信息安全管理体系基础考试题及答案

信息安全管理体系基础考试题及答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。错选、多选或未选均无分。）1.在ISO/IEC27000系列标准中，主要用于建立信息安全管理体系（ISMS）要求的标准是（）。A.ISO/IEC27000B.ISO/IEC27001C.ISO/IEC27002D.ISO/IEC270052.PDCA循环是ISMS运行的核心模型，其中“C”代表的是（）。A.策划B.实施C.检查D.改进3.根据ISO/IEC27001，组织必须定期进行管理评审，其主要目的是为了确保信息安全管理体系的（）。A.持续适宜性、充分性和有效性B.符合性、完整性和保密性C.先进性、科学性和合理性D.经济性、高效性和安全性4.在资产识别与分类中，资产的价值通常不取决于（）。A.资产的购置成本B.资产对组织的业务价值C.资产的敏感程度D.资产的物理位置5.关于“需要知密”原则，下列描述正确的是（）。A.所有员工都有权访问所有业务信息B.只有被授权工作需要的人员才能访问信息C.只有管理层才能访问敏感信息D.信息应当对所有外部合作伙伴公开6.在信息安全事件管理中，第一时间发现并处理安全事件的人员通常被称为（）。A.信息安全经理B.事件响应小组C.一线响应人员D.风险评估小组7.ISO/IEC27002标准属于（）类标准。A.要求标准B.指南标准C.术语标准D.评估标准8.下列哪项不属于ISO/IEC27001中定义的顶层控制领域（2013版或2022版通用概念）（）。A.信息安全策略B.信息安全组织C.人力资源安全D.软件开发管理（注：2022版为类别，2013版为领域，此处考察通用概念，若按2013版A.14属于领域，需注意选项干扰。若考察A.14属于获取开发，选项D若指非标准术语则选D。此处设为：D.网络安全架构设计）9.风险评估公式Risk=f(Asset,Threat,Vulnerability)中，若威胁无限接近于0，则风险（）。A.无限大B.不变C.趋近于0D.无法计算10.业务连续性计划（BCP）中，用于在灾难发生后尽快恢复关键业务功能的计划称为（）。A.业务连续性策略B.灾难恢复计划（DRP）C.运营连续性计划D.危机沟通计划11.访问控制中，基于用户在组织中的角色进行权限分配的方式称为（）。A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于规则的访问控制12.关于密码技术的使用，下列做法不符合安全原则的是（）。A.使用强加密算法保护敏感数据B.定期更换加密密钥C.将密钥与加密数据存储在同一位置D.对密钥的生命周期进行管理13.在供应商关系中，组织应通过（）来管理与供应商相关的信息安全风险。A.签订保密协议B.进行审计C.建立供应商管理流程D.仅仅依靠口头承诺14.记录是证实符合ISMS要求和体系有效运行的证据，根据ISO/IEC27001，记录的控制要求应包括（）。A.标识、安全、可追溯B.建立、保留、处置C.编制、审核、批准D.收集、分析、报告15.在信息安全组织架构中，负责定义安全方向并确保安全实施的管理层角色是（）。A.信息安全论坛B.管理层代表C.信息安全负责人D.系统管理员16.下列哪项属于“技术性”控制措施（）。A.物理门禁B.防火墙C.安全意识培训D.管理制度17.文件化是ISMS建立的重要环节，关于文件控制，下列说法错误的是（）。A.文件发布前必须得到授权B.文件修改后需重新审批C.作废文件应立即销毁，不得保留D.应确保文件是清晰的、易识别的18.移动设备和远程办公的安全风险主要在于（）。A.设备处理速度慢B.缺乏物理边界和受控环境C.电池续航不足D.网络带宽限制19.符合性是ISMS的重要目标，组织必须确保其信息系统符合（）。A.仅符合内部规定B.仅符合客户要求C.法律法规、合同要求和安全要求D.仅符合ISO标准20.内部审核是ISMS“检查”环节的重要活动，审核员应（）。A.审核自己的工作B.独立于被审核活动C.必须来自外部机构D.无需具备专业知识二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在题后的括号内。错选、多选、少选或未选均无分。）1.信息安全的三要素（CIA）包括（）。A.机密性B.完整性C.可用性D.真实性E.不可否认性2.建立ISMS的PDCA循环中，“策划”阶段的主要活动包括（）。A.确定ISMS范围B.制定信息安全策略C.进行风险评估D.选择控制目标与控制措施E.实施培训3.根据ISO/IEC27001，适用性声明（SoA）应包含的内容有（）。A.组织选择的所有控制措施及其选择理由B.组织未选择的标准控制措施及其理由C.组织特有的控制措施D.具体的风险评估结果细节E.目标控制措施的验证结果4.常见的恶意软件类型包括（）。A.计算机病毒B.蠕虫C.特洛伊木马D.勒索软件E.防火墙5.信息安全事件管理的生命周期通常包括（）。A.检测和报告B.评估和分类C.响应D.经验教训E.销毁证据6.物理安全控制措施包括（）。A.物理入口控制B.办公室、房间和设施的安全保护C.设备维护D.防盗窃E.清晰桌面策略7.人力资源安全中，员工终止阶段的安全措施应包括（）。A.归还所有组织资产B.撤销访问权限C.执行终止保密协议D.离职面谈E.提高薪资8.操作安全中，关于日志管理的正确做法是（）。A.记录用户活动、异常情况和安全事件B.保护日志免遭篡改C.定期审查日志D.日志保留期限符合法规要求E.关闭所有日志以节省存储空间9.业务连续性管理（BCM）过程中，需要进行业务影响分析（BIA），BIA的主要目的是识别（）。A.关键业务活动B.资源依赖关系C.恢复时间目标（RTO）D.恢复点目标（RPO）E.所有员工的姓名10.系统获取、开发和维护中的安全要求包括（）。A.输入数据验证B.输出数据验证C.处理中的验证D.加密控制E.源代码审查三、填空题（本大题共10小题，每小题1分，共10分。请将答案填在题中的横线上。）1.ISO/IEC27001标准规定了建立、实施、维护和持续改进________的要求。2.风险评估的过程通常包括风险识别、风险分析和________。3.资产清单是资产管理的起点，清单中应包含资产的负责人、位置和________等信息。4.访问控制的正式流程应包括访问申请、审批、________和撤销。5.在密码学中，非对称加密算法使用一对密钥，即公钥和________。6.信息安全策略是由管理层制定的，用于指导组织如何管理、保护和传播________的高层文件。7.法律法规要求通常规定了组织必须遵守的最低限度，例如________法、数据保护法等。8.管理层代表是负责协调ISMS实施的人员，通常由________任命。9.为了防止信息泄露，在处理废弃介质（如硬盘、纸张）时，应采取________或安全销毁措施。10.网络安全控制中，________用于监控和控制进出网络的网络流量，是隔离内部受信任网络和外部不受信任网络的第一道防线。四、判断题（本大题共10小题，每小题1分，共10分。请判断下列各题的正误，正确的打“√”，错误的打“×”。）1.（）ISO/IEC27001是一个认证标准，组织可以依据该标准获得第三方认证。2.（）风险评估一旦完成，在体系运行期间就无需再次进行。3.（）如果组织将业务外包给第三方，组织就可以免除对该业务活动的信息安全责任。4.（）特权口令应由多人共享使用，且不得记录在任何地方。5.（）备份是防止数据丢失的重要措施，备份数据应存储在与主数据相同的安全区域。6.（）信息安全事件是指被识别出的、可能对组织资产或业务造成损害的系统或服务状态。7.（）全员参与是ISMS成功的关键因素之一，因此需要定期开展信息安全意识培训。8.（）移动计算和远程办公技术增加了信息泄露的风险，因此组织应禁止使用此类技术。9.（）适用性声明（SoA）是公开文件，必须包含组织的所有商业秘密。10.（）纠正措施是为了消除已发现的不合格或其他不期望情况的原因，防止再次发生。五、简答题（本大题共5小题，每小题6分，共30分。）1.请简述PDCA循环在信息安全管理体系（ISMS）中各阶段的主要任务。2.什么是风险评估？请列出风险评估的基本步骤。3.请解释“业务连续性”与“灾难恢复”之间的区别与联系。4.简述ISO/IEC27001标准中“管理承诺”的具体体现（至少列举四点）。5.在访问控制领域，什么是“职责分离”？请举例说明其重要性。六、应用与分析题（本大题共3小题，第1小题10分，第2小题15分，第3小题15分，共40分。）1.案例分析：某大型电商公司近期计划建立信息安全管理体系。公司拥有客户交易数据、员工个人信息以及核心算法代码。公司网络环境复杂，包含办公网、生产网和测试网。请结合ISO/IEC27001的要求，回答以下问题：(1)在确定ISMS范围时，应考虑哪些因素？（4分）(2)针对公司的核心资产（客户交易数据），应从哪些方面进行风险评估？（3分）(3)在网络隔离方面，建议采取哪些技术控制措施？（3分）2.综合应用题：某金融机构的信息安全事件响应小组接到了报告：核心数据库服务器无法访问，且监控显示有异常的大数据传输流出。(1)请描述信息安全事件响应的标准流程（如准备、检测等阶段）。（6分）(2)针对上述场景，事件响应小组在“遏制”阶段应采取哪些紧急措施？（5分）(3)事件处理完毕后，为什么需要进行“事后总结”？总结报告应包含哪些核心内容？（4分）3.场景分析与控制措施选择：一家软件开发企业决定依据ISO/IEC27001标准实施信息安全项目。在开发过程中，企业面临代码泄露、软件包含漏洞以及第三方组件依赖等风险。(1)请依据ISO/IEC27002（或ISO/IEC27001附录A）中的“系统获取、开发和维护”相关控制，列举至少4项针对软件开发生命周期的安全控制措施。（8分）(2)针对第三方组件依赖风险，组织应如何管理供应链安全？（4分）(3)在测试环节，为了确保安全性，应如何对测试数据进行保护？（3分）参考答案及解析一、单项选择题1.B[解析]ISO/IEC27001是ISMS的要求标准，用于认证。]2.C[解析]PDCA：Plan（策划）、Do（实施）、Check（检查）、Act（改进）。]3.A[解析]管理评审旨在评价体系的持续适宜性、充分性和有效性。]4.D[解析]资产价值主要基于业务价值、敏感性和安全需求，物理位置本身不决定价值，但影响风险。]5.B[解析]Need-to-know原则即只有工作需要的人员才能访问信息。]6.C[解析]一线响应人员通常是首先发现并处理事件的人员。]7.B[解析]ISO/IEC27002是实施ISO/IEC27001中的控制措施的指南代码。]8.D[解析]2013版中A.14为系统获取、开发和维护，属于标准领域。D选项“网络安全架构设计”非标准顶层领域名称，故选D。]9.C[解析]风险是威胁利用脆弱性对资产造成影响的可能性。若威胁为0，风险为0。]10.B[解析]DRP专注于IT系统的恢复，是BCP的一部分。]11.C[解析]RBAC基于角色分配权限。]12.C[解析]密钥与数据存储在一起（密钥托管）会严重降低安全性，一旦数据泄露密钥即泄露。]13.C[解析]需要建立完整的供应商管理流程，包括协议、监控和评审。]14.B[解析]记录控制要求包括建立、保留（维护）、处置（销毁）。]15.C[解析]信息安全负责人定义方向并确保实施。]16.B[解析]防火墙属于技术控制，其他属于管理或物理控制。]17.C[解析]作废文件若具有法律或历史价值需保留，但需标识隔离；若需销毁则安全销毁，并非“立即销毁不得保留”是绝对规则，C选项说法过于绝对且不符合档案管理原则。]18.B[解析]移动设备脱离了受控的办公物理边界，风险增加。]19.C[解析]合规性包括法律、规章、合同和安全要求。]20.B[解析]审核员应保持客观性和独立性，不能审核自己的工作。]二、多项选择题1.ABC[解析]CIA核心三要素为机密性、完整性、可用性。]2.ABCD[解析]策划阶段包括确定范围、策略、风险评估及选择控制措施。实施培训属于实施阶段。]3.ABC[解析]SoA包含选择的控制、未选控制及理由、特有控制。风险评估细节通常在风险评估报告中，SoA是结果摘要。]4.ABCD[解析]防火墙是安全设备，非恶意软件。]5.ABCD[解析]事件管理生命周期包括检测报告、评估分类、响应、事后总结（经验教训）。]6.ABCDE[解析]全部属于物理安全控制范畴。]7.ABCD[解析]离职时需归还资产、撤销权限、执行保密协议、面谈。]8.ABCD[解析]关闭日志会丢失审计线索，违反安全原则。]9.ABCD[解析]BIA识别关键业务、依赖关系、RTO和RPO。]10.ABCDE[解析]均属于开发生命周期中的安全控制。]三、填空题1.信息安全管理体系（或ISMS）2.风险评价3.分类（或安全分级）4.发放（或授予）5.私钥6.敏感信息（或重要信息）7.个人信息保护（或网络安全、商业秘密）8.最高管理者（或管理层）9.去磁（或消磁）10.防火墙四、判断题1.√[解析]ISO/IEC27001是可用于第三方认证的符合性标准。]2.×[解析]风险是动态的，应定期或在变更时进行重新评估。]3.×[解析]外包不转移责任，组织仍需对业务安全负责。]4.×[解析]特权口令严禁共享，且应记录在安全的地方或由系统托管。]5.×[解析]备份应存储在异地（离线或远程），以防主站点灾难。]6.√[解析]符合信息安全事件的定义。]7.√[解析]人是安全体系中最薄弱的环节，全员参与和培训至关重要。]8.×[解析]应制定移动设备安全策略进行管理，而非简单禁止。]9.×[解析]SoA包含控制措施选择情况，不应包含商业秘密，且不一定完全公开，视发布范围而定。]10.√[解析]符合纠正措施的定义。]五、简答题1.PDCA循环各阶段任务：策划：确立信息安全目标，确定范围，进行风险评估，选择控制措施，编制适用性声明。实施：实施所选的控制措施，编写管理体系文件，提供资源，培训人员，运行体系。检查：实施监视和测量，进行内部审核，管理评审，对照策略和目标检查绩效。改进：采取纠正和预防措施，以持续改进ISMS的有效性。2.风险评估及步骤：定义：风险评估是识别风险、分析风险并评价风险的过程，为处理风险提供依据。步骤：1.风险识别：识别资产、威胁、脆弱性以及现有控制措施。2.风险分析：分析威胁利用脆弱性的可能性、造成的影响程度，计算风险值。3.风险评价：将分析结果与风险准则进行比较，确定风险等级。3.业务连续性与灾难恢复的区别与联系：区别：BCP关注的是维持业务流程的连续性，范围更广，包含人员、办公场所、供应链等；DRP专注于IT基础设施和数据的恢复，是BCP的技术子集。联系：DRP是实现BCP目标的重要手段；BCP包含DRP。两者共同确保组织在灾难发生后能够生存和恢复。4.管理承诺的体现：建立信息安全方针和目标。确保建立ISMS所需的资源（人、财、物）。任命管理层代表。进行定期的管理评审。支持信息安全活动，确保全员参与。承担信息安全责任的最终问责。5.职责分离：定义：将关键的职责分解，由不同的个人或角色执行，以防止欺诈或错误。举例：在财务系统中，负责发起转账的人员和负责审批转账的人员不应是同一人；在开发环境中，开发人员不应拥有生产环境的发布权限。重要性：降低单点滥用权限的风险，提高操作的透明度和安全性。六、应用与分析题1.案例分析：(1)确定ISMS范围考虑因素：组织的业务战略、目标、位置、资产。组织的架构、流程、技术环境。法律法规要求。合同要求。外部相关方的观点。风险评估的结果（边界在哪里风险可控）。(2)针对客户交易数据的风险评估方面：资产识别：确定数据存储位置（数据库、备份）、数据流。威胁识别：黑客攻击、内部人员滥用、系统故障、物理盗窃。脆弱性识别：弱口令、未加密传输、权限过大、缺