2014年CCAA信息安全风险管理考题和答案
CCAA管理体系认证基础试题与参考答案
管理体系认证基础题库1、（）提出了“理想的行政组织体系”理论，被后人称为”组织理论之父”A泰勒B甘特C法约尔D韦伯2、麦格雷戈认为：（））的前景非常美好，有助于人类实现“美好社会”。
A需要层次理论B成就需要理论C x理论D Y理论3、由于他的杰出贡献，（）被后人尊为“科学管理之父”。
A泰勒B甘特C法约尔D韦伯4、（）是管理的根本目的？A特定的时空B实现目标C协调资源D控制活动5、（）的中心思想是核心技术或能力是决定企业经营成败的根本，企业应该围绕核心技术或能力的获得应用和发展去设计发展战略，而不是只等着短期目标A核心竞争力理论B战略管理理论C学习型组织理论D企文化理论6、（多选题）管理的基本原则是一定的工作完全负责。
要做到完全负责取决于下列因素：（）。
A权限B利益C意识D能力解析：—定的人对所管的—定的工作能否做到完全负责，基本上取决于三个因素：权限——明确了职责，就要授予相应的权力；利益——完全负责就意昧着责任者要承担全部风险而任何管理者在承担风险时都必然地要对风险和收益进行权衡，然后才决定是否值得去承担这种风险；能力——管理者既要有生产、技术、经济、社会、管理、心理等各方面的科学知识，又需要具备处理人际关系的组织才能，还要有—定的实践经验。
7、（多选题）人本原理的主要观点（）A尊重人B依靠人C发展人D为了人8、（多选题）管理信息系统的主要特点是：（）A系统的观点B数学的方法C计算机的应用D信息的处理9、（多选题）管理信息具有三个基本特征：（）A价值的不确定性B信息的可预测性C内容的可干扰性形式和内容的更替性10、（多选题）管理的四项基本职能是（）A策划B组织C领导D控制管理职能是管理系统中所涉及的管理功能。
不同的管理学家对管理职能有不同的划分，但基本上都包括策划、组织、领导、控制四项基本职能。
11、（多选题）系统的特征包括：（）A集合性B符合性C相关性D层次性12、（判断题）管理科学学派认为，管理的本质是一种实践不在于知而在于行，唯一权威的就是成果。
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识考试题目含解析
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识考试题目一、单项选择题1、《互联网信息服务管理办法》现行有效的版本是哪年发布的？()A、2019B、2017C、2016D、20212、当发生不符合时，组织应（）。
A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果3、（）是建立有效的计算机病毒防御体系所需要的技术措施A、补丁管理系统、网络入侵检测和防火墙B、漏洞扫描、网络入侵检测和防火墙C、漏洞扫描、补丁管理系统和防火墙D、网络入侵检测、防病毒系统和防火墙4、TCP/IP协议层次结构由（）A、网络接口层、网络层组成B、网络接口层、网络层、传输层组成C、网络接口层、网络层、传输层和应用层组成D、其他选项均不正确5、在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级A、3B、4C、5D、66、一家投资顾问商定期向客户发送有关经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾何商的公钥加密邮件的HASH值C、电子邮件发送前，用投资项问商的私钥数字签名邮件D、电子邮件发送前，用投资顾向商的私钥加密邮件7、管理者应（）A、制定ISMS方针B、制定ISMS目标和专划C、实施ISMS内部审核D、确保ISMS管理评审的执行8、管理员通过桌面系统下发IP、MAC绑定策略后，终端用户修改了IP地址，对其的处理方式不包括(）A、自动恢复其IP至原绑定状态B、断开网络并持续阻断C、弹出提示街口对其发出警告D、锁定键盘鼠标9、物理安全周边的安全设置应考虑：（）A、区域内信息和资产的敏感性分类B、重点考虑计算机机房，而不是办公区或其他功能区C、入侵探测和报警机制D、A+C10、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度11、公司A在内审时发现部分员工计算机开机密码少于6位，公司文件规定员工计算机密码必须6位及以上，那么中哪一项不是针对该问题的纠正措施？()A、要求员工立即改正B、对员工进行优质口令设置方法的培训C、通过域控进行强制管理D、对所有员工进行意识教育12、对于较大范围的网络，网络隔离是（）A、可以降低成本B、可以降低不同用户组之间非授权访问的风险C、必须物理隔离和必须禁止无线网络D、以上都对13、完整性是指()A、根据授权实体的要求可访问的特性B、信息不被未授权的个人实体或过程利用或知悉的特性C、保护资产准确和完整的特性D、保护资产保密和可用的特性14、审核抽样时，可以不考虑的因素是(）A、场所差异B、管理评审的结果C、最高管理者D、内审的结果15、信息安全管理中，支持性基础设施指：（）A、供电、通信设施B、消防、防雷设施C、空调及新风系统、水气暖供应系统D、以上全部16、构成风险的关键因素有（）A、人、财、物B、技术、管理和操作C、资产、威胁和弱点D、资产、可能性和严重性17、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域18、依据GB/T22080-2016/1SO/1EC.27001:2013标准，不属于第三方服务监视和评审范畴的是（）。
2024年3月CCAA国家注册ISMS信息安全管理体系审核员知识模拟试题含解析
2024年3月CCAA国家注册ISMS信息安全管理体系审核员知识模拟试题一、单项选择题1、局域网环境下与大型计算机环境下的本地备份方式在（）方面有主要区别。
A、主要结构B、容错能力C、网络拓扑D、局域网协议2、当获得的审核证据表明不能达到审核目的时，审核组长可以（）A、宣布停止受审核方的生产/服务活动B、向审核委托方和受审核方报告理由以确定适当的措施C、宣布取消末次会议D、以上都不可以3、根据《中华人民共和国国家秘密法》，国家秘密的最高密级为(）A、特密B、绝密C、机密D、秘密4、跨国公司的I.S经理打算把现有的虚拟专用网(VPN.,virtualpriavtenetwork)升级，采用通道技术使其支持语音I.P电话(VOI.P,voice-overI.P)服务，那么，需要首要关注的是（）。
A、服务的可靠性和质量(Qos,qualityofservice)B、身份的验证方式C、语音传输的保密D、数据传输的保密5、主动式射频识别卡(RFID)存在哪一种弱点?（）A、会话被劫持B、被窃听C、存在恶意代码D、被网络钓鱼攻击DR6、()可用来保护信息的真实性、完整性A、数字签名B、恶意代码C、风险评估D、容灾和数据备份7、依据GB/T22080/ISO/IEC27001，建立资产清单即：（）A、列明信息生命周期内关联到的资产，明确其对组织业务的关键性B、完整采用组织的固定资产台账，同时指定资产负责人C、资产价格越高，往往意味着功能越全，因此资产重要性等级就越高D、A+B8、测量控制措施的有效性以验证安全要求是否被满足是（）的活动。
A、ISMS建立阶段B、ISMS实施和运行阶段C、ISMS监视和评审阶段D、ISMS保持和改进阶段9、实施管理评审的目的是为确保信息安全管理体系的（）A、充分性B、适宜性C、有效性D、以上都是10、—家投资顾问商定期向客户发送有关财经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾问商的公钥加密邮件的HASH值C、电子邮件发送前，用投资顾问商的私钥数字签名邮件D、电子邮件发送前，用投资顾问商的私钥加密邮件11、若通过桌面系统对终端实行IP、MAC绑定，该网络IP地址分配方式应为（）A、静态B、动态C、均可D、静态达到50%以上即可12、信息是消除（）的东西A、不确定性B、物理特性C、不稳定性D、干扰因素13、计算机病毒系指_____。
2024年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系含解析
2024年第二期CCAA注册审核员考试题目—ISMS信息安全管理体系一、单项选择题1、(）是确保信息没有非授权泄密，即信息不被未授权的个人、实现或过程，不为其所用。
A、搞抵赖性B、完整性C、机密性D、可用性2、描述组织采取适当的控制措施的文档是（）A、管理手册B、适用性声明C、风险处置计划D、风险评估程序3、根据GB/T22080-2016标准，审核中下列哪些章节不能删减(）。
A、4-10B、1-10C、4-7和9-10D、4-10和附录A4、在安全模式下杀毒最主要的理由是（）A、安全模式下查杀病速度快B、安全模式下查杀比较彻底C、安全模式下查杀不连通网络D、安全模式下查杀不容易死机5、创建和更新文件化信息时，组织应确保适当的（）A、对适宜性和有效性的评审和批准B、对充分性和有效性的测量和批准C、对适宜性和充分性的测量和批准D、对适宜性和充分性的评审和批准6、在信息安全管理体系审核时，应遵循（）原则。
A、保密性和基于准则的B、保密性和基于风险的C、最小特权原则最小特权原则是信息系统安全的最基本原则D、建立阻塞点原则阻塞点就是在网络系统对外连接通道内，可以被系统管理人员进行监控的连接控制点。
7、关于信息安全管理体系认证，以下说法正确的是：A、负责作出认证决定的人员中应至少有一人参与了审核B、负责作出认证决定的人员必须是审核组组长C、负责作出认证决定的人员不应参与审核D、负责作出认证决定的人员应包含参与了预审核的人员8、信息安全管理体系中提到的“资产责任人”是指:（）A、对资产拥有财产权的人B、使用资产的人C、有权限变更资产安全属性的人D、资产所在部门负责人9、关于信息安全产品的使用，以下说法正确的是:（）A、对于所有的信息系統，信息安全产品的核心技术、关鍵部件须具有我国自主知识产权B、对于三级以上信息系統，己列入信息安全产品认征目录的，应取得国家信息安全产品人证机构颁发的认证证书C、对于四级以上信息系銃、信息安全广品研制的主要技术人员须无犯罪记录D、对于四级以上信息系統，信息安全声品研制单位须声明没有故意留有或设置漏洞10、最高管理层应通过（）活动，证实对信息安全管理体系的领导和承诺。
2024年3月CCAA注册审核员ISMS信息安全管理体系复习题含解析
2024年3月CCAA注册审核员ISMS信息安全管理体系复习题一、单项选择题1、管理者应（）A、制定ISMS方针B、制定ISMS目标和专划C、实施ISMS内部审核D、确保ISMS管理评审的执行2、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度3、当发现不符合项时，组织应对不符合做出反应，适用时（）。
A、采取措施，以控制并予以纠正B、对产生的影响进行处理C、分析产生原因D、建立纠正措施以避免再发生4、以下哪项不属于脆弱性范畴？（）A、黑客攻击B、操作系统漏洞C、应用程序BUGD、人员的不良操作习惯5、为了达到组织灾难恢复的要求，备份时间间隔不能超过（）。
A、服务水平目标（SLO)B、恢复点目标（RPO)C、恢复时间目标（RTO)D、最长可接受终端时间（MAO)6、应定期评审信息系统与组织的（）的符合性。
A、信息安全目标和标准B、信息安全方针和策C、信息安全策略和制度D、信息安全策略和标准7、组织在确定与ISMS相关的内部和外部沟通需求时可以不包括(）A、沟通周期B、沟通内容C、沟通时间D、沟通对象8、实施管理评审的目的是为确保信息安全管理体系的（）A、充分性B、适宜性C、有效性D、以上都是9、ISMS文件的多少和详细程度取决于()A、组织的规模和活动的类型B、过程及其相互作用的复杂程度C、人员的能力D、以上都对10、组织确定的信息安全管理体系范围应（）A、形成文件化信息并可用B、形成记录并可用C、形成文件和记录并可用D、形成程字化信息并可用11、风险识别过程中需要识别的方面包括：资产识别、识别威胁、识别现有控制措施、（）。
A、识别可能性和影响B、识别脆弱性和识别后果C、识别脆弱性和可能性D、识别脆弱性和影响12、下列那些事情是审核员不必要做的？（）A、对接触到的客户信息进行保密B、客观公正的给出审核结论C、关注客户的喜好D、尽量使用客户熟悉的表达方式13、虚拟专用网(VPN)的数据保密性，是通过什么实现的?（）A、安全接口层(sSL,SecureSocketsLayer〉B、风险隧道技术(Tunnelling)C、数字签名D、风险钓鱼14、在安全模式下杀毒最主要的理由是（）A、安全模式下查杀病速度快B、安全模式下查杀比较彻底C、安全模式下查杀不连通网络D、安全模式下查杀不容易死机15、数字签名可以有效对付哪一类信息安全风险？A、非授权的阅读B、盗窃C、非授权的复制D、篡改16、为确保采用一致和有效的方法对信息安全事件进行管理，下列控制措施哪个不是必须的？（）A、建立信息安全事件管理的责任B、建立信息安全事件管理规程C、对信息安全事件进行响应D、在组织内通报信息安全事件17、有关信息安全管理，风险评估的方法比起基线的方法，主要的优势在于它确保(）A、不考虑资产的价值，基本水平的保护都会被实施B、对所有信息资产保护都投入相同的资源C、对信息资产实施适当水平的保护D、信息资产过度的保护18、当操作系统发生变更时，应对业务的关键应用进行（）以确保对组织的运行和安全没有负面影响A、隔离和迀移B、评审和测试C、评审和隔离D、验证和确认19、管理员通过桌面系统下发IP、MAC绑定策略后，终端用户修改了IP地址，对其的处理方式不包括(）A、自动恢复其IP至原绑定状态B、断开网络并持续阻断C、弹出提示街口对其发出警告D、锁定键盘鼠标20、关于顾客满意，以下说法正确的是：()A、顾客没有抱怨，表示顾客满意B、信息安全事件没有给顾客造成实质性的损失，就意味着顾客满意C、顾客认为其要求已得到满足，即意味着顾客满意D、组织认为顾客要求已得到满足，即意味着顾客满意21、《计算机信息系统安全保护条例》中所称计算机信息系统，是指A、对信息进行采集、加工、存储、传输、检索等处理的人机系统B、计算机及其相关的设备、设施，不包括软件C、计算机运算环境的总和，但不含网络D、一个组织所有计算机的总和，包括未联网的微型计算机22、依据GB/T22080/ISO/IEC27001,关于网络服务的访问控制策略，以下正确的是（）A、网络管理员可以通过telnet在家里远程登录、维护核心交换机B、应关闭服务器上不需要的网络服务C、可以通过防病毒产品实现对内部用户的网络访问控制D、可以通过常规防火墙实现对内部用户访问外部网络的访问控制23、ISO/IEC27001所采用的过程方法是（)A、PPTR方法B、SMART方法C、PDCA方法D、SWOT方法24、下列哪个措施不是用来防止对组织信息和信息处理设施的未授权访问的？（）A、物理入口控制B、开发、测试和运行环境的分离C、物理安全边界D、在安全区域工作25、关于《中华人民共和国保密法》，以下说法正确的是:（）A、该法的目的是为了保守国家秘密而定B、该法的执行可替代以ISO/IEC27001为依据的信息安全管理体系C、该法适用于所有组织对其敏感信息的保护D、国家秘密分为秘密、机密、绝密三级，由组织自主定级、自主保护26、依据GB/T22080/ISO/IEC27001，信息分类方案的目的是（）A、划分信息的数据类型，如供销数据、生产数据、开发测试数据，以便于应用大数据技术对其分析B、确保信息按照其对组织的重要程度受到适当水平的保护C、划分信息载体的不同介质以便于储存和处理，如纸张、光盘、磁盘D、划分信息载体所属的职能以便于明确管理责任27、审核抽样时，可以不考虑的因素是(）A、场所差异B、管理评审的结果C、最高管理者D、内审的结果28、密码技术不适用于控制下列哪种风险？（）A、数据在传输中被窃取的风险B、数据在传输中被篡改的风险C、数据在传输中被损坏的风险D、数据被非授权访问的风险29、关于技术脆弱性管理，以下说法正确的是：（）A、技术脆弱性应单独管理，与事件管理没有关联B、了解某技术脆弱性的公众范围越广，该脆弱性对于组织的风险越小C、针对技术脆弱性的补丁安装应按变更管理进行控制D、及时安装针对技术脆弱性的所有补丁是应对脆弱性相关风险的最佳途径30、形成ISMS审核发现时，不需要考虑的是（）A、所实施控制措施与适用性声明的符合性B、适用性声明的完备性和适宜性C、所实施控制措施的时效性D、所实施控制措施的有效性31、根据《中华人民共和国国家秘密法》，国家秘密的最高密级为(）A、特密B、绝密C、机密D、秘密32、下面哪一种环境控制措施可以保护计算机不受短期停电影响？（）A、电力线路调节器B、电力浪涌保护设备C、备用的电力供应D、可中断的电力供应33、保密协议或不泄露协议至少应包括：（）A、组织和员工双方的信息安全职责和责任B、员工的信息安全职责和责任C、组织的信息安全职责和责任D、纪律处罚规定34、在ISO组织框架中，负责ISO/IEC27000系列标准编制工作的技术委员会是（）A、ISO/IECJTC1SC27B、ISO/IECJTC13C40C、ISO/IECTC27D、ISO/IECTC4035、过程是指（）A、有输入和输出的任意活动B、通过使用资源和管理，将输入转化为输出的活动C、所有业务活动的集合D、以上都不对36、根据GB/T22080-2016中控制措施的要求，不属于人员招聘的安全要求的是(）A、参加信息安全培训B、背景调査C、安全技能与岗位要求匹配的评估D、签署保密协议37、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
2024年3月CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识含解析
2024年3月CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识一、单项选择题1、ISMS关键成功因素之一是用于评价信息安全管理执行情况和改进反馈建议的（）系统A、报告B、传递C、评价D、测量2、下面哪一种属于网络上的被动攻击（）A、消息篡改B、伪装C、拒绝服务D、流量分析3、信息分类方案的目的是（）A、划分信息载体的不同介质以便于储存和处理，如纸张、光盘、磁盘B、划分信息载体所属的职能以便于明确管理责任C、划分信息对于组织业务的关键性和敏感性分类，按此分类确定信息存储、处理、处置的原则D、划分信息的数据类型，如供销数据、生产数据、开发测试数据，以便于应用大数据技术对其分析4、残余风险是指:（）A、风险评估前，以往活动遗留的风险B、风险评估后，对以往活动遗留的风险的估值C、风险处置后剩余的风险，比可接受风险低D、风险处置后剩余的风险，不一定比可接受风险低5、审核证据是指（）A、与审核准则有关的，能够证实的记录、事实陈述或其他信息B、在审核过程中收集到的所有记录、事实陈述或其他信息C、一组方针、程序或要求D、以上都不对6、关于访问控制策略，以下不正确的是：（）A、须考虑被访问客体的敏感性分类、访问主体的授权方式、时限和访问类型B、对于多任务访问，一次性赋予全任务权限C、物理区域的管理规定须遵从物理区域的访问控制策D、物理区域访问控制策略应与其中的资产敏感性一致7、风险评价是指（）A、系统地使用信息来识别风险来源和评估风险B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C、指导和控制一个组织相关风险的协调活动D、以上都对8、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保9、以下说法不正确的是(）A、应考虑组织架构与业务目标的变化的风险评估进行再评审B、应考虑以往未充分识别的威胁对风险评估结果进行再评估C、制造部增加的生产场所对信息安全风险无影响D、安全计划应适时更新10、容量管理的对象包括（）A、信息系统内存B、办公室空间和基础设施C、人力资源D、以上全部11、关于内部审核下面说法不正确的是(）。
ccaa考试试题和答案
ccaa考试试题和答案**CCAA考试试题和答案**一、单项选择题（每题2分，共40分）1. CCAA认证机构的全称是什么？A. 中国认证认可协会B. 中国认证认可中心C. 中国认证认可协会D. 中国认证认可委员会答案：C2. CCAA认证机构的主要职能是什么？A. 提供认证服务B. 提供认可服务C. 提供认证和认可服务D. 提供咨询和培训服务答案：C3. 下列哪项不是CCAA认证机构认可的认证领域？A. 质量管理体系认证B. 环境管理体系认证C. 职业健康安全管理体系认证D. 食品安全管理体系认证答案：D4. CCAA认证机构认可的认证机构必须遵守哪些原则？A. 独立性、公正性、科学性B. 独立性、客观性、有效性C. 独立性、公正性、有效性D. 客观性、公正性、科学性答案：A5. CCAA认证机构认可的认证机构必须具备哪些条件？A. 合法注册、具备专业能力、有良好的管理体系B. 合法注册、具备专业能力、有良好的财务状况C. 合法注册、具备专业能力、有良好的管理体系和财务状况D. 合法注册、具备专业能力、有良好的管理体系和市场声誉答案：C6. CCAA认证机构认可的认证机构必须定期进行哪些活动？A. 内部审核和外部审核B. 内部审核和监督审核C. 监督审核和再认证审核D. 内部审核和再认证审核答案：C原则？A. 客观性、公正性、独立性B. 客观性、公正性、透明性C. 客观性、公正性、独立性和透明性D. 客观性、公正性、独立性和保密性答案：C8. CCAA认证机构认可的认证机构在认证过程中必须遵守哪些规定？A. 认证规则和认证程序B. 认证规则和认证标准C. 认证程序和认证标准D. 认证规则、认证程序和认证标准答案：D信息？A. 认证结果和认证证书B. 认证结果和认证报告C. 认证证书和认证报告D. 认证结果、认证证书和认证报告答案：D10. CCAA认证机构认可的认证机构在认证过程中必须如何处理申诉和投诉？A. 按照认证规则和程序处理B. 按照认证标准和程序处理C. 按照认证规则和认证标准处理D. 按照认证规则、认证标准和程序处理答案：D二、多项选择题（每题3分，共30分）11. CCAA认证机构认可的认证机构必须具备哪些基本条件？A. 合法注册B. 具备专业能力C. 有良好的管理体系D. 有良好的市场声誉答案：ABC12. CCAA认证机构认可的认证机构必须遵守哪些基本规则？A. 认证规则B. 认证程序C. 认证标准D. 认证指南答案：ABC些基本原则？A. 客观性B. 公正性C. 独立性D. 透明性答案：ABCD14. CCAA认证机构认可的认证机构在认证过程中必须提供哪些基本文件？A. 认证申请书B. 认证合同C. 认证计划D. 认证报告答案：ABCD理申诉和投诉？A. 按照认证规则处理B. 按照认证程序处理C. 按照认证标准处理D. 按照认证指南处理答案：ABC三、判断题（每题1分，共10分）16. CCAA认证机构认可的认证机构必须每年进行一次内部审核。
2024年第一期CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识含解析
2024年第一期CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识一、单项选择题1、关于顾客满意，以下说法正确的是：（）A、顾客没有抱怨，表示顾客满意B、信息安全事件没有给顾客造成实质性的损失就意味着顾客满意C、顾客认为其要求已得到满足,即意味着顾客满意D、组织认为顾客要求已得到满足，即意味着顾客满意2、依据GB/T220802016/SO/EC.27001:2013标准，组织应（）。
A、识别在组织范围内从事会影响组织信息安全绩效的员工的必要能力B、确保在组织控制下从事会影响组织信息安全绩效的员工的必要能力C、确定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力D、鉴定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力3、信息安全基本属性是（）。
A、保密性、完整性、可靠性B、保密性、完整性、可用性C、可用性、保密性、可能性D、稳定性、保密性、完整性4、对于获准认可的认证机构，认可机构证明（）A、认证机构能够开展认证活动B、其在特定范围内按照标准具有从事认证活动的能力C、认证机构的每张认证证书都符合要求D、认证机构具有从事相应认证活动的能力5、下列哪项不是监督审核的目的？（）A、验证认证通过的ISMS是否得以持续实现B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C、确认是否持续符合认证要求D、做出是否换发证书的决定6、由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动是（）。
A、认证B、认可C、审核D、评审7、从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A、计算机舞弊B、欺骗或胁迫C、计算机偷窃D、计算机破坏8、确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程其所用，是指（）A、完整性B、可用性C、机密性D、抗抵赖性9、在现场审核结束之前，下列哪项活动不是必须的？（）A、关于客户组织ISMS与认证要求之间的符合性说明B、审核现场发现的不符合C、提供审核报告D、听取客户对审核发现提出的问题10、关于《中华人民共和国网络安全法》中的“三同步”要求，以下说法正确的是A、建设关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B、建设三级以上信息系统须保证安全子系统同步规划、同步建设、同步使用C、建设机密及以上信息系统须保证安全子系统同步规划、同步建设、同步使用D、以上都不对11、以下对GB/T22081-2016/IS0/IEC27002:2013标准的描述，正确的是（）A、该标准属于要求类标准B、该标准属于指南类标准C、该标准可用于一致性评估D、组织在建立ISMS时，必须满足该标准的所有要求12、《信息安全等级保护管理办法》规定,应加强涉密信息系统运行中的保密监督检查对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评。
2014年6月 质量管理体系(QMS)国家注册审核员笔试真题 附参考答案
2014年6月CCAA质量管理体系（QMS）基础知识试卷一、单项选择题（从下面各题选项中选出一个最恰当答案，并将相应字母填在答题纸相应位置中。
每题1 分，共80 分，不在指定位置答题不得分）1、根据GB/T19001-2008标准，以下可影响外包过程控制的类型和程度的因素是（）。
（A）外包过程对组织提供满足要求的产品的能力的潜在影响（B）组织对外包过程控制的分担程度（C）通过应用7.4条款实现的对外包过程控制所需的能力（D）以上全部2、认证人员从事认证活动，最多可以在几个认证机构同时执业（）。
（A）一个（B）二个（C）三个（D）没有限制3、根据GB/T19000-2008 标准，关于“产品”与“过程”的关系，以下说法正确的是（）。
（A）产品质量与过程质量相互补充（B）产品质量决定过程质量（C）产品是过程的结果（D）产品是过程的输入4、根据《标准化法》，（）是强制性标准。
（A）所有的国家标准；（B）所有的行业标准；（C）保障人身、财产安全的标准；（D）行业协会制定的标准5、顾客可以采用（）提出与产品有关的要求。
（A）书面合同；（B）电话订货；（C）任何适宜的方式；（D）电子邮件6、管理评审的输出应包括与质量管理体系改进和产品的改进及资源需求有关的任何（）。
（A）决定（B）措施（C）决定和措施（D）改进措施7、根据GB/T19001-2008 标准4.2.4 条款，记录控制的目的是（）。
（A）能够进行质量管理信息的交流和沟通（B）能够传播和保护组织经验，实现知识共享（C）数据分析的输入，必要时实现可追溯（D）为产品符合要求和体系有效运行提供证据8、GB/T19001-2008 标准中有六处要求必须建立形成文件的程序，所以组织的程序文件数量应是（）。
（A）6 个（B）至少6 个（C）12 个（D）数量不限9、管理评审应由（）。
（A）管理者代表负责（B）质量经理负责（C）最高管理者负责（D）负有决策职责的董事长负责10、根据GB/T19001-2008，需控制的外来文件和资料包括组织作为依据使用的（）。
2024年第一期CCAA国家注册审核员ISMS信息安全管理体系复习题含解析
2024年第一期CCAA国家注册审核员ISMS信息安全管理体系复习题一、单项选择题1、下面哪一种环境控制措施可以保护计算机不受短期停电影响？（）A、电力线路调节器B、电力浪涌保护设备C、备用的电力供应D、可中断的电力供应2、组织应（）。
A、对信息按照法律要求、价值、重要性及其对授权泄露或修改的敏感性进行分级B、对信息按照制度要求、价值、有效性及其对授权泄露或修改的敏感性进行分级C、对信息按照法律要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级D、对信息按照制度要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级3、()是风险管理的重要一环。
A、管理手册B、适用性声明C、风险处置计划D、风险管理程序4、从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A、计算机舞弊B、欺骗或胁迫C、计算机偷窃D、计算机破坏5、下列哪项不是监督审核的目的？（）A、验证认证通过的ISMS是否得以持续实现B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C、确认是否持续符合认证要求D、作出是否换发证书的决定6、《计算机信息系统安全保护条例》中所称计算机信息系统，是指A、对信息进行采集、加工、存储、传输、检索等处理的人机系统B、计算机及其相关的设备、设施，不包括软件C、计算机运算环境的总和，但不含网络D、一个组织所有计算机的总和，包括未联网的微型计算机7、依据GB/T29246,控制目标指描述控制的实施结果所要达到的目标的（）。
A、说明B、声明C、想法D、描述8、最高管理层应（），以确保信息安全管理体系符合本标准要求。
A、分配职责与权限B、分配岗位与权限C、分配责任与权限D、分配角色和权限9、加密技术可以保护信息的(）A、机密性B、完整性C、可用性D、A+B10、当发生不符合时，组织应（）。
A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果11、完整性是指（）A、根据授权实体的要求可访问的特性B、信息不被未授权的个人、实体或过程利用或知悉的特性C、保护资产准确和完整的特性D、以上都不对12、为信息系统用户注册时，以下正确的是:（）A、按用户的职能或业务角色设定访问权B、组共享用户ID按组任务的最大权限注册C、预设固定用户ID并留有冗余，以保障可用性D、避免频繁变更用户访问权13、对于获准认可的认证机构，认可机构证明（）A、认证机构能够开展认证活动B、其在特定范围内按照标准具有从事认证活动的能力C、认证机构的每张认证证书都符合要求D、认证机构具有从事相应认证活动的能力14、关于信息安全策略，下列说法正确的是（）A、信息安全策略可以分为上层策略和下层策B、信息安全方针是信息安全策略的上层部分C、信息安全策略必须在体系建设之初确定并发布D、信息安全策略需要定期或在重大变化时进行评审15、—个信息安全事件由单个的或一系列的有害或一系列（）信息安全事态组成，它们具有损害业务运行和威胁信息安全的极大可能性A、已经发生B、可能发生C、意外D、A+B+C16、设置防火墙策略是为了(）A、进行访问控制B、进行病毒防范C、进行邮件内容过滤D、进行流量控制17、关于防范恶意软件，以下说法正确的是：（）A、物理隔断信息系统与互联网的连接即可防范恶意软件B、安装入侵探测系统即可防范恶意软件C、建立白名单即可防范恶意软件D、建立探测、预防和恢复机制以防范恶意软件18、形成ISMS审核发现时，不需要考虑的是（）A、所实施控制措施与适用性声明的符合性B、适用性声明的完备性和适宜性C、所实施控制措施的时效性D、所实施控制措施的有效性19、ISO/IEC27701是（）A、是一份基于27002的指南性标准B、是27001和27002的隐私保护方面的扩展C、是ISMS族以外的标准D、在隐私保护方面扩展了270001的要求20、进入重要机构时，在门卫处登记属于以下哪种措施？（）A、访问控制B、身份鉴别C、审计D、标记21、依据GB/T22080,网络隔离指的是(）A、不同网络运营商之间的隔离B、不同用户组之间的隔离C、内网与外网的隔离D、信息服务，用户及信息系统22、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域23、计算机病毒是计算机系统中一类隐藏在（）上蓄意破坏的捣乱程序A、内存B、软盘C、存储介质D、网络24、以下可表明知识产权方面符合GB/T22080/ISO/IEC27001要求的是：（）A、禁止安装未列入白名单的软件B、禁止使用通过互联网下载的免费软件C、禁止安装未经验证的软件包D、禁止软件安装超出许可权规定的最大用户数25、对于可能超越系统和应用控制的实用程序,以下做法正确的是（）A、实用程序的使用不在审计范围内B、建立禁止使用的实用程序清单C、紧急响应时所使用的实用程序不需要授权D、建立、授权机制和许可使用的实用程序清单26、被黑客控制的计算机常被称为(）A、蠕虫B、肉鸡C、灰鸽子D、木马27、(）是确保信息没有非授权泄密，即信息不被未授权的个人、实现或过程，不为其所用。
2024年3月CCAA国家注册审核员复习题—ISMS信息安全管理体系知识含解析
2024年3月CCAA国家注册审核员复习题—ISMS信息安全管理体系知识一、单项选择题1、当操作系统发生变更时,应对业务的关键应用进行()以确保对组织的运行和安全没有负面影响A、隔离和迁移B、评审和测试C、评审和隔离D、验证和确认2、关于《中华人民共和国网络安全法》中的“三同步”要求，以下说法正确的是A、建设关键信息基础设施建设时须保证安全技术措施同步规划、同步建设、同步使用B、建设三级以上信息系统须保证安全子系统同步规划、同步建设、同步使用C、建设机密及以上信息系统须保证安全子系统同步规划、同步建设、同步使用D、以上都不对3、在现场审核时，审核组有权自行决定变更的事项是（）。
A、市核人日B、审核的业务范围C、审核日期D、审核组任务调整4、下列说法不正确的是（）A、残余风险需要获得管理者的批准B、体系文件应能够显示出所选择的控制措施回溯到风险评估和风险处置过程的结果C、所有的信息安全活动都必须记录D、管理评审至少每年进行一次5、《信息安全管理体系认证机构要求》中规定，第二阶段审核（）进行A、在客户组织的场所B、在认证机构以网络访问的形式C、以远程视频的形式D、以上都对6、在根据组织规模确定基本审核时间的前提下,下列哪一条属于增加审核时间的要素?A、其产品/过程无风险或有低的风险B、客户的认证准备C、仅涉及单一的活动过程D、具有高风险的产品或过程7、当操作系统发生变更时，应对业务的关键应用进行（）以确保对组织的运行和安全没有负面影响A、隔离和迀移B、评审和测试C、评审和隔离D、验证和确认8、《信息技术安全技术信息安全治理》对应的国际标准号为（）A、ISO/IEC27011B、ISO/IEC27012C、ISO/IEC27013D、ISO/IEC270149、风险评价是指（）A、系统地使用信息来识别风险来源和评估风险B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C、指导和控制一个组织相关风险的协调活动D、以上都对10、下面哪个不是典型的软件开发模型？（）A、变换型B、渐增型C、瀑布型D、结构型11、如果信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，则应具备的保护水平为：（）A、三级B、二级C、四级D、五级12、关于信息安全策略，下列说法正确的是（）A、信息安全策略可以分为上层策略和下层策B、信息安全方针是信息安全策略的上层部分C、信息安全策略必须在体系建设之初确定并发布D、信息安全策略需要定期或在重大变化时进行评审13、相关方的要求可以包括（）A、标准、法规要求和合同义务B、法律、标准要求和合同义务C、法律、法规和标准要求和合同义务D、法律、法规要求和合同义务14、ISMS关键成功因素之一是用于评价信息安全管理执行情况和改进反馈建议的（）系统A、报告B、传递C、评价D、测量15、我国网络安全等级保护共分几个级别？（）A、7B、4C、5D、616、在以下认为的恶意攻击行为中，属于主动攻击的是()A、数据窃听B、误操作C、数据流分析D、数据篡改17、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度18、信息安全管理中，支持性基础设施指：（）A、供电、通信设施B、消防、防雷设施C、空调及新风系统、水气暖供应系统D、以上全部19、依据GB/T22080/ISO/IEC27001,关于网络服务的访问控制策略，以下正确的是（）A、网络管理员可以通过telnet在家里远程登录、维护核心交换机B、应关闭服务器上不需要的网络服务C、可以通过防病毒产品实现对内部用户的网络访问控制D、可以通过常规防火墙实现对内部用户访问外部网络的访问控制20、ISMS文件的多少和详细程度取于A、组织的规模和活动的类型B、过程及其相互作用的复杂程度C、人员的能力D、A+B+C21、依据GB/T22080_2016/ISO/IEC27001:2013,不属于第三方服务监视和评审范畴的是（）。
2024年3月CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识含解析
2024年3月CCAA国家注册审核员模拟试题—ISMS信息安全管理体系知识一、单项选择题1、在以下认为的恶意攻击行为中，属于主动攻击的是()A、数据窃听B、误操作C、数据流分析D、数据篡改2、关于容量管理，以下说法不正确的是（）A、根据业务对系统性能的需求，设置阈值和监视调整机制B、针对业务关键性，设置资源占用的优先级C、对于关键业务，通过放宽阈值以避免或减少报警的干扰D、依据资源使用趋势数据进行容量规划3、组织应在相关（）上建立信息安全目标A、组织环境和相关方要求B、战略和意思C、战略和方针D、职能和层次4、信息安全残余风险是（）。
A、没有处置完成的风险B、没有评估的风险C、处置之后仍存在的风险D、处置之后没有报告的风险5、跨国公司的I.S经理打算把现有的虚拟专用网(VPN.,virtualpriavtenetwork)升级，采用通道技术使其支持语音I.P电话(VOI.P,voice-overI.P)服务，那么，需要首要关注的是（）。
A、服务的可靠性和质量(Qos,qualityofservice)B、身份的验证方式C、语音传输的保密D、数据传输的保密6、按照PDCA思路进行审核，是指（）A、按照受审核区域的信息安全管理活动的PDCA过程进行审核B、按照认证机构的PDCA流程进行审核C、按照认可规范中规定的PDCA流程进行审核D、以上都对7、以下哪些可由操作人员执行？（)A、审批变更B、更改配置文件C、安装系统软件D、添加/删除用户8、某公司计划升级现有的所有PC机，使其用户可以使用指纹识别登录系统，访问关键数据实施时需要（）A、所有受信的PC机用户履行的登记、注册手续（或称为：初始化手续）B、完全避免失误接受的风险（即：把非授权者错误识别为授权者的风险）C、在指纹识别的基础上增加口令保护D、保护非授权用户不可能访问到关键数据9、依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的（）严格保密，不得泄露、出售或非法向他人提供。
2024年3月CCAA注册ISMS信息安全管理体系审核员知识复习题含解析
2024年3月CCAA注册ISMS信息安全管理体系审核员知识复习题一、单项选择题1、创建和更新文件化信息时，组织应确保适当的（）。
A、对适宜性和有效性的评审和批准B、对充分性和有效性的测量和批准C、对适宜性和充分性的测量和批准D、对适宜性和充分性的评审和批准2、口令管理系统应该是（）,并确保优质的口令A、唯一式B、交互式C、专人管理式D、A+B+C3、（）是建立有效的计算机病毒防御体系所需要的技术措施。
A、补丁管理系统、网络入侵检测和防火墙B、漏洞扫描、网络入侵检测和防火墙C、漏洞扫描、补丁管理系统和防火墙D、网络入侵检测、防病毒系统和防火墙4、信息安全风险的基本要素包括（）A、资产、可能性、影响B、资产、脆弱性、威胁C、可能性、资产、脆弱性D、脆弱性、威胁、后果5、依据GB/T22080/ISO/1EC27001,关于网络服务的访问控制策略，以下正确的是（）A、没有陈述为禁止访问的网络服务，视为允许方问的网络服务B、对于允许访问的网络服务，默认可通过无线、VPN等多种手段链接C、对于允许访问的网络服务，按照规定的授权机制进行授权D、以上都对6、在我国信息系统安全等级保护的基本要求中针对每一级的基本要求分为（）A、设备要求和网络要求B、硬件要求和软件要求C、物理要求和应用要求D、技术要求和管理要求7、相关方的要求可以包括（）A、标准、法规要求和合同义务B、法律、标准要求和合同义务C、法律、法规和标准要求和合同义务D、法律、法规要求和合同义务8、经过风险处理后遗留的风险通常称为（）A、重大风险B、有条件的接受风险C、不可接受的风险D、残余风险9、根据GB/T22080-2016标准的要求，组织（）实施风险评估A、应按计划的时间间隔或当重大变更提出或发生时B、应按计划的时间间隔且当重大变更提出或发生时C、只需在重大变更发生时D、只需按计划的时间间隔10、虚拟专用网(VPN)的数据保密性，是通过什么实现的?（）A、安全接口层(sSL,SecureSocketsLayer〉B、风险隧道技术(Tunnelling)C、数字签名D、风险钓鱼11、《信息技术安全技术信息安全管理体系实施指南》对应的国际标准号为（）A、ISO/IEC27002B、ISO/IEC27003C、ISO/IEC27004D、ISO/IEC2700512、根据GB/T22080-2016中控制措施的要求，不属于人员招聘的安全要求的是(）A、参加信息安全培训B、背景调査C、安全技能与岗位要求匹配的评估D、签署保密协议13、物理安全周边的安全设置应考虑：（）A、区域内信息和资产的敏感性分类B、重点考虑计算机机房，而不是办公区或其他功能区C、入侵探测和报警机制D、A+C14、下面哪一种功能不是防火墙的主要功能?A、协议过滤B、应用网关C、扩展的日志记录能力D、包交换15、审核发现是指（）A、审核中观察到的事实B、审核的不符合项C、审核中收集到的审核证据对照审核准则评价的结果D、审核中的观察项16、下列哪项对于审核报告的描述是错误的？（）A、主要内容应与末次会议的内容基本一致B、在对审核记录汇总整理和信息安全管理体系评价以后，由审核组长起草形成C、正式的审核报告由组长将报告交给认证/审核机构审核后，由委托方将报告的副本转给受审核方D、以上都不对17、下列措施中不能用于防止非授权访问的是（）A、采取密码技术B、采用最小授权C、采用权限复查D、采用日志记录18、由认可机构对认证机构、检测机构、实验室从事评审、审核的认证活动人员的能力和执业资格，予以承认的合格评定活动是（）A、认证B、认可C、审核D、评审19、()是风险管理的重要一环。
2024年8月CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识含解析
2024年8月CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识一、单项选择题1、我国网络安全等级保护共分几个级别？（）A、7B、4C、5D、62、风险评估过程一般应包括（）A、风险识别B、风险分析C、风险评价D、以上全部3、创建和更新文件化信息时，组织应确保适当的（）。
A、对适宜性和有效性的评审和批准B、对充分性和有效性的测量和批准C、对适宜性和充分性的测量和批准D、对适宜性和充分性的评审和批准4、信息安全管理体系的设计应考虑（）A、组织的战B、组织的目标和需求C、组织的业务过程性质D、以上全部5、容量管理的对象包括（）A、信息系统内存B、办公室空间和基础设施C、人力资源D、以上全部6、根据GB/T22080-2016中控制措施的要求，不属于人员招聘的安全要求的是(）A、参加信息安全培训B、背景调査C、安全技能与岗位要求匹配的评估D、签署保密协议7、根据GB/T22080-2016/ISO/IEC27001:2013标准，以下做法不正确的是（）A、保留含有敏感信息的介质的处置记录B、离职人员自主删除敏感信息的即可C、必要时采用多路线路供电D、应定期检查机房空调的有效性8、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保9、关于容量管理，以下说法不正确的是（）A、根据业务对系统性能的需求，设置阈值和监视调整机制B、针对业务关键性，设置资源占用的优先级C、对于关键业务，通过放宽阈值以避免或减少报警的干扰D、依据资源使用趋势数据进行容量规划10、依据GB/T22080/ISO/1EC27001,关于网络服务的访问控制策略，以下正确的是（）A、没有陈述为禁止访问的网络服务，视为允许方问的网络服务B、对于允许访问的网络服务，默认可通过无线、VPN等多种手段链接C、对于允许访问的网络服务，按照规定的授权机制进行授权D、以上都对11、在根据组织规模确定基本审核时间的前提下,下列哪一条属于增加审核时间的要素?A、其产品/过程无风险或有低的风险B、客户的认证准备C、仅涉及单一的活动过程D、具有高风险的产品或过程12、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域13、国家秘密的保密期限应为:（）A、绝密不超过三十年，机密不超过二十年，秘密不超过十年B、绝密不低于三十年，机密不低于二十年，秘密不低于十年C、绝密不超过二十五年，机密不超过十五年，秘密不超过五年D、绝密不低于二十五年，机密不低于十五年，秘密不低于五年14、下列()不是创建和维护测量要执行的活动。
信息安全管理体系审核员真题完整版
信息安全管理体系审核员真题HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】ISMS 201409/11一、简答1、内审不符合项完成了30/35，审核员给开了不符合，是否正确？你怎么审核？[参考]不正确。
应作如下审核：（1）询问相关人员或查阅相关资料（不符合项整改计划或验证记录），了解内审不符合项的纠正措施实施情况，分析对不符合的原因确定是否充分，所实施的纠正措施是否有效；（2）所采取的纠正措施是否与相关影响相适宜，如对业务的风险影响，风险控制策略和时间点目标要求，与组织的资源能力相适应。
（3）评估所采取的纠正措施带来的风险，如果该风险可接受，则采取纠正措施，反之可采取适当的控制措施即可。
综上，如果所有纠正措施符合风险要求，与相关影响相适宜，则纠正措施适宜。
2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的，成绩从那里要，要来后一看都合格，就结束了审核，对吗？[参考]不对。
应按照标准GB/T 22080-2008条款培训、意识和能力的要求进行如下审核：（1）询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件？（2）查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、经验、技术和应用能力方面的评价要求，以及相关的培训规程及评价方法；（3）查阅网管培训记录，是否符合岗位能力要求和培训规程的规定要求？（4）了解相关部门和人员对网管培训后的工作能力确认和培训效果的评价，是否保持记录？（5）如果岗位能力经评价不能满足要求时，组织是否按规定要求采取适当的措施，以保证岗位人员的能力要求。
二、案例分析1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威胁的预防；笔记本经常带入带出，有时在家工作，领导同意了，在家也没什么不安全的。
A 组织场所外的设备安全应对组织场所的设备采取安全措施，要考虑工作在组织场所以外的不同风险2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，因为买的都是正版。
2024年第一期CCAA注册审核员ISMS信息安全管理体系考试题目含解析
2024年第一期CCAA注册审核员ISMS信息安全管理体系考试题目一、单项选择题1、Saas是指(）A、软件即服务B、服务平台即月勝C、服务应用即服务D、服务瞇即服务2、下列不属于公司信息资产的有A、客户信息B、被放置在IDC机房的服务器C、个人使用的电脑D、审核记录3、制定信息安全管理体系方针，应予以考虑的输入是（）A、业务战略B、法律法规要求C、合同要求D、以上全部4、从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子?（）A、计算机舞弊B、欺骗或胁迫C、计算机偷窃D、计算机破坏5、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保6、以下说法不正确的是(）A、应考虑组织架构与业务目标的变化的风险评估进行再评审B、应考虑以往未充分识别的威胁对风险评估结果进行再评估C、制造部增加的生产场所对信息安全风险无影响D、安全计划应适时更新7、当发生不符合时，组织应（）。
A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果8、依据《中华人民共和国网络安全法》，以下正确的是（）。
A、检测记录网络运行状态的相关网络日志保存不得少于2个月B、检测记录网络运行状态的相关网络日志保存不得少于12月C、检测记录网络运行状态的相关网络8志保存不得少于6个月D、重要数据备份保存不得少于12个月，网络日志保存不得少于6个月9、关于容量管理，以下说法不正确的是（）A、根据业务对系统性能的需求，设置阈值和监视调整机制B、针对业务关键性，设置资源占用的优先级C、对于关键业务，通过放宽阈值以避免或减少报警的干扰D、依据资源使用趋势数据进行容量规划10、根据《互联网信息服务管理办法》规定，国家对经营性互联网信息服务实行（）A、国家经营B、地方经营C、许可制度D、备案制度11、在根据组织规模确定基本审核时间的前提下,下列哪一条属于增加审核时间的要素?A、其产品/过程无风险或有低的风险B、客户的认证准备C、仅涉及单一的活动过程D、具有高风险的产品或过程12、依据GB/T22080/ISO/IEC27001，建立资产清单即：（）A、列明信息生命周期内关联到的资产，明确其对组织业务的关键性B、完整采用组织的固定资产台账，同时指定资产负责人C、资产价格越高，往往意味着功能越全，因此资产重要性等级就越高D、A+B13、容灾的目的和实质是（）A、数据备份B、系统的C、业务连续性管理D、防止数据被破坏14、下列哪项不是监督审核的目的？（）A、验证认证通过的ISMS是否得以持续实现B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C、确认是否持续符合认证要求D、做出是否换发证书的决定15、关于信息安全管理体系认证，以下说法正确的是（）A、认证决定人员不宜推翻审核组的正面结论B、认证决定人员不宜推翻审核组的负面结论C、认证机构应对客户组织的ISMS至少进行一次完整的内部审核D、认证机构必须遵从客户组织规定的内部审核和管理评审的周期16、虚拟专用网(VPN)的数据保密性，是通过什么实现的?（）A、安全接口层(sSL,SecureSocketsLayer〉B、风险隧道技术(Tunnelling)C、数字签名D、风险钓鱼17、信息分级的目的是（）A、确保信息按照其对组织的重要程度受到适当级别的保护B、确保信息按照其级别得到适当的保护C、确保信息得到保护D、确保信息按照其级别得到处理18、当发现不符合项时，组织应对不符合做出反应，适用时（）。
2024年第二期CCAA注册审核员模拟试题—ISMS信息安全管理体系含解析
2024年第二期CCAA注册审核员模拟试题—ISMS信息安全管理体系一、单项选择题1、系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应用程序，数据库系统、用户设置、系统参数等信息，以便迅速（）A、恢复全部程序B、恢复网络设置C、恢复所有数据D、恢复整个系统2、ISMS不一定必须保留的文件化信息有()A、适用性声明B、信息安全风险评估过程记录C、管理评审结果D、重要业务系统操作指南3、在以下认为的恶意攻击行为中，属于主动攻击的是()A、数据窃听B、误操作C、数据流分析D、数据篡改4、下列不属于取得认证机构资质应满足条件的是（）。
A、取得法人资格B、有固定的场所C、完成足够的客户案例D、具有足够数量的专职认证人员5、下列哪项不是监督审核的目的？（）A、验证认证通过的ISMS是否得以持续实现B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C、确认是否持续符合认证要求D、做出是否换发证书的决定6、按照PDCA思路进行审核，是指（）A、按照受审核区域的信息安全管理活动的PDCA过程进行审核B、按照认证机构的PDCA流程进行审核C、按照认可规范中规定的PDCA流程进行审核D、以上都对7、依据GB/T22080/ISO/IEC27001，信息分类方案的目的是（）A、划分信息的数据类型，如供销数据、生产数据、开发测试数据，以便于应用大数据技术对其分析B、确保信息按照其对组织的重要程度受到适当水平的保护C、划分信息载体的不同介质以便于储存和处理，如纸张、光盘、磁盘D、划分信息载体所属的职能以便于明确管理责任8、下列哪个选项不属于审核组长的职责?A、确定审核的需要和目的B、组织编制现场审核有关的工作文件C、主持首末次会议和市核组会议D、代表审核方与受中核方领导进行沟通9、被黑客控制的计算机常被称为(）A、蠕虫C、灰鸽子D、木马10、在信息安全管理体系审核时，应遵循（）原则。
信息安全管理体系专职认证人员考试试卷(含答案)
信息安全管理体系认证人员考试试卷姓名：分数：一、填空题（每题4分，共计40分）1、采用信息安全管理体系是组织的一项性决策。
2、信息安全管理体系通过应用风险管理过程来保持信息的性、性和性，以充分管理风险并给予相关方信心。
3、信息安全在、、时就要考虑信息安全。
4、组织声称符合信息安全管理体系标准时，对于第4章到第10章的要求删减。
5、信息安全管理体系初次审核的第一阶段现场审核不宜少于个审核人日。
6、当客户由于信息安全的原因在申请评审阶段不能提供给认证机构足够的信息时，认证机构应通过审核在客户的现场补充对上述信息的确认，并完成申请评审任务。
这种情况下，认证机构应第一阶段现场审核时间。
7、认证机构应确保客户符合工信部联协[2010]394号文的要求，以及有关主管部门/监管部门对信息安全管理体系认证的管理要求（如工信部2011年第21号公告《工业和信息化部加强政府部门信息技术外包服务安全管理》等）。
8、如果认证机构因为未获得客户的允许或无法满足适用的要求而不能接触相关信息资产，那么认证机构应对审核和认证所受到的影响进行评估并采取相应的措施（例如终等）。
9、审核组成员不宜在审核过程中以任何方式记录受审核客户的。
审核组在离开受审核客户前，宜请受审核客户检查和确认审核组携带的文件、资料和设备中未夹带受审核客户的任何保密或敏感信息。
10、为了确保能够实施有效的审核并确保可靠和可比较的结果，对表B.1中审核时间的减少，不应超过。
二、简答题（每题10分，共计60分）1、实施申请评审以确定所需的审核组能力、选择审核组成员并确定审核时间的人员需要具备哪些知识？2、合同评审信息安全管理体系认证申请的主要内容有哪些？3、申请信息安全管理体系申请者应提交哪些材料？4、参与ISMS审核的审核员，应具有哪些业务管理实践的知识？5、简述信息安全管理体系审核员的评价准则6、简述适宜的信息安全管理专业工作经历有哪些？信息安全管理体系认证人员考试试卷姓名：分数：一、填空题（每题4分，共计40分）1、采用信息安全管理体系是组织的一项战略性决策。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2014年CCAA信息安全风险管理考题和答案（继续教育考试试题）
1、下列关于“风险管理过程”描述最准确的是（C ）。
A. 风险管理过程由风险评估、风险处置、以及监测与评审等子过程构成；
B.风险管理过程由建立环境、风险评估、风险处置、以及监测与评审等子过程构成；
C.风险管理过程由沟通与咨询、建立环境、风险评估、风险处置、以及监测与评审等子过程构成；
D.风险管理过程是一个完整的过程，独立与组织的其他过程。
2以下关于信息安全目的描述错误的是（D ）。
A.保护信息
B.以争取不出事
C.让信息拥有者没有出事的感觉
D.消除导致出事的所不确定性
3、对风险术语的理解不准确的是（ C ）。
A.风险是遭受损害或损失的可能性
B.风险是对目标产生影响的某种事件发生的机会
C.风险可以用后果和可能性来衡量
D.风险是由偏离期望的结果或事件的可能性引起的
4、以下关于风险管理说法错误的是（ A ）。
A.风险管理是指如何在一个肯定有风险的环境里把风险消除的管理过程
B.风险管理包括了风险的量度、评估和应变策略
C.理想的风险管理，正是希望能够花最少的资源去尽可能化解最大的危机
D.理想的风险管理，是一连串排好优先次序的过程，使当中的可以引致最大损失及最大可能发生的事情优先处理、而相对风险较低的事情则压后处理。
5、下列哪项不在风险评估之列（ D ）
A.风险识别
B.风险分析
C.风险评价
D.风险处置
6、对风险管理与组织其它活动的关系，以下陈述正确的是（B ）。
A.风险管理与组织的其它活动可以分离
B.风险管理构成组织所有过程整体所必需的一部分
D.相对于组织的其它活动，风险管理是附加的一项活动
7、对于“利益相关方”的概念，以下陈述错误的是（D ）。
A.对于一项决策活动，可以影响它的个人或组织
B. 对于一项决策活动，可以被它影响的个人或组织
C. 对于一项决策活动，可以感知被它影响的个人或组织
D.决策者自己不属于利益相关方
8、一个风险的大小，可以由（ A ）的结合来表示。
A.风险的后果和发生可能性
B.风险后果和风险源
C.风险发生可能性和风险源
D.风险源和风险原因
9、下列哪项不属于组织的风险管理方针必须包括（C ）内容。
A.风险管理的依据、组织的目标、方针与风险管理方针的联系
B.风险管理的责任、职责、资源
C.如何确定风险等级、风险的重要性
D.报告风险管理绩效的方式、定期评审风险管理的方针和框架
10、信息安全风险评估应该（B ）。
A.只需要实施一次就可以
B.根据变化的情况定期或不定期的适时地进行
C.不需要形成文件化评估结果报告
D.仅对网络做定期的扫描就行
11、选择信息安全控制措施应该（D ）。
A.建立在风险评估的结果至上
B.针对每一种风险，控制措施并非唯一
C.反映组织风险管理战略
D.以上各项都对
12、信息安全风险管理应该（C ）。
A.将所有的信息安全风险都消除
B.在风险评估之前实施
C.基于可接受的成本采取相应的方法和措施
D.以上说法都不对
13、以下有关残余风险的说法错误的是（A ）。
A.残余风险不包含未识别的风险
B.残余风险还可被称为“保留风险”
C.残余风险是风险处置后剩余的风险
D.管理者应对建议的残余风险进行批准
14、ISO/IEC 27001从（ B ）的角度，建立、实施、运行、监视、评审、保持和改进文件化的ISMS 规定了要求。
A.客户安全要求
B.组织整体业务风险
C.信息安全法律法规
D.以上都不对
15、管理者应（D ）。
A.制定ISMS目标和计划
B.实施ISMS管理评审
C.决定接受风险的准则和风险的可接受级别
D.以上都对
16、以下哪个不是风险管理相关标准（A ）
A.ISO/IEC TR 13335
B.ISO/IEC 27002
C.ISO/IEC 27005
D.GB/T 20984
17、下列关于“风险评价准则”描述不准确的是（A ）
A.风险评价准则是评价风险主要程度的依据，不能被改变
B.风险评价准则应尽可能在风险管理过程开始时制定
C.风险评价准则应当与组织的风险管理方针一致
D.风险评价准则需体现组织的风险承受度，应反映组织的价值观、目标和资源
18、以下哪个标准对风险相关的概念作出了描述（C ）
A.AS/NZS 4360
B.ISO/IEC TR 13335-1
C.ISO Guide 73
D.以上都是
19、风险评估方法可以是（B）
A.必须使用标准要求的
B.组织可以随意选择
C.组织自己选择，但要求是可再现的
D.以上都不对
20、风险管理开始引入我国的时间是20世纪（D）
A.70年代
B.60年代
C.90年代
D.80年代
21、风险管理的过程依顺序为（B）
A.风险识别、风险评价、风险分析、风险处置
B.风险识别、风险分析、风险评价、风险处置
C.风险评价、风险识别、风险处置、风险分析
D.风险处置、风险识别、风险评价、风险分析
22、信息安全是保证信息的保密性、完整性和（C）
A.充分性
B.适宜性
C.可用性
D.有效性
23、ISO/IEC TR 13335提到的4种风险分析方法不包括（B）
A.基线方法
B.正式方法
C.详细风险分析
D.组合方法
24、风险评价是指（B）
A.系统地实用信息来识别风险来源和估计风险
B.将估计的风险与给定的风险准则加以比较以确定风险严重性的过程
C.指导和控制一个组织相关风险的协调活动
D.以上都不对
25、风险评估的三个要素（D）
A.组织、资产和人
B.组织、技术和信息
C.软件、硬件和人
D.资产、威胁和脆弱性
26、保险这种措施属于（C）
A.风险接受
B.风险规避
C.风险转移
D.风险减缓
27、信息安全风险主要有哪些（D）
A.信息存储风险
B.信息传输风险
C.信息访问风险
D.以上都正确
28、业务连续性计划框架应包含（）
A.应急规程
B.意识、教育活动
D.以上都包括
判断题
1、信息资产的价值可通过定性和定量的方法来描述。
正确
2、风险评价准则需体现组织的风险承受度，应反映组织的价值观、目标和资源。
正确
3、起不到应有作用的或没有正确实施的安全保护措施本身就可能是脆弱性。
正确
4、风险评价是指导和控制一个组织相关风险的协调活动。
错误
5、风险识别是发现、列举和描述风险要素的过程。
正确
6、风险管理是可定性的。
正确
7、风险评价就是将分析过程中发现的风险程度与先前建立的风险准则比较。
正确
8、风险处置必须采取措施，将风险降低到可接受级别。
正确
9、风险分析要确定风险发生后其影响的大小
正确
10、风险评价准则应当与组织的风险管理方针一致
正确。