程治理相关理念，然后参考工程治理教材和国外一些大型工程治理阅历制定了一系列相关规定以及奖惩措施，针对正在开发的顶目分别指定了技术骨干作为工程的工程经理。但是由于公司担当的业务大多是时间紧任务重的工程，每个人可能同时担当着多个工程，开发人员对工程治理不是很热心，认为“公司规模小没有必要进展工程治理”，与其花费了大量时间开会、写文档，不如几个人碰碰头说说就可以了。实际开发工作中总是以开发任务重等缘由不依据规定履行工程治理程序。小王依据自己制定的规定，对公司一些员工进展了惩罚。公司员工对此有不满心情，使得某些工程没有按期完成，公司也因此受到了肯定的损失。1】〔10分〕200字以内的文字指出M公司在实行工程治理制度的过程中存在的问题。2】〔6分〕针对“公司规模小没有必要进展工程治理”200字以内的文字谈谈你的看法。3】〔9分〕请用300字以内的文字说明小王应当实行哪些措施来摆脱目前面临的逆境。参考答案：[问题一] 请用200字以内的文字指出M公司在实行工程治理制度的过程中存在的问题。１、缺乏公司高层领导的充分参与和必要的技持２、工程治理制度的制定缺乏公司员工的充分参与。３、工程治理制度的制定因依据企业的自身特点“量体裁衣”，因地制宜。４、制定的规定与奖惩措施没有征求员工建议也没有报请相关高层领导或相关部门批准实施，缺乏公正性、权威性。５、培训不充分或培训效果不好，工程治理的相关学问理念没有引起足够的重视或没有深入人心。6、 缺乏对技术骨干就关于工程治理学问方面的充分培训与指导。[问题二] 针对“公司规模小没有必要进展工程治理”的说法，请用200字以内的文字谈谈你的看法。不管公司大小，进展工程治理都是格外有必要要在公司内推行工程治理，首先建立或完善组织级的工程治理体系，在公司内普及工程治理学问，并建立相应的软硬件环境，制定制度、定岗定员并明确相应的责任，全体参与等。工程治理体系健立健全了，公司的壮大与进展便有了坚实的根底。工程治理意义：１、提高公司实现组织战略的力量。２、提高公司市场竞争力，有效掌握本钱、提高生产效率的力量。３、提高公司组织级工程治理水平，增加风险治理的力量。[问题三] 请用300字以内的文字说明小王应当实行哪些措施来摆脱目前面临的逆境。１、争取公司高层领导的参与和有力支持〔以便供给资金、相关资源的支持〕。２、加强培训，在公司内部普及工程治理学问，尤其是对作为技术骨干的工程经理的指导、培训，〔以便发挥其应有的领头羊作用〕３、加强沟通、实行多种沟通方式〔比方座谈、召开会议等形式〕，争取员工的理解、参与与支持４、广泛调研、高层决策合理制定相应的工程治理制度和建立和完善工程治理体系、治理流程。５、优化调整目前的组级构造，转化为矩阵型或工程型构造，发挥工程治理部应用的作用，加强对公司工程的指导与询问、加强对多工程的治理与监控。６、重视工程学问治理，加强工程阅历教训的沟通总结。二、案例分析二、案例分析1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威逼的预防；笔记本常常带入带出，有时在家工作，领导同意了，在家也没什么担忧全的。A9.2.5 组织场所外的设备安全应对组织场所的设备实行安全措施，要考虑工作在组织场所以外的不同风险2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，由于买的都是正版。A12.5.2操作系统变更后应用的技术评审当操作系统发生变更时，应对业务的关键应用进展评审和测试，以确保对组织的运行和安全没有负面影响。3、创公司托付专业互联网运营商供给网络运营，供给商为了提升效劳级别，承受了技术，也通知了创公司，但创认为技术确定更好，就没实行任何措施，后来由于软件不兼容造成断网了。A10.2.3第三方效劳的变更治理应治理效劳供给的变更，包括保持和改进现有的信息安全策略、规程和掌握措施，并考虑到业务系统