CISP信息安全管理习题

A:对内而言，有助于建立起文档化的信息安全管理规范，实现有“法”可依，有章可循，有据可查

B:对内而言，是一个光花钱不挣钱的事情，需要组织通过其他方面收入来弥补投入

C:对外而言，有助于使各利益相关方对组织充满信心

D:对外而言，能起到规范外包工作流程和要求，帮助界定双方各自信息安全责任

21.以下哪些是需要在信息安全策略中进行描述的：

A:组织信息系统安全架构 B:信息安全工作的基本原则 C:组织信息安全技术参数 D:组织信息安全实施手段

22.下列哪些内容应包含在信息系统战略计划中？

A:已规划的硬件采购的规范 B:将来业务目标的分析 C:开发项目的目标日期 D:信息系统不同的年度预算目标

23.

ISO27002中描述的11个信息安全管理的控制领域不包括：

A:信息安全组织

专业资料

B:资产管理 C:内容安全 D:人力资源安全

24.

SSE-CMM将工程过程区域分为三类，即风险过程、工程过程、和保证过

程，下面对于保证过程的说法错误的是：

A:保证是指安全需求得到满足的可信任程度 B:信任程度来自于对安全工程过程结果质量的判断

C:自验证与证实安全的主要手段包括观察、论证、分析和测试 D:PA“建立保证论据”为PA“验证与证实安全”提供了证据支持

25.

根据SSE-CMM信息安全工程过程可以划分为三个阶段，其中_______确

立安全解决方案的置信度并且把这样的置信度传递给顾客。

A:保证过程 B:风险过程 C:工程和保证过程 D:安全工程过程

26.

SSE-CMM工程过程区域中的风险过程包含哪些过程区域：

A:评估威胁、评估脆弱性、评估影响 B:评估威胁、评估脆弱性、评估安全风险

专业资料

C:评估威胁、评估脆弱性、评估影响、评估安全风险 D:评估威胁、评估脆弱性、评估影响、验证和证实安全

27.一个组织的系统安全能力成熟度达到哪个级别以后，就可以对组织层面的过

程进行规范的定义？ A:2级——计划和跟踪 B:3级——充分定义 C:4级——量化控制 D:5级——持续改进

28.在风险管理准备阶段“建立背景”（对象确立）过程中不应该做的是：

A:分析系统的体系结构 B:分析系统的安全环境 C:制定风险管理计划 D:调查系统的技术特性

29.下面有关能力成熟度模型的说法错误的是:

A:能力成熟度模型可以分为过程能力方案（Continuous）和组织能力方案（Staged）两类

B:使用过程能力方案时，可以灵活选择评估和改进哪个或哪些过程域

专业资料

C:使用组织机构成熟度方案时，每一个能力级别都对应于一组已经定义好的过程域

D:SSE-CMM是一种属于组织能力方案（Staged）的针对系统安全工程的能力成熟度模型

30.

下列哪项不是信息系统安全工程能力成熟度模型(SSE-CMM)的主要过

程:

A:风险过程 B:保证过程 C:工程过程 D:评估过程

31.信息安全管理体系描述不正确的是:

A:是一个组织整体管理体系的组成部分 B:是有范围和边界的 C:是风险评估的手段

D:其基本过程应遵循PDCA循环

32.对戴明环\方法的描述不正确的是:

A:“PDCA”的含义是P-计划，D-实施，C-检查，A-改进 B:“PDCA”循环又叫\戴明\环

专业资料