CCAA - 2023年01月信息技术服务管理体系基础答案及解析 - 详解版（65题）

本资料由小桨备考整理，仅供学习参考，非官方发布2023年01月信息技术服务管理体系基础答案及解析单选题（共40题，共80分）1.ITIL和ISO/IEC20000之间有何关系？（）A.ITIL基于ISO/IEC20000B.ITIL为IT服务管理提供最佳实践建议，而ISO/IEC20000则定义了IT服务管理的标准C.ITIL是ISO/IEC20000第1和2部分的子集D.ITIL和ISO/IEC20000相互兼容并适用于服务管理系统的不同部分答案：B解析：ITIL（InformationTechnologyInfrastructureLibrary）是一套关于IT服务管理的最佳实践框架，它提供了关于如何设计、交付、运营和改进IT服务的建议。而ISO/IEC20000则是一个国际标准，定义了IT服务管理的标准，包括服务台、服务级别管理、可用性管理、容量管理等多个方面。ITIL基于最佳实践，而ISO/IEC20000则基于标准。因此，ITIL为IT服务管理提供最佳实践建议，而ISO/IEC20000则定义了IT服务管理的标准，两者相互补充，共同为IT服务管理提供指导和规范。因此，选项B“ITIL为IT服务管理提供最佳实践建议，而ISO/IEC20000则定义了IT服务管理的标准”是正确的。2.根据ISO/IEC20000-1:2018标准，（）不是每个过程都需要定义的部分。A.输出B.资源C.输入D.活动答案：B解析：根据ISO/IEC20000-1:2018标准，每个过程都需要定义的部分包括输出、输入和活动，但资源并不是每个过程都需要定义的部分。因此，正确答案为B，即资源。3.《计算机信息系统安全保护条例》规定：对计算机信息系统中发生的案件，有关使用单位应当在（）向当地县级以上人民政府公安机关报告。A.8小时内B.12小时内C.24小时内D.48小时内答案：C解析：《计算机信息系统安全保护条例》规定，对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告。因此，正确答案为C选项，即24小时内。4.（）是不确定性对目标的影响。A.不符合B.风险评估C.风险处理D.风险答案：D解析：风险是不确定性对目标的影响。在题目中，选项A“不符合”显然与题目不符；选项B“风险评估”是对不确定性的评估，但它不是不确定性对目标的影响；选项C“风险处理”是对风险的应对措施，也不是不确定性对目标的影响。因此，正确答案是D，即“风险”。5.以下选项不属于信息安全领域的测量和监视技术（）。A.单位时间的访问流量分析B.呼叫中心话术系统监听C.网络行为管理D.入侵检测系统答案：B解析：信息安全领域的测量和监视技术通常用于监控网络流量、用户行为、系统活动等，以确保信息的安全性。A选项“单位时间的访问流量分析”是网络安全中常见的测量技术，用于分析网络流量模式，识别异常行为。C选项“网络行为管理”是监视技术，用于监控和管理网络中的用户行为，确保合规性。D选项“入侵检测系统”也是监视技术，用于检测并响应潜在的网络攻击。而B选项“呼叫中心话术系统监听”通常与电话营销或客户服务相关，不属于信息安全领域的测量和监视技术。因此，正确答案是B。6.管理体系的初次认证审核应分为哪两个阶段实施？（）A.预审核和监督审核B.第一阶段和第二阶段C.预审核和初次访问审核D.第一阶段和监督审核答案：B解析：管理体系的初次认证审核通常分为两个阶段实施，即第一阶段审核和第二阶段审核。这是为了确保审核的全面性和准确性。预审核、初次访问审核和监督审核通常不是管理体系初次认证审核的两个阶段。因此，正确答案是B，即“第一阶段和第二阶段”。7.《信息安全技术信息安全事件分类分级指南》中将信息内容事件分为（）个子类。A.5B.6C.7D.4答案：D解析：《信息安全技术信息安全事件分类分级指南》中将信息内容事件分为4个子类，因此正确答案为D。在题目中，选项A、B、C分别给出了5、6、7个子类的选项，均不符合实际情况。因此，正确答案为D。8.云服务商提供IaaS服务，不适于作为服务方配置项的是（）。A.物理网络设备B.物理存储设备C.OA应用软件D.虚拟服务器答案：C解析：本题考察的是对IaaS（基础设施即服务）服务方配置项的理解。在IaaS服务中，云服务商提供的是基础设施服务，包括物理网络设备和物理存储设备等。这些设备构成了服务的基础，因此是服务方配置项。而OA应用软件是应用软件层的服务，它并不属于基础设施服务，因此不适于作为服务方配置项。虚拟服务器是云服务商提供的虚拟资源，也是IaaS服务的一部分，因此是服务方配置项。因此，选项C“OA应用软件”是不适于作为服务方配置项的答案。9.在发布部署运行环境中之前，应建立受影响配置项的（）。A.文件B.目录C.备份D.基线答案：D解析：在发布部署运行环境中之前，应建立受影响配置项的基线。基线是指一组配置项的集合，用于定义和记录配置项的状态和属性，以便在发布部署之前对配置项进行管理和控制。建立基线可以确保在发布部署过程中，配置项的状态和属性不会发生变化，从而确保部署的准确性和稳定性。因此，选项D“基线”是正确的答案。10.《信息系统安全等级保护测评要求》将（）作为实施等级保护的第一项内容。A.安全定级B.安全规划C.安全评估D.安全实施答案：A解析：《信息系统安全等级保护测评要求》中，安全定级被作为实施等级保护的第一项内容。因此，正确选项为A，即“安全定级”。其他选项如安全规划、安全评估、安全实施等，虽然也是信息安全保护的重要环节，但在等级保护中，首先需要确定系统的安全等级，即进行安全定级。11.目前可以作为信息技术服务管理体系审核依据的标准是（）。A.ISO/IEC20000-1:2018B.ISO/IEC20000-2:2013C.ISO/IEC20000-1:2013D.ISO/IEC20000-2:2018答案：A解析：根据题目给出的选项，我们需要确定可以作为信息技术服务管理体系审核依据的标准。根据ISO/IEC20000系列标准，我们可以看到，ISO/IEC20000-1:2018是信息技术服务管理（ITSM）标准的主系列，它提供了ITSM的核心框架和原则。而ISO/IEC20000-2:2013和ISO/IEC20000-2:2018似乎没有列出，可能不是有效的标准编号。ISO/IEC20000-1:2013也是一个过时的版本，不如ISO/IEC20000-1:2018新且更全面。因此，根据题目给出的选项，我们可以确定，可以作为信息技术服务管理体系审核依据的标准是ISO/IEC20000-1:2018，即选项A。12.应对服务可用性进行监视，记录其结果并与目标进行比较。（）不可用应进行调查并采取必要的行动。A.发生的B.计划处C.可能发生的D.计划内答案：B解析：“进行监视”是一个持续性的动作，所以需要一个能够持续的状态或情境作为宾语，选项中只有“计划内”可以表示一种持续的状态或情境。而“计划内”与“进行监视”搭配，表示监视是在计划内进行的，符合题意。选项A“发生的”是一个瞬间性的动作，与“进行监视”搭配不合适。选项C“可能发生的”虽然是一个可能的状态，但不如“计划内”表示持续的状态更贴切。选项D“计划处”语法上存在问题，且与题意不符。因此，正确答案为B，“计划内”。13.建立服务目录的价值在于（）。A.表现变更对业务的影响B.展示配置项之间的关系C.对交付的IT服务提供一个集中的信息源D.预测IT基础架构事务的根本原因答案：C解析：建立服务目录的价值在于对交付的IT服务提供一个集中的信息源。服务目录是一个记录服务信息的重要工具，它提供了关于服务的详细信息，包括服务定义、服务级别、服务组件、依赖关系等。这些信息对于确保服务的有效交付和持续可用性至关重要。因此，选项C“对交付的IT服务提供一个集中的信息源”是建立服务目录的主要价值所在。其他选项如A、B、D虽然都是与服务管理相关的概念，但不是建立服务目录的直接价值。14.依据《中华人民共和国网络安全法》应予以重点保护的信息基础设施，指的是（）。A.一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施B.一旦遭到破坏、数据泄露，可能严重危害国家安全、国计民生的信息基础设施C.一旦遭到破坏、数据泄露，可能危害国家安全、国计民生的信息基础设施D.一旦遭到破坏、数据泄露，可能危害国家安全、国计民生、公共利益的网络系统答案：A解析：《中华人民共和国网络安全法》中明确提到，应予以重点保护的信息基础设施，指的是“一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施”。因此，选项A“一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施”是正确的。其他选项要么缺少了“丧失功能”这一可能性的描述，要么在危害的程度上描述得不够准确，所以都不是正确答案。15.组织应进行容量规划，包括基于服务需求的（）的容量。A.当前和预测B.时间阈值C.时间尺度D.以往答案：A解析：在进行组织容量规划时，我们需要考虑基于服务需求的当前和预测的容量。这意味着我们需要评估当前的服务需求，并预测未来可能的服务需求，以确保我们的容量规划能够满足这些需求。选项A中的“当前和预测”符合这一需求。因此，答案为A。16.ISO/IEC20000-3是（）。A.服务管理要求B.服务管理范围指南C.服务管理指南D.服务管理范围要求答案：B解析：ISO/IEC20000-3是服务管理范围指南。ISO/IEC20000系列标准是一套关于IT服务管理的国际标准，其中ISO/IEC20000-1是服务管理的基础，ISO/IEC20000-2是服务管理实践，而ISO/IEC20000-3则是服务管理范围指南，它提供了关于服务管理范围、服务级别管理、服务报告等方面的指南。因此，选项B“服务管理范围指南”是正确的答案。17.ISO/IEC20000标准的第2部分与第1部分有何关联？（）A.第1部分是第2部分的子集B.第1部分包括第2部分中规定的主要要求C.第2部分需要完全实现才能满足第1部分的要求D.第2部分包含满足第1部分要求的指导答案：D解析：ISO/IEC20000标准是一个关于IT服务管理的标准，它分为第1部分和第2部分。第1部分定义了IT服务管理的核心概念和框架，包括服务管理生命周期、服务管理过程等。第2部分则提供了满足第1部分要求的详细指导和实践方法。因此，第2部分包含满足第1部分要求的指导，选项D正确。选项A、B、C均不符合ISO/IEC20000标准第2部分与第1部分的关系。18.考虑不同时段的工作负载的差异收费用于（）。A.故障树分析（FTA）B.可用性计划C.服务级别管理D.风险分析和管理法答案：B解析：考虑不同时段的工作负载的差异收费，这涉及到服务级别管理。服务级别管理是一种确保IT服务满足业务需求的策略，它定义了服务级别协议（SLA），这些协议明确了服务提供者必须达到的服务水平。服务级别协议通常包括可用性、性能、可靠性、安全性和可维护性等方面的指标。因此，考虑不同时段的工作负载的差异收费，是为了确保服务提供者能够在不同的工作负载下提供符合SLA的服务，这符合服务级别管理的范畴。故障树分析（FTA）、可用性计划、风险分析和管理法虽然与IT服务管理有关，但它们与考虑不同时段的工作负载的差异收费不直接相关。因此，正确答案是B，即可用性计划。19.电子邮件是传播恶意代码的重要途径，为了防止电子邮件中的恶意代码的攻击，用（）方式阅读电子邮件。A.程序B.网页C.纯文本D.会话答案：C解析：恶意代码通常隐藏在电子邮件的附件或正文中，使用某些程序或网页阅读电子邮件可能会触发恶意代码的执行。为了防止这种情况，最安全的方式是仅使用纯文本方式阅读电子邮件，因为纯文本格式不包含可执行代码，从而降低了被恶意代码攻击的风险。因此，正确答案是“纯文本”。20.《信息技术信息安全事件分类分级指南》中的灾害性事件是由于（）对信息系统造成物理破坏而导致的信息安全事件。A.网络攻击B.不可抗力C.自然灾害D.人为因素答案：B解析：根据《信息技术信息安全事件分类分级指南》，灾害性事件是由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。自然灾害如地震、洪水、台风等属于不可抗力范畴，能够对信息系统造成物理破坏，从而导致信息安全事件。因此，正确答案为B，即不可抗力。21.IT服务管理中所指“升级（escalation）”即：（）。A.针对用户计算机系统实施的升级，包括软件升级以及硬件升级B.为了满足服务级别目标而执行的流程，包括职能性升级和管理性升级C.针对特定顾客提升其服务质量等级的活动，如升级至“金牌服务”D.为了提高顾客满意度而提请更高级管理者与顾客对话的活动答案：B解析：IT服务管理中所指“升级（escalation）”是指为了满足服务级别目标而执行的流程，包括职能性升级和管理性升级。这一流程是为了确保服务能够满足或超越预定的服务级别协议（SLA）要求，通过不断优化和改进服务过程，提升服务质量和客户满意度。选项A、C和D都与IT服务管理中的“升级”概念不符，因此正确答案是B。22.组织应（）一个服务管理计划。A.创建、实施和运行B.创建、运行和保持C.创建、实施和保持D.创建、运行和保持答案：C解析：组织应“创建、实施和保持”一个服务管理计划。根据题目描述，服务管理计划需要经历创建、实施和保持三个过程。创建阶段涉及计划的初始设计，实施阶段涉及计划的执行和落地，保持阶段涉及计划的持续改进和优化。因此，选项C“创建、实施和保持”最符合题目要求。23.ITSMS监督审核的目的不包括（）。A.验证认证通过的ITSMS是否得以持续实现B.验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C.确认是否持续符合认证要求D.做出是否换发证书的决定答案：D解析：ITSMS（信息技术服务管理体系）监督审核的主要目的是验证认证通过的ITSMS是否得以持续实现，确认是否持续符合认证要求，以及是否考虑了由于组织运转过程的变化而可能引起的体系的变化。选项D，即做出是否换发证书的决定，并不属于ITSMS监督审核的目的。因此，答案为D。24.设计和转换新的或变更服务的目标是（）。A.为保证新的服务和变更服务的服务接受标准得到完全满足B.为保证新的服务和变更服务的提议完全估价C.为保证新的服务和变更服务的提议得到完全评估和授权D.为保证新的服务和变更服务在约定的成本和服务质量上可交付和可管理答案：A解析：本题考察的是设计和转换新的或变更服务的目标。A选项“为保证新的服务和变更服务的服务接受标准得到完全满足”符合设计和转换新的或变更服务的目标，即确保服务接受者对新服务或变更服务的满意度，达到或超越预期的服务接受标准。B选项“为保证新的服务和变更服务的提议完全估价”主要关注的是服务提议的估价，而不是服务的实际设计和转换，因此不符合题意。C选项“为保证新的服务和变更服务的提议得到完全评估和授权”主要关注的是服务的评估和授权过程，而不是服务的实际设计和转换，因此也不符合题意。D选项“为保证新的服务和变更服务在约定的成本和服务质量上可交付和可管理”虽然提到了可交付性和可管理性，但更侧重于服务的实际执行和运营，而不是设计和转换的目标，因此也不符合题意。综上所述，正确答案为A选项“为保证新的服务和变更服务的服务接受标准得到完全满足”。25.风险评估过程不包括（）。A.风险识别B.风险分析C.风险评价D.风险处理答案：D解析：风险评估过程通常包括风险识别、风险分析和风险评价三个步骤。风险识别是确定可能存在的风险，风险分析是对这些风险进行量化或定性分析，而风险评价则是基于分析结果对风险进行排序或分类。风险处理通常不属于风险评估过程的一部分，而是风险管理过程的一部分，它涉及采取措施来降低或消除已识别的风险。因此，选项D“风险处理”是不属于风险评估过程的。26.根据《互联网信息服务管理办法》规定，国家对于经营性互联网信息服务实行（）。A.备案制度B.许可制度C.行政监管制度D.备案与行政监管相结合的管理制度答案：B解析：《互联网信息服务管理办法》规定，国家对经营性互联网信息服务实行许可制度。非经营性互联网信息服务实行备案制度。因此，正确答案为B，即许可制度。27.《中华人民共和国认证认可条例》要求，认证机构及其认证人员对（）负责。A.审核发现B.审核证据C.认证结果D.认证结论答案：C解析：《中华人民共和国认证认可条例》规定，认证机构及其认证人员应当对认证结果负责。因此，正确答案为C，即认证结果。审核发现、审核证据和认证结论都不是认证机构及其认证人员应当负责的内容。28.阐明所取得的结果或提供所完成活动的证据的是文件是（）。A.报告B.记录C.演示D.协议答案：B解析：报告是用于报告或陈述事件、研究或发现等的文件，通常包含结论、分析和建议，但并不一定是直接证据。记录是详细记录活动或事件的文件，通常包括时间、地点、参与者、活动内容等，是完成活动或取得结果的直接证据。演示是展示某种技术、产品或概念的文件，通常包含图像、图表和动画等，主要用于展示，不是证据。协议是双方或多方之间达成的书面协议，用于规定各方权利和义务，也不是证据。因此，正确答案是记录。29.IT服务管理是（）保证IT服务提供的质量。A.通过将内部和外部的客户与提供商之间的协定记录记录到正式的文档中B.通过在IT组织的所有员工中推行客户导向模式C.通过订立通用的可接受的服务级别标准D.旨在规定建立、实施、维持和持续改进SMS的要求答案：D解析：IT服务管理旨在规定建立、实施、维持和持续改进服务管理系统的要求，以保证IT服务提供的质量。因此，正确答案是D。A选项错误，因为它没有直接说明IT服务管理是如何保证服务质量的；B选项错误，因为它没有说明客户导向模式如何与IT服务管理相关联；C选项错误，因为它没有提到建立通用的可接受的服务级别标准如何保证服务质量。30.下列描述中（）不是最高管理者的管理职责。A.确保建立了服务管理方针和服务管理目标B.促进SMS和服务的持续改进C.沟通有效服务管理的重要性D.制定具体的服务过程答案：D解析：服务管理要求组织应确保服务管理过程得到建立和实施，应建立、实施和保持一个服务管理体系（ServiceManagementSystem，简称SMS），SMS的核心要素是确保服务管理的策划、资源、过程和改进等方面持续符合组织的服务管理方针和服务管理目标，故最高管理者应确保建立了服务管理方针和服务管理目标，并促进SMS和服务的持续改进。最高管理者还应通过其示范、沟通和推动，使服务管理的重要性在组织的所有层次上得到认识，因此最高管理者应沟通有效服务管理的重要性。制定具体的服务过程属于服务管理过程的要求，不是最高管理者的管理职责。因此，选项D“制定具体的服务过程”不是最高管理者的管理职责。31.关于涉密信息系统的管理，以下说法不正确的是（）。A.涉密计算机未经安全技术处理不得改作其他用途B.涉密计算机、存储设备不得接入互联网及其他公共信息网络C.涉密信息系统中的安全技术程序和管理程序不得擅自卸载D.涉密计算机只有采取了适当防护描述才可接入互联网答案：D解析：涉密计算机只有采取了适当防护描述才可接入互联网的说法是不正确的。根据《涉密信息系统安全保密管理规定》，涉密计算机、存储设备不得接入互联网及其他公共信息网络，这是为了保障涉密信息的安全。因此，选项D中的说法是不正确的。而选项A、B、C的说法都是正确的，分别对应涉密计算机的安全技术处理、涉密计算机和存储设备的网络接入限制以及涉密信息系统中的安全技术程序和管理程序的管理要求。32.目前信息技术服务管理体系的认证周期为（）。A.2年B.3年C.4年D.根据实际情况确定答案：B解析：信息技术服务管理体系的认证周期通常是根据具体情况确定的，而不是固定的2年、3年或4年。因此，选项D“根据实际情况确定”是正确答案。虽然题目中列出了其他几个选项作为干扰项，但根据一般情况下认证周期的确定方式，最符合实际情况的答案应该是根据具体情况来确定认证周期。因此，选项B是错误的。33.组织应运行ITSMS，确保活动和资源的协调。组织应实施要求的（）。A.程序B.活动C.过程D.计划答案：B解析：题目中提到“组织应运行ITSMS，确保活动和资源的协调。组织应实施要求的（）。”，这里的ITSMS可能是指信息技术服务管理系统（ITServiceManagementSystem），而确保活动和资源的协调是ITSM的重要目标之一。为了确保这种协调，组织需要实施某些内容。选项A“程序”通常指的是一系列有序的步骤或操作，用于完成某项任务或实现某个目标。虽然程序可能是实施ITSMS的一部分，但它本身并不是ITSM的核心要素。选项B“活动”指的是具体的操作或任务，可以是实现ITSM目标的具体步骤。确保活动和资源的协调需要具体的活动来执行，因此活动是最符合题目要求的选项。选项C“过程”指的是一系列相互关联的活动，共同完成某项任务或实现某个目标。虽然过程与活动有相似之处，但过程更侧重于整体流程，而不仅仅是具体的活动。选项D“计划”指的是为实现某个目标而制定的详细步骤或策略。虽然计划可能是实施ITSMS的一部分，但它更多的是一种规划或指导，而不是具体的活动内容。综上所述，为了确保活动和资源的协调，组织需要实施具体的活动。因此，正确答案是B“活动”。34.组织应定义所有事件的记录和分类、分级、需要时升级、解决和（）。A.报告B.沟通C.回复顾客D.正式关闭答案：D解析：在事件管理中，记录、分类、分级、升级和解决是事件处理的基本步骤。这些步骤完成后，还需要一个正式关闭的步骤，以确保事件得到了妥善处理，并且不会留下任何未解决的问题。因此，选项D“正式关闭”是符合事件管理流程的，是正确答案。其他选项如报告、沟通、回复顾客虽然也是事件处理中可能需要做的，但不如“正式关闭”这个步骤直接针对事件处理的结束。35.依据GBZ20986，以下说法不正确的是（）。A.网络扫描监听是网络攻击事件B.蠕虫事件是有害程序事件C.僵尸网络是网络攻击事件D.信息篡改是信息破坏事件答案：C解析：依据GBZ20986，僵尸网络是指攻击者通过控制大量计算机，利用这些计算机作为僵尸主机，形成僵尸网络，从而进行网络攻击。因此，僵尸网络确实是网络攻击事件。然而，选项C中的“僵尸网络是网络攻击事件”并没有明确指出僵尸网络是“有害程序事件”，所以这一说法是不正确的。因此，答案为C。36.ISO/IEC20000-3与ISO/IEC20000-1之间的关系是（）。A.ISO/IEC20000-3为ISO/IEC20000-1提供了实施指南B.ISO/IEC20000-3为ISO/IEC20000-1提供了范围定义的指南C.ISO/IEC20000-3为ISO/IEC20000-1提供了过程参考模型D.ISO/IEC20000-3为ISO/IEC20000-1提供了实施计划样例答案：B解析：ISO/IEC20000-1和ISO/IEC20000-3都是IT服务管理（ITSM）的标准，但是它们有不同的功能和重点。ISO/IEC20000-1定义了IT服务管理的核心概念和框架，而ISO/IEC20000-3则提供了对ISO/IEC20000-1的详细实施指南。因此，ISO/IEC20000-3为ISO/IEC20000-1提供了范围定义的指南，所以选项B是正确的。其他选项A、C、D都与ISO/IEC20000-3与ISO/IEC20000-1之间的关系不符。37.国家对计算机信息系统安全专用产品的销售实行的管理制度是（）。A.许可证制度B.备案制度C.申报与审批制度D.测评、认证与审批制度答案：A解析：根据《计算机信息系统安全专用产品检测和销售许可证管理办法》的规定，国家对计算机信息系统安全专用产品的销售实行许可证制度。因此，正确答案为A、许可证制度。其他选项如备案制度、申报与审批制度、测评、认证与审批制度均不是国家对计算机信息系统安全专用产品的销售实行的管理制度。38.事件管理的目的是尽快恢复（）的服务或响应服务请求。A.协商一致B.设备检修C.中断D.配置信息答案：A解析：事件管理的目的是尽快恢复协商一致的服务或响应服务请求。事件管理通常涉及对系统或网络中的中断、故障或问题的响应和处理，其目标是在最短的时间内恢复正常的服务或响应，以确保系统的稳定性和可靠性。选项A“协商一致”可能指的是在事件处理过程中，各方需要协商一致，共同确定解决方案和行动步骤。选项B“设备检修”虽然与事件管理有关，但不是事件管理的直接目的。选项C“中断”和选项D“配置信息”都与事件管理的目标不完全吻合。因此，正确答案是A。39.变更请求（RFC）的目的是（）。A.RFC触发变更流程B.RFC记录由服务申请所产生的变更C.RFC用于申请对服务预算做出变更D.RFC控制变更和发布和部署流程之间的关系答案：A解析：变更请求（RFC）的主要目的是触发变更流程。RFC通常用于记录对系统、服务或流程的需求变更，并通过正式流程进行审批和实施。因此，选项A“RFC触发变更流程”是正确的。选项B“RFC记录由服务申请所产生的变更”虽然描述了RFC的一部分功能，但不是其主要目的。选项C“RFC用于申请对服务预算做出变更”和选项D“RFC控制变更和发布和部署流程之间的关系”都不准确描述了RFC的主要目的。40.“多级SLA”是一个三层结构，下列哪层不是这样类型SLA的部分？（）A.客户级别B.公司级别C.配置级别D.服务级别答案：C解析：多级SLA通常是一个三层结构，包括客户级别、公司级别和服务级别。这三个级别共同构成了SLA的不同层次，用于定义和约束服务提供者与客户之间的服务质量和责任。然而，选项C中的“配置级别”并不是多级SLA的常规组成部分。因此，正确答案是C。多选题（共15题，共30分）41.ISO/IEC20000-1到-6中哪些是要求类标准。（）A.20000-6B.20000-4C.20000-2D.20000-1答案：AD解析：ISO/IEC20000-1到-6是一系列关于IT服务管理的标准。其中，ISO/IEC20000-1是IT服务管理的基础标准，它定义了IT服务管理的框架和概念。ISO/IEC20000-6则是关于服务台和服务台活动的标准，它提供了服务台运作的指南和最佳实践。这两个标准都是要求类标准，因为它们为组织提供了必须遵循的准则和流程。因此，选项A和D是正确的。选项B和C所代表的标准不是要求类标准。42.依据ISO20000-6:2017以下可构成减少ITSMS初审人日的因素包括（）。A.已获得的认证在最近12个月内对其至少实施了一次审核B.拟认证的范围已获得ISO/IEC27001证书C.已获得其他认证的范围大于拟认证的范围D.拟认证的范围与获得ISMS证书范围等同答案：ABCD解析：根据ISO20000-6:2017标准，减少ITSMS初审人日的因素包括：A.已获得的认证在最近12个月内对其至少实施了一次审核：这意味着组织已经通过了一个审核，并且该审核在最近12个月内完成，这可以作为减少初审人日的依据。B.拟认证的范围已获得ISO/IEC27001证书：如果组织已经获得了ISO/IEC27001证书，并且该证书覆盖的范围与拟认证的范围相同或更大，那么可以减少初审人日。C.已获得其他认证的范围大于拟认证的范围：如果组织已经获得了其他认证，并且这些认证的范围大于拟认证的范围，那么可以减少初审人日。D.拟认证的范围与获得ISMS证书范围等同：如果组织已经获得了与拟认证范围相同的ISMS证书，那么可以减少初审人日。因此，选项A、B、C和D都是减少ITSMS初审人日的因素。43.依据GB/Z20986，信息安全事件分级考虑的要素包括（）。A.客户投诉数B.社会影响C.系统损失D.信息系统重要程度答案：BCD解析：依据GB/Z20986，信息安全事件分级考虑的主要要素包括社会影响、系统损失和信息系统重要程度。这些要素共同决定了信息安全事件的严重性和紧急程度，从而指导了相应的应对措施和资源分配。因此，正确答案为BCD，即社会影响、系统损失和信息系统重要程度。44.事件管理中以下哪项不是管理性升级的活动？（）A.将一个事件的信息通知更多的高层管理者B.将事件转给具有更高技术水平的人解决C.为保持顾客满意使用尽可能多高级专家D.不能满足SLA中规定的事件解决时间要求答案：BCD解析：选项A，将事件信息通知给更多的高层管理者，是为了确保管理层对事件的了解和应对。这属于管理性升级的活动，因为涉及到通知更多的利益相关者。选项B，将事件转给具有更高技术水平的人解决，涉及到技术层面的决策，而不是单纯的管理性升级。这是为了确保事件得到专业处理。选项C，为保持顾客满意使用尽可能多高级专家，同样涉及到技术层面的决策，而不是管理性升级。这是为了确保顾客满意度。选项D，不能满足SLA中规定的事件解决时间要求，这通常会导致管理性升级，因为需要采取额外的措施来满足服务级别协议的要求。这涉及到通知更高层的管理者或调整资源。因此，选项B和C都不是管理性升级的活动。45.下列哪项的变化受变更管理控制？（）A.服务目录B.SLAC.服务需求D.供方合同答案：ABCD解析：变更管理控制涉及对服务目录、SLA（服务水平协议）、服务需求以及供方合同的管理和变更控制。这些项目都是与服务交付和运营相关的关键要素，因此它们的变化都受到变更管理控制的影响。服务目录记录了所有可用的服务及其相关信息，SLA定义了客户对服务提供者的服务期望，服务需求明确了客户或用户期望的服务类型和功能，供方合同则明确了服务提供者和客户之间的权利和义务。当这些项目发生变化时，需要通过变更管理来控制这些变化对服务交付和运营的影响，确保变更的顺利执行并满足客户的期望和要求。因此，A、B、C、D选项都是正确的。46.在IT服务管理中，“部署”活动包括：（）A.实施变更B.对变更的影响进行评估C.将服务组件迁移到生产环境D.将经测试的软件包转移到生产环境答案：CD解析：在IT服务管理中，“部署”活动主要包括将服务组件迁移到生产环境和将经测试的软件包转移到生产环境。因此，选项C和D是正确的。选项A“实施变更”和选项B“对变更的影响进行评估”不是部署活动的直接内容，因此不应被选中。47.确定审核时间，时间的分配应考虑以下哪些ITSMS特定因素（）。A.在ITSMS范围内，SLAs的水平和所使用的第三方协议B.适用于认证的标准和法规C.参与服务提供的其他相关方的数量，例如：供应商、充当供应商的内部小组或顾客D.以往已证实的ITSMS绩效答案：ABCD解析：在确定审核时间并分配时间时，需要综合考虑ITSMS（信息技术服务管理系统）的多个特定因素。这些因素包括：A.在ITSMS范围内，SLAs（服务水平协议）的水平和所使用的第三方协议：SLAs定义了服务提供者和客户之间的期望和承诺，而第三方协议则可能涉及与其他组织或供应商的合作。这些因素会影响审核的复杂性和所需的时间。B.适用于认证的标准和法规：不同的标准和法规要求不同的审核深度和广度。因此，确定审核时间时，需要考虑所适用的标准和法规的具体要求。C.参与服务提供的其他相关方的数量，例如：供应商、充当供应商的内部小组或顾客：审核不仅限于组织内部，还可能涉及外部合作伙伴和供应商。参与方数量的多少会影响审核的范围和复杂性，进而影响所需的时间。D.以往已证实的ITSMS绩效：组织的ITSMS绩效历史会影响审核的焦点和深度。如果组织在过去表现出良好的绩效，审核可能会更加侧重于验证和改进；而绩效不佳的情况则可能需要更深入的审查。因此，确定审核时间时，需要综合考虑以上所有因素。48.以下关于网络钓鱼的说法中，正确的是（）。A.网络钓鱼是“社会工程攻击”的一种形式B.网络钓鱼融合了伪装、欺骗等多种攻击方式C.网络钓鱼与Web服务没有关系D.典型的网络钓鱼攻击都将被攻击者引诱到一个通过精心设计的钓鱼网站上答案：ABD解析：网络钓鱼是一种攻击手段，属于“社会工程攻击”的一种，A项正确。这种攻击手段通过伪装和欺骗，诱导用户访问恶意网站，进而盗取用户的个人信息，如账号密码、银行卡信息等，B项正确。典型的网络钓鱼攻击确实是通过精心设计钓鱼网站，引诱用户访问，进而实施攻击，D项正确。网络钓鱼与Web服务是有关系的，因为它利用Web服务来诱骗用户，C项错误。综上，本题正确答案为ABD。49.根据GB/Z20986，关于信息安全产品的使用，以下说法不正确的的是（）。A.对于所有的信息系统，信息安全产品的核心技术、关键部件须具有我国自主知识产权B.对于三级以上信息系统，已列入信息安全产品认证目录的，应取得国家信息安全产品认证机构颁发的认证证书C.对于四级以上信息系统，信息安全产品研制的主要技术人员须无犯罪记录D.对于四级以上信息系统，信息安全产品研制单位须声明没有故意留有或设置漏洞答案：ACD解析：A选项：对于所有的信息系统，信息安全产品的核心技术、关键部件须具有我国自主知识产权。这个说法过于绝对，GB/Z20986并没有规定所有的信息系统都需要使用具有我国自主知识产权的信息安全产品核心技术和关键部件。B选项：对于三级以上信息系统，已列入信息安全产品认证目录的，应取得国家信息安全产品认证机构颁发的认证证书。这是符合GB/Z20986的规定，因此B选项是正确的。C选项：对于四级以上信息系统，信息安全产品研制的主要技术人员须无犯罪记录。GB/Z20986并没有明确规定四级以上信息系统信息安全产品研制的主要技术人员必须无犯罪记录，因此C选项是不正确的。D选项：对于四级以上信息系统，信息安全产品研制单位须声明没有故意留有或设置漏洞。这个规定过于主观，并且缺乏明确的标准，因此D选项是不正确的。综上所述，A、C、D选项都是不正确的，因此答案是A、C、D。50.根据《中华人民共和国计算机信息系统安全保护条例》，公安机关对计算机信息系统保护工作行使下列哪些监督职权（）。A.监督、检查、指导计算机信息系统安全保护工作B.查处危害计算机信息系统安全的违法犯罪案件C.计算机信息系统安全等级保护的级别划分D.履行计算机信息系统安全保护工作的其他监督职责答案：ABD解析：《中华人民共和国计算机信息系统安全保护条例》明确规定，公安机关在计算机信息系统安全保护工作中，有权对计算机信息系统的安全保护工作进行监督、检查、指导，有权查处危害计算机信息系统安全的违法犯罪案件，以及履行计算机信息系统安全保护工作的其他监督职责。因此，选项A、B和D都是公安机关在计算机信息系统安全保护工作中可以行使的监督职权。而选项C“计算机信息系统安全等级保护的级别划分”并不属于公安机关的监督职权，因此不应选。51.基础环境运维服务通常包括（）。A.蓄水/蓄冷罐的维护维修B.主机设备的定期巡检C.机房电力系统预防性维护D.安防系统的实时监答案：ACD解析：基础环境运维服务通常涉及对机房内各种设施的日常管理和维护，以确保其正常运行。主机设备是机房内的重要组成部分，定期巡检有助于及时发现并解决问题，避免潜在的运行风险。机房电力系统是机房运行的基础，预防性维护可以确保电力的稳定供应，避免因电力问题导致的停机事故。安防系统的实时监控可以保障机房的安全，防止未经授权的人员进入或设备被盗。蓄水/蓄冷罐的维护维修虽然与机房环境有关，但不属于基础环境运维服务的范畴。因此，正确答案为ACD。52.ISO/IEC20000标准中IT服务的预算及核算管理的内容包括哪些？（）A.预算编制B.计费C.核算D.采购答案：AC解析：在ISO/IEC20000标准中，关于IT服务的预算及核算管理，主要包括预算编制和核算两个方面。这是基于ISO/IEC20000标准对于IT服务管理的要求，该标准强调对服务进行有效的规划、交付、支持和改进，其中涉及到预算和核算的管理。因此，选项A“预算编制”和选项C“核算”是正确的。选项B“计费”和选项D“采购”并不直接涉及预算及核算管理的内容，因此是错误的。53.在建立新的服务级别协议时，下列哪项是服务级别管理应该考虑的？（）A.变更服务级别协议可能发生的影响能被确定B.变更管理规程C.新的服务级别协议业务目标D.在其它已存在的服务级别协议中的条件能够继续达到要求答案：ACD解析：服务级别管理在建立新的服务级别协议时，需要考虑以下几个方面：A.变更服务级别协议可能发生的影响能被确定：这是服务级别管理需要关注的重要一点。当服务级别协议发生变更时，可能会产生一系列影响，包括服务质量的改变、成本的变动等。因此，服务级别管理需要评估这些变更可能带来的影响，并制定相应的应对措施。C.新的服务级别协议业务目标：服务级别协议的核心是明确服务的业务目标，包括服务的质量、可用性、响应时间等。因此，在建立新的服务级别协议时，必须明确这些业务目标，并将其纳入服务级别管理的考虑范围。D.在其它已存在的服务级别协议中的条件能够继续达到要求：当建立新的服务级别协议时，需要确保不会影响到其它已存在的服务级别协议的执行。因此，服务级别管理需要评估新的协议是否能够满足其它协议的条件，并确保其能够达到预期的要求。B选项“变更管理规程”虽然与服务级别管理有关，但不是建立新的服务级别协议时应该重点考虑的内容。变更管理规程主要是用来规范变更的流程和管理，而不是直接针对服务级别协议的建立。因此，B选项不符合题目要求。54.内审策划文件中应包括（）。A.不符合准则B.审核范围C.审核频次和方法D.审核结论答案：BC解析：内审策划文件是内部审计部门为了进行内部审核而制定的计划性文件，它应该明确审核的范围、频次和方法，以便审核人员能够按照规定的程序和要求进行审核。而“不符合准则”和“审核结论”并不是内审策划文件中必须包含的内容。因此，选项A和D是不正确的，而选项B和C是正确的。所以，内审策划文件中应包括审核范围、审核频次和方法。55.信息技术服务管理体系的范围应依据（）确定。A.组织的外部和内部事项B.组织所识别的相关的要求C.组织实施的活动之间及其与其他组织实施的活动之间的接口和依赖关系D.ISO/IEC20000-1:2018的标准要求答案：ABC解析：信息技术服务管理体系的范围确定是一个复杂的过程，需要综合考虑多个因素。首先，组织的外部和内部事项，包括组织的运营环境、资源、能力以及与其他组织的交互等，都会对服务管理体系的范围产生影响。其次，组织所识别的相关的要求，包括法律法规、行业标准、客户需求等，也是确定服务管理体系范围的重要依据。最后，组织实施的活动之间及其与其他组织实施的活动之间的接口和依赖关系，也是确定服务管理体系范围时需要考虑的因素。因此，选项A、B、C都是正确的。而选项D提到的ISO/IEC20000-1:2018的标准要求，虽然是一个重要的参考标准，但并不是确