1、规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。某单位在实施风险评估时，形成了《特评估信息系统相关设备及资产清单》。在风险评估实施的各个阶段中，该《特评估信息系统相关设备及资产清单》应是如下（）中的输出结果：
A、风险评估准备
B、风险要素识别
C、风险分析
D、风险结果判定
2、关于秘钥管理，下列说法错误的是（）：
A、科克霍夫原则指出算法的安全性不应基于算法的保密，而应基于密钥的安全性
B、保密通信过程中，通信方使用之前用过的会话密钥建立会话，不影响通信安全
C、密钥在管理需要考虑密钥产生、存储、备份、分配、更新、撤销等生命周期过程的每一个环节
D、在网络通信中，通信双方可利用Diffie-hellman 协议协商会话密钥
3、某购物网站开发项目经过需求分析进入系统设计阶段，为了保证用户账户的安全，项目开发人员决定用户登录时除了用户名口令认证方式外，还加入基于数字证书的身份认证功能，同时用户口令使用SHA-1算法加密后存放在后台数库中，请问以上安全设计遵循的哪项安全设计原则（）：
A、最小特权原则
B、职不经意分离原则
C、纵深防御原则
D、最少共享机制原则
4、2016年9月，一位安全研究人员在 Google Cloud IP上通过扫描，发现了完整的美国路易斯安那州290万选民数据库。这套数据库中囊括了诸如完整姓名、电子邮箱地址、性别与种族、选民状态、注册日期与编号、政党代码、电话号码以及最后一次投票及投票历史等详细信息。安全研究员建议当地民众及时修改与个人信息相关的用户名和密码，以防止攻击者利用以上信息进行（）攻击：
A、默认口令
B、字典
C、暴力破解
D、XSS
5、下图是某单位对其主网站的一天访问流量监测图。如果说网站在当天17:00到20:00间受到了攻击，则从图中数据分析，这种攻击类型最可能属于下面什么攻击（）：
A、跨站脚本（Cross Site Scripting，XSS）攻击
B、TCP会话劫持（TC. Hi jack）攻击
C、IP欺骗攻击
D、拒绝服务（Denial of Serice， DoS）攻击
6、小张在单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训。一次培训的时候，小张主要负责讲解风险评估工作形式。小张认为：1、风险评估工作形式包括：自评估和检查评估；2、自评估是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行风险评估；3、检查评估是信息系统上级管理部门组织或者国家有关职能部门依法开展的风险评估；4、对信息系统的风险评估方式只能是“自评估”和“检查评估”中的一个，非此即彼。请问小张的所述论点中错误的是哪项（）：
A、第一个观点
B、第二个观点
C、第三个观点
D、第四个观点
7、关于信息安全保障技术框架（Information Assurance Technical Framework，IATF）下面描述错误的是（）：
A、IATF最初由美国国家安全局（NSA）发布，后来由国际标准化组织（ISO）转化为国际标准，供各个国家信息系统建设参考使用
B、IATF是一个通用框架，可以用到多种应用场景中，通过对复杂信息系统进行解构和描述，然后再以皮框架讨论信息系统的安全保护问题
C、IATF提出了深度防御的战略思想，并提供一个框架进行多层保护，以此防范信息
D、加强人、技术和操作是深度防御的三个主要层面，也就是说讨论人在技术支持下运行维护和信息安全保障问题
8、下列选项中，哪个不是我国信息安全保障工作的主要内容（）：
A、加强信息安全标准化工作，积极采用“等同采用、修改采用、制定”等多种方式，尽快建立和完善我国信息安全标准体系
B、建立国家信息安全研究中心，加快建立国家急需的信息安全技术体系，实现国家信息安全自主可控目标
C、建设和完善信息安全基础设施，提供国家信息安全保障能力支撑
D、加快信息安全学科建设和信息安全人才培养
9、下面对国家秘密定级和范围的描述中，哪项不符合《保守国家秘密法》要求（）：
A、国家秘密及其密级的具体范围，由国家保密工作部门分别会同外交、公安、国家安全和其他有关机关规定
B、各级国家机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级具体范围的规定确定密级
C、对是否属于国家秘密和属于何种不明确的事项，可由名单位自行参考国家要求确定和定级，然后报国家保密工作部门确定
D、对是否属于国家秘密和属于何种密级不明确的事项，由国家保密工作部门，省、自治区、直辖市的保密工作部门，省、自治区政府所在地的市和经国务院批准的较大的保密工作部门或者国家保密工作部门审定的机关确定
10、在信息系统中，访问控制是重要的安全功能之一。它的任务是在用户对系统资源提供最大限度共享的基础上，对用户的访问权限进行管理，防止对信息的非授权篡改和滥用。访问控制模型将实体划分为主体和客体两类，通过对主体身份的识别来限制其对客体的访问权限，下列选项中，对主体、客体和访问权限的描述中错误的是（）：
A、对文件进行操作的用户是一种主体
B、主体可以接收客体的信息和数据，也可能改变客体相关的信息
C、访问权限是指主体对客体所允许的操作
D、对目录的访问权限可分别为读、写和拒绝访问
11、邮于频繁出现软件运行时被黑客远程攻击获取数据的现象，某软件公司准备加强软件安全开发管理，在下面做法中，对于解决问题没有直接帮助的是（）：
A、要求开发人员采用敏捷开发模型进行开发
B、要求所有的开发人员参加软件安全意识培训
C、要求规范软件编码，并制定公司的安全编码准则
D、要求增加软件安全测试环节，尽早发现软件安全问题
12、根据信息安全风险要素之间的关系，下图中空白处应该填写（）：
A、资产
B、安全事件
C、脆弱性
D、安全措施
13、以下关于法律的说法错误的是（）？
A、法律是国家意志的统一体现，有严密的逻辑体系和效力
B、法律可以是公开的，也可以是“内部”的
C、一旦制定，就比较稳定，长期有效，不允许经常更改
D、法律对违法犯罪的后果有明确规定，是一种“硬约束”
14、二十世纪二十年代，德国发明家亚瑟·谢尔比乌斯（Arthur Scherbius）发明了Engmia密码机，按照密码学发展历史阶段划分，这个阶段属于（）：
A、古典密码阶段。这一阶段的密码专家常常靠直觉和技术来设计密码，而不是凭借推理和证明，常用的密码运算方法包括替代方法和转换方法
B、近代密码发展阶段。这一阶段开始使用机械代替手工计算，形成了机械式密码设备和更进一步的机电密码设备
C、现代密码学的早期发展阶段。这一阶段以香农的论文“保密系统的通信理论”（“The Communication Theory of Secret Sysyeas”）为理论基础，开始了对密码学的科学探索
史上的革命性的变革，同时，众多的密码算法开始应用于非机密单位和商业场合15、软件安全保障的思想是在软件的全生命周期中贯彻风险管理的思想，在有限资源前提下实现软件安全最优防护，避免防范不足带来的直接损失，也需要关注过度防范造成的间接损失。在以下软件安全开发策略中，不符合软件安全保障思想的是（）：
A、在软件立项时考虑到软件安全相关费用，经费中预留了安全测试、安全评审相关费用，确保安全经费得到落实
B、在软件安全设计时，邀请安全开发专家对软件架构设计进行评审，及时发现架构设计中存在的安全不足
C、确保对软编码人员进行安全培训，使开发人员了解安全编码基本原则和方法，确保开发人员编写出安全的代码
D、在软件上线前对软件进行全面安全性测试，包括源代码分析、模糊测试、渗透测试，未经以上测试的软件不允许上线运行
16、小赵是某大学计算机科学与技术专业的毕业生，在前往一家大型企业应聘时，面试经理要求他给出该企业信息系统访问控制模型的设计思路，如果想要为一个存在大量用户的信息系统实现自主访问控制功能，在以下选项中，从时间和资源消耗的角度，下列选项中他应该采取的最合适的模型或方法是（）：
A、访问控制列表（ACL）
B、能力表（CL）
C、BLP模型
D、Biba模型
17、为防范网络欺诈确保交易安全，网银系统首先要求用户安全登录，然后使用“智能卡+短信认证”模式进行网上转账等交易。在此场景中用到下列如些鉴别方法（）？
A、实体“所知”以及实体“所有”的鉴别方法
B、实体“所有”以及实体“特征”的鉴别方法
C、实体“所知”以及实体“特征”的鉴别方法
D、实体“所有”以及实体“行为”的鉴别方法
18、在风险管理中，残余风险是指在实施了新的或增强的安全措施后还剩下的风险，关于残余风险，下面描述错误的是（）：
A、风险处理措施确定以后，应编制详细的残余风险清单，并获得管理层对残余风险
的书面批准，这也是风险管理中的一个重要过程
B、管理层确认接受残余风险，是对风险评估工作的一种肯定，表示管理层已经全面了解了组织所面临的风险，并理解在风险一旦变为现实后，组织能够且必须承担引发的后果
C、接受残余风险，则表明没有必要防范和加固所有的安全漏洞，也没有必要无限制地提高安全保护措施的强度，对安全保护措施的选择要考虑到成本和技术等因素的限制
D、如果残余风险没有降低到可接受的级别，则只能被动地选择接受风险，即对风险不采取进一步的处理措施，接受风险可能带来的结果
19、信息安全组织的管理涉及内部组织和外部两个控制目标，为了实现控制外部各方的目标，应该包括下列（）：
A、信息安全的管理承诺、信息安全协调、信息安全职责的分配
B、信息处理设计的授权过程、保密性协议、与政府部门的联系
C、与特定利益集团的联系、信息安全的独立评审
D、与外部各方相关风险的识别、处理外部各方协议中的安全问题
20、信息安全标准化工作是我国信息安全保障工作的重要组成部分之一，也是政府进行宏观管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一。关于我国信息安全标准化工作，下面选项中描述错误的是（）：
A、我国是在国家质量监督检验疫总局管理下，由国家标准化管理委员会统一管理全国标准化工作，下设有专业技术委员会
B、事关国家安全利益，信息安全因此不能和国际标准相同，而是要通过本国组织和专家制订标准，切实有效地保护国家利益和安全
C、我国归口信息安全方面标准是“全国信息安全标准化技术委员会”，为加强有关工作，2016在其下设立“大数据安全特别工作组”
D、信息安全标准化工作是解决信息安全问题的重要技术支撑，其主要作业突出体现在能够确保有关产品、设施的技术先进性、可靠性和一致性
21、关于信息安全应急响应管理过程描述不正确的是（）：
A、基于应急响应工作的特点和事件的不规则性，事先制定出事件应急响应方法和过程，有助于一个组织在事件发生时阻止混乱的发生或是在混乱状态中迅速恢复控制，
将损失和负面影响降至最低
B、应急响应方法和过程并不是唯一的
C、一种被广为接受的应急响应方法是将应急响应管理过程分别准备、检测、遏制、根除、恢复和跟踪总结6个阶段
D、一种被广为接受的应急响应方法是将应急响应管理过程分为准备、检测、遏制、根除、恢复和跟踪总结6个阶段，这6个阶段的响应方法一定能确保事件处理的成功
22、有关系统安全工程能力成熟模型（SSE-CMM）中通用实施（Generic Practices，GP），错误的理解是（）：
A、GP是涉及过程的管理、测量的制度化方面的活动
B、GP适用于域维中部分过程区域（Base Practices， BP）的活动而非所有PA的活动
C、在工程实施中，GP应该作为基本实施（Base Practices，BP）的一部分加以执行
D、在评估时，GP用于判定工程组织执行某个PA的能力
23、陈工学习了信息安全风险的有关知识，了解到信息安全风险的构成过程，图中
C、脆弱性
D、风险评估
24、以下关于灾难恢复和数据备份的理解，说法正确的是（）：
A、增量备份是备份人上次完全备份后更新的全部数据文件
B、依据具备的灾难恢复资源程度的不同，灾难恢复能力分为7个等级
C、数据备份按数据类型划分为系统数据备份和用户数据备份
D、如果系统在一段时间内没有出现问题，就可以不用再进行容灾演练了
25、某单位开发了一个面向互联网提供服务的应用网站，该单位委托软件测评机构对软件进行了源代码分析、模糊测试等软件安全性测试，在应用上线前，项目经理提出了还需要对应用网站进行一次渗透性测试，作为安全主管，你需要提出渗透性
测试相比源代码测试、模糊测试的优势给领导做决策，以下哪条是渗透性测试的优势（）？
A、参透测试以攻击者的思维模拟真实攻击，能发现如配置错误等运行维护期产生的漏洞
B、渗透测试是用软件代替人工的一种测试方法，因此测试效率更高
C、渗透测试使用人工进行测试，不依赖软件，因此测试更准确
D、渗透测试中必须要查看软件源代码，因此测试中发现的漏洞更多
26、在Linux系统中，下列哪项内容不包含在/etc/passwd文件中（）：
A、用户名
B、用户口令明文
C、用户主目录
D、用户登录后使用的SHELL
27、某网站管理员小邓在流量监测中发现近期网站的入站ICMP流量上升了250%，尽管网站没有发现任何的性能下降或其他问题，但为了安全起见，他仍然向主管领导提出了应对措施，作为主管负责人，请选择有效的针对此问题的应对措施（）：
A、在防火墙上设置策略，阻止所有的ICMP流量进入（关掉ping）
B、删除服务器上的ping.exe程序
C、增加带宽以应对可能的拒绝服务攻击
D、增加网站服务器以应对即将来临的拒绝服务攻击
28、对信息安全事件的分级参与下列三个要素：信息系统的重要程度、系统损失和社会影响。依据信息系统的重要程度对信息系统进行划分，不属于正确划分级别的是（）：
A、特别重要信息系统
B、重要信息系统
C、一般信息系统
D、关键信息系统
29、某个新成立的互联网金融公司拥有10个与互联网直接连接的IP地址，但是该网络内有15台个人计算机，这些个人计算机不会同时开机并连接互联网。为解决公司员工的上网问题，公司决定将这10个互联网地址集中起来使用，当任意一台个人计算机开机并连接网络时，管理中心从这10个地址中任意取出一个尚未分配的IP 地址分配给这个人的计算机。他关机时，管理中心将该地为收回，并重新设置为未分配。可见，只要同时打开的个人计算机数量少于或等于可供分配的IP地址，那么，
每台个人计算机可以获取一个IP地址，并实现与互联网的连接。该公司使用的IP 地址规划方式是（）：
A、静态分配地址
B、动态分配地址
C、静态NAT分配地址
D、端口NAT分配地址
30、小王在学习定量风险评估方法后，决定试着为单位机房计算火灾的风险大小。假设单位机房的总价值为400万元人民币，暴露系数（ExposureFactor， EF）是25%，年度发生率（Annualized Rate of Occurrence， ARO）为0.2，那么小王计算的年度预期损失（Annualized Loss Expectancy， ALE）应该是（）：
A、100万元人民币
B、400万元人民币
C、20万元人民币
D、180万元人民币
31、基于TCP的主机在进行一次TCP连接时需要进行三次握手。请求通信的主机A 要与另一台主机B建立连接时，A需要先发一个SYN数据包向B主机提出连接请求，B收到后，回复一个ACK/SYN确认请求给A主机，然后A再次回应ACK数据包，确认连接请求，攻击通过伪造带有虚假源地址的SYN包给目标主机，使目标主机发送的ACK/SYN包得不到确认，一般情况下，目标主机会等一段时间后才会放弃这个连接等待。因此大量虚假SYN包同时发送到目标主机时，目标主机上就会有大量的连接请求等待确认，当这些未释放的连接请求数量超过目标主机的资源限制时，正常的连接请求应当能被目标主机接受，这种SYN Flood攻击属于（）：
A、拒绝服务攻击
B、分布式拒绝服务攻击
C、缓冲区溢出攻击
D、SQL注入攻击
32、信息安全等级保护分级要求，第三级适用正确的是（）：
A、适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益
B、适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害
C、适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害
D、适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成
33、小牛在对某公司的信息系统进行风险评估后，因考虑到该业务系统中部分涉及金融交易的功能模块风险太高，他建议该公司以放弃这个功能模块的方式来处理风险，请问这种风险处置的方法是（）：
A、降低风险
B、规避风险
C、转移风险
D、放弃风险
34、在设计信息系统安全保障方案时，以下哪个做法是错误的（）：
A、要充分切合信息安全需求并且实际可行
B、要充分考虑成本效益，在满足合规性要求和风险处置要求下的前提下，尽量控制成本
C、要充分采取新技术，在使用过程中不断完善成熟，精益求精，实现技术投入保值要求
D、要充分考虑用户管理和文化的可接受性，减少系统方案实施障碍
35、某电子商务网站最近发生了一起安全事件，出现了一个价值1000元的商品用1元被买走的情况，经分析是由于设计时出于性使考虑，在浏览时时使Http协议，攻击者通过伪造数据包使得向购物车添加商品的价格被修改利用此漏洞，攻击者将价值1000元的商品以1元添加到购物车中，而付款时又没有验证的环节，导致以上同题。对于网站的这个问题原因分析及解决指施，最正确的说法应该是（）? A、该问题的产生是由于使用了不安全的协议导致的，为了避免再发生类似的问题，应对全网站进行安全改造，所有的访问都强制要求使用 https
B、该问题的产生是由于网站开发前没有进行如威胁建模等相关工作或工作不到位，没有找到该助并采取相应的消减措施
C、该问题的产生是由于编码缺陷，通过对网站进行修改，在进行订单付款时进行商品价格验证就可以解决
D、该问题的产生不是网站的问题，应报警要求寻求警察介入，严惩攻击者即可
36、TCP/IP协议是为实现异构网互连推出的协议规范，具有较好的开放性， Internet 是在TCP/IP协议族的基础上构建的。但由于TCP/IP协议在设计初期过于关注其开放性和便利性，对安全性考虑较少，因此其中很多协议存在安全隐患。例如，攻击者可以利用TCP协议的三次握手机制实施DoS攻击，也可以通过猜测TCP会话中的
序号来伪造数据包。那么上述例子中的情况可能发生在（）：
A、应用层
B、传输层
C、网络层
D、链路层
37、若一个组织声称自己的ISMS符合IS0/TEC 27001或GB/T22080标准要求，其信息安全控制措施通常在以下方面实施常规控制，不包括哪一项（）：
A、信息安全方针、信息安全组织、资产管理
B、人力资源安全、物理和环境安全、通信和操作管理
C、访问控制、信息系统获取、开发和维护、符合性
D、规划与建立ISMS
38、以下关于互联网协议安全（ Internet Protoco1 Security， IPsec）协议说法错误的是（）:
A、在传送模式中，保护的是IP负载
B、验证头协议（ Authentication Head，AH）和IP封装安全载荷协议（ Encapsulating Security Payload，ES ）都能以传输模式和隧道模式工作
C、在隧道模式中，保护的是整个互联网协议（Internet Protocol，IP）包，包括IP头
D、 IPsec仅能保证传输数据的可认证性和保密性
39、不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据各自自的实际情况，选择适当的风险评估方法。下面的指述中错误的是（）：
A、定量风险分析试图从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，以度量风险的可能性和损
B、定量风险分析相比定性风险分析能得到准确的数值，所以在实际工作中应使用定量风险分析，而不应选择定性风险分析
C、定性风险分析过程中，往往需要凭借分析者的经验和直接进行，所以分折结果和风险评估团队的素质、经验和知识技能切相关
D、定性风险分析更具主观性，而定量风险分析更具客观性
40、降低风险（或减低风险）是指通过对面风险的资产采取保护措施的方式来降低
风险，下面哪个措施不属于降低风险的措施（）：
A、减少威胁源，采用法律的手段制裁计算机犯罪，发挥法律的威慑作用，从而有效遏制威胁源的动机
B、签订外包服务合同。将有技术难点，存在实现风险的任务通过签订外部合同的方式交予第三方公司完成，通过合同责任条款来应对风险
C、减低威胁能力。采取身份认证措施，从而抵制身份假冒这种威胁行为的能力
D、减少脆弱性。及时给系统打补丁，关闭无用的网络服务端口，从而减少系统的跪弱性，降低被利用的可能性
41、入侵检测系统有其技术优越性，但也有其局限性，下列说法错误的是（）：
A、对用户知识要求高，配置、操作和管理使用过于简单，容易遭到攻击
B、高虚警率，入侵检测系统会产生大量的警告消息和可疑的入侵行为记录，用户处理负担很重
C、入侵检测系统在应对自身攻击时，对其他数据的检测可能会被抑制或者受到影响
D、警告消息记录如果不完整，可能无法与入侵行为关联
42、以下关于模测试过程的说法正确的是（）:
A、模糊测试的效果与覆盖能力，与输入样本选择不相关
B、为保障安全测试的效果和自动化过程，关键是将发现的异常进行现场保护记录，系统可能无法恢复异常状态进行后续的测试
C、通过异常样本重现异常，人工分析异常原因，判断是否为潜在的安全漏洞，如果是安全漏洞，就需要进一步分析其危害性、影响范围和修复建议
D、对于可能产生的大量异常报告，需要人工全部分析异常报告
43、以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息网络和重要信息系统的安全（）：
A.信息安全管理体系（ISMS）
B.信息安全等级保护
C NIST SP800 D.IS0 270000系列
44、小陈在某电器城购买了一台冰箱，并留下了个人姓名、电话和电子邮件地址等信息，第二天他收到了一封来自电器城提示他中奖的邮件，查看该邮件后他按照提
示操作纳中奖税款后并没有得到中奖奖金，再打电话询问电器城才得知电器城并没有中奖的活动。在此案例中，下面描述错误的是（）：
A、小陈应当注意保护自己的隐私，没有必要告诉别人的信息不要登记和公布给别人
B、小陈钱被骗走了，这类网络犯罪案件也应该向公安局报案
C、邮件服务运营商通过技术手段，可以在一定程度上阻止此类钓鱼邮件和哄骗邮件
D、小陈应当向电器城索賠，追回损失
45、常见的访问控制模型包括自主访问控模型、强制访问控制模型和基于角色的访问控制模型等。下面描述中错误的是（）：
A、从安全性等级来看，这三个模型安全性从低到高的排序是自主访问控制模型、强制访问控制模型和基于角色的访问控制模型
B、自主访问控制是一种广泛应用的方法，资源的所有者（往往也是创建者）可以规定谁有权访问它们的资资源，具有
较好的易用性和可扩展性
C、强制访问控制模型要求主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体。该模型具有一定的抗恶意程序攻击能力，适用于专用或安全性要求较高的系统
D、基于角色的访问控制模型的基本思想是根据用户所担任的角色来决定用户在系统中的访问权限，该模型便于实施授权管理和安全约束，容易实现最小特权、职责分离等各种安全策略
46、IPv4协议在设计之初并没有过多地考虑安全问题，为了能够使网络方便地进行互联、互通，仅仅依靠IP头部的校验和字段来保证IP包的安全，因此IP包很容易被算改，并重新计算校验和。IETF于1994年开始制定IPSec协议标准，其设计目标是在IPv4和IPv6环境中为网络层流量提供灵活、透明的安全服务，保护TCP/IP 通信免遭窃听和篡改，保证数据的完整性和机密性，有效抵御网络攻击，同时保持易用性。下列选项中说法错误的是（）：
A、对于IPv4， IPSec是可选的，对于IPv6， IPSec是强制实施的
B、IPSec协议提供对IP及其上层协议的保护
C、IPSec是一个单独的协议
D、IPSec安全协议给出了封装安全载荷和鉴别头两种通信保护机制
47、以下哪一项不是信息系统集成项目的特点（）:
A、信息系统集成项目要以满足客户和用户的需求为根本出发点
B、系统集成就是选择最好的产品和技术，开发相应的软件和硬件，将其集成到信息系统的过程
C、信息系统集成项目的指导方法是“总体规划、分步实施”
D、信息系统集成包含技术，管理和商务等方面，是一项综合性的系统工程
48、由于Internet的安全问题日益突出，基于TCP/IP协议，相关组织和专家在协议的不同层次设计了相应的安全通信协议，用来保障网络各层次的安全。其中，属于或依附于传输层的安全协议是（）：
A、PP2P
B、L2TP
C、SSL
D、IPSec
49、最小特权是软件安全设计的基本原则，某应用程序在设计时，设计人员给出了以下四种策略，其中有一个违反了最小特权的原则，作为评审专家，请指出是哪一个（）：
A、软件在Linux下按照时，设定运行时使用nobody用户运行实例
B、软件的日志备份模块由于需要备份所有数据库数据，在备份模块运行时，以数据库备份操作员账号连接数据库
C、软件的日志模块由于要向数据库中的日志表中写入日志信息，使用一个日志用户账号连接数据库，该账号仅对日志表拥有权限
D、为了保证软件在windows下能稳定的运行，设定运行权限为system，确保系统运行正常，不会因为权限不足产生运行错误
50、目前，很多行业用户在进行信息安全产品选项时，均要求产品需通过安全测评，关于信息安全产品测评的意义，下列说法中不正确的是（）：
A、有助于建立和实施信息安全产品的市场准入制度
B、对用户采购信息安全产品、设计、建设、使用和管理安全的信息系统提供科学公正的专业指导
C、对信息安全产品的研究、开发、生产以及信息安全服务的组织提供严格的规范引导和质量监督
D、打破市场垄断，为信息安全产品发展创造一个良好的竞争环境
51、根据相关标准，信息安全风险管理可分为背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询等阶段。按照该框架，文档《风险分析报告》应属于哪个阶段的输出结果（）：
A、风险评估
B、风险处理
C、批准监督
D、监控审查
52、关于信息安全事件和应急响应的描述不正确的是（）：
A、信息安全事件，是指由于自然或人为以及软、硬件本身缺陷或故障的原因，对信息系统造成危害，或者在信息系统内发生对社会造成负面影响事件
B、至今,已有一种信息安全策略或防护措施，能够对信息及信息系统提供绝对的保护，这就使得信息安全事件的发生是不可能的。
C、应急响应是指组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施
D、应急响应工作与其他信息安全管理工作相比有其鲜明的特点：具有高技术复杂性志专业性、强突发性、对知识经验的高依赖性，以及需要广泛的协调与合作。
53、部署互联网协议安全虚拟专用网（internet protocol security virtual private network，ipsec vpn）时，以下正确的是（）：
A、配置MD5安全算法可以提供可靠地数据加密
B、配置AES算法可以提供可靠的数据完整性验证
C、IPsec VPN，需要考虑IP地址的规划，尽量在分支节点使用可以聚合的IP地址段，来减少IPsec安全关联（security autbentication，SA）资源的消耗
D、报文验证头协议（Autbentication Header，AH）可以提供数据机密性
54、模糊测试，也称Fuzz测试，是一种通过提供非预期的输入并监视异常结果来发现软件故障的方法，下面描述正确的是（）：
A、本质上属于黑盒测试
B、模糊测试本质上属于白盒测试
C、模糊测试有时属于黑盒测试，有时属于白盒测试，取决于其使用的测试方法
D、模糊测试即不属于黑盒测试，也不属于白盒测试
55、某社交网站的用户点击了一下该网站上的一个广告，该广告含有一个跨站脚本，会将他的浏览器定向到旅游网，旅游网站则获得了他的社交网络信息，虽然该用户没有主动访问该旅游网站，但旅游网站已经截获了他的社会网络信息（还有他的好友们的信息），于是犯罪分子便可以躲藏在社交网站的广告后面，截获用户的个人信息了。这种向web网页插入恶意html代码的攻击方式称为（）：
A、分布式拒绝服务攻击
B、跨站脚本攻击
C、SQL注入攻击
D、缓冲区溢出攻击
56、风险分析是风险评估工作中的一个重要内容，GB/T 20984-2007在资源性附录中给出了一种矩阵法来计算信息安全风险大小，其中风险计算矩阵如下图所示，请为图中括号空白处选择合适的内容（）：
A.安全资产联合会大小等级 B、脆弱性严重程度等级
C、安全风险隐患严重等级
D、安全事件造成损失大小
57、实体身份鉴别一般依据以下三种基本情况或这三种情况的组合，实体所知的鉴别方法、实体所有的鉴别方法和基于实体特殊的鉴别方法。下面选项中属于使用基于实体特征的鉴别方法是（）：
A、将登录口令设置为出生日期
B、通过询问和核对用户的个人隐私信息来鉴别
C、使用系统安制的、在本系统专用的IC卡进行鉴别
D、通过扫描和识别用户的脸部信息来鉴别
58、信息安全管理体系（ISMS）的建设和实施是一个组织的战略性举措。若一个组织声称自己的ISMS符合ISO/IEC27001或GB/T22080标准要求，则需实施准要求，
A、规划与建立ISMS
B、实施和运行ISMS
C、监视和评审ISMS
D、保持和审核ISMS
59、信息安全事件和分类方法有多种，依据GB/Z 20986-2007《信息安全技术自信安全事件分类分级指南》，信息安全事件分为7个基本类别，描述正确的是（）：A、有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件
B、网络贡献事件、拒绝服务攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件
C、网络攻击事件、网络钓鱼事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件
D、网络攻击事件、网络扫描窃听事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件
60、从Linux内核2.1版开始，实现了基于权能的特权管理机制，实现了对超级用户的特权分割，打破了UNIX/LINUX操作系统中超级用户/普通用户的概念，提高了操作系统的安全性。下列选项中，对特权管理机制的理解错误的是（）：
A、普通用户及其shell没有任何权能，而超级用户及其shell在系统启动之初拥有全部权能
B、系统管理员可以剥夺和恢复超级用户的某些权能
C、进程可以放弃自己的某些权能
D、当普通用户的某些操作设计特权操作时，仍然通过setuid实现
61、下面有关软件安全问题的描述中，哪项不是由于软件设计缺陷引起的（）：
A、设计了用户权限分级机制和最小特权原则，导致软件在发布运行后，系统管理员不能查看系统审计信息
B、设计了采用不加盐（SALT）的SHA-1算法对用户口令进行加密储存，导致软件在发布运行后，不同的用户如使用了相同的口令会得到相同的加密结果，从而可以假冒其他用户登录
C、设计了缓存用户隐私数据机制以加快系统处理性能，导致软件在发布运行后，被黑客攻击获取用户隐私数据
D、设计了采用自行设计的加密算法对风险传输数据进行保护，导致软件在发布运行
后，被攻击对手截获网络数据并破解后得到明文
62、王工是某单位的系统管理员，他在某次参加了单位组织的风险管理工作时，根据任务安排，他使用了Nessus工具来扫描和发现数据库服务器的漏洞，根据风险管理的相关理论，他这个扫描活动属于下面哪一个阶段的工作（）：
A、风险分析
B、风险要素识别
C、风险结果判定
D、风险处理
63、残余风险是风险管理中的一个重要概念，在信息安全风险管理中，关于残余风险描述错误的是（）：
A、残余风险是采取了安全措施后，仍然可能存在的风险，一般来说，是在综合考虑了安全成本与效益后不去控制的风险
B、残余风险应受到密切监视，它会随着时间的推移而发生变化，可能会在将来诱发新的安全事件
C、实施风险处理时，应将残余风险清单告知信息系统所在组织的高管，使其了解残余风险的存在和可能造成的后果
D、信息安全风险处理的主要准则是尽可能降低和控制信息安全风险，以最小残余风险值作为风险管理效果评估指标
64、某集团公司信息安全管理员根据领导安排制定了下一年度的培训工作计划，提出了四大培训任务目标，关于这四个培训任务和目标，作为主管领导，以下选项中正确的是（）：
A、由于网络安全上升到国家安全的高度，因此网络安全必须得到足够的重视，因此安排了对集团公司下属公司的总经理（一把手）的网络安全法培训
B、对下级单位的网络安全管理人员实施全面安全培训，计划全员通过CISP持证培训以确保人员能力得到保障
C、对其他信息化相关人员（网络管理员、软件开发人员）也进行安全基础培训，使相关人员对网络安全有所了解
D、对全体员工安排信息安全意识及基础安全知识培训，安全全员信息安全意识教育
65、国务院信息化工作办公室于2004年9月份下发了《关于做好重要信息系统灾难备份工作的通知》，该文件中指出了我国在灾备工作原则，下面哪项不属于该工作原
则（）：
A、统筹规划
B、分级建设
C、资源共享
D、平战结合
66、有关危害国家秘密安全的行为的法律责任，正确的是（）：
A.严重违反涉密规划行为的只要发生，无论是否产生泄密实际后果，都要依法追究责任
B、非法获取国家秘密，不会构成刑事犯罪，不需承担刑事责任
C、过失泄露国家秘密，不会构成刑事犯罪，不需承担刑事责任
D、承担了刑事责任，无需再承担行政责任和/或其他处分
67、某单位信息安全岗位员工，利用个人业余时间，在社交网络平台上向业内同行不定期发布信息安全相关知识和前沿动态资讯，这一行为主要符合以下哪一条注册信息安全专业人员（CISP）职业道德准则（）：
A、避免任何损害CISP声誉形象的行为
B、自觉维护公众信息安全，拒绝并抑制通过计算机网络系统泄露个人隐私的行为
C、帮助和指导信息安全同行提升信息安全保障知识和能力
D、不在公众网络传播反动、暴力、黄色、低谷信息及非法软件
68、访问控制的实施一般包括两个步骤：首先要鉴别主体的合法身份，接着根据当前系统的访问控制规则授予用户相应的访问权限，在此过程中，涉及主体、客体、访问实施部件和访问控制决策部件之间的交互。下图所示的访问控制实施步骤中，标有数字的方框代表了主体、客体、访问控制实施部件和访问控制决策部件，下列选项中，标有数字1、2、3、4的方框分别对应的实体或部件正确的是（）：
A、主体、访问控制决策、客体、访问控制实施
B、主体、访问控制实施、客体、访问控制决策
C、客体、访问控制决策、主体、访问控制实施
D、客体、访问控制实施、主体、访问控制决策
69、操作系统用于管理计算机资源，控制整个系统运行，是计算机软件的基础。操作系统安全是计算、网络及信息系统安全的基础。一般操作系统都提供了相应的安全配置接口。小王新买了一台计算机，开机后首先对自带的windows操作系统进行配置。他的主要操作有：（1）关闭不必要的服务和端口；（2）在“本地安全策略”中配置账号策略、本地策略、公钥策略和IP安全策略；（3）备份敏感文件，禁止建立空连接，下载最新补丁；（4）关闭审核策略，开启口令策略，开启账户策略。这些操作中错误的是（）：
A、操作（1），应该关闭不必要的服务和所有端口
B、操作（2），在“本地安全策略”中不应该配置公钥策略，而应该配置私钥策略
C、操作（3），备份敏感文件会导致这些文件遭到几率增加
D、操作（4），应该开启审核策略
70、超文本传输协议（hypertext transfer protocol，HTTP）是互联网上广泛使用的一种网络协议。下面哪种协议基于HTTP并结合SSL协议，具备用户鉴别和通信数据加密等功能（）：
A、HTTP 1.1协议
B、HTTP 1.1协议
C、HTTPS协议
D、HTTPD协议
71、某市环卫局网络建设是当地政府投资的重点项目。总体目标就是用于交换式千兆以太网为主干，超五类双绞线作水平布线，由大型交换机和路由器连通几个主要的工作区域，在各区域建立一个闭路电视监控系统，再把信号通过网络传输到各监控中心，其中对交换机和路由器进行配置是网络安全中的一个不可缺少的步骤，下面对于交换机和路由器的安全配置，操作错误的是（）：
A、保持当前版本的操作系统，不定期更新交换机操作系统补丁
B、控制交换机的物理访问端口，关闭空闲的物理商品
C、带外管理交换机，如果不能实现的话，可以利用单独的VLAN号进行带内管理
D、安全配置必要的网络服务，关闭不必要的网络服务
从最开始接触风险评估理论到现在，已经有将近5个年头了，从最开始的膜拜捧为必杀技，然后是有一阵子怀疑甚至预弃之不用，到现在重拾之，尊之为做好安全的必备法宝，这么一段起起伏伏的心理历程。对风险的方法在一步步的加深，本文从风险评估工作最突出的问题：如何得到一致的、可比较的、可重复的风险评估结果，来加以分析讨论。 1. 风险评估的现状 风险理论也逐渐被广大信息安全专业人士所熟知，以风险驱动的方法去管理信息安全已经被大部分人所共知和接受，这几年国内等级保护的如火如荼的开展，风险评估工作是水涨船高，加之国内信息安全咨询和服务厂商和机构不遗余力的推动，风险评估实践也在不断的深入。当前的风险评估的方法主要参照两个标准，一个是国际标准《ISO13335信息安全风险管理指南》和国内标准《GB/T 20984-2007信息安全风险评估规范》，其本质上就是以信息资产为对象的定性的风险评估。基本方法是识别并评价组织/企业内部所要关注的信息系统、数据、人员、服务等保护对象，在参照当前流行的国际国内标准如ISO2700 2,COBIT，信息系统等级保护，识别出这些保护对象面临的威胁以及自身所存在的能被威胁利用的弱点，最后从可能性和影响程度这两个方面来评价信息资产的风险，综合后得到企业所面临的信息安全风险。这是大多数组织在做风险评估时使用的方法。当然也有少数的组织/企业开始在资产风险评估的基础上，在实践中摸索和开发出类似与流程风险评估等方法，补充完善了资产风险评估。 2. 风险评估的突出问题 信息安全领域的风险评估甚至风险管理的方法是借鉴了银行业成熟的风险管理方法，银行业业务风险管理的方法已经发展到相当成熟的地步，并且银行业也有非常丰富的基础数据支撑着风险分析方法的运用。但是，风险评估作为信息安全领域的新生事物，或者说舶来之物，尽管信息安全本身在国内开展也不过是10来年，风险评估作为先进思想也存在着类似“马列主义要与中国的实际国情结合走中国特色社会主义道路”的问题。风险评估的定量评估方法缺少必要的土壤，没有基础的、统计数据做支撑，定量风险评估寸步难移;而定性的风险评估其方法的本质是定性，所谓定性，则意味着估计、大概，不准确，其本质的缺陷给实践带来无穷的问题，重要问题之一就是投资回报问题，由于不能从财务的角度去评价一个/组风险所带来的可能损失，因此，也就没有办法得到投资回报率，尽管这是个问题，但是实践当中，一般大的企业都会有个基本的年度预算，IT/安全占企业年度预算的百分之多少，然后就是反正就这么些钱，按照风险从高到低或者再结合其他比如企业现有管理和技术水平，项目实施的难易度等情况综合考虑得到风险处理优先级，从高到低依次排序，钱到哪花完，风险处理今年就处理到哪。这方法到也比较具有实际价值，操作起来也容易，预算多的企业也不怕钱花不完，预算少的企业也有其对付办法，你领导就给这么些钱，哪些不能处理的风险反正我已经告诉你啦，要是万一出了事情你也怪不得我，没有出事情，等明年有钱了再接着处理。
1.关于微软的SDL 原则，弃用不安全的函数属于哪个阶段?（） A、规划 B、设计 C、实现 D、测试 答案：C 2.优秀源代码审核工具具有哪些特点() ①安全性②多平台性③可扩展性④知识性⑤集成性 A.①②③④⑤ B.②③④ C.①②③④ D.②③ 答案：A 3. 信息安全风险管理过程的模型如图所示。按照流程，请问，信息安全风险管理包括（）六个方面的内容。( )是信息安全风险管理的四个基本步骤，( )则贯穿于这四个基本步骤中。 A.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建 立、风险评估、风险处理和批准监督；监控审查和沟通咨询
B.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、风险处理和监控审查；批准监督和沟通咨询 C.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、风险处理和沟通咨询；监控审查和批准监督 D.背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询；背景建立、风险评估、监控审查和批准监督；风险处理和沟通咨询 答案：A 4.信息安全风险评估是针对事物潜在影响正常执行其职能的行为产生干扰或者破坏的因素进行识别、评价的过程，下列选项中不属于风险评估要素的是()。 A.资产 B.跪弱性 C.威胁 D.安全需求 答案：D 5.小李和小刘需要为公司新搭建的信息管理系统设计访问控制方法，他们在讨论中就应该采用自主访问控制还是强制访问控创产生了分歧。小本认为应该采用自主访问控制的方法，他的观点主要有；(1)自主访向控制方式，可为用户提供灵活、可调整的安全策略，合法用户可以修改任一文件的存取控制信息；(2)自主访问控制可以抵御木马程序的攻击。小刘认为应该采用强制访问控制的方法，他的观点主要有；(3)强制访问控制中，只有文件的拥有者可以修改文件的安全属性，因此安全性较高；(4)强制访问控制能够保护敏感信息。以上四个观点中，只有一个观点是正确的，它是( ). A.观点(1) B.观点(2) C.观点(3)
网络与信息安全风险评估管理实施细则 第一章编制说明 第一条为在确保（以下简称“”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）、《网络与信息安全风险评估管理办法》等国家政策、行业 标准和集团公司相关规定，特制定本实施细则。 第二条本实施细则所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威 胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险， 有针对性的提出改进措施的活动。 第三条本实施细则适用于省公司、各市分公司根据行业监管要求或者自身安全要求，针对通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯 控制系统、门禁系统等发起的各类风险评估。 第四条涉及的部门及单位包括：省公司网络部，各级通信网、业务网和各支撑系统维护部门，如省网管中心、业务支撑中心、发展计划部IT中心、行政 事务中心及各市分公司等等。 1
第二章职责与分工 第五条总体原则 （一）在“谁主管、谁负责”总体原则指导下，按照统一管理、分级负责原则，省公司及各市分公司负责所辖网络和系统的安全风险评估工作。 （二）“自评估为主、第三方评估为辅”原则。省公司应着力推动自有评估队伍的建设，逐步实现自主评估。第三方评估应侧重弥补尤其是在队伍建设初期， 由于对电信网络协议漏洞、编程漏洞了解较少、渗透测试技术水平不高等 方面的不足。 （三）原则上，安全评估服务与系统建设不能采用同一厂家。 第六条发起风险评估的责任主体包括省公司网络部、各级通信网、业务网和各支撑系统维护部门，如省网管中心、业务支撑中心、发展计划部IT中心及 各市分公司等等。 第七条省公司网络部应在网络与信息安全工作领导小组及上级主管部门领导下，组织开展公司层面安全评估工作： （一）落实上级安全风险评估工作总体安排，配合上级组织的风险评估工作。 在重大活动或敏感时期，应根据上级安排或者自身需要发起对特定网络 及信息系统的专项评估工作； （二）建立和完善风险评估工作考核指标和考核办法，组织考核评比。对风险评估相关文档的发布、保存、流转、更改、作废、销毁各环节进行严格 把控，确保风险评估资料的机密性、完整性和可用性； 2
( 安全论文 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改 电子档案信息安全评价指标体 系研究(新编版) Safety is inseparable from production and efficiency. Only when safety is good can we ensure better production. Pay attention to safety at all times.
电子档案信息安全评价指标体系研究(新 编版) 一、建立电子档案信息安全评价指标体系的必要性 信息技术在档案管理中的广泛应用，一方面提高了档案工作的效率，扩大了档案的社会影响力；另一方面也对档案工作提出了新的要求，例如存储介质的不稳定、技术过时、黑客入侵、电脑病毒破坏等都使得电子档案信息的安全保护面临着前所未有的挑战。 在2002年国家档案局颁发的《全国档案信息化建设实施纲要》和近期各省市的“十一五档案信息化建设纲要”中都提出了“档案信息安全保障体系建设”，但仍缺乏深入、系统的探讨。电子档案信息的安全管理是一个过程，而不是一个产品，我们不能期望通过一个安全产品就能把所有的安全问题都解决。对各档案管理系统来说，解决电子档案信息安全的首要问题就是要识别自身信息系统所面临
的风险，包括这些风险可能带来的安全威胁与影响的程度，然后进行最充分的分析与评价。只有采用科学有效的模型和方法进行全面的安全评价，才能真正掌握内部信息系统的整体安全状况，分析各种存在的威胁，以便针对高风险的威胁采取有效的安全措施，提高整体安全水平，逐步建成坚固的电子档案信息安全管理体系。 二、电子档案信息安全评价指标体系的组成 电子档案信息系统是一个复杂的系统工程，既有硬件，又有软件，既有外部影响，又有内部因素，而且许多方面是相互制约的。因此，必须有一个规范的、统一的、客观的标准。根据国内外的电子档案信息安全评估标准，国家对电子档案信息和网络信息系统安全性的基本要求，结合电子档案管理和网络管理经验，综合考虑影响电子档案信息安全的各种因素，建立电子档案信息安全评价指标体系。该体系主要包括五个大项二十个小项的评价指标。 1、物理安全评价指标 物理安全是指存储档案信息的库房、计算机设备及管理人员工作场所内外的环境条件必须满足档案信息安全、计算机设备和管理
xxx有限公司 信息安全评估报告(管理信息系统) x年x月
1目标 xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作，发现本公司电子设备当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 《信息安全技术信息安全风险评估规范》（GB/T 20984-2007） 《信息技术信息技术安全管理指南》 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件 对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记 录，形成本公司的安全事件列表。 本公司至今没有发生较大安全事故。 5安全检查项目评估 5.1 规章制度与组织管理评估 规章制度详见《计算机信息系统及设备管理办法》 5.1.1组织机构
5.1.1.1 评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2 现状描述 本公司已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论 完善信息安全组织机构，成立信息安全工作机构。 5.1.2岗位职责 5.1.2.1 评估标准 岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。 5.1.2.2 现状描述 我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。 5.1.2.3 评估结论 我公司已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。
CISP信息安全管理章节练习一 一、单选题。(共100题,共100分,每题1分) 1. 小李去参加单位组织的信息安全培训后，他把自己对信息安全管理体系（Information Security Management System, ISMS）的理解画了以下一张图，但是他还存在一个空白处未填写，请帮他选择一个最合适的选项（）。 a、监控和反馈ISMS b、批准和监督ISMS c、监视和评审ISMS d、沟通和资询ISMS 最佳答案是:c 2. 在对安全控制进行分析时，下面哪个描述是不准确的？ a、对每一项安全控制都应该进行成本收益分析，以确定哪一项安全控制是必须的和有效的 b、应确保选择对业务效率影响最小的安全措施 c、选择好实施安全控制的时机和位置，提高安全控制的有效性 d、仔细评价引入的安全控制对正常业务带来的影响，采取适当措施，尽可能减少负面效应最佳答案是:b 3. 以下哪一项不是信息安全管理工作必须遵循的原则？ a、风险管理在系统开发之初就应该予以充分考虑，并要贯穿于整个系统开发过程之中 b、风险管理活动应成为系统开发、运行、维护、直至废弃的整个生命周期内的持续性工作 c、由于在系统投入使用后部署和应用风险控制措施针对性会更强，实施成本会相对较低 d、在系统正式运行后，应注重残余风险的管理，以提高快速反应能力 最佳答案是:c 4. 对信息安全风险评估要素理解正确的是： a、资产识别的粒度随着评估范围、评估目的的不同而不同，既可以是硬件设备，也可以是业务系统，也可以是组织机构 b、应针对构成信息系统的每个资产做风险评价 c、脆弱性识别是将信息系统安全现状与国家或行业的安全要求做符合性比对而找出的差距项 d、信息系统面临的安全威胁仅包括人为故意威胁、人为非故意威胁 最佳答案是:a 5. 以下哪一项不是建筑物的自动化访问审计系统记录的日志的内容： a、出入的原因 b、出入的时间 c、出入口的位置 d、是否成功进入 最佳答案是:a 6. 信息安全策略是管理层对信息安全工作意图和方向的正式表述，以下哪一项不是信息安全策略文档中必须包含的内容：
1基于安全相似域的风险评估模型 本文从评估实体安全属性的相似性出发,提出安全相似域的概念,并在此基础上建立起一种网络风险评估模型SSD-REM 风险评估模型主要分为评估操作模型和风险分析模型。评估操作模型着重为评估过程建立模型,以指导评估的操作规程,安全评估机构通常都有自己的操作模型以增强评估的可实施性和一致性。风险分析模型可概括为两大类:面向入侵的模型和面向对象的模型。 面向入侵的风险分析模型受技术和规模方面的影响较大,不易规范,但操作性强。面向对象的分析模型规范性强,有利于持续评估的执行,但文档管理工作较多,不便于中小企业的执行。针对上述问题,本文从主机安全特征的相似性及网络主体安全的相关性视角出发,提出基于安全相似域的网络风险评估模型SSD-REM(security-similar-domain based riskevaluation model)。该模型将粗粒度与细粒度评估相结合,既注重宏观上的把握,又不失对网络实体安全状况的个别考察,有助于安全管理员发现保护的重点,提高安全保护策略的针对性和有效性。 SSD-REM模型 SSD-REM模型将静态评估与动态评估相结合,考虑到影响系统安全的三个主要因素,较全面地考察了系统的安全。 定义1评估对象。从风险评估的视角出发, 评估对象是信息系统中信息载体的集合。根据抽象层次的不同,评估对象可分为评估实体、安全相似域和评估网络。 定义2独立风险值。独立风险值是在不考虑评估对象之间相互影响的情形下,对某对象进行评定所得出的风险,记为RS。 定义3综合风险值。综合风险值是在考虑同其发生关联的对象对其安全影响的情况下,对某对象进行评定所得出的风险,记为RI。 独立域风险是在不考虑各评估实体安全关联的情况下,所得相似域的风险。独立网络风险是在不考虑外界威胁及各相似域之间安全关联的情况下,所得的网络风险 评估实体是评估网络的基本组成元素,通常立的主机、服务器等。我们以下面的向量来描述{ID,Ai,RS,RI,P,μ} 式中ID是评估实体标识;Ai为安全相似识;RS为该实体的独立风险值;RI为该实体合风险值;P为该实体的信息保护等级,即信产的重要性度量;属性μ为该实体对其所属的域的隶属
网络与信息安全工程师简历自我评价 自我评价 我是乐观向上，活波开朗，学习认真，工作负责当然也有些不足，为人处事，社会交际等方面有待提高，进入贵公司我会尽快完善自 己争取做一个好员工。 教育经历 2011-06-2014-07河北工程技术高等专科学校计算机网络大专 专业描述：系统掌握网络工程专业知识能够完成网络工程规划设计、组建、管理和维护以及应用软件开发等，在网络技术、计算机 和通信工程等领域具有一定的应用研究、科技开发、科技管理以及 分析和解决实际问题的能力，能在网络公司、电信运营商、系统集 成商、教育机构、银行以及相关企事业单位的网络技术部门，从事 网络规划师、网络工程师、售前技术工程师、售后技术工程师、网 络管理员等岗位的技术工作。 工作能力及其他专长 主要是以管理网页和编辑、windowsserver2003服务器和linux 服务配置与管理维护、网络管理和安全。 态度认真，热情真诚，团队意识强，吃苦耐劳，时间观念强，学习能力强，善于接受新事物。 自我评价 我出生农村，吃苦耐劳是成长经历带给我的最大的财富，我自学能力强，较好的沟通和协作能力，极强的执行力，具备良好的服务 意识，具有良好的团队合作精神,集体荣誉感强,积极配合上级工作, 以团队为准,从组织出发，适应能力好,能很快地接收新的事物,学会 新的技术和新知识，有强烈的求知欲望，我对工作积极热情，执著
认真负责,有突出的创新能力。工作态度塌实,时间观念强,不迟到旷工。 专业技能 熟悉windows系列、linux操作系统，熟练使用 microsoftoffice系列办公软件;精通pc机和服务器的硬件架构及 故障处理;熟悉dreamweaver,网页设计;精通代理、视频、论坛的架设和维护;熟练掌握局域网搭建和网络设备的基本维护，对osi/rm 和tcp/ip模型有深入的研究;精通cisco路由交换及防火墙设备， 熟悉vlan、vtp、pst、ppp、ospf、vpn等配置命令;精通 server2003平台下web、ftp、mall、sql、isa服务器的架设,精通exchange操作;掌握网络管理的基本原理和操作方法，网络系统的 性能测试和优化技术;熟悉sqlserver2000/2005mysql数据库，熟悉数据的调拨、查询、销售统计、数据汇总;熟悉网络信息安全技术，了解企业安全及解决方案;精通erp(enterpriseresourceplanning)的操作。 自我评价 自学能力强，适应快，具有丰富的项目经验，扎实的专业知识、较好的计算机英语阅读能力，做事认真踏实负责，有始有终。 另：最重要的是能力，相信贵公司会觉得我是此职位的合适人选! 工作描述：职责：公司网络项目的售前售后和代理产品的推广，具体包括：项目的网络规划与设计，技术解决方案制定，投标文件 制作，项目实施与维护;负责arraynetworks产品的全省巡回推广活动，并担任主讲。
注册信息安全专业人员（CISP） 随着信息技术的迅速发展和广泛应用，网络安全威胁向经济社会的各个方面渗透，成为国家安全的重要组成部分。2017年6月1日《中华人民共和国网络安全法》正式施行，保障网络安全对我国网络安全有着重大意义。 CISP即“注册信息安全专业人员”，系国家对信息安全人员资质的最高认可。英文为Certified Information Security Professional (简称CISP)，CISP系经中国信息安全产品测评认证中心（已改名中国信息安全测评中心）实施国家认证。CISP是强制培训的。如果想参加CISP考试，必须要求出具授权培训机构的培训合格证明。 一、企业所需 注册信息安全专业人员是有关信息安全企业，信息安全咨询服务机构、信息安全测评机构、社会各组织、团体、企事业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的专业岗位人员，其基本职能是对信息系统的安全提供技术保障，其所具备的专业资质和能力，系经中国信息安全测评中心实施注册。 二、个人所需
CISP作为目前国内最权威的信息安全认证，将会使您的个人职业生涯稳步提升，同时，CISP也是国内拥有会员数最多的信息安全认证，你可以通过CISP之家俱乐部与行业精英交流分享，提高个人信息安全保障水平。 三、适用人群 包括在国家信息安全测评机构、信息安全咨询服务机构、社会各组织、团体、企事业单位从事信息安全服务或高级安全管理工作的人员、企业信息安全主管、信息安全服务提供商、IT或安全顾问人员、IT审计人员、信息安全类讲师或培训人员、信息安全事件调查人员、其他从事与信息安全相关工作的人员（如系统管理员、程序员等） 1、CISE（注册信息安全工程师）： 适合政府、各大企事业单位、网络安全集成服务提供商的网络安全技术人员 2、CISO（注册信息安全管理人员）： 适合政府、各大企事业单位的网络安全管理人员，也适合网络安全集成服务提供商的网络安全顾问人员 四、认证要求 1、注册要求 1.教育与工作经历
信息安全产品评估标准综述 全国信息安全标准化技术委员会安全评估标准组崔书昆 信息安全产品，广义地是指具备安全功能（保密性、完整性、可用性、可鉴别性与不可否认性）的信息通信技术（ICT）产品，狭义地是指具备上述功能的专用信息通信技术产品。这些产品可能是硬件、固件和软件，也可能是软、固、硬件的结合。 一、国外信息安全产品评估标准的发展 以美国为首的西方发达国家和前苏联及其盟国，早在20世纪50年代即着手开发用于政府和军队的信息安全产品。到20世纪末，美国信息安全产品产值已达500亿美元。 随着产品研发，有关信息安全产品评估标准的制定也相应地开展起来。 （一）国外信息安全产品评估标准的演变 国际上信息安全产品检测评估标准的发展大体上经历了三个阶段： 1.本土化阶段 1983年，美国国防部率先推出了《可信计算机系统评估准则》（TCSEC），该标准事实上成了美国国家信息安全评估标准，对世界各国也产生了广泛影响。在1990年前后，英国、德国、加拿大等国也先后制定了立足于本国情况的信息安全评估标准，如加拿大的《可信计算机产品评估准则》（CTCPEC）等。在欧洲影响下，美国1991年制定了一个《联邦（最低安全要求）评估准则》（FC），但由于其不完备性，未能推开。 2.多国化阶段 由于信息安全评估技术的复杂性和信息安全产品国际市场的逐渐形成，单靠一个国家自行制定并实行自己的评估标准已不能满足国际交流的要求，于是多国共同制定统一的信息安全产品评估标准被提了出来。 1991年欧洲英、法、德、荷四国国防部门信息安全机构率先联合制定了《信息技术安全评估准则》（ITSEC），并在事实上成为欧盟各国使用的共同评估标准。这为多国共同制定信息安全标准开了先河。为了紧紧把握信息安全产品技术与市场的主导权，美国在欧洲四国出台ITSEC之后，立即倡议欧美六国七方（即英、
胜达集团 信息安全评估报告 (管理信息系统) 胜达集团 二零一六年一月
1目标 胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等， 管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。 资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论
CISP信息安全技术章节练习一 一、单选题。(共100题,共100分,每题1分) 1. 安全的运行环境是软件安全的基础，操作系统安全配置是确保运行环境安全必不可少的工作，某管理员对即将上线的Windows操作系统进行了以下四项安全部署工作，其中哪项设置不利于提高运行环境安全? a、操作系统安装完成后安装最新的安全补丁，确保操作系统不存在可被利用的安全漏洞 b、为了方便进行数据备份，安装Windows操作系统时只使用一个分区所有数据和操作系统都存放在C盘 c、操作系统上部署防病毒软件，以对抗病毒的威胁 d、将默认的管理员账号Administrator改名，降低口令暴力破解攻击的发生可能 最佳答案是:b 2. 对于抽样而言,以下哪项是正确的? a、抽样一般运用于与不成文或无形的控制相关联的总体 b、如果内部控制健全,置信系统可以取的较低 c、通过尽早停止审计测试,属性抽样有助于减少对某个属性的过量抽样 d、变量抽样是估计给定控制或相关控制集合发生率的技术 最佳答案是:b 3. 以下关于账户策略中密码策略中各项作用说明，哪个是错误的： a、“密码必须符合复杂性要求”是用于避免用户产生诸如1234,1111这样的弱口令 b、“密码长度最小值”是强制用户使用一定长度以上的密码 c、“强制密码历史”是强制用户不能再使用曾经使用过的任何密码 d、“密码最长存留期”是为了避免用户使用密码时间过长而不更换 最佳答案是:c 4. 如图所示，主体S对客体01有读（R）权限，对客体O2有读（R）、写（W）、拥有（Own）权限。该图所表示的访问控制实现方法是： a、访问控制表（ACL) b、访问控制矩阵 c、能力表（CL） d、前缀表（Profiles）最佳答案是:c 5. 关于数据库恢复技术，下列说法不正确的是： a、数据库恢复技术的实现主要依靠各种数据的冗余和恢复机制技术来解决，当数据库中数
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
信息安全评估报告 （管理信息系统）
二零一六年一月
1目标 XX单位信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通]2006] 15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求，开展XX单位的信息安全评估。 2.2评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3评估方法 采用自评估方法。
3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。
研究报告二网络安全评估标准研究报告 一、研究现状 随着网络技术的发展，计算机病毒、网络入侵与攻击等各种网络安全事件给网络带来的威胁和危害越来越大，需对网络数据流进行特征分析，得出网络入侵、攻击和病毒的行为模式，以采取相应的预防措施。宏观网络的数据流日趋增大，其特征在多方面都有体现。为了系统效率，只需对能体现网络安全事件发生程度与危害的重点特征进行分析，并得出反映网络安全事件的重点特征，形成安全评估指标。 随着信息技术与网络技术的迅猛发展, 信息安全已经成为全球共同关注的话题, 信息安全管理体系逐渐成为确保组织信息安全的基本要求, 同时网络与信息安全标准化工作是信息安全保障体系建设的重要组成部分。网络与信息安全标准研究与制定为管理信息安全设备提供了有效的技术依据, 这对于保证安全设备的正常运行和网络信息系统的运行安全和信息安全具有非常重要的意义。本文将介绍当前网络信息安全标准研究的现状, 并着重介绍几个现阶段国内外较流行的安全标准。 近年来，面对日益严峻的网络安全形式，网络安全技术成为国内外网络安全专家研究的焦点。长期以来，防火墙、入侵检测技术和病毒检测技术被作为网络安全防护的主要手段，但随着安全事件的日益增多，被动防御已经不能满足我们的需要。这种情况下，系统化、自动化的网络安全管理需求逐渐升温，其中，如何实现网络安全信息融合，如何真实、准确的评估对网络系统的安全态势已经成为网络安全领域的一个研究热点。 对网络安全评估主要集中在漏洞的探测和发现上，而对发现的漏洞如何进行安全级别的评估分析还十分有限，大多采用基于专家经验的评估方法，定性地对漏洞的严重性等级进行划分，其评估结果并不随着时间、地点的变化而变化，不能真实地反映系统实际存在的安全隐患状况。再加上现在的漏洞评估产品存在误报、漏报现象，使得安全管理员很难确定到底哪个漏洞对系统的危害性比较大，以便采取措施降低系统的风险水平。因此，我们认为：漏洞的评估应该充分考虑漏洞本身的有关参数及系统的实际运行数据两方面信息，在此基础上，建立一个基于信息融合的网络安全评估分析模型，得到准确的评估结果 2相关工作 现有的安全评估方式可以大致归结为4类:安全审计、风险分析、安全测评和系统安全工程能力成熟度模型SSE-CMM ( Systems Security Engineering Capability MaturityModel)等。大部分通用的信息安全标准,如ISO 17799,ISO13335等,其核心思想都是基于风险的安全理念[4-6]。信息技术先进的国家,例如美国、俄罗斯和日本等在信息安全保障评价指标体系方面已经率先开展了研究工作。特别是美国,利用卡内基梅
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、标准《信息系统安全等级评测准则》等法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等面存在的脆弱性为诱因的信息安全风险评估综合法及操作模型。 1.2风险评估相关 资产，任对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段（60-70年代）以计算机为对象的信息保密阶段1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品，很少延拓至系统，婴儿在格意义上扔不是全面的风险评估。 第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个面；逐步形成了风险评估、自评估、认证认可的工作思路。
xxx有限公司 信息安全评估报告 (管理信息系统) x年x月 1目标 xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作，发现本公司电子设备当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 《信息安全技术信息安全风险评估规范》（GB/T 20984-2007） 《信息技术信息技术安全管理指南》 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。 4安全事件 对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记 录，形成本公司的安全事件列表。 本公司至今没有发生较大安全事故。 5安全检查项目评估 5.1 规章制度与组织管理评估 规章制度详见《计算机信息系统及设备管理办法》 评估标准
信息安全组织机构包括领导机构、工作机构。 现状描述 本公司已成立了信息安全领导机构，但尚未成立信息安全工作机构。 评估结论 完善信息安全组织机构，成立信息安全工作机构。 评估标准 岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。 现状描述 我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。 评估结论 我公司已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。 评估标准 病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。 现状描述 我公司xxx防病毒软件进行病毒防护，定期从省官网病毒库服务器下载、升级安全策略；病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。 评估结论 完善病毒预警和报告机制，制定计算机病毒防治管理制度。 评估标准 运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运5 维流程、值班制度并实行工作票制度；制定机房出入管理制度并上墙，对进出机房情况记录。 现状描述 没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房进出情况记录。 评估结论 结合本公司具体情况，制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，实行工作票制度；机房出入管理制度上墙，记录机房进出情况。
1.下面关于信息安全保障的说法正确的是： A.信息安全保障的概念是与信息安全的概念同时产生的 B.信息系统安全保障要素包括信息的完整性、可用性和保密性 C.信息安全保障和信息安全技术并列构成实现信息安全的两大主要手段 D.信息安全保障是以业务目标的实现为最终目的，从风险和策略出发，实施 在系统的生命周期内确保信息的安全属性 2.根据《 GB / T20274 信息安全保障评估框架》，对信息系统安全保障能力 进行评估应 A.信息安全管理和信息安全技术2 个方面进行 B.信息安全管理、信息安全技术和信息安全工程3 个方面进行 C.信息安全管理、信息安全技术、信息安全工程和人员4 个方面进行 D.信息安全管理、信息安全技术、信息安全工程、法律法规和人员5个方面进 行 3.哪一项不是《 GB / T20274 信息安全保障评估框架》给出的信息安全保障 模 通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征 4.对于信息安全发展历史描述正确的是： A.信息安全的概念是随着计算机技术的广泛应用而诞生的 B.目前信息安全己经发展到计算机安全的阶段 C.目前信息安全不仅仅关注信息技术，人们意识到组织、管理、工程过程和人 员同样是促进系统安全性的重要因素 D.我们可以将信息安全的发展阶段概括为，由“计算机安全”到“通信安全”， 再到“信息安全”，直至现在的“信息安全保障” 5.ISO的OSI安全体系结构中，以下哪一个安全机制可以提供抗抵赖安全服务 A.加密 B.数字签名 C.访问控制 D.路由控制
6.表示层 7.以下哪一个关于信息安全评估的标准首先明确提出了保密性、完整性和可用 性三项信息安全特性 A.ITSEC B.TCSEC C.GB/T9387.2 D.彩虹系列的橙皮书 8.下面对于CC 的“保护轮廓”( PP ）的说法最准确的是： A.对系统防护强度的描述 B.对评估对象系统进行规范化的描述 C.对一类TOE 的安全需求，进行与技术实现无关的描述 D.由一系列保证组件构成的包，可以代表预先定义的保证尺度 9.以下哪一项属于动态的强制访问控制模型？ A.Bell一Lapudufa 模型 B. 10. C.Strong star property 处于 D.Bell 一Lapadula 模型的访问规则主要是出于对保密性的保护而制定的 11.下面对于强制访问控制的说法错误的是？ A 它可以用来实现完整性保护，也可以用来实现机密性保护 B在强制访问控制的系统中，用户只能定义客体的安全属性 C 它在军方和政府等安全要求很高的地方应用较多 D 它的缺点是使用中的便利性比较低