《ISO27001信息安全管理体系注册审核员模拟试题》由会员分享，可在线阅读，更多相关《ISO27001信息安全管理体系注册审核员模拟试题（6页珍藏版）》请在金锄头文库上搜索。
1、ISO27001信息安全治理体系注册审核员模拟试题考题 A2023-04-07 来源：国家注册审核员网一、推断题 ：( 共 7 小题，共 28 分1. 信息安全的主要属性有保密性、完整性、可用性。【对 】2. 信息安全治理体系由假设干信息安全治理类组成。【对】3. 集中监控的网状部署构造的节点监控中心之间的通讯需要与治理中心协调调度方可进展。【错】4. 为了安全起见，网络安全员与报警处置中心联系的只使用网络这条唯一通道。【错】5. 黑色星期四 “是因有人通过 BELL 试验室与 Internet 连接的有漏洞的机器上放置了一个蠕虫程序而引起网络灾难得名的。【错】6. 信息战的军事目标是指一个国
2、家军队的网络系统、信息系统、数据资源。【错】7. 网络物理隔离是指两个网络间链路层、网络层在任何时刻都不能直接通讯。【错】二、单项选择题 ：( 共 8 小题，共 32 分1. 关于实现信息安全过程的描述，以下哪一项论述不正确。【 D 】A信息安全的实现是一个大的过程，其中包含很多小的可细分过程B组织应当是别信息安全实现中的每一个过程 C对每一个分解后的信息安全的过程实施监控和测量 D信息安全的实现是一个技术的过程2. 建立和实施信息安全治理体系的重要原则是。【D】A领导重视 B 全员参与 C 持续改进D以上各项都是 3. 组织在建立和实施信息安全治理体系的过程中，领导重视可以。【D】A指明方向
3、和目标B 供给组织保障C 供给资源保障 D. 以上各项都是 4. 你认为建立信息安全治理体系时，首先因该：【 B】A风险评估 B建立信息安全方针和目标C 风险治理D 制定安全策略5. 计算机信息系统安全专用产品检测和销售许可证治理方法是由那个部门公布的：【B】AB 公安部C 密码办D以上都不是6. 计算机信息系统安全专用产品，是指。【 C 】A用于保护计算机信息系统安全的专用硬件产品B用于保护计算机信息系统安全的专用软件产品C用于保护计算机信息系统安全的专用硬件和软件产品 D以上都不是7. 涉及国家隐秘的计算机信息系统，必需：【A】A实行物理隔离B 实行规律隔离C 实行单向隔离D 以上都不是8
4、. 计算机信息系统安全等级保护的等级是由那几个因素确定。【B】A依据计算机信息系统面临的风险 B依据计算机信息系统资源的经济和社会价值及其面临的风险 C依据计算机信息系统价值2023-8-5D以上都不是三、多项选择题 ：( 共 8 小题，共 40 分1. 信息安全方针和策略的流程是。【 ABC 】A安全方针和策略 B 资金投入治理 C 信息安全规划2. 从系统整体看，下述那些问题属于系统安全漏洞。【ABC 】D 以上都不是A、产品缺少安全功能B 、产品有 BugsC 、缺少足够的安全学问D 、人为错误3. 应对操作系统安全漏洞的根本方法是什么？。【AB 】A、对默认安装进展必要的调整C、准时安
5、装最的安全补丁B 、给全部用户设置严格的口令D 、更换到另一种操作系统4. 计算机安全事故包括以下几个方面。【 ABCD 】A. 因自然因素，导致发生危害计算机信息系统安全的大事B. 因自然因素，进入可能导致危害计算机信息系统安全的非正常运行状态的大事 C因人为缘由，导致发生危害计算机信息系统安全的大事 D因人为缘由，进入可能导致危害计算机信息系统安全的非正常运行状态的大事5. 病毒防护必需具备哪些准则。【 ABCD 】A、拒绝访问力量C、掌握病毒传播的力量B 、病毒检测力量D 、去除力量、恢复力量、替代操作6. 防火墙治理员应担当下面哪些责任：。【 ABCD 】A规划和部署，策略制定，规章配
6、置与测试B 防火墙状态监控C防火墙日志审计分析D 安全大事的响应处理7. 应建立计算机信息网络安全治理组织的联网单位有：。【ABC 】A、各互联网接入效劳单位C、专线接入互联网的单位B 、信息效劳单位D 、全部接入互联网的单位8. 实行计算机安全事故和计算机案件报告制度是。【 ABCD 】A、是计算机信息系统安全监察和安全防范、安全治理工作中的重要组成局部B、是贯彻落实有关安全法规，强化计算机信息系统安全治理的标准性要求 C、是公安机关了解把握计算机信息系统应用单位内部安全治理状况的手段D、是国家法规的要求，也是全部计算机使用单位和用户，以及公民应有的职责和义务ISO27001信息安全治理体系
7、注册审核员模拟试题考题B一、简答2023-04-07来源：国家注册审核员网1、内审不符合项完成了 30/35 ，审核员给开了不符合，是否正确？你怎么审核？【参考】不正确。应作如下 （1） 询问相关人员或查阅相关资料不符合项整改打算或验证记录，了解内审不符合项的订正措施实施状况，分析对不符合的缘由确定是否充分，所实施的订正措施是否有效；（2） 所实行的订正措施是否与相关影响相适宜，如对业务的风险影响，风险掌握策略和时间点目标要求，与组织的资源力量相适应。（3） 评估所实行的订正措施带来的风险，假设该风险可承受，则实行订正措施，反之可实行适当的掌握措施即可。2023-8-5综上，假设全部订正措施符
8、合风险要求，与相关影响相适宜，则订正措施适宜。2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的，成绩从那里要， 要来后一看都合格，就完毕了审核，对吗？【参考】不对。应依据标准 GB/T22080-2023条款 5.2.2 培训、意识和力量的要求进展如下 （1） 询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件？（2） 查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、阅历、技术和应用力量方面的评价要求，以及相关的培训规程及评价方法；（3） 查阅网管培训记录，是否符合岗位力量要求和培训规程的规定要求？（4） 了解相关部门和人员对网管培训
9、后的工作力量确认和培训效果的评价，是否保持记录？（5） 假设岗位力量经评价不能满足要求时，组织是否按规定要求实行适当的措施，以保证岗位人员的力量要求。二、案例分析1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威逼的预防；笔记本常常带入带出，有时在家工作，领导同意了，在家也没什么担忧全的。A9.2.5组织场所外的设备安全 应对组织场所的设备实行安全措施， 要考虑工作在组织场所以外的不同风险。2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，由于买的都是正版。 A12.5.2 操作系统变更后应用的技术评审当操作系统发生变更时，应对业务的关键应用进展评审和测试，以确
10、保对组织的运行和安全没有负面影响。3、创公司托付专业互联网运营商供给网络运营，供给商为了提升效劳级别，承受了技术，也通知了创公司， 但创认为技术确定更好， 就没实行任何措施， 后来由于软件不兼容造成断网了。A10.2.3 第三方效劳的变更治理应治理效劳供给的变更，包括保持和改进现有的信息安全策略、规程和掌握措施，并考虑到业务系统和涉及过程的关键程度及风险的评估。4、查某公司信息安全大事处理时，有好几份处理报告的缘由都是感染计算机病毒，负责人说我们严格的杀毒软件下载应用规程，不知道为什么没有效，估量其它方法更没用了。8.2 订正措施5、查看 web 效劳器日志觉察，最近几次常常重启，负责人说刚买
11、来还好用，最近总死机，都联系不上供给商负责人了。A10.2.1 应确保第三方实施、运行和保持包含在第三方效劳交付效劳交付协议中的安全掌握措施、效劳定义和交付水准。三、单项选择纠错 选择一个最正确可行的答案 2023-8-51、一个组织或安全域内全部信息处理设施与已设准确时钟源同步是为了：便于探测未经授权的信息处理活动的发生2、网络路由掌握应遵从： 确保计算机连接和信息流不违反业务应用的访问掌握策略3、针对信息系统的软件包， 应尽量劝阻对软件包实施变更，以躲避变更的风险4、国家信息安全等级保护实行： 自主定级、自主保护的原则 。5、对于用户访问信息系统使用的口令， 假设使用生物识别技术，可替代口
12、令6、信息安全灾备治理中， “恢复点目标” 指：灾难发生后， 系统和数据必需恢复到的时间点要求 。7、关于 IT 系统审核，以下说法正确的选项是：组织经评估认为 IT 系统审计风险不行承受时，可以删减。 A.15.38、依据 GB/T22080，组织与员工的保密性协议的内容应： 反映组织信息保护需要的保密性或不泄露协议要求9、为了防止对应用系统中信息的未授权访问，正确的做法是：依据访问掌握策略限制用户访问应用系统功能和隔离敏感系统10 、对于全部拟定的订正和预防措施，在实施前应先通过风险分析 过程进展评审。11 、不属于 WEB 效劳器的安全措施是 保证注册帐户的时效性 。12 、文件初审是评
13、价受审核方 ISMS 文件的描述与审核准则的 符合性。13 、国家对于经营性互联网信息效劳实施： 许可制度 。14 、针对获证组织扩大范围的审核， 以下说法正确的选项是：一种特别审核，可以和监视审核一起进展 。15 、信息安全治理体系初次认证审核时， 第一阶段审核应： 对受审核方信息安全治理体系文件进展审核和符合性评价 。16 、文件在信息安全治理体系中是一个必需的要素，文件有助于：确保可追溯性 。17 、对一段时间内发生的信息安全大事类型、频次、处理本钱的统计分析18 、哪一种安全技术是鉴别用户身份的最好方法：生物测量技术 。属于大事治理 。19 、最正确的供给本地效劳器上的处理工资数据的访
14、问掌握是：使用软件来约束授权用户的访问 。2023-8-520 、当打算对组织的远程办公系统进展加密时， 应当首先答复下面哪一个问题： 系统和数据具有什么样的敏感程度 。四、简述题1、审核员在某公司审核时，觉察该公司从保安公司聘用的保安的门卡可通行公司全部的门禁。公司主管信息安全的负责人解释说，因保安负责公司的物理区域安全，他们夜里以及节假日要值班和巡查全部区域，所以只能给保安全权限门卡。审核员对此解释表示认同。假设你是审核员，你将如何做？（1） 是否有形成文件的访问掌握策略， 并且包含针对公司每一局部物理区域的访问掌握策略的内容？（2） 访问掌握策略是否基于业务和访问的安全要素进展过评审？（3） 核实保安角色是否在访问掌握策略中有明确规定？（4） 核实访问掌握策略的制定是否与各物理区域风险评价的结果全都？（5） 核实发生过的信息安全大事，是否与物理区域非授权进入有关？（6） 核实如何对保安进展背景调查，是否明确了其安全角色和职责？2、答： 1询问相关责任人，查阅文件 3-5 份，了解如何规定对信息安全大事进展总结的机制？ 该机制中是否明
