cisp考试题库(含答案)

cisp考试题库(含答案)

姓名：__________考号：__________题号一二三四五总分评分一、单选题(共10题)1.以下哪项不是CISP考试的基本要求？()A.熟悉信息安全基础知识B.掌握网络安全技术C.具备编程能力D.了解法律法规2.在信息安全事件处理中，以下哪个步骤不是必要的？()A.事件检测B.事件分析C.事件报告D.事件恢复3.以下哪种加密算法属于对称加密？()A.RSAB.AESC.DESD.SHA-2564.在网络安全防护中，以下哪种措施不属于物理安全？()A.安装门禁系统B.建立防火墙C.使用防病毒软件D.做好数据备份5.以下哪个组织发布了ISO/IEC27001标准？()A.国际标准化组织(ISO)B.国际电信联盟(ITU)C.国际电气工程师协会(IEEE)D.国际信息安全认证联盟(CISPA)6.在网络安全中，以下哪种攻击方式属于拒绝服务攻击？()A.端口扫描B.中间人攻击C.拒绝服务攻击D.SQL注入7.以下哪个不是信息安全风险评估的步骤？()A.确定资产价值B.识别威胁C.评估风险D.制定安全策略8.以下哪种认证属于人员认证？()A.生物识别认证B.硬件令牌认证C.软件令牌认证D.数据库认证9.在网络安全防护中，以下哪种措施不属于访问控制？()A.用户权限管理B.身份验证C.数据加密D.网络隔离10.以下哪个不是网络攻击的类型？()A.网络钓鱼B.拒绝服务攻击C.端口扫描D.系统漏洞利用二、多选题(共5题)11.CISP考试中，信息安全风险评估包括哪些步骤？()A.确定资产价值B.识别威胁C.评估脆弱性D.评估影响E.识别控制措施F.评估控制有效性12.以下哪些属于网络安全的基本防护措施？()A.用户权限管理B.防火墙技术C.网络隔离D.入侵检测系统E.安全审计F.安全漏洞扫描13.以下哪些是常见的网络安全攻击类型？()A.网络钓鱼B.拒绝服务攻击C.中间人攻击D.SQL注入E.DDoS攻击F.端口扫描14.在信息安全管理体系中，ISO/IEC27001标准要求组织建立哪些基本控制？()A.物理安全控制B.访问控制C.网络安全控制D.系统和应用控制E.信息安全管理政策F.业务连续性管理15.以下哪些是CISP考试所涵盖的知识领域？()A.法律法规B.信息安全基础C.网络安全技术D.信息安全管理体系E.应急响应与事件管理F.数据备份与恢复三、填空题(共5题)16.CISP考试中的‘C’代表的是______。17.信息安全管理体系ISO/IEC27001标准中的‘27001’指的是______。18.在信息安全风险评估中，______是指对系统或资产可能受到的威胁进行识别。19.网络安全事件处理流程中，______是第一步，用于发现和报告安全事件。20.CISP认证的有效期是______年。四、判断题(共5题)21.CISP考试的内容仅限于理论知识。()A.正确B.错误22.ISO/IEC27001标准要求组织必须进行定期的内部审计。()A.正确B.错误23.拒绝服务攻击（DoS）不会对网络造成损害。()A.正确B.错误24.数据加密是网络安全防护中的唯一手段。()A.正确B.错误25.信息安全风险评估的结果应该对外公开。()A.正确B.错误五、简单题(共5题)26.请简述信息安全风险评估的目的。27.在CISP考试中，如何准备网络安全技术部分的复习？28.什么是安全审计，它在信息安全管理体系中扮演什么角色？29.请解释什么是中间人攻击，并说明其危害。30.简述如何实施有效的信息安全培训。

cisp考试题库(含答案)一、单选题(共10题)1.【答案】C【解析】CISP考试主要考察信息安全基础知识、网络安全技术和法律法规，编程能力并非基本要求。2.【答案】D【解析】信息安全事件处理包括事件检测、事件分析和事件报告，事件恢复是处理后的一个步骤，不是必要的前置步骤。3.【答案】B【解析】AES和DES都属于对称加密算法，而RSA和SHA-256分别是对称加密和非对称加密算法。4.【答案】C【解析】物理安全包括对物理设施的防护，如门禁系统、防火墙和数据备份，而防病毒软件属于软件安全措施。5.【答案】A【解析】ISO/IEC27001标准是由国际标准化组织(ISO)发布的，用于指导组织建立和维护信息安全管理体系。6.【答案】C【解析】拒绝服务攻击(DoS)是指攻击者通过多种手段使目标系统或网络服务不可用。7.【答案】D【解析】信息安全风险评估的步骤包括确定资产价值、识别威胁和评估风险，制定安全策略是风险评估后的行动。8.【答案】A【解析】生物识别认证是通过人体生物特征进行身份验证，属于人员认证的一种方式。9.【答案】C【解析】访问控制包括用户权限管理、身份验证和网络隔离，数据加密属于数据保护措施。10.【答案】D【解析】网络攻击类型包括网络钓鱼、拒绝服务攻击和端口扫描，系统漏洞利用是攻击手段而非攻击类型。二、多选题(共5题)11.【答案】ABCDF【解析】信息安全风险评估通常包括确定资产价值、识别威胁、评估脆弱性、评估影响、识别控制措施和评估控制有效性等步骤。12.【答案】ABCDE【解析】网络安全的基本防护措施包括用户权限管理、防火墙技术、网络隔离、入侵检测系统、安全审计和安全漏洞扫描等。13.【答案】ABCDEF【解析】常见的网络安全攻击类型包括网络钓鱼、拒绝服务攻击、中间人攻击、SQL注入、DDoS攻击和端口扫描等。14.【答案】ABCDEF【解析】ISO/IEC27001标准要求组织建立物理安全控制、访问控制、网络安全控制、系统和应用控制、信息安全管理政策以及业务连续性管理等基本控制。15.【答案】ABCDEF【解析】CISP考试涵盖的知识领域包括法律法规、信息安全基础、网络安全技术、信息安全管理体系、应急响应与事件管理以及数据备份与恢复等。三、填空题(共5题)16.【答案】CertifiedInformationSecurityProfessional【解析】CISP的全称是CertifiedInformationSecurityProfessional，即认证信息安全专业人员。17.【答案】国际标准编号【解析】ISO/IEC27001中的数字27001是国际标准的编号，它代表了这个标准在ISO和IEC标准库中的位置。18.【答案】威胁识别【解析】威胁识别是信息安全风险评估过程中的第一步，它涉及识别可能对系统或资产造成损害的潜在威胁。19.【答案】事件检测【解析】事件检测是网络安全事件处理流程的第一步，它包括监控网络和系统，以识别和记录可疑或异常的活动。20.【答案】3【解析】CISP认证的有效期为3年，认证持有者需要在有效期满前重新参加考试以维持其认证资格。四、判断题(共5题)21.【答案】错误【解析】CISP考试不仅考察信息安全理论知识，还包括实践技能和案例分析，旨在全面评估应试者的信息安全专业能力。22.【答案】正确【解析】ISO/IEC27001标准确实要求组织建立内部审计机制，以确保信息安全管理体系的有效性得到持续监督。23.【答案】错误【解析】拒绝服务攻击（DoS）通过占用系统资源或网络带宽，使合法用户无法访问服务，对网络和系统会造成严重损害。24.【答案】错误【解析】数据加密是网络安全防护的重要手段之一，但不是唯一的手段。其他防护措施如访问控制、防火墙等同样重要。25.【答案】错误【解析】信息安全风险评估的结果通常包含敏感信息，如资产价值、脆弱性和威胁等，因此不应对外公开，以保护组织的安全。五、简答题(共5题)26.【答案】信息安全风险评估的目的是为了识别组织面临的信息安全风险，评估这些风险的可能性和影响，从而帮助组织做出合理的决策，以降低风险并保护信息资产的安全。【解析】风险评估是信息安全管理体系的重要组成部分，通过风险评估，组织可以更加明确地了解自己的安全状况，采取相应的措施来预防和减轻风险。27.【答案】准备网络安全技术部分的复习，可以从以下几个方面入手：1)理解网络协议和架构；2)学习常见网络攻击和防御技术；3)熟悉安全设备和技术；4)了解最新的网络安全趋势和技术发展。【解析】网络安全技术是CISP考试的重要部分，通过系统学习网络基础知识、安全技术和实践案例，可以提高应试者对网络安全技术的理解和应对能力。28.【答案】安全审计是对组织的IT系统、网络和应用程序进行审查，以确定是否存在安全漏洞和不符合安全政策的地方。它在信息安全管理体系中扮演着监督和评估的角色，确保信息安全控制措施得到有效实施。【解析】安全审计有助于组织发现和纠正安全漏洞，评估安全策略和程序的执行情况，是确保信息安全管理体系持续有效性的关键环节。29.【答案】中间人攻击（MITM）是一种网络安全攻击，攻击者插入到两个通信实体之间，截取并可能篡改双方之间的通信。其危害包括窃取敏感信息、篡改数据、伪造身份认证等，严重威胁通信安全。【解析】中间