《GB∕T28448-2019信息安全技术网络安全等级保护测评要求》试卷答案
2019信息网络安全专业技术人员继续教育(信息安全技术)习题及解答
信息安全技术第一章概述第二章基础技术一、判断题1.加密技术和数字签名技术是实现所有安全服务的重要基础。
（对）2.对称密码体制的特征是:加密密钥和解密密钥完全相同,或者一个密钥很容易从另ー个密钥中导出。
（对）3.对称密钥体制的对称中心服务结构解决了体制中未知实体通信困难的问题。
（错）4.公钥密码体制算法用一个密钥进行加密,!而用另一个不同但是有关的密钥进行解密。
（对）5.公钥密码体制有两种基本的模型:一种是加密模型,另一种是解密模型（错）6.Rabin体制是基于大整数因子分解问题的,是公钥系统最具典型意义的方法。
（错）7.对称密码体制较之于公钥密码体制具有密钥分发役有安全信道的限制,可实现数字签名和认证的优点。
（错）8.国密算法包括SM2,SM3和SM4. （对）9.信息的防篡改、防删除、防插入的特性称为数据完整性保护。
（对）10.Hash函数的输人可以是任意大小的消息，其输出是一个长度随输入变化的消息摘要。
（错）11.数字签名要求签名只能由签名者自己产生。
（对）12、自主访问控制(DAC)是基于对客体安全级别与主体安全级别的比较来进行访问控制的。
（错）13.基于角色的访问控制(RBAC)是基于主体在系统中承担的角色进行访问控制，而不是基于主体的身份。
（对）二、多选题1.公钥密码体制与以前方法的区别在于()。
A.基于数学函数而不是替代和置换B、基于替代和置换C.是非对称的，有两个不同密钥D.是对称的，使用一个密钥2.公钥密码的优势体现在()方面。
A.密钥交换B.未知实体间通信C.保密服务D.认证服务3.以下属于非对称算法的是()。
A.RSAB.DSAC.AESD.ECC4.密钥生命周期过程包括( )A.密钥生成B.密钥分发；C.密钥存储D.密钥使用与更新汽'tE.密钥销毁5.下列关于密码模块的描述正确的是()。
A.是硬件、软件、固件或其组合B.实现了经过验证的安全功能C.包括密码算法和密钥生成等过程D.在一定的密码系统边界之外实现6.访问控制的基本要素包括()。
等级保护三级相关要求
《网络安全法》
《中华人民共和国网络安全法》
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履 行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、 篡改： （一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任； （二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施； （三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少 于六个月； （四）采取数据分类、重要数据备份和加密等措施； （五）法律、行政法规规定的其他义务。
在北京做等保，个人还是比较推荐时 代新威，他们是等级保护测评测评机 构推荐的，而且资质也还不错，喜欢 的小伙伴可以去了解一下。
信息系统备案
1、线上资料审核通过后，备案单位准备好所有公安要求的纸质材料，待公安通知日期携带纸质资料去相关区公 安分局网安大队进行递交材料。
2、 公安机关现场对备案材料进行审核，材料符合要求的当日颁发由公安部统一监制的备案证明。
《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作》
二、相关要求
(一)卫生行业各单位要按照“遵循标准、重点保护，行业指导、属地管理，同步 建设、动态完善”的原则，建立信息安全等级保护工作长效机制。
(二)各省级卫生行政部门要督促本地区卫生行业各单位按照《指导意见》要求， 开展信息安全等级保护工作。
（2）国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级数据中心； （3）三级甲等医院的核心业务信息系统； （4）卫生部网站系统； （5）其他经过信息安全技术专家委员会评定为第三级以上（含第三级）的信息系统。
卫办综函〔2011〕1126号《卫生部办公厅关于全面开展卫生行业信息 安全等级保护工作》的通知
等级测评渗透测试工作经验分享
等级测评渗透测试工作经验分享由广山东维平信息安全测评技术有限公司技术总监等保高级测评师、CISSP、CISP、Fortinet安全专家、NSATP-A 安全牛课堂优秀讲师、i春秋优秀讲师、51CTO专业讲师目录1 基于等保的渗透测试概述2 等保测评中的渗透测试难点3 等保测评渗透测试实践4 渗透测试工作在等保中的意义01基于等保的渗透测试概述渗透测试概述渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是：渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。
这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。
常规渗透测试与基于等保的渗透测试问题：常规渗透测试与基于等保的渗透测试，有什么区别？基于等级保护的渗透测试在等级保护工作中开展渗透测试，需要考虑等级保护相关标准要求（是否合规？）、信息系统实际的环境因素（怎样去测？）、信息系统的安全风险问题（有哪些风险需要降低或规避？）、协助用户安全加固整改（如何协助用户对漏洞修复和加固？）、回归测试（等保的渗透测试是个闭环，需要监督用户整改、复测）等。
渗透测试依据的标准有国际渗透测试指南OWASP、渗透测试成熟框架OSSTMM、国际渗透测试执行标准PTES，基于等保测评的渗透测试还需要结合《GB∕T 22239-2019 信息安全技术网络安全等级保护基本要求》、《GB∕T 28448-2019 信息安全技术网络安全等级保护测评要求》等。
互联网 入口突破 信息内网（横向渗透） 纵向突破核心区域（目标系统） 攻击起点攻击终点 互联网突破口选择原则：关注度低和防护薄弱系统、存在高危漏洞的系统、第三方产品供应商、运维服务供应商、存在敏感信息泄露的系统等不限路径 寻找漏洞及薄弱点植马等手段突破 选择攻击入口控制主机、系统 获取信息 控制薄弱点 控制核心系统常见高风险攻击方法弱口令攻击互联网上泄露敏感信息被利用专网非法外联通道攻击业务网与互联网脆弱通道攻击老旧资产跳板攻击未修复漏洞攻击邮箱敏感文件攻击服务器普遍零防御攻击网络缺乏细粒度隔离措施供应链攻击互联网VPN接入暴漏手机App的攻击高风险服务及端口02等保测评中的渗透测试难点等保测评中的渗透测试难点之一：测试资产数量太多，怎么解决？针对需要渗透测试的资产数量太多的情况，采取对资产的分类分级，将资产分为非常重要、重要、一般，将需要测评的范围分为核心、关键、一般。
XX省XX厅等级保护测评及密码评估服务需求说明
XX省XX厅等级保护测评及密码评估服务需求说明一、总体要求依据国家网络安全等级保护及密码应用安全性评估相关标准及技术规范要求，结合XX省XX厅网络信息安全整体需求及各信息系统具体特点，对XX省XX厅相关信息系统开展网络安全等级保护测评及商用密码应用安全性评估，出具等级测评报告及密评报告。
二、测评范围三、依据标准网络安全等级保护测评应依据的国家及行业标准包括：1、GB/T22239-2019《信息安全技术网络安全等级保护基本要求》2、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》3、GB/T28449-2018《信息安全技术网络安全等级保护测评过程指南》4、T∕ISEΛΛ001-2023《信网络安全等级保护测评高风险判定指引》密码应用安全性评估应依据的国家及行业标准包括：1、GB/T39786-2023《信息安全技术信息系统密码应用基本要求》2、GM/T0115—2023《信息系统密码应用测评要求》3、GM/T0116-2023《信息系统密码应用测评过程指南》4、《信息系统密码应用高风险判定指引》5、《商用密码应用安全性评估量化评估规则》四、网络安全等级保护测评4.1测评内容本次等级保护测评内容应覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等10个层面，具体包括：1）安全物理环境测评内容应包括：物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。
2）安全通信网络测评内容应包括：网络架构、通信传输、可信验证。
3）安全区域边界测评内容应包括：边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证。
4）安全计算环境测评内容应包括：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据备份恢复、剩余信息保护、个人信息保护。
1+X中级应急响应考试
1+X中级应急响应考试一、单选题（共20题，每题1分，共20分）1、管理部门包括上级单位、国家有关网络安全监管部门等,主要职责有哪些?( )A、下发应急演练要求B、审批或备案下级组织单位应急演练规则C、必要情况下,宣布应急演练开始、结束或终止。
D、以上都是正确答案：D2、IMMSG病毒的危害级别是( )?A、4B、2C、3D、5正确答案：A3、mysql数据库启用符号链接支持后,可能会完成数据库文件被有意或无意破坏,应。
(A、禁用使用符号链接B、加固符号链接正确答案：A4、业务系统下的企业管理系统的英文翻译是?( )A、EIPB、HRC、ERP正确答案：C5、以下网络安全滑动标尺模型正确的是?( )A、架构安全-积极防御-威胁情报-被动防御-进攻反制B、架构安全-被动防御-积极防御-威胁情报-进攻反制C、架构安全-积极防御-被动防御-威胁情报-进攻反制D、架构安全-被动防御-威胁情报-进攻反制-积极防御正确答案：B6、__年4月,GB/T38645-2020《信息安全技术网络安全事件应急演练指南》正式发布,该指南于2020年11月1日正式实施。
A、2019B、2020C、2018D、2017正确答案：B7、下列哪些是数据库的加固方式?( )A、防止SQL注入B、防止数据库漏洞利用C、防口令破解D、以上都是正确答案：D8、应急演练技术小组是在网络安全应急演练工作中提供技术( A )和（）。
A、支撑B、支持C、保证D、保障正确答案：D9、震网病毒的发现时间( )A、2010年7月B、2011年8月C、2010年8月D、2011年7月正确答案：A10、查看windows事件日志的EVENT ID为4647的时候说明了什么?( )A、登陆成功B、登陆失败C、注销成功D、用户启动的注销正确答案：D11、业务系统面临的风险有哪些?( )A、口令破解B、服务漏洞C、权限提升D、木马后门E、以上都是正确答案：E12、鱼叉攻击的优点是什么?( )A、目标投放的精准,成本高B、技术含量高,防御难度高C、技术含量低,防御难度低D、目标投放的精准,成本低正确答案：D13、计算机操作系统安全加固措施主要有哪些。
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷答案
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷姓名：分数：一、填空题（每空3分，共30分）1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室。
3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________（有或没有）作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求，可通过查看网络设备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________。
8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分，共30分）1.三级测评通用要求机房出入口应__________。
A．安排专人值守B．放置灭火器C．安装玻璃门D．配置电子门禁系统2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要求设置__________。
A．照明灯具B．过压保护器C．防雷保安器D．空气清新剂3.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书C．生物技术D．设备指纹4.三级测评通用要求安全计算环境中，访问控制的粒度应达到主体为__________。
A．端口级B．用户级C．进程级D．应用级5.安全管理中心是《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》新增加的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理C．安全管理D．集中管控6.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术手段实现__________加密传输。
2022年网络等级保护考试题库及答案
2022年网络等级保护考试题库及答案一、单项选择题1.在等保1.0的根本要求中，网络设备防护的内容归属于网络安全，在等保2.0中将其归属到〔〕。
A安全通信网络B 安全区域边界C 安全计算环境D安全治理中心答案：c2.应成立指导和治理网络安全工作的委员会或领导小组，其最高领导由〔〕担当或授权。
A系统治理员B安全治理员C技术负责人D单位主管领导答案D3.在保证各等级保护对象自治和安全的前提下，有效掌握异构等级保护对象间的安全互操作，从而实现分布式资源的共享和交互，是指的〔〕技术?A强制访问掌握B可信计算c构造化保护D多级互联答案D4.在〔〕级系统安全保护环境中开头要求使用强制访问掌握?A —B一C三D四答案C5.在〔〕中规定了计算机系统安全保护力量的五个等级A 《计算机信息系统安全保护等级划分准则》B 《信息安全技术网络安全等级保护定级指南》C 《信息安全技术网络安全等级保护根本要求》D 《信息安全技术网络安全等级保护测评要求》答案A6.关键信息根底设施的运营者应当自行或者托付网络安全效劳机构对其网络的安全性和可能存在的风险每年至少进展〔〕次检测评估。
A一B二C三D四答案A7.关键信息根底设施的安全保护等级应不低于等保〔〕A第一级B其次级C第三级D第四级答案c8.对于三级系统安全治理要求中，以下哪个掌握点不属于安全运维治理方面要求〔〕 .A环境治理B介质治理C效劳供给商选择D变更治理答案c9.三级系统应依据等保2.0要求承受密码技术保证通信过程中数据的〔〕.A完整性B保密性C可用性D可控性答案B10.信息系统遭到破坏后，会对国家安全造成一般损害的，应定为〔〕?A一B二C三D四答案c11.在等保2.0中，以下测评结论与判定依据描述正确的选项是?A被测对象中存在安全问题，但不会导致被测对象面临中、高等级安全风险，且系统综合得分90分以上〔含90分〕的，判定为优。
B被测对象中存在安全问题，但不会导致被测对象面临高级安全风险，且系统综合得分70分以上(含70分)的，判定为良。
信息安全技术标准试题答案精选(全)
信息安全技术教程习题及答案信息安全技术试题及答案信息安全网络基础：一、判断题1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。
√2. 计算机场地可以选择在公共区域人流量比较大的地方。
×3. 计算机场地可以选择在化工厂生产车间附近。
×4. 计算机场地在正常情况下温度保持在18~28 摄氏度。
√5. 机房供电线路和动力、照明用电可以用同一线路。
×6. 只要手干净就可以直接触摸或者擦拔电路组件，不必有进一步的措施。
×7. 由于传输的内容不同，电力线可以与网络线同槽铺设。
×8. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√9. 新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记,以防更换和方便查找赃物。
√10. 机房内的环境对粉尘含量没有要求。
×11. 有很高使用价值或很高机密程度的重要数据应采用加密等方法进行保护。
√12. 纸介质资料废弃应用碎纸机粉碎或焚毁。
√容灾与数据备份一、判断题1. 灾难恢复和容灾具有不同的含义。
×2. 数据备份按数据类型划分可以分成系统数据备份和用户数据备份。
√3. 对目前大量的数据备份来说，磁带是应用得最广的介质。
√4. 增量备份是备份从上次完全备份后更新的全部数据文件。
×5. 容灾等级通用的国际标准SHARE 78 将容灾分成了六级。
×6. 容灾就是数据备份。
×7. 数据越重要，容灾等级越高。
√8. 容灾项目的实施过程是周而复始的。
√9. 如果系统在一段时间内没有出现问题，就可以不用再进行容灾了。
×二、单选题1. 代表了当灾难发生后，数据的恢复程度的指标是A.RPOB.RTOC.NROD.SDO2. 代表了当灾难发生后，数据的恢复时间的指标是A.RPOB.RTOC.NROD.SD03. 容灾的目的和实质是A. 数据备份B.心理安慰C. 保持信息系统的业务持续性D.系统的有益补充4. 容灾项目实施过程的分析阶段，需要进行A. 灾难分析B. 业务环境分析C. 当前业务状况分析D. 以上均正确5. 目前对于大量数据存储来说，容量大、成本低、技术成熟、广泛使用的介质是一一一。
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷答案
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷姓名：分数：一、填空题（每空3分，共30分)1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室.3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________（有或没有)作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求,可通过查看网络设备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________.8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分,共30分）1.三级测评通用要求机房出入口应__________.A．安排专人值守B．放置灭火器C．安装玻璃门D．配置电子门禁系统2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要求设置__________。
A．照明灯具B．过压保护器C．防雷保安器D．空气清新剂3.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书C．生物技术D．设备指纹4.三级测评通用要求安全计算环境中,访问控制的粒度应达到主体为__________.A．端口级B．用户级C．进程级D．应用级5.安全管理中心是《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》新增加的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理C．安全管理D．集中管控6.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术手段实现__________加密传输。
信息安全等级保护答案
一、单选题（题数：32，共64.0 分）1 信息安全等级保护工作直接作用的具体的信息和信息系统称为（2.0分）2.0 分A、客体B、客观方面C、等级保护对象D、系统服务正确答案：B2 根据等级保护相关管理文件,信息系统的安全保护等级分为几个级别: （2.0分）A、 3B、 4C、 5D、 6正确答案：C3 根据《信息安全等级保护管理办法》,( )应当依照相关规范和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。
（2.0分）A.公安机关B.国家保密工作部门C.国家密码管理部门D.信息系统的主管部门正确答案：D4 对社会秩序、公共利益造成特别严重损害,定义为几级（2.0分）A、第一级B、第二级C、第三级D、第四级正确答案：D5 对国家安全造成特别严重损害,定义为几级（2.0分）A、第二级B、第三级C、第四级D、第五级正确答案：D6 信息系统建设完成后,( )的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。
（2.0分）A.二级及以上B.三级及以上C.四级及以上D.五级正确答案：B7 计算机信息系统实行安全等级保护,安全等级的划分标准和安全等级保护的具体办法,由( )合同有关部门制定。
（2.0分）A、教育部B、国防部C、安全部D、公安部正确答案：B8 1999年,我国发布的第一个信息安全等级保护的国家标准GB 17859 —1999,提出将信息系统的安全等级划分为______个等级,并提出每个级别的安全功能要求。
（2.0分）A、7B、8C、 6D、 5正确答案：D9 信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益,在等保定义中应定义为第几级（2.0分）A、第一级B、第二级C、第三级D、第四级正确答案：A10 《信息系统安全等级保护实施指南》将______作为实施等级保护的第一项重要内容。
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识模拟试题含解析
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识模拟试题一、单项选择题1、在规划如何达到信息安全目标时，组织应确定（）A、要做什么，有什么可用资源，由谁负责，什么时候开始，如何测量结果B、要做什么，需要什么资源，由谁负责，什么时候完成，如何测量结果C、要做什么，需要什么资源，由谁负责，什么时候完成，如何评价结果D、要做什么，有什么可用资源，由谁执行，什么时候开始，如何评价结果2、我国网络安全等级保护共分几个级别？（）A、7B、4C、5D、63、当获得的审核证据表明不能达到审核目的时，审核组长可以（）A、宣布停止受审核方的生产/服务活动B、向审核委托方和受审核方报告理由以确定适当的措施C、宣布取消末次会议D、以上都不可以4、以下可表明知识产权方面符合GB/T22080/ISO/IEC27001要求的是：（）A、禁止安装未列入白名单的软件B、禁止使用通过互联网下载的免费软件C、禁止安装未经验证的软件包D、禁止软件安装超出许可权规定的最大用户数5、信息安全管理体系是用来确定（)A、组织的管理效率B、产品和服务符合有关法律法规程度C、信息安全管理体系满足审核准则的程度D、信息安全手册与标准的符合程度6、在现场审核结束之前，下列哪项活动不是必须的？（）A、关于客户组织ISMS与认证要求之间的符合性说明B、审核现场发现的不符合C、提供审核报告D、听取客户对审核发现提出的问题7、计算机病毒是计算机系统中一类隐藏在（）上蓄意破坏的捣乱程序A、内存B、软盘C、存储介质D、网络8、依据《中华人民共和国网络安全法》，以下正确的是（）。
A、检测记录网络运行状态的相关网络日志保存不得少于2个月B、检测记录网络运行状态的相关网络日志保存不得少于12月C、检测记录网络运行状态的相关网络8志保存不得少于6个月D、重要数据备份保存不得少于12个月，网络日志保存不得少于6个月9、下列措施中，（）是风险管理的内容。
A、识别风险B、风险优先级评价C、风险处置D、以上都是10、关于备份，以下说法正确的是(）A、备份介质中的数据应定期进行恢复测试B、如果组织删减了“信息安全连续性”要求，同机备份或备份本地存放是可接受的C、发现备份介质退化后应考虑数据迁移D、备份信息不是管理体系运行记录，不须规定保存期11、下列说法不正确的是（）A、残余风险需要获得管理者的批准B、体系文件应能够显示出所选择的控制措施回溯到风险评估和风险处置过程的结果C、所有的信息安全活动都必须记录D、管理评审至少每年进行一次12、下面哪一种环境控制措施可以保护计算机不受短期停电影响?（）A、电力线路调节器B、电力浪涌保护设备C、备用的电力供应D、可中断的电力供应13、依据GB/T22080_2016/ISO/IEC27001:2013,不属于第三方服务监视和评审范畴的是（）。
_信息安全技术__网络安全等级保护28448_2019_标准解读(赠送原版标准)
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读原版标准详见附录0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
等级保护测评师48期(初级A卷)
第48期网络安全等级保护测评师考试（初级A）姓名：部门：考试时间：___年___月___日一、判断题（共10题，每题1分，共10分）1.当机房根据用户不同分为多个房间，处于不同位置时，各个机房的原始记录要求分别检查。
（）2.测评师对某单位三级信息系统进行测评，访谈系统管理xx系统日志管理情况，系统管理员回答说windows服务器未开启审计功能，运行日志也不保存。
测评师判定“检测定期对运行日志和审计数据进行分析，一遍及时发现异常行为”要求该项为不符合（）3.测评人员进行机房实地查看，发现有摄像头，则判定满足“应对机房设置监控报警系统”的要求。
（）4.对某单位三级信息系统进行测评，检查发现岗位职责文件中定义网络管理员为关键风险，并且明确了网络管理员的岗位职责，王亮担任该信息系统的网络管理员，那么单位不但应与王亮签订保密协议，也应与其签订岗位安全协议或岗位安全责任书，（）5.对工具测试过程中的关键步骤、重要证据、要及时利用抓图取证工具取证。
（对）6.CSMA/CD访问方法的缺点是冲突会降低网络性能。
（对）7.在oracle中，不可以设置数据库用户的口令复杂性。
（错）8.根据信息安全技术信息系统安全等级保护基本要求（GB/T 22239-2008），第三级信息系统在应用安全层面上对通信完整性要求是“应采用验证码技术保证通信过程中数据的完整性”。
（错）9.网络嗅探是指攻击者使用工具软件在网络接口上合法获取他人数据。
（错）10.常见的操作系统包括DOS、OS/2、UNIX、AIX、Linux、Windows、Netware、Oracle等（）二、单项选择题（共15题，每题2分，共30分）1. 在测评“制度和发布”控制点中，应如何检查以明确机构对发布范围进行了控制（）A.访谈以确认制度发布的部门B.检查管理制度是否具有统一的版本标识C.检查制度发布等级记录D.检查制度定期评审记录2. 以下证据不会出现在“应急预案管理”的测评实施中的是（）A.应急演练记录B.应急预案文档C.安全事件处置记录D.应急预案xxx14. 依据《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008），哪个等级信息系统的应用安全要求的主体和客体设置安全标记（）A.一级B.二级C.三级D.四级15. 在利用工具扫描目标系统过程中、目标系统出现网络断网时间，此时应该如何处理（）A.完成扫描B.改扫其他网段C.立即停止扫描，并记录观察报告，待确认网络恢复后，继续D.记录当前扫描结果三，多项选择题（共10题，每题2分，共20分）1.在三级安全管理要求“管理制度”，控制点测评时，需检查以下文档（）A.机构总体方针政策B.机构各类管理制度C.人员配备清单D.各类操作规程2.第三级安全管理要求“关键事务岗位应配备多人共同管理”应如何测评该条要求（）A.访谈安全主管关键岗位人员配备情况B.检查人员管委职责文档查看关键岗位人员职责C.检查人员配备文档查看关键岗位人员是否配备多人3.在第三级物理安全测评中，被测机构的机房处于用水设备的下层，则在测评过程中需要着重考虑的控制点包括（）A.防水和防潮B.防静电C.物理位置的选择D.电力供应4.在三级安全管理测评中，“人员离岗”测评实施中的要点包括（）A.检查人员离岗手续B.检查人员保密承诺文档C.检查各种证件和设备的交还记录D.检查人员日常考核记录5.为Cisco路由器的特权用户设置口令的命令有。
2024年第二期CCAA注册审核员ISMS信息安全管理体系考试题目含解析
2024年第二期CCAA注册审核员ISMS信息安全管理体系考试题目一、单项选择题1、关于顾客满意，以下说法正确的是：（）A、顾客没有抱怨，表示顾客满意B、信息安全事件没有给顾客造成实质性的损失就意味着顾客满意C、顾客认为其要求已得到满足,即意味着顾客满意D、组织认为顾客要求已得到满足，即意味着顾客满意2、容量管理的对象包括（）A、信息系统内存B、办公室空间和基础设施C、人力资源D、以上全部3、对于交接区域的信息安全管理，以下说法正确的是:（）A、对于进入组织的设备设施予以检查验证,对于离开组织的设备设施则不必验证B、对于离开组织的设备设施予以检查验证,对于进入组织的设备设施则不必验证C、对于进入和离开组织的设备设施均须检查验证D、对于进入和离开组织的设备设施，验证携带者身份信息;可替代对设备设施的验证4、如果信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，则应具备的保护水平为：（）A、三级B、二级C、四级D、五级5、《互联网信息服务管理办法》现行有效的版本是哪年发布的？()A、2019B、2017C、2016D、20216、（）是建立有效的计算机病毒防御体系所需要的技术措施。
A、补丁管理系统、网络入侵检测和防火墙B、漏洞扫描、网络入侵检测和防火墙C、漏洞扫描、补丁管理系统和防火墙D、网络入侵检测、防病毒系统和防火墙7、下列哪个选项不属于审核组长的职责?A、确定审核的需要和目的B、组织编制现场审核有关的工作文件C、主持首末次会议和市核组会议D、代表审核方与受中核方领导进行沟通8、ISMS文件的多少和详细程度取于A、组织的规模和活动的类型B、过程及其相互作用的复杂程度C、人员的能力D、A+B+C9、关于系统运行日志，以下说法正确的是：（)A、系统管理员负责对日志信息进行编辑、保存B、日志信息文件的保存应纳入容量管理C、日志管理即系统审计日志管理D、组织的安全策略应决定系统管理员的活动是否有记入曰志10、《中华人民共和国网络安全法》中的"三同步"要求，以下说法正确的是（）A、指关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B、指所有信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用C、指涉密信息系统建设时须保证安全技术措施同步规划、同步建设、同步使用D、指网信办指定信息系统建设时须保证安全技术措施同步规划、同步建设、同步使用11、—家投资顾问商定期向客户发送有关财经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾问商的公钥加密邮件的HASH值C、电子邮件发送前，用投资顾问商的私钥数字签名邮件D、电子邮件发送前，用投资顾问商的私钥加密邮件12、控制影响信息安全的变更，包括（)A、组织、业务活动、信息及处理设施和系统变更B、组织、业务过程、信息处理设施和系统变更C、组织、业务过程、信息及处理设施和系统变更D、组织、业务活动、信息处理设施和系统变更13、以下哪项不属于脆弱性范畴？（）A、黑客攻击B、操作系统漏洞C、应用程序BUGD、人员的不良操作习惯14、残余风险是指:（）A、风险评估前，以往活动遗留的风险B、风险评估后，对以往活动遗留的风险的估值C、风险处置后剩余的风险，比可接受风险低D、风险处置后剩余的风险，不一定比可接受风险低15、应定期评审信息系统与组织的（）的符合性。
网络安全等级保护测评服务服务需求书
网络安全等级保护测评服务服务需求书一、服务要求：1）为保证项目如期完成，项目实施方需设立项目团队，并合理配备项目人员，并接受当地监管部门的监督检查。
人员保持相对稳定，其中项目经理须全程现场参与本项目，不得随意更换，项目团队如有人员变更须经采购人对应业务部门同意。
2）测评人员人数不得少于 4 名，其中高级测评师、中级测评师应各不少于 1 名。
项目经理必须熟练掌握信息安全相关标准与规范，具备丰富的信息安全测评工作经验，具有成熟的信息安全技术和项目管理能力，能够应对可能的突发性安全事件应急工作；测评人员应具备丰富的测评项目经验，熟悉网络安全相关法规，具备独立开展信息安全技术服务的能力。
3）测评人员在入场前须提供身份证、网络（信息）安全等级测评师证书、社保缴纳证明等原件供采购人进行核对，并签订保密协议，如发现人证不一致，对投标人按虚假应标处理，采购人有权终止合同。
由于本次测评涉及的业务系统服务不可中断，测评期间需提供7*8小时驻场服务，直至测评工作结束。
4）投标人需具备网络安全防护专业能力，保证项目实施过程中能够及时处置网络安全隐患，防止项目实施过程中出现黑客攻击入侵、篡改事件、感染勒索病毒等安全风险，保障信息系统的稳定运行。
5）投标人需针对本项目设立售后服务机构，人员不得与测评实施人员重复。
售后服务人员需具有利用管理措施和技术手段实施安全服务、建立管理流程和管控方法的服务能力，可为采购人风险评估、安全运维、安全整改、系统软件测试验收提供咨询服务和技术指导。
二、技术要求为贯彻落实国家网络安全等级保护制度，人民医院决定对本单位开展网络安全等级保护测评工作，并进一步完善人民医院的信息系统安全管理体系和技术防护体系，增强网络安全保护意识，切实提高人民医院网络安全防护能力。
依据相关文件及标准要求，对人民医院的信息系统进行等级保护测评。
等级保护测评服务本次测评的系统为3个三级系统、1个二级系统，测评内容涵盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等网络安全的各个层面。
_信息安全技术__网络安全等级保护28448_2019_标准解读_
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
网络安全等级测评师(中级)考核试题与答案
网络安全等级测评师（中级）考核试题一、判断题1、通过白名单方式绑定无线接入终端设备的MAC地址，则认为对参与无线通信的设备进行了身份鉴别。
[判断题] *对错√2、发电厂的不同机组之间的网络边界可以不采取入侵防范措施。
[判断题] *对√错3、安全事件的可能性，由资产价值和脆弱性决定。
[判断题] *对错√4、针对第三级等级保护对象进行测评时，测评对象在数量上抽样，种类上全部覆盖。
[判断题] *对错√5、测评记录中应明确记录测评方法和证据来源，记录必要的对象特征和细节描述，应提供充分的符合性判定依据。
[判断题] *对√错6、作为云租户的测评委托单位全部职责包括：测评前备份系统和数据，并了解测评工作基本情况；协助测评机构获得现场测评授权；安排测评配合人员,配合测评工作的开展；对风险告知书进行签字确认；配合人员如实回答测评人员的问询，对某些需要验证的内容上机进行操作，协助测评人员实施工具测试并提供有效建议，降低安全测评对系统运行的影响，完成业务相关内容的问询、验证和测试，对测评证据和证据源进行确认，确认测试后被测设备状态完好。
[判断题] *对错√7、ISO/IEC 27000标准族中的核心标准包括ISO/IEC 27001《信息安全管理体系-要求》、ISO/IEC 27002《信息安全管理实用规则》。
[判断题] *对√错8、安全区域边界对象主要根据系统中网络访问控制设备的部署情况来确定。
[判断题] *对错√9、安全区域边界如果以串接方式部署了访问控制设备，并启用了合理的访问控制策略，则可认为“跨越边界的访问和数据流通过边界设备提供的受控接口进行通信”。
[判断题] *对错√10、只有在边界访问控制设备访问控制规则最后一条为全拒绝时，才认为该边界“默认情况下除允许通信外受控接口拒绝所有通信”。
[判断题] *对错√11、防病毒网关能够对通过的所有应用协议进行恶意代码检测和防护。
[判断题] *对错√12、交换机在收到未知源地址的帧时直接丢弃。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《GB∕T28448-2019信息安全技术网络安全等级保护测评
要求》试卷
姓名：分数：
一、填空题（每空3分，共30分）
1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室。
3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________
（有或没有）作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求，可通过查看网络设
备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________。
8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分，共30分）
1.三级测评通用要求机房出入口应__________。
A．安排专人值守B．放置灭火器
C．安装玻璃门D．配置电子门禁系统
2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要
求设置__________。
A．照明灯具B．过压保护器
C．防雷保安器D．空气清新剂
9.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书
C．生物技术D．设备指纹
10.三级测评通用要求安全计算环境中，访问控制的粒度应达到主体为__________。
A．端口级B．用户级
C．进程级D．应用级
11.安全管理中心是《GB∕T28448-2019信息安全技术网络安全等级保护测评要求》新增加
的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理
C．安全管理D．集中管控
12.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术
手段实现__________加密传输。
A．身份认证B．访问控制
C．数据D．以上都不是
三、简答题（共40分）
3.三级测评通用要求数据备份恢复有哪些内容？（8分）
13.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术
手段实现哪些信息的加密传输？（12分）
14.在确定测评对象时，应遵循哪些原则。
（20分）
《GB∕T28448-2019信息安全技术网络安全等级保护测评
要求》试卷答案
一、填空题
15.记录文档和机房
16.能
17.没有
18.冗余或并行
19.CPU、内存
20.三
21.中国境内
22.两
二、不定项选择
4.D
5.BC
6.ABCD
7.BC
8.ABCD
9.ABC
三、简答题
1.
1)应提供重要数据的本地数据备份与恢复功能
2)应提供异地实时备份功能
3)应提供重要数据处理系统的热冗余
2.
1)身份认证
2)访问控制
3)数据
3.
1)重要性
2)安全性
3)共享性
4)符合性
5)全面性
6)。