卷一

1. 与 PDR 模型相比，P2DR 模型多了哪一个环节?
   A. 防护
   B. 检测
   C. 反应
   D. 策略

2. Alice 用 Bob 的密钥加密明文，将密文发送给 Bob。Bob 再用自己的私钥解密，恢复出明文。以下说法正确的是：
   A．此密码体制为对称密码体制
   B．此密码体制为私钥密码体制
   C．此密码体制为单钥密码体制
   D．此密码体制为公钥密码体制

3. 主体 S 对客体 01 有读(R)权限，对客体 02 有读(R)、写(W)、拥有(Own)权限，该访问控制实现方法是：
   A．访问控制表(ACL)
   B．访问控制矩阵
   C．能力表(CL)
   D．前缀表(Profiles)

4. 下列对网络认证协议 Kerberos 描述正确的是：
   A．该协议使用非对称密钥加密机制
   B．密钥分发中心由认证服务器、票据授权服务器和客户机三个部分组成
   C．该协议完成身份鉴别后将获取用户票据许可票据
   D．使用该协议不需要时钟基本同步的环境

5. 在 OSI 参考模型中有 7 个层次，提供了相应的安全服务来加强信息系统的安全性，以下哪一层提供了保密性、身份鉴别、数据完整性服务?
   A．网络层
   B．表示层
   C．会话层
   D．物理层

6. 以下关于 PGP(Pretty Good Privacy)软件叙述错误的是：
   A．PGP 可以实现对邮件的加密、签名和认证
   B．PGP 可以实现数据压缩
   C．PGP 可以对邮件进行分段和重组
   D．PGP 采用 SHA 算法加密邮件

7. 相比文件配置表(FAT)文件系统，以下哪个不是新技术文件系统(NTFS)所具有的优势?
   A．NTFS 使用事务日志自动记录所有文件夹和文件更新，当出现系统损坏和电源故障等问题，而引起操作失败后，系统能利用日志文件重做或恢复未成功的操作
   B．NTFS 的分区上，可以为每个文件或文件夹设置单独的许可权限
   C．对于大磁盘，NTFS 文件系统比 FAT 有更高的磁盘利用率
   D．相比 FAT 文件系统，NTFS 文件系统能有效的兼容 linux 下 EXT2 文件格式

8. 从系统工程的角度来处理信息安全问题，以下说法错误的是：
   A．系统安全工程旨在了解企业存在的安全风险，建立一组平衡的安全需求，融合各种工程学科的努力将此安全需求转换为贯穿系统整个生存期的工程实施指南。
   B．系统安全工程需对安全机制的正确性和有效性做出诠释，证明安全系统的信任度能够达到企业的要求，或系统遗留的安全薄弱性在可容许范围之内。
   C．系统安全工程能力成熟度模型(SSE-CMM)是一种衡量安全工程实践能力的方法，是一种使用面向开发的方法。
   D．系统安全工程能力成熟度模型(SSE-CMM)是在原有能力成熟度模型(CMM)的基础上，通过对安全工作过程进行管理的途径，将系安全工程转变为一个完好定义的、成熟的、可测量的先进学科。

9. 有关系统安全工程-能力成熟度模型(SSE-CMM)中的基本实施(Base Practices，BP)，正确的理解是：
   A．BP 是基于最新技术而制定的安全参数基本配置
   B．大部分 BP 是没有经过测试的
   C. 一项 BP 适用于组织的生存周期而非仅适用于工程的某一特定阶段
   D．一项 BP 可以和其他 BP 有重叠

10. 小张是信息安全风险管理方面的专家，被某单位邀请过去对其核心机房经受某种灾害的风险进行评估，已知：核心机房的总价价值一百万，灾害将导致资产总价值损失二成四(24%)，历史数据统计告知该灾害发生的可能性为八年发生三次，请问小张最后得到的年度预期损失为多少：
    A．24 万
    B．0．09 万
    C．37．5 万
    D．9 万

11. 信息安全等级保护要求中，第三级适用的正确的是：
    A．适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益
    B．适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一般损害
    C．适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害
    D．适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统。其受到破坏后，会对国家安全、社会秩序，经济建设和公共利益造成特别严重损害

12. 《信息安全技术 信息安全风险评估规范》（GB／T 20984-2007）中关于信息系统生命周期各阶段的风险评估描述不正确的是：
    A.规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等
    B.设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求
    C.实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证
    D.运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种全面的风险评估。评估内容包括对真实运行的信息系统、资产、脆弱性等各方面

13. 以下哪些是需要在信息安全策略中进行描述的：
    A．组织信息系统安全架构
    B．信息安全工作的基本原则
    C．组织信息安全技术参数
    D．组织信息安全实施手段

14. 根据《关于开展信息安全风险评估工作的意见》的规定，错误的是：
    A.信息安全风险评估分自评估、检查评估两形式。应以检查评估为主，自评估和检查评估相互结合、互为补充
    B．信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效”的原则开展
    C．信息安全风险评估应贯穿于网络和信息系统建设运行的全过程
    D．开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导

15. 下面的角色对应的信息安全职责不合理的是：
    A．高级管理层——最终责任
    B. 信息安全部门主管——提供各种信息安全工作必须的资源
    C．系统的普通使用者——遵守日常操作规范
    D．审计人员——检查安全策略是否被遵从

16. 风险计算原理可以用下面的范式形式化地加以说明：
    风险值=R(A，T，V)=R(L(T，V)，F(Ia，Va))
    以下关于上式各项说明错误的是：
    A．R 表示安全风险计算函数，A 表示资产，T 表示威胁，V 表示脆弱性
    B．L 表示威胁利资产脆弱性导致安全事件的可能性
    C．F 表示安全事件发生后造成的损失
    D．Ia，Va 分别表示安全事件作用全部资产的价值与其对应资产的严重程度

17. 以下哪一项不属于信息安全工程监理模型的组成部分：
    A．监理咨询支撑要素
    B．控制和管理手段
    C．监理咨询阶段过程
    D．监理组织安全实施

18. 以下关于直接附加存储(Direct Attached Storage，DAS)说法错误的是：
    A．DAS 能够在服务器物理位置比较分散的情况下实现大容量存储．是一种常用的数据存储方法
    B．DAS 实现了操作系统与数据的分离，存取性能较高并且实施简单
    C．DAS 的缺点在于对服务器依赖性强，当服务器发生故障时，连接在服务器上的存储设备中的数据不能被存取
    D．较网络附加存储(Network Attached Storage，NAS)，DAS 节省硬盘空间，数据非常集中，便于对数据进行管理和备份

19. 作为业务持续性计划的一部分，在进行业务影响分析(BIA)时的步骤是：
    1．标识关键的业务过程;
    2．开发恢复优先级;
    3．标识关键的 IT 资源;
    4．表示中断影响和允许的中断时间

A．１-3-4-2
B．１-3-2-4
C．1-2-3-4
D．１-4-3-2

20. 下面关于信息系统安全保障的说法不正确的是：
    A．信息系统安全保障与信息系统的规划组织、开发采购、实施交付、运行维护和废弃等生命周期密切相关
    B. 信息系统安全保障要素包括信息的完整性、可用性和保密性
    C．信息系统安全需要从技术、工程、管理和人员四个领域进行综合保障
    D．信息系统安全保障需要将信息系统面临的风险降低到可接受的程度，从而实现其业务使命

21. 在使用系统安全工程-能力成熟度模型(SSE-CMM)对一个组织的安全工程能力成熟度进行测量时，正确的理解是：
    A．测量单位是基本实施(Base Practices，BP)
    B．测量单位是通用实践(Generic Practices，GP)
    C．测量单位是过程区域(Process Areas，PA)
    D．测量单位是公共特征(Common Features，CF)

22. 关于信息安全保障技术框架(IATF)，以下说法不正确的是：
    A. 分层策略允许在适当的时候采用低安全级保障解决方案以便降低信息安全保障的成本
    B．IATF 从人、技术和操作三个层面提供一个框架实施多层保护，使攻击者即使攻破一层也无法破坏整个信息基础设施
    C．允许在关键区域(例如区域边界)使用高安全级保障解决方案，确保系统安全性
    D．IATF 深度防御战略要求在网络体系结构各个可能位置实现所有信息安全保障机制

23. 层次化的文档是信息安全管理体系《Information Security Management System.ISMS》建设的直接体系，也 ISMS 建设的成果之一，通常将 ISMS 的文档结构规划为 4 层金字塔结构，那么，以下选项（）应放入到一级文件中。
    A.《风险评估报告》
    B.《人力资源安全管理规定》
    C.《ISMS 内部审核计划》
    D.《单位信息安全方针》

24. 信息安全管理体系（information Security Management System.简称 ISMS）的实施和运行ISMS 阶段，是 ISMS 过程模型的实施阶段（Do），下面给出了一些备①制定风险处理计划②实施风险处理计划③开发有效性测量程序④实施培训和意识教育计划⑤管理ISMS 的运行⑥管理 ISMS 的资源⑦执行检测事态和响应事件的程序⑧实施内部审核⑨实施风险再评估选的活动，选项（）描述了在此阶段组织应进行的活动。
    A.①②③④⑤⑥
    B.①②③④⑤⑥⑦
    C.①②③④⑤⑥⑦⑧
    D.①②③④⑤⑥⑦⑧⑨

25. 微软 SDL 将软件开发生命周期制分为七个阶段，并列出了十七项重要的安全活动。其中“弃用不安全的函数”属于（）的安全活动。
    A.要求阶段
    B.设计阶段
    C.实施阶段
    D.验证阶段

卷二

1. 我国信息安全 先后经历启动、逐步展开和积极推进，以及深化落实三个阶段，以下关于我国信息安全保障各阶段说法不正确的是：
   A. 2001 国家信息化领导小组重组，网络与信息安全协调小组成立，我国信息安全保障工作正式启动
   B. 2003 年 7 月，国家信息化领导小组制定出台了《关于加强信息安全保障工作的意见》（中办发 27 号文），明确了“积极防御、综合防范“的国家信息安全保障方针
   C. 2003 年中办发 27 号文件的发布标志着我国信息安全保障进入深化落实阶段
   D. 在深化落实阶段，信息安全法律法规、标准化，信息安全基础设施建设，以及信息安全等级保护和风险评估取得了新进展。

2. 我国信息安全保障建设包括信息安全组织与管理体制、基础设施、技术体系等方面，以下关于安全保障建设主要工作内容说法不正确的是：
   A. 建全国家信息安全组织与管理体制机制，加强信息安全工作的组织保障
   B. 建设信息安全基础设施，提供国家信息安全保障能力支撑
   C. 建立信息安全技术体系，实现国家信息化发展的自主创新
   D. 建立信息安全人才培养体系，加快信息安全学科建设和信息安全人才培养

3. 信息安全测评是指依据相关标准，从安全功能等角度对信息技术产品、信息系统、服务提供商以及人员进行测试和评估，以下关于信息安全测评说法不正确的是：
   A. 信息产品安全评估是测评机构的产品的安全性做出的独立评价，增强用户对已评估产品安全的信任
   B. 目前我国常见的信息系统安全测评包括信息系统风险评估和信息系统安全保障测评两种类型
   C. 信息安全工程能力评估是对信息安全服务提供者的资格状况、技术实力和实施服务过程质量保证能力的具体衡量和评价。
   D. 信息系统风险评估是系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件可能造成的危害程度，提出游针对性的安全防护策略和整改措施

4. 分组密码算法是一类十分重要的密码算法，下面描述中，错误的是（）：
   A.分组密码算法要求输入明文按组分成固定长度的块
   B.分组密码的算法每次计算得到固定长度的密文输出块
   C.分组密码算法也称作序列密码算法
   D.常见的 DES、IDEA 算法都属于分组密码算法

5. 异常入侵检测是入侵检测系统常用的一种技术，它是识别系统或用户的非正常行为或者对于计算机资源的非正常使用，从而检测出入侵行为。下面说法错误的是：
   A.在异常入侵检测中，观察的不是已知的入侵行为，而是系统运行过程中的异常现象
   B.实施异常入侵检测，是将当前获取行为数据和已知入侵攻击行为特征相比较，若匹配则认为有攻击发生
   C.异常入侵检测可以通过获得的网络运行状态数据，判断其中是否含有攻击的企图，并通过多种手段向管理员报警
   D.异常入侵检测不但可以发现从外部的攻击，也可以发现内部的恶意行为

6. 以下关于 SMTP 和 POP3 协议的说法哪个是错误的
   A.SMTP 和 POP3 协议是一种基于 ASCII 编码的请求/响应模式的协议
   B.SMTP 和 POP3 协议铭文传输数据，因此存在数据泄露的可能
   C SMTP 和 POP3 协议缺乏严格的用户认证，因此导致了垃圾邮件问题
   D.SMTP 和 POP3 协议由于协议简单，易用性更高，更容易实现远程管理邮件

7. 下面有关软件安全问题的描述中，哪项是由于软件设计缺陷引起的（）
   A.设计了三层Ｗｅｂ架构，但是软件存在ＳＱＬ注入漏洞，导致被黑客攻击后能直接访问数据库
   B.使用Ｃ语言开发时，采用了一些存在安全问题的字符串处理函数，导致存在缓冲区溢出漏洞
   C.设计了缓存用户隐私数据机制以加快系统处理性能，导致软件在发布运行后，被黑客攻击获取到用户隐私数据
   D.使用了符合要求的密码算法，但在使用算法接口时，没有按照要求生成密钥，导致黑客攻击后能破解并得到明文数据

8. 软件存在漏洞和缺陷是不可避免的，实践中常使用软件缺陷密度（Ｄｅｆｅｃｔｓ／ＫＬＯＣ）来衡量软件的安全性，假设某个软件共有２９.６万行源代码，总共被检测出１４５个缺陷，则可以计算出其软件缺陷密度值是：
   A.０.０００４９
   B.０.０４９
   C.０.４９
   D.４９

9. 某网站为了开发的便利，使用 SA 链接数据库，由于网站脚本中被发现存在 SQL 注入漏洞，导致攻击者利用内置存储过程 XP.cmctstell 删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：
   A.权限分离原则
   B.最小特权原则
   C.保护最薄弱环节的原则
   D.纵深防御的原则

10. 微软提出了 STRIDE 模型，其中 Repudation（抵赖）的缩写，关于此项安全要求，下面描述错误的是（）
    A.某用户在登陆系统并下载数据后，却声称“我没有下载过数据”，软件系统中的这种威胁就属于 R 威胁
    B.解决 R 威胁，可以选择使用抗抵赖性服务技术来解决，如强认证、数字签名、安全审计等技术措施
    C.R 威胁是 STRIDE 六种威胁中第三严重的威胁，比 D 威胁和 E 威胁的严重程度更高
    D.解决 R 威胁，也应按照确定建模对象、识别威胁、评估威胁以及消减威胁等四个步骤来进行

11. 以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息网络和重要信息系统的安全（）
    A.信息安全管理体系（ISMS）
    B.信息安全等级保护
    C.NIST SP800
    D.ISO 270000 系统

12. 某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安全风险评估分为自评估和检查评估两种形式，该部门将有检查评估的特点和要求整理成如下四条报告给单位领导，其中描述错误的是
    A.检查评估可依据相关标准的要求，实施完整的风险评估过程；也可在自评估的基础上，对关键环节或重点内容实施抽样评估
    B.检查评估可以由上级管理部门组织，也可以由本级单位发起，其重点是针对存在的问题进行检查和评测
    C.检查评估可以由上级管理部门组织，并委托有资质的第三方技术机构实施
    D.检查评估是通过行政手段加强信息安全管理的重要措施，具有强制性的特点

13. 规范的实施流程和文档管理，是信息安全风险评估能否取得成果的重要基础，按照规范的风险评估实施流程，下面哪个文档应当是风险要素识别阶段的输出成果（）
    A.《风险评估方案》
    B.《需要保护的资产清单》
    C.《风险计算报告》
    D.《风险程度等级列表》

14. 在信息安全管理的实施过程中，管理者的作用于信息安全管理体系能否成功实施非常重要，但是一下选项中不属于管理者应有职责的是（）
    A.制定并颁发信息安全方针，为组织的信息安全管理体系建设指明方向并提供总体纲领，明确总体要求
    B.确保组织的信息安全管理体系目标和相应的计划得以制定，目标应明确、可度量，计划应具体、可事实
    C.向组织传达满足信息安全的重要性，传达满足信息安全要求、达成信息安全目标、符合信息安全方针、履行法律责任和持续改进的重要性
    D.建立健全信息安全制度，明确安全风险管理作用，实施信息安全风险评估过程、确保信息安全风险评估技术选择合理、计算正确

15. 信息安全管理体系（Information Security Management System ,ISMS）的内部审核和管理审核是两项重要的管理活动，关于这两者，下面描述的错误是
    A.内部审核和管理评审都很重要，都是促进 ISMS 持续改进的重要动力，也都应当按照一定的周期实施
    B.内部审核的实施方式多采用文件审核和现场审核的形式，而管理评审的实施方式多采用召开管理评审会议形式进行
    C.内部审核的实施主体组织内部的 ISMS 内审小组，而管理评审的实施主体是由国家政策指定的第三方技术服务机构
    D.组织的信息安全方针、信息安全目标和有关 ISMS 文件等，在内部审核中作为审核标准使用，但在管理评审总，这些文件时被审对象

16. 对信息安全事件的分级参考下列三个要素：信息系统的重要程度、系统损失和社会影响，依据信息系统的重要程度对信息进行划分，不属于正确划分级别的是：
    A.特别重要信息系统
    B.重要信息系统
    C.一般信息系统
    D.关键信息系统

17. 恢复时间目标（RTO）和恢复点目标（RPO）是信息系统灾难恢复中的重要概念，关于这两个值能否为零，正确的选项是（）
    A.RTO 可以为 0，RPO 也可以为 0
    B.RTO 可以为 0，RPO 不可以为 0
    C.RTO 不可以为 0，但 RPO 可以为 0
    D.RTO 不可以为 0，RPO 也不可以为 0

18. 系统工程的模型之一霍尔三维结构模型由时间维、逻辑维和知识维组成。有关此模型，错误的是：
    A. 霍尔三维机构体系形成地描述了系统工程研究的框架
    B. 时间维表示系统工程活动从开始到结束按照时间顺序排列的全过程
    C. 逻辑维的七个步骤与时间维的七个阶段严格对应，即时间维第一阶段应执行逻辑维第一步骤的活动，时间维第二阶段应执行逻辑维第二步骤的活动
    D. 知识维列举可能需要运用的工程、医学、建筑、商业、法律、管理、社会科学和艺术等各种知识和技能

19. 有关系统安全工程-能力成熟度模型（SSE-CMM）中的通用实施（Generic Practices ，GP）错误理解是：
    A. GP 是涉及过程的管理、测量和制度化方面的活动
    B. GP 适用于域维中部分过程区域（Process Aractices ，PA）活动而非所有 PA 的活动
    C. 在工程实施时，GP 应该作为基本实施（ Base Practices，BP）的一部分加以执行
    D. 在评估时，GP 用于判定工程组织执行某个 PA 的能力

20. 在使用系统安全工程-能力成熟度模型（SSE-CCM）对一个组织的安全工程能力成熟度进行测量时，有关测量结果，错误的理解是：
    A. 如果该组织在执行某个特定的过程区域时具备了一个特定级别的部分公共特征时，则这个组织在这个过程区域的能力成熟度未达到此级
    B. 如果该组织某个过程区域（Process Areas，PA）具备了“定义标准过程”、“执行已定义的过程”两个公共特征，则此过程区域的能力成熟度级别达到 3 级“充分定义级”
    C. 如果某个过程区域（Process Areas，PA）包含 4 个基本实施（Base Practices，BP），执行此 PA 时执行了 3 个 BP，则此过程区域的能力成熟度级别为 0
    D. 组织在不同的过程区域的能力成熟度可能处于不同的级别上

21. 北京某公司利用 SSE-CMM 对其自身工程队伍能力进行自我改善，其理解正确的是：
    A. 系统安全工程能力成熟度模型（SSE-CMM）定义了 6 个能力级别，当工程队不能执行一个过程域中的基本实践时，该过程域的过程能力为 0 级
    B. 达到 SSE-CMM 最高级以后，工程队伍执行同一个过程，每次执行结果质量必须相同。
    C. 系统安全工程能力成熟度模型（SSE-CMM）定义了 3 个风险过程：评价威胁，评价脆弱性，评价影响。
    D. SSE-CMM 强调系统安全工程与其他工程科学的区别和独立性。

22. 系统安全工程-能力成熟度模型（SSE-CMM）定义的包含评估威胁、评估脆弱性、评估影响和评估安全风险的基本过程领域是：
    A. 风险过程
    B. 工程过程
    C. 保证过程
    D. 评估过程

23. 具有行政法律责任强制的安全管理规定和安全制度包括
    1>安全事件（包括安全事故）报告制度
    2>安全等级保护制度
    3>信息系统安全监控
    4>安全专用产品销售许可证制度

A. 1，2，4
B. 2，3
C. 2，3, 4
D. 1，2, 3

24. 信息系统建设完成后，（ ）的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入使用
    A. 二级以上
    B. 三级以上
    C. 四级以上
    D. 五级以上

25. 为了保障网络安全，维护网络安全空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，加强在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，2015 年 6 月，第十二届全国人大常委会第十五次会议初次审议了一部法律草案，并与 7 月 6 日起在网上全文公布，向社会公开征求意见，这部法律草案是（）
    A.《中华人民共和国保守国家秘密法（草案）》
    B.《中华人民共和国网络安全法（草案）》
    C.《中华人民共和国国家安全法（草案）》
    D.《中华人民共和国互联网安全法（草案）》

26. 为了进一步提高信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，公安部等 4 部分联合发布《关于信息安全等级保护工作的实施意见》(公通字[2004]66 号)，对等级保护工作的开展提供宏观指导和约束，明确了等级保护工作的基本内容、工作要求和实施计划，以及各部门工作职责分工等，关于该文件，下面理解正确的是
    A. 该文件时一个由部委发布的政策性文件，不属于法律文件
    B. 该文件适用于 2004 年的等级保护工作，其内容不能越苏到 2005 年及之后的工作
    C. 该文件时一个总体性指导文件，规定了所有信息系统都要纳入等级保护定级范围
    D. 该文件使用范围为发文的这四个部门，不适用于其他部门和企业等单位

27. CC 标准是目前系统安全认证方面最权威的标准，哪一项不是体现 CC 标准的先进性？
    A. 结构开放性，即功能和保证要求可以“保护轮廓”和“安全目标”中进行一步细化和扩展
    B. 表达方式的通用性，即给出通用的表达方式
    C. 独立性，它强调将安全的功能和保证分离
    D. 实用性，将 CC 的安全性要求具体应用到 IT 产品的开发、生产、测试和评估过程中

28. 对于数字证书而言，一般采用的是哪个标准？
    A. ISO/IEC 1540
    B B.802.11
    C. GB/T 20984
    D. X.509

29. 在可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别？
    A.C2
    B.C1
    C.B2
    D.B1

30. 2005 年，RFC4301（Request for Comments 4301：Security Architecture for the Intermet Protocol）发布，用以取代原先的 RFC2401，该标准建议规定了 IPsec 系统基础架构，描述如何在 IP 层（IPv4/IPv6）为流量提供安全业务，请问此类 RFC 系列标准建设是由哪个组织发布的（）
    A.国际标准化组织
    B.国际电工委员会
    C.国际电信联盟远程通信标准化组织
    D.Internet 工程任务组

31. GB/T18336《信息技术安全性评估准则》（CC）是测评标准类中的重要标准，该标准定义了保护轮廓（Protection Profile ，PP ）和安全目标（Security Target ，ST）的评估准则，提出了评估保证级（Evaluation Assurance Level，EAL）,其评估保证级共分为（）个递增的评估保证等级
    A.4
    B.5
    C.6
    D.7

32. 信息安全工程监理的职责包括：
    A.质量控制、进度控制、成本控制、合同管理、信息管理和协调
    B.质量控制、进度控制、成本控制、合同管理和协调
    C.确定安全要求、认可设计方案、监视安全态势、建立保障证据和协调
    D.确定安全要求、认可设计方案、监视安全态势和协调

33. 对涉密系统进行安全保密测评应当依据以下哪个标准?
    A.BMB20-2007《涉及国家秘密的计算机信息系统分级保护管理规范》
    B.BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》
    C.GB17859-1999《计算机信息系统安全保护等级划分准则》
    D.GB／T20271-2006《信息安全技术信息系统统用安全技术要求》

34. 以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一?
    A.提高信息技术产品的国产化率
    B.保证信息安全资金投入
    C.加快信息安全人才培养
    D.重视信息安全应急处理工作

35. 根据信息安全风险要素之间的关系，下图中空白处应该填写（）
    A、资产
    B、安全事件
    C、脆弱性
    D、安全措施

卷三

1. 以下哪个选项不是防火墙提供的安全功能?
   A．IP 地址欺骗防护
   B．NAT
   C．访问控制
   D．SQL 注入攻击防护

2. 以下关于可信计算说法错误的是：
   A．可信的主要目的是要建立起主动防御的信息安全保障体系
   B．可信计算机安全评价标准(TCSEC)中第一次提出了可信计算机和可信计算基的概念
   C．可信的整体框架包含终端可信、终端应用可信、操作系统可信、网络互联可信、互联网交易等应用系统可信
   D．可信计算平台出现后会取代传统的安全防护体系和方法

3. 以下哪个拒绝服务攻击方式不是流量型拒绝服务攻击
   A．Land
   B．UDP Flood
   C．Smurf
   D.Teardrop

4. 关于源代码审核，下列说法正确的是：
   A．人工审核源代码审校的效率低，但采用多人并行分析可以完全弥补这个缺点
   B．源代码审核通过提供非预期的输入并监视异常结果来发现软件故障，从而定位可能导致安全弱点的薄弱之处
   C．使用工具进行源代码审核，速度快，准确率高，已经取代了传统的人工审核
   D. 源代码审核是对源代码检查分析，检测并报告源代码中可能导致安全弱点的薄弱之处

5. 在戴明环(PDCA)模型中，处置(ACT)环节的信息安全管理活动是：
   A．建立环境
   B．实施风险处理计划
   C．持续的监视与评审风险
   D. 持续改进信息安全管理过程

6. 信息系统的业务特性应该从哪里获取?
   A．机构的使命
   B．机构的战略背景和战略目标
   C. 机构的业务内容和业务流程
   D．机构的组织结构和管理制度

7. 在信息系统设计阶段，“安全产品选择”处于风险管理过程的哪个阶段?
   A．背景建立
   B．风险评估
   C．风险处理
   D．批准监督

8. 信息系统安全保护等级为 3 级的系统，应当()年进行一次等级测评?
   A. 0.5
   B. 1
   C. 2
   D. 3

9. 国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述?
   A．处于国际先进水平，并且有军事用途或者对经济建设具有重要影响的
   B．能够局部反应国家防御和治安实力的
   C．我国独有、不受自然条件因素制约、能体现民族特色的精华，并且社会效益或者经济效益显著的传统工艺
   D．国际领先，并且对国防建设或者经济建设具有特别重大影响的

10. 关于我国加强信息安全保障工作的总体要求，以下说法错误的是：
    A．坚持积极防御、综合防范的方针
    B．重点保障基础信息网络和重要信息系统安全
    C．创建安全健康的网络环境
    D．提高个人隐私保护意识

11. 根据 《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》的规定，以下正确的是：
    A．涉密信息系统的风险评估应按照 《信息安全等级保护管理办法》等国家有关保密规定和标准进行
    B．非涉密信息系统的风险评估应按照 《非涉及国家秘密的信息系统分级保护管理办法》等要求进行
    C．可委托同一专业测评机构完成等级测评和风险评估工作，并形成等级测评报告和风险评估报告
    D．此通知不要求将 “信息安全风险评估”作为电子政务项目验收的重要内容

12. 下列选项中，哪个不是我国信息安全保障工作的主要内容：
    A．加强信息安全标准化工作，积极采用 “等同采用、修改采用、制定”等多种方式，尽快建立和完善我国信息安全标准体系
    B．建立国家信息安全研究中心，加快建立国家急需的信息安全技术体系，实现国家信息安全自主可控目标
    C．建设和完善信息安全基础设施，提供国家信息安全保障能力支撑
    D．加快信息安全学科建设和信息安全人才培养

13. 关于信息安全管理，说法错误的是：
    A．信息安全管理是管理者为实现信息安全目标(信息资产的 CIA 等特性，以及业务运作的持续)而进行的计划、组织、指挥、协调和控制的一系列活动。
    B．信息安全管理是一个多层面、多因素的过程，依赖于建立信息安全组织、明确信息安全角色及职责、制定信息安全方针策略标准规范、建立有效的监督审计机制等多方面非技术性的努力。
    C．实现信息安全，技术和产品是基础，管理是关键。
    D．信息安全管理是人员、技术、操作三者紧密结合的系统工程，是一个静态过程。

14. 以下哪个选项不是信息安全需求的来源?
    A．法律法规与合同条约的要求
    B．组织的原则、目标和规定
    C．风险评估的结果
    D．安全架构和安全厂商发布的病毒、漏洞预警

15. 风险评估工具的使用在一定程度上解决了手动评佑的局限性，最主要的是它能够将专家知识进行集中，使专家的经验知识被广泛使用，根据在风险评估过程中的主要任务和作用愿理，风险评估工具可以为以下几类，其中错误的是：A．风险评估与管理工具B．系统基础平台风险评估工具C．风险评估辅助工具D．环境风险评估工具答案：D解释：通常情况下信息安全风险评估工具不包括环境评估工具。