CISA考试练习(习题卷15)

CISA考试练习(习题卷15)
说明：答案和解析在试卷最后
第1部分：单项选择题，共100题，每题只有一个正确答案,多选或少选均不得分。

1.[单选题]下面哪一项持续计划测试使用真实资源模拟系统崩溃以证明计划的有效性，同时符合成本效益原则？
A)桌面测试
B)效果测验
C)仿真测试
D)穿行测试
2.[单选题]一个公司的IS审计章程应该指明：
A)IS审计约定书的短期和长期计划
B)IS审计约定书的培训目标和范围
C)IS审计师的具体培训计划
D)IS审计功能的角色
3.[单选题]一家组织通过安全的网站在线销售书籍和音乐产品。

每隔一小时都会转移到会计和交付系统进行处理。

以下哪种控制最能保证在安全网站上处理的销售业务能够传输到交付和会计系统？
A)在销售系统中每日记录交易的全部信息。

每天都对销售系统的全部信息进行收集和汇总。

B)自动对交易进行数字排序。

对序列进行检查并对连续性中断予以说明。

C)处理系统检查重复的交易号。

如果交易号出现重复（该编号已经存在），将拒绝交易。

D)使用中心时间服务器每隔一小时对系统时间进行一次同步。

给交易加上日期/时间戳。

4.[单选题]如果恢复时间目标(RTO)增加，则会:
A)增加容灾能力。

B)增加恢复成本。

C)无法使用冷备援中心。

D)增加数据备份频率。

5.[单选题]授予应用程序数据访问权限的职责属于：
A)数据管理员。

B)数据库管理员（DBA)。

C)数据所有者。

D)安全管理员。

6.[单选题]审计涵盖关键业务领域的灾难恢复计划时，IS审计师发现该计划没有包括全部系统。

那么，IS审计师最为恰当的处理方式是：
A)推迟审计，直到把全部系统纳入DRP
B)知会领导，并评估不包含所有系统所带来的影响
C)中止审计
D)按照现有的计划所涵盖的系统和范围继续审计，直到全部完成
7.[单选题]当因诈骗行为需要辞退某员工时，以下哪一项是信息安全人员应该执行的最重要的行动？
A)审查该员工批准的交易。

B)护送该员工离开工作场地。

C)禁用该员工的系统访问权限。

D)备份该员工的硬盘。

8.[单选题]实施专家系统的最大好处是：
A)在组织内收集个人的知识和经验
B)分享中心知识库的知识
C)增强人员生产率和业绩
D)减少关键部门员工流动
9.[单选题]在系统开发项目完成后，对项目的复核应包含以下哪项
A)评估在产品发布后产生的停工风险
B)总结经验以便适用于以后的项目
C)验证开发后的系统中的控制点
D)确保测试数据已经被删除
10.[单选题]数据机密性是公司新WEB 服务的一项要求,以下哪一项将提供最好的保护?
A)远程登录telnet
B)传输层安全 TLS
C)安全文件传输协议SFTP
D)安全套接字层SSL
11.[单选题]确保发送者在以后无法否认生成和发送消息的数据签名特征称为：
A)数据完整性
B)身份认证
C)不可否认性
D)重放保护
12.[单选题]信息系统管理者决定在所有服务器上安装一套RAID.1 系统以补偿异地备份的缺失。

信息系统审计师应该建议：
A)升级到RAID.5。

B)增加现场备份的频率。

C)恢复系统备份功能。

D)在安全地点建立一套站。

13.[单选题]某IS审计师正在针对包含新系统的环境削订一项审计计划。

公司管理层级希望该IS审计师着重关注最新实施的系统。

该审计师应如何去做?
A)按管理层的要求审计新系统。

B)审计去年审计范围以外的系统。

C)确定风险最高的系统，然后相应地制订计划
D)审计去年市计范围以外的系统和新系统。

14.[单选题]哪一个是IT性能测量程序的主要目标？
A)错误最小化
B)收集性能数据。

C)建立性能基线。

D)使性能最优。

15.[单选题]对某一已实施的系统进行实施后分析（PIR）时发现，在未经项目委员会批准的情况下，定义的目标发生了数次变更。

信息系统审计师首先应该做什么？
A)要求重新开放该项目以进行进一步调查
B)取得管理层的追溯批准
C)通知项目管理办公室并发布发现的问题
D)确定修订后的目标是否妥当
16.[单选题]审计师在审计任务的初期阶段执行功能穿行性测试的主要原因是
A)了解业务流程。

B)遵守审计标准。

C)确定控制薄弱环节。

D)进行风险评估。

17.[单选题]安装网络后，组织实施了漏洞评估工具或安全扫描程序，用以确定潜在的漏洞。

以下哪项是此类工具会带来的最严重风险?
A)差异报告
B)误报报告
C)误漏报告
D)粗略报告
18.[单选题]以下哪项确保了灾难事件中所有交易的可用性？
A)每小时向异地站点提供交易数据磁带。

B)每天向异地站点提供交易数据磁带。

C)转存交易到多个存储装备。

D)实时传输交易到异地站点。

19.[单选题]某个组织计划使用无线网络替换其有线网络。

以下哪一项能最好地保护无线网络不受到未经授权的访问？
A)实施有线对等保密(WEP)。

B)仅为经过授权的介质访问控制(MAC)地址提供访问权限。

C)禁用服务集标识符(SSID)广播的开启。

D)实施Wi-Fi保护访问(WPA)2。

20.[单选题]审计电子资金转账(EFT)系统时，IS审计师最应该关注以下哪种用户配置文件?
A)能够获取并验证他们自己信息的3个用户
B)能够获取并发送他们自己信息的5个用户
C)能够验证其他用户并发送他们自己信息的5个用户
D)能够获取并验证其他用户的信息，并发送他们自己信息的3个用户
21.[单选题]某公司为采用一种客户直销的新方法而实施业务流程再造(BPR)项目。

对于新流程，IS审计师应最关注以下哪一项?
A)是否存在保护资产和信息资源的关键控制
B)系统是否符合公司客户要求
C)系统能否满足绩效目标(时间和资源
D)新系统是否支持职责分离
22.[单选题]审计师需要验证足够的软件许可证和许可证管理，下列哪项的审计会考虑软
件许可证？
A)设施。

B)运营。

C)配置。

D)硬件。

23.[单选题]随字符或帧一起传输冗余的信息，以便于错误的监测及纠正的方式称为：
A)反馈错误控制。

B)块总和校验。

C)向前错误控制。

D)循环冗余校验。

24.[单选题]对连接到因特网的外发数据，下面哪个执行模型提供最大的安全：
A)认证头协议（A、H）加封装安全有效负载（ESP）的传输模式
B)安全套接层协议 （SSL）模式
C)认证头协议加封装安全有效负载的管道模式
D)3D、ES数据加密模式
25.[单选题]审计师发现某企业将软件开发工作外包给一个刚成立的第三方公司。

要么确保企业的软件投资得到保护
，审计师应该提出哪一个建议？
A)应对软件供应商实施尽职调查
B)应对软件供应商设施实施季度审计
C)应签署源代码第三方托管协议
D)应在合同中包含一个高额的违约罚金条款
26.[单选题]开始设计新应用程序系统的持续计划的最佳时间是什么时候？
A)实施后立即进行
B)在成功进行用户测试之后
C)在设计阶段
D)在移交给系统维护部门之前
27.[单选题]IS审计师准备审计报告时需要确认对审计结果的支持来源于？
A)IS管理层的声明
B)其它审计员的工作报告
C)组织的控制自我评估
D)充分、合适的审计证据
28.[单选题]一个企业对于所有使用的数据通过协议正在采用由国外供应商提供的云架构。

在这个项目中什么是审计人员最应该关注的？
A)A私有数据可能被未被授权的用户访问。

B)访问云主机是通过远程访问方式完成的。

C)主机结构和设置是由供应商完成的。

D)单机验证被使用。

29.[单选题]下面哪一个最能直接受到网络性能监测工具的影响？
A)完整性
B)可用性
C)完全性
D)保密性
30.[单选题]当两个或者多个系统整合时，审计师必须在哪里检查输入/输出控制
A)接收其他系统输出的系统
B)发送输出到其它系统的系统
C)输入输出数据的系统
D)在两个系统之间的分界处
31.[单选题]一家技术服务企业最近收购了一家新子公司, 考虑到其他对 IT 审计计划发展的影响时， 信息系统审计师的下一个行动步骤应该是什么?
A)继续执行当前的审计计划
B)审查经修改的业务影响分析BIA
C)进行风险评估
D)将新系统纳入审计计划
32.[单选题]在某银行的1S审计期间，IS审计师正在评估该企业是否合理管理职员对操作系统的访问.该审计师应确定该企业是否执行:
A)用户活动日志的定期审查。

B)系统级用户授权验证。

C)数据通信访问活动日志的查。

D)更改数据文件的定期审查。

33.[单选题]当一个系统便用射频识别（RFID）时，信息系统审计师最应该关注以下哪一项内容？
A)不可抵赖性
B)隐私
C)可维护性
D)可扩展性
34.[单选题]交易计轨迹的主要目的是
A)减少存储介质的使用。

B)为处理过的交易确立问贵制并确定责任人。

C)帮助IS审计师跟踪交易。

D)为容量计划提供有用信息。

35.[单选题]在以下哪种情况下，通过组织设施内的终端或工作站进行未授权系统访问的可能性会增加：
A)设施中的连接点可用于将便携式计算机连接到网络
B)用户采取预防措施来使密码保密
C)带有密码保护的终端位于不安全的位置
D)终端位于管理员监督下的小型群集中的设施内
36.[单选题]以下哪项是确保业务连续性计划(BCP)保持最新的最佳方法?
A)集团逐一研究计划自始至终的不同情景。

B)小组确保特定系统可在备用的异地设施中真正充分地发挥作用。

C)小组了解完全中断测试程序。

D)提倡部门间的沟通，以便更好地对灾难作出响应。

37.[单选题]为了确保审计资源给组织带来了最大的价值，通常的第一步是：
A)计划审计项目，并对每个审计项目的时间安排进行监督
B)向信息系统审计师培训有关组织正在使用的最新技术
C)在详细风险评估的基础上开展审计计划
D)审计监督程序，并采取成本控制措施
38.[单选题]一个全面和有效的电子邮件策略应解决电子邮件的结构，策略，执行，监测和什么的问题：
A)恢复
B)保留
C)重建
D)重用
39.[单选题]以下哪项与IS审计师评估项目经理对项目进度的监控关系最密切?
A)关键路径图
B)计划评审技术(PERT)图
C)功能点分析(FPA)
D)甘特图
40.[单选题]在对一个流程处理中的预防控制、发现控制和纠正控制的整体效果进行评估时，信息系统审计师应该认识到以下哪项？
A)控制应该在系统中数据流的各个点上建立
B)只有预防性控制和发现性控制是相关的
C)纠正性控制只能被视为是补偿性的
D)信息系统审计师可以使用分类方法来决定哪些控制是缺少的
41.[单选题]在发现未知恶意攻击时，以下哪一项安全测试技术最有效？
A)沙盒（sandboxing）
B)渗透测试
C)漏洞测试
D)逆向工程（reverse engineering)
42.[单选题]使用PERT（项目评价和复核技术）时，如果一个活动的乐观时间是A，悲观
时间是B，最可能时间是m，期望时间由下面哪一个公式表示：
A)(b-a)/2
B)（a+b）/2
C)（a+4m+b）/6
D)（4abm）/6
43.[单选题]Web和电子邮件过滤工具是组织最宝贵的资产，因为这些工具：
A)保护组织免受病毒和非业务材料的侵扰。

B)最大化员工绩效。

C)保护组织形象。

D)帮助组织预防法律问题。

44.[单选题]某IS审计师正在审查已采纳敏捷开发方法的某组织的软件开发能力。

该IS审计师最关注的是:
A)某些项目迭代产生包括概念验证的交付成果和未完成代码。

B)应用特征和开发过程未广泛记录在案。

C)软件开发团队不断重新规划其重大项目的每一步。

D)项目经理不管理其项目资源，而将其交由项目团队成员负责。

45.[单选题]一个IS审计师可以验证一个组织的业务连续性计划（BCP）是有效的，依据审查：
A)与行业最佳实践的BCP一致
B)对系统和最终用户进行业务连续性测试的结果
C)异地设施，其内容，安全和环境控制
D)BCP活动的年度财务费用相对于实施该计划的预期收益
46.[单选题]数字签名的使用
A)需要使用一次性密码生成器。

B)可对消息进行加密。

C)可验证消息的来源。

D)可确保消息的机密性。

47.[单选题]以下哪项最关键最有助于数据仓库的数据质量？
A)源数据的准确性
B)数据源的可信性
C)抽取数据的准确性
D)数据转换的准确性
48.[单选题]以下哪一项是进行IT控制环境基准测试的主要目标？
A)检测控制偏差
B)确保IT安全战略和政策有效
C)定义流程和控制所有权
D)使IT战略与业务战略相一致
49.[单选题]以下哪种保险类型可在发生员工欺诈时降低损失？
A)业务中断
B)忠实覆盖
C)错误和疏忽
D)额外费用
50.[单选题]以下哪一项最有助确保识别偏离项目计划的情况?
A)项目管理框架
B)项目管理方法
C)项目资源计划
D)项目绩效衡量标准
51.[单选题]在客户机-服务器系统环境中，下面哪一项控制技术可用于检查已知或未知用户的活动？
A)无盘工作站
B)数据加密技术
C)网络监控设备
D)认证系统
52.[单选题]一家私营企业有一个修改财务会计系统以与税法的重大变化相适应的项目。

在上线以前，财务经理，也是应用的所有者，请了紧急事假，无法完成变更部分的功能测试。

开发团队领导认为，这个变更可以不经过业务流程负责人的批准而执行。

下列哪一个的表述是正确的？
A)如果经过合适的测试并且企业主批准了这个变更，那这个变更可以不经过业务负责人的批准而移到生产环境中去。

B)没有应用程序所有者的批准，这个变更不能被应用到生产环境中去。

如果有紧急情况需要去实施变更，则应由代班财务经理去评审测试并批准它。

C)这个变更可以被移到生产环境中去，因为这个应用已经被稳定的使用了五年。

开发团队领导能作为财务经理的备份（即授权人）批准这个变更。

D)这个变更可以在没有业务流程负责人的批准而应用到生产环境，因为开发团队领导有足够的会计知识，并且一直参与该变更的开发过程。

53.[单选题]下列哪一项条件可能增加欺骗的可能性？
A)应用程序员对生产程序实施更改
B)应用程序员对测试程序实施更改
C)操作支持人员对批进度列表实施更改
D)数据库管理员对数据结构实施更改
54.[单选题]以下哪些会导致拒绝服务攻击？
A)穷举攻击
B)死亡之Ping
C)跳步攻击
D)否定应答(NAK)攻击
55.[单选题]信息系统审计管理层审查了为系统实施所做的审计工作，并确定导致重大问题的弱点不在审计范围内。

在规划审计时，哪一种类型的审计风险最可能被忽略？
A)统计抽样风险
B)固有风险
C)控制风险
D)检测风险
56.[单选题]以下哪项是针对数据和系统所有权的政策定义不当所带来的最大风险?
A)不存在用户管理协调
B)无法确定明确的用户责任
C)未授权用户可能获得创建、修改或除数据的权限。

D)审计建议可能不会实施。

57.[单选题]一旦组织已经完成其所有关键业务的业务流程再造（BPR），IS审计人员最有可能集中检查：
A)BPR实施前的处理流程图
B)BPR实施后的处理流程图
C)BPR项目计划
D)持续改进和监控计划
58.[单选题]审计WEB服务器时，IS审计师应该关心个人通过哪个选项对保密信息进行未授权访问的风险？
A)通过网关接口（CGI）的脚本。

B)enterprise javA.beans（EJB）
C)小应用程序（Applet）
D)WEB服务
59.[单选题]当发送网上银行交易数据至数据库导致处理程序突然中断。

以下哪项可以最好的确保交易的完整性？
A)数据库完整性检查。

B)验证检查。

C)输入控制。

D)数据库提交和回滚。

60.[单选题]恢复策略的选择应该最有可能取决于：
A)基础设施和系统的修复费用
B)恢复站点的可用性
C)业务流程的关键性
D)时间响应过程
61.[单选题]为确保双方间消息的完整性、机密性和不可否认性，最有效的方法是创建消息摘要，方法是将加密哈希算法应用到：
A)整个消息，使用发送方的私钥将消息摘要加密，使用对称密钥将消息加密，以及通过使用接收方的公钥将密钥加密。

B)消息的任何部分，使用发送方的私钥将消息摘要加密，使用对称密钥将消息加密，以及通过使用接收方的公钥将密钥加密。

C)整个消息，使用发送方的私钥将消息摘要加密，使用对称密钥将消息加密，以及通过使用接收方的公钥将已加密消息和摘要加密。

D)整个消息，使用发送方的私钥将消息摘要加密，以及通过使用接收方的公钥将消息加密。

62.[单选题]下列哪项是在一个组织中防止未经授权的个人删除审计日志记录的最佳控制？
A)在另一个日志文件中对日志文件的动作进行追踪。

B)关闭对审计日志的写权限。

C)只有指定人才能有查看和删除审计日志的权限。

D)定期进行审计日志的备份。

63.[单选题]以下哪种情况是通过互联网发起的被动攻击示例？
B)伪装
C)拒绝服务
D)电子邮件欺骗
64.[单选题]以下哪项是可模拟系统溃并使用实际资源来进行有效的连续性计划测试，以获得是否符合成本效益的证据?
A)纸上测试
B)事后测试
C)准备情况测试
D)穿行测试
65.[单选题]在开发某应用程序期间，质量保证测试和用户验收测试被合并。

IS审计师在审查该项目时应主要关注这是否会导致:
A)维护工作加重。

B)测试记录不正确。

C)程序验收不正确。

D)问题未及时解决。

66.[单选题]组织应在软件应用程序测试的哪个阶段执行架构设计的测试?
A)验收测试
B)系统测试
C)集成测试
D)单元测试
67.[单选题]某IS审计师要为渗透测试选择一个服务器，并且该测试会由技术专业人员执行。

下面哪个选项最重要？
A)用来进行测试的工具
B)IS审计师持有的认证
C)服务器数据所有者的批准
D)启用了入侵检测系统（IDS）
68.[单选题]在互联网协议安全中，以下哪项提供了首要的数据保护？
A)语义网
B)封装安全负载
C)头验证（AH）
D)数字签名
69.[单选题]下列哪一个网络诊断工具能监听和记录网络信息？
A)在线监视器
B)停机时间报告
C)服务台报告
D)协议分析仪
70.[单选题]在多个重要服务器的IS审计过程中，审计员想要分析审计痕迹去发现用户或系统行为的异常。

下面哪个工具是最适合的？
A)C、A、SE工具
B)嵌入式数据收集工具
C)启发式扫描工具
D)趋势/差异检测工具
71.[单选题]在开发一个风险管理程序时，什么是首先完成的活动？
A)威胁评估
C)资产目录
D)关键程度分析
72.[单选题]在许多运用电子数据交换处理的财务往来中，校验和的目的是为了保证：
A)完整性
B)真实性
C)授权
D)抗抵赖
73.[单选题]对称加密算法的哪一方面影响了非对称加密算法的发展
A)处理能力
B)数据大小
C)密钥分发
D)算法的复杂性
74.[单选题]在对财务系统执行审计时，IS审计师怀疑发生了事故。

IS审计师首先应该做什么?
A)要求关闭系统以保留证据。

B)向管理层报告事故。

C)要求立即暂停可疑帐户。

D)调查事故的来源和性质。

75.[单选题]在对外包运营网络运营中心（NOC）审查期间，IS审计师得出结论，通过外包代理监控远程网络管理活动的工作流程是不恰当的。

管理层讨论期间，首席信息官（CIO）对此问题进行了更正，证实其作为按照客服工作流程处理的客户服务活动的合理性，并提出以激活入侵监测系统（IDS）日志并监控防火墙规则。

IS审计师应采取的最佳行动步骤是什么？
A)根据CIO的反馈修改审计报告中的审计结果
B)因为已经激活IDS日志，所以撤销审计结果
C)因为已经监控防火墙规则，所以撤销审计结果
D)在审计报告中记录已确定的审计结果
76.[单选题]网路上资料传输时，如何保证资料的保密性？
A)资料在传输前经加密处理
B)所有消息附加它哈希值
C)网路设备所在的区域加强安全警戒
D)电缆作安全保护
77.[单选题]用户使用分配的安全令牌结合个人识别码(PIN)来访问公司的虚拟私有网络(VPN)。

对于PIN，安全政策中应包含哪项最重要的规则?
A)用户不应将令牌置于容易被盗的地方。

B)用户不得将令牌与便携式计算机置于同一包中
C)用户应选择完全随机且没有重复数字的PIN。

D)用户不应将PIN写下来。

78.[单选题]由于资源有限，企业的两名开发人员还为生产维护和变更实施提供支持。

以下哪一项是信息系统审计师解决职责分离冲突的最佳建议？
A)实施变更控制流程
B)接受风险
C)雇用额外的员工
D)外包变更实施工作
79.[单选题]在确定恢复点目标（RPO）的时候，以下哪项是最需要考虑的？
A)最低的操作要求
B)可接受的数据丢失
C)平均故障间隔时间
D)可接受的恢复时间
80.[单选题]以下哪一项控制在跨网络传输数据时最有效地检测到数据意外损坏?
A)对称加密
B)奇偶校验
C)校验数字位验证
D)顺序检查
81.[单选题]如下哪一项能够最好的帮助定义灾难恢复策略？
A)年度损失预期和暴露因素
B)最大可容忍的停机时间和数据损失
C)已经存在的服务器和网络冗余
D)数据备份和离线存储需求
82.[单选题]在灾难恢复计划中，IS审计员的职责包括：
A)确认重要的应用
B)决定外部服务提供商是否参与恢复测试
C)观察灾难恢复测试
D)决定建立一个恢复时间目标（RTO）的标准
83.[单选题]使用闪存存储器（例如，USB可移动磁盘）时最大的安全问题是：
A)内容极易丢失。

B)数据无法备份。

C)数据可被复制。

D)设备可能与其他外围设备不兼容。

84.[单选题]与IS审计客户召开审计启动会议的主要目的是:
A)讨论审计的范围
B)确定审计资源需求。

C)选择审计方法。

D)审查审计客户应要求提供的证据
85.[单选题]为了使业务连续性计划(BCP)在制定之后能够得到有效实施，最重要的是BCP应该:
A)存储在公司外部的安全设施中。

B)得到高层管理人员批准。

C)沟通到相关人员。

D)通过企业内网提供。

86.[单选题]使用数字签名的主要原因是确保数据：
A)保密性
B)完整性
C)可用性
D)时效性
B)建议恢复到原始的数据结构
C)建议控制进程随之变化
D)检测该项（结构）更改是经授权的。

88.[单选题]IS审计师在审查建议的应用软件购置时应当确保:
A)当前使用的操作系统(OS)与现有硬件平台兼容。

B)对计划的OS更新安排要尽量减小对公司需求的负面影响。

C)OS具有最新版本和更新。

D)产品与当前或计划的操作系统兼容。

89.[单选题]使用集成测试系统(ITF,或译为:整体测试)的最主要的缺点是需要:
A)将测试资料孤立于生产资料之外
B)通知用户,让他们调整输出
C)隔离特定的主文档记录
D)用单独的文件收集事务和主文档记录
90.[单选题]当IS审计员实施一个电子资金转账系统（EFI）审计时，下列哪一项用户情形是其最关心的
A)三个用户有权截获和检验他们自己的消息
B)五个用户有权截获和发送他们自己的消息
C)五个用户有权检验其他用户和发送他们自己的消息
D)三个用户有权截获和检验其他用户的消息，也有权发送他们自己的消息
91.[单选题]与使用检查点重起程序的相关的逻辑风险是:
A)拒绝式服务
B)异步进攻、
C)搭线窃听
D)停机
92.[单选题]制定灾难恢复计划(DRP)时应首先执行下列哪一项任务?
A)制定恢复策略
B)执行业务影响分析(BIA)
C)绘制软件系统、硬件和网络组件图
D)指派人员、角色和汇报层次明确的恢复小组
93.[单选题]达到评价IT风险的目标最好是通过
A)评估与当前IT资产和IT项目相关的威胁
B)使用过去公司损失的实际经验来确定当前的风险
C)流览公开报导的可比较组织的损失统计资料
D)流览审计报告中涉及的IT控制薄弱点
94.[单选题]为了支持企业目标，信息系统部门应该有：
A)低成本理念
B)长期和短期计划
C)领先的技术
D)购买新的硬件和软件的计划
95.[单选题]关于IT服务的可用性和可持续性的IT最佳实践是:
A)最小化与灾难弹性组件相关的成本。