2024年安防生产行业技能考试-注册信息安全专业人员笔试历年真题荟萃含答案

2024年安防生产行业技能考试-注册信息安全专业人员笔试历年真题荟萃含答案（图片大小可自由调整）答案解析附后卷I一.参考题库(共25题)1.信息的加密哈希总和由接收者重新计算，这是为了确保（）A、消息的机密性B、发送者的不可否认性C、消息的真实性D、发送者传输数据的完整性2.对恶意代码的预防，需要采取增强安全防范策略与意识等措施，关于以下预防措施或意识，说法错误的是（）A、在使用来自外部的移动介质前，需要进行安全扫描B、限制用户对管理员权限的使用C、开放所有端口和服务，充分使用系统资源D、不要从不可信来源下载或执行应用程序3.下面对于信息安全发展历史描述正确的是（）A、信息安全的概念是随着计算机技术的广泛应用而诞生的B、目前信息安全已经发展到计算机安全的阶段C、目前信息安全不仅仅是关注信息技术，人们的意识到组织、管理、工程过程和人员同样是促进信息系统安全性的重要因素D、我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安全”，再到“信息技术安全”，直到现在的“信息安全保障”4.Whichisthelastlineofdefenseinaphysicalsecuritysense?下列哪一项是物理安全感知的最后一道防线？（）A、perimeterbarriers边界围墙5.下面哪种通信协议可以利用IPSEC的安全功能？（） I.TCP II.UDP III.FTPA、只有IB、I和IIC、II和IIID、I、II、III6.攻击者在远程WEB页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行。这是哪种类型的漏洞？（）A、缓冲区溢出B、SQL注入C、设计错误D、跨站脚本7.组织实施了灾难恢复计划，下面要进行哪一步？（）A、获得高级管理层支持B、识别业务需求C、进行桌面测试D、进行系统恢复测试8.经过全面的应急操作测试后，IS审计师审查恢复步骤时，发现将技术环境和系统恢复到全面运行的时间超出了要求的关键恢复时间。审计师应该建议：（）A、进行恢复任务的整体审查B、扩大处理能力赢得恢复时间C、改进设备的使用结构D、增加恢复工作的人手9.根据组织业务连续性计划的复杂程度，可以建立多个计划来满足业务连续和灾难恢复的各方面。在这种环境下，有必要（）。A、每个计划都与其它计划相协调B、所有计划都整合到一个计划中C、每个计划都独立于其它计划D、指定所有计划实施的顺序10.链接编辑器11.下列对标识和鉴别的作用说法不正确的是（）。A、它们是数据源认证的两个因素B、在审计追踪记录时，它们提供与某一活动关联的确知身份C、标识与鉴别无法数据完整性机制结合起来使用D、作为一种必要支持，访问控制的执行依赖于标识和鉴别确知的身份12.信息系统不能满足用户需求的最常见的原因是（）A、用户需求频繁变动B、对用户需求增长的预测不准确C、硬件系统限制了并发用户的数目D、定义系统时用户参与不够13.组织实施新的系统取代遗产系统。下面哪一种转换做法将造成最大的风险（）。A、pilot计划B、平行C、直接切换D、分阶段14.测试用程序15.有效的IT治理要求组织的结构和流程能够确保（）。A、组织的战略和目标延伸到IT战略B、业务战略来自于IT战略C、IT治理独立于并不同于全面治理D、IT战略扩大了组织的战略和目标16.目标导向在设计和开发技术中的应用最可能（）。A、使模块具有重用性B、改进系统的性能C、提高操纵有效性D、加快系统开发的生命周期17.一个信息系统审计师正在执行对一个网络操作系统的审计。下列哪一项是信息系统审计师应该审查的用户特性？（）A、可以获得在线网络文档B、支持远程主机终端访问C、在主机间以及用户通讯中操作文件传输D、性能管理，审计和控制18.数字证书在InternationalTelecommunicationsUnion（ITU）的哪个标准中定义的？（）A、X.400B、X.25C、X.12D、X.50919.风险等级20.在正常情况下，应急计划应该至少多久进行一次针对正确性和完整性的检查？（）A、1年B、2年C、半年D、5年21.在数据文件服务中实施磁盘冗余阵列（RAID）level1的主要目的是？（）A、实现性能改善B、提供用户省份验证C、确保数据可用性D、确保数据保密性22.下列选项中的哪一个可以用来减少一个虚拟专用网（VPN）由于使用加密而导致的系统性能的降低？（）A、数字证书B、隧道化C、远程访问软件D、数字签名23.小华在某电子商务公司工作，某天他在查看信息系统设计文档时，发现其中标注该信息系统的RP0（恢复点目标）指标为3小时，请问意味着（）。A、该信息系统发生重大信息安全事件后，工作人员应在3小时内到位，完成问题定位和应急处理工作B、该信息系统发生重大信息安全事件后，工作人员应在3小时内完成应急处理工作，并恢复对外运行C、若该信息系统发生重大信息安全事件，工作人员在完成处置和灾难恢复工作后，系统至少能提供3小时的紧急业务服务能力D、若该信息系统发生重大信息安全事件，工作人员在完成处置和灾难恢复工作后，系统至多能丢失3小时的业务数据24.以下哪种抽样方法对符合性测试最有用？（）A、属性抽样B、变数抽样C、分层单位平均估算法D、差值估计法25.一个信息系统审计师正在为一个医疗机构的生产和测试两种应用环境进行检查，再一次访谈中，该审计员注意到生产数据被用于测试环境中，以测试程序改变，什么是这种情况下最显著的潜在风险？（）A、测试环境可能没有充足的控制以确保数据精确B、测试环境可能由于实用生产数据而产生不精的结果C、测试环境的硬件可能与生产环境不同D、测试环境可能没有充分的访问控制来确保数据机密性卷II一.参考题库(共25题)1.在复核客户主文件时，信息系统审计师在客户名称变更中发现许多客户姓名副本。为了确定副本的范围，信息系统审计师应该使用（）。A、用于验证数据输入的测试数据B、用于确定系统分类能力的测试数据C、用于搜索地址域副本的通用审计软件D、用于搜索账户域副本的通用审计软件2.渗透测试作为网络安全评估的一部分（）。A、提供保证所有弱点都被发现B、在不需要警告所有组织的管理层的情况下执行C、找到存在的能够获得未授权访问的漏洞D、在网络边界上执行不会破坏信息资产3.以下哪一种攻击方式利用了动态系统活动和操纵这些活动的时间安排的能力（）。A、主动式攻击B、被动式攻击C、同步攻击D、隧道攻击4.许多组织要求员工每年强制一周（或两周）休假，这是因为组织想确保？（）A、组织不同职能的员工获得充足的交叉培训B、维护员工士气和满意度，有助于确保有效的内部控制环境C、通过临时替换一名雇员来发现进程中的一些违规行为D、维持员工的满意度，以减少处理错误的风险5.我国的信息安全保障基本原则不是（）？A、正确处理安全与发展的关系，以安全保发展，在发展中求安全B、立足国情，以我为主，坚持管理与技术并重C、强化未来安全环境，增强研究、开发和教育以及投资先进的技术来构建将来的环境D、明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系6.信息系统审计师在什么情况下应该使用统计抽样，而不是判断抽样（非统计抽样）（）。A、错误概率必须是客观量化的B、审计师希望避免抽样风险C、通用审计软件不可用D、可容忍误差率不能确定7.在审核一个财务系统的时候，IS审计师怀疑发生了一个事故（攻击）。审计师首先应该做什么？（）A、要求关闭系统以保留证据B、向管理者报告事故C、要求立即暂停可疑的账户D、立即调查事故的来源和性质8.控制部分9.某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安全风险评估分为自评估和检查评估两种形式。该部门将有关检查评估的特点和要求整理成如下四条报告给单位领导，其中描述错误的是（）。A、检查评估可依据相关标准的要求，实施完整的风险评估过程；也可在自评估的基础上，对关键环节或重点内容实施抽样评估B、检查评估可以由上级管理部门组织，也可以由本级单位发起，其重点是针对存在的问题进行检查和评测C、检查评估可以由上级管理部门组织，并委托有资质的第三方技术机构实施D、检查评估是通过行政手段加强信息安全管理的重要措施，具有强制性的特点10.以下哪一种备份方式在备份时间上最快？（）A、增量备份B、差异备份C、完全备份D、磁盘镜像11.从控制角度而言，工作的描述的关键要素在于他们（）。A、提供如何工作的说明和明确的授权B、对于员工来说是更新的，文档化，并且容易得到C、沟通管理者的具体工作业绩预期D、确立员工行为的责任和义务12.IS审计师在审查信用卡交易程序中推荐加入初始复核控制，该初始复核控制最可能用于：（）A、检验交易类型与与对应信用卡类型是否有效B、验证输入卡号的格式并在数据库中查找该卡号C、确保输入的交易额在持卡人的信用额度内D、在主文件中验证该信用卡没有丢失或被盗13.有关Kerberos说法下列哪项是正确的？（）A、它利用公钥加密技术B、它依靠对称密码技术C、它是第二方的认证系统D、票据授予之后将加密数据，但以明文方式交换密码14.某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负责最终责任？（）A、部门经理B、高级管理层C、信息资产所有者D、最终用户15.许多组织要求雇员强制性休假一周以上是为了（）。A、确保员工保持良好的生活品质，这将带来更大的生产率B、减少雇员从事非法或不当行为的机会C、为其他雇用提供适当的交叉培训D、消除员工休假一次一天的潜在的干扰16.以下哪个是数据库管理员（DBA）可以行使的职责？（）A、计算机的操作B、应用程序开发C、系统容量规划D、应用程序维护17.以下关于信息系统安全保障是主观和客观的结合说法错误的是（）。A、通过在技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心B、信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全C、是一种通过客观证据向信息系统所有者提供主观信心的活动D、是主观和客观综合评估的结果18.IS审计师从一个客户的数据库引入数据。下一步需要确认输入数据是否完整，是由（）。A、匹配输入数据的控制总数和原始数据的控制总数B、对数据进行排序以确认是否数据和原始数据的序号相同C、审查打印输出的前100条原始记录和输入数据的前100条记录D、按照不同的分类过滤数据，和原始数据核对19.下面哪一种加密体系可以提供机密性、认证和抗抵赖服务（）。A、对称加密B、非对称加密C、共享密码加密D、数字签名20.未经授权的变更已经发生在生产代码中，测定它的最佳审计程序是（）。A、检查变更控制系统记录，追溯至目标代码文件B、复核应用在生产程序库中的访问控制许可C、检查目标代码，找出变更实例并追踪至变更控制记录D、复核变更控制系统中确定的批准变更指示21.有多种提供远程通讯连续性的方法，通过分体式电缆或多重电缆分流路由流量的方法被称为：多种线路就是通过分体式电缆设备或多重电缆设施来分流路由流量的方法。替代线路就是通过采用如钢电缆或光纤等媒介来传递信息的方法。（）A、可替代路由B、多样性路由C、长途网的多样性D、最后一英里保护22.建立数据所有权关系的任务应当是下列哪一种人的责任（）。A、职能部门用户B、内部审计人员C、数据处理人员D、外部审计人员23.色拉米技术（腊肠术）24.以下哪些不是介质类资产？（）A、纸质文档B、存储介质C、软件介质D、凭证25.在某次信息安全应急响应过程中，小王正在实施如下措施：消除或阻断攻击源，找到并消除系统的漏洞，修改安全策略，加强防范措施，格式化被感染恶意程序的介质等。请问，按照PDCERF应急响应方法，这个动作应处于以下哪个阶段：（）A、准备阶段B、检测阶段C、遏制阶段D、根除阶段卷III一.参考题库(共25题)1.什么类型的软件应用测试被用于测试的最后阶段，并且通常包含不属于开发团队之内的用户成员？（）A、Alpha测试B、白盒测试C、回归测试D、Beta测试2.风险评估和管理工具通常是指什么工具？（）A、漏洞扫描工具B、入侵检测系统C、安全审计工具D、安全评估流程管理工具3.企业信息资产的管理和控制的描述不正确的是（）。A、企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任B、企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施C、企业的信息资产不应该分类分级，所有的信息系统要统一对待D、企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产4.软件工程方法学的目的是：使软件生产规范化和工程化，而软件工程方法得以实施的主要保证是（）。A、硬件环境B、软件开发的环境C、软件开发工具和软件开发的环境D、开发人员的素质5.国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述？（）A、处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的B、能够局部反应国家防御和治安实力的C、我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺D、国际领先，并且对国防建设或者经济建设具有特别重大影响的6.一般计算机控制7.常见密码系统包含的元素是（）。A、明文、密文、信道、加密算法、解密算法B、明文、摘要、信道、加密算法、解密算法C、明文、密文、密钥、加密算法、解密算法D、消息、密文、信道、加密算法、解密算法8.在风险管理准备阶段“建立背景”（对象建立）过程中不用设置的是（）。A、分析系统的体系结构B、分析系统的安全环境C、制定风险管理计划D、调查系统的技术特性9.复式路由10.进入21世纪以来，信息安全成为世界各国安全战略关注的重点，纷纷制定并颁布网络空间安全战略，但各国历史、国情和文化不同，网络空间安全战略的内容也各不相同，以下说法不正确的是（）A、与国家安全、社会稳定和民生密切相关的关键基础设施是各国安全保障的重点B、美国尚未设立中央政府级的专门机构处理网络信息安全问题，信息安全管理职能由不同政府部门的多个机构共同承担C、各国普遍重视信息安全事件的应急响应和处理D、在网络安全战略中，各国均强调加强政府管理力度，充分利用社会资源，发挥政府与企业之间的合作关系11.IS审计师应该最关注下面哪一种情况（）。A、缺少对成功攻击网络的报告B、缺少对于入侵企图的通报政策C、缺少对于访问权限的定期审查D、没有通告公众有关入侵的情况12.以下哪种关于电子邮件安全性的说法是正确的（）。I.电子邮件不可能比它依赖的计算机系统更安全II.机密的电子邮件信息应该储存于邮件服务器中，储存时间和纸质文件相同III.在大型组织中，可能有若干个不同安全级别的邮件管理员和地点A、只有I对的B、只有I和II是对的C、只有I和III是对的D、只有II和III是对的13.下面关于信息安全保障的说法错误的是（）。A、信息安全保障的概念是与信息安全的概念同时产生的B、信息系统安全保障要素包括信息的完整性，可用性和保密性C、信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段D、信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施各种保障要素，在系统的生命周期内确保信息的安全属性14.在OSI参考模型中有7个层次，提供了相应的安全服务来加强信息系统的安全性。以下哪一层提供了抗抵赖性？（）A、表示层B、应用层C、传输层D、数据链路层15.为了确保组织遵守隐私要求，一个信息系统审计师应首先评审：（）A、IT基础设施B、组织策略，标准和程序C、法律和法规的要求D、组织的策略，标准和程序16.以下哪一项根据系统输入、输出及文件的数量和复杂性来测算系统的规模（）。A、程序评估审查技术（PERT）B、快速应用开发（RAD）C、功能点分析（FPA）D、关键路径法（CPM）17.以下属于哪一种认证实现方式：用户登录时，认证服务器（AuthenticationServer，AS）产生一个随机数发送给用户，用户用某种单向算法将自己的口令、种子秘钥和随机数混合计算后作为一次性口令，并发送给AS，AS用同样的防腐计算后，验证比较两个口令即可验证用户身份。（）A、口令序列B、时间同步C、挑战/应答D、静态口令18.在实施平衡计分卡之前，该组织必须（）。A、提供切实有效的服务B、确定关键性能指标C、提供该项目的商业价值D、控制IT支出19.有效性检查20.ISO27001认证项目一般有哪几个阶段？（）A、管理评估，技术评估，操作流程评估B、确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证C、产品方案需求分析，解决方案提供，实施解决方案D、基础培训，RA培训，文件编写培训，内部审核培训21.在网络中部署防火墙，往往用于提高内部网络的安全防护能力，某公司准备部署一台防火墙来保护内网主机，下面部署位置正确的是：（） A、AB、BC、CD、D22.为了协助正在规划IT投资的组织，信息系统审计师应该推荐使用：（）A、项目管理工具B、面向对象的架构C、战术规划D、企业架构（EA）23.编辑24.在信息安全风险管理过程中，背景建立是实施工作的第一步，下面哪项理解是错误的（）。A、背景建立的依据是国家、地区或行业的相关政策、法律、法规和标准，以及机构的使命、信息系统的业务目标和特性B、背景建立阶段应识别需要保护的资产、面临的威胁以及存在的脆弱性，并分别赋值，同时确认已有的安全措施，形成需要保护的资产清单C、背景建立阶段应调查信息系统的业务目标、业务特性、管理特性和技术特性，形成信息系统的描述报告D、背景建立阶段应分析信息系统的体系结构和关键要素，分析信息系统的安全环境和要求，形成信息系统的安全要求报告25.CC中的评估保证级（EAL）4级涵义是（）A、结构测试级B、方法测试和校验级C、系统的设计、测试和评审级D、半形式化设计和测试级卷I参考答案一.参考题库1.参考答案:D2.参考答案:C3.参考答案:C4.参考答案:D5.参考答案:D6.参考答案:D7.参考答案:C8.参考答案:A9.参考答案:D10.参考答案: 一种将数个分开的编译模块结合在一起的公用程序，用以解决模块内部交叉参考的问题。11.参考答案:C12.参考答案:D13.参考答案:C14.参考答案: 为改善生产环境而进行测试或评估的程序。测试是通过对控制因素进行一系列的改变实现的。测试通过后，就可以从测试环境转移到