CISSP认证考试(法律、法规、调查与合规)-试卷1

CISSP认证考试（法律、法规、调查与合规）-试卷1
(总分：62.00，做题时间：90分钟)
1.Cyberlaw categorizes computer-related crime into three categories. Which of the following is an example of a crime in which the use of a computer would be categorized as incidental? （分数：
2.00）
A.Carrying out a buffer overflow to take control of a system
B.The electronic distribution of child pornography √
C.Attacking financial systems to steal funds
D.Capturing passwords as they are sent to the authentication server
解析：解析：B正确。

美国已经制定了法律来打击3种类型的犯罪：计算机辅助犯罪、针对计算机的犯罪和附带计算机犯罪。

如果某种犯罪属于“附带计算机犯罪”的范畴，这意味着计算机仅以一种次要的方式参与进来，但它的参与微不足道。

儿童色情物品的数字发行便是一种“附带计算机犯罪”的例子。

真正的犯罪是获取和共享儿童色情图片或图形。

这些图片既可以存储在一个文件服务器上，也可以存放在某人桌子上的物理文件中。

所以，如果某种犯罪属于这种犯罪类型，并非是一个计算机攻击另外一个计算机。

虽然计算机未遭受攻击，但是它却以某种方式被人使用。

因此，计算机成为与犯罪有关的额外的证据来源。

A 不正确。

因为利用缓冲区溢出达到控制系统的目的便是一种针对计算机的犯罪。

针对计算机的犯罪是指专门针对计算机(和它的主人)的攻击。

其他针对计算机犯罪的例子还有：分布式拒绝服务攻击(distributed denial-of-service attack)、安装旨在造成瘫痪的恶意软件、安装具有恶意目的的rootkits和嗅探器。

C 不正确。

因为攻击金融系统以偷取资金是一种计算机辅助犯罪。

计算机辅助犯罪是指将计算机作为开展犯罪活动的工具。

计算机辅助犯罪的例子还有：通过攻击军事系统获取军事情报资料和通过攻击重要的国家基础设施系统从事信息战活动。

D不正确。

因为在密码被发送到验证服务器时截获它们是一个针对计算机犯罪的例子。

“计算机辅助犯罪”和“针对计算机的犯罪”这两个类别通常容易被混淆，因为从直觉上来看，任何攻击都属于这两类。

而区分它们的一种方法就是：针对计算机的犯罪没有计算机就不可能实现，而计算机辅助犯罪在没有计算机的情况下仍然可行。

因此，针对计算机的犯罪在计算机普及使用之前不存在(也不可能存在)。

换句话说，在过去的好时光里，你不能对你的邻居进行缓冲区溢出攻击，也不能在你敌人的系统上安装恶意软件。

这些犯罪都需要用到计算机。

2.Which organization has been developed to deal with economic, social, and governance issues, and with how sensitive data is transported over borders?
（分数：2.00）
A.European Union
B.Council of Europe
C.Safe Harbor
anisation for Economic Co-operation and Development √
解析：解析：D正确。

跨国家边境传输数据的国际组织必须了解和遵循经济合作与发展组织(Organisation for Economic Co-operation and Development，OECD)准则。

因为关于私人数据的定义以及如何保护私人数据，大多数国家都有不同的法律条款，因此，国际贸易变得更加错综复杂并给国家经济带米了负面影响。

OECD是一个国际化组织，它旨在帮助不同国家和政府共同应对全球化经济所面临的经济、社会和管理挑战。

正因为如此，OECD提出了不同国家应该遵循行为指南，从而确保数据得到保护，以及各国都遵循相同的一套规则。

这套规则之一便是主体应该能够找出一个组织是否拥有它们自己的私人信息，如果有的话，这信息是什么，从而纠正错误数据并对要求这样做的否定请求提出质疑。

A不正确。

因为欧盟(European Union)不是一个处理经济、社会和治理问题的组织，而是一个处理敏感数据保护问题的组织。

欧盟的隐私原则是：必须在收集数据时具体说明收集原因：数据不能用作其他目的：不应该收集不必要的数据；数据应该只保留到完成既定任务为止：只有需要完成既定任务的人才应该拥有数据的访问权：任何负责安全地存储数据的人都不应该允许数据的无意“泄露”。

B不正确。

因为欧洲理事会(Council of Europe)负责创建网络犯罪公约(Conventionfor Cybercrime)。

欧洲理事会的网络犯罪公约试图创建一个应对网络犯罪的国际标准。

实际上，它是第一个试图通过协调国家法律、提高侦查技术和国际合作寻求处理计算机犯罪的国际化条约。

这个公约的目标包括为被告的管辖权和引渡创建一个框架。

例如，只有当事故在两个司法管辖区都
是犯罪行为时，条约中的引渡条款才可生效。

C不正确。

因为安全港(Safe Harbor)不是一个组织，而是对希望与欧洲各实体交换数据的组织的一系列要求。

一直以来，欧洲在保护隐私数据方面的控制都要比美国和世界其他地区更加严格。

所以，过去当美国和欧洲公司需要交换数据时就会出现混乱，业务也会中断，因为律师不得不介入以找出如何在不同的法律框架内工作的方法。

为了收拾这一残局，一个叫做“安全港”框架应运而生，它描述了任何计划从欧洲转移隐私数据或者向欧洲转移隐私数据的实体都应如何保护这些数据。

与欧洲实体打交道的美国公司可以以这个规则为基础获得合格证书，从而使得数据传输能够更快、更容易地进行。

3.Different countries have different legal systems. Which of the following correctly describes customary law?
（分数：2.00）
A.Not many countries work under this law purely; most instead use a mixed system where this law, which deals mainly with personal conduct and patterns of behavior, is an integrated component. √
B.It covers all aspects of human life, but is commonly divided into responsibilities and obligations to others, and religious duties.
C.It is a rule-based law focused on codified law.
D.Based on previous interpretations of laws, this system reflects the community's morals and expectations.
解析：解析：A正确。

习惯法(Customary Law)是一个与个人行为习惯和行为模式有关的法律。

它基于一个地区的传统和习俗而制定。

它是随着社区的出现以及人与人的合作成为必要而产生的。

不是所有的国家都纯粹依照习惯法体系行事；相反，绝大多数国家使用的是集成了习惯法的混合体系(被编撰成法典的民法系统来源于习惯法)。

习惯法通常用于世界上拥有混合法律体系的地区，比如中国和印度。

习惯法体系常使用罚款或者提供服务等赔偿方式。

B不正确。

因为此选项描述的是宗教法律体系。

习惯法是与个人的行为习惯和行为模式有关的法律，而宗教法律体系则通常分为对他人承担的责任和义务，以及宗教职责。

宗教法律体系是基于一个地区的宗教信仰。

例如，在伊斯兰教国家，法律是根据古兰经的规则而制定的。

然而，每个伊斯兰教国家的法律也不尽相同。

C不正确。

因为民法(civil law)是以规则为基础，多数情况下以成文法(即被写下来的法律)为中心。

民法是世界上使用最广泛的法律体系，也是欧洲最常用的法律体系。

它是各州或各国建立的进行自我规范的法律。

因此，民法还可以细分为若干小类，比如法国民法、德国民法等。

D不正确。

因为普通法(common law)是基于以前法律的解释。

在过去，法官会走遍全国执行法律和解决争端。

他们没有书面的法律集，所以他们根据自己的法律习惯和先例来判案。

这个体系反映了社会的道德和期望。

4.Widgets Inc. wishes to protect its logo from unauthorized use. Which of the following will protect the logo and ensure that others cannot copy and use it?
（分数：2.00）
A.Patent
B.Copyright
C.Trademark √
D.Trade secret law
解析：解析：C正确。

知识产权(intellectual property)受几种不同法律的保护，到底受哪种法律的保护取决于知识产权的资源类型。

商标法用于保护单词、名称、标志、声音、形状、颜色或它们的组合——例如Logo。

公司之所以把这些或这些的组合注册成商标是因为在人们和世界面前，它代表着这个公司(品牌标识)。

公司的营销部门努力创新的目的是希望该公司引起人们的关注，并在众多竞争者中脱颖而出。

把这种努力的结果在政府部门注册成商标是正确保护它，确保其他人不会复制和使用它的一个方法。

A不正确。

因为专利权(patent)保护发明，而商标权保护单词、名称、标注、声音、形状、颜色或它们的组合。

专利被授予个人或公司，以承认其合法所有权，使他们能够防止别人使用或者复制受专利保护的发明。

专利涵盖了发明。

发明必须新颖、实用而不显而易见。

专利权是对知识产权最有力的保护形式。

B不正确。

因为在美国，版权(copyright)法保护作者对公开发行、复制、展示和对原著改编的控制权利。

这个法律涵盖了多个作品类别：图案、图形、音乐、戏剧、文学、电影、雕塑、录音和建筑。

版权法并不涵盖特定资源。

它保护的是对资源的想法的表现，而不是资源本身。

版权法通常用于保护作家的作品、艺术家的绘画、程
序员的源代码或者音乐家创作的特定节奏和结构。

D不正确。

因为商业秘密法保护特定类型的信息或资源免受未经授权的使用或泄露。

对于拥有商业秘密资源的公司而言，这个资源必须带给公司某种有竞争力的价值或优势。

如果开发某个商业秘密需要特殊的技能、智慧和(或)资金，以及不懈努力的话，该商业秘密可以受到法律保护。

5.There are four categories of software licensing. Which of the following refers to software sold at a reduced cost?
（分数：2.00）
A.Shareware
B.Academic software √
C.Freeware
mercial software
解析：解析：B正确。

当供应商开发出一个应用程序时，供应商通常会提供应用程序许可证而不是直接出售它。

许可证协议包括与这个软件及其相关手册的使用和安全有关的规定。

如果公司或个人未能遵守并履行这些规定，许可证有可能被吊销；根据行为的性质还可能受到刑事指控。

开发这一软件并向外颁发许可证的供应商所面临的风险是损失了本应该获得的利润。

软件许可证的四个类别是：共享软件、免费软件、商业软件和学术软件。

其中，学术软件是以较低成本为学术目的而提供的软件。

A不正确。

因为共享软件又叫试用软件，它是供应商免费提供试用版软件的一种许可证模型。

一旦用户试用了该程序，用户会被要求购买它的一个副本。

这种模型是供应商的软件营销方式。

C不正确。

因为免费软件是免费的且公开使用的软件，它可以不受限制地被使用、复制、研究、修改和重新发行。

D不正确。

因为商业软件是一种以全价销售并用于商业用途的软件。

多数公司使用带有批量许可证的商业软件。

批量许可证使得多个用户能够同时使用这个产品。

这些主协议定义了在限制条件内正确使用这些软件的方法，比如员工在他们家中的机器上是否也能够使用公司软件。

6.There are different types of approaches to regulations. Which of the following is an example of self-regulation?
（分数：2.00）
A.The Health Insurance Portability and Accountability Act
B.The Sarbanes-Oxley Act
C.The Computer Fraud and Abuse Act
D.PCI Data Security Standard √
解析：解析：D正确。

随着世界越米越依赖于技术，隐私权所面临的威胁也日益变大。

处理隐私权问题有几种方法，其中包括由政府建立与实施的法规和由自我约束的法规等。

支付卡行业数据安全标准(Payment Card Industry Data Security Standard，PCI DSS)便是一个自我约束方法的例子。

支付卡行业数据安全标准是信用卡公司强制要求的，并适用于任何处理、传输、储存或接受信用卡数据的实体。

目前存在多种级别的合规和惩罚，这些级别完全取决于顾客的规模和交易量的大小。

然而，已有数以百万计的人在使用信用卡，几乎任何地方都接受信用卡，这意味着世界上几乎每一个企业都必须遵循PCI DSS。

PCI DSS并不是一个由政府建立并实施的法规。

虽然CISSP考试并不要求你了解具体的法规，但是你必须了解不同法规的规定方法。

A不正确。

因为健康保险易移植性和可问责性法案(Health Insurance Portabilityand Accountability Act，HIPAA)是一个美国联邦法规，它适用于任何拥有个人医疗信息和医疗数据的组织。

这个规定为在处理机密医疗信息时如何保证数据的安全性、完整性和隐私权提供了一种框架和指导原则。

HIPAA规定了应该如何管理创建、访问、共享或销毁医疗信息的任何设施的安全。

B不正确。

因为萨班斯?奥克斯利法案(Sarbanes-Oxley Act，SOX)是美国政府在花费投资者数十亿美元并威胁会破坏经济的公司丑闻和诈骗案发生后，创建的法案。

这个法规适用于在美国市场上公开进行交易的任何公司。

这个法案的绝大部分内容都是用于管理审计行为和公司用于报告财务状况的方法。

然而，有一部分直接适用于信息技术，尤其是Section 404。

C不正确。

因为计算机欺诈和滥用法案(Compmer Fraud and Abuse Act)是主要的美国联邦反黑客的法规。

它禁止7种形式的计算机行为，并把它们定为联邦犯罪。

这些犯罪从轻罪到重罪不等，其相应的惩罚也从小额罚款到大额罚款，甚至将罪犯关进监狱。

以诈骗为目的未经授权或超出授权而访问一个受保护的计算机便是这样一个例子。

虽然CISSP考试并不要求你了解具体的法律和法规，但是你需要了解不同法律和法规实施的原因。

7.Which of the following means that a company did all it could have reasonably done to prevent
a security breach?
（分数：2.00）
A.Downstream liability
B.Responsibility
C.Due diligence
D.Due care √
解析：解析：D正确。

应有关注(due care)是指公司做了它在某个环境中应该做的事情，尽其所能以阻止安全漏洞。

同样，它也会采取合理措施保证在安全漏洞出现的情况下，有正确的控制和对策到位以减少损失。

简而言之，应有关注意味着公司运用常识和审慎的管理，并采取负责任的行动。

如果一家公司的设施化为灰烬，那么纵火犯只是这个悲剧事故中的一小部分。

该公司有责任提供火灾探测系统和灭火系统、某些区域的防火建筑材料、警报、出口、灭火器和所有可能受火灾影响的重要信息的备份。

如果一场大火把公司大楼烧成平地并吞噬掉了全部记录(顾客数据、库存记录以及重建企业所必需的类似信息)，那么该公司便没有做到应有关注以保证企业免受那样的损失(例如备份到一个异地场所)。

在这种情况下，员工、股东、顾客和受其影响的每一个人都有可能成功地起诉该公司。

然而，如果公司提前做了能够预想到的一切，那么这些人则很难成功起诉公司没有履行应有关注。

A不正确。

因为下游责任(downstream liability)是指一家公司的活动——或缺少这些活动——会给另外一家公司带来负面影响。

如果一家公司没有提供必要的保护等级，并且它的疏忽影响到了与之合作的另外一个合作伙伴，那么受影响的公司便可以控告这个上游公司。

例如，假设A公司和B公司构建了一个外联网。

A公司没有设置检测和处理病毒的控制措施，导致病毒通过外联网散布到B公司。

该病毒不仅破坏了关键数据，还导致B公司生产活动大规模中断。

因此，B公司可以控告A公司疏忽(negligence)。

这是一个涉及下游责任的例子。

B不正确。

因为责任(responsibility)通常指的是特定一方的义务和预计采取的行动和行为。

义务(obligationl)可能是指一套所需要的特定行为的明确集合，或者是指一个允许特定一方决定如何履行特定义务的公开方法。

尽职调查(due diligence)是这一问题的更好答案。

责任不像其他答案一样属于法律术语。

C不正确。

因为尽职调查(due diligence)是指公司适当地调查所有可能的弱点和漏洞。

在弄清楚如何正确地保护自己之前，需要首先弄清楚应该保护自己免受什么样的损害。

这就是尽职调查要做的工作——调研和评估当前的漏洞级别从而了解真正的风险级别。

只有在这些步骤和评估完成之后，有效的控制和保护工作才能得以确定和实施。

尽职调查可识别所有潜在的风险，而应有关注则实际执行某些活动来降低这些风险出现的可能性。

8.There are three different types of incident response teams. Which of the following correctly describes a virtual team?
（分数：2.00）
A.It consists of experts who have other duties within the organization. √
B.It can be cost prohibitive to smaller organizations.
C.It is a hybrid model.
D.Core members are permanently assigned to the team.
解析：解析：A正确。

所有组织都应该组建一个应急响应团队，按照应急响应策略来应对大量可能的安全事故。

组建应急响应团队的目的是确保在这种类型的事故发生时，能有一群训练有素的、遵循一套标准过程的、可以挑选出来响应号召的人可供调用。

有3种不同类型的应急响应团队。

虚拟团队(virtual team)是由组织内承担其他工作和任务的专家或外部顾问组成。

通常，当公司在无法负担安排专人专门处理这种事故时才会组建并使用虚拟团队。

这个团队可以由本公司内从事其他工作的员工和(或)事故发生时可以被调用进来的外部顾问组成。

B不正确。

因为对于小公司而言，组建专门从事应急响应的永久团队是一件成本很高的事情。

虚拟团队的成员可以在需要时随时被召集，但他们在组织中都有其他的工作，而不只是事故管理。

所以，虚拟团队通常是一个更容易负担得起的方法。

C不正确。

因为混合模型兼有虚拟模型和永久模型的特点。

混合模型与虚拟模型的相似之处在于一些团队成员在需要时才被调用，并且还拥有其他工作。

混合模型与永久模型的相似之处在于它的一些核心成员是永久派驻在这个团队中，事故管理是他们的全职工作和职责。

在混合模型中，当事故发生时，永久人员和虚拟人员都会被调用。

D不正确。

因为只有当组织无法负担安排专人只负责从事事故管理时，才会创建虚拟团队。

拥有高威胁级别的大型组织可以安排专职人员专门从事事故管理：但大多数组织都无法负担这个费用，所以他们选择使用虚拟团队。

9.A suspected crime has been reported within your organization. Which of the following steps should the incident response team take first?
（分数：2.00）
A.Establish a procedure for responding to the incident.
B.Call in forensics experts.
C.Determine that a crime has been committed. √
D.Notify senior management.
解析：解析：C正确。

当有涉嫌犯罪的事情被报告时，应急响应团队应该遵循既定的步骤，确保他们所使用方法中的一致性，还要确定没有疏忽任何步骤。

首先，应急响应团队应该调查这个报告，并判断是否真的发生了犯罪活动。

如果团队确定犯罪活动已经发生，那么他们应该立即通知高层管理层。

此时，公司必须决定是自己进行调查取证还是召集外部专家。

A不正确。

因为对事故的响应流程在事故发生前就应该建立。

事故处理通常是一个响应恶意技术威胁的恢复计划。

尽管事故处理的主要目标是控制和减少事故造成的任何损失和防止造成进一步的损失，但它还应包括其他目标，比如检测问题、确定问题的原因、解决问题和记录整个过程。

B不正确。

因为只有在应急响应团队调查了报告并证实犯罪活动已经发生之后，取证团队才会被召集。

然后，公司才能决定是自己进行调查取证还是召集外部专家。

如果公司打算召集外部专家，那么被攻击的系统应该被单独留下，以试图尽可能多地保护受攻击的证据。

D不正确。

因为应急响应团队必须首先确定犯罪活动的确已经发生了，然后它才能通知高级管理层。

如果报告是假的，就不需要惊动高级管理层。

10.During an incident response, what stage involves mitigating the damage caused by an incident? （分数：2.00）
A.Investigation
B.Containment √
C.Triage
D.Analysis
解析：解析：B正确。

适当的遏制战略(containment strategy)可以为应急响应团队赢得时间以进行彻底调查和判断事故的根本原因。

遏制战略应该基于攻击的类型(例如，该攻击是内部攻击还是外部攻击)、受事故影响的资产，以及这些资产的重要性来制定。

遏制战略可以是主动的也可以是被动的。

哪个更好，则取决于环境和攻击类型。

在某些情况下，最好的做法可能是断开受影响的系统与网络之间的连接。

断开受影响的系统与网络的连接是被动策略，而不是主动策略。

因为系统是受到攻击后才掉线的。

如果它在受到攻击前就掉线了(需要有迹象表明该系统将受到攻击)，那么这个策略则是主动策略。

A不正确。

因为调查(investigation)阶段包括正确地收集相关数据和对这些数据进行分析、解释、反应和恢复。

这一阶段的目标是减少事故造成的影响、确定事故发生的原因、尽可能快地恢复公司运营，以及运用所学的知识防止事故再次发生。

也正是在这个阶段，计算机取证工作开始进行。

管理层必须决定是否应该让执法机构展开调查、是否应该收集证据以备起诉之用或者是否只是把漏洞修补好。

C不正确。

因为分类(triage)包括调取这一事故有关的信息、调查事故的严重程度和设置如何应对这一事故的优先级。

分类开始于对报告进行初步浏览以判断这是否是一个真正的事故，以及是否应该启动事故处理过程。

如果该事件被确定是一个真正的事故，那么它将被识别并被分类。

事故应该根据它们潜在的风险级别进行分类，而潜在的风险受到事故类型、源头、它的增长率，以及遏制损失的能力的影响。

事故的分类反过来又决定了在事故在逐步升级的过程中需要什么通知，并且设定了调查的范围和过程。

D不正确。

因为分析(analysis)阶段包括收集类似审计日志、视频记录、人的活动记录等数据，以试图找出事故的根本原因。

这个阶段的目标是确定事故是谁造成的、他们是如何造成的以及什么时候造成的和为什么要这么做。

管理层必须不断地了解这些活动的最新状况，因为他们将决定如何处理这个事故。

11.Which of the following is a correct statement regarding computer forensics?
（分数：2.00）
A.It is the study of computer technology.
B.It is a set of hardware-specific processes that must be followed in order for evidence to be admissible in a court of law.
C.It encompasses network and code analysis, and may be referred to as electronic data discovery. √
puter forensics responsibilities should be assigned to a network administrator before an incident occurs.
解析：解析：C正确。

取证(forensics)是一门科学，也是一门艺术。

它要求取证人员具有专业技巧来恢复、验证和分析被犯罪活动影响了的电子数据。

它是计算机科学、信息技术、工程学与法律系统的结合。

当你与别人讨论计算机取证时，你可能会听到诸如数字取证、网络取证、电子数据发现、网络取证、取证计算等术语。

(ISC) 2用计算机取证一词代替所有这些术语，这也是你最可能在CISSP考试上看到的。

无论是已存储的还是在线上传输的，只要证据是电子形式或数字形式则都属于计算机取证的范畴。

A不正确。

因为计算机取证不只包括信息技术的研究。

它包括对信息技术的研究，同时还延伸至对证据的收集和保护，以及在特定法律系统内的工作等。

B不正确。

因为计算机取证并非指硬件或者软件。

它是一套与计算机用途的重建、残余数据的检查、通过技术分析或技术特征的解释对数据进行认证以及为了在法庭上提交呈堂证据而必须遵守的用法相关的特定流程。

D不正确。

因为计算机取证应该由接受过适当培训、具有适当技能的人来执行，这样的人可以是网络管理员，也可以不是。

数字证据可能很脆弱，必须小心处理。

如果有人重新启动了受攻击的系统或者检查了不同的文件，便有可能破坏可能的证据、改变关键文件上的时间戳并擦除罪犯可能留下的足迹。

12.Which of the following dictates that all evidence be labeled with information indicating who secured and validated it?
（分数：2.00）
A.Chain of custody √
B.Due care
C.Investigation
D.Motive, Opportunity, and Means
解析：解析：A正确。

数字取证的关键部分就是维系正确的证据监管链。

因为这种类型犯罪的证据非常不稳定，很容易由于处理不当而被法院驳回，所以在每个案例中，在收集和标记证据时，遵循非常严格而缜密的流程是至关重要的。

此外，监管链应该伴随证据的整个生命周期，即从证据验证开始，到它被破坏、永久存档或返还给主人结束。

在需要数据副本时，这些副本的制作工作必须遵循一定的标准，以确保其质量和可靠性。

可以使用专门的软件来实现这一目的。

这些副本必须能够独立地进行核实，必须可以防篡改。

每条证据都应该用日期、时间、收集人姓名的首字母缩写或者案件编号(如果有的话)进行标记。

然后，应该把每条证据密封在一个容器里，外面应该标记上同样的信息。

这个容器应该用证据带密封，如果可能的话，应该在证据带上写上文字，这样，如果密封带被撕掉的话，便能够立刻被发现。

B不正确。

应有关注(due care)意味着进行正常人在相同情况下都应该做的活动。

简而言之，应有关注意味着公司拥有相关常识和审慎管理，并可采取负责任的行动。

如果某个公司不尽力实行应有关注来保护它自己免受计算机犯罪的危害，那么该公司便存在疏忽，可能要承担损害赔偿的责任。

另一方面，监管链展示了如何对证据进行收集、分析、传输和保存以向法庭提交的历史记录。

因为电子证据很容易被修改，所以，一个清晰明确的监管链能够表明这个证据是可信的。

C不正确。

因为调查(investigation)阶段包括在事故响应过程中正确地收集相关数据和对这些数据进行分析、解读、反应和恢复。

这一阶段的目的是减少事故所造成的影响、识别事故发生的原因、尽可能快地恢复运营，以及运用所学知识以防止事故再次发生。

也正是在这个阶段，相关人员可决定是否应该进行取证调查。

监管链决定着在作为证据的整个过程中这些材料应该如何受到妥善收集和保护。

D不正确。

因为动机(motive)、机会(opportunity)和手段(means)是一个用来了解为什么犯罪以及谁犯罪了的策略。

这个策略也同样适用于传统的、非计算机犯罪的嫌疑人的甄别工作。

动机指“谁”、“为什么”犯罪。

了解犯罪的动机是找出谁可能犯罪的重要一环。

例如，许多黑客会攻击大型的网站，因为如果这些网站出现故障，会引起新闻界一片哗然。

然而，一旦这些活动不再得到如此关注，这些人将最终停止此类攻击，因为他们的动机已经减弱了。

机会指在“什么时间”、“什么地点”犯罪。

当某些漏洞或者弱点出现时，犯罪机会通常会随之而来。

如果…家公司没有防火墙，黑客和攻击者在那个网络中便有各种各样的机会。

一旦打击犯罪的人发现了人为什么想要犯罪(动机)，她便会看看是什么让这个犯罪分子成功犯罪(机会)。

手段是指犯罪分子要想成功犯罪所需的能力。

假设让一个侦探调查发生在某家金融机构的一个复杂的舞弊案。

如果嫌疑人有三个人，他们都知道如何使用鼠标、键盘和Word处理应用程序，但仅有一个人是程序员兼系统分析师，那么侦探会认为这个人比其他两个人更具备成功犯罪的手段。

13.There are several categories of evidence. How is a witness's oral testimony categorized? （分数：2.00）。