测评师考试简答题整-理

测评师考试简答题整理01-初级三级安全计算环境身份鉴别控制项有哪些？答案：a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。02-初级工具测试接入点规划有哪些共性原则？答案：首要原则是不影响目标系统正常运行的前提下严格按照方案选定范围进行测试。1）由低级别系统向高级别系统探测；2）同一系统同等重要程度功能区域之间要相互探测；3）由较低重要程度区域向较高重要程度区域探测；4）由外联接口向系统内部探测；5）跨网络隔离设备（包括网络设备和安全设备）要分段探测。03-初级请简述一般安全管理体系建设分为哪四大类文件，以及对应文件至少举例5个。答案：一级文件：安全管理体系的总体方针和安全策略《网络安全总体策略》二级文件：安全管理体系的管理制度《安全岗位人员管理制度》《中心机房管理制度》《防病毒管理制度》《资产管理制度》《终端安全管理制度》等三级文件：作业指导性文件《网络设备基础配置规范》《信息系统灾备切换操作指导书》《虚拟机模板部署作业指导书》等四级文件：表单类文件《安全产品巡检checklist》《网络安全月度报告会会议记录》《网络安全培训签到表》《信息资产清单》等补充知识点1、设计安全制度文件体系结构框架根据等保2.0的要求，安全制度文件体系结构框架可以分为以下几个层级：

一级文件（手册）：这是规定组织管理体系的顶层文件，包括《信息安全管理体系手册》等，明确组织的安全管理方针、目标和总体要求。

二级文件（程序文件）：包括各种规章制度、操作规程、任命文件、评审报告等，是管理体系的核心文件，详细规定了具体的管理流程和操作步骤。

三级文件：具体规定一个流程或管理业务、一项作业步骤、一个环节的工艺标准、一处的工作要求，包括管理制度、作业标准（作业指示书、作业指导书、检查指导书）、工艺参数、安全操作规程、岗位说明书、控制计划等。

四级文件：公司日常生产运营中运用的各种格式及其产生的记录，如风险管控记录、隐患排查记录、监测记录、检测记录、评审记录等。2、各层次之间的关系处理

各层次文件之间的关系是一级套一级的关系，即下一级文件是上一级文件的具体化和细化。例如：一级文件中的《信息安全管理体系手册》会指出需要开展应急准备和响应，并明确一些控制要求，规定需要建立《应急管理基准》（二级文件）。二级文件《应急管理基准》会明确各组织的应急管理职责，明确应急管理工作的基本流程，包括应急预案的修订、应急物资的准备、应急组织的建立等。3、针对不同层次分别制定文档一级文件：制定《信息安全管理体系手册》，明确信息安全方针、目标和总体要求。

二级文件：制定《应急管理基准》、《安全审计基准》、《系统维护基准》等，明确各组织的应急管理职责，审计工作的基本流程，系统维护的具体要求。

三级文件：制定具体的管理制度、作业标准、安全操作规程等，如《数据备份与恢复管理规定》、《安全事件处置流程》、《应急预案管理规定》等。

四级文件：制定日常运营中使用的各种记录表格，如《安全事件记录表》、《系统维护记录表》等。4、对哪些方面做出规范安全管理制度：明确各部门的安全职责和安全管理制度。

网络安全：包括数据的本地备份机制，每日备份数据至当地，且外场储放，如果系统软件中存有关键重要数据信息，应给予外地备份数据作用。

系统软件建设管理：根据等保三级的安全要求，对系统软件进行建设和管理。

运维服务管理方法：制定运维服务管理方法，包括运维服务的实施和监督方法等。

人员管理：包括人员录用、离岗管理、安全意识教育和培训、外部人员访问管理等。

物理环境安全：保障硬件设备和存储介质存放环境的安全，对其使用进行控制和保护。

应急响应：在事件发生后能够采取积极、有效的应急策略和措施，及时处置和恢复。04-初级访谈核查测试的测评方法。访谈1、目的通过与相关人员沟通，了解系统的安全管理措施、技术实现和实际运行情况，验证制度落实和人员安全意识。2、适用对象高级管理人员(如安全负责人、部门主管):询问安全策略制定、资源投入、责任分工等示例问题:“如何确保安全管理制度有效落实?"运维人员:了解日常操作流程(如账户管理、漏洞修复、日志审计等)。示例问题:“系统补丁更新的周期和流程是什么?"安全管理员:确认访问控制、安全审计、入侵防范等技术的实施细节。示例问题:“如何管理特权账户的权限分配?"3、注意事项需要记录访谈内容，并与制度文档、技术配置进行交叉验证。重点验证是否存在“制度与实际操作脱节”的情况。核查1、目的通过审查文档、配置、记录等证据，验证系统是否符合等保要求2、主要内容文档审查:检查安全管理制度、应急预案、培训记录、合同协议(如云服务SLA)等示例:确认《网络安全管理制度》是否覆盖等保要求的全部控制项。配置核查:登录设备检査关键配置(如防火墙规则、密码策略、日志保存周期等)。

示例:检查服务器是否关闭默认账户，密码复杂度是否符合要求。日志审计:核查安全事件日志、操作日志的完整性、保存周期和审计措施。示例:验证6个月以上的日志是否留存，是否定期分析异常行为物理环境检查:机房的门禁、监控、防火防潮等措施是否符合等保要求,工具支持:使用自动化工具(如配置检查脚本、合规性扫描工具)辅助核查。测试1、目的通过技术手段验证安全措施的实际有效性。2、常见测试内容漏洞扫描:使用工具(如Nessus、Nmap)扫描系统漏洞，验证修复情况渗透测试:模拟攻击(如SQL注入、越权访问)，验证系统防护能力。功能验证:测试备份恢复、入侵检测、数据加密等功能是否正常。示例:触发备份策略，验证数据能否成功恢复。01-中级公安网2025的1001号文《关于进一步做好网络安全等级保护有关工作的函》，高风险问题的主要判定依据是什么，高风险问题与重大风险隐患之间的关系是什么。答案：高风险问题的主要判定依据是：高风险问题的判定主要依据《网络安全等级保护测评高风险判定实施指引》中相关判例。对于未出现在《网络安全等级保护测评高风险判定实施指引》的，经综合判断，可能会造成测评系统出现高风险情况的，也应判断为高风险问题。高风险问题与重大风险隐患之间的关系：根据重大风险隐患判定原则（相关性原则、严重性原则、高发性原则）进行综合分析，判断是否为重大风险隐患。重大风险隐患可能由一个高风险问题直接引发，还可能是多个高、中、低安全问题的叠加。02-中级根据《GB/T22240信息安全技术网络安全等级保护定级指南》，在确定定级对象的信息系统基本特征有哪些，作为云平台定级时，应重点关注哪些方面？答案：一、从业务信息安全和系统服务安全两个角度进行综合分析，初步确定对象的安全保护等级。1、业务信息安全，业务信息安全保护等级可进一步细分为以下四个段落。(1)描述业务信息。定级单位可以从业务应用入手，梳理、汇总所有定级系统所涉及的业务信息，并进行分类描述。(2)确定各类信息受到被坏时所侵害的客体。通过分析业务信息的安全需求(保密性、完整性、可用性),确定其遭到泄漏、篡改或丢失等破坏后造成损害的具体表现形式，进

一步确定业务信息受到破坏时所侵害的客体。(3)确定对各类受侵害客体的侵害程度，即分析最坏情况下的损害程度。(4)根据表确定业务信息安全保护等级。

如果分析结果表明受侵害客体不止一个，则应按照“国家安全”“社会秩序和公共利益”“公民、法人和其他组织的合法权益”的顺序分别考虑各类客体的受侵害情况。2、系统服务安全

确定系统服务安全保护等级，应从系统服务的对象和范围入手，分析系统服务停止之后所侵害的客体和侵害程度，并根据表确定系统服务安全保护等级。3、定级对象安全保护等级的确定

拟定级对象的安全保护等级是由业务信息安全保护等级和系统服务安全保护等级中的高者决定的二、云平台定级：在云计算环境中，应将云服务客户侧的等级保护对象和云服务商侧的云计算平台/系统分别作为单独的定级对象定级，根据不同的服务模式将云计算平台/系统划分为不同的定级对象。对于大型云计算平台，宜将云计算基础设施和有关辅助服务系统划分为不同的定级对象应根据其承载或将要承接的等级保护对象的重要程度确定其安全保护等级，原则上应不低于其承载的等级保护对象的安全保护等级。03-中级依据《基本要求》（GB/T22239-2019），针对第三级等级保护对象而言，安全计算环境中安全审计的内容是什么？相比于第二级等级保护对象，第三级等级保护对象安全审计内容增加的是哪一条？答案：安全审