• 尚大品牌
    • 尚大网校|在线考试|证书查询|成绩查询
    登录   |   注册
     
     
        准考证打印   论文投票   报考指南   论文辅导   软考培训   郑重申明  
    您现在的位置：  首页 > 注册审核 > 信息安全管理体系审核员 > 考试大纲 >> 正文
    正文
    ISO27001信息安全管理体系审核员培训测试
    来源： 作者： 时间;2019-07-23 点击数： 尚大软考交流群：376154208
    一、以下对于信息安全管理体系的叙述，哪个个是不正确的？A.只规范公司高层与信息安全人员的行为；B.针对组织内部所使用的信息，实施全面性的管理；C.为了妥善保护信息的机密性、完整性和可用性；D.降低信息安

    一、以下对于信息安全管理体系的叙述，哪个个是不正确的？

    A.只规范公司高层与信息安全人员的行为；
    B.针对组织内部所使用的信息，实施全面性的管理；
    C.为了妥善保护信息的机密性、完整性和可用性；
    D.降低信息安全事件的冲击至可承受的范围；
    E.分为PDCA（计划—执行—检查—行动）四大部份，循环执行，不断改进。
     
    二、以下对于PDCA（计划—执行—检查—行动）的叙述，哪个是正确的？
    A.其中的重点在于P（计划）；
    B.依据PDCA的顺序顺利执行完一次，即可确保信息安全；
    C.需依据管理层审查结果采取矫正与预防措施，以达到持续改进的目的；
    D.如果整体执行过程中C（检查）的过程过于繁复，可予以略过；
    E.以上皆非。
     
    三、下列那个项目不属于ISO27001认证标准所涵盖的十一个管理要项？ 
    A.信息安全政策；
    B.组织安全；
    C.人员安全；
    D.复杂性；
    E.访问控制。
     
    四、下列对于风险的叙述，哪个是正确的？   
    A.风险分析：针对无法改善的风险进行分析；
    B.风险管理：列出所有可能存在的风险清单；
    C.风险评估：把所估计的风险与已知的风险标准作比较，以决定风险的重要性；
    D.风险处理：为了将风险降为零风险所采取的行动；
    E.可接受风险：可接受进行改善的风险。
     
    五、以下哪项符合信息安全管理体系有关“文件记录控制”的要求？ 
    A.文件都必须电子化；
    B.信息安全管理体系所需的文件仅需保护，但无须控制；
    C.所有文件应依据信息安全管理体系的政策要求在需要时即可供被授权人取用；
    D.文件纪录必须全部由一人保管；
    E.为提供信息安全管理体系有效运作的证据所建立之纪录不属于管制范围。
     
    六、对于“信息安全管理体系”，下列哪些不属于管理层的责任？  
    A.提供信息安全管理工作的必要资源；
    B.决定可接受风险的等级；
    C.定期举行相关教育训练，增进员工信息安全的认知；
    D.为信息安全系统购买保险；
    E.建立一份信息安全政策。
     
    七、以下针对信息安全系统审计的叙述，哪个是不正确的？  
    A.审计方案应予以事先规划；
    B.目的在于确保信息安全管理体系的控制目标与控制措施是否有效地实施与维持；
    C.基于对业务的了解，应由各部门主管审计其所负责的业务；
    D.对于审计结果应有适当的跟进措施；
    E.审计人员的遴选与审计的执行，应确保审计过程的客观性与公正性。
     
    八、以下对于信息安全管理体系改进的叙述，哪个是不正确的？ 
    A.改进的目的在于确认信息安全管理系统的有效性；
    B.为了防止不符合事项再度发生，应将该事项从信息安全管理体系中移除；
    C.包含矫正措施与预防措施；
    D.应在信息安全管理体系中制定相应的文件化程序；
    E.应决定相关措施，以消除未来不符合信息安全管理体系要求的事项。
     
    九、以下对于“安全方针”的叙述，哪个是不正确的？  
    A.管理层应设定一个明确的政策方向，展现对信息安全的支持与承诺；
    B.安全方针应以适当方式向所有员工公布与宣导；
    C.安全方针应有专人依据规定的审核过程对其进行维护与审核；
    D.安全方针一经确定即无法随意修改；
    E.方针应说明组织管理信息安全的方法。
     
    十、以下对于“信息安全组织”的叙述，哪个是不正确的？ 
    A.其目标为在组织中管理信息安全；
    B.个别资产的保护责任及执行特定安全程序的责任应明确划分；
    C.应参考信息安全专家的建议；
    D.应减少与其它组织间的合作；
    E.需有独立的信息安全审计。
     
    十一、针对“第三方存取”与“外包作业”的叙述，哪个是正确的？ 
    A.为了降低风险，应减少「第三方存取」与「外包作业」；
    B.第三方存取组织信息处理设施的风险应予评估，并实施适当的安全控制措施；
    C.将信息处理责任外包时，信息安全的责任也随之转嫁；
    D.应限制外包单位不得使用组织的任何信息设备；
    E.由于已签订外包合同，对于第三方存取组织的信息处理设施无须控制。
     
    十二、以下对于“资产分类及控制”之叙述，哪个是不正确的？   
    A.所有主要的信息资产应由高级管理人员负责保管；
    B.应制作所有与每一信息系统相关重要资产的清册并进行维护；
    C.应制订一套与组织采用的分类方式相符的信息标识和处理流程；
    D.信息分类与相关保护控制措施应考虑企业共享或限制信息的需求；
    E.其目标在于维护组织资产并给予适当的保护。
     
    十三、以下对于“人力资源安全”的叙述，哪个是不正确的？  
    A.组织信息安全方针中规定的安全角色与职务应在工作职责中予以文件化；
    B.组织内所有员工及相关第三方的用户皆应接受适当的信息安全教育训练；
    C.目标在于确保员工的人身安全，避免发生意外； 
    D.正式员工、承包商及临时工在申请工作时即应进行背景调查；
    E.员工应签署保密协议，作为任用的首要条件和限制的一部分。
     
    十四、员工察觉“安全及失效事件”发生时，应立即采取何种行动？ 
    A.分析事件发生的原因；
    B.尽快将事件掩盖过去；
    C.修正信息安全目标；
    D.查阅信息安全相关文件；
    E.遵循适当的管理途径尽快通报。
     
    十五、以下对于“安全区域”的说明，哪个是不正确的？
    A.其目标是避免营运场所及信息遭未经授权存取、损害与干扰；
    B.划设为安全区域的场所已有适当控管，可容许任何人进出；
    C.应设立安全区域，以提供特殊安全需求；
    D.在安全区域内工作时应采取额外的控制措施及指引，以强化该区域的安全性；
    E.装卸区应予管制，若可能，应与信息处理设施隔离，避免遭未授权进入。
     
    十六、以下对于“设备安全”的相关行为，哪个是不适当的？ 
    A.应保护设备降低来自环境的威胁及灾害；
    B.保护设备不受电力故障及其他电力异常影响；
    C.保护传送数据或支持信息服务的电源与通讯缆线，以防止窃听或破坏；
    D.设备在报废或再使用前将信息清除；
    E.设备一律禁止携出组织外使用。
     
    十七、以下何种行为不符合“通信和操作安全”的要求？  
    A.信息处理设施与系统的变更应予控制；
    B.职务与责任范围应予区分，以降低信息或服务遭未授权修改或误用的机会；
    C.安全政策所规定的作业程序应制作文件纪录并进行维护；
    D.开发与测试工作可在正式生产设备上进行，以降低营运成本；
    E.使用外部设施管理服务前，应识别风险并制订适当的控制措施。
     
    十八、下列对于“信息的交换”的叙述，哪个是不正确的？   
    A.组织间交换信息与软件的行为应有协议或合约规范；
    B.应制定电子邮件使用政策，严格执行控管；
    C.使用网络及时通讯软件（如MSN）进行文件传送以便于实现传送的方便性及隐密性；
    D.重要信息对外公开前应有正式授权程序，且该信息的完整性应予保护；
    E.运送的储存媒体应予保护，防止未经授权遭存取。
     
    十九、下列对于“用户访问控制”的叙述，哪个是不正确的？   
    A.应制定正式用户注册及注销流程；
    B.特殊权限的分配与使用应受限制与控管；
    C.要确保信息系统的访问权限被恰当地授权、配置及维护；
    D.为减少账号个数，降低日常作业成本，可采多人共享一组账号密码的方式；
    E.管理层应定期执行正式程序复核用户访问权限。
     
    二十、下列行为哪个不符合“网络访问控制”的安全需求？   
    A.网络应有控制措施，将信息服务、用户及信息系统群组分离；
    B.用户网络联机能力应仅限于共享网络；
    C.组织应对其使用的所有网络服务的安全特性提供一份清楚说明的文件；
    D.远程使用者的存取应有身份鉴别；
    E.为便利用户，应设置开放的网络环境，以确保用户可直接存取任何他所想使用的服务。
     
    二一、对于“监控系统”的存取与使用，下列哪个是正确的？  
    A.监控系统所产生的记录可由用户任意存取；
    B.计算机系统时钟应予同步；
    C.只有当系统发生异常事件及其他安全相关事件时才需进行监控；
    D.监控系统投资额庞大，并会影响系统效能，因此可以予以暂时省略；
    E.以上皆非。
     
    二二、以下各项行为，哪个不能确保“应用系统的安全”？ 
    A.输入、输出数据应进行确认；
    B.对于有保护消息内容完整性的安全要求的应用程序，应采用消息鉴别机制；
    C.要有适当的审计记录或活动日志；
    D.系统内应有确认检查机制，以检测所处理数据的完整性；
    E.为加快数据传输时的速度，降低系统反应时间，任何数据皆可使用明码传输。
     
    二三、下列哪项不是维护“开发和支持过程中的安全”的方法？ 
    A.应阻止用户修改软件包，必要的修改应严格管制；
    B.应用系统若有变更，应进行适当审核与测试；
    C.应采取正式变更管理程序以严格控制变更作业的实施；
    D.软件应尽量采用自行开发避免外包或采购；
    E.软件的采购应注意其是否内藏隐密通道及特洛依木马程序。
     
    二四、为确保“业务连续性管理”，以下哪些行为应该加以避免？   
    A.应分析各种灾难、安全缺失和损失服务对业务所可能产生的后果；
    B.全组织连续营运措施的制订与维护，有明确管理的过程；
    C.应等待企业营运过程发生中断或失效时，再来制订相关的策略计划；
    D.应维持单一营运持续计划的框架，以确保所有计划皆一致；
    E.营运持续计划应定时测试，并通过定期审查加以维护。
     
    二五、以下对于信息安全管理体系中“符合性”的叙述，哪个是不正确的？  
    A.清楚识别所有与信息系统有关的法规；
    B.组织重要记录应予文件化后进行保护；
    C.避免使用具有知识产权的专利软件产品；
    D.要保护个人信息的数据与隐私；
    E.信息系统的管理要依据行政命令、法律规章或合同的安全要求。
    来顶一下
    返回首页
    返回首页
    上一篇： 信息安全管理培训考核试题
    下一篇： 信息安全管理体系审核员练习题-简述题
     相关文章
     
     
    跟贴共条
    查看完整评论
    笔 名 ：   验证码：
    网友评论仅供其表达个人看法，并不表明尚大教育同意其观点或证实其描述
    距离正在调查中审核员考试还有 天
    尚大软考交流群：376154208
    软考动态
    更多>>
    京ICP备12019404号 京公网安备11010702001172号   Copyright © 2008-2019 官网唯一指定域名：https://www.sdedu.cc(其他为仿冒山寨网站 请慎重点击) 公司地址：北京市石景山区京原路19号院4号楼十层1011房