cisp信息安全考试题(1)
-
以下哪些事件对于组织可能会成为灾难性事件： 1. 地震、洪水、龙卷风、火灾 2. 恐怖袭击、电力和通讯中断 3. 黑客攻击、病毒蔓延 4. 硬件故障、软件升级导致系通宕机
- A.1、2
- B.2、3、4
- C.1、2、3
- D.1、2、3、4
-
在发生哪些灾难事件时组织应启动业务连续计划：
- A.不一定，应根据对组织的影响情况
- B.不一定，应根据灾难大小而定
- C.洪水、地震
- D.恐怖袭击电力中断、黑客攻击
-
以下哪一项是防止口令嗅探攻击，以免危及计算机系统安全的控制措施?
- A.静态和循环口令
- B.一次性口令和加密
- C.加密和循环口令
- D.静态和一次性口令
-
下面哪一种加密体系可以提供机密性、认证和抗抵赖服务?
- A.对称加密。
- B.非对称加密。
- C.共享密码加密。
- D.数字签名。
-
在局域网环境中，以下哪一项最不需要冗余计划?
- A.线缆
- B.服务器
- C.供电系统
- D.集线器
-
信息系统主管和审计主管都同意需要保证传输及数据安全性和完整性。确保卫星传输机密性的最好办法是：
- A.加密。
- B.访问控制
- C.监控软件
- D.循环冗余校验
-
对于组织选择灾难恢复策略，以下说法正确的是：
- A.对于大规模的组织一般热站是较好的选择
- B.对于小型组织一般冷站是比较好的选择
- C.选择什么样的恢复策略需要根据具体情况而定
- D.以上都不对
-
通过哪一项可以控制无效率地使用大量的计算机设备?
- A.应急计划。
- B.系统可行性研究。
- C.容量规划。
- D.例外报告。
-
以下哪些问题是最严重的，以至于能够导致一个组织完全不能保证其关键数据或系统的机密性、完整性和可用性?
- A.缺少审计轨迹和安全报告
- B.缺少安全监控措施，并且缺乏有效的安全管理规划
- C.缺少访问控制措施，灾难恢复计划不充分
- D.缺少入侵检测，没有警报器和警卫
-
应该由谁来进行灾难宣告激活业务连续计划
- A.业务连续经理
- B.CEO
- C.被授权的人
- D.CIO
-
以下针对BCP说法正确的是 1. 组织只能有一个BCP 2. 对于小规模的只能有一个BCP 3. 对于大规模的组织可以有多个BCP 4. 如果信息系统的BCP和DRP要单独建立，必须与组织的总的BCP计划保持一致
- A.1和2
- B.2和3
- C.3和4
- D.所有
-
你在信息系统审计时发现，虽然建立了灾备中心和业务连续计划，但是一旦发生灾难性事件给组织带来的损失还是巨大，然而这无法通过提升这个灾备中心能力等技术手段获得解决。此时最适合的措施是：
- A.根据风险水平购买保险
- B.让外包商承担这个损失
- C.建立第二个灾备中心
- D.什么也不做
-
一个地区性商业银行正在考虑建立DRP，哪一项恢复策略对于它最适合：
- A.无法确定
- B.选择热站
- C.电子连接
- D.双机热备
-
与人工监控相比，以下除哪一项外都是自动环境控制的优势?
- A.系统探测器执行诊断和分析
- B.顺序关闭主机系统
- C.恢复缓慢
- D.问题记录和通知
-
在进行灾难恢复操作之前，组织最先应进行的工作是：
- A.确定灾难恢复策略
- B.灾难宣告
- C.向管理层报告损失
- D.评估灾难的影响
-
审计轨迹是有助于管理者管理个人责任的技术机制，以下哪一项控制能更好地与审计轨迹协同工作?
- A.物理访问控制
- B.环境控制
- C.管理控制
- D.逻辑访问控制
-
为提供充分的物理访问补偿性控制，以下哪一项最不适用?
- A.ID身份卡
- B.口令
- C.磁卡
- D.访客登记
-
一个银行所在的大楼发生火灾，这个组织首先要做的事情是：
- A.进行事件影响评估
- B.疏散相关人员
- C.抢救服务器上的硬盘
- D.以上所有
-
组织建立BCP的作用包括
- A.在遭遇灾难事件时，能够最大限度地保护组织数据的实时性、完整性和一致性=;，
- B.提供各种恢复策略选择，尽量减小数据损失和恢复时间，快速恢复操作系统、应用和数据;
- C.保证在发生各种不可预料的故障、破坏性事故或灾难情况时，能够持续服务，确保业务系统的不间断运行，降低损失;
- D.以上都是。
-
作为信息系统审计师你在一次内审过程中，发现生产中心的数据库安全了一个新的补丁程序，但是灾备中心的数据库没有安装这个补丁程序，下一步最适合的行动是：
- A.记录这个事件
- B.向业务连续经理报告
- C.告知相关人员安装补丁
- D.通知相关人员并询问原因
-
从计算机安全角度出发，以下哪一项是社交工程的直接例子?
- A.计算机犯罪
- B.蒙受欺骗和遭到强迫
- C.计算机盗窃
- D.计算机破坏
-
肩窥可通过以下哪一项之外的其他方式来预防?
- A.加强教育和意识
- B.预防密码被猜中
- C.采用加密技术
- D.在输入密码时告诉旁边的人不要观看
-
组织刚刚建立了业务连续计划，接下来应首先进行：
- A.预备性测试
- B.全面测试
- C.桌面测试
- D.局部测试
-
以下关于防火墙的描述哪一项不正确?
- A.防火墙能够执行安全策略
- B.防火墙能够产生审计日志
- C.防火墙能够阻止组织安全状况的暴露
- D.防火墙能够防病毒
-
逻辑访问控制为计算机系统的访问控制提供了技术方法，以下哪一项不是逻辑访问控制的收益?
- A.完整性
- B.可用性
- C.可靠性
- D.机密性
-
以下哪一种攻击方式利用了动态系统活动和操纵这些活动的时间安排的能力?
- A.主动式攻击
- B.被动式攻击
- C.同步攻击
- D.隧道攻击
-
当移动用户访问主机时，以下哪一种身份验证机制会导致潜在的安全问题?
- A.静态口令交换机制
- B.基于地址的机制
- C.一次性口令机制
- D.挑战-响应式机制
-
以下哪一项不是防火墙系统的主要组件或内容?
- A.协议过滤
- B.应用网关
- C.扩充日志性能
- D.包交换
-
为获得最有效的交易安全，指出以下应使用加密技术的层次：
- A.整个信息包层次
- B.记录层次
- C.文件层次
- D.信息字段层次
-
Kerberos是一种：
- A.面向访问的保护系统
- B.面向票的保护系统
- C.面向列表的保护系统
- D.面向锁和键的保护系统
-
以下哪一种计算机存储介质需要垂直存放在无酸环境中以保证介质获得最长的存储时间?
- A.磁带
- B.磁盘驱动器
- C.软盘
- D.CD/DVD
-
以下哪一项联合控制不适用于熄灭火灾?
- A.烟雾/火灾探测器
- B.水喷淋设施
- C.不间断电源设备
- D.火灾或撤离演练
-
以下哪一种安全威胁与无线局域网络最不相关?
- A.信息拦截
- B.系统不可用
- C.系统不可靠
- D.设备盗窃
-
针对威胁、风险或损失，以下哪一类控制提供了第一道防线?
- A.用户ID和口令
- B.软件测试
- C.回拨调制解调器
- D.交易日志
-
在检查信息系统评估其隐私风险时，除以下哪一项外都是IS审计师必须考虑的?
- A.确保在发布敏感数据前得到客户的恰当许可。
- B.流程中对客户数据的业务需求。
- C.对客户的适当声明，如：使用何种数据以及如何保护数据。
- D.客户数据隐私保护的相关法律、法规。
-
对电子商务应用系统而言，以下哪一项是建立安全的在线应用系统的基础?
- A.客户机安全性
- B.安全的传输协议
- C.操作系统安全
- D.服务器安全
-
在分布式计算环境中，系统安全扮演着重要角色，存在着两种网络攻击方式：主动式和被动式攻击，以下哪一种是被动式攻击?
- A.试图登录进入其他人的账户
- B.在网络线路上搭线以产生错误信息
- C.对合法用户拒绝服务
- D.在用户输入系统口令时窃听
-
缓冲溢出是由以下哪一项造成的?
- A.WEB服务器配置错误
- B.操作系统软件缺陷
- C.CGI脚本缺陷
- D.WEB服务器缺陷
-
在密码认证体系中应明确指定使用何种加密算法，以下哪一种认证体系能降低计算机网络系统中的人员冒充风险?
- A.基于Kerberos的认证体系
- B.基于口令的认证体系
- C.基于ID卡的认证体系
- D.基于智能令牌的认证体系
-
拒绝服务攻击可通过以下哪一种方式来预防?
- A.冗余
- B.隔离
- C.政策
- D.规程
-
按照从强到弱的顺序，对以下抗重放攻击的验证机制进行排序。
- A.仅使用口令、口令和PIN、挑战-响应、一次性口令
- B.口令和PIN、挑战-响应、一次性口令、仅使用口令
- C.挑战-响应、一次性口令、口令和PIN、仅使用口令
- D.挑战-响应、口令和PIN、一次性口令、仅使用口令
-
对于RTO以下说法正确的是：
- A.选择冷战策略的RTO会较长
- B.选择移动站点策略的RTO最短
- C.选择热站策略的RTO较短
- D.选择热站策略的RTO不一定短
-
以下那一项信息资源访问规则会对访问控制的有效性产生最大影响?
- A.知所必需的原则
- B.最小授权的原则
- C.职责分离的原则
- D.授权延伸的原则
-
通过业务影响分析，组织能够获得哪些输出 1. RTO和RPO 2. 主要面临的风险 3. 关键业务等级 4. 信息系统关联性 5. 恢复最小服务级别 6. 关键业务损失与影响
- A.1、2、3、4、5
- B.1、2、4、5、6
- C.1、3、4、5、6
- D.1、2、3、4、6
-
信息安全控制措施的具体实施职责属于以下哪一类人员?
- A.信息安全委员会.
- B.信息安全经理.
- C.数据所有者.
- D.IT开发人员
-
以下那一个角色一般不能对安全日志文件实施检查?
- A.安全管理员
- B.安全主管
- C.系统主管
- D.系统管理员
-
进行BCP演练最重要的作用是：
- A.评价BCP演练个人能力
- B.检验BCP团队成员的其他员工培训效果
- C.验证BCP的可用性与完整性
- D.评价外部供应商之间的协调性
-
程序员经常为方便跟踪调试而在程序中植入一段代码或留下特定入口，这些入口点称为：
- A.逻辑炸弹
- B.蠕虫
- C.陷门
- D.特洛伊木马
-
以下哪一项是边界控制的示例?
- A.网关
- B.网桥
- C.调制解调器
- D.防火墙
-
谁应对组织的业务连续性计划负责(Accountability)：
- A.业务连续经理
- B.CEO
- C.人力资源经理
- D.以上都是