Q1. 工作年限（單選題）
Q2. 您的職位？（單選題）
Q3. 請問您的居住地區(qū)是？（單選題）
Q4. 依據國家標準/T20274《信息系統(tǒng)安全保障評估框架》，信息系統(tǒng)安全目標(ISST)中，安全保障目的指的是:（單選題）
A、信息系統(tǒng)安全保障目的B、環(huán)境安全保障目的
B、環(huán)境安全保障目的
C、信息系統(tǒng)安全保障目的和環(huán)境安全保障目的
D、信息系統(tǒng)整體安全保障目的、管理安全保障目的、技術安全保障目的和工程安全保障目的
Q5. 進入 21 世紀以來，信息安全成為世界各國安全戰(zhàn)略關注的重點，紛紛制定并頒布網絡空間安全戰(zhàn)略，但各國歷史、國情和文化不同，網絡空間安全戰(zhàn)略的內容也各不相同，以下說法不正確的是:（單選題）
A．與國家安全、社會穩(wěn)定和民生密切相關的關鍵基礎設施是各國安全保障的重點
B．美國尚未設立中央政府級的專門機構處理網絡信息安全問題，信息安全管理職能由不同政府部門的多個機構共同承擔
C．各國普遍重視信息安全事件的應急響應和處理
Q6. 與 PDR 模型相比，P2DR 模型多了哪一個環(huán)節(jié)?（單選題）
A．防護
B．檢測
C．反應
D.策略
Q7. 以下關于項目的含義，理解錯誤的是:（單選題）
A．項目是為達到特定的目的、使用一定資源、在確定的期間內、為特定發(fā)起人而提供獨特的產品、服務或成果而進行的一次性努力。
B. 項目有明確的開始日期，結束日期由項目的領導者根據項目進度來隨機確定。
C．項目資源指完成項目所需要的人、財、物等。
D．項目目標要遵守 SMART 原則，即項目的目標要求具體(Specific)、可測量（Measurable)、需相關方的一致同意(Agreeto)、現實(Realistic)、有一定的時限(Timeoriented)
Q8. 為推動和規(guī)范我國信息安全等級保護工作，我國制定和發(fā)布了信息安全等級保護工作所需要的一系列標準，這些標準可以按照等級保護工作的工作階段大致分類。下面四個標準中，（）規(guī)定了等級保護定級階段的依據、對象、流程、方法及等級變更等內容。（單選題）
A.GB／T 20271-2006《信息系統(tǒng)通用安全技術要求》
B.GB／T 22240-2008《信息系統(tǒng)安全保護等級定級指南》
C.GB／T 25070-2010《信息系統(tǒng)等級保護安全設計技術要求》
D.GB／T 20269-2006《信息系統(tǒng)安全管理要求》
Q9. 下列對于信息安全保障深度防御模型的說法錯誤的是:（單選題）
A．信息安全外部環(huán)境:信息安全保障是組織機構安全、國家安全的一個重要組成部分，因此對信息安全的討論必須放在國家政策、法律法規(guī)和標準的外部環(huán)境制約下。
B．信息安全管理和工程:信息安全保障需要在整個組織機構內建立和完善信息安全管理體系，將信息安全管理綜合至信息系統(tǒng)的整個生命周期，在這個過程中，我們需要采用信息系統(tǒng)工程的方法來建設信息系統(tǒng)。
C．信息安全人才體系:在組織機構中應建立完善的安全意識，培訓體系也是信息安全保障的重要組成部分。
D．信息安全技術方案:“從外而內、自下而上、形成邊界到端的防護能力”。
Q10. 某用戶通過賬號、密碼和驗證碼成功登錄某銀行的個人網銀系統(tǒng)，此過程屬于以下哪一類:（單選題）
A．個人網銀系統(tǒng)和用戶之間的雙向鑒別
B．由可信第三方完成的用戶身份鑒別
C. 個人網銀系統(tǒng)對用戶身份的單向鑒別
D．用戶對個人網銀系統(tǒng)合法性的單向鑒別
Q11. Alice 用 Bob 的密鑰加密明文，將密文發(fā)送給 Bob。再用自己的私鑰解密，恢復出明文。以下說法正確的是:（單選題）
A．此密碼體制為對稱密碼體制
B．此密碼體制為私鑰密碼體制
C．此密碼體制為單鑰密碼體制
D．此密碼體制為公鑰密碼體制
Q12. 下列哪一種方法屬于基于實體“所有”鑒別方法:（單選題）
A．用戶通過自己設置的口令登錄系統(tǒng)，完成身份鑒別
B．用戶使用個人指紋，通過指紋識別系統(tǒng)的身份鑒別
C．用戶利用和系統(tǒng)協(xié)商的秘密函數，對系統(tǒng)發(fā)送挑戰(zhàn)進行正確應答，通過身份鑒別
D．用戶使用集成電路卡(如智能卡)完成身份鑒別
Q13. 為防范網絡欺詐確保交易安全，網銀系統(tǒng)首先要求用戶安全登錄，然后使用“智能卡+短信認證”模式進行網上轉賬等交易，在此場景中用到下列哪些鑒別方法?（單選題）
A．實體“所知”以及實體“所有”的鑒別方法
B．實體“所有”以及實體“特征”的鑒別方法
C．實體“所知”以及實體“特征”的鑒別方法
D．實體“所有”以及實體“行為”的鑒別方法
Q14. 以下哪些是需要在信息安全策略中進行描述的:（單選題）
A．組織信息系統(tǒng)安全架構
B. 信息安全工作的基本原則
C．組織信息安全技術參數D．組織信息安全實施手段
Q15. 軟件安全設計和開發(fā)中應考慮用戶穩(wěn)私包，以下關于用戶隱私保護的說法哪個是錯誤的?（單選題）
A．告訴用戶需要收集什么數據及搜集到的數據會如何披使用
B．當用戶的數據由于某種原因要被使用時，給用戶選擇是否允許
C．用戶提交的用戶名和密碼屬于穩(wěn)私數據，其它都不是
D．確保數據的使用符合國家、地方、行業(yè)的相關法律法規(guī)
Q16. 軟件安全保障的思想是在軟件的全生命周期中貫徹風險管理的思想，在有限資源前提下實現軟件安全最優(yōu)防護，避免防范不足帶來的直接損失，也需要關注過度防范造成的間接損失。在以下軟件安全開發(fā)策略中，不符合軟件安全保障思想的是:（單選題）
A.在軟件立項時考慮到軟件安全相關費用，經費中預留了安全測試、安全評審相關費用，確保安全經費得到落實
B．在軟件安全設計時，邀請軟件安全開發(fā)專家對軟件架構設計進行評審，及時發(fā)現架構設計中存在的安全不足
C．確保對軟編碼人員進行安全培訓，使開發(fā)人員了解安全編碼基本原則和方法，確保開發(fā)人員編寫出安全的代碼
D．在軟件上線前對軟件進行全面安全性測試，包括源代碼分析、模糊測試、滲透測試，未經以上測試的軟件不允許上線運行
Q17. 以下哪一項不是工作在網絡第二層的隧道協(xié)議:（單選題）
A.VTP
B．L2F
C．PPTP
D．L2TP
Q18. 主體 S 對客體 01 有讀(R)權限，對客體 02 有讀(R)、寫(W)、擁有(Own)權限，該訪問控制實現方法是:（單選題）
A．訪問控制表(ACL)
B．訪問控制矩陣
C．能力表(CL)
D．前綴表(Profiles)
Q19. 下面哪一項不是虛擬專用網絡(VPN)協(xié)議標準:（單選題）
A．第二層隧道協(xié)議(L2TP)
B．Internet 安全性(IPSEC)
C．終端訪問控制器訪問控制系統(tǒng)(TACACS+)
D．點對點隧道協(xié)議(PPTP)
Q20. 鑒別的基本途徑有三種:所知、所有和個人特征，以下哪一項不是基于你所知道的:（單選題）
A．口令
B．令牌
C．知識
D．密碼
Q21. 在 ISO 的 OSI 安全體系結構中，以下哪一個安全機制可以提供抗抵賴安全服務?（單選題）
A．加密
B.數字簽名
C．訪問控制
D．路由控制
Q22. 某公司已有漏洞掃描和入侵檢測系統(tǒng)(Intrusion Detection System，IDS)產品，需要購買防火墻，以下做法應當優(yōu)先考慮的是:（單選題）
A．選購當前技術最先進的防火墻即可
B．選購任意一款品牌防火墻
C．任意選購一款價格合適的防火墻產品
Q23. 在 OSI 參考模型中有 7 個層次，提供了相應的安全服務來加強信息系統(tǒng)的安全性，以下哪一層提供了保密性、身份鑒別、數據完整性服務?（單選題）
A.網絡層
B．表示層
C．會話層
D．物理層
Q24. 某單位人員管理系統(tǒng)在人員離職時進行賬號刪除，需要離職員工所在部門主管經理和人事部門人員同時進行確認才能在系統(tǒng)上執(zhí)行，該設計是遵循了軟件安全哪項原則（單選題）
A.最小權限
B.權限分離
C．不信任
D．縱深防御
Q25. 以下關于互聯(lián)網協(xié)議安全(Internet Protocol Security，IPSec)協(xié)議說法錯誤的是:（單選題）
A．在傳送模式中，保護的是 IP 負載。
B．驗證頭協(xié)議(Authentication Header，AH)和 IP 封裝安全載荷協(xié)議(EncapsulatingSecurity Payload，ESP)都能以傳輸模式和隧道模式工作。
C．在隧道模式中，保護的是整個互聯(lián)網協(xié)議 IP 包，包括 IP 頭。
D．IPSec 僅能保證傳輸數據的可認證性和保密性。
Q26. 某電子商務網站在開發(fā)設計時，使用了威脅建模方法來分折電子商務網站所面臨的威脅，STRIDE 是微軟 SDL 中提出的威脅建模方法，將威脅分為六類，為每一類威脅提供了標準的消減措施，Spoofing 是 STRIDE 中欺騙類的威脅，以下威脅中哪個可以歸入此類威脅?（單選題）
A．網站競爭對手可能雇傭攻擊者實施 DDoS 攻擊，降低網站訪問速度
B．網站使用 http 協(xié)議進行瀏覽等操作，未對數據進行加密，可能導致用戶傳輸信息泄露，例如購買的商品金額等
C．網站使用 http 協(xié)議進行瀏覽等操作，無法確認數據與用戶發(fā)出的是否一致，可能數據被中途篡改
D．網站使用用戶名、密碼進行登錄驗證，攻擊者可能會利用弱口令或其他方式獲得用戶密碼，以該用戶身份登錄修改用戶訂單等信息
Q27. 以下關于 PGP(Pretty Good Privacy)軟件敘述錯誤的是:（單選題）
A．PGP 可以實現對郵件的加密、簽名和認證
B．PGP 可以實現數據壓縮
C．PGP 可以對郵件進行分段和重組
D．PGP 采用 SHA 算法加密郵件
Q28. 入侵防御系統(tǒng)(IPS)是繼入侵檢測系統(tǒng)(IDS)后發(fā)展期出來的一項新的安全技術，它與IDS 有著許多不同點，請指出下列哪一項描述不符合 IPS 的特點?（單選題）
A．串接到網絡線路中
B．對異常的進出流量可以直接進行阻斷
C．有可能造成單點故障
D．不會影響網絡性能
Q29. 相比文件配置表(FAT)文件系統(tǒng)，以下哪個不是新技術文件系統(tǒng)(NTFS)所具有的優(yōu)勢?（單選題）
A．NTFS 使用事務日志自動記錄所有文件夾和文件更新，當出現系統(tǒng)損壞和電源故障等問題，而引起操作失敗后，系統(tǒng)能利用日志文件重做或恢復未成功的操作
B．NTFS 的分區(qū)上，可以為每個文件或文件夾設置單獨的許可權限
C．對于大磁盤，NTFS 文件系統(tǒng)比 FAT 有更高的磁盤利用率
D.相比 FAT 文件系統(tǒng)，NTFS 文件系統(tǒng)能有效的兼容 linux 下 EXT2 文件格式
Q30. 某公司系統(tǒng)管理員最近正在部署一臺 Web 服務器，使用的操作系統(tǒng)是 windows，在進行日志安全管理設置時，系統(tǒng)管理員擬定四條日志安全策略給領導進行參考，其中能有效應對攻擊者獲得系統(tǒng)權限后對日志進行修改的策略是:（單選題）
A．網絡中單獨部署 syslog 服務器，將 Web 服務器的日志自動發(fā)送并存儲到該 syslog日志服務器中
B．嚴格設置 Web 日志權限，只有系統(tǒng)權限才能進行讀和寫等操作
C．對日志屬性進行調整，加大日志文件大小、延長覆蓋時間、設置記錄更多信息等
D．使用獨立的分區(qū)用于存儲日志，并且保留足夠大的日志空間
Q31. 關于 linux 下的用戶和組，以下描述不正確的是 。（單選題）
A．在 linux 中，每一個文件和程序都歸屬于一個特定的“用戶”
B．系統(tǒng)中的每一個用戶都必須至少屬于一個用戶組
C. 用戶和組的關系可是多對一，一個組可以有多個用戶，一個用戶不能屬于多個組
D．root 是系統(tǒng)的超級用戶，無論是否文件和程序的所有者都具有訪問權限
Q32. 安全的運行環(huán)境是軟件安全的基礎，操作系統(tǒng)安全配置是確保運行環(huán)境安全必不可少的工作，某管理員對即將上線的 Windows 操作系統(tǒng)進行了以下四項安全部署工作，其中哪項設置不利于提高運行環(huán)境安全?（單選題）
A．操作系統(tǒng)安裝完成后安裝最新的安全補丁，確保操作系統(tǒng)不存在可被利用的安全漏洞
B.為了方便進行數據備份，安裝 Windows 操作系統(tǒng)時只使用一個分區(qū) C，所有數據和操作系統(tǒng)都存放在 C 盤
C．操作系統(tǒng)上部署防病毒軟件，以對抗病毒的威脅
D．將默認的管理員賬號 Administrator 改名，降低口令暴力破解攻擊的發(fā)生可能
Q33. 在數據庫安全性控制中，授權的數據對象，授權子系統(tǒng)就越靈活?（單選題）
A．粒度越小
B．約束越細致
C．范圍越大
D．約束范圍大
Q34. 下列哪一些對信息安全漏洞的描述是錯誤的?（單選題）
A．漏洞是存在于信息系統(tǒng)的某種缺陷。
B．漏洞存在于一定的環(huán)境中，寄生在一定的客體上(如 TOE 中、過程中等)。
C．具有可利用性和違規(guī)性，它本身的存在雖不會造成破壞，但是可以被攻擊者利用，從而給信息系統(tǒng)安全帶來威脅和損失。
D．漏洞都是人為故意引入的一種信息系統(tǒng)的弱點
Q35. 賬號鎖定策略中對超過一定次數的錯誤登錄賬號進行鎖定是為了對抗以下哪種攻擊?（單選題）
A．分布式拒絕服務攻擊(DDoS)
B．病毒傳染
C. 口令暴力破解
D．緩沖區(qū)溢出攻擊
Q36. 以下哪個不是導致地址解析協(xié)議(ARP)欺騙的根源之一?（單選題）
A．ARP 協(xié)議是一個無狀態(tài)的協(xié)議
B．為提高效率，ARP 信息在系統(tǒng)中會緩存
C．ARP 緩存是動態(tài)的，可被改寫
D．ARP 協(xié)議是用于尋址的一個重要協(xié)議
Q37. 張三將微信個人頭像換成微信群中某好友頭像，并將昵稱改為該好友的昵稱，然后向該好友的其他好友發(fā)送一些欺騙消息。該攻擊行為屬于以下哪類攻擊?（單選題）
A．口令攻擊
B．暴力破解
C．拒絕服務攻擊
D. 社會工程學攻擊
Q38. 在軟件保障成熟度模型(Software Assurance Maturity Mode，SAMM)中，規(guī)定了軟件開發(fā)過程中的核心業(yè)務功能，下列哪個選項不屬于核心業(yè)務功能:（單選題）
A．治理，主要是管理軟件開發(fā)的過程和活動
B. 構造，主要是在開發(fā)項目中確定目標并開發(fā)軟件的過程與活動C．驗證，主要是測試和驗證軟件的過程與活動
D. 購置，主要是購買第三方商業(yè)軟件或者采用開源組件的相關管理過程與活動
Q39. 從系統(tǒng)工程的角度來處理信息安全問題，以下說法錯誤的是:（單選題）
A．系統(tǒng)安全工程旨在了解企業(yè)存在的安全風險，建立一組平衡的安全需求，融合各種工程學科的努力將此安全需求轉換為貫穿系統(tǒng)整個生存期的工程實施指南。
B．系統(tǒng)安全工程需對安全機制的正確性和有效性做出詮釋，證明安全系統(tǒng)的信任度能夠達到企業(yè)的要求，或系統(tǒng)遺留的安全薄弱性在可容許范圍之內。
C．系統(tǒng)安全工程能力成熟度模型(SSE-CMM)是一種衡量安全工程實踐能力的方法，是一種使用面向開發(fā)的方法。
D．系統(tǒng)安全工程能力成熟度模型(SSE-CMM)是在原有能力成熟度模型(CMM)的基礎上，通過對安全工作過程進行管理的途徑，將系統(tǒng)安全工程轉變?yōu)橐粋€完好定義的、成熟的、可測量的先進學科。
Q40. 有關系統(tǒng)安全工程-能力成熟度模型(SSE-CMM)中的基本實施(Base Practices，BP)，正確的理解是:（單選題）
A．BP 是基于最新技術而制定的安全參數基本配置
B．大部分 BP 是沒有經過測試的
C. 一項 BP 適用于組織的生存周期而非僅適用于工程的某一特定階段
D．一項 BP 可以和其他 BP 有重疊
Q41. 以下哪一種判斷信息系統(tǒng)是否安全的方式是最合理的?（單選題）
A．是否己經通過部署安全控制措施消滅了風險
B．是否可以抵抗大部分風險
C．是否建立了具有自適應能力的信息安全模型
D. 是否已經將風險控制在可接受的范圍內
Q42. 以下關于信息安全法治建設的意義，說法錯誤的是:（單選題）
A．信息安全法律環(huán)境是信息安全保障體系中的必要環(huán)節(jié)
B．明確違反信息安全的行為，并對行為進行相應的處罰，以打擊信息安全犯罪活動
C．信息安全主要是技術問題，技術漏洞是信息犯罪的根源
D．信息安全產業(yè)的逐漸形成，需要成熟的技術標準和完善的技術體系
Q43. 小張是信息安全風險管理方面的專家，被某單位邀請過去對其核心機房經受某種災害的風險進行評估，已知:核心機房的總價價值一百萬，災害將導致資產總價值損失二成四(24%)，歷史數據統(tǒng)計告知該災害發(fā)生的可能性為八年發(fā)生三次，請問小張最后得到的年度預期損失為多少:（單選題）
A．24 萬 B．0．09 萬 C．37．5 萬 D.9
Q44. 2005 年 4 月 1 日正式施行的《電子簽名法》，被稱為“中國首部真正意義上的信息化法律”，自此電子簽名與傳統(tǒng)手寫簽名和蓋章具有同等的法律效力。以下關于電子簽名說法錯誤的是:（單選題）
A．電子簽名——是指數據電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內容的數據
B．電子簽名適用于民事活動中的合同或者其他文件、單證等文書
C．電子簽名需要第三方認證的，由依法設立的電子認證服務提供者提供認證服務
D．電子簽名制作數據用于電子簽名時，屬于電子簽名人和電子認證服務提供者共有
Q45. 風險管理的監(jiān)控與審查不包含:（單選題）
A．過程質量管理
B．成本效益管理
C．跟蹤系統(tǒng)自身或所處環(huán)境的變化
D．協(xié)調內外部組織機構風險管理活動
Q46. 某移動智能終端支持通過指紋識別解鎖系統(tǒng)的功能，與傳統(tǒng)的基于口令的鑒別技術相比，關于此種鑒別技術說法不正確的是:（單選題）
A.所選擇的特征（指紋）便于收集、測量和比較
B.每個人所擁有的指紋都是獨一無二的
C.指紋信息是每個人獨有的，指紋識別系統(tǒng)不存在安全威脅問題
D.此類系統(tǒng)一般由用戶指紋信息采集和指紋信息識別兩部分組成
Q47. 下面哪一項安全控制措施不是用來檢測未經授權的信息處理活動的:（單選題）
A．設置網絡連接時限
B．記錄并分析系統(tǒng)錯誤日志
C．記錄并分析用戶和管理員操作日志
D．啟用時鐘同步
Q48. 有關危害國家秘密安全的行為的法律責任，正確的是:（單選題）
A．嚴重違反保密規(guī)定行為只要發(fā)生，無論產生泄密實際后果，都要依法追究責任
B．非法獲取國家秘密，不會構成刑事犯罪，不需承擔刑事責任
C．過失泄露國家秘密，不會構成刑事犯罪，不需承擔刑事責任
D．承擔了刑事責任，無需再承擔行政責任和／或其他處分
Q49. 以下對于信息安全事件理解錯誤的是:（單選題）
A．信息安全事件，是指由于自然或者人為以及軟硬件本身缺陷或故障的原因，對信息系統(tǒng)造成危害，或在信息系統(tǒng)內發(fā)生對社會造成負面影響的事件
B．對信息安全事件進行有效管理和響應，最小化事件所造成的損失和負面影響，是組織信息安全戰(zhàn)略的一部分
C．應急響應是信息安全事件管理的重要內容
D. 通過部署信息安全策略并配合部署防護措施，能夠對信息及信息系統(tǒng)提供保護，
杜絕信息安全事件的發(fā)生
Q50. 假設一個系統(tǒng)已經包含了充分的預防控制措施，那么安裝監(jiān)測控制設備:（單選題）
A．是多余的，因為它們完成了同樣的功能，但要求更多的開銷
B．是必須的，可以為預防控制的功效提供檢測
C．是可選的，可以實現深度防御
D．在一個人工系統(tǒng)中是需要的，但在一個計算機系統(tǒng)中則是不需要的，因為預防控
制功能已經足夠
Q51. 關于我國加強信息安全保障工作的主要原則，以下說法錯誤的是:A．立足國情，以我為主，堅持技術與管理并重（單選題）
B．正確處理安全和發(fā)展的關系，以安全保發(fā)展，在發(fā)展中求安全
C．統(tǒng)籌規(guī)劃，突出重點，強化基礎工作
Q52. 以下哪一項不是信息安全管理工作必須遵循的原則?（單選題）
A．風險管理在系統(tǒng)開發(fā)之初就應該予以充分考慮，并要貫穿于整個系統(tǒng)開發(fā)過程之中
B．風險管理活動應成為系統(tǒng)開發(fā)、運行、維護、直至廢棄的整個生命周期內的持續(xù)性工作
C．由于在系統(tǒng)投入使用后部署和應用風險控制措施針對性會更強，實施成本會相對較低
D．在系統(tǒng)正式運行后，應注重殘余風險的管理，以提高快速反應能力
Q53. 《信息安全技術 信息安全風險評估規(guī)范》（GB／T 20984-2007）中關于信息系統(tǒng)生命周期各階段的風險評估描述不正確的是:（單選題）
A.規(guī)劃階段風險評估的目的是識別系統(tǒng)的業(yè)務戰(zhàn)略，以支撐系統(tǒng)安全需求及安全戰(zhàn)略等
B.設計階段的風險評估需要根據規(guī)劃階段所明確的系統(tǒng)運行環(huán)境、資產重要性，提出安全功能需求
C.實施階段風險評估的目的是根據系統(tǒng)安全需求和運行環(huán)境對系統(tǒng)開發(fā)、實施過程進行風險識別，并對系統(tǒng)建成后的安全功能進行驗證
D.運行維護階段風險評估的目的是了解和控制運行過程中的安全風險，是一種全面的風險評估。評估內容包括對真實運行的信息系統(tǒng)、資產、脆弱性等各方面
Q54. 為增強 Web 應用程序的安全性，某軟件開發(fā)經理決定加強 Web 軟件安全開發(fā)培訓，下面哪項內容不在考慮范圍內（）（單選題）
A.關于網站身份簽別技術方面安全知識的培訓
B.針對 OpenSSL 心臟出血漏洞方面安全知識的培訓
C.針對 SQL 注入漏洞的安全編程培訓
D.關于 ARM 系統(tǒng)漏洞挖掘方面安全知識的培訓
Q55. 下面的角色對應的信息安全職責不合理的是:（單選題）
A．高級管理層——最終責任
B. 信息安全部門主管——提供各種信息安全工作必須的資源
C．系統(tǒng)的普通使用者——遵守日常操作規(guī)范
D．審計人員——檢查安全策略是否被遵從
Q56. 自 2004 年 1 月起，國內各有關部門在申報信息安全國家標準計劃項目時，必須經由以下哪個組織提出工作意見，協(xié)調一致后由該組織申報。（單選題）
A．全國通信標準化技術委員會(TC485)
B. 全國信息安全標準化技術委員會(TC260)
C．中國通信標準化協(xié)會(CCSA)
D．網絡與信息安全技術工作委員會
Q57. 風險計算原理可以用下面的范式形式化地加以說明:風險值=R（A，T，V)=R(L(T，V)，F(Ia，Va))以下關于上式各項說明錯誤的是:（單選題）
A．R 表示安全風險計算函數，A 表示資產，T 表示威脅，V 表示脆弱性B．L 表示威脅利資產脆弱性導致安全事件的可能性
C．F 表示安全事件發(fā)生后造成的損失
D．Ia，Va 分別表示安全事件作用全部資產的價值與其對應資產的嚴重程度
Q58. 以下哪一項在防止數據介質被濫用時是不推薦使用的方法:（單選題）
A．禁用主機的 CD 驅動、USB 接口等 I／O 設備
B．對不再使用的硬盤進行嚴格的數據清除
C．將不再使用的紙質文件用碎紙機粉碎
D. 用快速格式化刪除存儲介質中的保密文件
Q59. 在進行應用系統(tǒng)的測試時，應盡可能避免使用包含個人穩(wěn)私和其它敏感信息的實際生產系統(tǒng)中的數據，如果需要使用時，以下哪一項不是必須做的:（單選題）
A．測試系統(tǒng)應使用不低于生產系統(tǒng)的訪問控制措施
B．為測試系統(tǒng)中的數據部署完善的備份與恢復措施
C．在測試完成后立即清除測試系統(tǒng)中的所有敏感數據
D．部署審計措施，記錄生產數據的拷貝和使用
Q60. 為了保證系統(tǒng)日志可靠有效，以下哪一項不是日志必需具備的特征。（單選題）
A．統(tǒng)一而精確地的時間
B．全面覆蓋系統(tǒng)資產
C．包括訪問源、訪問目標和訪問活動等重要信息
D. 可以讓系統(tǒng)的所有用戶方便的讀取
Q61. 關于信息安全事件管理和應急響應，以下說法錯誤的是:（單選題）
A．應急響應是指組織為了應對突發(fā)／重大信息安全事件的發(fā)生所做的準備，以及在事件發(fā)生后所采取的措施
B. 應急響應方法，將應急響應管理過程分為遏制、根除、處置、恢復、報告和跟蹤 6個階段
C．對信息安全事件的分級主要參考信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響三方面因素
D．根據信息安全事件的分級參考要素，可將信息安全事件劃分為 4 個級別:特別重
大事件(Ⅰ級)、重大事件(Ⅱ級)、較大事件(Ⅲ級)和一般事件(Ⅳ級)
Q62. 以下哪一項不屬于信息安全工程監(jiān)理模型的組成部分:（單選題）
A．監(jiān)理咨詢支撐要素
B.控制和管理手段
C．監(jiān)理咨詢階段過程
D.監(jiān)理組織安全實施
Q63. 某公司擬建設面向內部員工的辦公自動化系統(tǒng)和面向外部客戶的營銷系統(tǒng)，通過公開招標選擇 M 公司為承建單位，并選擇了 H 監(jiān)理公司承擔該項目的全程監(jiān)理工作，目前，各個應用系統(tǒng)均已完成開發(fā)，M 公司已經提交了驗收申請，監(jiān)理公司需要對 A 公司提交的軟件配置文件進行審查，在以下所提交的文檔中，哪一項屬于開發(fā)類文檔:（單選題）
A．項目計劃書
B．質量控制計劃
C．評審報告
D. 需求說明書
Q64. 在某網絡機房建設項目中，在施工前，以下哪一項不屬于監(jiān)理需要審核的內容:（單選題）
A．審核實施投資計劃
B．審核實施進度計劃
C．審核工程實施人員
D. 企業(yè)資質
Q65. 以下關于直接附加存儲(Direct Attached Storage，DAS)說法錯誤的是:（單選題）
A．DAS 能夠在服務器物理位置比較分散的情況下實現大容量存儲．是一種常用的數據存儲方法
B．DAS 實現了操作系統(tǒng)與數據的分離，存取性能較高并且實施簡單
C．DAS 的缺點在于對服務器依賴性強，當服務器發(fā)生故障時，連接在服務器上的存儲設備中的數據不能被存取
D．較網絡附加存儲(Network Attached Storage，NAS)，DAS 節(jié)省硬盤空間，數據非常集中，便于對數據進行管理和備份
Q66. 某公司在執(zhí)行災難恢復測試時．信息安全專業(yè)人員注意到災難恢復站點的服務器的運行速度緩慢，為了找到根本愿因，他應該首先檢查:（單選題）
A．災難恢復站點的錯誤事件報告
B．災難恢復測試計劃
C．災難恢復計劃(DRP)
D．主站點和災難恢復站點的配置文件
Q67. 以下對異地備份中心的理解最準確的是:（單選題）
A．與生產中心不在同一城市
B．與生產中心距離 100 公里以上
C．與生產中心距離 200 公里以上
D．與生產中心面臨相同區(qū)域性風險的機率很小
Q68. 作為業(yè)務持續(xù)性計劃的一部分，在進行業(yè)務影響分析（）時的步驟是:1．標識關鍵的業(yè)務過程;2．開發(fā)恢復優(yōu)先級;3．標識關鍵的 IT 資源;4．表示中斷影響和允許的中斷時間（多選題）
A．1-3-4-2
B．1-3-2-4
C．1-2-3-4
D．1-4-3-2
答案:A
Q69. 有關系統(tǒng)安全工程-能力成熟度模型(SSE-CMM)，錯誤的理解是:（單選題）
A．SSE-CMM 要求實施組織與其他組織相互作用，如開發(fā)方、產品供應商、集成商和咨詢服務商等
B．SSE-CMM 可以使安全工程成為一個確定的、成熟的和可度量的科目
C．基手 SSE-CMM 的工程是獨立工程，與軟件工程、硬件工程、通信工程等分別規(guī)劃實施
D. SSE-CMM 覆蓋整個組織的活動，包括管理、組織和工程活動等，而不僅僅是系統(tǒng)安全的工程活動
Q70. 下面關于信息系統(tǒng)安全保障的說法不正確的是:（單選題）
A．信息系統(tǒng)安全保障與信息系統(tǒng)的規(guī)劃組織、開發(fā)采購、實施交付、運行維護和廢棄等生命周期密切相關
B. 信息系統(tǒng)安全保障要素包括信息的完整性、可用性和保密性
C．信息系統(tǒng)安全需要從技術、工程、管理和人員四個領域進行綜合保障
D．信息系統(tǒng)安全保障需要將信息系統(tǒng)面臨的風險降低到可接受的程度，從而實現其業(yè)務使命
Q71. 在使用系統(tǒng)安全工程-能力成熟度模型(SSECMM)對一個組織的安全工程能力成熟度進行測量時，正確的理解是:（單選題）
A．測量單位是基本實施(Base Practices，BP)
B．測量單位是通用實踐(Generic Practices，GP)
C．測量單位是過程區(qū)域(Process Areas，PA)
D．測量單位是公共特征(Common Features，CF)
Q72. 下面關于信息系統(tǒng)安全保障模型的說法不正確的是:（單選題）
A．國家標準《信息系統(tǒng)安全保障評估框架第一部分:簡介和一般模型》(GBT20274．1-2006)中的信息系統(tǒng)安全保障模型將風險和策略作為基礎和核心
B．模型中的信息系統(tǒng)生命周期模型是抽象的概念性說明模型，在信息系統(tǒng)安全保障具體操作時，可根據具體環(huán)境和要求進行改動和細化
C．信息系統(tǒng)安全保障強調的是動態(tài)持續(xù)性的長效安全，而不僅是某時間點下的安全D．信息系統(tǒng)安保障主要是確保信息系統(tǒng)的保密性、完整性和可用性，單位對信息系統(tǒng)運行維護和使用的人員在能力和培訓方面不需要投入
Q73. 信息系統(tǒng)安全工程(ISSE)的一個重要目標就是在 IT 項目的各個階段充分考慮安全因素，在 IT 項目的立項階段，以下哪一項不是必須進行的工作:（單選題）
A．明確業(yè)務對信息安全的要求
B．識別來自法律法規(guī)的安全要求
C．論證安全要求是否正確完整
D. 通過測試證明系統(tǒng)的功能和性能可以滿足安全要求
Q74. 關于信息安全保障技術框架(IATF)，以下說法不正確的是:（單選題）
A. 分層策略允許在適當的時候采用低安全級保障解決方案以便降低信息安全保障的成本
B．IATF 從人、技術和操作三個層面提供一個框架實施多層保護，使攻擊者即使攻破一層也無法破壞整個信息基礎設施
C．允許在關鍵區(qū)域(例如區(qū)域邊界)使用高安全級保障解決方案，確保系統(tǒng)安全性
D．IATF 深度防御戰(zhàn)略要求在網絡體系結構各個可能位置實現所有信息安全保障機制
Q75. 某單位開發(fā)一個面向互聯(lián)網提供服務的應用網站，該單位委托軟件測評機構對軟件進行了源代碼分析，模糊測試等軟件測試，在應用上線前，項目經理提出了還需要對應用網站進行一次滲透性測試，作為安全主管，你需要提出滲透性測試相比源代碼測試，模糊測試的優(yōu)勢給領導做決策，以下哪條是滲透性的優(yōu)勢?（單選題）
A.滲透測試使用人工進行測試，不依賴軟件，因此測試更準確
B.滲透測試是用軟件代替人工的一種測試方法。因此測試效率更高
C.滲透測試以攻擊者思維模擬真實攻擊，能發(fā)現如配置錯誤等運行維護期產生的漏洞
D.滲透測試中必須要查看軟件源代碼，因此測試中發(fā)現的漏洞更多
Q76. 以下關于軟件安全測試說法正確的是（）（單選題）
A.軟件安全測試就是黑盒測試
B.FUZZ 測試是經常采用的安全測試方法之一
C.軟件安全測試關注的是軟件的功能
D.軟件安全測試可以發(fā)現軟件中產生的所有安全問題
Q77. 信息安全工程作為信息安全保障的重要組成部門，主要是為了解決:（單選題）
A.信息系統(tǒng)的技術架構安全問題
B.信息系統(tǒng)組成部門的組件安全問題
C.信息系統(tǒng)生命周期的過程安全問題
D.信息系統(tǒng)運行維護的安全管理問題
Q78. 有關系統(tǒng)安全工程-能力成熟度模型（SSE-CMM)中基本實施（Base Practice）正確的理解是:（單選題）
A.BP 不限定于特定的方法工具，不同業(yè)務背景中可以使用不同的方法
B.BP 不是根據廣泛的現有資料，實施和專家意見綜合得出的
C.BP 不代表信息安全工程領域的最佳實踐
D.BP 不是過程區(qū)域（Process Areas，PA )的強制項
Q79. 信息安全管理體系（information Security Management System.簡稱 ISMS）的實施和運行ISMS 階段，是 ISMS 過程模型的實施階段（Do），下面給出了一些備①制定風險處理計劃②實施風險處理計劃③開發(fā)有效性測量程序④實施培訓和意識教育計劃⑤管理ISMS的運行⑥管理 ISMS 的資源⑦執(zhí)行檢測事態(tài)和響應事件的程序⑧實施內部審核⑨實施風險再評估選的活動，選項（）描述了在此階段組織應進行的活動。（單選題）
A.①②③④⑤⑥
B.①②③④⑤⑥⑦
C.①②③④⑤⑥⑦⑧
D.①②③④⑤⑥⑦⑧⑨
Q80. 在實施信息安全風險評估時，需要對資產的價值進行識別、分類和賦值，關于資產價值的評估，以下選項中正確的是（）（單選題）
A.資產的價值指采購費用
B.資產的價值指維護費用
C.資產的價值與其重要性密切相關
D.資產的價值無法估計
Q81. 某軟件公司準備提高其開發(fā)軟件的安全性，在公司內部發(fā)起了有關軟件開發(fā)生命周期的討論，在下面的發(fā)言觀點中，正確的是（）（單選題）
A.軟件安全開發(fā)生命周期較長，而其中最重要的是要在軟件的編碼安全措施，就可以解決 90%以上的安全問題。
B.應當盡早在軟件開發(fā)的需求和設計階段增加一定的安全措施，這樣可以比在軟件發(fā)布以后進行漏洞修復所花的代價少得多。
C.和傳統(tǒng)的軟件開發(fā)階段相比，微軟提出的安全開發(fā)生命周期（SDL)最大特點是增加了一個專門的安全編碼階段。
D.軟件的安全測試也很重要，考試到程序員的專業(yè)性，如果該開發(fā)人員已經對軟件進行了安全性測試，就沒有必要再組織第三方進行安全性測試。
Q82. 某網站在設計對經過了威脅建模和攻擊面分析，在開發(fā)時要求程序員編寫安全的代碼，但是在部署時由于管理員將備份存放在 WEB 目錄下導致了攻擊者可直接下載備份，為了發(fā)現系統(tǒng)中是否存在其他類擬問題，一下那種測試方式是最佳的測試方法。（單選題）
A.模糊測試
B.源代碼測試
C.滲透測試
D.軟件功能測試
Q83. 下面哪項屬于軟件開發(fā)安全方面的問題（）（單選題）
A.軟件部署時所需選用服務性能不高，導致軟件執(zhí)行效率低。
B.應用軟件來考慮多線程技術，在對用戶服務時按序排隊提供服務
C.應用軟件存在 SQL 注入漏洞，若被黑客利用能竊取數據庫所用數據
D.軟件受許可證（license）限制，不能在多臺電腦上安裝。
Q84. 某單位開發(fā)了一個面向互聯(lián)網提供服務的應用網站，該單位委托軟件測評機構對軟件進行了源代碼分析、模糊測試等軟件安全性測試，在應用上線前，項目經理提出了還需要對應用網站進行一次滲透性測試，作為安全主管，你需要提出滲透性測試相比源代碼測試、模糊測試的優(yōu)勢給領導做決策，以下哪條是滲透性測試的優(yōu)勢?（單選題）
A. 滲透測試以攻擊者的思維模擬真實攻擊，能發(fā)現如配置錯誤等運行維護期產生的漏洞
B．滲透測試是用軟件代替人工的一種測試方法，因此測試效率更高
C．滲透測試使用人工進行測試，不依賴軟件，因此測試更準確
D．滲透測試中必須要查看軟件源代碼，因此測試中發(fā)現的漏洞更多
Q85. 不同的信息安全風險評估方法可能得到不同的風險評估結果，所以組織機構應當根據各自的實際情況選擇適當的風險評估方法。下面的描述中錯誤的是（）（單選題）
A.定量風險分析試圖從財務數字上對安全風險進行評估，得出可以量化的風險分析結果，以度量風險的可能性和缺失量
B.定量風險分析相比定性風險分析能得到準確的數值，所以在實際工作中應使用定量風險分析，而不應選擇定性風險分析
C.定性風險分析過程中，往往需要憑借分析者的經驗和直接進行，所以分析結果和風險評估團隊的素質、經驗和知識技能密切相關
D.定性風險分析更具主觀性，而定量風險分析更具客觀性
Q86. 信息安全等級保護要求中，第三級適用的正確的是:（單選題）
A．適用于一般的信息和信息系統(tǒng)，其受到破壞后，會對公民、法人和其他組織的權益有一定影響，但不危害國家安全、社會秩序、經濟建設和公共利益
B．適用于一定程度上涉及國家安全、社會秩序、經濟建設和公共利益的一般信息和信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成一般損害
C．適用于涉及國家安全、社會秩序、經濟建設和公共利益的信息和信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成嚴重損害
D．適用于涉及國家安全、社會秩序、經濟建設和公共利益的重要信息和信息系統(tǒng)的核心子系統(tǒng)。其受到破壞后，會對國家安全、社會秩序，經濟建設和公共利益造成特別嚴重損害
Q87. 2008年 1月 2 日，美目發(fā)布第 54 號總統(tǒng)令，建立國家網絡安全綜合計劃（Comprehensive National Cyber security Initiative，CNCI)。CNCI 計劃建立三道防線:第一道防線，減少漏洞和隱患，預防入侵;第二道防線，全面應對各類威脅;第三道防線，強化未來安全環(huán)境．從以上內容，我們可以看出以下哪種分析是正確的:（單選題）
A．CNCI 是以風險為核心，三道防線首要的任務是降低其網絡所面臨的風險
B. 從 CNCI 可以看出，威脅主要是來自外部的，而漏洞和隱患主要是存在于內部的
C．CNCI 的目的是盡快研發(fā)并部署新技術徹底改變其糟糕的網絡安全現狀，而不是在現在的網絡基礎上修修補補
D．CNCI 徹底改變了以往的美國信息安全戰(zhàn)略，不再把關鍵基礎設施視為信息安全保障重點，而是追求所有網絡和系統(tǒng)的全面安全保障
Q88. 下列我國哪一個政策性文件明確了我國信息安全保障工作的方針和總體要求以及加強信息安全工作的主要原則?（單選題）
A.《關于加強政府信息系統(tǒng)安全和保密管理工作的通知》
B.《中華人民共和國計算機信息系統(tǒng)安全保護條例》
C.《國家信息化領導小組關于加強信息安全保障工作的意見》
D.《關于開展信息安全風險評估工作的意見》
Q89. 在以下標準中，屬于推薦性國家標準的是?（單選題）
A.GB/T XXXX.X-200X
B.GB XXXX-200X
C.DBXX/T XXX-200X
D.GB/Z XXX-XXX-200X
Q90. 微軟 SDL 將軟件開發(fā)生命周期制分為七個階段，并列出了十七項重要的安全活動。其中“棄用不安全的函數”屬于（）的安全活動（單選題）
A.要求階段
B.設計階段
C.實施階段
D.驗證階段
Q91. 由于頻繁出現計算機運行時被黑客遠程攻擊獲取數據的現象，某軟件公司準備加強軟件安全開發(fā)管理，在下面做法中，對于解決問題沒有直接幫助的是（）（單選題）
A.要求所有的開發(fā)人員參加軟件安全開發(fā)知識培訓
B.要求增加軟件源代碼審核環(huán)節(jié)，加強對軟件代碼的安全性審查
C.要求統(tǒng)一采用 Windows8 系統(tǒng)進行開發(fā)，不能采用之前的 Windows 版本
D.要求邀請專業(yè)隊伍進行第三方安全性測試，盡量從多角度發(fā)現軟件安全問題
Q92. 關于源代碼審核，描述正確的是（）（單選題）
A.源代碼審核過程遵循信息安全保障技術框架模型(IATF)，在執(zhí)行時應一步一步嚴格
執(zhí)行
B.源代碼審核有利于發(fā)現軟件編碼中存在的安全問題，相關的審核工具既有商業(yè)開源
工具
C.源代碼審核如果想要有效率高，則主要依賴人工審核而不是工具審核，因為人工智
能的，需要人的腦袋來判斷
D.源代碼審核能起到很好的安全保證作用，如果執(zhí)行了源代碼審核，則不需要安全測
試
Q93. 微軟提出了 STRIDE 模型，其中 R 是 Repudiation(抵賴)的縮寫，此項錯誤的是（）（單選題）
A.某用戶在登錄系統(tǒng)并下載數據后，卻聲稱“我沒有下載過數據"軟件 R 威脅
B.某用戶在網絡通信中傳輸完數據后，卻聲稱“這些數據不是我傳輸的”威脅也屬于R 威脅。
C.對于 R 威脅，可以選擇使用如強認證、數字簽名、安全審計等技術
D.對于 R 威脅，可以選擇使用如隱私保護、過濾、流量控制等技術
