系统集成项目管理师真题及答案解析：第17章信息系统安全管理

1、系统集成项目管理师真题及答案解析：第 17章 信息系统安全管理13年上试题20-应用系统运行的安全管理中心，数据域安全是其中非常重要的内容，数据域安全包括（20 ）。A、行级数据域安全，字段级数据域安全B、系统性数据域安全，功能性数据域安全C、数据资源安全，应用性数据安全D、组织级数据域安全，访问性数据域安全分析：数据域安全包括两个层次，其一是行级数据域安全， 即用户可以访问哪些业务记录，般以用户所在单位为条件进行过滤；其二是字段级数据域安全，即用户可以访问业务记录的哪些字段。参考答案：A13年下试题24某公司系统安全管理员在建立公司的“安全管理体系”时，根据GB/T20269 -2006信息

2、安全技术信息系统管理要求，对当前公司的安全风险进行了分析和评估，他分析了常见病毒对计算机系统、数据文件等的破坏程度及感染特点， 制定了相应的防病毒措施。这一做 法符合（24）的要求。资产识别和评估B.威胁识别和分析C.脆弱性识别和分析D.等保识别和分析分析：阅读理解。参考答案：B试题25信息安全策略应该全面地保护信息系统整体的安全，网络安全体系设计是网络逻辑设计工作的重要内容之一，可从物理线路安全、网络安全、系统安全、应用安全方面来进行安全体系的设计与规划，其中，数据库的容灾属于（ 25）的内容。A .物理线路安全与网络安全B .网络安全与系统安全C.物理线路安全与系统安全D .系统安全与应用

3、安全分析：所谓容灾就是当应用系统和数据库发生不可抗力（地震、海啸、火山喷发、911恐怖袭击）的时候，我们可以通过起用在异地实时在线的备用应用系统以及备用数据库立刻接管， 保证交易的顺利进行。当然备用系统如果也发生灾难的情况下，那就无能为力了，除非在全球建立几个大的同步中心才能避免此种情况的发生。确保信息安全的转移。参考答案：D试题26以下不属于物理访问控制要点的是（26）。硬件设施在合理范围内是否能防止强制入侵。计算机设备的钥匙是否具有良好的控制。C计算机设备电源供应是否能适当控制在合理的规格范围内。D计算机设备在搬动时是否需要设备授权通行的证明。分析：物理访问管理注意事项：1硬件设施在合理范

4、围内是否能防止强制入侵；2计算机设备的钥匙是否有良好的控制以降低未授权者进入的风险；3智能终端是否上锁或有安全保护，以防止电路板、芯片或计算机被搬移；4计算机设备在搬动时是否需要设备授权通行的证明。注意区别“物理访问控制”与“物理安全” 。参考答案：C试题27MD5常用于数据（27）保护。A 校验B 完整C 机密D 可靠分析：Message Digest Algorithm MD5 （中文名为消息摘要算法第五版）为计算机安全领域广泛使用的一种散列函数，用以提供消息的完整性保护。该算法的文件号为RFC 1321（R.Rivest,MIT Laboratory for Computer Scie

5、nee and RSA Data Security Inc. April 1992）参考答案：B14年上试题26在设计计算机机房时，（26）做法是不恰当的。机房设置在20层大楼的18层，该楼层人员流动最少机房设置在大楼偏角上。远离停车场及运输通道等公共区域考察机房所在附近区域，避开油库和其它易燃物为机房设置较完备的中央空调系统，保证机房各区域温度变化满足计算机系统要求 分析：计算机机房与设施安全1 计算机机房对计算机机房的安全保护包括机房场地选择、机房防火、机房空调、降温、机房防水与防潮、机房舫静电、机房接地与防雷击、机房电磁防护等。（1）机房场地选择。根据对机房安全保护的不同要求，机房场地选

6、择分为如下几种。基本要求：按一般建筑物的要求进行机房场地选择。防火要求：避开易发生火灾和危险程度高的地区，如油库和其他易燃物附近的区域。防污染要求：避开尘埃、有毒气体、腐蚀性气体和盐雾腐蚀等环境污染的区域。防潮及防雷要求：避开低洼、潮湿及落雷区域。防震动和噪声要求：避开强震动源和强噪声源区域。防强电场、磁场要求；避开强电场和强磁场区域。防地震、水灾要求：避开有地震、水灾危害的区域。位置要求：避免在建筑物的高层以及用水设备的下层或隔壁。防公众干扰要求：避免靠近公开区域，如运输通道、停车场或键厅等。参考答案：A试题27据有保密资质的公司中一名涉密的负责信息系统安全的安全管理员提出了离职申请， 司采

7、取的以下安全控制措施中，（27）可能存在安全隐患。立即终止其对安全系统的所有访问权限收回所有相关的证件、徽章、密钥、访问控制标志、提供专用设备等离职员工办理完人事交接，继续工作一个月后离岗和离职人员签订调离后的保密要求及协议分析：离岗人员安全管理对人员离岗的管理，可以根据离岗人员的关键程度，采取下列控制措施。（1）基本要求：立即中止被解雇的、 退休的、辞职的或其他原因离开的人员的所有访问 权限；收回所有相关证件、徽章、密钥和访问控制标记等；收回机构提供的设备等。（2） 调离后的保密要求：在上述基础上，管理层和信息系统关键岗位人员调离岗位，必 须经单位人事部门严格办理调离手续，承诺其调离后的保密

8、要求。（3）离岗的审计要求：在上述基础上，设计组织机构管理层和信息系统关键岗位的人员调离单位，必须进行离岗安全审查，在规定的脱密期限后，方可调离。（4）关键部位人员的离岗要求： 在上述基础上，关键部位的信息系统安全管理人员离岗， 应按照机要人员管理办法办理。参考答案：C试题29依据GB/T 20271-2006信息系统安全技术 信息系统通用安全技术要求中的规定，（29 ）不属于信息系统安全技术体系包含的内容。物理安全B.运行安全C.人员安全D.数据安全分析：信息系统安全管理体系3 .技术体系（1）物理安全。（2）运行安全。（3）数据安全。参考答案：C14年下试题26代理服务器防火墙主要使用代理

9、技术来阻断内部网络和外部网络之间的通信，达到隐蔽内部网络的目的。以下关于代理服务器防火墙的叙述中，（）是不正确的。A .仅“可以信赖的”代理服务才允许通过B .由于已经设立代理，因此任何外部服务都可以访问允许内部主机使用代理服务器访问In ternetD .不允许外部主机连接到内部安全网络分析：代理服务器型防火墙， 则是利用代理服务器主机将外部网络和内部网络分开。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部的网卡一样，从而可以达到隐藏内部网络结构的作用。内部网络的主机，无需设置防火墙为网关，只需直接将需要服务 的IP地址指向代理服务器主机，就可以获取In ternet资源。

10、参考答案：B15年上试题2323、 不同安全等级的安全管理机构应该建立自己的信息系统安全组织机构管理体系。在该体系中，最低级别的安全管理要求是（）。A 建立信息安全保密管理部门成立安全领导小组建立安全职务部门配备安全管理人员分析：排除法。信息系统安全管理体系管理体系在组织机构中虚建立安全管理机构，不同安全等级的安全管理机构可按下列顺序逐步建 立自己的信息系统安全组织机构管理体系。（1）配备安全管理人员：管理层中应有一人分管信息系统安全工作，并为信息系统的 安全管理配备专职或兼职的安全管理人员。（2）建立安全职能部门：在（1）的基础上，应建立管理信息系统安全工作的职能部门， 或者明确制定一个职能

11、部门监管信息安全工作，作为该部门的关键职责之一。（3）成立安全领导小组：在（2）的基础上，应在管理层成立信息系统安全管理委员会或信息系统安全领导小组， 对覆盖全国或跨她区的组织机构，应在总部和下级单位建立各级信息系统安全领导小组，在基层至少要有一位专职的安全管理人员负责信息系统安全工作。（4）主要负责人出任领导：在（3）的基础上，应由组织机构的主要负责人出任信息系 统安全领导小组负责人；（5）建立信息安全保密管理部门：在（4）的基础上，应建立信息系统安全保密监督管理的职能部门，或对原有保密部门明确信息安全保密管理责任，加强对信息系统安全管理重要过程和管理人员的保密监督管理。参考答案：D试题24

12、24、信息安全的级别划分为不同的维度，在下列划分中，正确的是（）。系统运行安全和保密有 5个层次，包括设备级安全、系统级安全、资源访问安全、功能性安全和数据安全机房分为4个级别：A级、B级、C级、D级根据系统处理数据的重要性，系统可靠性分A级和B级根据系统处理数据划分系统保密等级为绝密、机密和秘密分析：应用系统运行中的安全管理3 系统运行安全与保密的层次构成应用系统运行中涉及的安全和保密层次包括系统级安全、资源访问安全、功能性安 全和数据域安全。（p449）系统安全等级管理。（p451）根据应用系统所处理数据的秘密性和重要性确定安全等级，并据此采用有关规范和制定相应管理制度。安全等级可分为保密

13、等级和可靠性等级两种，系统的保密等级与可靠性等级可以不同。保密等级应按有关规定划为绝密、机密和秘密。可靠性等级可分为三级，对可靠性要求最高的为 A级，系统运行所要求的最低限度可靠性为C级，介于中间的为 B级。安全等级管理就是根据信息的保密性及可靠性要求采取相应的控制措施，以保证应用系统及数据在既定的约束条件下合理合法的使用。参考答案：D试题2525、下列属于对称密切加密算法的是（）。RSA加密体制B. DES加密体制C. BCC加密体制D. ELGamal加密体制分析：对称加密算法是应用较早的加密算法，技术成熟。在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后

14、，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对 密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。具体算法：DES算法，3DES算法，TDEA算法，Blowfish算法，RC5算法，IDEA 算 法。参考答案：B试题2626、 针对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃，通过其他安全工具或策略来消除隐患属于安全保护措施中的（）。应用安全物理安全介质安全数据安全分析:应用安全，顾名思义就是保障应用程序使用

15、过程和结果的安全。简言之，就是针对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃,通过其他安全工具或策略来消除隐患。参考答案：A15年下试题2222、某公司财务管理数据只能提供给授权用户，权的个人、实体或过程利用或知悉，以确保数据的（通过采取安全管理措施确保不能被未授）A、保密性B、完整性分析：送分题。阅读理解，顾名思义即可。应用安全物理安全介质安全数据安全分析:应用安全，顾名思义就是保障应用程序使用过程和结果的安全。简言之，就是针对应用程序或工具在使用过程中可能出现计算、传输数据的泄露和失窃,通过其他安全工具或策略来消除隐患。参考答案：A15年下试题2222、某公司财务管理数据

16、只能提供给授权用户，权的个人、实体或过程利用或知悉，以确保数据的（通过采取安全管理措施确保不能被未授）A、保密性B、完整性分析：送分题。阅读理解，顾名思义即可。参考答案：AC、可用性D、稳定性试题2323、访问控制是信息安全管理的重要内容之一，以下关于访问控制规则的叙述中，（）是不正确的A、应确保授权用户对信息系统的正常访问B、防止对操作系统的未授权访问C、防止对外部网络未经授权进行访问，对内部网络的访问则没有限制D、防止对应用系统中的信息未经授权进行访问分析：访问控制是为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用的安全措施参考答案：C试题2424、依据（2007）

17、43号信息安全等级保护管理办法级分为（）级，我国对信息系统的安全保护等A、三B、五C、四分析：信息安全等级保护管理办法第七条信息系统的安全保护等级分为以下五级：但不第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害, 损害国家安全、社会秩序和公共利益。但不第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害， 或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后， 会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后， 会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级

18、，信息系统受到破坏后，会对国家安全造成特别严重损害。参考答案：B试题2525、 为了保护计算机机房及其设备的安全，（）做法是不合适的。A、机房地板的材质应控制在不易产生静电的范围B、机房隔壁为卫生间或水房，一旦发生火灾便于取水灭火C、机房的供电系统应将计算机系统供电与其他供电分开D、机房设备应具有明显的且无法去除的标记，以防更换和便于追查分析：机房隔壁不能为卫生间或水房，因为漏水等情况会对机房造成损害，同时机房肯定不能用水来灭火了。参考答案：B试题2626、 为保障数据的存储和运输安全，防止信息泄露，需要对一些数据进行加密。由于对 称密码算法（），所以特别适合对大量的数据进行加密。A、比非对称

19、密码算法更安全B、比非对称密码算法密钥更长C、比非对称密码算法效率更高D、还能同时用于身份认证分析：对称与非对称密码算法都可以用于加密，但是由于对称密码算法加解密效率比非对称算法高很多，因此常用于对大量数据的加密。参考答案：C16年上试题2121、 某市在选择云计算数据中心建设场地时，需要考虑机房安全保护的多项要求，其中不包括（）。A 附近区域没有易燃物B 附近区域没有污染源C.避开公众干扰区D为防潮选择建筑物的高层分析：（1）机房场地选择。根据对机房安全保护的不同要求，机房场地选择分为如下几种。基本要求：按一般建筑物的要求进行机房场地选择。防火要求：避开易发生火灾和危险程度高的地区，如油库和

20、其他易燃物附近的区域。防污染要求：避开尘埃、有毒气体、腐蚀性气体和盐雾腐蚀等环境污染的区域。防潮及防雷要求：避开低洼、潮湿及落雷区域。防震动和噪声要求：避开强震动源和强噪声源区域。防强电场、磁场要求；避开强电场和强磁场区域。防地震、水灾要求：避开有地震、水灾危害的区域。位置要求；避免在建筑物的高层以及用水设备的下层或隔壁。防公众干扰要求：避免靠近公开区域，如运输通道、停车场或键厅等。参考答案：D试题2222、 堡垒主机是一台完全暴露给外网的主机，在维护内网安全方面发挥着非常大的作用。以下关于堡垒主机的叙述中，不正确的是：（）。A 堡垒主机具有输入输出审计功能B 需要设置防火墙以保护堡垒主机C.

21、堡垒主机能配置网关服务D 堡垒主机一般配置两块网卡分析：堡垒主机是一种被强化的可以防御进攻的计算机，作为进入内部网络的一个检查点，以达到把整个网络的安全问题集中在某个主机上解决，从而省时省力，不用考虑其它主机的安全的目的。堡垒主机是网络中最容易受到侵害的主机，所以堡垒主机也必须是自身保护最完善的主机。一个堡垒主机使用两块网卡，每个网卡连接不同的网络。 一块网卡连接你公司的内部网络用来管理、控制和保护，而另一块连接另一个网络，通常是公网也就是In ternet。堡垒主机经常配置网关服务。 网关服务是一个进程来提供对从公网到私有网络的特殊协议路 由，反之亦然。参考答案：B试题2323、 SSL主要

22、利用数据加密技术，以确保数据在网络传输过程中不会被截取及窃听。该 协议运行在网络的（）。A .数据链路层B .传输层与应用层之间传输层应用层与会话层之间分析：SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。参考答案：B试题2424、计算机网络安全是指利用管理和技术措施，保证在一个网络环境里，信息的（）受 到保护。A .完整性、可靠性及可用性B .机密性、完整性及可用性C.可用性、完整性及兼容性D 可用性、完整性及冗余性分析：国际标准ISO/IEC27001: 2005信息技术.安全技术.信息安全管理体系.要求标准 中给出目前国际上的一个公认的信息安全的定义：“保护信息的保密性、完整性、可用性。参考答案：B试题2525、 系统运行的安全检查是安全管理中的一项重要工作，旨在预防事故、发现隐患、指导整改。在进行系统运行安全检查时，不恰当的做法是：（）。A 定期对系统进行恶意代码检查，包括病毒、木马、隐蔽通道等B 检查应用系统的配置是否合理和适当C.检查应用系统的用户权限分配是否遵循易用性原则D .检查应用系统的可用性，包括系统的中断时间、正常服务时间、恢复时间等分析：应用系统的访问控制检查。 包括物理和逻辑访问控制，是否按照规定的策略和程序进行访问权限的增加、变更和取消，用户权限的分配