信息安全管理練習(xí)題

信息安全管理練習(xí)題-判斷題:1。信息安全保障階段中，安全方略是核心，對(duì)事先保護(hù)、事發(fā)檢測(cè)和響應(yīng)、事后恢復(fù)起到了統(tǒng)一指導(dǎo)作用。（×）注釋：在統(tǒng)一安全方略的指導(dǎo)下，安全事件的事先防止（保護(hù)），事發(fā)解決（檢測(cè)Detection和響應(yīng)Reaction）、事后恢復(fù)（恢復(fù)Restoration）四個(gè)重要環(huán)節(jié)互相配合,構(gòu)成一種完整的保障體系，在這里安全方略只是指導(dǎo)作用，而非核心。2.一旦發(fā)現(xiàn)計(jì)算機(jī)違法犯罪案件，信息系統(tǒng)全部者應(yīng)當(dāng)在2天內(nèi)快速向本地公安機(jī)關(guān)報(bào)案，并配合公安機(jī)關(guān)的取證和調(diào)查。（×）注釋：應(yīng)在24小時(shí)內(nèi)報(bào)案3.我國(guó)刑法中有關(guān)計(jì)算機(jī)犯罪的規(guī)定，定義了3種新的犯罪類型（×）注釋：共3種計(jì)算機(jī)犯罪，但只有2種新的犯罪類型。

單選題：1。信息安全經(jīng)歷了三個(gè)發(fā)展階段，下列（B

）不屬于這三個(gè)發(fā)展階段。A.通信保密階段B。加密機(jī)階段C.信息安全階段D。安全保障階段2。信息安全階段將研究領(lǐng)域擴(kuò)展到三個(gè)基本屬性,下列(C）不屬于這三個(gè)基本屬性。A.保密性B。完整性C.不可否認(rèn)性D?？捎眯?。下面所列的（A）安全機(jī)制不屬于信息安全保障體系中的事先保護(hù)環(huán)節(jié)。A。殺毒軟件B.數(shù)字證書(shū)認(rèn)證C。防火墻D.數(shù)據(jù)庫(kù)加密4?！缎畔踩珖?guó)家學(xué)說(shuō)》是（C）的信息安全基本大綱性文獻(xiàn)。A。法國(guó)B.美國(guó)C.俄羅斯D.英國(guó)注：美國(guó)在公布了《確保網(wǎng)絡(luò)空間安全的國(guó)家戰(zhàn)略》。5.信息安全領(lǐng)域內(nèi)最核心和最單薄的環(huán)節(jié)是(D)。A.技術(shù)B.方略C。管理制度D.人6。信息安全管理領(lǐng)域權(quán)威的原則是（B）。A。ISO15408

B.ISO17799/ISO27001(英）

C.ISO9001

D.ISO140017。《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》是由中華人民共和國(guó)(A

)第147號(hào)公布的。A.國(guó)務(wù)院令B。全國(guó)人民代表大會(huì)令C.公安部令D。國(guó)家安全部令8。在PDR安全模型中最核心的組件是（A）。A.方略B.保護(hù)方法C.檢測(cè)方法D.響應(yīng)方法9.在完畢了大部分方略的編制工作后,需要對(duì)其進(jìn)行總結(jié)和提煉，產(chǎn)生的成果文檔被稱為(A）。A?？山邮苁褂梅铰訟UPB.安全方針C。合用性聲明D.操作規(guī)范10.互聯(lián)網(wǎng)服務(wù)提供者和聯(lián)網(wǎng)使用單位貫徹的統(tǒng)計(jì)留存技術(shù)方法,應(yīng)當(dāng)含有最少保存（C)天統(tǒng)計(jì)備份的功效.A.10

B。30

C。60

D。9011.下列不屬于防火墻核心技術(shù)的是（D）A.（靜態(tài)/動(dòng)態(tài)）包過(guò)濾技術(shù)B。NAT技術(shù)C.應(yīng)用代理技術(shù)

D。日志審計(jì)12.應(yīng)用代理防火墻的重要優(yōu)點(diǎn)是（B

)A。加密強(qiáng)度更高B.安全控制更細(xì)化、更靈活C。安全服務(wù)的透明性更加好D.服務(wù)對(duì)象更廣泛13。對(duì)于遠(yuǎn)程訪問(wèn)型VPN來(lái)說(shuō)，（A)產(chǎn)品經(jīng)常與防火墻及NAT機(jī)制存在兼容性問(wèn)題，造成安全隧道建立失敗。A.IPSecVPN

B.SSLVPN

C.MPLSVPN

D.L2TPVPN注：IPSec合同是一種應(yīng)用廣泛，開(kāi)放的VPN安全合同，現(xiàn)在已經(jīng)成為最流行的VPN解決方案。在IPSec框架當(dāng)中尚有一種必不可少的要素：Internet安全關(guān)聯(lián)和密鑰管理合同-—IKE（或者叫ISAKMP/Oakley)，它提供自動(dòng)建立安全關(guān)聯(lián)和管理密鑰的功效.

14。1999年，我國(guó)公布的第一種信息安全等級(jí)保護(hù)的國(guó)標(biāo)GB17859-1999，提出將信息系統(tǒng)的安全等級(jí)劃分為（D）個(gè)等級(jí)，并提出每個(gè)級(jí)別的安全功效規(guī)定。A.7

B。8

C。6

D.5注：該原則參考了美國(guó)的TCSEC原則,分自主保護(hù)級(jí)、指導(dǎo)保護(hù)級(jí)、監(jiān)督保護(hù)級(jí)、強(qiáng)制保護(hù)級(jí)、專控保護(hù)級(jí)。15。公鑰密碼基礎(chǔ)設(shè)施PKI解決了信息系統(tǒng)中的(A）問(wèn)題.A。身份信任

B。權(quán)限管理

C。安全審計(jì)

D。加密注：PKI（PublicKeyInfrastructure,公鑰密碼基礎(chǔ)設(shè)施），所管理的基本元素是數(shù)字證書(shū).16.最后提交給普通終端顧客,并且規(guī)定其訂立和恪守的安全方略是（C）。A?？诹罘铰?/p>

B.保密合同

C?？山邮苁褂梅铰訟UP

D.責(zé)任追究制度

知識(shí)點(diǎn)：1.《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)則》將測(cè)評(píng)分為安全控制測(cè)試和系統(tǒng)整體測(cè)試兩個(gè)方面。2。安全掃描能夠彌補(bǔ)防火墻對(duì)內(nèi)網(wǎng)安全威脅檢測(cè)局限性的問(wèn)題。3.1994年2月18日國(guó)務(wù)院公布《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》。4。安全審計(jì)跟蹤是安全審計(jì)系統(tǒng)檢測(cè)并追蹤安全事件的過(guò)程。5。環(huán)境安全方略應(yīng)當(dāng)是簡(jiǎn)樸而全方面。6.安全管理是公司信息安全的核心。7。信息安全方略和制訂和維護(hù)中，最重要是要確保其明確性和相對(duì)穩(wěn)定性.8.許多與PKI有關(guān)的合同原則等都是在X.509基礎(chǔ)上發(fā)展起來(lái)的。9.避免對(duì)系統(tǒng)非法訪問(wèn)的重要辦法是訪問(wèn)控制。10。災(zāi)難恢復(fù)計(jì)劃或者業(yè)務(wù)持續(xù)性計(jì)劃關(guān)注的是信息資產(chǎn)的可用性屬性。11.RSA是最慣用的公鑰密碼算法。12。在信息安全管理進(jìn)行安全教育和培訓(xùn),能夠有效解決人員安全意識(shí)單薄.13.我國(guó)正式公布電子簽名法，數(shù)字簽名機(jī)制用于實(shí)現(xiàn)抗否認(rèn)。14。在安全評(píng)定過(guò)程中，采用滲入性測(cè)試手段，能夠模擬黑客入侵過(guò)程，檢測(cè)系統(tǒng)安全脆弱性。15.病毒網(wǎng)關(guān)在內(nèi)外網(wǎng)絡(luò)邊界處提供更加主動(dòng)和主動(dòng)的病毒保護(hù)。16。信息安全評(píng)測(cè)系統(tǒng)CC是國(guó)際原則。17。安全保護(hù)能力有4級(jí)：1級(jí)－能夠?qū)箓€(gè)人、普通的自然災(zāi)難等；2級(jí)－對(duì)抗小型組織；3級(jí)－對(duì)抗大型的、有組織的團(tuán)體，較為嚴(yán)重的自然災(zāi)害，能夠恢復(fù)大部分功效；4級(jí)－能夠?qū)箶硨?duì)組織、嚴(yán)重的自然災(zāi)害，能夠快速恢復(fù)全部功效。18。信息系統(tǒng)安全等級(jí)分5級(jí)：1－自主保護(hù)級(jí)；2－指導(dǎo)保護(hù)級(jí);3－監(jiān)督保護(hù)級(jí)；4－強(qiáng)制保護(hù)級(jí)；5－?？乇Ｗo(hù)級(jí)。19。信息系統(tǒng)安全等級(jí)保護(hù)方法：自主保護(hù)、同時(shí)建設(shè)、重點(diǎn)保護(hù)、適宜調(diào)節(jié)。20。對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過(guò)程有5步：系統(tǒng)定級(jí)、安全規(guī)則、安全實(shí)施、安全運(yùn)行和系統(tǒng)終止.21。定量評(píng)定慣用公式：SLE(單次資產(chǎn)損失的總值）＝AV（信息資產(chǎn)的估價(jià)）×EF（造成資產(chǎn)損失的程序）。22.SSL重要提供三方面的服務(wù)，即認(rèn)證顧客和服務(wù)器、加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)、維護(hù)數(shù)據(jù)的完整性。23.信息安全方略必須含有擬定性、全方面性和有效性。24。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng),既能夠?qū)ν獠亢诳偷墓粜袨檫M(jìn)行檢測(cè),也能夠發(fā)現(xiàn)內(nèi)部攻擊者的操作行為，普通布署在網(wǎng)絡(luò)交換機(jī)的監(jiān)聽(tīng)端口、內(nèi)網(wǎng)和外網(wǎng)的邊界。25。技術(shù)類安全分3類：業(yè)務(wù)信息安全類（S類）、業(yè)務(wù)服務(wù)確保類（A類）、通用安全保護(hù)類（G類）。其中S類關(guān)注的是保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、解決過(guò)程中不被泄漏、破壞和免受未授權(quán)的修改；A類關(guān)注的是保護(hù)系統(tǒng)持續(xù)正常的運(yùn)行等；G類兩者都有所關(guān)注.26。如果信息系統(tǒng)只承載一項(xiàng)業(yè)務(wù),能夠直接為該信息系統(tǒng)擬定安全等級(jí)，不必劃分業(yè)務(wù)子系統(tǒng)。27。信息系統(tǒng)生命周期涉及5個(gè)階段：?jiǎn)?dòng)準(zhǔn)備、設(shè)計(jì)/開(kāi)發(fā)、實(shí)施/實(shí)現(xiàn)、運(yùn)行維護(hù)和系統(tǒng)終止階段.而安全等級(jí)保護(hù)實(shí)施的過(guò)程與之相對(duì)應(yīng)，分別是系統(tǒng)定級(jí)、安全規(guī)劃設(shè)計(jì)、安全實(shí)施、安全運(yùn)行維護(hù)和系統(tǒng)終止。信息安全管理體系國(guó)家注冊(cè)審核員培訓(xùn)班考試試題—

一、選擇題（每小題1分,共lO分)

(

)1．信息安全中的可用性是指_______a）信息不能被未授權(quán)的個(gè)人，實(shí)體或者過(guò)程運(yùn)用或知悉的特性

b)保護(hù)資產(chǎn)的精確和完整的特性

c）根據(jù)授權(quán)實(shí)體的規(guī)定可訪問(wèn)和運(yùn)用的特性

d）以上都不對(duì)

(

）2．審核證據(jù)是指________

a)與審核準(zhǔn)則有關(guān)的，能夠證明的統(tǒng)計(jì)、事實(shí)陳說(shuō)或其它信息

b)在審核過(guò)程中收集到的全部統(tǒng)計(jì)、事實(shí)陳說(shuō)或其它信息

c）一組方針、程序或規(guī)定

d）以上都不對(duì)

(

)3．______

屬于系統(tǒng)威脅.

a)不穩(wěn)定的電力供應(yīng)

b）硬件維護(hù)失誤

c)軟件缺少審計(jì)統(tǒng)計(jì)

d）口令管理機(jī)制單薄

(

）4．管理體系是指______a)建立方針和目的并實(shí)現(xiàn)這些目的的體系b)互有關(guān)聯(lián)和互相作用的一組要素c）指揮和控制組織的協(xié)調(diào)的活動(dòng)

d)以上都不對(duì)

（

）5．信息安全管理實(shí)用規(guī)則ISO／IECl7799屬于_____原則?a）詞匯類原則

b）規(guī)定類原則

c)指南類原則

d）以上都不對(duì)

(

)6．在信息安全管理體系____階段應(yīng)測(cè)量控制方法的有效性？

a）建立

b）實(shí)施和運(yùn)行

c)監(jiān)視和評(píng)審

d)保持和改善

（

）7．風(fēng)險(xiǎn)評(píng)價(jià)是指______

a)系統(tǒng)地使用信息來(lái)識(shí)別風(fēng)險(xiǎn)來(lái)源和預(yù)計(jì)風(fēng)險(xiǎn)b)將預(yù)計(jì)的風(fēng)險(xiǎn)與給定的風(fēng)險(xiǎn)準(zhǔn)則加以比較以擬定風(fēng)險(xiǎn)嚴(yán)重性的過(guò)程

c）指導(dǎo)和控制一種組織有關(guān)風(fēng)險(xiǎn)的協(xié)調(diào)活動(dòng)

d）以上都不對(duì)

（

）8．可使用_______來(lái)保護(hù)電子消息的保密性和完整性

a)密碼技術(shù)

b)通信技術(shù)

c)控制技術(shù)d)自動(dòng)化技術(shù)

(

)9．現(xiàn)狀不符合文獻(xiàn)是指______

a)原則規(guī)定的沒(méi)有寫(xiě)到

b）寫(xiě)到的沒(méi)有做到

c)做到的沒(méi)有達(dá)成目的

d）以上都不對(duì)

(

）10．下列屬于計(jì)算機(jī)病毒感染事件的糾正方法的是_________

a)對(duì)計(jì)算機(jī)病毒事件進(jìn)行響應(yīng)和解決

b）將感染病毒的計(jì)算機(jī)從網(wǎng)絡(luò)中隔離

c）對(duì)有關(guān)負(fù)責(zé)人進(jìn)行處分

d)以上都不是

二、判斷題(每小題1分，共10分）

你認(rèn)為對(duì)的的在(

)中劃“√”,錯(cuò)誤的劃“x”。

（

)1．客戶資料不屬于組織的信息資產(chǎn)。

(

）2．組織的安全規(guī)定全部來(lái)源于風(fēng)險(xiǎn)評(píng)定。

(

）3．通過(guò)使用資源和管理，將輸入轉(zhuǎn)化為輸出的任意活動(dòng)，稱為過(guò)程.

(

）4．組織必須首先從ISO／IEC27001附錄A的控制方法列表中選用控制方法。

(

)5．風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)的整個(gè)過(guò)程稱為風(fēng)險(xiǎn)評(píng)定。

（

)6．控制方法能夠減少安全事件發(fā)生的可能性，但不能減少安全事件的潛在影響。

（

)7．“資產(chǎn)負(fù)責(zé)人”，規(guī)定與信息解決設(shè)施有關(guān)的全部資產(chǎn)都應(yīng)由指定人員承當(dāng)責(zé)任.

（

)8．網(wǎng)站信息由于屬于公共可用信息，因此不必實(shí)施安全保密方法.

（

）9．審核范疇必須與受審核方信息安全管理體系范疇一致。

(

)10．當(dāng)組織信息安全管理體系的基礎(chǔ)發(fā)生重大變化而增加的一次審核稱為監(jiān)督審核。

三、填空題（每小題1分，共5分）

指出IS027001:原則中合用于下述情景的某項(xiàng)條款，請(qǐng)將條款號(hào)填在橫線上.

1．“信息安全管理部的員工根據(jù)風(fēng)險(xiǎn)評(píng)定的成果,正在選擇適宜的控制方法?！?/p>

合用于這一狀況的條款是——

2．“某公司規(guī)定無(wú)論離職或調(diào)職，員工的原有系統(tǒng)訪問(wèn)權(quán)一律撤銷(xiāo)?！?/p>

合用于這一狀況的條款是--

3．“某公司在其機(jī)房?jī)?nèi)貼了一張行為準(zhǔn)則,員工在機(jī)房?jī)?nèi)工作時(shí)必須恪守?！?/p>

合用于這一狀況的條款是—-

4．“公司重要服務(wù)器的操作統(tǒng)計(jì)中沒(méi)有任何管理員操作的統(tǒng)計(jì)?！?/p>

合用于這一狀況的條款是--

5．“某公司的信息系統(tǒng)中使用了密碼手段來(lái)保障其信息安全,但該公司的有關(guān)工作人員對(duì)我國(guó)密碼方面的法律法規(guī)一無(wú)所知?！?/p>

合用于這一狀況的條款是______

四、問(wèn)答題(1—3題每小題5分，共15分；4．5題每小題15分，共30分;共45分)

1．什么是信息安全?組織的信息安全規(guī)定分為哪幾類？并簡(jiǎn)要闡明.

2．ISO／IEC27001：附錄A所列出的控制方法中，哪些條款體現(xiàn)了“管理者作用”，最少舉出3條控制方法，并簡(jiǎn)要闡明。

3．審核組進(jìn)入審核現(xiàn)場(chǎng)后，普通會(huì)有哪些會(huì)議？各有什么作用?會(huì)議主持人普通由誰(shuí)擔(dān)任?

4．如果某軟件開(kāi)發(fā)公司涉及軟件外包業(yè)務(wù)，請(qǐng)列出在軟件外包的過(guò)程中所涉及的風(fēng)險(xiǎn),并

從ISO／IEC27001：附錄A控制方法列表中選擇適宜的控制方法，作簡(jiǎn)要闡明。

5．如何根據(jù)ISO／IEC27001：審核A．10．7，組織應(yīng)避免資產(chǎn)遭受未授權(quán)泄露、修改、

移動(dòng)或銷(xiāo)毀以及業(yè)務(wù)活動(dòng)的中斷

五、案例分析題(每小題10分,共30分)

請(qǐng)根據(jù)所述狀況判斷：如能判斷有不符合項(xiàng),請(qǐng)寫(xiě)出不符合ISO/2700l：原則的條款號(hào)、內(nèi)容和嚴(yán)重程度，并寫(xiě)出不符合事實(shí)，如提供的證據(jù)不能足以判斷有不符合項(xiàng)時(shí)，請(qǐng)寫(xiě)出進(jìn)一步審核的思路。

判分原則：不符合條款2分,不符合原則的內(nèi)容3分，不符合事實(shí)3分，不符合的嚴(yán)重程度2分。

1．審核員在看到某公司的意識(shí)及技能培訓(xùn)計(jì)劃后,詢問(wèn)某公司工作人員對(duì)信息安全管理體系的認(rèn)識(shí)，該工作人員回答,由于前段時(shí)間始終出差在外，因此還沒(méi)有時(shí)問(wèn)學(xué)習(xí)有關(guān)的體系文獻(xiàn)。

2．審核員詢問(wèn)公司辦公系統(tǒng)中某機(jī)器的操作系統(tǒng)升級(jí)狀況時(shí)，使用人員說(shuō)，我們使用的全部軟件都是正版的，因此我在使用時(shí)直接設(shè)立為操作系統(tǒng)自動(dòng)更新了，并且始終也沒(méi)出現(xiàn)過(guò)什么問(wèn)題，對(duì)業(yè)務(wù)沒(méi)有任何影響。

3．審核員在某公司信息安全部看到幾份安全事故解決報(bào)告，因素欄寫(xiě)的都是感染計(jì)算機(jī)病毒，工作人員說(shuō),我們已經(jīng)嚴(yán)格規(guī)定了防病毒軟件的使用及升級(jí)周期，但還是沒(méi)有效果。信息安全管理體系審核員練習(xí)題-簡(jiǎn)樸題和案例分析題—一、簡(jiǎn)答

1。內(nèi)審不符合項(xiàng)完畢了30/35，審核員給開(kāi)了不符合，與否對(duì)的？你怎么審核？［參考］不對(duì)的。應(yīng)作以下審核：(1)詢問(wèn)有關(guān)人員或查閱有關(guān)資料(不符合項(xiàng)整治計(jì)劃或驗(yàn)證統(tǒng)計(jì))，理解內(nèi)審不符合項(xiàng)的糾正方法實(shí)施狀況,分析對(duì)不符合的因素?cái)M定與否充足,所實(shí)施的糾正方法與否有效；(2）所采用的糾正方法與否與有關(guān)影響相適宜,如對(duì)業(yè)務(wù)的風(fēng)險(xiǎn)影響，風(fēng)險(xiǎn)控制方略和時(shí)間點(diǎn)目的規(guī)定，與組織的資源能力相適應(yīng)。（3）評(píng)定所采用的糾正方法帶來(lái)的風(fēng)險(xiǎn)，如果該風(fēng)險(xiǎn)可接受，則采用糾正方法，反之可采用適宜的控制方法即可。綜上,如果全部糾正方法符合風(fēng)險(xiǎn)規(guī)定,與有關(guān)影響相適宜，則糾正方法適宜.

2、在人力資源部查看網(wǎng)管培訓(xùn)統(tǒng)計(jì)，負(fù)責(zé)人說(shuō)證書(shū)在本人手里，培訓(xùn)是外包的，成績(jī)從那里要，要來(lái)后一看都合格，就結(jié)束了審核，對(duì)嗎？[參考］不對(duì)。應(yīng)按照原則GB/T22080—條款5.2。2培訓(xùn)、意識(shí)和能力的規(guī)定進(jìn)行以下審核：(1）詢問(wèn)有關(guān)人員,理解與否有網(wǎng)管崗位闡明書(shū)或有關(guān)職責(zé)、角色的文獻(xiàn)？(2）查閱網(wǎng)管職責(zé)有關(guān)文獻(xiàn)，文獻(xiàn)中如何規(guī)定網(wǎng)管的崗位規(guī)定，這些規(guī)定基于教育、培訓(xùn)、經(jīng)驗(yàn)、技術(shù)和應(yīng)用能力方面的評(píng)價(jià)規(guī)定,以及有關(guān)的培訓(xùn)規(guī)程及評(píng)價(jià)辦法；（3）查閱網(wǎng)管培訓(xùn)統(tǒng)計(jì)，與否符合崗位能力規(guī)定和培訓(xùn)規(guī)程的規(guī)定規(guī)定？（4）理解有關(guān)部門(mén)和人員對(duì)網(wǎng)管培訓(xùn)后的工作能力確認(rèn)和培訓(xùn)效果的評(píng)價(jià)，與否保持統(tǒng)計(jì)？（5)如果崗位能力經(jīng)評(píng)價(jià)不能滿足規(guī)定時(shí)，組織與否按規(guī)定規(guī)定采用適宜的方法，以確保崗位人員的能力規(guī)定.

二、案例分析1、查某公司設(shè)備資產(chǎn)，負(fù)責(zé)人說(shuō)臺(tái)式機(jī)放在辦公室，辦公室做了來(lái)自環(huán)境的威脅的防止；筆記本經(jīng)常帶入帶出，有時(shí)在家工作,領(lǐng)導(dǎo)同意了，在家也沒(méi)什么不安全的。A9。2。5

組織場(chǎng)合外的設(shè)備安全

應(yīng)對(duì)組織場(chǎng)合的設(shè)備采用安全方法，要考慮工作在組織場(chǎng)因此外的不同風(fēng)險(xiǎn)

2、某公司操作系統(tǒng)升級(jí)都直接設(shè)立為系統(tǒng)自動(dòng)升級(jí)，沒(méi)出過(guò)什么事，由于買(mǎi)的都是正版。A12.5。2操作系統(tǒng)變更后應(yīng)用的技術(shù)評(píng)審

當(dāng)操作系統(tǒng)發(fā)生變更時(shí),應(yīng)對(duì)業(yè)務(wù)的核心應(yīng)用進(jìn)行評(píng)審和測(cè)試，以確保對(duì)組織的運(yùn)行和安全沒(méi)有負(fù)面影響。

3、創(chuàng)新公司委托專業(yè)互聯(lián)網(wǎng)運(yùn)行商提供網(wǎng)絡(luò)運(yùn)行，供應(yīng)商為了提高服務(wù)級(jí)別，采用了新技術(shù)，也告知了創(chuàng)新公司，但創(chuàng)新認(rèn)為新技術(shù)必定更加好,就沒(méi)采用任何方法,后來(lái)由于軟件不兼容造成斷網(wǎng)了.A10。2.3第三方服務(wù)的變更管理應(yīng)管理服務(wù)提供的變更,涉及保持和改善現(xiàn)有的信息安全方略、規(guī)程和控制方法，并考慮到業(yè)務(wù)系統(tǒng)和涉及過(guò)程的核心程度及風(fēng)險(xiǎn)的評(píng)定。

4、查某公司信息安全事件解決時(shí)，有好幾份解決報(bào)告的因素都是感染計(jì)算機(jī)病毒，負(fù)責(zé)人說(shuō)我們嚴(yán)格的殺毒軟件下載應(yīng)用規(guī)程，不懂得為什么沒(méi)有效，預(yù)計(jì)其它辦法更沒(méi)用了.8。2糾正方法

5、查看web服務(wù)器日志發(fā)現(xiàn)，近來(lái)幾次經(jīng)常重啟，負(fù)責(zé)人說(shuō)剛買(mǎi)來(lái)還好用，近來(lái)總死機(jī)，都聯(lián)系不上供應(yīng)商負(fù)責(zé)人了.A10。2。1應(yīng)確保第三方實(shí)施、運(yùn)行和保持包含在第三方服務(wù)交付服務(wù)交付合同中的安全控制方法、服務(wù)定義和交付水準(zhǔn)。信息安全管理體系審核員練習(xí)題—簡(jiǎn)述題-簡(jiǎn)述題1、審核員在某公司審核時(shí)，發(fā)現(xiàn)該公司從保安公司聘任的保安的門(mén)卡可通行公司全部的門(mén)禁。公司主管信息安全的負(fù)責(zé)人解釋說(shuō)，因保安負(fù)責(zé)公司的物理區(qū)域安全，他們夜里以及節(jié)假日要值班和巡邏全部區(qū)域,因此只能給保安全權(quán)限門(mén)卡.審核員對(duì)此解釋表達(dá)認(rèn)同。如果你是審核員，你將如何做？答：應(yīng)根據(jù)原則GB/T22080—條款A(yù)。11.1.1審核下列內(nèi)容:（1）與否有形成文獻(xiàn)的訪問(wèn)控制方略，并且包含針對(duì)公司每一部分物理區(qū)域的訪問(wèn)控制方略的內(nèi)容？（2）訪問(wèn)控制方略與否基于業(yè)務(wù)和訪問(wèn)的安全要素進(jìn)行過(guò)評(píng)審?（3）核算保安角色與否在訪問(wèn)控制方略中有明確規(guī)定?(4）核算訪問(wèn)控制方略的制訂與否與各物理區(qū)域風(fēng)險(xiǎn)評(píng)價(jià)的成果一致？（5）核算發(fā)生過(guò)的信息安全事件，與否與物理區(qū)域非授權(quán)進(jìn)入有關(guān)?（6)核算如何對(duì)保安進(jìn)行背景調(diào)查，與否明確了其安全角色和職責(zé)？

2、請(qǐng)論述對(duì)GB/T22080中A。13.2。2的審核思路。答:（1)詢問(wèn)有關(guān)負(fù)責(zé)人，查閱文獻(xiàn)3-5份，理解如何規(guī)定對(duì)信息安全事件進(jìn)行總結(jié)的機(jī)制？該機(jī)制中與否明擬定義了信息安全事件的類型？該機(jī)制與否規(guī)定了量化和監(jiān)視信息安全事件類型、數(shù)量和代價(jià)的辦法和規(guī)定，并涉及成功的和未遂事件？（2)查閱監(jiān)視或統(tǒng)計(jì)3-15條，查閱總結(jié)報(bào)告文獻(xiàn)3—5份,理解與否針對(duì)信息安全事件進(jìn)行測(cè)量，與否就類型、數(shù)量和代價(jià)進(jìn)行了量化的總結(jié),并涉及成功的和未遂事件。（3）查閱文獻(xiàn)和統(tǒng)計(jì)以及訪問(wèn)有關(guān)負(fù)責(zé)人，核算根據(jù)監(jiān)視和量化總結(jié)的成果采用后續(xù)方法有效避免同類事件的再發(fā)生。ISO27001信息安全管理體系審核員培訓(xùn)測(cè)試-一、下列對(duì)于信息安全管理體系的敘述，哪個(gè)個(gè)是不對(duì)的的？A。只規(guī)范公司高層與信息安全人員的行為；B。針對(duì)組織內(nèi)部所使用的信息，實(shí)施全方面性的管理;C.為了妥善保護(hù)信息的機(jī)密性、完整性和可用性；D.減少信息安全事件的沖擊至可承受的范疇；E。分為PDCA（計(jì)劃—執(zhí)行—檢查—行動(dòng)）四大部份，循環(huán)執(zhí)行，不停改善。

二、下列對(duì)于PDCA（計(jì)劃—執(zhí)行—檢查—行動(dòng)）的敘述，哪個(gè)是對(duì)的的？A。其中的重點(diǎn)在于P（計(jì)劃）；B.根據(jù)PDCA的次序順利執(zhí)行完一次,即可確保信息安全；C.需根據(jù)管理層審查成果采用矯正與防止方法，以達(dá)成持續(xù)改善的目的；D。如果整體執(zhí)行過(guò)程中C（檢查)的過(guò)程過(guò)于繁復(fù)，可予以略過(guò)；E。以上皆非。

三、下列那個(gè)項(xiàng)目不屬于ISO27001認(rèn)證原則所涵蓋的十一種管理要項(xiàng)？

A.信息安全政策;B。組織安全;C。人員安全；D.復(fù)雜性；E。訪問(wèn)控制。

四、下列對(duì)于風(fēng)險(xiǎn)的敘述，哪個(gè)是對(duì)的的?

A.風(fēng)險(xiǎn)分析：針對(duì)無(wú)法改善的風(fēng)險(xiǎn)進(jìn)行分析;B.風(fēng)險(xiǎn)管理：列出全部可能存在的風(fēng)險(xiǎn)清單；C。風(fēng)險(xiǎn)評(píng)定：把所預(yù)計(jì)的風(fēng)險(xiǎn)與已知的風(fēng)險(xiǎn)原則作比較,以決定風(fēng)險(xiǎn)的重要性；D。風(fēng)險(xiǎn)解決：為了將風(fēng)險(xiǎn)降為零風(fēng)險(xiǎn)所采用的行動(dòng)；E.可接受風(fēng)險(xiǎn)：可接受進(jìn)行改善的風(fēng)險(xiǎn).

五、下列哪項(xiàng)符合信息安全管理體系有關(guān)“文獻(xiàn)統(tǒng)計(jì)控制”的規(guī)定？

A。文獻(xiàn)都必須電子化；B.信息安全管理體系所需的文獻(xiàn)僅需保護(hù)，但不必控制;C。全部文獻(xiàn)應(yīng)根據(jù)信息安全管理體系的政策規(guī)定在需要時(shí)即可供被授權(quán)人取用；D.文獻(xiàn)紀(jì)錄必須全部由一人保管；E.為提供信息安全管理體系有效運(yùn)作的證據(jù)所建立之紀(jì)錄不屬于管制范疇。

六、對(duì)于“信息安全管理體系”，下列哪些不屬于管理層的責(zé)任？

A.提供信息安全管理工作的必要資源；B.決定可接受風(fēng)險(xiǎn)的等級(jí)；C.定時(shí)舉辦有關(guān)教育訓(xùn)練，增進(jìn)員工信息安全的認(rèn)知;D.為信息安全系統(tǒng)購(gòu)置保險(xiǎn);E。建立一份信息安全政策。

七、下列針對(duì)信息安全系統(tǒng)審計(jì)的敘述，哪個(gè)是不對(duì)的的?

A。審計(jì)方案應(yīng)予以事先規(guī)劃；B.目的在于確保信息安全管理體系的控制目的與控制方法與否有效地實(shí)施與維持；C.基于對(duì)業(yè)務(wù)的理解,應(yīng)由各部門(mén)主管審計(jì)其所負(fù)責(zé)的業(yè)務(wù);D。對(duì)于審計(jì)成果應(yīng)有適宜的跟進(jìn)方法；E。審計(jì)人員的遴選與審計(jì)的執(zhí)行，應(yīng)確保審計(jì)過(guò)程的客觀性與公正性.

八、下列對(duì)于信息安全管理體系改善的敘述，哪個(gè)是不對(duì)的的？

A.改善的目的在于確認(rèn)信息安全管理系統(tǒng)的有效性;B.為了避免不符合事項(xiàng)再度發(fā)生，應(yīng)將該事項(xiàng)從信息安全管理體系中移除；C.包含矯正方法與防止方法;D.應(yīng)在信息安全管理體系中制訂對(duì)應(yīng)的文獻(xiàn)化程序;E.應(yīng)決定有關(guān)方法，以消除將來(lái)不符合信息安全管理體系規(guī)定的事項(xiàng).

九、下列對(duì)于“安全方針”的敘述,哪個(gè)是不對(duì)的的？

A.管理層應(yīng)設(shè)定一種明確的政策方向，呈現(xiàn)對(duì)信息安全的支持與承諾；B。安全方針應(yīng)以適宜方式向全部員工公布與宣導(dǎo)；C。安全方針應(yīng)有專人根據(jù)規(guī)定的審核過(guò)程對(duì)其進(jìn)行維護(hù)與審核；D。安全方針一經(jīng)擬定即無(wú)法隨意修改;E.方針應(yīng)闡明組織管理信息安全的辦法。

十、下列對(duì)于“信息安全組織”的敘述，哪個(gè)是不對(duì)的的?

A。其目的為在組織中管理信息安全；B.個(gè)別資產(chǎn)的保護(hù)責(zé)任及執(zhí)行特定安全程序的責(zé)任應(yīng)明確劃分；C.應(yīng)參考信息安全專家的建議；D.應(yīng)減少與其它組織間的合作；E。需有獨(dú)立的信息安全審計(jì)。

十一、針對(duì)“第三方存取”與“外包作業(yè)"的敘述，哪個(gè)是對(duì)的的?

A。為了減少風(fēng)險(xiǎn),應(yīng)減少「第三方存取」與「外包作業(yè)」；B.第三方存取組織信息解決設(shè)施的風(fēng)險(xiǎn)應(yīng)予評(píng)定,并實(shí)施適宜的安全控制方法；C。將信息解決責(zé)任外包時(shí)，信息安全的責(zé)任也隨之轉(zhuǎn)嫁;D.應(yīng)限制外包單位不得使用組織的任何信息設(shè)備；E。由于已訂立外包合同，對(duì)于第三方存取組織的信息解決設(shè)施不必控制。

十二、下列對(duì)于“資產(chǎn)分類及控制”之?dāng)⑹?，哪個(gè)是不對(duì)的的？

A.全部重要的信息資產(chǎn)應(yīng)由高級(jí)管理人員負(fù)責(zé)保管；B。應(yīng)制作全部與每一信息系統(tǒng)有關(guān)重要資產(chǎn)的清冊(cè)并進(jìn)行維護(hù);C.應(yīng)制訂一套與組織采用的分類方式相符的信息標(biāo)記和解決流程；D。信息分類與有關(guān)保護(hù)控制方法應(yīng)考慮公司共享或限制信息的需求；E.其目的在于維護(hù)組織資產(chǎn)并予以適宜的保護(hù).

十三、下列對(duì)于“人力資源安全”的敘述，哪個(gè)是不對(duì)的的？

A.組織信息安全方針中規(guī)定的安全角色與職務(wù)應(yīng)在工作職責(zé)中予以文獻(xiàn)化；B.組織內(nèi)全部員工及有關(guān)第三方的顧客皆應(yīng)接受適宜的信息安全教育訓(xùn)練;C。目的在于確保員工的人身安全，避免發(fā)生意外；

D。正式員工、承包商及臨時(shí)工在申請(qǐng)工作時(shí)即應(yīng)進(jìn)行背景調(diào)查;E。員工應(yīng)訂立保密合同，作為任用的首要條件和限制的一部分。

十四、員工察覺(jué)“安全及失效事件”發(fā)生時(shí),應(yīng)立刻采用何種行動(dòng)？

A.分析事件發(fā)生的因素；B.盡快將事件掩蓋過(guò)去；C.修正信息安全目的;D。查閱信息安全有關(guān)文獻(xiàn)；E。遵照適宜的管理途徑盡快通報(bào)。

十五、下列對(duì)于“安全區(qū)域”的闡明，哪個(gè)是不對(duì)的的？A。其目的是避免營(yíng)運(yùn)場(chǎng)合及信息遭未經(jīng)授權(quán)存取、損害與干擾；B.劃設(shè)為安全區(qū)域的場(chǎng)合已有適宜控管,可允許任何人進(jìn)出；C。應(yīng)設(shè)立安全區(qū)域，以提供特殊安全需求；D.在安全區(qū)域內(nèi)工作時(shí)應(yīng)采用額外的控制方法及指導(dǎo)，以強(qiáng)化該區(qū)域的安全性；E。裝卸區(qū)應(yīng)予管制，若可能，應(yīng)與信息解決設(shè)施隔離，避免遭未授權(quán)進(jìn)入。

十六、下列對(duì)于“設(shè)備安全”的有關(guān)行為,哪個(gè)是不適宜的?

A.應(yīng)保護(hù)設(shè)備減少來(lái)自環(huán)境的威脅及災(zāi)害；B。保護(hù)設(shè)備不受電力故障及其它電力異常影響；C.保護(hù)傳送數(shù)據(jù)或支持信息服務(wù)的電源與通訊纜線，以避免竊聽(tīng)或破壞；D.設(shè)備在報(bào)廢或再使用前將信息去除；E.設(shè)備一律嚴(yán)禁攜出組織外使用。

十七、下列何種行為不符合“通信和操作安全”的規(guī)定？

A.信息解決設(shè)施與系統(tǒng)的變更應(yīng)予控制;B。職務(wù)與責(zé)任范疇?wèi)?yīng)予辨別，以減少信息或服務(wù)遭未授權(quán)修改或誤用的機(jī)會(huì)；C。安全政策所規(guī)定的作業(yè)程序應(yīng)制作文獻(xiàn)紀(jì)錄并進(jìn)行維護(hù)；D.開(kāi)發(fā)與測(cè)試工作可在正式生產(chǎn)設(shè)備上進(jìn)行，以減少營(yíng)運(yùn)成本;E.使用外部設(shè)施管理服務(wù)前,應(yīng)識(shí)別風(fēng)險(xiǎn)并制訂適宜的控制方法。

十八、下列對(duì)于“信息的交換"的敘述，哪個(gè)是不對(duì)的的?

A.組織間交換信息與軟件的行為應(yīng)有合同或合約規(guī)范；B.應(yīng)制訂電子郵件使用政策，嚴(yán)格執(zhí)行控管；C。使用網(wǎng)絡(luò)及時(shí)通訊軟件（如MSN）進(jìn)行文獻(xiàn)傳送方便于實(shí)現(xiàn)傳送的方便性及隱密性；D.重要信息對(duì)外公開(kāi)前應(yīng)有正式授權(quán)程序,且該信息的完整性應(yīng)予保護(hù);E.運(yùn)輸?shù)膬?chǔ)存媒體應(yīng)予保護(hù)，避免未經(jīng)授權(quán)遭存取。

十九、下列對(duì)于“顧客訪問(wèn)控制"的敘述，哪個(gè)是不對(duì)的的?

A.應(yīng)制訂正式顧客注冊(cè)及注銷(xiāo)流程；B。特殊權(quán)限的分派與使用應(yīng)受限制與控管;C.要確保信息系統(tǒng)的訪問(wèn)權(quán)限被恰本地授權(quán)、配備及維護(hù)；D。為減少賬號(hào)個(gè)數(shù),減少日常作業(yè)成本，可采多人共享一組賬號(hào)密碼的方式;E。管理層應(yīng)定時(shí)執(zhí)行正式程序復(fù)核顧客訪問(wèn)權(quán)限。

二十、下列行為哪個(gè)不符合“網(wǎng)絡(luò)訪問(wèn)控制”的安全需求？

A。網(wǎng)絡(luò)應(yīng)有控制方法，將信息服務(wù)、顧客及信息系統(tǒng)群組分離;B。顧客網(wǎng)絡(luò)聯(lián)機(jī)能力應(yīng)僅限于共享網(wǎng)絡(luò)；C。組織應(yīng)對(duì)其使用的全部網(wǎng)絡(luò)服務(wù)的安全特性提供一份清晰闡明的文獻(xiàn)；D。遠(yuǎn)程使用者的存取應(yīng)有身份鑒別；E。為便利顧客，應(yīng)設(shè)立開(kāi)放的網(wǎng)絡(luò)環(huán)境，以確保顧客可直接存取任何他所想使用的服務(wù)。

二一、對(duì)于“監(jiān)控系統(tǒng)”的存取與使用,下列哪個(gè)是對(duì)的的？

A.監(jiān)控系統(tǒng)所產(chǎn)生的統(tǒng)計(jì)可由顧客任意存?。籅.計(jì)算機(jī)系統(tǒng)時(shí)鐘應(yīng)予同時(shí)；C。只有當(dāng)系統(tǒng)發(fā)生異常事件及其它安全有關(guān)事件時(shí)才需進(jìn)行監(jiān)控；D。監(jiān)控系統(tǒng)投資額龐大，并會(huì)影響系統(tǒng)效能，因此能夠予以臨時(shí)省略;E.以上皆非.

二二、下列各項(xiàng)行為，哪個(gè)不能確?！皯?yīng)用系統(tǒng)的安全”?

A.輸入、輸出數(shù)據(jù)應(yīng)進(jìn)行確認(rèn);B。對(duì)于有保護(hù)消息內(nèi)容完整性的安全規(guī)定的應(yīng)用程序,應(yīng)采用消息鑒別機(jī)制；C.要有適宜的審計(jì)統(tǒng)計(jì)或活動(dòng)日志;D.系統(tǒng)內(nèi)應(yīng)有確認(rèn)檢查機(jī)制,以檢測(cè)所解決數(shù)據(jù)的完整性;E。為加緊數(shù)據(jù)傳輸時(shí)的速度，減少系統(tǒng)反映時(shí)間，任何數(shù)據(jù)皆可使用明碼傳輸。

二三、下列哪項(xiàng)不是維護(hù)“開(kāi)發(fā)和支持過(guò)程中的安全”的辦法？

A。應(yīng)制止顧客修改軟件包，必要的修改應(yīng)嚴(yán)格管制；B。應(yīng)用系統(tǒng)若有變更，應(yīng)進(jìn)行適宜審核與測(cè)試;C。應(yīng)采用正式變更管理程序以嚴(yán)格控制變更作業(yè)的實(shí)施；D。軟件應(yīng)盡量采用自行開(kāi)發(fā)避免外包或采購(gòu);E.軟件的采購(gòu)應(yīng)注意其與否內(nèi)藏隱密通道及特洛依木馬程序。

二四、為確?！皹I(yè)務(wù)持續(xù)性管理”,下列哪些行為應(yīng)當(dāng)加以避免？

A.應(yīng)分析多種災(zāi)難、安全缺失和損失服務(wù)對(duì)業(yè)務(wù)所可能產(chǎn)生的后果；B。全組織持續(xù)營(yíng)運(yùn)方法的制訂與維護(hù),有明確管理的過(guò)程；C。應(yīng)等待公司營(yíng)運(yùn)過(guò)程發(fā)生中斷或失效時(shí),再來(lái)制訂有關(guān)的方略計(jì)劃；D。應(yīng)維持單一營(yíng)運(yùn)持續(xù)計(jì)劃的框架，以確保全部計(jì)劃皆一致；E.營(yíng)運(yùn)持續(xù)計(jì)劃應(yīng)定時(shí)測(cè)試,并通過(guò)定時(shí)審查加以維護(hù)。

二五、下列對(duì)于信息安全管理體系中“符合性”的敘述,哪個(gè)是不對(duì)的的?

A。清晰識(shí)別全部與信息系統(tǒng)有關(guān)的法規(guī)；B.組織重要統(tǒng)計(jì)應(yīng)予文獻(xiàn)化后進(jìn)行保護(hù)；C。避免使用品有知識(shí)產(chǎn)權(quán)的專利軟件產(chǎn)品;D。要保護(hù)個(gè)人信息的數(shù)據(jù)與隱私；E.信息系統(tǒng)的管理要根據(jù)行政命令、法律規(guī)章或合同的安全規(guī)定。信息技術(shù)服務(wù)管理體系審核員練習(xí)—一．選擇題（請(qǐng)選出最佳答案，每小題2分，共20分）1.01修改SLA和支持文獻(xiàn)應(yīng)屬于哪個(gè)流程的一部分:a）變更管理b）配備管理c）公布管理d）業(yè)務(wù)持續(xù)性和可用性管理e)以上都不是

1.02服務(wù)目錄不涉及下列哪個(gè)信息。服務(wù)名稱服務(wù)成本目的,如：安裝一種打印機(jī)的回應(yīng)時(shí)間，恢復(fù)一種重大事故的時(shí)間等聯(lián)系點(diǎn)以上都是

1.03下列哪個(gè)不是IT服務(wù)管理的工具交互語(yǔ)音應(yīng)答系統(tǒng)安全服務(wù)自學(xué)知識(shí)庫(kù)網(wǎng)絡(luò)管理工具包含配備管理項(xiàng)的excel表

1。04事件管理程序運(yùn)行一段時(shí)間后，為反映事件升級(jí)新的途徑，事件經(jīng)抱負(fù)對(duì)事件管理程序文獻(xiàn)進(jìn)行修改，并得到IT服務(wù)管理委員會(huì)的同意，在這個(gè)過(guò)程中,審核員要優(yōu)先考慮下列哪方面的審核：能力、意識(shí)和培訓(xùn)文獻(xiàn)控制事件管理流程的設(shè)計(jì)更改事件管理流程與其它流程的接口

1。05哪些內(nèi)容應(yīng)涉及在對(duì)員工進(jìn)行的IT服務(wù)培訓(xùn)中服務(wù)管理方針?lè)铰允鹿式鉀QSLA

如何使用服務(wù)臺(tái)工具以上都是

1。06“在變更之前應(yīng)評(píng)定控制方法變更的影響”是哪個(gè)流程中提到的.配備管理信息安全管理變更管理計(jì)劃和實(shí)施新的或變更的服務(wù)以上都不是

1.07認(rèn)證一種組織的ITSMS是根據(jù)：ISO/IEC0—1：ISO/IEC0—2:ISO19011：以上都是以上都不是

1.08風(fēng)險(xiǎn)分析是指導(dǎo)和控制一種組織的風(fēng)險(xiǎn)的聯(lián)合行動(dòng)選擇和實(shí)施測(cè)量機(jī)制以修改風(fēng)險(xiǎn)的處置決定。接受風(fēng)險(xiǎn)的決定系統(tǒng)化的使用信息以識(shí)別風(fēng)險(xiǎn)的來(lái)源并預(yù)計(jì)風(fēng)險(xiǎn)的大小以上都不是

1。09

根據(jù)ISO0—1的規(guī)定,下列那個(gè)活動(dòng)需要一種文獻(xiàn)化的程序。管理評(píng)審管理責(zé)任改善IT服務(wù)管理體系糾正方法以上都不是

1。10貫徹資金、預(yù)算、角色、責(zé)任、文獻(xiàn)化和維護(hù)方針?lè)铰?、?jì)劃、程序和定義等是PDCA辦法的那個(gè)階段策劃實(shí)施檢查改善以上都是

二．簡(jiǎn)答題（每個(gè)問(wèn)題5分，共20分）

2。01列出最少5個(gè)實(shí)施IT服務(wù)管理體系對(duì)組織的好處（5分）

2。02列出最少五個(gè)盼望ISO0—1審核小組所含有的能力.(5分）

2。03舉出最少5個(gè)內(nèi)部審核員在準(zhǔn)備內(nèi)審計(jì)劃時(shí)需要獲得的信息（5分)

2。04作為審核員，當(dāng)你對(duì)防火墻方略變更進(jìn)行審核時(shí)，應(yīng)查找哪些客觀證據(jù)？

三．問(wèn)答題

請(qǐng)?jiān)诳瞻滋?寫(xiě)出下面兩個(gè)問(wèn)題的具體答案,適宜時(shí)，寫(xiě)出ISO0—1有關(guān)的條款.每個(gè)問(wèn)題10分。

3.01清晰解釋被審核方于對(duì)內(nèi)審所提出的不符合事項(xiàng)普通所采用的糾正方法的環(huán)節(jié)（由開(kāi)始識(shí)別到不符合事項(xiàng)至關(guān)閉此不符合事項(xiàng)）。并鑒別各階段誰(shuí)應(yīng)負(fù)責(zé)(例：審核員或被審核方）

3。02審核員正在計(jì)劃給一種提供災(zāi)備服務(wù)的組織進(jìn)行ISO0—1內(nèi)部審核，識(shí)別最少包含5個(gè)審核要項(xiàng)的檢查表來(lái)審核配備管理過(guò)程。

四．案例分析

下列是三個(gè)事件是在ITSMS內(nèi)審審核時(shí)發(fā)現(xiàn)的，他們包含了可能產(chǎn)生不符合事項(xiàng)（需要書(shū)寫(xiě)不符合事項(xiàng)的報(bào)告）的狀況,認(rèn)真考慮每種狀況，然后采用下面的某個(gè)方法。如果你認(rèn)為有足夠的不符合的客觀證據(jù)，應(yīng)完畢一種不符合事項(xiàng)報(bào)告，并將不符合分類為重大(嚴(yán)重）不符合或輕微（普通）不符合如果你不認(rèn)為有足夠的客觀證據(jù)提出一種不符合報(bào)告,你需要在報(bào)告下面的空白處陳說(shuō)自己的理由,你必須同時(shí)陳說(shuō)審核員下一步需要做什么。4。01事件1在對(duì)一種內(nèi)部IT服務(wù)部門(mén)進(jìn)行第三方審核時(shí)，發(fā)現(xiàn)不存在《持續(xù)性計(jì)劃》.經(jīng)理對(duì)審核員解釋說(shuō),持續(xù)性管理是與可用性管理的流程寫(xiě)在一起的，《可用性管理計(jì)劃》里已經(jīng)描寫(xiě)了在發(fā)生火災(zāi)時(shí)的應(yīng)對(duì)方法，在去年9月份作了測(cè)試和演習(xí)。

4.02事件2在審核一種數(shù)據(jù)解決中心時(shí)，檢查培訓(xùn)統(tǒng)計(jì)時(shí)發(fā)現(xiàn)諸多的培訓(xùn)已完畢，但是沒(méi)有發(fā)現(xiàn)出現(xiàn)針對(duì)服務(wù)管理的培訓(xùn)課程完畢的證據(jù)，解決中心的經(jīng)理解釋正式的培訓(xùn)要延期到下一年。由于培訓(xùn)的財(cái)務(wù)經(jīng)費(fèi)困難,一種系列的服務(wù)培訓(xùn)已經(jīng)通過(guò)網(wǎng)絡(luò)進(jìn)行并且已經(jīng)跟全部人討論過(guò)了。

4。03事件3在對(duì)一種IT服務(wù)機(jī)構(gòu)的ISO0-1審核時(shí)，發(fā)現(xiàn)有一種有關(guān)服務(wù)質(zhì)量的客戶投訴，該投訴已經(jīng)由投訴經(jīng)理解決，并作了統(tǒng)計(jì).與投訴有關(guān)的一項(xiàng)技術(shù)問(wèn)題的解決。轉(zhuǎn)給了問(wèn)題管理流程，還沒(méi)有得到反饋;當(dāng)審核員詢問(wèn)問(wèn)題管理經(jīng)理這個(gè)問(wèn)題的解決狀態(tài)時(shí)，問(wèn)題經(jīng)理回答，由于問(wèn)題比較復(fù)雜，正在解決過(guò)程中,當(dāng)審核員規(guī)定察看解決狀態(tài)的統(tǒng)計(jì)時(shí)，問(wèn)題經(jīng)理說(shuō)，不需要統(tǒng)計(jì)，由于解決問(wèn)題的幾位同事都很清晰現(xiàn)在的狀態(tài)。

信息技術(shù)服務(wù)管理體系審核員練習(xí)模擬題一、 選擇題（共30題，每小題2分,總60分)1) 下面哪句話最恰當(dāng)描述了IT服務(wù)管理？

A。 經(jīng)濟(jì)有效地管理IT服務(wù)的質(zhì)量B。 根據(jù)ITIL最佳實(shí)踐進(jìn)行IT基礎(chǔ)設(shè)施的管理工作C. 以流程的方式管理IT基礎(chǔ)設(shè)施。這種方式可讓IT組織能夠以專業(yè)的方式為客戶提供IT產(chǎn)品和服務(wù)D。 增進(jìn)更多的人理解IT服務(wù)

2） IT服務(wù)管理是如何改善IT服務(wù)的質(zhì)量的。A. 以正式的內(nèi)部、外部客戶以及供應(yīng)商的服務(wù)合同B. 定義服務(wù)級(jí)別普遍合用的原則C。 提高IT組織中全部員工的客戶關(guān)注程度D. 計(jì)劃、實(shí)施、管理一系列流程以提供IT服務(wù)

3） 硬件、系統(tǒng)和應(yīng)用軟件以及數(shù)據(jù)通訊設(shè)施都是IT基礎(chǔ)架構(gòu)（ITinfrastructure）的構(gòu)成部分。下面哪些組件也能夠被視為IT基礎(chǔ)架構(gòu)的一部分？1程序

2文檔

3人員A。 1和2B. 1和3C. 2和3D。 1，2和3

4） 事件管理流程能夠從哪份文檔獲得有關(guān)何時(shí)有必要將問(wèn)題升級(jí)和將問(wèn)題升級(jí)給誰(shuí)等方面的信息？A。 服務(wù)改善計(jì)劃B。 服務(wù)目錄C. 組織構(gòu)造圖D. 服務(wù)級(jí)別合同

5) 考慮下列說(shuō)法:1。 SLA應(yīng)當(dāng)定義合同雙方的角色和職責(zé)2。 對(duì)SLA的實(shí)現(xiàn)狀況應(yīng)當(dāng)進(jìn)行監(jiān)控,定時(shí)制作服務(wù)級(jí)別報(bào)告并報(bào)送有關(guān)人員3. 在SLA訂立之前應(yīng)當(dāng)對(duì)支撐合同進(jìn)行評(píng)審A。 沒(méi)有一種是對(duì)的的B. 1和2是對(duì)的的C. 2和3是對(duì)的的D. 上述三個(gè)說(shuō)法都是對(duì)的的

6） 在某個(gè)保險(xiǎn)公司里，由于電力的中斷造成局域網(wǎng)和全部PC都宕機(jī)了。因此，該公司的業(yè)務(wù)受理系統(tǒng)和理賠系統(tǒng)都不能正常使用.一種小時(shí)后，電力中斷的故障被解決了，服務(wù)也恢復(fù)至電力中斷之前的狀態(tài).該事件對(duì)服務(wù)提供造成了哪種影響？A. 影響很小，由于在一種小時(shí)內(nèi)客戶就被告知電話告知能夠繼續(xù)辦理業(yè)務(wù)了,并且客戶對(duì)這種狀況表達(dá)理解。B。 影響重大，由于該事件使得正常的服務(wù)提供不能實(shí)現(xiàn)。這對(duì)公司的形象造成了損害。C。 沒(méi)有影響，由于全部的數(shù)據(jù)都能夠先統(tǒng)計(jì)在紙質(zhì)文檔上并能夠在電力恢復(fù)后在錄入系統(tǒng).D。 影響非常小,由于該事件是由電力故障而不是硬件或軟件錯(cuò)誤引發(fā)的。

7) 下列哪一項(xiàng)是IT服務(wù)持續(xù)性管理流程的典型活動(dòng)？A。 告知終端顧客有關(guān)系統(tǒng)故障方面的狀況B. 將后備方案（FallbackArrangement)文檔化C。 提供可用性方面的報(bào)告D. 確保配備項(xiàng)始終是最新的

8) 某鋼鐵公司被競(jìng)爭(zhēng)對(duì)手兼并。IT部門(mén)以及兩個(gè)公司的IT基礎(chǔ)架構(gòu)需要整合，IT基礎(chǔ)架構(gòu)整合后運(yùn)行應(yīng)用程序所需要的磁盤(pán)空間將由下列哪項(xiàng)流程決定。A。 可用性管理B. 能力管理C。 計(jì)算機(jī)操作管理D。 公布管理

9） 有關(guān)IT服務(wù)持續(xù)性計(jì)劃,某個(gè)災(zāi)難的嚴(yán)重程度取決于：A。 災(zāi)難持續(xù)的天數(shù)B. 恢復(fù)災(zāi)難可用的人員數(shù)量C。 災(zāi)難的類型,如洪水、火災(zāi)等D. 對(duì)客戶業(yè)務(wù)的影響

10） 因?qū)π畔⑾到y(tǒng)的依賴逐步增強(qiáng)，某房地產(chǎn)公司規(guī)定確保系統(tǒng)運(yùn)行發(fā)生中斷后仍可獲得IT服務(wù).下面哪個(gè)流程可提供這樣的服務(wù).A. 可用性管理B。 持續(xù)性管理C. 服務(wù)級(jí)別管理D。 服務(wù)管理

11） 下面哪些屬于可用性管理的首要職責(zé)？1。計(jì)劃在SLA中商定的IT服務(wù)的可用性并進(jìn)行監(jiān)控2。就SLA中的可用性級(jí)別與客戶進(jìn)行談判3.統(tǒng)計(jì)不可用事件的具體狀況4。提出變更以防止有損可用性的故障A。 1和2B. 3和4C。 全部的都對(duì)的D. 1和4

12） 可用性百分率的計(jì)算公式為：A. （宕機(jī)時(shí)間＊100）/商定服務(wù)時(shí)間B。 （商定服務(wù)時(shí)間＊100)/宕機(jī)時(shí)間C。 （（商定服務(wù)時(shí)間—宕機(jī)時(shí)間)*100)/商定服務(wù)時(shí)間D。 商定服務(wù)時(shí)間/(商定服務(wù)時(shí)間-宕機(jī)時(shí)間)

13) 某公司針對(duì)某項(xiàng)特定的IT服務(wù)沒(méi)有任何持續(xù)性計(jì)劃，下面哪個(gè)將是適宜的理由?A。 IT部門(mén)不含有開(kāi)發(fā)持續(xù)性計(jì)劃的技巧和能力B. IT部門(mén)業(yè)務(wù)災(zāi)難的風(fēng)險(xiǎn)是極少的C。 業(yè)務(wù)方的有關(guān)人員沒(méi)有時(shí)間參加開(kāi)發(fā)持續(xù)性計(jì)劃D。 在進(jìn)行業(yè)務(wù)影響評(píng)定之后所作出的管理決策

14） 概念不屬于IT服務(wù)的預(yù)算及核算管理？A. 預(yù)算編制B. 計(jì)費(fèi)C. 采購(gòu)D. 核算

15） 網(wǎng)絡(luò)部門(mén)與外部組織就提供內(nèi)部服務(wù)方面達(dá)成合同，將在何處闡明此合同？A。 運(yùn)行級(jí)別合同B。 服務(wù)級(jí)別合同C. 服務(wù)級(jí)別需求D. 支持合同

16） 下面有關(guān)IT服務(wù)的預(yù)算及核算管理表述中哪一項(xiàng)是不對(duì)的的？A。 IT服務(wù)財(cái)務(wù)經(jīng)理需要負(fù)責(zé)確認(rèn)和計(jì)量IT成本并為所提供的IT服務(wù)制訂價(jià)格B。 為了能夠建立IT服務(wù)預(yù)算和核算體系,應(yīng)當(dāng)先訂立SLA和OLAC. 只有當(dāng)對(duì)客戶使用的服務(wù)進(jìn)行計(jì)費(fèi)時(shí)才有可能提高成本意識(shí)D。 IT服務(wù)的預(yù)算及核算管理必須在建立成本核算模型之前與客戶就收費(fèi)問(wèn)題達(dá)成合同

17) 哪個(gè)流程負(fù)責(zé)為需求中的IT服務(wù)的購(gòu)置事宜制訂(長(zhǎng)久)計(jì)劃?A. 可用性管理B. 能力管理C。 配備管理D. 服務(wù)級(jí)別管理

18) 保密性是安全管理流程要實(shí)現(xiàn)的目的之一。下列哪項(xiàng)對(duì)的地闡明了“保密性”這個(gè)術(shù)語(yǔ)的含義？A。 對(duì)數(shù)據(jù)的保護(hù)以避免未經(jīng)授權(quán)的訪問(wèn)和使用B. 隨時(shí)訪問(wèn)數(shù)據(jù)的能力C。 驗(yàn)證數(shù)據(jù)對(duì)的性的能力D. 數(shù)據(jù)的對(duì)的性

19) 你是某個(gè)IT組織中的服務(wù)臺(tái)人員.有一種顧客呼喊電話說(shuō)它的某個(gè)終端設(shè)備不能使用了.請(qǐng)問(wèn)這是一種?A。 事件B。 已知錯(cuò)誤C. 問(wèn)題D。 變更請(qǐng)求

20） 一種良好的事件管理流程將能夠：A. 確保錯(cuò)誤的修改像解決緊急變更同樣進(jìn)行解決B. 快速地診療事件發(fā)生的潛在因素C. 在事件發(fā)生后盡快地恢復(fù)正常的服務(wù)運(yùn)作D. 以上三項(xiàng)都是

21) 下列哪項(xiàng)活動(dòng)屬于事件管理的職責(zé)？A。 變更在基礎(chǔ)架構(gòu)中的應(yīng)用B. 檢測(cè)事件產(chǎn)生的因素C。 識(shí)別事件背后的潛在問(wèn)題D. 事件的排除

22) 由于產(chǎn)品本身的問(wèn)題，顧客現(xiàn)有的聲卡被一塊新的聲卡替代。為方便后來(lái)參考，需對(duì)這塊由另外一種制造廠商生產(chǎn)的新聲卡進(jìn)行登記.請(qǐng)問(wèn)這項(xiàng)工作應(yīng)由哪個(gè)流程負(fù)責(zé)執(zhí)行?A. 變更管理B。 配備管理C。 事件管理D。 問(wèn)題管理

23) “已知錯(cuò)誤（KnownError）”與“問(wèn)題”在ISO0中的不同之處體現(xiàn)在哪些方面？A。 造成已知錯(cuò)誤的潛在因素是已知的，而造成問(wèn)題的潛在因素是未知的B。 已知錯(cuò)誤與IT基礎(chǔ)架構(gòu)中出現(xiàn)的錯(cuò)誤有關(guān)，而問(wèn)題則與其無(wú)關(guān)C。 已知錯(cuò)誤普通某個(gè)事件,而問(wèn)題則不完全是這樣的D。 對(duì)問(wèn)題而言，與其有關(guān)的配備項(xiàng)已經(jīng)發(fā)現(xiàn)和確認(rèn)，而與已知錯(cuò)誤有關(guān)的配備項(xiàng)普通仍未發(fā)現(xiàn)

24) 下列哪項(xiàng)活動(dòng)屬于主動(dòng)問(wèn)題管理？A. 解決變更請(qǐng)求（RFC）B. 進(jìn)行趨勢(shì)分析，發(fā)現(xiàn)潛在的事件的問(wèn)題C。 跟蹤全部的事件和服務(wù)中斷D。 盡量減少由于IT環(huán)境的變更而造成的服務(wù)中斷

25） 某公司財(cái)務(wù)管理數(shù)據(jù)只能提供應(yīng)授權(quán)的顧客，安全管理采用方法來(lái)確保這點(diǎn)。這樣做能夠確保數(shù)據(jù)的哪個(gè)方面的安全性得到確保?A。 可用性B. 完整性C。 穩(wěn)定性D。 機(jī)密性

26） 一種顧客向服務(wù)臺(tái)埋怨說(shuō)，當(dāng)他使用某個(gè)應(yīng)用系統(tǒng)的時(shí)候，有一種錯(cuò)誤總是重復(fù)地出現(xiàn)，從而造成網(wǎng)絡(luò)連接的中斷。下面哪個(gè)流程負(fù)責(zé)檢測(cè)該錯(cuò)誤產(chǎn)生的因素？A。 事件管理B. 網(wǎng)絡(luò)管理C. 問(wèn)題管理D。 系統(tǒng)開(kāi)發(fā)

27） 當(dāng)某個(gè)軟件包的最新版本被安裝到某個(gè)臺(tái)式機(jī)時(shí)，它可能會(huì)影響其它軟件包。哪個(gè)流程負(fù)責(zé)檢查和判斷其它軟件包與否有必要測(cè)試或者重新安裝？A。 變更管理B。 IT服務(wù)持續(xù)性管理C. 問(wèn)題管理D。 公布管理

28) 下列哪項(xiàng)變更必須經(jīng)變更管理流程同意后才干實(shí)施？A。 顧客錄入數(shù)據(jù)到數(shù)據(jù)庫(kù)中B. 變化密碼C. 給系統(tǒng)增加一位新顧客D. 將打印機(jī)從二樓移到三樓

29） 配備管理數(shù)據(jù)庫(kù)(CMDB）中的哪個(gè)屬性有助于查明某個(gè)時(shí)刻的哪些配備項(xiàng)正在進(jìn)行維護(hù)？A. 購(gòu)置日期B。 負(fù)責(zé)人（Owner）C. 位置D. 狀態(tài)

30） 下列哪項(xiàng)是配備基線？A. 配備管理數(shù)據(jù)庫(kù)中的原則配備B. 原則配備項(xiàng)的描述C. 以交付的一系列配備項(xiàng)D. 有關(guān)一項(xiàng)產(chǎn)品或服務(wù)的“快照",以作為配備審計(jì)和變更回撤的基準(zhǔn)

二、 簡(jiǎn)樸題（共2題,每小題5分,總10分）1。 請(qǐng)闡明ITSM的定義。ITSM:是一套面對(duì)過(guò)程、以客戶為中心的規(guī)范的管理辦法，它通過(guò)集成IT服務(wù)和業(yè)務(wù)，協(xié)助公司提高其IT服務(wù)提供和支持能力。

2. 請(qǐng)描述在貴單位實(shí)施ISO0的意義。實(shí)施ISO0能提高公司整體效益就服務(wù)質(zhì)量和服務(wù)承諾與業(yè)務(wù)及供貨商達(dá)成一致，建立和業(yè)務(wù)及供貨商統(tǒng)一的溝通平臺(tái)（服務(wù)臺(tái))；達(dá)成有關(guān)利益方均滿意的IT服務(wù)管理目的;進(jìn)一步提高IT服務(wù)的可用性、完整性和保密性，為業(yè)務(wù)顧客提供高質(zhì)量的服務(wù)；能夠有持續(xù)性優(yōu)化服務(wù)流程，提高服務(wù)水平，提高業(yè)務(wù)滿意度；進(jìn)一步提高項(xiàng)目的可提供性并確保如期交付；從總體上提高公司IT投資的酬勞率,提高公司的綜合競(jìng)爭(zhēng)力；建立IT部門(mén)一整套行之有效的持續(xù)改善機(jī)制和內(nèi)控機(jī)制；明確IT管理成本和公司業(yè)務(wù)戰(zhàn)略以及IT戰(zhàn)略目的的結(jié)合點(diǎn),完善現(xiàn)有IT服務(wù)構(gòu)造和資源配備,使各項(xiàng)IT資源的運(yùn)用符合公司業(yè)務(wù)。實(shí)施ISO0戰(zhàn)略和IT戰(zhàn)略目的；通過(guò)建立優(yōu)化、透明的管理流程和權(quán)責(zé)的定義，監(jiān)控管理流程、進(jìn)行績(jī)效評(píng)價(jià);減少I(mǎi)T運(yùn)行的管理成本和風(fēng)險(xiǎn)；將現(xiàn)有管理體系和業(yè)務(wù)流程整合，規(guī)范IT部門(mén)服務(wù)水平，規(guī)范工作流程，減少由人員變動(dòng)造成的風(fēng)險(xiǎn)；提高IT部門(mén)有關(guān)員工的專業(yè)素質(zhì)，提高員工的服務(wù)能力和工作效率；提高IT部門(mén)整體運(yùn)作及各部門(mén)間溝通的能力。

三、 問(wèn)答題（共3題，每小題10分,總30分)1.ISO0規(guī)定服務(wù)供應(yīng)商編制服務(wù)報(bào)告，請(qǐng)問(wèn)服務(wù)報(bào)告涉及哪些方面的內(nèi)容。

服務(wù)目的以及服務(wù)目的針對(duì)的對(duì)象服務(wù)的內(nèi)容總結(jié)服務(wù)內(nèi)容分析服務(wù)的趨勢(shì)對(duì)后來(lái)的一種改善方法盼望規(guī)定

2.針對(duì)ISO0原則中所包含的13個(gè)控制流程，列出您的工作中涉及到的服務(wù)流程,并畫(huà)出其中一種服務(wù)流程的流程圖。2。ISO0規(guī)定服務(wù)提供商需要實(shí)施事件管理、問(wèn)題管理、變更管理、公布管理、配備管理，請(qǐng)描述這五大流程的目的及它們之間的關(guān)系？目的:事件管理在最快的時(shí)間內(nèi)將服務(wù)恢復(fù)到“正常狀態(tài)”問(wèn)題管理查找事件或問(wèn)題產(chǎn)生的根本因素，并徹底解決，以防再次發(fā)生變更管理控制需要變更的信息并得以解決公布管理計(jì)劃和協(xié)調(diào)軟硬件組件的公布以及進(jìn)行實(shí)際的運(yùn)行操作配備管理更加好的管理IT資產(chǎn)的配備組件并提供有效精確的信息T服務(wù)管理培訓(xùn)考試答題卷IT服務(wù)管理培訓(xùn)考試答題卷一．

選擇題1Ｂ6Ａ11Ｄ16Ｂ21Ｂ26Ｃ2Ｂ7Ａ12Ｃ17Ｂ22Ｄ27Ｄ3Ａ8Ｂ13Ｄ18Ａ23Ａ28Ｄ4Ａ9Ｄ14Ｃ19Ａ24Ｂ29Ｄ5C10Ｂ15Ｂ20Ｃ25Ｄ30Ｄ二． 簡(jiǎn)答題１．請(qǐng)闡明ITSM的定義。ITSM:是一套面對(duì)過(guò)程、以客戶為中心的規(guī)范的管理辦法，它通過(guò)集成IT服務(wù)和業(yè)務(wù)，協(xié)助公司提高其IT服務(wù)提供和支持能力。

２．請(qǐng)描述在貴單位實(shí)施ISO0的意義。實(shí)施ISO0能提高公司整體效益就服務(wù)質(zhì)量和服務(wù)承諾與業(yè)務(wù)及供貨商達(dá)成一致，建立和業(yè)務(wù)及供貨商統(tǒng)一的溝通平臺(tái)(服務(wù)臺(tái))；達(dá)成有關(guān)利益方均滿意的IT服務(wù)管理目的；進(jìn)一步提高IT服務(wù)的可用性、完整性和保密性，為業(yè)務(wù)顧客提供高質(zhì)量的服務(wù)；能夠有持續(xù)性優(yōu)化服務(wù)流程，提高服務(wù)水平，提高業(yè)務(wù)滿意度;進(jìn)一步提高項(xiàng)目的可提供性并確保如期交付；從總體上提高公司IT投資的酬勞率，提高公司的綜合競(jìng)爭(zhēng)力;建立IT部門(mén)一整套行之有效的持續(xù)改善機(jī)制和內(nèi)控機(jī)制;明確IT管理成本和公司業(yè)務(wù)戰(zhàn)略以及IT戰(zhàn)略目的的結(jié)合點(diǎn)，完善現(xiàn)有IT服務(wù)構(gòu)造和資源配備，使各項(xiàng)IT資源的運(yùn)用符合公司業(yè)務(wù)。實(shí)施ISO0戰(zhàn)略和IT戰(zhàn)略目的；通過(guò)建立優(yōu)化、透明的管理流程和權(quán)責(zé)的定義，監(jiān)控管理流程、進(jìn)行績(jī)效評(píng)價(jià);減少I(mǎi)T運(yùn)行的管理成本和風(fēng)險(xiǎn);將現(xiàn)有管理體系和業(yè)務(wù)流程整合,規(guī)范IT部門(mén)服務(wù)水平，規(guī)范工作流程，減少由人員變動(dòng)造成的風(fēng)險(xiǎn)；提高IT部門(mén)有關(guān)員工的專業(yè)素質(zhì)，提高員工的服務(wù)能力和工作效率；提高IT部門(mén)整體運(yùn)作及各部門(mén)間溝通的能力。

三． 問(wèn)答題1.ISO0規(guī)定服務(wù)供應(yīng)商編制服務(wù)報(bào)告，請(qǐng)問(wèn)服務(wù)報(bào)告涉及哪些方面的內(nèi)容？

服務(wù)目的以及服務(wù)目的針對(duì)的對(duì)象服務(wù)的內(nèi)容總結(jié)服務(wù)內(nèi)容分析服務(wù)的趨勢(shì)對(duì)后來(lái)的一種改善方法盼望規(guī)定

2.ISO0規(guī)定服務(wù)提供商需要實(shí)施事件管理、問(wèn)題管理、變更管理、公布管理、配備管理，請(qǐng)描述這五大流程的目的及它們之間的關(guān)系?目的:事件管理在最快的時(shí)間內(nèi)將服務(wù)恢復(fù)到“正常狀態(tài)”問(wèn)題管理查找事件或問(wèn)題產(chǎn)生的根本因素,并徹底解決，以防再次發(fā)生變更管理控制需要變更的信息并得以解決公布管理計(jì)劃和協(xié)調(diào)軟硬件組件的公布以及進(jìn)行實(shí)際的運(yùn)行操作配備管理更加好的管理IT資產(chǎn)的配備組件并提供有效精確的信息

信息安全管理培訓(xùn)考核試題

一、選擇題1。下列哪個(gè)是信息安全管理原則?A.ISO15408B.ISO14000C。ISO9000D.ISO27001/ISO17799

2.下列哪個(gè)原則涉及風(fēng)險(xiǎn)評(píng)定規(guī)定？A。ISO27001/ISO17799B。ISO14000C。ISO9000D.ISO15408

3。ISO17799：增加了下列那部分內(nèi)容?A。資產(chǎn)管理B.信息安全事件管理C。人力資源安全D.信息系統(tǒng)得獲取、開(kāi)發(fā)和維護(hù)

4.下列有關(guān)信息安全資產(chǎn)的答案哪個(gè)是對(duì)的的？A。人員是資產(chǎn)B.公司形象是資產(chǎn)C。數(shù)據(jù)是資產(chǎn)D.A、B、C都是

5.殘存風(fēng)險(xiǎn)是風(fēng)險(xiǎn)解決后殘留的風(fēng)險(xiǎn),我們不需要對(duì)其進(jìn)行監(jiān)控.這種說(shuō)法是？A.對(duì)的的B.錯(cuò)誤的

6。

為了工作方便和工作效率，在內(nèi)審時(shí)內(nèi)審員能夠?qū)徍俗约旱墓ぷ?，這種做法是？A.錯(cuò)誤的B.對(duì)的的

7。在方略生命周期中，下列哪個(gè)是對(duì)的的：(

)A.需求分析、制訂、公布、推行、審核、廢除B.制訂、公布、推行、審核、修訂、廢除C。需求分析、制訂、公布、推行、審核、修訂D.需求分析、制訂、公布、推行、審核、修訂、廢除

8。與信息資產(chǎn)有關(guān)的弱點(diǎn)或安全隱患對(duì)資產(chǎn)構(gòu)成威脅，這種說(shuō)法是？A。錯(cuò)誤的B.對(duì)的的

9。風(fēng)險(xiǎn)評(píng)定重要涉及下列哪幾個(gè)方面的評(píng)定?A.資產(chǎn)、威脅、弱點(diǎn)B。資產(chǎn)及價(jià)值、威脅、弱點(diǎn)、已有控制方法C.資產(chǎn)及價(jià)值、威脅、弱點(diǎn)D.資產(chǎn)、威脅、弱點(diǎn)、已有控制方法

10．在BS779-2：中，下列對(duì)P—D—C—A過(guò)程的描述錯(cuò)誤的是？A.P代表PLAN,即建立ISMS環(huán)境＆風(fēng)險(xiǎn)評(píng)定B.D代表DO，即實(shí)現(xiàn)并運(yùn)行ISMSC.C代表CHECK，即監(jiān)控和審查ISMSD。A代表ACT，即執(zhí)行ISMS

11．ISO/IEC17799源于下列哪個(gè)原則？A。BS7799—1B.BS7799-2C。BS7799—3D。GB7799

12．ISMS指的是什么?A。信息安全管理B.信息系統(tǒng)管理體系C.信息系統(tǒng)管理安全D。信息安全管理體系

13．下列哪個(gè)不屬于信息安全的三要素之一？A.機(jī)密性

B。完整性C.抗抵賴性D.可用性

14．ISMS文檔體系中第一層文獻(xiàn)是？A.信息安全方針政策B.信息安全工作程序

C。信息安全作業(yè)指導(dǎo)書(shū)D。信息安全工作統(tǒng)計(jì)

15．在信息系統(tǒng)安全中,資產(chǎn)所含有的風(fēng)險(xiǎn)由下列哪兩種因素共同構(gòu)成的？A．攻擊和脆弱性B．威脅和攻擊C．威脅和脆弱性D．威脅和破壞

序號(hào)答案序號(hào)答案序號(hào)答案序號(hào)答案序號(hào)答案1D2A3B4D5B6A7D8A9B10D11A12D13C14A15C

二、簡(jiǎn)答題1、

ISO/IEC17799的十一種管理要項(xiàng)（十一種范疇）是什么?2、

請(qǐng)簡(jiǎn)要描述信息安全風(fēng)險(xiǎn)的有關(guān)要素？

二、簡(jiǎn)答題1、ISO/IEC17799的十一種管理要項(xiàng)（十一種范疇)是什么？

安全方針信息安全組織資產(chǎn)管理人力資源安全物理與環(huán)境安全通信和運(yùn)作管理訪問(wèn)控制信息系統(tǒng)的獲取、開(kāi)發(fā)與維護(hù)信息安全事件管理業(yè)務(wù)持續(xù)性管理符合

2、請(qǐng)簡(jiǎn)要描述信息安全風(fēng)險(xiǎn)的有關(guān)要素？資產(chǎn)：是任何對(duì)組織有價(jià)值的東西威脅：可能造成信息安全事故和組織信息資產(chǎn)損失的活動(dòng)，威脅是運(yùn)用脆弱性來(lái)造成后果脆弱性：與信息資產(chǎn)有關(guān)的弱點(diǎn)或安全隱患,脆弱性本身并不對(duì)資產(chǎn)構(gòu)成危害，但是在一定條件得到滿足時(shí)，脆弱性會(huì)被威脅加以運(yùn)用來(lái)對(duì)信息資產(chǎn)造成危害。安全方法：能夠減少威脅運(yùn)用脆弱性造成安全事件發(fā)生的可能性。安全風(fēng)險(xiǎn)：是指一種特定的威脅運(yùn)用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性.信息安全管理練習(xí)題判斷題:1.信息安全保障階段中,安全方略是核心，對(duì)事先保護(hù)、事發(fā)檢測(cè)和響應(yīng)、事后恢復(fù)起到了統(tǒng)一指導(dǎo)作用。（×)注釋：在統(tǒng)一安全方略的指導(dǎo)下，安全事件的事先防止（保護(hù)），事發(fā)解決（檢測(cè)Detection和響應(yīng)Reaction）、事后恢復(fù)（恢復(fù)Restoration）四個(gè)重要環(huán)節(jié)互相配合，構(gòu)成一種完整的保障體系，在這里安全方略只是指導(dǎo)作用，而非核心。2。一旦發(fā)現(xiàn)計(jì)算機(jī)違法犯罪案件，信息系統(tǒng)全部者應(yīng)當(dāng)在2天內(nèi)快速向本地公安機(jī)關(guān)報(bào)案，并配合公安機(jī)關(guān)的取證和調(diào)查.(×）注釋：應(yīng)在24小時(shí)內(nèi)報(bào)案3.我國(guó)刑法中有關(guān)計(jì)算機(jī)犯罪的規(guī)定，定義了3種新的犯罪類型（×）注釋:共3種計(jì)算機(jī)犯罪，但只有2種新的犯罪類型。

單選題：1。信息安全經(jīng)歷了三個(gè)發(fā)展階段,下列(B

）不屬于這三個(gè)發(fā)展階段。A.通信保密階段B.加密機(jī)階段C.信息安全階段D.安全保障階段2。信息安全階段將研究領(lǐng)域擴(kuò)展到三個(gè)基本屬性，下列（C)不屬于這三個(gè)基本屬性.A。保密性B.完整性C.不可否認(rèn)性D?？捎眯?.下面所列的（A)安全機(jī)制不屬于信息安全保障體系中的事先保護(hù)環(huán)節(jié)。A。殺毒軟件B。數(shù)字證書(shū)認(rèn)證C。防火墻D.數(shù)據(jù)庫(kù)加密4.《信息安全國(guó)家學(xué)說(shuō)》是（C）的信息安全基本大綱性文獻(xiàn)。A.法國(guó)B。美國(guó)C。俄羅斯D。英國(guó)注：美國(guó)在公布了《確保網(wǎng)絡(luò)空間安全的國(guó)家戰(zhàn)略》.5。信息安全領(lǐng)域內(nèi)最核心和最單薄的環(huán)節(jié)是（D).A。技術(shù)B。方略C.管理制度D.人6.信息安全管理領(lǐng)域權(quán)威的原則是（B）。A.ISO15408

B。ISO17799/ISO27001(英）

C.ISO9001

D。ISO140017.《計(jì)算機(jī)信息系