返回试卷 在打印对话框中选择「另存为 PDF」即可下载

2025年10月ISMS信息安全管理体系审核员考试试题（网友回忆版）

ISMS信息安全管理体系审核员 / 历年真题　共 60 题　更新于 2026-09-27

一、单选题

下列每小题的选项中，只有一项是最符合题意的正确答案，多选、错选或不选均不得分。

1.
拒绝服务攻击损害了下列（　）信息安全特性。
  • A.可用性
  • B.保密性
  • C.可靠性
  • D.完整性

参考答案A

解析拒绝服务攻击是通过干扰、破坏等手段让目标系统无法正常提供服务，主要影响的是信息系统的可用性。答案：A
2.
（　）是指确保信息没有非授权泄密，即确保信息不泄露给非授权的个人、实体或进程，不为其所用。
  • A.保密性
  • B.完整性
  • C.可用性
  • D.抗抵赖性

参考答案A

解析题干强调信息不被非授权泄露，这符合保密性的定义。答案选A。
3.
根据GB/T 29246-2017标准，信息安全风险评价指（　）。
  • A.改变风险的过程
  • B.系统地使用信息来识别风险来源和估计风险
  • C.将风险分析的结果与风险准则比较以确定风险和（或）其大小是否可接受或可容忍的过程
  • D.指导和控制一个组织相关风险的协调活动

参考答案C

解析GB/T 29246 - 2017中信息安全风险评价是把风险分析结果与风险准则对比，判断风险是否可接受。A是风险处理；B是风险分析；D是风险管理。答案：C
4.
根据GB/T 22080-2016标准的要求，最高管理层，可以包括（　）。
  • A.首席信息官
  • B.首席财务官
  • C.首席执行官
  • D.其他选项均正确

参考答案D

解析GB/T 22080 - 2016标准里，最高管理层涵盖组织中具有决策权力的高层人员，首席信息官、首席财务官、首席执行官都属于此类。所以答案选D。
5.
ISO/IEC27000系列标准由（　）组织负责维护。
  • A.ISO/IEC TC261
  • B.ISO/IEC JTC1 SC40
  • C.ISO/IEC TC26
  • D.ISO/IEC JTC1 SC27

参考答案D

解析ISO/IEC JTC1 SC27负责维护ISO/IEC 27000系列标准。答案选D。
6.
《信息技术安全技术信息安全管理体系实施指南》对应的标准是（　）。
  • A.ISO/IEC 27002
  • B.ISO/IEC 27005
  • C.ISO/IEC 27003
  • B.ISO/IEC 27004

参考答案C

解析ISO/IEC 27003是《信息技术安全技术信息安全管理体系实施指南》对应的标准。答案选C。
7.
根据GB/T 22080-2016标准的要求，附录A包含（　）项控制措施。
  • A.114
  • B.143
  • C.139
  • D.133

参考答案A

解析GB/T 22080 - 2016标准附录A包含114项控制措施，答案选A。
8.
根据GB/T 22080-2016的要求，关于信息安全方针，以下（　）不是标准的要求。
  • A.信息安全方针文件应包括对信息安全管理的一般和特定职责的定义
  • B.最高管理层应建立信息安全方针
  • C.信息安全方针应形成文件化信息并可用
  • D.在组织内得到沟通，适当时，对相关方可用。

参考答案A

解析GB/T 22080 - 2016要求最高管理层建立方针，方针要文件化且可用、在组织内沟通并适当时对相关方可用，但未明确提及方针文件要包括对信息安全管理一般和特定职责的定义。答案：A
9.
根据GB/T 22080-2016标准的要求，最高管理层应分配责任和权限，以（　）。
  • A.促进持续改进
  • B.向最高管理者报告ISMS绩效
  • C.支持其他相关管理角色，以证实他们的领导按角色应用于其责任范围
  • D.指导并支持相关人员为ISMS做出贡献

参考答案B

解析根据GB/T22080-2016标准5.3条款“职责和权限”，最高管理层需分配责任和权限以确保向最高管理者报告ISMS绩效（B选项）；A（促进持续改进）是管理评审的输出方向，C（支持其他管理角色证实领导力）和D（指导支持人员贡献）并非标准明确规定的该条款分配权限的核心内容，故选B。
10.
根据GB/T 22080-2016标准的要求，在规划如何达到其信息安全目标时，组织应确定（　）。
  • A.要做什么，需要什么资源，由谁负责，什么时候完成，如何评价结果
  • B.要做什么，有什么可用资源，由谁负责，什么时候开始，如何测量结果
  • C.要做什么，有什么可用资源，由谁执行，什么时候开始，如何评价结果
  • D.要做什么，需要什么资源，由谁负责，什么时候完成，如何测量结果

参考答案A

解析依据GB/T22080-2016标准6.2.2条款“规划如何实现信息安全目标”，组织应确定“要做什么、需要什么资源、由谁负责、何时完成、如何评价结果”（A选项）；B中“什么时候开始”、C中“由谁执行”“什么时候开始”表述不准确，标准强调“完成时间”和“评价结果”而非仅“开始”，故选A。
11.
根据GB/T 22080-2016标准中控制措施的要求，有关开发和支持过程中的信息系统安全，可以不考虑（　）。
  • A.应在开发过程中进行安全功能测试
  • B.要求用户和操作人员的能力
  • C.使用正式的变更控制规程来控制开发生命周期内的系统变更
  • D.应建立、文件化和维护系统安全工程原则

参考答案B

解析要求用户和操作人员的能力主要是人员管理相关，并非开发和支持过程中信息系统安全直接考虑内容，而A、C、D都是开发和支持过程中信息系统安全需考虑的方面。答案选B。
12.
根据GB/T 22080-2016标准中控制措施的要求，确定资产的可接受使用，须根据（　）。
  • A.可接受的信息使用规则
  • B.组织可支付的经济成本
  • C.最高管理者的决定
  • D.信息系统的实际性能水平

参考答案A

解析GB/T 22080 - 2016标准里确定资产可接受使用要依据可接受的信息使用规则。答案：A
13.
根据GB/T 22080-2016标准中控制措施的要求，关于网络服务的访问控制策略，以下说法正确的是（　）。
  • A.网络管理员可以通过Internet在家里远程登录、维护核心交换机
  • B.可以通过常规防火墙实现对内部用户访问外部网络的访问控制
  • C.应关闭服务器上不需要的网络服务
  • D.可以通过防病毒产品实现对内部用户的网络访问控制

参考答案C

解析A选项远程登录维护核心交换机存在安全风险；B选项常规防火墙不能完全实现对内部用户访问外部网络的全面控制；D选项防病毒产品主要功能是防病毒，而非网络访问控制。C选项关闭服务器上不需要的网络服务可减少安全风险，符合访问控制策略要求。答案：C
14.
根据GB/T 22080-2016标准中（　）控制措施的要求，按照既定的备份策略，对信息、软件和系统镜像进行备份，并定期测试。
  • A.A.12.2.1
  • B.A.12.3.1
  • C.A.12.1.2
  • D.A.12.4.1

参考答案B

解析GB/T22080-2016 附录 A 中 A.12.3.1 为信息备份控制措施要求按既定备份策略对信息软件系统镜像开展备份并定期恢复测试匹配题干内容其余条目分别对应操作安全一般控制恶意软件防范数据交换等不相关。
15.
关于“监控系统”的存取与使用，下列说法正确的是（　）。
  • A.只有当系统发生异常事件及其他安全相关事件时才需进行监控
  • B.应保持时钟同步
  • C.监控系统投资额庞大，并会影响系统效能，因此可以予以暂时省略
  • D.监控系统所产生的记录可由用户任意存取

参考答案B

解析A选项，监控系统应持续监控而非仅异常时监控；C选项，监控系统很重要，不能省略；D选项，监控记录有规范管理，不能由用户任意存取。而监控系统为保证准确性等应保持时钟同步。答案：B
16.
根据GB/T 22080-2016的要求，描述与组织信息安全管理体系相关的和适用的控制措施的文档是（　）。
  • A.信息安全管理体系方针
  • B.信息安全管理体系范围
  • C.风险评估程序
  • D.适用性声明

参考答案D

解析适用性声明是描述与组织信息安全管理体系相关且适用控制措施的文档。方针是总体意图和方向；范围界定体系边界；风险评估程序是用于评估风险的流程。答案选D。
17.
某公司员工故意绕过安全限制，访问了其不应访问的数据。根据GB/T 20986-2023标准，该事件属于（　）网络安全事件。
  • A.数据安全事件
  • B.网络攻击事件
  • C.恶意程序事件
  • D.违规操作事件

参考答案D

解析员工故意绕过安全限制访问不应访问数据，这是违反规定的操作行为。答案选D，此情况符合GB/T 20986 - 2023标准中违规操作事件的定义。
18.
根据GB/T 20986-2023标准，以下（　）事件属于“恶意程序事件”类别，且编码为“01001”。
  • A.计算机病毒事件
  • B.域名劫持事件
  • C.勒索软件事件
  • D.权限滥用事件

参考答案A

解析GB/T 20986 - 2023标准中，编码“01001”对应的是计算机病毒事件。答案选A。
19.
GB/T 28450-2020标准采纳（　）的标准正文的格式与内容，在此基础上针对ISMS的特点增加了相关内容。
  • A.ISO/IEC27001-2013
  • B.ISO/IEC27006-2005
  • C.GB/T 19011-2003
  • D.CNAS-CC170

参考答案C

解析GB/T 28450 - 2020标准采纳了GB/T 19011 - 2003标准正文的格式与内容并增加相关内容。答案选C。
20.
GB/T 28450-2020标准中，ISMS审核方案需考虑ISMS的复杂性，ISMS的复杂性不包括（　）。
  • A.风险的潜在原因
  • B.电子交易的数量和类型
  • C.所操作和处理的敏感和关键信息的多少及类型
  • D.远程工作的范围

参考答案A

解析ISMS复杂性主要涉及信息处理规模、敏感信息情况、远程工作等方面，风险潜在原因并非直接体现ISMS本身复杂性。答案：A
21.
Saas是指（　）。
  • A.平台即服务
  • B.设施即服务
  • C.应用即服务
  • D.软件即服务

参考答案D

解析SaaS是Software-as-a-Service的缩写，意思是软件即服务。答案选D。
22.
当访问某资源存在不存活的链接时，会导致非法用户冒用并进行重放攻击的可能，因此应采取（　）控制措施。
  • A.远程访问控制
  • B.密钥控制
  • C.密码控制
  • D.会话超时

参考答案D

解析当存在不存活链接，采用会话超时控制可避免非法用户利用已失效链接冒用身份重放攻击。答案：D
23.
局域网环境下与大型计算机环境下的本地备份方式在（　）方面有主要区别。
  • A.局域网协议
  • B.主要结构
  • C.网络拓扑
  • D.容错能力

参考答案D

解析答案：D局域网环境下与大型计算机环境下的本地备份方式的主要区别在于容错能力。局域网环境通常需要更高的容错能力，以确保数据在网络故障或其他问题发生时不会丢失。大型计算机环境下的备份方式可能更依赖于集中式的存储和管理系统。
24.
根据《中华人民共和国个人信息保护法》，个人信息处理者因业务需要，确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估，但以下（　）情形除外。
  • A.关键信息基础设施运营者处理的个人信息
  • B.境外司法或执法机构要求提供
  • C.法律、行政法规或国家网信部门规定可以不进行安全评估的
  • D.处理个人信息达到国家网信部门规定数量的个人信息处理者

参考答案C

解析法律、行政法规或国家网信部门规定可以不进行安全评估的，就无需通过国家网信部门组织的安全评估。而A、B、D情形通常需进行安全评估。答案：C
25.
根据《中华人民共和国网络安全法》应予以重点保护的信息基础设施，指的是（　）
  • A.一旦遭到破坏、丧失功能或者数据泄露，可能危害国家安全、国计民生的信息基础设施
  • B.一旦遭到破坏、数据泄露，可能严重危害国家安全、国计民生的信息基础设施
  • C.一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的信息基础设施
  • D.一旦遭到破坏、数据泄露，可能危害国家安全、国计民生、公共利益的网络系统

参考答案C

解析《中华人民共和国网络安全法》规定重点保护的信息基础设施是一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的信息基础设施。答案：C
26.
根据《中华人民共和国数据安全法》，国家支持发展的数据安全技术不包括（　）。
  • A.数据脱敏
  • B.数据加密
  • C.数据销毁
  • D.数据监控

参考答案D

解析《中华人民共和国数据安全法》旨在保障数据安全，促进数据的开发利用。在这四个选项中，数据脱敏、数据加密和数据销毁都是为了保护数据安全而采取的技术手段。数据脱敏是为了保护敏感信息，数据加密是为了防止数据泄露，数据销毁是为了确保不再需要的数据不会被滥用。然而，数据监控并不是一种数据安全技术，而是指对数据进行实时监测和控制，以便及时发现和处理安全问题。因此，国家支持发展的数据安全技术不包括数据监控。正确答案：D.数据监控
27.
根据《网络数据安全管理条例》网络平台服务提供者通过自动化决策推送信息时，不属于必须提供的功能是（　）。
  • A.个性化推荐关闭选项
  • B.算法逻辑详细说明
  • C.拒绝接收推送的选项
  • D.用户标签删除功能

参考答案B

解析法规要求提供关闭个性化推荐、拒绝接收推送、删除用户标签等功能，但未要求提供算法逻辑详细说明。答案：B
28.
根据《网络安全审查办法》，数据处理者开展数据处理活动，影响或可能影响国家安全的，应主动申报审查。这一规定主要针对（　）。
  • A.一般数据
  • B.公开数据
  • C.个人信息
  • D.重要数据

参考答案D

解析《网络安全审查办法》规定数据处理者处理重要数据影响或可能影响国家安全要主动申报审查。答案选D。
29.
根据《网络数据安全管理条例》网络平台服务提供者通过自动化决策推送信息时，不属于必须提供的功能是（　）。
  • A.个性化推荐关闭选项
  • B.算法逻辑详细说明
  • C.拒绝接收推送的选项
  • D.用户标签删除功能

参考答案B

解析《网络数据安全管理条例》要求提供个性化推荐关闭、拒绝接收推送、用户标签删除等功能，但未要求提供算法逻辑详细说明。答案：B
30.
根据《网络安全审查办法》，数据处理者开展数据处理活动，影响或可能影响国家安全的，应主动申报审查。这一规定主要针对（　）。
  • A.一般数据
  • B.公开数据
  • C.个人信息
  • D.重要数据

参考答案D

解析《网络安全审查办法》里该规定主要针对重要数据，因为重要数据一旦处理不当影响或可能影响国家安全，所以要主动申报审查。答案选D。

二、多选题

下列每小题的备选答案中，有两个或两个以上符合题意的正确答案。

31.
根据GB/T 22080-2016标准的要求，开展信息安全绩效和ISMS有效性评价时，组织应确定（　）。
  • A.监视、测量、分析和评价的过程
  • B.需要被监视和测量的内容
  • C.监视、测量、分析和评价的执行人员
  • D.适用的监视、测量、分析和评价的方法

参考答案BD

解析根据GB/T22080-2016标准9.1条款“监视、测量、分析和评价”，组织应确定“需要被监视和测量的内容”（B）以及“适用的监视、测量、分析和评价的方法”（D）；A（过程）和C（执行人员）并非标准在此条款中强制要求“确定”的核心要素，故选BD。
32.
根据GB/T 22080-2016标准的要求，管理评审是为了确保信息安全管理体系持续的（　）。
  • A.有效性
  • B.充分性
  • C.可靠性
  • D.适宜性

参考答案ABD

解析GB/T 22080 - 2016标准中，管理评审目的是确保信息安全管理体系持续的适宜性、充分性和有效性。本题综合选最全面体现要求的选项。答案：ABD
33.
根据GB/T 22080-2016标准中控制措施的要求，A.8.2.1规定信息应按照（　）进行分级。
  • A.法律要求
  • B.对未授权泄露或修改的敏感性
  • C.重要性
  • D.价值

参考答案ABCD

解析GB/T22080-2016标准A.8.2.1“信息分级”明确要求，信息分级应考虑“法律要求”（A）、“对未授权泄露或修改的敏感性”（B）、“重要性”（C）和“价值”（D），四项均为信息分级的依据，故选ABCD。
34.
根据GB/T 22080-2016标准中控制措施的要求，为限制对信息和信息处理设施的访问，控制措施包括（　）。
  • A.系统和应用访问控制
  • B.恶意软件防范
  • C.访问控制的业务要求
  • D.用户责任

参考答案ACD

解析标准A.9“访问控制”控制措施中，A（系统和应用访问控制）、C（访问控制的业务要求）、D（用户责任）均属于限制对信息和信息处理设施访问的直接控制措施；B（恶意软件防范）属于“技术安全”领域（A.12），与访问控制无关，故选ACD。
35.
含有敏感信息的设备的处置可采取（　）。
  • A.物理销毁
  • B.采取使原始信息不可获取的技术破坏或删除
  • C.多次的重写覆盖
  • D.单次格式化处理

参考答案ABC

解析单次格式化处理不能确保敏感信息被彻底清除，可能仍能恢复。物理销毁、采取使原始信息不可获取的技术破坏或删除、多次重写覆盖都能更有效地处置含敏感信息设备。答案选ABC。
36.
公司M将信息系统运维外包给公司N，以下符合GB/T 22080-2016标准中控制措施要求的是（　）。
  • A.与N签署协议规定服务级别及安全要求
  • B.将多张核心机房门禁卡统一登记在N公司项目组组长名下，由其按需发给进入机房的NC公司人员使用
  • C.对N公司带入带出机房的电脑进行检查登记，硬盘和U盘不在此检查登记范围内
  • D.在对N公司人员服务时，接入M公司的移动电脑事前进行安全扫描

参考答案AD

解析根据标准A.15“供应商关系”控制措施，A（签署协议规定服务级别及安全要求）是供应商管理的基本要求；D（接入移动电脑事前安全扫描）可防范外部设备带来的安全风险，符合要求。B（多张门禁卡统一登记在组长名下）存在权限管理混乱风险，C（不检查登记硬盘和U盘）可能导致数据泄露，均不符合控制措施要求，故选AD。
37.
信息安全管理体系审核组，应能够理解的相关知识包括（　）。
  • A.信息安全风险评估
  • B.业务连续性管理
  • C.脆弱性管理
  • D.信息安全风险处置

参考答案ABCD

解析信息安全管理体系审核需对信息安全各方面有理解，信息安全风险评估是基础，可识别风险；业务连续性管理保障业务持续运行；脆弱性管理能发现系统薄弱点；信息安全风险处置是应对风险的手段。这些都是审核组应理解的知识。答案选ABCD。
38.
根据GB/T 20986-2023标准，网络安全事件的起因有（　）。
  • A.软硬件缺陷或故障
  • B.人为原因
  • C.网络存在漏洞隐患
  • D.网络遭受攻击

参考答案ABCD

解析GB/T 20986 - 2023标准中，网络安全事件起因包含软硬件缺陷或故障、人为原因、网络存在漏洞隐患、网络遭受攻击等多方面。答案选ABCD。
39.
某公司发现其网络中存在可能被攻击者利用的漏洞或隐患，一旦被利用可对网络造成破坏，进而导致业务损失或社会危害。根据GB/T 20986-2023标准，以下（　）属于网络安全隐患事件。
  • A.技术故障事件
  • B.网络漏洞事件
  • C.网络配置合规缺陷事件
  • D.资源未授权使用事件

参考答案BC

解析根据GB/T20986-2023《网络安全事件分类分级指南》，网络安全隐患事件包括“网络漏洞事件”（B）和“网络配置合规缺陷事件”（C）；A（技术故障事件）属于运行异常事件，D（资源未授权使用事件）属于安全攻击事件，均不属于隐患事件，故选BC。
40.
垃圾邮件带来的危害有（　）。
  • A.垃圾邮件提高了某些公司做广告的效益
  • B.垃圾邮件迫使企业使用最新的操作系统
  • C.垃圾邮件占用很多互联网资源
  • D.垃圾邮件浪费广大用户的时间和精力

参考答案CD

解析A选项提高广告效益不是危害；B选项垃圾邮件与企业使用最新操作系统无直接关联；C选项占用互联网资源、D选项浪费用户时间精力都是垃圾邮件的危害。答案：CD

三、判断题

请判断每小题的表述是否正确。

41.
控制是改变风险的措施，控制不一定总是达到预期或假定的风险改变效果。
  • A.正确
  • B.错误

参考答案A

解析控制旨在改变风险，但实际中受多种因素影响，不一定能达到预期效果。
42.
根据GB/T 22081-2016标准，每一个主要安全控制类别包括一个控制目标和一个或多个控制。
  • A.正确
  • B.错误

参考答案A

解析GB/T 22081 - 2016 标准中，每个主要安全控制类别确实包含一个控制目标和一个或多个控制。所以该说法正确。
43.
组织在确定影响实现其ISMS预期结果能力的内外部事项时，应根据ISO 31000中5.3的要求。
  • A.正确
  • B.错误

参考答案B

解析组织确定影响实现其ISMS预期结果能力的内外部事项，应依据ISO/IEC 27001中对相关内容的要求，而非ISO 31000中5.3的要求。
44.
某信用卡制造企业为接收银行信用卡数据的服务器配置了单独的路由和防火墙，这符合GB/T 22080-2016标准附录A.13.1.3条款的要求。
  • A.正确
  • B.错误

参考答案A

解析GB/T 22080 - 2016标准附录A.13.1.3条款强调对网络进行合理隔离以保护信息安全，为接收银行信用卡数据的服务器配置单独路由和防火墙是实现网络隔离、保障数据安全的有效措施，符合该条款要求。
45.
ISO/IEC27006是ISO/IEC 17021的相关要求的补充。
  • A.正确
  • B.错误

参考答案A

解析ISO/IEC 27006是信息安全管理体系认证机构的要求，它是对ISO/IEC 17021相关要求在信息安全管理体系认证领域的补充。所以该说法正确。
46.
在来自可信站点的电子邮件中输入个人或财务信息是安全的。
  • A.正确
  • B.错误

参考答案B

解析即使邮件来自所谓“可信站点”，也可能被不法分子伪装，存在安全风险，不能单纯认为输入个人或财务信息就安全。
47.
如果采用正确的用户名和口令成功登录网站，则证明这个网站不是仿冒的。
  • A.正确
  • B.错误

参考答案B

解析即便用正确用户名和口令成功登录网站，也不能就此证明该网站不是仿冒的，仿冒网站可能通过技术手段获取用户信息并允许登录。
48.
防火墙规则集应该尽可能的简单，规则集越简单，错误配置的可能性就越小，系统就越安全。
  • A.正确
  • B.错误

参考答案A

解析简单的防火墙规则集便于管理和维护，能降低配置出错概率，减少因规则错误带来的安全漏洞，所以系统更安全。
49.
计算机信息系统安全保护，是按照国家安全、法人和其他组织及公民的所有信息进行采集、加工、存储、传输、检索等处理的人机系统进行安全保护。
  • A.正确
  • B.错误

参考答案B

解析计算机信息系统安全保护是针对特定范围的信息系统，并非对“所有信息”处理的人机系统保护，表述过于绝对。
50.
依据《中华人民共和国保守国家秘密法》机密级国家秘密是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害。
  • A.正确
  • B.错误

参考答案B

解析这种说法错误。依据《中华人民共和国保守国家秘密法》，绝密级国家秘密是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害；机密级国家秘密泄露会使国家安全和利益遭受严重的损害。

四、问答题

主观题不参与评分，请参考答案自行评分。

51.
简述什么是风险评估？风险评估过程的关键步骤有哪些？

参考答案1.风险评估的定义：<br />风险评估是风险识别、风险分析和风险评价的整个过程。<br />风险评估是评估风险程度、确定风险是否可接受的过程（包括确定控制措施的效果），是风险管理的核心环节，为风险应对提供依据。<br />　2.风险评估过程的关键步骤：<br />根据GB/T 20984-2022 《信息安全技术 信息安全风险评估方法》，风险评估的关键步骤由评估准备、风险识别、风险分析、风险评价、沟通与协商和评估过程文档管理等：<br />风险识别：识别危险源/资产、威胁、脆弱性、现有控制措施及潜在后果的过程（明确“风险是什么”）；<br />风险分析：分析风险发生的可能性、影响程度（或后果），综合判断风险大小（回答“风险有多大”）；<br />风险评价：将风险分析结果与预设的风险准则对比，判定风险是否可接受（解决“风险是否需要处理”）。<br />沟通与协商和评估过程文档管理贯穿于整个风险评估过程

52.
日志管理是安全管理和事件管理的基础数据来源，请从技术角度回答“日志管理”应具备哪些关键功能？

参考答案采集与集成：支持多源异构数据采集，具备代理、API等多种接入方式。<br />解析与标准化：将原始日志解析为结构化数据，并归一化为统一格式。<br />存储与索引：采用可扩展存储架构，建立高效索引，实施热温冷数据生命周期管理。<br />分析与搜索：提供强大查询语言，支持关联分析和统计分析。<br />告警与响应：基于规则或机器学习实现实时监测和自动化响应。<br />可视化与报表：通过仪表盘展示关键指标，生成合规报表。<br />安全与合规：确保数据完整性，实施访问控制，满足审计留存要求。<br />核心是将原始日志转化为可操作的安全情报，为安全监控、事件调查和合规审计提供支撑。

五、共享题干题

题目分为若干组，每组题目基于同一个题干、实例或者案例展开。每题的备选项中，只有1个最符合题意。

审核员在审核SD科技公司的研发部门时，随机抽查了“产品设计数据库”的访问权限列表。该数据库系统权限设置为所有20名研发部员工（包括5名刚转正3个月的应届生）均拥有“读写删除”的最高权限。审核员询问系统管理员（工号501）为何采用此种权限策略，管理员解释“为了方便项目协作，减少审批流程”，并承认自系统上线三年来，从未对用户访问权限进行评审和调整。进一步核查《用户访问管理程序》，发现程序规定了新员工账号的申请流程、关于定期评审权限的要求以及不同岗位（如新员工、普通研发工程师与研发项目经理）的最小化权限原则。审核员询问是否任何一名研发部员工都可随意修改或删除所有核心设计图纸，系统管理员回答：“是的，研发部掌握我公司的产品线核心技术，研发部员工的访问权限严格管控，非研发部人员不能访问产品设计资料”。
53.
针对以上场景，不符合条款及内容，描述最恰当的是（　）
  • A.GB/T22080-2016标准附录A.9.2.1条款“用户注册与注销：应实现正式的用户注册及注销过程，以便可分配访问权”
  • B.GB/T22080-2016标准附录A.9.1.1条款“访问控制策略：应基于业务相信息安全要求，建立访问控制策略，形成文件并进行评审”
  • C.GB/T22080-2016标准附录A.9.4.2条款“安全登录程序：当访问控制策略要求时，应通过安全登录规程控制对系统和应用的访问”
  • D.GB/T22080-2016标准附录A.9.2.5条款“用户访问权的评审：资产拥有者应定期对用户的访问权进行评审”

参考答案B

解析现场实际未落实文件规定的最小权限原则全员开放最高读写删除权限为迁就便捷放弃合规访问控制策略违背 A.9.1.1 应基于业务与安全要求建立并执行合规访问控制策略的核心要求虽存在长期未评审权限问题但根源是整体权限策略制定与执行失效题干核心违规点为权限策略不合理全员超配高权限优先适配 A.9.1.1 条款 A 仅涉注册注销 C 涉登录安全 D 仅涉定期评审均未命中权限策略顶层执行失效的关键不符合。
54.
针对以上场景，不符合事实描述最恰当的是（　）
  • A.查《用户访问管理程序》中有关于定期评审权限要求，发现系统上线三年来，从未对用户访问权限进行评审和调整。
  • B.查《用户访问管理程序》规定了定期评审权限和定义最小化权限原则，发现该数据库系统权限设置是：所有20名研发部员工（包括5名刚转正3个月的应届生）均拥有“读写制除”的高权限
    C．系统管理员为方便协作，为所有研发员工分配了“读写删除”权限，经查任何一名初级员工都可随意修改或删除所有核心设计图纸
  • D.5名刚转正的应届生员工与普通研发工程师、研发项目经理等人员拥有相同的数据库操作权限

参考答案B

解析这是一道关于企业用户访问权限管理的判断题。我们需要基于题目描述的场景，分析每个选项与事实的一致性。首先，梳理题目中的关键信息：* SD科技公司的研发部门“产品设计数据库”访问权限设置为所有20名研发部员工（含5名新转正员工）均有“读写删除”权限。* 系统管理员解释这样设置是为了方便项目协作，且自系统上线三年来未进行权限评审和调整。* 《用户访问管理程序》规定了新员工账号申请流程、定期评审权限要求及最小化权限原则。接下来，分析各选项：A. 描述了程序中有定期评审权限要求，但实际情况是三年未评审，这与事实相符。B. 指出程序规定了定期评审和最小化权限原则，但实际上所有研发员工均有高权限，这反映了实际做法与程序规定的不符。C. 描述了系统管理员为方便协作给予所有研发员工高权限，且任何初级员工都能修改或删除核心设计图纸，这与管理员的解释和实际情况一致。D. 陈述了5名新转正员工与其他研发人员拥有相同权限，这与题目描述的权限设置相符。综合分析，选项B最恰当地指出了不符合事实的描述。因为《用户访问管理程序》明确规定了定期评审权限和最小化权限原则，然而在实际操作中，所有研发部员工，包括新转正的员工，都被赋予了“读写删除”的高权限，且长时间未进行权限评审和调整，这明显违反了程序中的规定。所以，正确答案是B选项：“查《用户访问管理程序》规定了定期评审权限和定义最小化权限原则，发现该数据库系统权限设置是：所有20名研发部员工（包括5名刚转正3个月的应届生）均拥有“读写删除”的高权限”。
审核员在SD公司的办公网络中发现，工程师小王（工号904）电脑上安装了未经授权的软件，包括各类游戏、P2P下载工具及非正版设计软件。审核员继续追踪，其通过管理员权限安装了经测试的开源软件用于处理工作数据，同时，电脑上未安装公司统一的杀毒软件，使用的是某款从互联网下载的免费杀毒软件。信息安全经理（工号905）表示，公司有“推荐软件列表”，但并没有通过技术手段（如白名单软件）来限制用户安装或运行列表之外的软件。《终端安全管理规定》中有“防止安装未授权软件”要求，当前正在寻求合适的技术控制措施进行软件安装限制。
55.
针对以上场景，不符合条款及内容，描述最恰当的是（　）
  • A.GB/T 22080-2016标准附录A.12.6.1条款“技术方面脆弱性的管理：应及时获取在用的信息系统的技术方面的脆弱性信息，评价组织对这些脆弱性的暴露状况并采取适当的措施来应对相关风险”
  • B.GB/T22080-2016标准附录A.12.1.1条款“文件化的操作规程：操作规程应形成文件，并对所需用户可用”
  • C.GB/T22080-2016标准附录A.12.2.1条款“恶意软件的控制：应实现检测、预防和恢复控制以防范恶意软件，并结合适当的用户意识教育”
  • D.GB/T22080-2016标准附录A.12.5.1条款“运行系统的软件安装：应实现运行系统软件安装控制规程”

参考答案D

解析场景主要问题是员工安装未经授权软件，公司缺乏软件安装限制措施，D选项强调运行系统软件安装控制规程，符合场景问题。答案：D
56.
针对以上场景，不符合事实描述最恰当的是（　）
  • A.审核员发现员工小王使用自行安装经测试的开源软件用于处理工作数据，《终端安全管理规定》中有“禁止安装未授权软件”要求
  • B.公司有“推荐软件列表”，但并没有通过技术手段（如白名单软件）来限制用户安装或运行列表之外的软件
  • C.查《终端安全管理规定》中有“禁止安装未授权软件”要求，工程师小王（工号904）电脑上安装未经授权的软件，包括各类游戏、P2P下载工具及非正版设计软件
  • D.员工小王（工号904）电脑上未安装公司统一的杀毒软件，使用的是某款从互联网下载的免费杀毒软件

参考答案C

解析题干核心违规闭环为制度明确禁止安装未授权软件但员工终端违规安装游戏 P2P 非正版设计软件等无授权程序直接对应制度条款形成显性不符合 A 仅单一项开源软件描述非主要违规 B 为管控缺失原因 D 仅杀毒软件单点问题只有 C 同时涵盖制度要求与现场实质违规事实判定最完整精准。
审核员在SD公司开发部的开放式办公区审核时，发现多名程序员在工作时间暂时离开工位（如去开会、抽烟）时，其办公电脑均未执行锁屏操作，屏幕上清晰地显示着正在编辑的源代码和内部技术文档。审核员尝试操作了一台无人看管的电脑，可以无障碍地访问其本地磁盘和网络共享盘中的所有文件，存在极大的信息泄露风险。询问部门经理（工号802），经理表示公司有要求人离锁屏的标语，但并未将其作为一项强制性的安全策略通过技术手段（如配置操作系统超时自动锁屏）来执行，也从未对违规行为进行过处罚。《设备使用安全规定》中只有“应妥善保管设备”的原则性描述，未见到对终端设备安全（特别是在无人看管时）的具体、可探作的技术和管理要求。
57.
针对以上场景，不符合条款及内容，描述最恰当的是（　）
  • A.GB/T22080-2016标准附录A.11.2.4条款“设备维护：设备应予以正确地维护，以确保其持续的可用性和完整性”
  • B.GB/T22080-2016标准附录A.11.2.1条款“设备安置和保护：应安置或保护设备，以减少由环境威胁和危险所造成的各种风险以及未授权访问的机会”
  • C.GB/T22080-2016标准附录A.11.2.6条款“组织场所外的设备与资产安全：应对组织场所外的资产采取安全措施，要考虑工作在组织场所外的不同风险”
  • D.GB/T22080-2016标准附录A.11.2.9条款“清空桌面和屏幕策略：应针对纸质和可移动存储介质，采取清理桌面策略；应针对信息处理设施，采用清理屏幕策略”

参考答案D

解析场景主要是员工离开工位未锁屏，存在信息泄露风险，公司无相关强制策略和具体要求，符合清空桌面和屏幕策略的要求。答案：D
58.
针对以上场景，不符合事实描述最恰当的是（　）
  • A.开发部开放式办公区内多台无人看管的终端未锁屏，可被随意访问
  • B.审核员发现离开工位的程序员电脑屏幕上显示着源代码和内部文档
  • C.部门经理承认公司仅通过标语提醒，未采用技术手段强制实现超时自动锁屏
  • D.公司《设备使用安全规定》中只有“应妥善保管设备”的原则性描述，未见到对终端设备安全（特别是在无人看管时）的具体、可操作的技术和管理要求

参考答案A

解析本题要求选择“针对以上场景，不符合事实描述最恰当”的选项。审核中发现的不符合事实应是客观、具体、可直接验证的现象，而非审核员的尝试行为、中间现象或管理原因。选项A“开发部开放式办公区内多台无人看管的终端未锁屏，可被随意访问”直接概括了现场存在的、可重复验证的客观事实，涵盖了“未锁屏”和“可被随意访问”两个核心要素，最为恰当；选项B仅描述了屏幕显示内容，未触及“未锁屏”和“可被访问”的安全风险本质；选项C是部门经理的陈述，属于管理层面的原因解释，而非现场不符合事实本身；选项D是文件规定缺失的描述，属于体系文件层面的问题，也不是直接的现场不符合事实。故选A。
审核员在审核人力资源部时，查阅了SD公司2023年度的培训计划与实施记录，发现年度档案中仅存有新入职员工的《信息安全承诺书》签署记录和入职引导培训签到表。审核员随后前往市场部，随机访谈了已在公司任职5年的销售经理张某（工号308）。当审核员询问其是否了解公司上个月刚刚修订并发布的《敏感数据防泄露管理规定》中关于“客户资料必须加密发送”的具体要求时，张某表示“完全不知情”，并坦言自入职以来，除了业务技能培训外，未再参加过任何形式的信息安全主题培训或考试。人力资源经理（工号601）对此解释道：“业务部门平时跑客户非常忙，很难召集大家坐下来集中培训，目前我们主要采取将新制度文件上传至OA系统‘通知公告’栏，由员工自行下载学习的方式，为了不增加员工负担，也没有进行阅读确认或效果测试。”查阅《人员安全管理程序》，文件中明确规定：“公司应针对全体员工定期（至少每年一次）开展信息安全意识教育和培训，并确保员工理解最新的安全策略和规程”。
59.
针对以上场景，不符合条款及内容，描述最恰当的是（　）
  • A.GB/T 22080-2016标准附录A.7.1.2条款“筛选：在雇用之前，应对所有候选人进行背景调查”
  • B.GB/T 22080-2016标准附录A.7.2.2条款“信息安全意识、教育和培训：组织的所有员工应接受适当的意识教育和培训，并定期更新组织方针和规程”
  • C.GB/T 22080-2016标准附录A.7.2.3条款“纪律处理过程：应建立正式的纪律处理过程，用于处理违背信息安全要求的行为”
  • D.GB/T 22080-2016标准附录A.7.1.1条款“任用条款和条件：作为合同义务的一部分，应在员工签署的任用条款和条件中阐明其对信息安全的责任”

参考答案B

解析案例中，公司未按《人员安全管理程序》要求对全体员工定期开展信息安全意识教育和培训，员工对新制度不知情，对应GB/T 22080 - 2016标准附录A.7.2.2条款。答案选B。
60.
针对以上场景，不符合事实描述最恰当的是（　）
  • A.查阅《人员安全管理程序》规定了应针对全体员工定期开展信息安全意识教育和培训，但公司仅对新员工进行了入职培训，老员工多年未接受相关培训。
  • B.销售经理张某（工号308）作为老员工，不了解公司最新发布的《敏感数据防泄露管理规定》中关于客户资料加密的要求。
  • C.人力资源经理（工号601）认为将制度上传至OA系统供员工自行下载阅读，且不进行确认或测试，即满足了定期培训的要求。
  • D.SD公司的人力资源部不仅保存了新员工的入职培训记录，还详细记录了所有在职员工每年的信息安全考核成绩和培训效果评估档案。

参考答案A

解析本题要求选择“针对以上场景，不符合事实描述最恰当”的选项。审核中发现的不符合事实应是客观、具体、可直接验证的现象，且与体系文件要求形成明确对比。选项A直接概括了《人员安全管理程序》中“应针对全体员工定期开展信息安全意识教育和培训”的规定与实际执行情况（仅新员工有入职培训，老员工多年未接受相关培训）之间的矛盾，既包含了文件要求，又指出了实际不符合的客观事实，是最全面、恰当的描述；选项B仅为单个员工的个案，不足以代表整体不符合事实；选项C是人力资源经理的主观解释，属于管理层面的理由，而非直接的现场不符合事实；选项D描述的是符合文件要求的理想情况，与题干中实际存在的不符合情况相反。故选A。