劳顿管理信息系统习题集信息系统安全

第8章信息系统安全单选题（一）________指用来避免对信息系统非授权的访问、更改、盗窃或者物理损害的政策、环节和技术方法。A）"安全"B）"控制"C）"基准"D）"算法"E）"身份管理"Answer:ADifficulty:Moderate________是确保组织资产安全资产统计精确、可靠，操作符合管理原则的办法、政策和组织流程。A）"遗留系统"B）"SSID原则"C）"漏洞"D）"安全政策"E）"控制"Answer:EDifficulty:Moderate绝大多数计算机病毒会产生A）蠕虫B）特洛伊木马C）下载驱动D）键盘统计E）有效载荷Answer:EDifficulty:Easy下面有关无线网络安全的表述不对的的是A）Wi-Fi网络中识别访问点的服务集标记（servicesetidentifier，SSID）多次广播，能够很容易地被入侵者的监听程序窃取B）无线频率的波段很容易被监测到.C）与一种接入点关联起来的入侵者通过使用对的的SSID就能够访问网络上的其它资源。D）入侵者能够强行将顾客的NIC和欺诈接入点连接起来E）蓝牙是唯一的不易被监听的无线技术.Answer:EDifficulty:Challenging下列全部特定的安全挑战，都威胁到客户端/服务器环境中的通信线路，除了：A）错误B）窃听C）偷盗和欺诈D）辐射E）嗅探Answer:ADifficulty:Challenging下面全部的安全挑战都威胁到客户端/服务器环境中的公司服务器，除了A）黑客攻击B）恶意软件C）回绝服务攻击D）嗅探E）故意破坏Answer:DDifficulty:Challenging下面全部的安全挑战都威胁到客户端/服务器环境中的公司系统，除了A）数据被盗B）复制数据C）数据的更改D）辐射E）硬件故障Answer:DDifficulty:Challenging

是一种A）蠕虫B）SQL注入攻击C）嗅探器D）邪恶双胞E）讹诈软件Answer:EDifficulty:Easy下列哪个有关互联网安全的陈说是不对的的？A）使用对等P2P网络共享文献可能把公司计算机上的信息向外界泄露B）不提供互联网连接的公司网络比提供互联网连接的公司网络更加安全C）VoIP（使用互联网合同管理语音传送的设施）比语音交换网络更加安全D）即时信息活动可觉得黑客提供其它的安全的网络E）智能手机和其它网络设备同样含有相似的安全弱点Answer:CDifficulty:Challenging特洛伊木马（Trojanhorse）是A）一种软件程序，它看似良性但是会做出超出预期的事情。B）一种能够快速复制的病毒C）是一种以快速移动的近东马命名的恶意软件D）在顾客计算机上安装间谍软件E）一种用于渗入公司网络的嗅探器Answer:ADifficulty:Easy某个销售人员重复点击其竞争者的在线广告以提高其广告成本。这是一种什么例子？A）网络钓鱼B）网络嫁接C）电子欺骗D）邪恶双胞E）点击欺诈Answer:EDifficulty:Moderate下面哪一种是一种运用Windows软件漏洞远程控制计算机的病毒A）SasserB）ZeusC）CryptolockerD）ILOVEYOUE）ConfickerAnswer:EDifficulty:Challenging是一种恶意软件，通过劫持顾客计算机并讹诈赎金来偿还控制权A）特洛伊木马B）RansomwareC）间谍软件D）病毒E）邪恶双胞Answer:BDifficulty:Moderate是一种恶意软件，统计并传输顾客键入的每一种按键A）间谍软件B）特洛伊木马C）键盘统计器D）蠕虫E）嗅探器Answer:CDifficulty:Easy有关僵尸网的描述，哪一项是不对的的A）世界上80%的恶意软件通过僵尸网传输B）僵尸网经惯用于DDoS攻击C）世界上90%的垃圾软件通过僵尸网传输D）僵尸网经惯用于点击欺诈E）智能手机不可能构成僵尸网Answer:EDifficulty:Challenging使用许许多多的计算机从无数的发射点来沉没网络被成为________攻击。A）分布式回绝服务攻击（DDoS）B）回绝服务攻击（DoS）C）SQL注入攻击D）网络钓鱼E）僵尸网络Answer:ADifficulty:Moderate下列哪一项不是用作犯罪目的的计算机的例子？A）故意访问受保护的计算机以进行欺诈B）未经授权进入计算机系统C）非法访问存储的电子通信D）恐吓要去破坏受保护的计算机E）违反受保护的计算机化数据的机密性Answer:CDifficulty:Moderate下列哪一项不是计算机用作犯罪工具的例子？A）窃取商业机密B）故意尝试拦截电子通信C）软件未经授权的复制D）泄漏保密性的受保护的计算机数据E）策划诈骗Answer:DDifficulty:Challenging下列哪项具体使恶意软件传输和黑客攻击严禁网站成为联邦犯罪？A）计算机欺诈和滥使用方法案B）经济间谍法C）电子通信隐私法D）数据安全和违反告知法E）国家信息基础设施保护法Answer:EDifficulty:Moderate故意中断、毁坏，甚至摧毁一种网站的行为是A）欺骗B）网络破坏C）网络战D）网络钓鱼E）嫁接Answer:BDifficulty:Moderate邪恶双胞（eviltwins）是A）顾客看起来是正当的商业软件应用程序的木马程序。B）模仿正当业务的电子邮件消息的电子邮件。C）模仿正当经营网站的欺诈网站。D）使用IP地址和授权计算机标记以欺诈方式访问网站或网络的计算机。E）伪装成提供可信的Wi-Fi因特网连接的无线网络。Answer:EDifficulty:Easy嫁接（pharming）指的是A）将顾客引导到一种欺骗网页，即便顾客在其使用的浏览器中输入了对的的网址。B）冒充正当公司的代表以收集其安全系统的信息。C）设立假网站，询问顾客机密信息。D）使用电子邮件进行威胁或骚扰。E）设立虚假的Wi-Fi接入点，看起来仿佛是正当的公共网络Answer:ADifficulty:Moderate下列哪项是造成网络安全漏洞的最大因素？A）病毒B）顾客缺少知识C）特洛伊木马D）网络战E）错误Answer:BDifficulty:Moderate冒充一种公司的正当组员欺骗员工透露他们的密码被称为A）网络监听B）社交工程C）网络钓鱼D）嫁接E）窥探Answer:BDifficulty:Easy根据PonemonInstitute网络犯罪年度成本研究，美国公司的网络犯罪年均成本约为：A）150万美元。B）1500万美元。C）1.5亿美元。D）15亿美元。E）150亿美元。Answer:BDifficulty:Moderate窃听者在外面的建筑物或者公园里进行操纵，以拦截无线网络的流量的入侵方式被称为：A）驾驶攻击B）嗅探C）恶意网络破坏D）驾驶窃听E）窥探Answer:ADifficulty:Moderate________是一种冒名获得个人核心信息如社保号、驾照号、信用卡号等，以假冒别人的犯罪。A）身份盗用B）欺骗C）社会工程D）邪恶双胞胎E）域欺骗Answer:ADifficulty:Easy________识别Wi-Fi网络中的接入点。A）NIC（无线网络接口控制器）B）Mac地址C）URL（统一资源定位器）D）UTM（一体化威胁管理）E）SSID（服务集标记）Answer:EDifficulty:Challenging试图进入政府网络以禁用国家电网的外国是：A）网络钓鱼B）回绝服务攻击C）网络战D）网络恐怖主义E）邪恶双胞Answer:CDifficulty:Moderate根据JavelinStrategy＆Research的身份欺诈研究，消费者在身份欺诈方面遭受多少损失？A）150万美元B）1500万美元C）1.5亿美元D）15亿美元E）150亿美元Answer:EDifficulty:Moderate下列全部因素造成软件缺点增加，除了：A）软件程序日益复杂。B）软件程序的规模不停扩大。C）及时交付市场的规定。D）无法完全测试程序。E）谋求系统访问的恶意入侵者的增加。Answer:EDifficulty:Easy下面哪项是键盘统计器的例子A）ZeusB）ConfickerC）SasserD）ILOVEYOUE）CryptolockerAnswer:ADifficulty:Easy对错题（一）智能手机和其它网络设备同样含有相似的网络弱点。Answer:TrueDifficulty:ModerateAppleiOS平台是黑客最常攻击的移动平台。Answer:FALSEDifficulty:Easy病毒能够通过电子邮件传输。Answer:TRUEDifficulty:Easy“cracker”一词用于识别专门破坏开放安全系统的黑客。Answer:FALSEDifficulty:Easy无线网络很难受到攻击由于无线频率的波段很难被监测到。Answer:FalseDifficulty:Moderate电脑病毒比电脑蠕虫复制的更快。Answer:FALSEDifficulty:Easy一种形式的欺骗涉及在电子邮件上伪造返回地址，以使电子邮件看起来来自发件人以外的其别人。Answer:TRUEDifficulty:Moderate嗅探器程序使黑客能够从网络中任何地方盗取有价值的私有信息，涉及电子邮件消息、公司文献和机密报告等。Answer:TRUEDifficulty:Moderate回绝服务（DoS）攻击是用来摧毁信息和公司信息系统的限制访问区域。Answer:FALSEDifficulty:Moderate较大的程序无法实现零缺点。根本不可能对软件进行完整测试。如果对包含数以千计的选择代码和数以百万计的执行途径的程序进行充足测试，耗时可能需要多达数千年。Answer:TRUEDifficulty:Moderate大多数物联网设备都支持复杂的安全办法Answer:FALSEDifficulty:Moderate恶意软件程序指的是一系列间谍软件，涉及多个计算机病毒、蠕虫和木马。Answer:FALSEDifficulty:Easy问答题（一）无线网络面临的安全挑战是什么？参考答案：无线网络容易受到攻击，由于无线频率的波段很容易被监测到。蓝牙和Wi-Fi网络都容易受非法偷听者的入侵。使用802.11原则的局域网（LAN）也能够被外部入侵者通过手提电脑、无线网卡、外置天线和黑客软件容易地侵入。黑客使用这些软件来发现没有防护的网络、监视网络流量，在某些状况下还能够进入因特网或公司网络。Wi-Fi传输技术使得一种基站能够很容易找到并接听另一种基站。Wi-Fi网络中识别访问点的服务集标记SSID（servicesetidentifier）多次广播，能够很容易地被入侵者的监听程序窃取。诸多地区的无线网络没有基本的保护来抵抗驾驶攻击（wardriving）。这种入侵方式，窃听者在外面的建筑物或者公园里进行操纵，以拦截无线网络的流量。入侵者能够使用802.11分析工具识别SSID。与一种接入点关联起来的入侵者通过使用对的的SSID就能够访问网络上其它资源。例如，入侵者能够使用Windows操作系统来拟定尚有哪些其它顾客连接到网络，然后进入他们的计算机硬盘驱动区，打开或复制他们的文献。入侵者还会使用另一种不同的无线频道设立欺诈接点来收集的信息。入侵者还会使用其收集到的信息在不同的无线频道上建立欺诈点。该欺诈接点的物理位置与顾客靠近，这样强行使顾客的无线网络接口控制器NIC（networkinterfacecontroller）与该接点关联起来。一旦关联成功，黑客就能够通过欺诈接点捕获不知情的顾客的顾客名和密码。Difficulty:Challenging解释SQL注入攻击如何工作，哪种类型的系统更容易受到攻击？参考答案：SQL注入攻击运用编码较差的Web应用软件中的漏洞，将恶意程序代码引入公司的系统和网络。当顾客在网页上输入数据时，Web应用程序无法对的验证或过滤，就会发生这些漏洞，这种状况在网上订购时很有可能发生。攻击者运用输入验证错误，将“流氓SQL查询”发送终究层数据库以访问数据库，植入恶意代码或访问网络上的其它系统。使用数据库的大型Web应用程序最容易收到攻击，由于他们有数百个输入顾客数据的地方，每个地方都为SQL注入攻击发明了机会。Difficulty:Challenging公司的信息系统和数据的安全性如何受到人、组织和技术这几个维度的影响？这些维度与否存在某一种的奉献比另一种更大？为什么？参考答案：保护信息系统的技术要点有:防火墙、认证、加密、防病毒保护等。如果没有对的地布署技术，就根本谈不上安全。在存在贪污、内部欺诈，错误，和没有严格执行的安全政策下，公司的雇员是其安全的最大威胁。组织可能成为最重要的维度，由于这是决定公司的业务流程和政策的决定性因素。通过强调安全系统的智能设计，安全技术的对的使用以及安全流程的可用性，公司的信息政策能够提高其安全性。Difficulty:Challenging单选题（二）1996年的HIPAA法案A）规定金融机构确保客户数据的安全。B）指定信息系统安全和控制的最佳实践。C）对公司和管理层施加责任以保障财务信息的精确性。D）概述医疗安全和隐私规则。E）将计算机滥用视为犯罪并定义滥用活动。Answer:DDifficulty:ModerateGramm-Leach-Bliley法案：A）规定金融机构要确保客户数据安全保密。B）指定信息系统安全和控制的最佳实践。C）对公司和管理层负责以保障财务信息的精确性。D）概述医疗安全和隐私规则。E）将计算机滥用视为犯罪并定义滥用活动。Answer:ADifficulty:Challenging萨班斯-奥克斯利（Sarbanes-Oxley）法案A）规定金融机构要确保客户数据安全保密。B）指定信息系统安全和控制的最佳实践。C）对公司和管理层施加责任以保障财务信息的精确性。D）概述医疗安全和隐私规则。E）将计算机滥用视为犯罪并定义滥用活动。Answer:CDifficulty:Moderate最常见的电子证据类型是A）语音邮件B）电子表格C）即时消息D）电子邮件E）VoIP数据Answer:DDifficulty:Moderate下面的那一项是环境数据？A）包含近来系统错误的计算机日志B）从硬盘中删除的文献C）包含应用程序顾客设立的文献D）来自环境传感器的一组原始数据E）已统计的数据Answer:BDifficulty:Easy计算机取证不涉及A）在法庭上提交收集的证据。B）安全地存储恢复的电子数据。C）在计算机上收集物理证据。D）在大量电子数据中找到重要信息。E）从计算机恢复数据，同时保持证据完整性。Answer:CDifficulty:Moderate对错题（一）由于数据泄露，Target不得不向美国银行，信用卡公司和消费者支付超出1亿美元。Answer:TRUEDifficulty:Easy问答题（二）系统建设者和顾客的三项重要关注点是灾难，安全和人为错误。在这三项之中，你认为最难对付的是什么？为什么？参考答案：学生的Answer会有所不同。参考Answer涉及:灾难可能是最难对付的，由于它是意想不到的，影响广泛的，并且经常会危及生命。另外，公司不懂得其灾难计划与否会在灾难发生时产生效果，而那时再作改正也为时太晚。安全可能是最困难的，由于它是一种正在进行的问题，新病毒不停被发明，黑客变得更加狡猾。另外，系统安全方法也无法排除由受信任的员工从内部进行的破坏。人为错误可能是最困难的，由于被抓届时经常为时已晚，并且后果可能是灾难性的。另外，在公司内部，行政错误能够发生在任何级别，并通过任何操作或程序发生。Difficulty:Challenging黑客和他们的伙伴病毒是一种不停严重的问题，特别是在互联网上。一种公司保护自己免受这些困扰的最重要的方法有什么？彻底的保护可行吗？为什么？参考答案：为了保护自己，公司必须构建良好的安全方法，这涉及防火墙，调查人员，物理和软件安全和控制，防病毒软件，和内部教育方法。而这些方法最佳在做系统设计的时候就应当到位并且格外关注。一种谨慎的公司将布署灾害保护方法，频繁更新安全软件，并经常审计的全部安全方法和公司的全部数据。考虑届时间和费用，彻底的保护可能不可行，但风险分析能够洞察到哪些领域是最重要的和脆弱的。这些都是需要优先保护的领域。Difficulty:Moderate描述计算机取证的定义并描述其要解决的问题类型。参考答案：计算机取证（computerforensics）是指对存储在计算机介质或从计算机介质中提取到的数据进行科学收集、审查、授权、保存和分析，使其能够在法律诉讼中作为证据使用。它涉及以下问题:●在保护证据的完整性前提下从计算机中恢复数据●安全地存储和解决恢复的电子数据●在大量电子数据中寻找重要信息●向法庭提交信息电子证据能够以计算机文献或环境数据的形式留存在计算机存储介质中。环境数据是对普通顾客不可见的数据，例如计算机硬盘中删除的文献就属于环境数据。顾客删除的计算机存储介质上的数据，能够通过某些技术手段进行恢复。计算机取证专家能够尽量恢复这类隐藏数据以作为证据呈现。计算机取证意识应当反映在公司应急解决预案中。Difficulty:Challenging单选题（三）你的公司是一家在线宠物用品折扣商店，已经计算出3小时的互联网连接损失可能造成2,000美元至3,000美元的损失，并且每年有50％的可能性发生这种状况。那么本次曝光的年度预期损失是多少？A）500美元B）1,000美元C）1,250美元D）1,500美元E）2,500美元Answer:CDifficulty:Moderate应用软件控制：A）能够分为输入控制、过程控制和输出控制。B）管理计算机程序的设计、安全和使用，以及在整个组织中的数据文献的安全性。C）合用于全部的电脑应用，涉及硬件，软件和手动程序，目的是发明一种整体的控制环境。D）涉及软件控制，计算机操作控制和实施控制。E）监控系统软件的使用并避免未经授权的软件和程序访问。Answer:ADifficulty:Moderate________控件可确保磁盘或磁带上的有价值的业务数据文献在使用或存储时不会受到未经授权的访问，更改或破坏。A）软件B）行政C）数据安全性D）实施E）输入Answer:CDifficulty:Challenging针对信息系统安全事件发生的可能性及其成本的分析是A）安全方法B）可接受使用方略（AUP）C）风险评定D）业务影响分析E）业务可持续性分析Answer:CDifficulty:Moderate陈说信息风险登记、叙述可接受的安全目的涉及在：A）安全方法B）AUPC）风险评定D）业务影响分析E）业务持续性计划Answer:ADifficulty:Moderate下面哪项规定使用公司的信息资源和计算机设施的可接受行为A）信息系统审计政策B）CA方略C）MSSPD）UTM系统E）AUPAnswer:EDifficulty:Easy下列哪项重要关注保持系统正常运行的技术问题？A）业务持续规划B）安全政策C）故障恢复计划D）AUPE）信息系统审计Answer:CDifficulty:Moderate对错题（一）可接受的使用方略定义了针对不同顾客的可接受的信息资产访问级别。Answer:FALSEDifficulty:Moderate简答题（一）一种公司的安全政策如何为六大重要业务目的做出奉献？请举例阐明。Answer:1. 卓越运行:安全政策对公司卓越经营至关重要。一种公司的日常交易能够被网络犯罪如黑客严重破坏。一种公司的效率依赖于精确的数据。另外，信息资产含有巨大的价值，如果他们被丢失，被破坏，或者被坏人所掌控，后果将是消亡性的。2. 新产品，服务，商业模式:安全政策保护公司的新产品和服务创意，而这些可能被竞争对手窃取。另外，增强的安全性，在客户的眼中也能够作为产品差别化的一种方式。3. 客户和供应商关系:如果顾客输入个人数据到你的信息系统，例如，输入信用卡信息到你的电子商务网站，那么客户的信息就依赖于你的系统安全性。你收到的来自客户和供应商的信息则直接影响到你是如何定制您的产品，服务，或与他们沟通。4. 改善决策:安全的系统将数据的精确性作为其优先级，而良好的决策也依赖于精确和及时的数据。丢失和不精确的数据将会造成错误的决策。5. 竞争优势:你的公司拥有比其它公司更高的安全性，在其它方面都均等的状况下，你的公司更有吸引力。另外，改善的决策，新产品和服务，这也受到系统安全的影响（见上文），将有助于提高一种公司的竞争优势。强大的安全性和控制能力也提高了员工的工作效率并且减少运行成本。6. 生存:新的法律和法规迫使公司将安全系统保持最新成为公司的生存问题。安全和控制不充足可能造成严重的法律责任。公司有可能由于安全政策上的错误而被彻底摧毁。Diffiulty:Challenging信息系统审计的作用是什么？Answer:信息系统审计（infromationsystemsaudit）是指对公司的总体安全环境以及针对单个信息系统的控制方法进行检查。审计人员要跟踪样本数据在系统中的流动并进行测试。在有条件的状况下，公司可采用自动审计软件。信息系统审计可能也需要检查数据的质量。安全审计会对技术、环节、文档、培训和人事等进行检查。完全彻底的审计甚至会模拟攻击或灾难事件以测试技术、信息系统人员和公司员工的响应状况。安全审计会把控制方法中的全部缺点逐个列举出来，并评定它们发生的可能性，然后再评价每种缺点对组织产生的经济上的和组织上的影响。管理层需要制订应对方法使其在控制之中。Difficulty:Moderate故障恢复计划和业务持续规划有什么不同？Answer：故障恢复计划（disasterrecoveryplanning）是指制订出当计算和通信服务被破坏后，能够使其恢复工作的计划。故障恢复计划重要专注于维持系统正常运行方面的技术性问题，例如明确哪些文献需要备份以及后备计算机系统或故障恢复服务的维护等问题。业务持续计划（businesscontinuityplanning），在另首先，专注于解决通过故障冲击后，公司如何恢复其业务运行的问题。业务持续计划在系统因故障中断时，识别核心业务流程，并为公司核心职能制订行动方案。Difficulty:Easy单选题（四）下面哪项使用更强的安全原则和不停变化的密钥替代了WEP？A）TLSB）AUPC）VPND）WPA2E）UTMAnswer:DDifficulty:Challenging有关密码的表述不对的的是：A）使用密码无法建立身份验证。B）过于严格的密码系统可能会妨碍员工的工作效率。C）密码能够通过社会工程被盗。D）密码普通被员工无视。E）密码在通过网络传输时能够被嗅探。Answer:ADifficulty:Challenging身份验证令牌是A）包含访问权限数据的信用卡大小的设备B）智能卡的一种C）显示密码的小工具D）附着于数字授权文献的电子标记Answer:CDifficulty:Moderate下列全部内容现在都被用作能够通过生物身份认证进行分析的特性，除了：A）指纹B）面部特性C）体味D）视网膜图像E）声音Answer:CDifficulty:Moderate防火墙能够允许组织A）对内网和互联网之间的数据交换实施安全方略B）对内网和互联网之间的全部交易检查精确度C）在互联网上创立一种公司系统D）检查全部发出和接受的电子邮件内容E）对网络创立访问规则Answer:ADifficulty:Moderate使用扫描软件寻找类似于错误密码这样的问题，检查与否有重要文献被删除或者被修改，进行中的安全攻击或者系统管理出错。A）状态检查B）入侵检测系统C）应用程序代理过滤技术D）包过滤技术E）防火墙Answer:BDifficulty:Moderate现在，在互联网上使用的安全信息传输合同有A）TCP/IP和SSL.B）S-HTTP和CA.C）HTTP和TCP/IP.D）S-HTTP和SHTML.E）SSL,TLS和S-HTTP.Answer:EDifficulty:Easy下面哪一种加密办法是将一种单一的加密密钥发送给接受者，发送者和接受者共享相似的密钥？A）安全套接层合同（SSL）B）对称密钥加密C）公钥加密D）私钥加密E）分布式加密Answer:BDifficulty:Moderate数字证书系统：A）运用第三方机构来验证顾客身份的正当性B）运用数字签名来验证顾客身份的正当性C）运用令牌来验证顾客身份的正当性D）重要被个人用来做通信往来E）通过用证书替代可识别的特性来保护顾客的身份Answer:ADifficulty:Moderate下列全部都是信息系统的普通控制，除了：A）应用程序控制B）计算机操作控制C）物理硬件控制D）软件控制E）行政控制Answer:ADifficulty:Moderate对于100％的可用性，在线交易解决规定：A）大容量存储B）多层服务器网络C）容错计算机系统D）专用电话线E）数字证书系统Answer:CDifficulty:Easy为了控制网络流量减少网络拥塞，一项________技术用于检查数据文献，并将权限较低的在线文献分拣出来。A）高可靠计算B）深度包检测C）应用代理过滤D）状态检测E）一体化威胁管理Answer:BDifficulty:Challenging顾客必须提供两种类型的身份证明的身份验证系统，例如银行卡和PIN，称为：A）智能卡身份验证B）生物身份认证C）双因素认证D）对称密钥授权E）令牌认证Answer:CDifficulty:Moderate通过拟定数据包与否是发送方和接受方之间正在进行的对话的一部分，下列哪项提供了额外的安全性？A）NATB）包过滤C）深度包检测D）状态检测E）应用程序代理过滤Answer:DDifficulty:Moderate安全产品供应商把多个安全工具合并成一种单一的工具包。这些安全工具涉及防火墙、虚拟专用网络、入侵检测系统等。这种集成的安全管理产品称为________。A）DPIB）MSSPC）NSPD）PKIE）UTMAnswer:EDifficulty:Challenging对错题（一）组织能够使用现有的网络安全软件来保护移动设备。Answer:FALSEDifficulty:Challenging云计算的分散性使得难以跟踪未经授权的访问。Answer:TRUEDifficulty:Moderate生物认证是使用个人的具体信息，例如你参加的高中和你居住的第一条街道，以提供身份证明。Answer:FALSEDifficulty:Easy包过滤能够捕获大多数网络攻击Answer:FALSEDifficulty:Moderate网络地址转换（NAT）通过将组织内部主机的IP地址隐藏起来，以避免防火墙外面的嗅探器程序。Answer:TRUEDifficulty:Moderate安全套接层合同SSL（SecureSocketsLayer）能够用来在两台计算机之间建立安全连接。Answer:TRUEDifficulty:Moderate公钥加密使用两个密钥。Answer:TRUEDifficulty:Moderate智能手机普通含有最先进的加密和安全功效，使其成为公司高度安全的工具。Answer:FALSEDifficulty:Moderate身份认证（authentication）是指能够分辨一种人所声称的身份。Answer:TRUEDifficulty:Moderate在软件写好之前你能够通过走查法进行测试。Answer:TRUEDifficulty:Moderate当在软件程序中发现错误时，发现并消除错误源并消除的过程称为调试。Answer:TRUEDifficulty:Easy

简答题（二）云计算环境与否比内部网络计算环境更加安全？并叙述你的理由。参考答案：学生的答案会有所不同，但应涉及使用云计算将数据分发到公司无法最后控制的远程服务，公司的云数据将与其它公司的数据一起存储，以及多个保护方法应当到位以保护你的数据。一种示例答案是：与内部网络计算相比，云计算的安全性取决于公司和服务提供商实施的安全性。例如，公司需要确保安全的程序，并确保员工拥有安全的密码和访问级别。云服务提供商应最少对全部数据使用加密。客户应确保服务提供商恪守本地隐私规则，外部安全审核和认证，并提供加密机制证明。Difficulty:Moderate为什么软件质量对安全很重要？一种组织能够采用哪些具体方法来确保软件质量？参考答案：软件错误对信息系统是一种常见的威胁，它会造成无法预计的损失。软件的复杂性日益增加，规模不停扩大，再加上市场需求的即时性，是造成软件缺点或漏洞不停增加的因素。软件的一种重大问题是存在着隐藏的bug或程序代码缺点。研究表明，从大型程序中消除全部的Bug几乎不可能。商业软件的缺点不仅减少其性能，也造成安全漏洞给网络入侵者有可乘之机。为了修复发现的软件缺点，供应商会编写出称为补丁（patch）的缺点修复小程序而不会影响软件的正常运行。组织必须极力确保购置的软件是最新的，并尽量确保他们自己的软件和程序通过采用软件度量和严格的软件测试来避免程序缺点。持续进行软件度量能够让信息系统部门和终端顾客共同来测量系统的性能，并及时发现所产生的问题。例如，度量指标可能涉及在一种特定时间单位内能被解决的事务数量、在线响应时间、每小时打印的工资支票数量，以及每百行程序代码发现的错误（bug）数量等。要成功应用软件度量办法，对各项指标需要认真设计，做到规范、客观，并且保持前后使用的一致性。尽早、定时且全方面的测试能够明显提高系统质量。良好的测试甚至规定在编程之前就开始进行对应的测试工作，此时能够采用走查法（walkthrough）来进行。这种办法针对具体测试目的，精心挑选出一组含有所需技能的人员，对系统开发阐明书和设计文档进行演示审视。开始编程后，代码走查法同样能够用来对程序代码进行审视。但是，代码必须通过计算机运行来测试。当发现错误时，通过调试（debugging）过程来发现并消除错误源。Difficulty:Moderate你刚刚被聘为megamalls公司的安全顾问，这是一家覆盖全国的零售商场连锁。需要确保其信息系统的安全达标。概述你将采用的环节来实现这一目的。参考答案：（1）拟定哪些数据和流程对公司是重要的和必不可少的。拟定哪些外部和内部信息对公司不同岗位和级别的员工至关重要。（2）进行安全审计，建立风险评定分析。（3）拟定根据法律/政府/行业规定需要恪守的原则和有关的国际原则。（4）进行业务影响分析，拟定灾难恢复计划和业务持续性计划。（5）创立一种安全方略，它涉及可接