2023年商业经济行业技能考试-ISMS信息安全管理体系审核员考试历年重点考核试题含答案

2023年商业经济行业技能考试-ISMS信息安全管理体系审核员考试历年重点考核试题含答案（图片大小可自由调整）第1卷一.参考题库(共50题)1.基于风险的考虑，组织应予以管理的第三方服务的变更包括（）A、服务级别的变更B、第三方后台服务流程的变更C、服务定义的变更D、服务提供人员的变更2.GB/T22080标准中所指"组织与外部方交换信息和软件的协议"必须包含的内容是（）A、相关各方的信息安全责任和义务B、相关各方的商务利益C、相关各方的技术支持责任D、质量保证条款3.针对获证组织扩大范围的审核，以下说法正确的是（）A、一种特殊审核，可以和监督审核一起进行B、是监督审核的形式之一C、审核时抽样的样本范围和监督审核相同D、以上都对4.ISO/IEC27001是（）A、以信息安全为主题的管理标准B、与信息安全相关的技术性标准C、编制业务连续性计划的指南D、以上都不是5.对一段时间内发生的信息安全事件类型、频次、处理成本的统计分析（）A、属于事件管理B、属于问题管理C、属于变更管理D、属于配置管理6.使用电子通信设施进行信息交换的规程和控制宜考虑（）A、电子通信设施可接受使用的策略或指南B、检测和防止可能通过使用电子通信传输的恶意代码的规程C、维护数据的授权接受者的正式记录D、密码技术的使用7.在本地服务器上不启动动态主机配置协议（DHCP），可以：（）A、降低未授权访问网络资源的风险B、不适用于小型网络C、能自动分配IP地址D、增加无线加密协议（WEP）相关的风险8.依据GB/T22080，为防止信息未授权的泄露或不当使用，介质处置时的信息处理规程须规定：（）A、向介质写入信息时如何确保符合安全要求B、介质在改变用途前如何妥善处理信息确保符合安全要求C、介质在弃置前如何妥善处理信息确保符合安全要求D、A+B+C9.可以通过使用适宜的加密技术实现的安全目标包括（）A、信息的保密性B、信息的完整性C、信息的真实性D、信息的抗抵赖性10.据国家发布的规定，以下哪些人员不得在一个认证机构从事认证活动（）A、已经在另外一个认证机构从事认证活动的人员B、国家公务员C、从事认证咨询活动的人员D、已经与认证咨询机构签订合同的认证咨询人员11.为防止对网络服务的未授权访问，组织应（）A、制定安全策略，确保用户应仅能访问已获专门授权使用的服务B、禁止内部人员访问互联网C、禁止外部人员访问组织局域网D、以上都对12.在市核中发现了正在使用的某个文件，这是（）。A、审核准则B、审核发现C、审核证据D、車核结论13.加密技术可以提高可用性。14.对计算机病毒和危害社会公共安全的有害数据的防治研究工作由：（）A、工业和信息化部归口難。B、公安部归口管理。C、国家互联网信息办公室归口管理。D、信息安全产品研制企业自行管理。15.审核组中的技术专家是（）A、为审核组提供文化、法律、技术等方面知识咨询的人员B、特別负责对受审核方的专业技术过程进行审核的人员C、审核期间为受审核方提供技术咨询的人员D、从专业的角度对审核员的审核进行观察评价的人员16.当计划对组织的远程办公系统进行加密吋，应该首先冋答下面哪一个问题？（）A、什么样的数据属于机密信息B、员工需要访问什么样的系统和数据C、需要什么样类型的访问D、系统和数据具有什么样的敏感程度17.为了实现在网络上自动标识设备，以下做法错误的是（）A、启用动DHCP动态分配IP地址功能B、为网络设备分配固定IP地址。C、将每一台计算机MAC与一个IP地址绑定D、采取有效措施禁止修改MAC18.关于口令管理系统，描述正确的有（）A、口令是确认用户具有访问计算机服务的授权的主要手段之一B、维护用户以前使用的口令的记录，并防止重复使用C、分开存储口令文件和应用系统数据D、不允许用户变更自己的口令19.信息安全管理中，关于脆弱性，以下说法正确的是（）A、组织使用的开源软件不须考虑其技术脆弱性B、软件开发人员为方便维护留的后门是脆弱性的一种C、识别资产脆弱性时应考虑资产的固有特性，不包括当前安全控制措施使信息系D、统与网络物理隔离可社绝其脆弱性被威胁利用的机会20.将收集到的审核证据对照（）进行评价的结果是审核发现。A、GB/T22080标准B、法律、法规要求C、审核准则D、信息安全管理体系文件21.标准GB/T22080中"物理安全周边”指的是（）A、组织的建筑物边界  B、计算机机房出入口 C、组织的前台接待处 D、含有信息和信息处理设施的区域周边22.监视和评审ISMS是为了统计和评估已造成不良后果的安全违规和事件。23.从安全的角度来看，能提前做好安全防范准备的组织，对安全事件的处理不恰当的是（）A、较高的成本，较小的事件，较慢的恢复B、中等成本，中等的事件，屮等速度的恢复C、较低的成本，较小的事件，较快的恢复D、较高的成本，较大的事件，较快的恢复24.对于用户访问信息系统使用的口令，以下说法正确的是（）A、口令必须定期更换B、同一工作组的成员可以共享口令C、如果使用生物识别技术，可替代口令D、如果使用智能卡鉴别技术，可替代U令25.标准GB/T22080中“支持性设施”指的是（）A、UPS电源B、电力设施C、空调系统D、消防设施26.应用系统的设计与实施宜确保导致完整性损坏的处理故障的风险减至最小，要考虑的特定范围包括（）A、确认系统生成的输入数据B、使用添加、修改和删除功能，以实现数据变更C、使用适当的规程恢复故障，以确保数据的正确处理D、防范利用缓冲区超出/益处进行的攻击27.信息安全管理体系初次认证审核时，第一阶段审核应（）A、对受审核方信息安企管理体系的策划进行审核和评价，对应GB/T22080-2008的4.2.1条要求B、对受审核方信息安全管理体系的内部审核及管理评审的有效性进行审核和评价C、对受审核方信息安全管理体系文件的符合性、适宜性和有效性进行审核和评价D、对受审核方信息安全管理体系文件进行审核和符合性评价28.认证审核期间，当审核证据表明审核目的不能实现时，审核组应（）A、—起讨论，决定后续措施B、审核组长权衡，决定后续措施C、由受审核方决定后续措施D、报告审核委托方并说明理由，确定后续措施29.选择的控制目标和控制措施、以及选择的原因应记录在下列那个文件中：（）A、安全方针B、风险评估报告C、适用性声明D、风险处置计划30.认证审核前，审核组长须与受审核方确认审核的可行性，特别应考虑（）A、核实组织申请认证范围内需接受审核的组织结构、场所分布等基本信息B、注总审核的程序性安排事先应对受审核组织保密C、注意审核拟访问的文件、记录、场所等事先应对受审核组织保密D、要求受审核组织做好准备向审核组开放所有信息的访问权31.信息安全管理体系认证审核的范围即（）A、组织的全部经营管理范围B、组织的全部信息安全管理范围C、组织根据其业务、组织、位置、资产和技术等方面的特性确定信息安企管理体系范围D、组织承诺按照GB/T22080标准要求建立、实施和保持信息安全管理体系的范围32.文件控制指的是文件编制、评审、批准、发放、修订、作废等过程的控制。33.依据GB/T22080，信息的标记应表明（）A、相关供应商信息、日期、资产序列号B、其敏感性和关键性的类别和等级C、所属部门和批准人D、信息的性质，如软件、文档34.以下说法正确的是（）A、审核组的每一次审核，均应向委托所是交审核报告。B、认证审核的一阶段审核可视情况决定是否需要提交审核报告。C、监督审核不要求提交审核报告。D、特殊审核可视情况决定是否需要提交审核报告。35.认证审核前，审核祖长须与受审核方确认审核的可行性，特别应考虑（）A、核实组织申请认证范围内需接受审核的组织结构、场所分布等基本信息B、注意审核的程序性安排事先应对受审核组织保密C、注意审核拟访问的文件、记录、场所等事先应对受审核组织保密D、要求受审核组织做好准备向审核组开放所有信息的访问权36.文件初审是评价受审方ISMS文件的描述与审核准则的（）A、充分性和适宜性B、有效性和符合性C、适宜性、充分性和有效性D、以上都不对37.不属于WEB服务器的安全措施的是（）A、保证注册帐户的时效性B、删除死帐户C、强制用户使用不易被破解的密码D、所有用户使用一次性密码38.确定资产的可用性要求须依据（）A、授权实体的需求B、信息系统的实际性能水平C、组织可支付的经济成本D、最高管理者的决定39.审核人日数的计算方式是审核天数乘以（）A、审核组中审核员+实习审核员+技术专家+观察员的总人数B、审核组中审核员+实习审核员的总人数C、审核组中审核员的总人数D、审核组屮审核员+实审核员+技术专家的总人数40.数据信息资源的访问控制指（）A、允许访问者访问即访问者可获取、拷贝或其他访问者需要的操作。B、允许访问者访问即访问者按访问权规定的的方式访问数据信息资源。C、编制一份授权实体清单并保持不变。D、如果访问时间足够短则不须提请批准。41.对程序源代码访问控制的目的包括（）A、避免无意识的变更B、以减少潜在的计算机程序的破坏C、以防引入非授权功能D、维护所有软件更新的版本控制42.审核员的检査表应（）A、事先提交受审核方评审确认B、基于审核准则事先编制C、针对不同的受审核组织应统一格式和内容D、由审核组长负责编制审核组使用的检査表43.以下属于信息安全事件的情况是（）A、通信线路出现未知的干扰噪声B、邮件通信被捆绑垃圾邮件C、监视系统侦测到未遂的尝试破解密码行为D、B+C44.认证审核时，审核拟抽査的样本应（）A、由受审核方熟悉的人员事先选取，做好准备。B、由审核组明确总体并在受控状态下独立抽样。C、由审核组和受审核方人员协商抽样。D、由受审核方安排的向导实施抽样。45.组织应进行安全需求分析，规定对安全控制的要求，由（）A、组织需建立新的信息系统时B、组织的原有信息系统扩容或升级时C、组织向顾客交付软件系统时D、A+B46.系统备份与普通数据备份的不同在于，它不仅备份系统屮的数据，还备份系统中安装的应用程序、数据库系统、用户设置、系统参数等信息，以便迅速（）A、恢复全部程序B、恢复网络设置C、恢复所有数据D、恢复整个系统47.关于认证人员执业要求以下说法正确的是（）A、注册审核员只能在一个认证机构和一个咨询机构执业B、注册审核员和认证决定人员只能在一个认证机构执业C、注册审核员只能在一个认证机构执业，非注册的认证决定人员不受此限制D、在咨询机构任专职咨询师的人员，只能在认证机构任兼职认证决定人员48.确定组织的信息安全管理体系范围应依据（）A、组织整体业务活动的性质B、组织计算机信息系统以及其他技术的特性C、组织的资产所处的位置和物理环境D、以上全部49.信息安全灾备管理中，"灾难备份"指（）A、备份数据发生了灾难性破坏B、为灾难恢复而对数据、数据处理系统、网络系统进行备份的过程C、为灾难恢复而对基础设施、专业技术支持能力和运行管理能力进行备份的过程D、B+C50.信息安全管理中的灾难恢复计划应描述的内容包括（）A、灾难后信息系统恢复过程所需要的数据和资源B、灾难后信息系统恢复过程所需要的任务和行动计划C、A+BD、一份描述原信息系统配置清单的文件第1卷参考答案一.参考题库1.正确答案:A,C,D2.正确答案:A3.正确答案:A4.正确答案:A5.正确答案:A6.正确答案:A,B,C,D7.正确答案:A8.正确答案:D9.正确答案:A,B,C,D10.正确答案:A,B,C,D11.正确答案:A12.正确答案:A13.正确答案:错误14.正确答案:B15.正确答案:A16.正确答案:D17.正确答案:A18.正确答案:A,B,C19.正确答案:B20.正确答案:C21.正确答案:D22.正确答案:错误23.正确答案:A,B,D24.正确答案: