1、下面关于CISP的知识体系大纲说法错误的是：
A． 信息安全保障（IA）是贯穿整个CISP知识体系大纲的主线
B． CISP知识体系分为体系模型、技术、管理；工程和法律法规五大类
C． 实用知识类（PT）-知识体（BD）-知识域（KA）-知识子域（SA）-来组织的组
件和模块化的知识体系结构 D． CISP培训的内容应当与档案馆的要求相符合，而考试的范围是以推荐的教材和
培训讲师授课内容为依据的 2、以下对于信息安全的认识不正确的是：
E． 安全是会随时间的推移而变化的
F． 世上没有100%的安全
G． 合理的投资加可识别的风险即为安全 H． 安全是相对的，不安全是绝对的
3、信息系统安全保障建设需要考虑信息系统的_______
A. 所有安全特征
B. 所有保障要素 C. 整个生命周期
D. 以上都对 4、 以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一。
A. 提高信息技术产品的国产化率 B 保证信息安全资金投入
C 加快信息安全人才培养
D 重视信息安全应急处理工作
5、电子商务交易必须具备抵抗赖性，目的在于防止
A 一个实体假装成另一个实体
B 参与此交易的一方否认曾经发生过此交易 C 他人对数据进行非授权的修改、破坏
D 信息从被监视的通信过程中泄露出去 6、下面对于标识和鉴别的解释最标准的是：
A 标识用于区别不同的用户，而鉴别用于检验用户身份的真实性 B 标志用于区别不同的用户，而鉴别用于赋予用户权限
C 标识用于保证用户信息的完整性，而鉴别用于检验用户身份的真实性 D 标识用于保证用户信息的完整性，而鉴别用于赋予用户权限 7、下面关于访问控制模型的说法不正确的是：
A DAC模型中主体对它所属的对象和运行的程序拥有全部的控制权
B DAC实现提供了一个关于need-to-know的访问授权方法，默认拒绝任何人的访问，访问许可必须被量式域赋予访问者
C 在MAC这种模型里，管理员管理访问控制，管理员制定策略，策略定义了哪个主体能访问哪个对象，但用户可以改变官
D RBAC模型中管理员定义一系列角色（roles）并把它们赋予主体。系统进程和普通用户可能有不同的角色，设置对象为某个类型，主体具有相应的角色就可以访问它 8、以下哪一项不是BLP模型的主要任务
A 定义使得系统获得“安全”的状态集合
B 检查所有状态的变化均始于一个“安全状态”并终止于另一个“安全状态”
- 1 -
C 检查系统的初始状态是否为“安全状态”
D 选择系统的终止状态
9、以下关于访问控件模型说法错误的是：
A 访问控制模型主要有3种，自主访问控制、强制访问控制和基于角色的访问控制
B 自主访问控制模型允许主体量式地指定其他主体对该主体所拥有的信息资源是否可以访问
C 基于角色的访问控制RBAC中“角色”通常是根据行政级别来定义的
D 强制访问控制MAC是“强加”给访问主体的，即系统强制主体服从访问控制政策
10、以下哪一项关于Bell-LaPadula模型优点的描述是错误的
A、 Bell-LaPadula的公理模仿了一般安全策略的风格，因此，受到许多国家和商业机构的喜爱
B、 比起那些较新的模型而言，Bell-LaPadula更易于理解，它与所使用的实际系统具有直观的联系，所以，也更易于使用
C、 Bell-LaPadula即定义了主体对客体的访问，也说明了主体对主体的访问。因此
Bell-LaPadula适用于网络
D、 Bell-LaPadula易于在范围较广的特殊环境下使用，这意味着只需公理作极小的改动
11、在Clark-Wilson模型中哪一项不是保证完整性任务的？ A 防止职权的滥用
B 防治非授权修改
C 维护内部和外部的一致性 D 防止授权但不适当的修改 12、根据PPDR模型：
A 一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B 判断一个系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C 如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的 D 如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间 13、有关密码学分支的定义，下列说法中错误的是：
A 密码学是研究信息系统安全保密的科学，由两个相互对立，相互斗争，而且又 相互促进的分支科学所组成的，分别称为密码编码学和密码分析学
B 密码编码学是对密码体制、密码体制的输入出关系进行分析，以便推出机制变量，包括明文在内的敏感数据
C 密码分析学主要研究加密消息的破译或消息的伪造 D 密码编码学主要研究对信息进行编码，实现对信息的隐蔽 14、非对称密钥的密码技术具有很多优点，其中不包括： A 可提供数字签名、零知识证明等额外服务 B 加密/解密速度快，不需占用较多资源 C 通信双方事先不需要通过保密信道交换密钥 D 密钥持有量大大减少
15、对于非对称算法的应用范围，说法正确的有（）
- 2 -
A DSS用于数学签名，RSA用于加密和签名
B DSS用于密钥交换，IDEA用于加密和签名 C DSS用于数字签名，MDS用于加密和签名 D IDEA用于加密和签名，MDS用于完整性校验
16、假定有N个人，他们之间需要安全地通信。如果都采用对称加密算法，需要保护的密钥总数为1.如果都采用非对称加密算法，需要保护的密钥总数为；2.以下答案正确的是： A N（N-1）/2 N B N(N+1)/2 N C N（N-1） 2N
D N(N+1) 2N
17、下面哪种VPN技术工作的网络协议层次最高： A IPSEC VPN B SSL VPN C L2TP VPN
D GRE VPN
18、PKI在验证一个数字证书时需要查看______来确认该证书是否已经作废 A、 ARL B、 CSS C、KMS D、 CRL 19、某公司要为机房配备灭火器材，你认为应该选择下面哪一组最合理？
A 干粉灭火器、卤代烷灭火器、二氧化碳灭火器
B 水型灭火器、泡沫灭火器、卤代烷灭火器 C 粉状石膏灭火器、铸铁屑灭火器
D Halon灭火器、二氧化碳灭火器
20、下面哪一项是内存卡（memory）和智能卡（smart cards）之间最大的区别？
A 内存卡有微处理器和集成电路用于处理数据，而智能卡有磁条用来保存信息 B 智能卡有微处理器和集成电路用于处理数据，而内存卡有磁条用来保护信息 C 内存卡比智能卡更能防篡改
D 内存卡开发、制造和维护起来更便宜
21、“公共交换电话网络”是一种语音通信电路交换网络，目前在技术上已经基本实现了完全的数字化，他的英文缩写是： A PSTN B DON C ISDN
D ATM
22、下面哪一项不属于集中访问控制管理技术？ A、 RADIUS B、 TEMPEST C、 TACACS
D、 Diameter
23、_______设备可以隔离ARP广播帧 A 路由器 B 网桥
C 以太网交换机 D 集线器
24、在Kerberos结构中，下列哪一项会引起单点故障？
- 3 -
A E-mail服务器
B 客户工作站 C 应用服务器
D 密钥分发中心（KDC）
25、桥接或透明模式是目前比较流行的防火墙部署方式，这种方式的优点不包括： A 不需要对原有的网络配置进行修改 B 佳能比较高
C 防火墙本身不容易受到攻击 D 易于在防火墙上实现NAT 26、以下哪一项不是IDS可以解决的问题： A B C D A
弥补网络协议的弱点
识别和报告对数据文件的改动 统计分析系统中异常活动模式 提升系统监控能力 100.0.0.0
27、私网地址用于配置本地网络，下面的地址中，属于私网地址的是： B 172.15.0.0 C 192.168.0.0 D 244.0.0.0
28、下面哪一个不属于OSI七层协议的安全体系结构的5种服务之一 A 数据完整性 B
数据保密性
C 公证 D 抗抵赖
29、当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员无需查看： A 访问控制列表 B C D
系统服务配置情况 审计记录
用户账户和权限的设置
30、网络隔离技术的目的是确保把有害的攻击隔离，在保证可信网络内部信息不外泄的前提下，完成网络间数据的安全交换。下列隔离技术中，安全性最好的是 A B C D
A B C D
多重安全网关 防火墙 VLAN隔离 物理隔离
用户访问日志、安全性日志、系统日志和IE日志 应用程序日志、安全性日志、系统日志和IE日志 网络攻击日志、安全性日志、记账日志和IE日志 网络连接日志、安全性日志、服务日志和IE日志 Regsvr32 Regegit
- 4 -
31、在WindowsXP中用事件查看器查看日志文件，可看到的日志包括
32、Windows操作系统的注册表运行命令是： A B
C Regedit.msc
D Regedit.mmc
33、以下对windows服务的说法错误的是（） A 为了提升系统的安全性管理员应尽量关闭不需要的服务 B 可以作为独立的进程运行或以DLL的形式依附在Svchost.exe C D
Windows服务只有在用户成功登录系统后才能运行 Windows服务通常是以管理员的身份运行的
34、关闭Windows网络共享功能需要关闭以下事项服务？ A Server B
Workstation
C ServiceLayer D Terminal Services
35、在UNIX系统中，下列________命令可以更改一个文件的权限设置 A Attrib B C
File Chmod
D Change
36、下面对于SSH的说法错误的是： A SSH是Secure Shell的简称 B C
SSH2比SSH1更安全
通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D 客户端使用SSH连接远程登录SSH服务器必须经过基于公钥的身份认证 37、下面一行是某个UNIX文件的详情，关于该文件权限的描述不正确的是（） “drwxr-xrwx 2 group user 4096 05-05 09:14 file” A 这是一个目录，名称是‘file’ B C
文件属组是group
“其他人”对该文件具有读、写、执行权限
D User的成员对此文件没有写权限
38、在linux系统中配置文件通常存放在什么目录下： A /boot B C
/etc /dev
D /lib
39、以下关于SQL server数据库安全的说法错误的是： A B C
永远不要使用SA账号
不要设置太多具有管理员权限的账号 在进行安全配置前，
D 设置健壮的密码
40、哪一组是Oracle数据库的默认用户名和默认口令？ A B
用户名：‘Scott’；口令：‘’ 用户名：‘Sa’；口令：
C 用户名：‘ROOT’；口令：
D 用户名：‘ADMIN’；口令：
41、宏病毒是一种专门感染微软office格式文件的病毒，下列（）文件不可能感染病毒
- 5 -
A *.exe B *.doc C *.xls D *.ppt 42、以下对于蠕虫病毒的描述错误的是： A 蠕虫的传播无需用户操作 B 蠕虫会消耗内存或网络宽带，导致DOS
C 蠕虫的传播需要通过“宿主”程序或文件 D 蠕虫程序一般有“传播模块”、“隐蔽模块”和“目的功能模块”构成 43、为了防止电子邮件中的恶意代码，应该用--------方式阅读电子邮件 A. B. C. D. A. B. C.
纯文本 网页 程序 会话
通常通过诱骗或和其它软件捆绑在用户不知情的情况下安装 通常添加驱动保护使用户难以卸载 通常会启动无用的程序浪费计算机的资源
44、以下哪一项不是流氓软件的特征？
D. 通常会显示下流的言论
45、在典型的web应用站点的层次结构中，“中间件”是在那里运行的？ A. 浏览器客户端 B. Web服务器 C. D.
应用服务器 数据库服务器
46、为了应对日益严重的垃圾邮件问题，人们设计和应用了各种垃圾邮件过滤机制，以下哪一项是耗费计算资源最多的一种垃圾邮件过滤机制： A. SMTP身份认证 B. 逆向名字解析 C.
黑名单过滤
D. 内容过滤
47、无论是哪一种web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息安全漏洞属于： A. B. C.
设计型漏洞 开发型漏洞 运行性漏洞
D. 以上都不是
48、基于攻击方式可以将黑客攻击分为主动攻击和被动攻击，以下哪一项不属于主动攻击： A. B.
中断 篡改
C. 侦听 D. 伪造
49、关于数据库注入攻击的说法错误的是： A. B.
它的主要原因是程序对用户的输入缺乏过滤 一般情况下防火墙对它无法防范
C. 对它进行防范时要关注操作系统的版本和安全补丁 D. 注入成功后可以获取部分权限
50、存储过程是SQL语句的一个集合，在一个名称下存储，按独立单元方式执行。以下哪
- 6 -
一项不是使用存储过程的优点： A. B. C. D.
提高性能，应用程序不用重复编译此过程
降低用户查询数量，减轻网络拥塞
语句执行过程中如果中断，可进行数据回滚，保证数据的完整性和一致性 可以控制用户使用存储过程的权限，以增强数据库的安全性
51、以下哪一项是DOS攻击的一个实例？ A. SQL注入 B. C. D. A. B. C.
IP Spoof Smurt 攻击 字典破解
Rootkit是攻击者用来隐藏自己和保留对系统的访问权限的一组工具 Rootkit是一种危害大、传播范围广的蠕虫 Rootkit和系统底层技术结合十分紧密
52、下面对于Rootkit技术的解释不准确的是：
D. Rootkit的工作机制是定位和修改系统的特定数据，改变系统的正常操作流程 53、以下对跨站脚本攻击（XSS）的解释最准确的一项是： A. B. C.
引诱用户点击虚假网络连接的一种攻击方法
构造精妙的关系数据库的结构化查询语言对数据库进行非法的访问 一种很强大的术马攻击手段
D. 将恶意代码嵌入到用户浏览的web网页中，从而到达恶意的目的 54、以下哪一项是常见web站点脆弱性扫描工具： A. AppScan B. Nmap C. Sniffer D. LC
55、下面哪一项是黑客用来实施DDOS攻击的工具： A.
LC5
B. Rootkit C. iceSword D. trinoo
56、对于信息系统访问控制说法错误的是：
A. 应该根据业务需要和安全要求制定清晰的访问控制策略，并根据需要进行评审
和改进
B. 网络访问控制是访问控制的重中之重，网络访问控制做好了操作系统和应用 层次的访问控制问题就可以得到解决
C. 做好访问控制工作不仅要对用户的访问活动进行严格管理，还要明确用户在访问控件中的有关责任
D. 移动计算机和远程工作技术的广泛应用给访问控制带来了新的问题，因此在访问控制工作中要重点考虑对移动计算设备和远程工作用户的控制措施
57、信息安全策略是管理层对信息安全工作意图和方向的正式表述，以下哪一项不是信息安
全策略文档中必须包含的内容： A. B. C.
说明信息安全对组织的重要程度 介绍需要符合的法律法规要求 信息安全技术产品的选型范围
- 7 -
D. 信息安全管理责任的定义
58、资产管理是信息安全管理的重要内容，而清楚的识别信息系统相关的资产，并编制资产清单是资产管理的重要步骤，下面关于资产清单的说法错误的是: A. 资产清单的编制是风险管理的一个重要的先决条件 B. C. D.
信息安全管理中所涉及的资产指信息资产，即业务数据、合同协议、培训材
料等
在制定资产清单的时候应根据资产的重要性。业务价值和安全分类，确定与资产重要性相对应保护级别
资产清单中应当包括将资产从灾难中恢复而需要的信息，如资产类型、格式、位置、备份信息、许可信息等
59、作为一个组织中的信息系统普通用户，以下哪一项是不应该了解的？ A.
谁负责信息安全管理制度的制定和发布
B. 谁负责监督信息安全制度的执行
C. 信息系统发生灾难后，进行恢复工作的具体流程 D. 如果违背了安全制度可能会受到的惩戒措施 60、信息分类是信息安全管理工作的重要环节，下面哪一项不是对信息进行分类时需要重点考虑的？ A. B. C.
D.
信息的价值
信息的时效性 信息的存储方式 法律法规的规定
61、下面哪一项关于对违反安全规定的员工进行惩戒的说法是错误的？ A. 对安全违规的发现和验证是进行惩戒的重要前提 B. 惩戒措施的一个重要的意义在于它的威慑性
C. 出于公平，进行惩戒时不应考虑员工是否是初犯，是否接受过培训 D. 尽管法律诉讼是一种严厉有效的惩戒手段，但是用它时一定要十分慎重 62、风险分析的目标是达到： A. B. C.
风险影响和保护性措施之间的价值平衡 风险影响和保护性措施之间的操作平衡 风险影响和保护性措施之间的技术平衡
D. 风险影响和保护性措施之间的逻辑平衡 63、以下对“信息安全风险”的描述正确的是： A. B. C. D.
是来自外部的威胁利用了系统自身存在的脆弱性作用于资产形成风险 是系统自身存在的威胁利用了来自外部的脆弱性作用于资产形成风险 是来自外部的威胁利用了系统自身存在的脆弱性作用于网络形成风险 是系统自身存在的威胁利用了来自外部的脆弱性作用于网络形成风险
64、以下关于风险管理的描述不正确的是：
A. 风险的4种控制方法有：减低风险/转嫁风险/规避风险/接受风险 B. 安全风险管理是否成功在于风险是否被切实消除了 C. 组织应依据信息安全方针和组织要求的安全保证程度来确定需要管理的信息
安全风险. D. 信息安全风险管理是基于可接受的成本，对影响信息系统的安全风险进行识
别、控制、减少或消除的过程
65、在 余磁盘阵列中，以下不具有容错技术的是________
- 8 -
A. RAD0
B. RAD1 C. RAD3 D. RAD5
66、在国家标准《信息系统灾难恢复规范》中，根据______要素，将灾难恢复等级划分为____
级
A、7、6 B、6、7 C、7、7 D、6、6 67、以下关于信息安全应急响应的说法错误的是：
A. 明确处理安全事件的工作职责和工作流程是应急响应工作中非常重要的一项
内容
B. 仅仅处理好紧急事件不是应急工作的全部，通过信息安全事件进行总结和学习
也是很重要的
C. 对安全事件的报告和对安全弱点的报告都是信息安全事件管理的重要内容 D. 作为一个单位的信息安全主管，在安全事件中主要任务是排除事件的负面影
响，而取证和追查完全是执法机关的事情
68、下面对于信息安全事件分级的说法正确的是：
A. 对信息安全事件的分级可以参考信息系统的重要程度、系统损失和应急成本三
个要素 B. 判断信息系统的重要成都主要考虑其用户的数量 C. 判断系统损失大小主要考虑恢复系统正常运行和消除安全事件负面影响所需
付出的代价 D. 根据有关要求国家机关的信息安全事件必须划分为“重大事件”“较大事件”
和“一般事件”三个级别
69、目前数据大集中是我国重要的大型分布信息系统建设和发展的趋势。数据大集中就是将数据集中存储和管理，为业务信息系统的运行搭建了统一的数据平台。对这种做法的认识正确的是： A. B. C. D.
数据库系统庞大会提高管理成本 数据库系统庞大会降低管理效率 数据的集中会降低风险的可控性 数据的集中会造成风险的集中
70、对程序源代码进行访问控制管理时，以下哪一种做法是错误的？ A. 若有可能，在实际生产系统中不保留源程序库 B. 对源程序库的访问进行严格的审计 C. 技术支持人员应可以不受限制地访问源程序 D. 对源程序库的拷贝应受到严格的控制规程的制约 71、以下对系统日志信息的操作中哪一项是最不应当发生的： A. B. C.
对日志内容进行编辑
只抽取部分条目进行保存和查看 用新的日志覆盖旧的日志
D. 使用专用工具对日志进行分析
72、以下哪一项是对信息系统经常不能满足用户需求的最好解释？ A. B. C.
没有适当的质量管理工具 经常变化的用户请求 用户参与需求挖掘不够
- 9 -
D. 项目管理能力不强
73、许多安全管理工作在信息系统生存周期中的运行维护阶段发生。以下哪一种行为通常不是在这一阶段中发生的？ A. 进行系统备份 B. 管理加密密钥 C. D.
认可安全控制措施 升级安全软件
74、在信息安全管理工作中“符合性”的含义不包括哪一项？ A. 对法律法规的符合 B. C. D.
对安全策略和标准的符合 对用户预期服务效果的符合 通过审计措施来验证符合情况
75、下面哪一项最准确的阐述了安全监测措施和安全 A. 审计措施不能自动执行，而监测措施可以自动执行 B. C.
监测措施不能自动执行，而审计措施可以自动执行
审计措施是一次性的或周期性的进行，而监测措施是实时地进行
D. 监测措施是一次性地或周期性地进行，而审计措施是实时地进行
76、口令是验证用户身份的最常用的手段，以下哪一种口令的潜在风险影响范围最大？ A. 长期没有修改的口令 B. C.
过短的口令
两个人公用的口令
D. 设备供应商提供的默认口令
77、系统工程是信息安全工程的基础学科，钱学森说：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，使一种对所有系统都具有普遍意义的科学方法”以下哪项对系统工程的理解是正确的： A. B.
系统工程是一种方法论 系统工程是一种技术实现
C. 系统工程是一种基本理论 D. 系统工程不以人参与系统为研究对象
78、项目管理是信息安全工程的基础理论，以下哪项对项目管理的理解是正确的：
A. B.
项目管理的基本要素是质量、进度和成本 项目管理的基本要素是范围、人力和沟通
C. 项目管理是从项目的执行开始到项目结束的全过程进行计划、组织、指挥、协调、控制和评价，以实现项目的目标 D. 项目管理是项目的管理者，在有限的资源约束下，运用系统的观点、方法和理论，对项目涉及的技术工作进行有效的管理
79、在信息系统的设计阶段必须做以下工作除了： A. B. C. D.
决定使用哪些安全控制措施 对设计方案的安全性进行评估 开发信息系统的运行维护手段 开发测试、验收和认可方案
80、进行信息安全管理体系的建设是一个涉及企业文化、信息系统特点、法律法规限制等多方面的因素的复杂过程，人们在这样的过程中总结了许多经验，下面哪一项是最不值得被赞同的？
- 10 -
A. B.
成功的信息安全管理体系建设必须得到组织的高级管理层的直接支持 制定的信息安全管理措施应当与组织的文化环境相匹配
C. 应该对ISO27002等国际标准批判地参考，不能完全照搬 D. 借助有经验的大型国际咨询公司，往往可以提高管理体系的执行效果 81、信息系统安全保障工程是一门跨学科的工程管理过程，它是基于对信息系统安全保障需求的发展和对---------的理解，以经济、科学的方法来设计、开发和建设信息系统，以便他能满足用户安全保障需求的科学和艺术。
A 安全风险 B 安全保障 C 安全技术 D安全管理 82、下列关于SSE-CMM（系统安全工程能力成熟度模型）描述正确的是：
A. B. C. 动
D. 为确保较好的实施安全工程，该模型中描述了针对每一个组织的具体过程和技术结果
83、下列对SSC-CMM说法错误的是？ A. B. C.
它是通过域维和能力维共同形成对安全工程能力的评价 域维定义了实施安全工程的所有实施活动 能力维定义了工程能力的判断标准
系统安全工程能力成熟度模型是一个技术参考模型 对应于该模型的中国国家标准为GB/T 18336-2001
该模型可适用于涉及整个生命周期的安全产品或可信系统的系统安全工程活
D. “公共特征”是域维中对获得过程区目标的必要步骤的定义
84、在SSE-CMM中对工程过程能力的评价分为三个层次，由宏观到微观依次为：
A. B. C. D.
能力级别 公共特征（CF） 通用实践（GP） 能力级别 通用实践（GP） 公共特征（CF） 通用实践（GP） 能力级别 公共特征（CF） 公共特征（CF） 能力级别 通用实践（GP）
85、根据《信息系统安全保障评估框架 第四部分：工程保障》安全工程
A. 未实施、基本实施、计划跟踪、量化控制、充分定义和持续改进等6个级别
B. C. D.
未实施、基本实施、计划跟踪、充分定义、量化控制和持续改进等6个级别 基本实施、计划跟踪、充分定义、量化控制和持续改进等5个级别 基本实施、计划跟踪、量化控制、充分定义和持续改进等5个级别
86、如果可以在组织范围内定义文档化的标准过程，在所有的项目中规划、执行和跟踪已定义的过程，并且可以很好的协调项目活动和组织活动，则该组织的安全能力成熟度可以达到？
A. B. C. D.
规划跟踪级 充分定义级 量化控制级 持续改进级
87、“配置管理”是系统工程中的中重要概念，它在软件工程和信息安全工程中得到了广泛的应用，下面对配置管理的解释最正确的是：
A.
配置管理的本质是变更流程管理
B. 配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发/维护设备）
的所有变化进行控制的过程
C. 管理配置是对信息系统的技术参数进行管理 D. 管理配置是对系统基线和源代码的版本进行管理
- 11 -
88、根据SSP-CMM以下哪一项不是在安全工程过程中实施安全控制时需要做的？
A. B. C. D.
获得用户对安全需求的原解 建立安全控制的职责 管理安全控制的配置
进行针对安全控制的教育培训
89、下面哪一项不是工程实验阶段信息安全工程监理的主要目标？ A. 明确工程实施计划，对于计划的调整必须合理、受控
B. 促使工程中所使用的产品和服务符合承建合同及国家相关法律、法规和标准
C. 促使业务单位与承建单位充分沟通，形成深化的安全需求 D. 促使工程实施过程满足承建合同的要求，并与工程建设设计方案、工程计划相
符
90、CC使用何种类型的级别评价产品？
A 、PP B 、EPL C、 EAL D、A到D4个级别
91、在何种情况下，一个组织应当对公众和媒体公告其信息系统中发生的信息安全事件？
A. B.
当信息安全的负面影响扩展到本组织以外时 只要发生了安全事件就应当公告
C. 只有公众的生命财产安全受到巨大危害时才公告 D. 当信息安全事件平息之后 92、下面对ISO27001的说法最准确的是： A. B. C.
该标准的题目是信息安全管理体系实质隠内
该标准为度量信息安全管理体系的开发和实施过程提供的一套标准 该标准提供了一组信息安全管理相关的控制措施和最佳实践
D. 该标准为建立、实施、运行、掌控、审核、维护和改进信息安全管理体系提
供了一个模型
93、ISO27001、ITIL和CO8IT在IT管理内容上各有优势，但侧重点不同，其各自重点分别
在于： A. B. C. D.
IT安全控制、IT过程管理和IT控制和度量评价 IT过程管理、IT安全控制和IT控制和度量评价 IT控制和度量评价、IT安全控制和IT安全控制 IT过程管理、IT控制和度量评价、IT安全控制
94、以下对于IATF信息安全保障技术源泉的说法错误的是： A. 它由美国国家安全局公开发布
B. 它的核心思想是信息安全深度防御（Detense-in-Depth） C. 他认为深度防御应当从策略、技术和运行维护三个层面来进行
D. 它将信息系统保障的技术层面分为本地计算机环境、区域边界、网络和基础设施和支撑性技术设施4个部分 95、以下哪一项不是我国与信息安全有关的国家法律？ A. B.
《信息安全等级保护管理办法》
《中华人民共和国保守国家秘密法》
C. 《中华人民共和国刑法》
D. 《中华人民共和国国家安全法》
96、《刑法》第六章第285、286、287条对与计算机犯罪的内容和量刑进行了明确的规定，
以下哪一项不是其中规定的罪行？ A. 非法侵入计算机信息系统罪
- 12 -
B. C.
破坏计算机信息系统罪 利用计算机实施犯罪
D. 国家重要信息系统管理者玩忽职守罪
97、下面有关我国标准化管理和组织机构的手法错误的是： A. 国家标准化管理委员会是统一管理全国标准化工作的主管机构
B. 国家标准化技术委员会承担着国家标准的制定和修订工作 C. 全国信息安全标准化技术委员负责信息安全技术标准的审查、批准、编号和发布
D. 全国信息安全标准化技术委员负责统一协调申报信息安全国家标准年度计划
项目 98、下面有关我信息安全管理体制的说法错误的是：
A. 目前我国的信息安全保障工作是相关部门各司其职、相互配合、齐抓共管的局面 B. 我国的信息安全保障工作综合利用法律、管理和技术的手段 C. D.
我国的信息安全管理应坚持综合治理、及时检测、快速响应的方针 我国对于信息安全责任的原则是谁主管谁负责；谁经营、谁负责
99、下面说法错误的是： A. 我国密码算法的审批和商用密码产品许可证 B. 对计算机网络上危害国家安全的事件进行侦 C. D. A. B. C.
公共信息网络安全监察和信息安全产品的测 全国保守国家秘密的工作由国家保密局负责 公安部公共信息网络安全监察局及其各地相应部门 国家计算机网络与信息安全管理中心 互联网安全协会
100、一家商业公司的网站发生黑客非法入侵和攻击事件后，应及时向哪一个部门报案？
D. 信息安全产业商会
1、信息安全发展各阶段是与信息技术发展阶段息息相关的，其中，信息安全保障阶段对应下面哪个信息技术发展阶段？ A、通信阶段 B、网络阶段 C、计算机阶段 D、网络化社会阶段 2、关于信息安全策略的说法中，下面哪种说法是正确的？
A、信息安全策略的制定是以信息系统的规模为基础
B、信息安全策略的制定是以信息系统的网络拓扑结构为基础 C、信息安全策略是以信息系统风险管理为基础
D、在信息系统尚未建设完成之前，无法确定信息安全策略
3、信息系统安全保障要求包括哪些内容？ A、信息系统安安全技术架构能力成熟度要求、信息系统安全管理能力成熟度要求、信息系统安全工程能力成熟度级要求
B、信息系统技术安全保障要求、信息系统管理安全保障要求、信息系统工程安全保障要求
C、系统技术保障控制要求、信息系统管理保障控制要求、信息系统工程保障控制要求 D、系统安全保障目的、环境安全保障目的
4、对信息系统而言，信息系统安全目标是——在信息系统安全特性和评估范围之间达成一致的基础 A、开发者和评估者 B、开发者、评估者和用户 C、开发者和用户 D、评估者和用户
- 13 -
5、信息安全保障强调安全是动态的安全，意味着：
A、信息安全是一个不确定性的概念 B、信息安全是一个主观的概念 C、信息安全必须涵盖信息系统整个生命周期 D、信息安全只能是保证信息系统在有限物理范围内的安全，无法保证整个信息系统的安全
6、什么是安全环境？ A、组织机构内部相关的组织、业务、管理策略
B、所有的与信息系统安全相关的运行环境，如已知的物理部署、自然条件、建筑物等 C、国家的法律法规、行业的政策、制度规范等 D、以上都是
7、以下哪一项不是《GB/T20274信息安全保障评估框架》给出的信息安全保障模型具备的特点？
A、强调信息系统安全保障持续发展的动态性，即强调信息系统安全保障应贯穿于整个信息系统生命周期的全过程
B、强调信息系统安全保障的概念，通过综合技术、管理、工程和人员的安全保障要求来实施和实现信息系统的安全保障目标
C、以安全概念和关系为基础，将安全威胁和风险控制措施作为信息系统安全保障的基础和核心 D、通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征
8、以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？ A、提高信息技术产品的国产化率 C、加快信息安全人才培养 9、PPOR模型不包括：
B、保证信息安全资金投入
D、重视信息安全应急处理工作
A、策略 B、检测 C、响应 D、加密 10、关于信息保障技术框架（IATF），下列哪种说法是错误的？
A、IATF强调深度防御（Defense-in-Depth），关注本地计算环境、区域边界、网络和基础设施、支撑性基础设施等多个领域的安全保障 B、IATF强调深度防御（Defense-in-Depth），即对信息系统采用多层防护，实现组织的业务安全运作； C、IATF强调从技术、管理和人等多个角度来保障信息系统的安全；
D、IATF强调的是以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全
11、在能够实施被动攻击的前提下，通过对称密码算法进行安全消息传输的必要条件是： A、在安全的传输信道上进行通信 B、通讯双方通过某种方式，安全且秘密地共享密钥
C、通讯双方使用不公开的加密算法D、通讯双方将传输的信息夹杂在无用信息中传输并提取
12、常用的混合加密（Hybrid Encryption）方案指的是： A、使用对称加密进行通信数据加密，使用公钥加密进行会话密钥协商
B、使用公钥加密进行通信数据加密，使用对称加密进行会话密钥协商 C、少量数据使用公钥加密，大量数据则使用对称加密 D、大量数据使用公钥加密，少量数据则使用对称加密
- 14 -
13、流密码和分组密码相比，优势在于：、
A、安全性更佳 B、能够加密任意大小的明文 C、流密码算法的密钥可以重复使用D、在实现上通常开销比较小
14、中国的王小云教授对MD5，SHA1算法进行了成功攻击，这类攻击是指： A、能够构造出两个不同的消息，这两个消息产生了相同的消息摘要 B、对于一个已知的消息，能够构造出一个不同的消息，这两个消息产生了西安通的消息摘要
C、对于一个已知的消息摘要，能够恢复其原始消息
D、对于一个已知的消息，能够构造一个不同的消息摘要，也能通过验证 A、消息伪造
B、消息篡改
C、消息重放
D、未认证消息
15、时间戳的引入主要是为了防止： 16、以下对于IPsec协议说法正确的是：
A、鉴别头（AH）协议，不能加密包的任何部分
B、IPsec工作在应用层，并为应用层以下的网络通信提供VPN功能
C、IPsec关注与鉴别、加密和完整性保护，密钥管理不是IPsec本身需要关注的
D、在使用传输模式时，IPsec为每个包建立一个新的包头，而在隧道模式下使用原始
包头
17、以下哪一项不是工作在网络第二层的隧道协议？ A、VLP B、L2F C、PPTP D、L2TP 18、证书中一般不包含以下内容中的： A、证书主体的名称 B、证书主体的公钥
C、签发者的签名
D、以上都是
19、下面哪一个情景属于身份鉴别（Aothentication）过程？ A、用户依照系统提示输入用户名和口令 B、用户在网络上共享了自己编写的一份Office文档，并设定哪些用户可以阅读，那些用户可以修改
C、用户使用加密软件对自己编写的Office文档进行加密，以阻止其他人得到这份拷贝后看到文档中的内容
D、某个人尝试登录到你的计算机中，但是口令输入的不对，系统提示口令错误，并将这次失败的登录过程纪录在系统日志中
20、下面对于SSL工作过程的说法错误的是：
A、加密过程使用的加密算法是通过握手协议确定的 记录协议实现的
C、警告协议用于指示在什么时候发生了错误 助于PKI/CA
B、通信双方的身份认证是通过D、通信双方的身份认证需要借
21、下面对于Bell-Lapadula模型定义的访问规则的描述错误的是： A、simple security rule：处于一个级别的主体不能写高于该级别的客体
B、*-property （star property）rule：处于一个级别的主体不能对低于该级别的客体进行写操作 C、strong star property rule：处于一个级别的主体，可以对同一级别的客体进行读和写操作 D、Bell-Lapadula模型的访问规则主要是出于对保密性的保护而制定的 22、下面对于强制访问控制的说法错误的是： A、他可以用来实现完整性保护，也可以用来实现机密性保护 B、在强制访问控制的系统中，用户只能定义课题的安全属性
- 15 -
C、它在军方和政府等安全要求很高的地方应用较多
D、它的缺点是使用中的便利性比较低
23、下面对于基于角色的访问控制的说法错误的是： A、它将若干特定的用户集合与权限联系在一起 B、角色的一般可以按照部门、岗位、工种等与实际业务紧密相关的类别来划分 C、因为角色的变动往往远远低于个体的变动，所以基于角色的访问控制维护起来比较便利
D、对于数据库系统的适应性不强，是其在实际使用中的主要弱点 24、安全模型明确了安全策略所需的数据结构和技术，下列哪一项最好地描述了安全模型中的“简单安全规则”？
A、Biba模型中的不允许向上写
B、Biba模型中的不允许向下读
C
、
Bell-LaPadula模型中的不允许向下写
D、Bell-LaPadula模型中的不允许向上读
25、一个VLAN可以看作是一个：
A、冲突域 B、广播域 C、管理域 D、阻塞域 26、保留给自环测试的IP地址是： A、164.0.0.1 B、130.0.0.1
C、200.0.0.1
D、127.0.0.1
27、UDP协议和TCP协议对应于ISO/OSI模型的哪一层？ A、链路层 B、传输层 C、会话层 D、表示层
28、用来为网络中的主机自动分配IP地址、子网掩码、默认网关、WINS服务器地址的网络协议是： A、ARP
B、IGMP
C、ICMP
D、DHCP
29、以下无线加密标准中哪一种安全性最弱？ A、wep B、wpa C、wpa2 D、wapi 30、下面哪些协议不属于TCP/IP协议族网络层的协议？ A、TCP B、IP C、ICMP D、ARP
31、桥接或透明模式是目前比较流行的防火墙部署方式，这种方式的优点不包括： A、不需要对原有的网络配置进行修改 B、性能比较高 C、防火墙本身不容易受到攻击 D、易于在防火墙上实现NAT 32、以下哪一项不是应用层防火墙的特点？ A、更有效的阻止应用层攻击 B、工作在OSI模型的第七层 C、速度快且对用户透明 D、比较容易进行审计
33、有一类IDS系统将所观察到的活动同认为正常的活动进行比较并识别重要的偏差来发现入侵事件，这种机制称作： A、异常检测 B、特征检测
C、差距分析
D、比对分析
B、确保密钥D、使计算机
34、可信计算技术不能： A、确保系统具有免疫能力，从根本上阻止病毒和黑客等软件的攻击 操作和存储的安全
C、确保硬件环境配置、操作系统内核、服务及应用程序的完整性 具有更高的稳定性
35、在UNIX系统中输入命令“Is-al test”显示如下：“-rwxr-xr-x 3 root root 1024Sep 13 11:58 test”对他的含义解释错误的是：
A、这是一个文件，而不是目录 B、文件的拥有者可以对这个文件进行读、写和执行操作 C、文件所属组的成员有可以读它，也可以执行它 D、其它所有用户只可以执行它
- 16 -
36、在Unix系统中，/etc/service文件记录了什么内容？
A、记录一些常用的接口及其所提供的服务的对应关系 B、决定inetd启动网络服务时，启动那些服务 C、定义了系统缺省运行级别，系统进入新运行级别需要做什么 D、包含了系统的一些启动脚本
37、下列对windows服务的说法错误的是： A、为了提升系统的安全性管理员应尽量关闭不需要的服务
B、可以作为独立的进程运行或以DLL的形式依附在Svchost.exe C、windows服务只有在用户成功登录系统后才能运行 D、windows服务通常是以管理员的身份运行的 A、会话管理器
B、I/O设备管理器
C、Services。Exe
D、NTDLL.DLL
38、在winNT系统中将用户态进程切换至核心态必须通过以下哪一项：
39、在windows XP中用事件查看器查看日志文件，可看到的日志包括—— A、用户访问日志、安全性日志、系统日志和IE日志 B、应用程序日志、安全性日志、系统日志和IE日志 C、网络攻击日志、安全性日志、记账日志和IE日志
D、网络连接日志、安全性
日志、服务日志和IE日志
40、在数据库安全性控制中，授权的数据对象——，授权子系统就越灵活。 A、粒度越小 B、约束越细致 C、范围越大 D、约束范围大 41、以下哪一项不是SQL语言的功能？ A、数据定义 B、数据查询 C、数数据操纵 42、事务日志用于保存哪一类信息？ A、程序运行过程 B、数据的查询操作 据的更新
43、下面对于SSH的说法错误的是：
D、数据加密
D、对数
C、程序的执行过程
A、SSH是Secure Shell的简称 B、SSH2比SSH1更安全 C、通常Linux操作系统会在/usr/local目录下默认安装OpenSSH
D、客户端使用SSH连接远程登录SSH服务器必须经过基于公钥的身份认证 44、在网络应用技术领域，SOA是指： A、面向服务的体系结构 B、结构化查询语言 C、一种应用开发技术架构 一种无状态协议
45、为了增强电子邮件的安全性，人们经常使用PGP，它是——
A、一种基于RSA的邮件加密软件 B、一种基于白名单的反垃圾邮件软件 C、基于SSL的VPN技术 D、安全的电子邮件
D、
46、下面对于“电子邮件炸弹”的解释最准确的是： A、邮件正文中包含的恶意网站链接 B、邮件附件中具有强破坏性的病毒
C、社会工程的一种方式，具有恐吓内容的邮件
D、在短时间内发送大量邮件的软
件，可以造成目标邮箱爆满
47、微软的Office可能嵌入并执行——。 A、木马 B、跨站脚本 C、宏病毒 48、对于蠕虫病毒的说法错误的是：
D、流氓软件
A、通常蠕虫的传播无需用户的操作
B、蠕虫病毒的主要危害体现在对数据保密的破坏
C、蠕虫的工作原理与病毒相似，除了没有感染文件阶段
- 17 -
D、是一段能不以其他程序为媒介，从一个电脑系统复制到另一个电脑系统的程序
B、利用病毒犯罪的组织性D、复合型病毒减少，而自
49、下面关于计算机恶意代码发展趋势的说法错误的是: A、网上利用计算机病毒和木马的防盗活动将日益猖獗 和趋利性增强 C、综合利用多种编程新技术、对抗性不断增强
我保护功能增强 50、当用户输入的数据被一个解释器当作命令或查询语句的一部分执行时，就会产生哪种类型的漏洞？ A、缓冲区溢出
A、肉鸡
B、设计错误
C、信息泄露 C、安全缺陷
D、代码注入 D、木马
51、信息安全漏洞产生的必要条件是：
B、缓冲溢出去
52、下列哪项内容描述的是缓冲区溢出漏洞？
A、通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令
B、攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行
C、当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上 D、信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中，有意或无意产生的缺陷
53、以下哪个不是计算机取证工作的作用？
A、通过证据查找肇事者 B、通过证据推断犯罪过程 C、通过证据判断受害者损失程度 D、恢复数据降低损失
54、以下对于网络中欺骗攻击的描述哪个是不正确的？ A、欺骗攻击是一种非常容易实现的攻击方式 B、欺骗攻击的主要实现方式是伪造源于可信任地址的数据包 C、欺骗攻击是一种非常复杂的攻击技术 55、以下哪个策略是对抗ARP欺骗有效地？ A、使用静态的ARP缓存
D、欺骗攻击是一种间接攻击方式 B、在网络上阻止ARP报文的发送
C、安装杀毒软件并更新到最新的病毒库 D、使用linux系统提高安全性 56、攻击者使用伪造的SYN包，包的源地址和目标地址都被设置成被攻击方的地址，这样被攻击方会给自己发送SYN-ACK消息并发回ACK消息，创建一个空链接，每一个这样的连接都将保持到超时位置，这样过多的空连接会耗尽被攻击方的资源，导致拒绝服务。这种攻击称之为： A、Land攻击
B、Smurt攻击
C、Ping of Death攻击
D、ICMP
Flood
57、DNS欺骗是发生在TCP/IP协议中——的问题 A、网络接口层 B、互联网网络层 C、传输层
D、应用层
58、下列对跨站脚本攻击（XSS）描述正确的是： A、XSS攻击指的是恶意攻击者往web页面里插入恶意代码，当用户浏览该页之时，嵌入其中web里面的代码会被执行，从而达到恶意攻击用户的特殊目的 B、XSS攻击是DDOS攻击的一种变种 C、XSS攻击就是CC攻击
- 18 -
D、XSS攻击就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使IIS连接
数超出限制，当CPU资源或者带宽资源耗尽，那么网站也就被攻击垮了，从而达到攻击目的。
59、资产管理是信息安全管理的重要内容，而清楚的识别信息系统相关的资产，并编制资产清单是资产恶重要步骤，下面关于资产清单的说法错误的是：
A、资产清单的编制是风险管理的一个重要的先决条件
B、信息安全管理中所涉及的资产是指信息资产，即业务数据、合同协议、培训材料等
C、在制定资产清单的时候应根据资产的重要性、业务价值和安全分类，确定与资产重要性相对应的保护级别
D、资产清单中应当包括将资产从灾难中恢复而需要的信息，如资产类型、格式、位置、备份信息、许可信息等
60、下列哪一项较好的描述了组织机构的安全策略？
A、定义了访问控制需求的总体指导方针 C、表明管理者意图的高层陈述
B、建议了如何符合标准
D、表明所使用的特定技术控制措施的高
层陈述 61、信息分类是信息安全管理工作的重要环节，下面哪一项不是对信息进行分类时需要重点考虑的？ A、信息的价值 的规定
B、信息的时效性
C、信息的存储方式
D、法律法规
62、某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？ A、部门经理 B、高级管理层 C、信息资产所有者 D、最终用户 63、以下哪一个是对“职责分离”这一人员安全管理原则的正确理解？ A、组织机构内的敏感岗位不能由一个人长期负责 B、对重要的工作进行分解，分配给不同人员完成 C、一个人有且仅有其执行岗位所必须的许可和权限 D、防止员工由一个岗位变动到另一个岗位，累积越来越多的权限 64、下列对风险分析方法的描述正确的是—— A、定量分析比定性分析方法使用的表格更多 较定量评估多 C、同一组织只用使用一种方法进行评估 是最优方法
65、下面哪个不是ISO 27000系列包含的标准（）
A、《信息安全管理体系要求》 B、《信息安全风险管理》 C、《信息安全度量》 D、《信息安全评估规范》
66、风险管理四个步骤的正确顺序是： A、背景建立、风险评估、风险处理、批准监督 批准、风险控制
C、风险评估、对象确立、审核批准、风险控制 确立、审核批准
D、风险评估、风险控制、对象
B、背景建立、风险评估、审核B、定性分析的主观和经验判断因素D、符合组织要求的风险评估方法就
67、依据国家标准《信息安全技术信息系统灾难恢复规范》（GB/T20988），灾难恢复管理过程的主要步骤是灾难恢复需求分析、灾难恢复策略制定、灾难恢复策略实现、灾难恢复预案制定和管理；其中灾难恢复策略实现不包括以下哪一项？ A、分析业务能力 B、选择和建设灾难备份中心 C、实现灾备系统技术方案D、实现灾备系统技术支持和维护能力
- 19 -
68、关于异地备份中心的说法正确的是：
A、与生产中心不在同一城市 B、与生产中心距离100公里以上 C、与生产中心距离200公里以上 D、与生产中心面临相同区域性风险的几率很小
69、关于信息安全应急响应的说法错误的是：
A、明确处理安全事件的工作职责和工作流程是应急响应工作中非常重要的一项内容 B、仅仅处理好紧急事件不是应急工作的全部，通过信息安全事件进行总结和学习也是
很重要的 C、对安全事件的报告和对安全弱点的报告都是信息安全事件管理的重要内容
D、作为一个单位的信息安全主管，在安全事件中主要任务是排除事件的负面影响，而取证和追查完全是执法机关的事情
70、以下哪一项在防止数据介质被滥用时是不推荐使用的方法？ A、禁用主机的CD驱动、USB接口等I/O设备 的数据清除
C、将不再使用的纸质文件用粉碎机粉碎 密级的文件
B、对不再使用的硬盘进行严格
D、用不敏感的文件覆盖磁盘中的高
71、以下哪一项对TEMPEST的解释是最准确的？ A、电磁泄漏防护技术的总称 B、物理访问控制系统的总称 C、一种生物识别技术 D、供热、通风、空调和冰箱等环境支持系统的简称 72、对程序源代码进行访问控制管理时，以下哪一项做法是错误的？ A、若有可能，在实际生产系统中不保留源程序库 B、对源程序库的访问进行严格的审计 C、技术支持人员应该可以不受限制地访问源程序 D、对源程序库的拷贝应受到严格的控制规程的制约
73、以下哪一项是对信息系统经常不能满足用户需求的最好解释？
A、没有适当的质量管理体系 D、项目管理能力不强
B、经常变化的用户需求
C、用户参与需求挖掘不够
74、许多安全管理工作在信息系统生存周期中的运行维护阶段发生。以下哪一种行为通常不是在这一阶段中发生的？ A、进行系统备份 B、管理加密密钥 C、认可安全控制措施 D、升级安全软件
75、衡量残余安全风险应当考虑的因素为：
A、威胁、风险、资产价值 C、单次损失、年度发生率
B、威胁、资产价值、脆弱性
D、威胁、脆弱性、资产价值、控制措施效果
76、《信息安全技术 信息安全风险评估规范 GB/T 20984-2007》中关于信息系统生命周期各阶段的风险评估描述不正确的是：
A、规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等 B、设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求 C、实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证 D、运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种全面的风险评估。评估内容包括对真实运行的信息系统、资产、脆弱性等各方面
- 20 -
77、信息化建设和信息安全建设的关系应当是：
A、信息化建设的结束就是信息安全建设的开始 B、信息化建设和信息安全建设应同步规划、同步实施 C、信息化建设和信息安全建设是交替进行的，无法区分谁先谁后 D、以上说法都正确
78、根据SSE-CMM信息安全工程过程可以划分为三个阶段，其中——确立安全解决方案的置信度并且把这样的置信度传递给顾客。
A、保证过程 B、风险过程 C、工程和保证过程 79、下列哪些不是SSE-CMM中规定的系统安全工程过程类？
A、工程
B、组织
C、项目
D、资产
B、域维定义了实施安
80、关于SSE-CMM的说法错误的是：
A、它通过域维和能力维共同形成对安全工程能力的评价
全工程的所有实施活动 C、能力维定义了工程能力的判断标准
D、安全工程过程
D、“公共特征”是域维中队获得过程区
目标的必要步骤的定义
81、项目管理是信息安全工程的基础理论，下列关于项目管理的理解正确的是：
A、项目管理的基本要素是质量、进度和成本 B、项目管理的基本要素是范围、人力和沟通 C、项目管理是从项目的执行开始到项目结束全过程进行计划、组织、指挥、协调、控制和评价，以实现项目的目标 D、项目管理是项目管理者，在有限的资源约束下，运用系统的观点、方法和理论，对项目涉及的技术工作进行有效的管理
82、在信息系统的设计阶段必须做以下工作除了： A、决定使用哪些安全控制措施 B、对设计方案的安全性进行评估 C、开发信息系统的运行维护手册 D、开发测试、验收和认可方案
83、信息系统安全保障工程是一门跨学科的工程管理过程，它是基于对信息系统安全保障需求的发掘和对——的理解，以经济、科学的方法来设计、开发和建设信息系统，以便它能满足用户安全保障需求的科学和艺术。 A、安全风险 B、安全保障 C、安全技术 D、安全管理
84、以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正确描述？ A、应基于法律法规和用户需求，进行需求分析和风险评估，从信息系统建设的开始就综合信息系统安全保障的考虑
B、应充分调研信息安全技术发展情况和信息安全产品市场，选择最先进的安全解决方案和技术产品
C、应在将信息安全作为实施和开发人员的一项重要工作内容，提出安全开发的规范并切实落实
D、应详细规定系统验收测试中有关系统安全性测试的内容
85、关于信息安全监理过程中成本控制，下列说法中正确的是？ A、成本只要不超过预计的收益即可 B、成本应控制得越低越好
C、成本控制有承建单位实现，监理单位只记录实际开销
D、成本控制的主要目的是在批注的预算条件下确保项目保质按期完成
86、IT工程建设与IT安全工程建设脱节是众多安全风险涌现的根源，同时安全风险也越来越多地体现在应用层，因此迫切需要加强对开发阶段的安全考虑，特别是要加强对数据安全性的考虑，以下哪项工作实在IT项目的开发阶段不需要重点考虑的安全因素？
- 21 -
A、操作系统的安全加固 B、输入数据的校验 C、数据处理过程控制
D、输出数据的验证 87、《刑法》第六章第285、286、287条对于计算机犯罪的内容和量刑进行了明确的规定，以下哪一项不是其中规定的罪行？ A、非法侵入计算机信息系统罪 B、破坏计算机信息系统罪 C、利用计算机实施犯罪 D、国家重要信息系统管理者玩忽职守罪
88、我国规定商用密码产品的研发、制造、销售和使用采取专控管理，必须经过审批，所依据的是： A、商用密码管理条例
B、中华人民共和国计算机信息系统安全保护条例
D、中华人民共和国保密法
C、计算机信息系统国际互联网保密管理规定 A、系统识别与描述、等级确定
89、等级保护定级阶段主要包括哪两个步骤？
B、系统描述、等级确定
C、系统识别、系统描述、 D、系统识别与描述、等级分级 90、实施信息系统安全等级保护制度的一般工作流程是——。
A、定级-检查-建设整改-等级测评-备案 B、等级测评-建设整改-监督检查
C、定级-备案-建设整改-等级测评-监督检查 D、定级- -等级测评-备案-建设整改-监
督检查
91、信息安全等级保护分级要求，第一级适用正确的是： A、适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害 B、适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害 C、适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益 D、适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害
92、TCSEC（橘皮书）中划分的7个安全等级中，____是安全程度最高的安全等级。 A、A1 B、A2 C、C1 D、C2
93、______是目前国际通行的信息技术产品安全性评估标准。 A、TCSEC B、ITSEC C、CC 94、以下哪一项是用于CC的评估级别？
D、IATF
B、A1，B1，B2，B3，
A、EAL1，EAL2，EAL3,EAL4，EAL5，EAL6，EAL7
C2，C1，D
C、E0，E1，E2，E3，E4，E5，E6 AD4，AD5，AD6
95、下面对ISO 27001的说法最准确的是：
D、AD0，AD1，AD2，AD3，
A、该标准的题目是信息安全管理体系实施指南
B、该标准为度量信息安全管理体系的开发和实施过程提供的一套标准
C、该标准提供了一组信息安全管理相关的控制措施和最佳实践
D、该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一
个模型
96、ISO 27002、ITIL和COBIT在IT管理内容上各有优势，但侧重点不同，其各自重点分别在于：
- 22 -
A、IT安全控制、IT过程管理、IT控制和度量评价 B、IT过程管理、IT安全
控制、IT控制和度量评价 C、IT控制和度量评价 、IT安全控制和IT过程管理 D、IT过程管理、IT控制和度量评价、IT安全控制
97、我国信息安全标准化技术委员会（TC260）目前下属6个工作组，其中负责信息安全管理的小组是： A、WG1
B、WG7 C、WG3 D、WG5
98、触犯新刑法285条规定的非法侵入计算机系统罪可判处_________ A、三年以下有期徒刑或拘役 B、1000元罚款 C、三年以上五年以下有期徒刑
D、10000元罚款
99、以下关于我国信息安全政策和法律法规的说法错误的是：
A、中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识” B、2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》
C、2007年我国四部委联合发布了《信息安全等级保护管理办法》
D、2006年5月全国人大常委会审议通过了《中国人名共和国信息安全法》
100、下面关于CISP的知识体系大纲说法错误的是： A、信息安全保障（IA）是贯穿整个CISP知识体系大纲的主线 B、CISP知识体系分为体系模型、技术、管理、工程和法律法规五大类
C、使用知识类（PT）-知识体（BD）-知识域（KA）-知识子域（SA）来组织的组建模块化的知识体系结构
D、CISP培训的内容应当与大纲的要求相符合，而考试的范围是以推荐教材和培训讲师授课内容为依据的
1、 信息安全保障的最终目标是：
A、 掌握系统的风险，制定正确的策略 B、 确保系统的保密性、完整性和可用性
C、 使系统的技术、管理、工程过程和人员等安全保障要素达到要求 D、 保障信息系统实现组织机构的使命
2、2008年某单位对信息系统进行了全面的风险评估，并投入充分的资源进行了有效的风险处置，但是2010年仍然发生了一起影响恶劣的信息安全事件，这主要是由于：
A、 信息安全是系统的安全 B、 信息安全是无边界的安全 C、 信息安全是动态的安全 D、 信息安全是非传统的安全
3、 下面对于信息安全发展历史描述正确的是：
A、 信息安全的概念是随着计算机技术的广泛应用而诞生的 B、 目前信息安全已经发展到计算机安全的阶段
C、 目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程
和人员同样是促进信息系统安全性的重要因素
D、 我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安
全”，再到“信息技术安全”，直至现在的“信息安全保障”
4、 依据《信息系统安全保障评估框架》，以下哪个不是安全保障要素？
- 23 -
A、保密性 B、管理 C、工程 D、技术 5、美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求时，将信息技术系统分为： A、内网和外网两个部分
B、本地计算环境、区域边界、网络和基础设施、支撑性基础设施四个部分 C、用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分 D、信用户终端、服务器、系统软件、网络设备和通信线路、应用软件、安全措施六个部分
6、下列对于CC的“评估保证级”（EAL）的说法最准确的是： A、代表着不同的访问控制强度
B、描述了对抗安全威胁的能力级别
C、是信息技术产品或信息技术系统对安全行为和安全功能的不同要求 D、由一系列保证组件构成的包，可以代表预先定义的保证尺度 7、下面关于信息安全模型的说法错误的是：
A、通常可以将访问控制模型分为自主访问控制模型、强制访问控制模型和基于角色的访问控制模型 B、强制访问控制模型可以分为多级环境的访问控制模型和多边环境的访问控制模型
C、在一个动态的访问控制模型当中，主体的访问控制权限可以随着其访问行为而变化
D、信息流模型是访问控制模型中对抗隐通道最有效的一种 8、下列哪一项准确地描述了可信计算基（TCB）？ A、TCB只作用于固件（Firmware）
B、TCB描述了一个系统提供的安全级别 C、TCB描述了一个系统内部的保护机制 D、TCB通过安全标签来表示数据的敏感性
9、 下面哪一项访问控制模型使用安全标签（security labels）?
A、自主访问控制 B、非自主访问控制 C、强制访问控制 D、基于角色的访问控制
10、在Chinese Wall 模型中访问数据受限于：
A、数据的属性 B、主体已经获得了对哪些数据的访问权限 C、数据的结构 D、数据的加密等级
11、下列对于访问控制模型分类说法正确的是： A、BLP模型和Biba模型都是强制访问控制模型 B、Biba模型和Chinese Wall 模型都是完整性模型 C、访问控制矩阵不属于自主访问控制模型 D、基于角色的访问控制属于强制访问控制
12、下面对于Bell—Lapadula模型定义的访问规则的描述错误的是？
A、simple security rule:处于一个级别的主体不能写高于该级别的客体 B、*-property(star property)rule;处于一个级别的主体不能对低于该基本的客体进行写操作
C、strong star property rule:处于一个级别的主体，可以对同一级别的客体进行和写操作
D、Bell—Lapadula模型的访问规则主要是出于对保密性的保护而制定的
- 24 -
13、下面对于强制访问控制的说法错误的是？
A、它可以用来实现完整性保护，也可以用来实现机密性保护 B、在强制访问控制的系统中，用户只能定义客体的安全属性 C、它在军方和政府等安全要求很高的地方应用较多 D、它的缺点是使用中的便利性比较低
14、下列对Kerberos协议特点描述不正确的是：
A、协议采用单点登录技术，无法实现分布式网络环境下的认证 B、协议与授权机制相结合，支持双向的身份认证
C、只要用户拿到了TGT并且该TGT没有过期，就可以使用该TGT通过TGS完成到任一个服务器的认证而不必重新输入密码
D、AS和TGS是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全
15、下列哪种方法最能够满足双因子认证的需求？ A、智能卡和用户PIN B、用户ID与密码
C、虹膜扫描和指纹扫描 D、磁卡和用户PIN
16、以下关于P2DR模型的说法正确的是：
A、一个信息系统的安全保障体系应当以人为核心，防护、检测和恢复组成一个完整的、动态的循环
B、判断一个系统系统的安全保障能力，主要看安全策略的科学性与合理性，以及安全策略的落实情况
C、如果安全防护时间小于检测时间加响应时间，这该系统一定是不安全的 D、如果一个系统的安全防护时间为0，则系统的安全性取决于暴露时间 17、近代密码学比古典密码学本质上的进步是什么？ A、保密是基于密钥而不是密码算法 B、采用了非对称密钥算法 C、加密的效率大幅提升 D、VPN技术的应用
18、下列哪一种密码算法是基于大数分解难题的？ A、ECC B\\RSA C\\DES D\\Diffie—Hellman 19、关于非对称算法的应用范围，说法正确的是： A、DSS用于数字签名，RSA用于加密和签名 B、DSS用于密钥交换，IDEA用于加密和签名 C、DSS用于数字签名，MDS用于加密和签名 D、IDEA用于加密和签名，MD5用于完整性校验
20、非对称密码系统的主要用途包括密钥交换、加密解密和数字签名，下面哪一个算法既不用加密解密，也不用数字签名：
A、Diffie—Hellman B、RSA C、椭圆曲线（ECC） D、以上都不对 21、PKI在验证一个数字证书时需要查看—，来确认该证书是否已经作废。 A、ARL B\\CSS C\\KMS D\\CRL 22、IPSec的两种使用模式分别是— A、传输模式、安全壳模式 B、传输模式、隧道模式
- 25 -
C、隧道模式、ESP模式 D、安全壳模式、AH模式
23、OSI安全体系结构定义了五大类安全服务，下面哪项不属于安全服务 A、签别 B、加密 C、数据库完整性 D、抗抵赖性 24、——设备可以隔离ARP广播帧
A、路由器 B、网桥 C、以太网交换机 D、集线器 25、UDP协议和TCP协议对应于ISO/OSI模型的哪一层： A、链路层 B、传输层 C、会话层 D、表示层 26、从分析方式上入侵检测技术可以分为： A、基于标识检测技术，基于状态检测技术 B、基于异常检测技术、基于流量检测技术 C、基于误用检测技术，基于异常检测技术 D、基于标志检测技术、基于误用检测技术
27、哪一类防火墙具有根据传输信息的内容（如关键字、文件类型）来控制访问链接的能力？
A、包过滤防火墙 B、状态检测防火墙 C、应用网关防火墙 D、以上都不对 28、从部署结构来看，下列哪一种类型的防火墙提供了最高安全性？
A、屏蔽路由器 B、双宿堡垒主机 C、屏蔽主机防火墙 D、屏蔽子网防火墙 29、下面哪一项不是IDS的主要功能：
A、监控和分析用户和系统活动 B、统计分析异常活动模式
C、对被破坏的数据进行修复 D、识别活动模式以反映已知攻击
30、下面一行是某个UNIX文件的详情，关于该文件权限的描述不正确的是（） “drwxr-xrwx 2 group user 4096 05-05 09:14 file” A、这是一个目录，名称是“file” B、文件属组是group C、“其他人”对该文件具有读、写、执行权限 D、user的成员对此文件没有写权限
31、在Unix系统中，/etc/service文件记录了什么内容？ A、记录了一些常用的接口及其所提供的服务的对应关系 B、决定inetd启动网络服务时，启动哪些服务
C、定义了系统缺省运行级别，系统进入新运行级别需要做什么 D、包含了系统的一些启动脚本
32、在你为一台新的服务器安装windows操作系统时，以下哪一种做法最可能导致安全问题？
A、根据需求有选择地安装windows组件
B、安装时保持Internet网络连接，以便及时升级安全补丁 C、将该服务器设置成“standlone”不加入任何域 D、安装完毕马上禁用“NetBIOS”
33、在windows操作系统中，欲限制用户无效登录的次数，应当—— A、在“本地安全设置”中对“密码策略”进行设置
B、在“本地安全设置”中对“账户锁定策略”进行设置 C、在“本地安全设置”中对“审核策略”进行设置
D、在“本地安全设置”中对“用户权利指派”进行设置 34、下列哪项关于数据库中“视图”的说法是正确的？ A、一个基本表只能定义一个视图
- 26 -
B、视图是从一个或多个基本表导出的表，它是虚表
C、视图一经定义就可以和基本表一样被查询、删除和更新 D、视图不可以用来定义新的视图
35、在数据库安全性控制中，授权的数据对象—，数据访问控制策略就可以越灵活，
A、粒度越小 B、约束越细致 C、范围越大 D、约束范围大 36、“存储过程”是SQL语句的一个集合，在一个名称下储存，按独立单元方式执行。以下哪一项不是使用存储过程的优点： A、提高性能，应用程序不用重复编译此过程 B、降低用户查询数量，减轻网络拥塞
C、语句执行过程中如果中断，可以进行数据回滚，保证数据的完整性和一致性
D、可以控制用户使用存储过程的权限，以增强数据库的安全性 37、下列关于计算机恶意代码发展趋势的说法错误的是： A、网上利用计算机病毒和木马的盗窃活动将日益猖獗 B、利用病毒犯罪的组织性和趋利性增强
C、综合利用多种编程新技术、对抗性不断增强 D、复合型病毒减少，而自我保护功能增强 38、以下对于蠕虫的描述错误的是：
A、蠕虫的传播无需用户操作 B、蠕虫会消耗内存或网络宽带，导致DOS C、蠕虫的传播需要通过“宿主”程序或文件 D、蠕虫程序一般由“传播模块”、“隐蔽模块”和“目的功能模块”构成 39、能对计算机硬件破坏的病毒是：
A、CIH B、CODE RED C、维金 D、熊猫烧香 40、关于网页中的恶意代码，下列说法错误的是： A、网页中的恶意代码只能通过IE浏览器发挥作用 B、网页中的恶意代码可以修改系统注册表 C、网页中的恶意代码可以修改系统文件
D、网页中的恶意代码可以窃取用户的机密文件 41、下面对于cookie的说法错误的是： A、cookie是一小段存储在浏览器端文本信息，web应用程序可以读取cookie包含的信息
B、cookie可以存储一些敏感的用户信息，从而造成一定的安全风险
C、通过cookie提交精妙构造的移动代码，绕过身份验证的攻击叫做cookie欺骗
D、防范cookie欺骗的一个有效方法是不使用cookie验证方法，而是用session验证方法
42、下面哪一项不是安全编程的原则：
A、尽可能使用高级语言进行编程 B、尽可能让程序只实现需要的功能 C、不要信任用户输入的数据 D、尽可能考虑到意外的情况，并设计妥善的处理方法
43、在典型的web应用站点的层次结构中，“中间件”是在哪里运行的？
A、浏览器客户端 B、web服务器 C、应用服务器 D、数据库服务器 44、一个HTTP请求由哪些部分组成：
- 27 -
A、方法、请求包头和实体包 B、方法和请求包头
C、协议状态代码描述、方法和请求包头 D、协议状态代码描述和请求包头 45、攻击者以很高的发包速率发送大量的数据包使得网络超载，由于超载，路由器为了负载均衡开始丢弃合法的数据包，这样路由器越来越忙，网速越来越慢。基于ICMP请求/应答包的攻击是：
A、SYN攻击 B、SMURF攻击 C、Death of Ping攻击 D、Fraggle攻击 46、下列哪一项不是信息安全漏洞的载体？
A、网络协议 B、操作系统 C、应用系统 D、业务数据 47、黑客进行攻击的最后一个步骤是：
A、侦查与信息收集 B、漏洞分析与目标选定 C、获取系统权限 D、打扫战场、清除证据
48、为了增强电子邮件的安全性，人们经常使用PGP，它是：
A、一种基于RSA的邮件加密软件 B、一种基于白名单的反垃圾邮件软件 C、基于SSL的VPN技术 D、安全的电子邮箱
49、基于攻击方式可以将黑客攻击分为主动攻击和被动攻击，以下哪一项不属于主动攻击：
A、中断 B、篡改 C、侦听 D、伪造 50、下列哪项内容描述的是缓冲区溢出漏洞？ A、通过把SQL命令插入到web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令
B、攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信懒的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行。 C、当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上
D、信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中，有意或无意产生的缺陷
51、无论是哪一种web服务器，都会受到HTTP协议本身安全问题的困扰，这样的信息系统安全漏洞属于：
A、设计型漏洞 B、开发型漏洞 C、运行性漏洞 D、以上都不是
52、在某个攻击中，入侵者通过由系统用户或系统管理员主动泄露的可以访问系统资源的信息，获得系统访问权限的行为被称作：
A、社会工程 B、非法窃取 C、电子欺骗 D、电子窃听 53、以下哪一项最准确的表述了跨站脚本攻击的原理？
A、将ActiveX注入到存在漏洞的web网页中以传播蠕虫
B、web应用把用户输入的数据直接发送给浏览器，导致攻击者在受害者得浏览器中执行脚本程序
C、引诱web用户点击假的URL连接，而访问挂马网站 D、攻击者利用web server存在的漏洞将JavaScript，VBScript等脚本程序在服务器端运行，造成对客户端的破坏
54、以下哪一项是防范SQL注入攻击最有效的手段？
A、删除存在注入点的网页 B、对数据库系统的管理权限进行严格的控制 C、通过网络防火墙严格限制Internet用户对web服务器的访问 D、对web用户输入的数据进行严格的过滤
55、DNS欺骗是发生在TCP/IP协议中—层的问题，
- 28 -
A、网络接口层 B、互联网网络层 C、传输层 D、应用层 56、对“PDCA”循环不正确的描述是： A、“PDCA”的含义是P-计划，D-实施，C-检查，A-改进； B、“PDCA”循环又叫“戴明”环； C、“PDCA”循环是只能用于信息安全管理体系有效进行的工作程序； D、“PDCA”循环是可用于任何一项活动有效进行的工作程序 57、信息安全管理者需要完成方方面面的繁杂工作，这些日常工作根本的目标是： A、避免系统软硬件的损伤 B、监视系统用户和维护人员的行为
C、保护系统内的信息资产 D、给入侵行为制造障碍，并在发生入侵后及时发现、准确记录
58、在风险评估的工作中，以下哪一选项不是其基本要素？ A、残余风险 B、资产 C、脆弱性 D、威胁 59、关于风险值的含义正确的是：
A、根据安全事件发生的可能性，计算对组织的影响 B、根据安全时间出现后的损失，计算对组织的影响
C、根据安全事件发生的可能性以及安全事件出现后的损失，计算对组织的影响
D、根据安全事件发生的可能性和资产的价值，计算对组织的影响
60、信息安全策略是管理层对信息安全工作意图和方向的正式表述，以下哪一项不是信息安全策略文档中必须包含的内容？
A、说明信息安全对组织的重要程度 B、介绍需要符合的法律法规要求 C、信息安全技术产品的选型范围 D、信息安全管理责任的定义
61、信息分类是信息安全管理工作的重要环节，下面哪一项不是对信息进行分类时需要重点考虑的？
A、信息的价值 B、信息的时效性 C、信息的存储方式 D、法律法规的规定
62、在构建一个单位的内部安全管理组织体系的时候，以下哪一项不是必需考虑的内容？
A、高级管理层承诺对安全工作的支持 B、清晰地定义部门和岗位的信息安全职责
C、高效的沟通机制，促使安全需求和安全规范得到共识和理解
D、明确安全性与便捷性的关系，使业务部门接受安全措施对业务效率的负面影响
63、你认为为了加深用户对于机构范围内的信息系统安全制度的理解，以下哪一种方法更有效？
A、通过物理的公告牌来发布制度 B、通过电子公告牌来发布制度 C、通过互联网发布制度 D、要求用户签署已经阅读过安全制度的声明
64、机构应该把信息系统安全看作：
A、业务中心 B、风险中心 C、业务促进因素 D、业务抑制因素 65、一个商业机构为其信息系统的建设购买了一套成熟的软件包，管理者对软件包程序修改的态度正确的是：
A、不允许修改 B、不鼓励修改 C、尽量争取软件商的许可，并组织修改 D、秘密进行修改
- 29 -
66、在进行应用系统的测试时，应尽可能额避免使用包含个人隐私和其它敏感信息的实际生产系统中的数据，如果需要使用时，以下哪一项不是必须做的： A、测试系统应用不低于生产系统的访问控制措施 B、为测试系统中的数据部署完善的备份与恢复措施 C、在测试完成后立即清除测试系统中的所有敏感数据 D、部署审计措施，记录生产数据的拷贝和使用
67、为了保证系统日志可靠有效，以下哪一项不是日志必须具备的特征。
A、统一而精确地的时间 B、全面覆盖系统资产 C、包括访问源、访问目标和访问活动等重要信息
D、可以让系统的所有用户方便的读取
68、对第三方服务进行安全管理时，以下说法正确的是： A、服务水平协议的签定可以免除系统安全管理者的责任 B、第三方服务的变更管理的对象包括第三方服务造成的系统变化和服务商贸的变化
C、服务水平协议的执行情况的监督，是服务方项目经理的职责，不是系统管理者的责任
D、安全加固的工作不能由第三方服务商进行
69、在信息安全管理工作中“符合性”的含义不包括哪一项？
A、对法律法规的符合 B、对安全策略和标准的符合 C、对用户预期服务效果的符合
D、通过审计措施来验证符合情况
70、灾难发生后，系统和数据必须恢复到的—为恢复点目标（RPO）。 A、时间要求 B、时间点要求 C、数据状态 D、运行状态
71、我国《信息系统灾难恢复规范》中要求灾难恢复等级1级的灾难恢复系统——，
A、至少每天做一次完全数据备份 B、配备7*24小时专职机房职守人员 C、数据零丢失 D、至少每周做一次完全数据备份 72、当备份一个应用程序系统的数据时，以下哪一项是应该首先考虑的关键性问题？ A、什么时候进行备份 B、在哪里进行备份 C、怎样存储备份 D、需要备份哪些数据
73、以下关于CSIRT的说法错误的是：
A、CSIRT是“计算机安全应急响应小组”的英文缩写
B、CSIRT应当包括法律、技术和其它专家，以及行政管理人员 C、CSIRT应当是一个常设机构，其成员应当在事件发生前
D、应急响应工作本质上是被动的，因此CSIRT应当在事件发生前做好充分准备，尽可能争取主动
74、下面对于信息安全事件分级的说法正确的是？
A、对信息安全事件的分级可以参考信息系统的重要程序、系统损失和应急成本三个要素
B、判断信息系统的重要程度主要考虑其用户的数量 C、判断系统损失大小主要考虑恢复系统正常运行和消除安全事件负面影响所需付出的代价
D、根据有关要求国家机关的信息安全事件必须划分为“重大事件”、“较大事
- 30 -
件”和“一般事件”三个级别 75、“配置管理”是系统工程中的重要概念，它在软件工程和信息安全工程中得到了广泛的应用，下面对“配置管理”的解释最准确的是？
A、配置管理的本质是变更流程管理 B、管理配置是对信息系统的技术参数进行管理
C、配置管理是一个对系统（包括软件、硬件、文档、测试设备、开发/维护设备）的所有变化进行控制的过程
D、管理配置是对系统基线和源代码的版本进行管理 76、信息化建设和信息安全建设的关系应当是： A、信息化建设的结束就是信息安全建设的开始
B、信息化建设和信息安全建设应同步规划、同步实施
C、信息化建设和信息安全建设是交替进行的，无法区分谁先谁后 D、以上说法都正确
77、下面对能力成熟度模型解释最准确的是？
A、它认为组织的能力依赖于严格定义、管理完善、可测可控的有效业务过程 B、它通过严格考察工程成果来判断工程能力
C、它与统计过程控制理论的出发点不同，所以应用于不同领域 D、它是随着信息安全的发展而诞生的重要概念
78、系统安全工程能力成熟模型（SSE-CMM）使用“两维”结构在整个安全工程范围内决定安全工程组织的成熟性，“两维”是指：
A、域维、能力维 B、事件维、能力维 C、过程维、特征维 D、实践维、特征维
79、下面对SSE-CMM说法错误的是？
A、它通过域维和能力维共同形成对安全工程能力的评价 B、域维定义了实施安全工程的所有实施活动 C、能力维定义了工程能力的判断标准 D、“公共特征”是域维中对获得过程区目标的必要步骤的定义
80、一个组织的系统安全能力成熟度达到哪个级别以后，就可以对组织层面的过程进行规范的定义？
A、2级—计划和跟踪 B、3级—充分定义 C、4级—量化控制 D、5级—持续改进
81、SSE-CMM，即系统安全工程—能力成熟度模型，它包含六个级别，其中计划和跟踪级别重于：
A、规范化地裁剪组织层面的过程定义 B、项目层面定义、计划和执行问题
C、测量 D、一个组织或项目执行了包含基本实施的过程
82、下列哪项不是信息系统安全工程能力成熟度模型（SSE-CMM）的主要过程： A、风险过程 B、保证过程 C、工程过程 D、评估过程
83、某单位欲开展信息安全工程建设工作，首先委托第三方测评机构对其进行了系统安全评估工作，发现了系统存在的安全隐患，并以此为依据提出了信息安全建设项目技术需求，以上描述属于SSE-CMM工程过程区域的哪个阶段？ A、风险过程 B、工程过程 C、保障工程 D、评估过程 84、下面哪一项为系统安全工程能力成熟度模型提供了评估方法：
- 31 -
A、ISSE B、SSAM C、SSR D、CEM
85、在信息安全工程招标阶段，你作为工程的管理者之一，需要在招标文件中规定对参与投标企业的资质要求，这时您应当重点考虑：
A、工程的成本、进度和质量要求 B、工程实施的地域特点 C、领导的意图及系统用户的意见 D、工程的类型、规模和特点
86、信息系统安全保障工程是一门跨学科的工程管理过程，它是基于对信息系统安全保障需求的发掘和对——的理解，以经济、科学的方法来设计、开发和建设信息系统，以便他能满足用户安全保障需求的科学和艺术。
A、安全风险 B、安全保障 C、安全技术 D、安全管理
87、信息安全保障工程生命周期一般分为立项阶段、开发采购阶段、工程实施阶段、运输维护阶段和废弃阶段等五个阶段，其每个阶段均应有相应的成果文件，以下每个阶段对应的成果文件对应错误的是：
A、立项阶段—信息安全保障方案 B、开发采购阶段—安全保障工程实施方案
C、工程实施阶段—终验报告 D、运行维护阶段—系统认证证书 88、信息系统安全工程（ISSE）是按照：“确定安全能力需求—分析安全要求和研究安全概念—设计系统安全体系结构—实现安全设计并进行系统安全测试—实施安全操作和生命周期支持”的模型实现的，以下对ISSE的描述正确的是： A、ISSE是按照系统生命周期的顺序来描述信息安全工程的 B、ISSE并不涉及对系统进行风险识别的过程 C、ISSE主要应用于专门的信息安全建设项目 D、消除系统面临的安全风险是ISSE的目标之一 89、信息安全工程监理模型不包括下面哪一项？
A、监理咨询服务 B、咨询监理支撑要素 C、监理咨询阶段过程 D、控制管理措施
90、下列对ISO27001的说法最准确的是：
A、该标准的题目是信息安全管理体系实施指南
B、该标准为度量信息安全管理体系的开发和实施过程提供的一套标准 C、该标准提供了一组信息安全管理相关的控制措施和最佳实践
D、该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型
91、ISO27002、ITIL和COBIT在IT管理内容上各有优势，但侧重点不同，其各自重点分别在于：
A、IT安全控制、IT过程管理和IT控制和度量评价 B、IT过程管理、IT安全控制和IT控制和度量评价 C、IT控制和度量评价、IT安全控制和IT过程管理 D、IT过程管理、IT控制和度量评价、IT安全控制 92、国际标准化组织ISO下属208个技术委员会（TCs），531个分技术委员会（SCs），23个工作组（WCs），其中负责信息安全技术标准化的组织是： A、ISO/IEC B、ISO/IEC JTC1 C、ISO/IEC JTC 1/SC 27 D、ISO/IEC JTC 1/SC 37
93、以下哪一项不一定构成违反刑法的计算机犯罪行为？
A、违反国家规定，对计算机系统功能进行删除或修改造成严重后果 B、传播计算机病毒，造成严重后果
- 32 -
C、故意制作计算机病毒，他人使用此病毒造成严重破坏 D、利用计算机挪用公款 94、下面对国家秘密定级和范围的描述中，哪项不符合《保守国家秘密法》要求： A、国家秘密及其密级的具体范围，由国家保密工作部门分别会同外交、公安、国家安全和其他中央有关机关规定
B、各级国家机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级具体范围的规定确定密级
C、对是否属于国家秘密和属于何种密级不明确的事项，可由各单位自行参考国家要求确定和定级，然后报国家保密工作部门备案、 D、对是否属于国家秘密和属于何种秘密不明确的事项，由国家保密工作部门，省、自治区、直辖市的保密工作部门，省、自治区政府所在地的市和经国务院批准的较大的市的保密工作部门或者国家保密工作部门审定的机关确定 95、以下关于我国信息安全政策和法律法规的说法错误的是？
A、中办发【2003】27号文提出“加快信息安全人员培养，增强全民信息安全意识”
B、2008年4月国务院办公厅发布了《关于加强政府信息系统安全和保密管理工作的通知》
C、2007年我国四部委联合发布了《信息安全等级保护管理办法》
D、2006年5月全国人大常委会审议通过了《中国人民共和国信息安全法》 96、我国信息安全等级保护政策中，将信息系统安全保护等级分为几级？ A、2级 B、3级 C、4级 D、5级
97、目前我国信息技术产品安全性评估依据的标准和配套的评估方法是：
A、TCSEC和 CEM B、 CC和 CEM C、CC和 TCSEC D、 TCSEC和 CEM
98、下列关于ISO27000系列标准的说法正确的是： A、ISO 27001 给出了信息安全风险评估的指南 B、ISO 27001 描述了信息安全管理体系要求
C、ISO 27001 并不局限于IT，也不依赖于专门的技术，它是由长期积累的最佳实践构成的
D、ISO 27001提出了实现IT安全控制所需采用的各项技术及要求 99、实施信息系统安全等级保护制度的一般工作流程是— A、定级—检查—建设整改—等级测评—备案 B、等级测评—建设整改—监督检查
C、定级—备案—建设整改—等级测评—监督检查 D、定级—等级测评—备案—建设整改—监督检查 100、下面有关我国信息安全管理体制的说法错误的是：
A、目前我国的信息安全保障工作是相关部门各司其职、相互配合、齐抓共管的局面、
B、我国的信息安全保障工作综合利用法律、管理和技术的手段
C、我国的信息安全管理应坚持综合治理、及时检测、快速响应的方针 D、我国对于信息安全责任的原则是谁主管谁负责、谁经营、谁负责
- 33 -