CISP-22-信息安全标准-new

合集下载

注册信息安全专业人员(CISP认证)

注册信息安全专业人员（CISP认证）认证介绍国家注册信息安全专业人员(简称：CISP）是有关信息安全企业，信息安全咨询服务机构、信息安全测评机构、社会各组织、团体、企事业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的专业岗位人员，其基本职能是对信息系统的安全提供技术保障，其所具备的专业资质和能力，系经中国信息安全测评中心实施注册。

2015年6月，全国获得CISP认证资格人员已超过15000名。

认证目的信息安全人员培训与姊姊认定的目的是构建全面的信息安全人才体系。

构建全面的信息安全人才体系是国家政策的要求，是组织机构信息安全保障建设自身的要求和组织机构人员自身职业发展的要求。

是国家政策的要求：中办发【2003】27号文件《国家信息化领导小组关于加强信息安全保障工作的I 安逸》中提出了“加快悉尼型安全人才培养，增强全民信息安全意识”的知道精神，重点强调了信息安全人才培养的重要性。

是组织机构信息安全保障建设自身的要求：企事业单位、政府机关等组织机构在信息安全保障建设、信息哈U建设中，需要有一个完整层次化的信息安全人才队伍以保障其信息安全、保障其信息化建设，从而保障其业务和使命。

是组织机构人员自身职业为发展的要求：作为人员本身，在其工作和职业发展中，需要充实其信息安全保障相关的只是和经验，以更好的开展其工作并为自己的只因为发展提供帮助。

认证价值对组织的价值：高素质的信息安全专业人才队伍，是信息安全的保障；信息安全人员持证上岗，满足政策部门的合规性要求；为组织实施信息安全岗位绩效考核提供了标准和依据；是信息安全企业申请安全服务资质必备的条件对个人的价值：适应市场中越来越热的对信息安全人才的需求；通过专业培训和考试提高个人信息安全从业水平；证明具备从事信息安全技术和管理工作的能力；权威认证提升职场竞争中的自身优势；可以获取信息安全专业人士的认可，方便交流。

认证分类根据工作领域和时间广州的需求，可以分为两类：注册信息安全工程师（CISE ）主要从事信息安全技术开发服务工程建设等工作。

CISP 4.2版2023 注册信息安全考试_易错题详细解析_第一套题

cisp第一套题库※随着信息技术的不断发展，信息系统的重要性也越来越突出，而与此同时，发生的信息安全事件也越来越多，综合分析信息安全问题产生的根源，下面描述正确的是（）。

[1分]正确答案：√信息安全问题产生的根源要从内因和外因两个方面两个方面分析，因为信息系统自身存在脆弱性，同时外部又有威胁源，从而导致信息系统可能发生安全事件。

因此，要防范信息安全风险，需从内外因同时着手解析：※在使用系统安全工程—能力成熟度模型（SSE-CMM）对一个组织的安全工程能力成熟度进行测量时，正确的理解是：[1分]正确答案：√：测量组织能力时，就是成熟能力度级别，由执行安全工程过程时所应具有的“公共特征”CF构成。

※在工程实施阶段，监管机构承建合同，安全设计方案、实施方案、实施记录，国家地方标准和技术文件，正确答案：√：符合性※不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据各自的实际情况，选正确答案：√：×定量风险分析相比定性风险分析能得到准确的数值，所以在实际工作中应使用定量风险分析，而不应选择定性风险分析解析：解析：布什以第54号国家安全总统令(NSPD-54)发布※微软SDL将软件开发生命周期划分为七个阶段，并提出了十七项重要的安全活动，其中“威胁建模”属于（设计（Design）阶段）的安全活动。

[1分]正确答案：√：设计（Design）阶段正确答案：√：×信息安全风险评估分自评估、检查评估两形式。

应以检查评估为主，自评估和检查评估相互结合、互为补充解析：※“CC”标准是测评标准类的重要标准，从该标准的内容来看，下面哪项内容是针对具体的被评测对象，描※有关系统安全工程-能力成熟度模型（SSE-CMM）中的基本实施（Base Practices，BP），正确的理解是：[1分]正确答案：√：BP不限定于特定的方法或工具，不同的业务背景中可以使用不同的方法※2005年，RFC4301（Request for Comments 4301：Security Architecture for the Internet Protocol）发布，用以取代原先的RFC2401，该标准建议规定了IPsec系统基础架构，描述如何在IP层（IPv4/IPv6）为流量提供安全业务。

CISP信息安全认证考试指南

专业人员（CISP）注册维持要求，并缴付年费；
第 7页
CISP知识框架
• 2018年10月1日生效CISP知识体系4.1结构框架图
第 8页
CISP知识框架
• CISP知识体系
信息安全保障 − 本知识域包括信息安全保障的基本概念、模型、工作内容与工作方法，同时包
括信息安全保障要素中的安全工程相关内容及新技术领域信息安全保障的相关知识。通过对本知识域的学习，学员应该理解信息安全问题产生的根源，信息安全基本概念。了解PPDR、IATF、等信息系统安全保障评估框架等安全保障框架，并理解信息安全保障工作内容及方法、信息系统安全工程（ISSE）及安全工程能力成熟度模型（SSE-CMM）等相关知识。信息安全规划 − 本知识域包括信息安全风险管理及密码学、身份鉴别及访问控制等信息安全支撑技术相关知识。通过本知识域的学习，学员了解风险管理相关概念并掌握风险管理的工作方法，并且掌握密码学、身份鉴别、访问控制等信息安全基础技术，为信息系统安全体系规划及信息安全保障工作提供支撑。安全设计与实现 − 本知识域包括物理和环境安全、网络和通信安全、计算机环境安全和应用与数据安全四个知识子域。通过对知识域的学习，学员了解并掌握信息系统物理、网络、主机、应用等多个层面的安全问题及防护措施。
“注册信息安全员”，（Certified Information Security Member ，简称 CISM）注册信息安全专业人员—渗透测试工程师（Certified Information Security ProfessionalPenetration Test Engineer，简称 CISP-PTE）注册信息安全审计师（Certified Information Security Professional -Auditor，简称 CISA）

信息安全 CISP0202密码学应用_v3.0 图文

程 ❖ 了解PKI/CA的典型应用
15
什么是PKI/CA
❖PKI：Public Key Infrastructure 公钥基础设施
▪ 利用公开密钥技术建立的提供信息安全服务的在线基础设施。它利用加密、数字签名、数字证书来保护应用、通信或事务处理的安全。
▪ 是一个包括硬件、软件、人员、策略和规程的集合，用来实现基于公钥密码体制的密钥和数字证书的产生、管理、存储、分发和撤销等功能。
信息传送
Bob
签名e
Hash 函数
等长字符串
签名e
加密
Hash + 加密 = 签名过程
Hash + 解密 = 签名验证
Hash 函数
解密
等长字符串1
等长字符串2
如果两者相同，表明信息没有被篡改
问题：没成功？是公钥拿错了吗？
成功了！但是公钥到底是谁塞给我的？
18
数字证书
绑定用户身份和公钥
网络世界的电子身份证与现实世界的身份证类似能够证明个人、团体或设备的身份
——认证鉴别、加密存储、其他
8
密码应用产品介绍——算法支持类
❖ 主要提供密码算法运算能力支持，以软硬件接口形式提供，用于支持用户开发密码应用产品。
❖ 硬件
▪ 芯片、卡（模块）、整机或系统
❖ 软件
▪ 密码库、中间件
❖ 算法
▪ 通用算法：DES、AES、RSA、SHA1 ▪ 专用算法
9
密码应用产品介绍——通信保护类
证书关键用途（Key Usage）:
digitalSignature
算法标识（Algorithms）: MD5 RSA
dataEncipherment keyCertSign

CISE讲义CISP02信息安全培训和CISP知识体系介绍YYZ

2000
1800
Hale Waihona Puke 16001400 1200 1000
800 600 400 200
0
CISO CISE CISA
2002 2003 2004 2005 2006 2007 2008
数据(shùjù)截止至2007年4月
第十二页，共87页。
正式(zhèngshì)出版发布资料
第十三页，共87页。
2、美国政府部委(bù wěi)信息平安培训体系引见
MGT-501 信息安全管理体系 MGT-502 风险管理 MGT-503 漏洞管理 MGT-504 业务连续性和灾难恢复管理
…
安全从业
安全实践
SEC-201 保护信息安全实
安全意识践（普及）
…
操作系统最佳实践网络设备最佳实践应用系统最佳实践 …
TEC-201 网络和安全知识问答 …
第二十七页，共87页。
信息安全从业系列
信息安全专业系列
五． IT和平安相关(xiāngguān)人员：基于岗位的信息平安技艺，资质和培训
六．特定实践：Windows操作系统平安、Oracle数据库平安等
七．特定专题：风险管理、破绽管理等
八．继续学习和更新
信息安全实践系列
信息安全专题系列
第二十八页，共87页。
第九页，共87页。
信息平安培训(péixùn)业务的目的和目的
▪ 目的 ▪ 为国度信息平安保证人才体系树立做出应有的
贡献
▪ 增强政府部委、党政机关、重要信息系统和基础网络的管理和运转人员扫除隐患和破绽的看法、知识和才干
▪ 经过(jīngguò)市场化，提高国度信息平安人才素质和才干

企业形象-CISP0502信息安全标准介绍

知识子域：信息安全标准化概况标准国际标准标准化的对象：共同的、可重复的事物标准化的动态性标准化的相对性简化统一协调标准是进行贸易的基本条件标准能够提高企业的经济效益标准能够提高国民经济效益1）中华人民共和国标准化法2）中华人民共和国标准化法实施条例3）中华人民共和国标准化法条文解释4）国家标准管理办法GB 强制性国家标准GB/T 推荐性国家标准GB/Z 国家标准化指导性技术文件安全基础设施标准ISO JTC1▪JTC1 SC27 信息技术国际标准《信息安全事件管ISO/TC 68 银行及相关金融业务 IECIETF（170多个RFC、17个工作组）▪ECMAANSI1984年，成立数据加密技术分委员，后来改为信息技术安全分技术委员会2002年4月，为加强信息安全标准的协调工作，国国标委高新函[2004]1号文决定，自2004年1月起，各有关部门在申报信息安全国家标准计划项目时，必须经信息安全标委会提出工作意见，协调秘书处是委员会的常设办事机构，负责委员会的日常事务工作秘书处设在中国电子技术标准化研究所研究信息安全标准体系跟踪国际标准发展动态研究信息安全标准需求研究提出涉密信息系统安全保密标准体系制定和修订涉密信息系统安全保密标准研究提出商用密码技术标准体系研究制定商用密码算法、商用密码模块和商用密钥管理等相关标准研究制定鉴别与授权标准体系调研国内相关标准需求研究制定鉴别与授权标准调研测评标准现状与发展趋势研究我国统一测评标准体系的思路和框架，提出测评标准体系调研通信安全标准现状与发展趋势研究提出通信安全标准体系研究制订急需的通信安全标准标准研究信息安全管理动态，调研国内管理标准需求研究提出信息安全管理标准体系制定信息安全管理相关标准安全技术评估标准发展历史1970年由美国国防科学委员会提出。

1985年公布。

主要为军用标准。

延用至民用。

安全级别从高到低分为A、B、C、D四级，级下再分欧洲多国安全评价方法的综合产物，军用，政府用和商用。

CISPR 22

3.2 Class A ITE
Class A ITE is a category of all other ITE which satisfies the class A ITE limits but not the class B limits.Such equipment should not be restricted in its sale but the following warning shall be included in the instructions for use : Warning This is a class A product.In a domestic environment this product may cause radio interference in which case the user may be required to take adequate measure.
•
4. Limits for conducted disturbance at mains terminals and telecommunication ports.
The equipment under test (EUT) shall meet the limits in tables 1 and 3 or 2 and 4, as applicable, including the average limit and the quasi-peak limit when using, respectively,an average detector receiver and quasi-peak detector receiver and measured in accordance with the methods described in clause 9.Either the voltage limits or the current limits in table 3 or 4,as applicable,shall be met. If the average limit is met when using a quasi-peak detector receiver,the EUT shall be deemed to meet both limits and measurement with the average detector receiver is unnecessary. If the reading of the measuring receiver shows fluctuations close to the limit, the reading shall be observed for at least 15 s at each measurement frequency; the higher reading shall be recorded with the exception of any brief isolated high reading which shall be ignored.

2023年CISP信息安全专业人员考试题及答案

2023年CISP信息安全专业人员考试题及答案1.以下对信息安全描述不正确的是A.信息安全的基本要素包括保密性、完整性和可用性B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性C.信息安全就是不出安全事故/事件D.信息安全不仅仅只考虑防止信息泄密就可以了正确答案：C2.以下对信息安全管理的描述错误的是A.保密性、完整性、可用性B.抗抵赖性、可追溯性C.真实性私密性可靠性D增值性正确答案：D3.以下对信息安全管理的描述错误的是Λ,信息安全管理的核心就是风险管理B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂D.信息安全管理工作的重点是信息系统，而不是人正确答案：D4.企业按照标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是A.不需要全体员工的参入，只要部门的人员参入即可B.来自高级管理层的明确的支持和承诺C.对企业员工提供必要的安全意识和技能的培训和教育D.所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行正确答案：A5.信息安全管理体系(ISMS)是一个怎样的体系，以下描述不正确的是Λ.ISMS是一个遵循PDCA模式的动态发展的体系B.ISMS是一个文件化、系统化的体系C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定D.ISMS应该是一步到位的，应该解决所有的信息安全问题正确答案：D6.PDCA特征的描述不正确的是A.顺序进行，周而复始，发现问题，分析问题，然后是解决问题B.大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足D.信息安全风险管理的思路不符合PDCA的问题解决思路正确答案：D7.以下哪个不是信息安全项目的需求来源Λ,国家和地方政府法律法规与合同的要求8.风险评估的结果C.组织原则目标和业务需要D.企业领导的个人意志正确答案：D8.IS027001认证项目一般有哪几个阶段？A.管理评估，技术评估，操作流程评估8.确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C.产品方案需求分析，解决方案提供，实施解决方案D.基础培训，RA培训，文件编写培训，内部审核培训正确答案：B9.构成风险的关键因素有哪些？A.人,财，物B.技术，管理和操作C.资产，威胁和弱点D.资产，可能性和严重性正确答案：C10.以下哪些不是应该识别的信息资产？Λ.网络设备B.客户资料C.办公桌椅D.系统管理员正确答案：C11.以下哪些是可能存在的威胁因素？BA.设备老化故障B.病毒和蠕虫C.系统设计缺陷D.保安工作不得力正确答案：B12.以下哪些不是可能存在的弱点问题？A.保安工作不得力B.应用系统存在BugC.内部人员故意泄密D.物理隔离不足正确答案：C13.风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？Λ,只识别与业务及信息系统有关的信息资产，分类识别B.所有公司资产都要识别C.可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产D.资产识别务必明确责任人、保管者和用户正确答案：B14.风险分析的目的是？A.在实施保护所需的成本与风险可能造成的影响之间进行技术平衡;B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡;C.在实施保护所需的成本与风险可能造成的影响之间进行经济平衡;D.在实施保护所需的成本与风险可能造成的影响之间进行法律平衡;正确答案：C15.对于信息安全风险的描述不正确的是？Λ,企业信息安全风险管理就是要做到零风险B.在信息安全领域，风险(Risk)就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性C.风险管理(RiskManagement)就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

EN60950-1标准更新及要求

EN60950-1标准更新所有出口欧洲的IT产品从2010年12月1日起，都必须符合EN60950-1 第二版标准中所规定。

产品之前通过了EN60950-1第一版标准的测试将不会被承认。

第2版标准中的更新并不极端，但是使用新版本的标准来对产品进行重新评估并不是一蹴而就的。

总的来说，新的版本增加专业术语或测试方法在声明方面的一致性。

部分章节，如第2.6.3.4章——接线导体与其端口的电阻能力，涵盖CSA/UL 60950-1中与北美国家标准要求的差异性。

更新的第2.3.2章——TNV电路与其他电路以及可接触部分的隔离是必需的，旧的标准并不能达到当前认可的TNV电路的ITE技术标准。

在新版本的标准中，压敏电阻(VDR)和音频部件这两部分最引人关注。

机柜固定件设备章节(4.2.11)在评估滑动轨设计有新的额外要求。

但是，应该注意的是，这个要求并不适用于完整机柜/系统整机的固有配件。

新标准对于IT设备的制造商来说也有好消息，设备重量小于15.4 lbs，10°倾斜的稳定性测试将会被豁免。

之前用EN60950-1 2001版的客户请提前更换新的标准EN 55022:2006 (CISPR 22:2005)在欧盟（European Union，EU）自2009年10月1日正式生效。

现在相关的辐射干扰(radiated disturbances)测试范围是由30MHz至1GHz，但是修正案A1:2007将会加入1GHz至6GHz的测试范围，并于2010年10月1日生效。

因此在测量辐射干扰时，将采用30MHz至6Ghz的频段。

修改EN 55022:2006所产生的影响CISPR 22 (the Comite International Special des Perturbations Radioelectriques, or International Special Committee on Radio Interference, 国际无线电干扰特别委员会)是适用范围最广的一项重要的EMC (electromagnetic compatibility，电磁兼容)标准，并对资讯科技设备(information technology equipment，ITE)提出了一些要求，其中包括了「电讯装备和个人电脑」(telecommunications apparatus and PCs)。

CISP总结-信息安全保障知识点

1.信息安全特征：信息安全是系统的安全，是动态的安全，是无边界的安全，是非传统的安全。

2.信息系统包含三个要素：信息，计算机网络系统和运行环境。

3.1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），将操作系统安全分级（D、C1、C2、B1、B2、B3、A1）.4.信息技术安全性评估准则，即通用准则CC（ISO/IEC 15408，GB/T 18336），其中保障定义为，实体满足其安全目的的信心基础。

5.风险是指威胁利用资产或一组资产的脆弱性对组织机构造成伤害的潜在可能。

6.信息安全管理体系－ISMS,国际上主流的信息系统管理体系的标准有ISO/IEC 17799,英国标准协会（BSI）的77997.信息安全保障模型：保障要素：管理、工程、技术、人员。

安全特征：保密、完整、可用。

生命周期：规划组织、开发采购、实施交付、运行维护、废弃。

策略和风险是安全保障的核心问题。

信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。

8.风险管理贯穿整个信息系统生命周期，包括对象确立，风险评估，风险控制，审核批准，监控与审查和沟通与咨询6个方面。

9.基于时间的PDR模型（保护－检测－响应）是信息安全保障工作中常用的模型。

该模型的出发点是基于这样的前提：任何安全防护措施都是基于时间的，超过该时间段，这种防护措施是可能被攻破。

10.P2DR（策略－保护检测响应）：所有的行为都是依据安全策略实施的。

该模型强调安全管理的持续性、安全策略的动态性。

防护时间Pt，检测时间Dt,反应时间Rt：如果pt>dt+rt,则系统安全；如果pt<dt+rt,则暴露时间Et=(dt+rt)-pt11.PDCA(计划、实施、检查、改进)是信息安全管理体系ISMS的核心。

CISP试题及答案-一套题

1.下面关于信息安全保障的说法错误的是：A。

信息安全保障的概念是与信息安全的概念同时产生的B。

信息系统安全保障要素包括信息的完整性，可用性和保密性C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施各种保障要素，在系统的生命周期内确保信息的安全属性.以下哪一项是数据完整性得到保护的例子？A。

某网站在访问量突然增加时对用户连接数量进行了限制，保证已登录的用户可以完成操作B。

在提款过程中ATM终端发生故障，银行业务系统及时对该用户的账户余额进行了冲正操作C。

某网管系统具有严格的审计功能,可以确定哪个管理员在何时对核心交换机进行了什么操作D。

李先生在每天下班前将重要文件锁在档案室的保密柜中,使伪装成清洁工的商业间谍无法查看注重安全管理体系建设，人员意识的培训和教育，是信息安全发展哪一个阶段的特点？A。

通信安全B。

计算机安全C.信息安全D。

信息安全保障以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A.提高信息技术产品的国产化率B。

保证信息安全资金注入C.加快信息安全人才培养D。

重视信息安全应急处理工作以下关于置换密码的说法正确的是：A。

明文根据密钥被不同的密文字母代替B.明文字母不变,仅仅是位置根据密钥发生改变C。

明文和密钥的每个bit异或D。

明文根据密钥作了移位以下关于代替密码的说法正确的是：A。

明文根据密钥被不同的密文字母代替B。

明文字母不变，仅仅是位置根据密钥发生改变C.明文和密钥的每个bit异或D。

明文根据密钥作了移位7常见密码系统包含的元素是：A。

明文、密文、信道、加密算法、解密算法B。

明文、摘要、信道、加密算法、解密算C。

明文、密文、密钥、加密算法、解密算法D。

消息、密文、信道、加密算法、解密算法8在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于____________________A.明文B.密文C.密钥D。

信息安全技术信息系统安全等级保护基本要求

信息安全技术信息系统安全等级保护基本要求信息系统安全等级保护是指根据信息系统的重要性和敏感程度，对信息系统进行分级保护，以保障信息系统的安全运行和信息的保密性、完整性、可用性。

信息系统安全等级保护的基本要求是确保信息系统在不同等级保护下的安全性，有效防范各类安全威胁和风险，保障信息系统的正常运行和信息的安全。

首先，信息系统安全等级保护要求对信息系统进行等级划分。

根据信息系统的重要性和敏感程度，将信息系统划分为不同的安全等级，确定相应的安全保护措施和技术要求。

不同等级的信息系统应有相应的安全保护措施，确保系统的安全性符合相应的等级要求。

其次，信息系统安全等级保护要求建立健全的安全管理制度。

建立健全的信息安全管理制度，包括安全责任制、安全管理制度、安全培训制度等，明确各级管理人员和操作人员的安全责任和权限，加强对信息系统安全管理的监督和检查，确保安全管理制度的有效执行。

另外，信息系统安全等级保护要求加强对信息系统的安全防护。

采取有效的安全防护措施，包括网络安全防护、主机安全防护、数据安全防护等，确保信息系统在面对各种安全威胁时能够有效防范和抵御，保障信息系统的安全运行。

再者，信息系统安全等级保护要求建立完善的安全监控和应急响应机制。

建立安全事件监控和应急响应机制，对信息系统的安全事件进行实时监控和分析，及时发现和处置安全事件，减少安全事件对信息系统的影响，保障信息系统的安全性和稳定性。

最后，信息系统安全等级保护要求加强安全保密工作。

加强对信息系统的安全保密工作，包括信息的加密传输和存储、访问控制、身份认证等，确保信息系统中的重要信息不被泄露和篡改，保障信息的保密性和完整性。

综上所述，信息系统安全等级保护的基本要求是对信息系统进行等级划分，建立健全的安全管理制度，加强安全防护，建立完善的安全监控和应急响应机制，加强安全保密工作。

只有全面满足这些基本要求，才能有效保障信息系统的安全性和稳定性，确保信息的保密性、完整性和可用性。

CISP注册信息安全专业CISP试卷(NEW)

1、规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。

某单位在实施风险评估时，形成了《特评估信息系统相关设备及资产清单》。

在风险评估实施的各个阶段中，该《特评估信息系统相关设备及资产清单》应是如下（）中的输出结果：A、风险评估准备B、风险要素识别C、风险分析D、风险结果判定2、关于秘钥管理，下列说法错误的是（）：A、科克霍夫原则指出算法的安全性不应基于算法的保密，而应基于密钥的安全性B、保密通信过程中，通信方使用之前用过的会话密钥建立会话，不影响通信安全C、密钥在管理需要考虑密钥产生、存储、备份、分配、更新、撤销等生命周期过程的每一个环节D、在网络通信中，通信双方可利用Diffie-hellman 协议协商会话密钥3、某购物网站开发项目经过需求分析进入系统设计阶段，为了保证用户账户的安全，项目开发人员决定用户登录时除了用户名口令认证方式外，还加入基于数字证书的身份认证功能，同时用户口令使用SHA-1算法加密后存放在后台数库中，请问以上安全设计遵循的哪项安全设计原则（）：A、最小特权原则B、职不经意分离原则C、纵深防御原则D、最少共享机制原则4、2016年9月，一位安全研究人员在 Google Cloud IP上通过扫描，发现了完整的美国路易斯安那州290万选民数据库。

这套数据库中囊括了诸如完整姓名、电子邮箱地址、性别与种族、选民状态、注册日期与编号、政党代码、电话号码以及最后一次投票及投票历史等详细信息。

安全研究员建议当地民众及时修改与个人信息相关的用户名和密码，以防止攻击者利用以上信息进行（）攻击：A、默认口令B、字典C、暴力破解D、XSS5、下图是某单位对其主网站的一天访问流量监测图。

如果说网站在当天17:00到20:00间受到了攻击，则从图中数据分析，这种攻击类型最可能属于下面什么攻击（）：A、跨站脚本（Cross Site Scripting，XSS）攻击B、TCP会话劫持（TC. Hi jack）攻击C、IP欺骗攻击D、拒绝服务（Denial of Serice， DoS）攻击6、小张在单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训。

CISPR 22∶2005新版介绍

CISPR 22∶2005《信息技术设备-射频骚扰特性-限值和测量方法》及其第一修正案）(以下简称“新版本”)已分别于2005年4月、7月发布。

该出版物由CISPR I 分会制定，它取消并取代了第四版（2003年）及其第一修正案（2004年）(以下简称“老版本”)。

根据IEC工作程序要求，一个文件如果出现了三个修正案，其版本将需要升级（第三个修正案批准后不会发布，而直接将标准的版本升级）。

由于CISPR 22 第四版的第二修正案、第三修正案几乎同时得到了批准，所以IEC决定不再发布第四版的第二修正案、第三修正案，而直接将CISPR 22从第四版升级为第五版。

第四版的三个修正案内容分别是：第一修正案：附录C的完善第二修正案：增加第十一章“测量不确定度”第三修正案：测量配置和布置内容的修改CISPR 22第五版第一修正案标题为：《1GHz ~ 6GHz的限值和测量方法》。

以下按标准条款顺序对CISPR 22第五版及其第一修正案的一些变化和新内容做介绍。

CISPR 22第五版在CISPR 22第五版中，第四版的三个修正案的内容已被分别编写在正文或附录中。

第五版对第四版正文图4~图14进行了编辑性修改。

不再在图中用数字和注释来表示和解释图中的内容，而是用文字直接表示用数字所指的部分，将解释性的说明直接编写在正文的文本中。

有关技术上的修改或增减，见以下内容。

内容按条款的顺序编写。

3 定义新增四个定义，分别为：“3.8 total common mode impedance （总共模阻抗）”、“3.9 arrangement （布置）”、“3.10 configuration（设置）”“3.11 associated equipment（辅助设备）”。

增加3.8的目的在于用该定义取代传统的“共模”定义。

传统的“共模”定义通常针对“双线电缆—参考地”类型。

现在的定义不再局限于双线电缆，而是任意类型的电缆，不管该电缆中含有几根线。