2026年信息系统审计业务培训考核试题含答案

2026年信息系统审计业务培训考核试题含答案一、单项选择题（本大题共20小题，每小题2分，共40分）1.信息系统审计所关注的主要目标不包括（）。A.信息资产的安全性B.系统运行的效率性C.数据处理的有效性D.企业净利润最大化答案：D解析：企业净利润最大化属于经营目标，不是信息系统审计直接关注的目标。信息系统审计主要关注信息资产的保密性、完整性、可用性以及系统运行的效率性、效果性和合规性。2.COBIT框架主要用于（）。A.财务审计B.IT治理与管理C.产品质量检验D.人力资源绩效评估答案：B3.下列关于审计证据可靠性的说法，正确的是（）。A.被审计单位内部生成的书面证据总是比外部证据可靠B.审计人员通过直接观察获得的证据可靠性一定最高C.来自外部独立第三方的书面证据通常比内部证据更可靠D.口头证据可以单独作为充分可靠的审计证据答案：C4.下列各项中，属于应用控制的是（）。A.操作系统的口令策略B.机房门禁管理C.输入数据的格式校验D.数据库备份策略答案：C5.信息系统一般控制不包括（）。A.逻辑访问控制B.程序变更控制C.交易数据合理性校验D.系统开发控制答案：C解析：交易数据合理性校验属于应用控制，一般控制主要针对整体信息系统环境。6.审计跟踪（AuditTrail）的主要作用是（）。A.提高系统运行速度B.支持事后追溯和安全审计C.减少数据存储容量D.替代用户身份认证答案：B7.计算机辅助审计技术（CAATs）中，用于将两个数据文件中的记录进行核对以发现差异的方法是（）。A.数据比对B.测试数据法C.平行模拟D.集成测试设施答案：A解析：数据比对用于识别两个数据文件之间的差异；测试数据法、平行模拟、集成测试设施主要用于测试系统处理逻辑或程序控制。8.数字签名可以提供的安全功能是（）。A.数据的机密性B.身份认证、数据完整性和不可否认性C.系统的可用性D.网络带宽优化答案：B9.在风险评估中，通常使用（）来计算风险值。A.威胁发生的可能性×影响程度B.资产数量×员工人数C.系统价格×使用年限D.网络带宽×存储容量答案：A10.灾难恢复计划中的RTO是指（）。A.恢复点目标B.恢复时间目标C.最大数据丢失量D.最低运行温度答案：B解析：RTO（RecoveryTimeObjective）指灾难发生后系统或业务恢复运行所需的最长可接受时间；RPO（RecoveryPointObjective）是恢复点目标，反映可容忍的数据丢失量。11.符合性测试的主要目的是（）。A.直接证明财务报表金额B.评价内部控制是否按照设计要求有效运行C.计算系统投资回报率D.确定硬件设备折旧答案：B12.下列控制措施中，属于预防性控制的是（）。A.定期审查系统访问日志B.输入数据的格式校验C.差异报告D.盘点后发现盘亏答案：B解析：输入格式校验在数据进入系统前防止错误，属于预防性控制；日志审查、差异报告、盘点通常属于检查性控制。13.关于防火墙，下列说法正确的是（）。A.防火墙可以防范所有类型的网络攻击B.防火墙主要用于控制不同网络之间的访问C.防火墙能够完全防止计算机病毒传播D.防火墙不需要进行配置即可使用答案：B14.在评估IT治理时，审计人员首先应关注（）。A.业务目标与IT目标是否保持一致B.服务器品牌是否统一C.开发人员数量是否足够D.办公区域面积大小答案：A15.在系统开发生命周期（SDLC）中，审计人员介入的最佳阶段是（）。A.系统上线运行后B.需求分析与系统设计阶段C.程序编码完成后D.系统报废时答案：B解析：审计人员在需求分析与系统设计阶段介入，能够尽早发现控制缺陷，降低纠正成本，并避免缺陷进入后续开发阶段。16.下列属于逻辑访问控制的是（）。A.机房门禁卡B.用户账号与密码C.视频监控D.安全警卫答案：B17.在云计算环境下，信息系统审计应重点关注（）。A.云服务商的数据安全与合规性B.云数据中心的装修风格C.云服务商员工平均年龄D.用户的浏览器类型答案：A18.以下哪项措施属于数据库敏感数据保护手段？（）A.数据脱敏B.数据压缩C.索引优化D.负载均衡答案：A19.下列各项中，不属于审计工作底稿基本要素的是（）。A.审计人员姓名B.审计日期C.审计发现及结论D.被审计单位年度净利润答案：D解析：审计工作底稿应记录审计程序、证据、结论及相关人员和时间，被审计单位净利润并非必备要素。20.根据信息系统审计相关准则，信息系统审计人员应当具备并保持（）。A.独立性与客观性B.专业胜任能力C.应有的职业谨慎D.以上都是答案：D二、多项选择题（本大题共10小题，每小题3分，共30分。多选、少选、错选均不得分）1.信息系统一般控制通常包括（）。A.逻辑访问控制B.程序变更控制C.系统开发控制D.输入数据格式校验答案：ABC解析：输入数据格式校验属于应用控制，一般控制针对整体环境。2.下列属于应用控制的有（）。A.输入数据的合法性校验B.输出报告的人工复核C.系统接口数据传输校验D.操作系统用户权限分配答案：ABC解析：操作系统用户权限分配属于一般控制中的逻辑访问控制。3.审计证据的类型可以包括（）。A.书面证据B.电子证据C.口头证据D.通过观察获取的证据答案：ABCD4.COBIT5的原则包括（）。A.满足利益相关者需求B.覆盖企业端到端C.应用单一集成框架D.确保财务报告零错报答案：ABC解析：COBIT5原则包括满足利益相关者需求、覆盖企业端到端、应用单一集成框架、使一切能够实现整体方法、分离治理与管理。“确保财务报告零错报”不属于COBIT5原则。5.信息安全的CIA三要素包括（）。A.机密性B.完整性C.可用性D.可移植性答案：ABC6.灾难恢复计划（DRP）通常包含（）。A.应急响应流程B.关键业务恢复优先级C.数据备份与恢复策略D.员工年度休假安排答案：ABC解析：员工年度休假安排不属于DRP必要内容。7.以下属于持续审计或持续监控技术的有（）。A.嵌入式审计模块B.审计钩子C.传统季度手工抽凭D.数据仓库支持的分析平台答案：ABD解析：持续审计强调实时或近实时监控，传统季度手工抽凭不属于持续技术。8.关于渗透测试，正确的说法有（）。A.实施前应获得书面授权B.通过模拟攻击者行为发现安全漏洞C.测试后应对发现的漏洞进行修复D.只能针对生产环境进行答案：ABC解析：渗透测试可以针对测试环境或生产环境开展，但都需授权并谨慎操作，不是只能针对生产环境。9.使用计算机辅助审计技术（CAATs）的主要优势包括（）。A.提高审计效率B.能够处理全量数据而不仅是抽样C.增强审计证据的客观性D.完全消除审计风险答案：ABC解析：CAATs不能完全消除审计风险，只能在一定程度上降低和辅助识别风险。10.下列属于IT服务管理框架或标准的有（）。A.ITILB.ISO/IEC20000C.COSOERMD.ISO9001答案：AB解析：ITIL和ISO/IEC20000是IT服务管理领域框架或标准；COSOERM聚焦企业风险管理，ISO9001是质量管理体系，均不属于专门的IT服务管理框架。三、判断题（本大题共10小题，每小题1分，共10分。正确填“正确”，错误填“错误”）1.信息系统审计只关注技术控制，不涉及管理控制。答案：错误解析：信息系统审计既关注技术控制，也关注管理控制，二者共同影响信息资产安全。2.逻辑访问控制包括用户身份识别、认证与授权。答案：正确3.应用控制可以完全替代一般控制。答案：错误解析：一般控制是应用控制有效运行的环境基础，不能相互替代。4.数字签名可以保证数据在传输过程中的机密性。答案：错误解析：数字签名主要保证完整性和身份认证，通常不直接提供机密性；机密性需依靠加密技术。5.审计跟踪记录的内容越多越好，无需考虑存储成本。答案：错误解析：审计跟踪需要在安全需求与存储成本、性能影响之间取得平衡。6.风险值通常可以用威胁发生的可能性与影响程度的乘积来度量。答案：正确7.灾难恢复计划仅针对自然灾害，不适用于系统故障。答案：错误解析：灾难恢复计划覆盖自然灾害、系统故障、人为破坏等各类可能导致业务中断的事件。8.在云计算环境下，数据安全责任完全由云服务商承担。答案：错误解析：云服务商与云用户通常共担安全责任，用户对自身数据、访问控制和配置负有重要责任。9.CAATs可以用于审计数据分析和控制测试。答案：正确10.审计人员在进行信息系统审计时不需要了解被审计单位的业务流程。答案：错误解析：了解业务流程是识别风险和评价控制的前提，不做了解无法有效实施审计。四、简答题（本大题共2小题，每小题5分，共10分）1.简述信息系统一般控制与应用控制的主要区别。答案：一般控制是针对信息系统整体运行环境进行的控制，主要包括逻辑访问控制、程序变更控制、系统开发控制、运行管理控制等，适用于整个系统。应用控制是针对特定应用系统中数据处理过程进行的控制，主要包括输入控制、处理控制、输出控制和接口控制等。一般控制为应用控制提供基础，若一般控制失效，应用控制可能被绕过或失效。2.简述风险导向信息系统审计的基本步骤。答案：基本步骤包括：(1)了解被审计单位业务目标、IT环境和关键流程；(2)识别和评估重大错报风险及IT相关风险；(3)根据风险评估结果设计审计程序；(4)执行控制测试和实质性测试；(5)评价审计证据的充分性与适当性；(6)形成审计结论并出具审计报告。五、案例分析题（本大题共1题，共10分）案例资料：某公司财务信息系统多次出现越权访问和数据被异常修改的情况。审计人员调查发现：系统管理员同时负责系统运维和日常业务操作；多名员工共用一个管理员账号和密码；系统未开启安全审计日志；用户权限变更未经审批；离职人员账号未及时清理。请回答以下问题：(1)指出该公司存在的主要信息系统控制缺陷。（5分）(2)针对上述缺陷，提出改进建议。（5分）答案：(1)主要控制缺陷：-职责未分离：系统管理员同时负责运维和业务操作，缺乏相互制约；-身份认证和访问控制薄弱：多人共用管理员账号和密码，无法追溯到具体责任人；-安全审计缺失：未开启审计日志，越权访问和异常修改无法事后追踪；-权限管理不规范：权限变更未经审批，存在越权风险；-离职人员账号未及时