1、安全管理、沟通协调、监理应用技术(一)及答案解析(总分：100.00，做题时间：90 分钟)一、单项选择题(总题数：50，分数：100.00)1.基于角色的访问控制中，角色定义、角色成员的增减、角色分配都是由_实施的，用户只能被动接受授权规定，不能自主地决定，用户也不能自主地将访问权限传给他人，这是一种非自主型访问控制。ACSO B安全管理员C稽查员或审计员 D应用系统的管理员（分数：2.00）A.B.C.D.2.以下关于入侵检测系统的描述中，说法错误的是_。A入侵检测系统能够对网络活动进行监视B入侵检测能简化管理员的工作，保证网络安全运行C入侵检测是一种主动保护网络免受攻击的安全技术D入侵检
2、测是一种被动保护网络免受攻击的安全技术（分数：2.00）A.B.C.D.3.信息安全策略的设计与实施步骤是_。A定义活动目录角色、确定组策略管理安全性、身份验证、访问控制和管理委派B确定标准性、规范性、可控性、整体性、最小影响、保密性原则，确定公钥基本结构C确定安全需求、制订可实现的安全目标、制订安全规划、制订系统的日常维护计划D确定安全需求、确定安全需求的范围、制订安全规划、制订系统的日常维护计划（分数：2.00）A.B.C.D.4.在_中，用于防止信息抵赖；用于防止信息被窃取；用于防止信息被篡改；用于防止信息被假冒。A加密技术 数字签名 完整性技术 认证技术B完整性技术 认证技术 加密技术
3、 数字签名C数字签名 完整性技术 认证技术 加密技术D数字签名 加密技术 完整性技术 认证技术（分数：2.00）A.B.C.D.5.在_中，代表的技术通过对网络数据的封包和加密传输，在公网上传输私有数据、达到私有网络的安全级别；代表的技术把所有传输的数据进行加密，可以代替 Telnet，可以为 FTP 提供一个安全的“通道”；代表的协议让持有证书的 Internet 浏览器软件和 WWW 服务器之间构造安全通道传输数据，该协议运行在 TCP/IP 层之上，应用层之下。ASSH VPN SSL BVPN SSH SSLCVPN SSL SSH DSSL VPN SSH（分数：2.00）A.B.C
4、.D.6.TCP/IP 在多个层引入了安全机制，其中 TLS 协议位于_。A数据链路层 B网络层 C传输层 D应用层（分数：2.00）A.B.C.D.7.信息安全管理体系是指_。A网络维护人员的组织体系B信息系统的安全设施体系C防火墙等设备、设施构建的安全体系D组织建立信息安全方针和目标并实现这些目标的体系（分数：2.00）A.B.C.D.8._指对主体访问和使用客体的情况进行记录和审查，以保证安全规则被正确执行，并帮助分析安全事故产生的原因。A安全授权 B安全管理 C安全服务 D安全审计（分数：2.00）A.B.C.D.9.安全管理是信息系统安全能动性的组成部分，它贯穿于信息系统规划、设计、
5、运行和维护的各阶段。安全管理中的介质安全属于_。A技术安全 B管理安全 C物理安全 D环境安全（分数：2.00）A.B.C.D.10.安全审计是保障计算机系统安全的重要手段之一，其作用不包括_。A检测对系统的入侵B发现计算机的滥用情况C发现系统入侵行为和潜在的漏洞D保证可信网络内部信息不外泄（分数：2.00）A.B.C.D.11.防火墙把网络划分为几个不同的区域，一般把对外提供网络服务的设备(如 WWW 服务器、FTP 服务器)放置于_区域。A信任网络 B非信任网络C半信任网络 DDMZ(非军事化区)（分数：2.00）A.B.C.D.12.“需要时，授权实体可以访问和使用的特性”指的是信息安全
6、的_。A保密性 B完整性 C可用性 D可靠性（分数：2.00）A.B.C.D.13.信息安全从社会层面来看，反映在_这三个方面。A网络空间的幂结构规律、自主参与规律和冲突规律B物理安全、数据安全和内容安全C网络空间中的舆论文化、社会行为和技术环境D机密性、完整性、可用性（分数：2.00）A.B.C.D.14.网吧管理员小李发现局域网中有若干台电脑有感染病毒的迹象，这时应首先_，以避免病毒的进一步扩散。A关闭服务器B启动反病毒软件查杀C断开有嫌疑计算机的物理网络连接D关闭网络交换机（分数：2.00）A.B.C.D.15.在构建信息安全管理体系中，应建立起一套动态闭环的管理流程，这套流程指的是_。
7、A评估响应防护评估 B检测分析防护检测C评估防护响应评估 D检测评估防护检测（分数：2.00）A.B.C.D.16.某单位在制定信息安全策略时采用的下述做法中，正确的是_。A该单位将安全目标定位为“系统永远不停机、数据永远不丢失、网络永远不瘫痪、信息永远不泄密”B该单位采用了类似单位的安全风险评估结果来确定本单位的信息安全保护等级C该单位的安全策略由单位授权完成制定，并经过单位的全员讨论修订D该单位为减小未经授权的修改、滥用信息或服务的机会，对特定职责和责任领域的管理和执行功能实施职责合并（分数：2.00）A.B.C.D.17.数据安全的目的是实现数据的_。A唯一性、不可替代性、机密性 B机密
8、性、完整性、不可否认性C完整性、确定性、约束性 D不可否认性、备份、效率（分数：2.00）A.B.C.D.18.入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软件和硬件的组合就构成了入侵检测系统。_是入侵检测系统的核心。A评估主要系统和数据的完整性 B信息的收集C系统审计 D数据分析（分数：2.00）A.B.C.D.19.1985 年美国国防部所属的国家计算机安全中心发布的可信计算机安全评估准则将计算机系统的安全可信性分为 4 个等级。只提供无条件的访问控制，具有识别和授权责任的安全可信性属于_安全等
9、级。AC 类 BA 类 CD 类 DB 类（分数：2.00）A.B.C.D.20.网络的可用性是指_。A网络通信能力的大小 B用户用于网络维修的时间C网络的可靠性 D网络可供用户使用的时间百分比（分数：2.00）A.B.C.D.21.信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，根据信息系统安全等级保护定级指南 GB/T 222402008，该信息系统的安全保护等级至少应定为_级。A一 B二 C三 D四（分数：2.00）A.B.C.D.22.我国强制性国家标准计算机信息安全保护等级划分准则将计算机信息系统分为 5 个安全保护等级，其中适用于地方各级国家机关、金
10、融机构、邮电通信、能源与水源供给部门的信息系统适用_。A安全标记保护级 B结构化保护级C访问验证保护级 D系统审计保护级（分数：2.00）A.B.C.D.23.信息系统的安全属性包括_和不可抵赖性。A保密性、完整性、可用性 B符合性、完整性、可用性C保密性、完整性、可靠性 D保密性、可用性、可维护性（分数：2.00）A.B.C.D.24.电子商务安全要求的四个方面是_。A传输的高效性、数据的完整性、交易各方的身份认证和交易的不可抵赖性B存储的安全性、传输的高效性、数据的完整性和交易各方的身份认证C传输的安全性、数据的完整性、交易各方的身份认证和交易的不可抵赖性D存储的安全性、传输的高效性、数据
11、的完整性和交易的不可抵赖性（分数：2.00）A.B.C.D.25.应用系统运行中涉及的安全和保密层次包括四层，这四个层次按粒度从粗到细的排列顺序是_。A数据域安全、功能性安全、资源访问安全、系统级安全B数据域安全、资源访问安全、功能性安全、系统级安全C系统级安全、资源访问安全、功能性安全、数据域安全D系统级安全、功能性安全、资源访问安全、数据域安全（分数：2.00）A.B.C.D.26.为了确保系统运行的安全，针对用户管理，下列做法不妥当的是_。A建立用户身份识别与验证机制，防止非法用户进入应用系统B用户权限的分配应遵循“最小特权”原则C用户密码应严格保密，并定时更新D为了防止重要密码丢失，把
12、密码记录在纸质介质上（分数：2.00）A.B.C.D.27.基于用户名和口令的用户入网访问控制可分为_三个步骤。A用户名识别与验证、用户口令的识别与验证、用户账户的默认限制检查B用户名识别与验证、用户口令的识别与验证、用户权限的识别与控制C用户身份识别与验证、用户口令的识别与验证、用户权限的识别与控制D用户账号的默认限制检查、用户口令的识别与验证、用户权限的识别与控制（分数：2.00）A.B.C.D.28.关于计算机机房安全保护方案的设计，以下说法错误的是_。A某机房在设计供电系统时将计算机供电系统与机房照明设备供电系统分开B某机房通过各种手段保障计算机系统的供电，使得该机房的设备长期处于 7
13、24 小时连续运转状态C某公司在设计计算机机房防盗系统时，在机房布置了封闭装置，当潜入者触动装置时，机房可以从内部自动封闭，使盗贼无法逃脱D某机房采用焊接的方式设置安全防护地和屏蔽地（分数：2.00）A.B.C.D.29.系统运行安全的关键是管理，下列关于日常安全管理的做法，不正确的是_。A系统开发人员和系统操作人员应职责分离B信息化部门领导安全管理组织，一年进行一次安全检查C用户权限设定应遵循“最小特权”原则D在数据转储、维护时要有专职安全人员进行监督（分数：2.00）A.B.C.D.30.以下各项措施中，不能够有效防止计算机设备发生电磁泄漏的是_。A配备电磁干扰设备，且在被保护的计算机设备
14、工作时不能关机B设置电磁屏蔽室，将需要重点保护的计算机设备进行隔离C禁止在屏蔽墙上打钉钻孔，除非连接的是带金属加强芯的光缆D在信号传输线、公共地线以及电源线上加装滤波器（分数：2.00）A.B.C.D.31.由 n 个人组成的大型项目组，人与人之间交互渠道的数量级为_。An 2 Bn 3 Cn D2 n（分数：2.00）A.B.C.D.32.某监理工程师负责管理公司的第一个复杂的网站开发项目的监理工作，项目进度安排十分紧张。项目有一个高层发起人，并且项目章程和项目计划都已经获得批准和签字；通过定期会议和报告，向建设单位提供了项目进展的全面情况；项目在预算之内并且符合进度计划要求。监理工程师突然
15、得知项目有可能被取消，因为开发的产品完全无法接受。发生这种情况最可能的原因是_。A一个关键干系人没有充分参与项目B没有充分地向客户介绍项目章程和项目计划或客户没有充分的审核项目章程和计划C沟通安排不充分，没有向有关方提供需要的信息D高级发起人没有向项目提供充足的支持（分数：2.00）A.B.C.D.33.一个项目由几个小组协作完成。小组 C 在过去曾多次在最终期限前没有完成任务。这导致小组 D 好几次不得不对关键路径上的任务赶工。小组 D 的领导应该与_沟通。A公司项目管理委员会 B客户C项目经理和管理层 D项目经理和小组 C 的领导（分数：2.00）A.B.C.D.34.团队成员第一次违反了
16、团队的基本规章制度，项目经理对他应该采取_形式的沟通方法。A口头 B正式书面 C办公室会谈 D非正式书面（分数：2.00）A.B.C.D.35.作为丙方的系统集成项目监理工程师与其单位高层领导沟通时，使用频率最少的沟通工具是_。A状态报告 B界面设计报告C需求分析报告 D趋势报告（分数：2.00）A.B.C.D.36.在实际沟通中，_更有利于被询问者表达自己的见解和情绪。A封闭式问题 B开放式问题 C探询式问题 D假设性问题（分数：2.00）A.B.C.D.37.项目沟通中不恰当的做法是_。A对外一致，一个团队要用一种声音说话B采用多样的沟通风格C始终采用正式的沟通方式D会议之前将会议资料发给
17、所有参会人员（分数：2.00）A.B.C.D.38.系统集成工程建设的沟通协调非常重要，有效沟通可以提升效率、降低内耗。以下关于沟通的叙述，_是错误的。A坚持内外有别的原则，要把各方掌握的信息控制在各方内部B系统集成商经过广泛的需求调查，有时会发现业主的需求之间存在自相矛盾的现象C一般来说，参加获取需求讨论会的人数控制在 57 人是最好的D如果系统集成商和客户就项目需求沟通不够，只是依据招标书的信息做出建议书，可能会导致项目计划不合理，因而造成项目的延期、成本超出、纠纷等问题（分数：2.00）A.B.C.D.39.项目文档应发送给_。A执行机构所有的干系人B所有项目干系人C项目管理小组成员和项
18、目主办单位D沟通管理计划中规定的人员（分数：2.00）A.B.C.D.40.以下关于项目干系人的描述中，不恰当的是_。A项目干系人的目标往往彼此相距甚远，甚至互相冲突B项目管理团队忽略消极项目干系人的利益，可以使项目尽快得到成功C项目干系人在项目生命周期的不同阶段会发生变化D项目干系人对项目的影响可能是积极的也可能是消极的（分数：2.00）A.B.C.D.41.希赛公司承担了某企业 ERP 项目的监理工作。总监理工程师入场后首先制定了项目沟通联络机制，并建议项目参建单位都提供各自的联络人，便于后续有效的沟通。对此做法理解正确的是_。A沟通联络机制相当于一份沟通计划B沟通联络机制应满足所有项目干
19、系人的沟通需求C沟通联络机制应明确沟通的内容和时间表D沟通联络机制应经常调整以保证持续的适用性（分数：2.00）A.B.C.D.42.总监理工程师计划访谈所有为项目实施所雇佣的临时员工。第一日随机挑选了 50 名临时员工进行了访谈，第二天又随机选取了 20 名临时员工，发现其中 5 名已于昨日访谈过，便对其余 15 名进行了访谈。则还需要访谈约_人才能完成访谈所有临时员工的任务。A75 B185 C135 D150（分数：2.00）A.B.C.D.43.广泛使用_沟通最有可能帮助解决复杂问题。A书面 B口头 C正式 D非正式（分数：2.00）A.B.C.D.44.召开会议就某一项进行讨论是有效
20、的项目沟通方法之一，确保会议成功的措施包括提前确定会议目的、按时开始会议等，_不是确保会议成功的措施。A项目经理在会议召开前一天，将会议议程通过电子邮件发给参会人员B在技术方案的评审会议中，某专家发言时间超时严重，会议主持人对会议进程进行控制C某系统验收会上，为了避免专家组意见太发散，项目经理要求会议主持人给出结论性意见D项目经理指定文档管理员负责会议记录（分数：2.00）A.B.C.D.45.某项目组的小组长王某和程序员李某在讨论确定一个功能模块的技术解决方案时发生激烈争执，此时作为项目经理应该首先采用_的方法来解决这一冲突。A请两人先冷静下来，淡化争议，然后在讨论问题时求同存异B帮助两人分
21、析对错，然后解决问题C要求李某服从小组长王某的意见D请两人把当前问题搁置起来，避免争吵（分数：2.00）A.B.C.D.46.在项目沟通管理过程中存在若干影响因素，其中潜在的技术影响因素包括_。对信息需求的迫切性 资金是否到位预期的项目人员配备 项目环境 项目时间的长短A B C D（分数：2.00）A.B.C.D.47.状态会议的目的是_。A交换项目信息B让团队成员汇报正在执行的工作C签发工作授权D确认团队提交的成本的准确性（分数：2.00）A.B.C.D.48.某项目的现状是：已经按照沟通计划发布了项目信息；一些项目可交付成果发生了变更；这些变更是按照变更控制计划做出的；一位干系人在得知以
22、前曾经公布过的项目可交付成果变更时，感觉十分惊讶；其余干系人都收到了变更通知的消息。针对这种情况，总监理工程师应该_。A告诉干系人信息公布的日期B审核沟通计划，确定为什么干系人不理解自己的职责C对沟通计划进行审核，如需要，对沟通计划进行修改D在下次项目工作会议上说明该问题，以便其他干系人不会遗忘公布的变更信息（分数：2.00）A.B.C.D.49.在各种绩效报告工具或技巧中，通过_方法可综合范围、成本(或资源)和进度信息作为关键因素。A绩效评审 B趋势分析 C偏差分析 D挣值分析（分数：2.00）A.B.C.D.50.沟通和协调对于项目的顺利进展和最终成功具有重要意义，召开有效的会议是监理工程
23、师常用的沟通方法，开好监理会有许多要注意的事项，以下只有_是不需要考虑的。A会议要有明确的目的和期望的结果B参会人员要充分而且必要，以便缩小会议规模C会议议题要集中，控制和掌握会议的时间D要求建设单位与承建单位的领导必须参加（分数：2.00）A.B.C.D.安全管理、沟通协调、监理应用技术(一)答案解析(总分：100.00，做题时间：90 分钟)一、单项选择题(总题数：50，分数：100.00)1.基于角色的访问控制中，角色定义、角色成员的增减、角色分配都是由_实施的，用户只能被动接受授权规定，不能自主地决定，用户也不能自主地将访问权限传给他人，这是一种非自主型访问控制。ACSO B安全管理员
24、C稽查员或审计员 D应用系统的管理员（分数：2.00）A.B.C.D. 解析：当今最著名的美国计算机安全标准是可信计算机系统评估标准(TCSEC)。其中一个内容就是要阻止未被授权而浏览机密信息。TCSEC 规定了两个访问控制类型：自主访问控制(DAC)和强制访问控制(MAC)。DAC 是指主体可以自主地将访问权限或者访问权限的某个子集授予其他主体。主要是某些用户(特定客体的用户或具有指定特权的用户)规定别的用户能以怎样的方式访问客体。它主要满足商业和政府的安全需要，以及单级军事应用。但是由于它的控制是自主的，所以也可能会因为权限的传递而泄漏信息。另外，如果合法用户可以任意运行一个程序来修改他拥
25、有的文件存取控制信息，而操作系统无法区分这种修改是用户自己的操作，还是恶意程序的非法操作，解决办法就是通过强加一些不可逾越的访问限制。因此，又提出了一种更强有力的访问控制手段，即强制访问控制(MAC)，但是它主要用于多级安全军事应用，很少用于其他方面。现今人们在 MAC 基础上提出基于角色的访问控制(RBAC)，它是一种强制访问控制形式，但它不是基于多级安全需求。其策略是根据用户在组织内部的角色制定的。用户不能任意的将访问权限传递给其他用户。这是 RBAC 和 DAC 之间最基本的不同。基于角色访问控制(RBAC)模型是目前国际上流行的先进的安全访问控制方法。它通过分配和取消角色来完成用户权限
26、的授予和取消，并且提供角色分配规则。安全管理人员根据需要定义各种角色，并设置合适的访问权限，而用户根据其责任和资历再被指派为不同的角色。这样，整个访问控制过程就分成两个部分，即访问权限与角色相关联，角色再与用户关联，从而实现了用户与访问权限的逻辑分离。由于实现了用户与访问权限的逻辑分离，基于角色的策略极大地方便了权限管理。例如，如果一个用户的职位发生变化，只要将用户当前的角色去掉，加入代表新职务或新任务的角色即可。研究表明，角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，并且给用户分配角色不需要很多技术，可以由行政管理人员来执行，而给角色配置权限的工作比较复杂，需要一定的技术，可以
27、由专门的技术人员来承担，但是不给他们给用户分配角色的权限，这与现实中的情况正好一致。基于角色访问控制可以很好的描述角色层次关系，实现最小特权原则和职责分离原则。2.以下关于入侵检测系统的描述中，说法错误的是_。A入侵检测系统能够对网络活动进行监视B入侵检测能简化管理员的工作，保证网络安全运行C入侵检测是一种主动保护网络免受攻击的安全技术D入侵检测是一种被动保护网络免受攻击的安全技术（分数：2.00）A.B.C.D. 解析：入侵检测是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的
28、系统及网络行为，为防范入侵行为提供有效的手段。入侵检测系统要解决的最基本的两个问题是：如何充分并可靠地提取描述行为特征的数据，以及如何根据特征数据，高效并准确地判断行为的性质。由系统的构成来说，通常包括数据源(原始数据)、分析引擎(通过异常检测或误用检测进行分析)、响应(对分析结果采用必要和适当的措施)三个模块。3.信息安全策略的设计与实施步骤是_。A定义活动目录角色、确定组策略管理安全性、身份验证、访问控制和管理委派B确定标准性、规范性、可控性、整体性、最小影响、保密性原则，确定公钥基本结构C确定安全需求、制订可实现的安全目标、制订安全规划、制订系统的日常维护计划D确定安全需求、确定安全需求
29、的范围、制订安全规划、制订系统的日常维护计划（分数：2.00）A.B.C. D.解析：信息安全策略的设计与实施步骤如下：(1)确定安全需求：包括确定安全需求的范围、评估面临的风险。(2)制订可实现的安全目标。(3)制订安全规划：包括本地网络、远程网络、Internet。(4)制订系统的日常维护计划。4.在_中，用于防止信息抵赖；用于防止信息被窃取；用于防止信息被篡改；用于防止信息被假冒。A加密技术 数字签名 完整性技术 认证技术B完整性技术 认证技术 加密技术 数字签名C数字签名 完整性技术 认证技术 加密技术D数字签名 加密技术 完整性技术 认证技术（分数：2.00）A.B.C.D. 解析：
30、加密技术是利用数学或物理手段，对电子信息在传输过程中和存储体内进行保护，以防止泄漏(信息被窃取)的技术。通信过程中的加密主要是采用密码，在数字通信中可利用计算机采用加密法，改变负载信息的数码结构。数字签名利用一套规则和一个参数集对数据计算所得的结果，用此结果能够确认签名者的身份和数据的完整性。简单地说，所谓数字签名就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据，防止被人(例如接收者)进行伪造。完整性技术指发送者对传送的信息报文，根据某种算法生成一个信息报文的摘要值，并将此摘要值与原始报文一起通过
31、网络传送给接收者，接收者用此摘要值来检验信息报文在网络传送过程中有没有发生变化，以此来判断信息报文的真实与否。身份认证是指采用各种认证技术，确认信息的来源和身份，以防假冒。5.在_中，代表的技术通过对网络数据的封包和加密传输，在公网上传输私有数据、达到私有网络的安全级别；代表的技术把所有传输的数据进行加密，可以代替 Telnet，可以为 FTP 提供一个安全的“通道”；代表的协议让持有证书的 Internet 浏览器软件和 WWW 服务器之间构造安全通道传输数据，该协议运行在 TCP/IP 层之上，应用层之下。ASSH VPN SSL BVPN SSH SSLCVPN SSL SSH DSSL
32、 VPN SSH（分数：2.00）A.B. C.D.解析：通过使用 SSH(Secure Shell，安全外壳)，可以把所有传输的数据进行加密，这样“中间人”这种攻击方式就不可能实现了，而且也能够防止 DNS 欺骗和 IP 欺骗。使用 SSH，还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH 有很多功能，它既可以代替 Telnet，又可以为FTP、POP、甚至为 PPP 提供一个安全的通道。6.TCP/IP 在多个层引入了安全机制，其中 TLS 协议位于_。A数据链路层 B网络层 C传输层 D应用层（分数：2.00）A.B.C. D.解析：TLS(Transport
33、 Layer Security，传输层安全协议)是确保互联网上通信应用和其用户隐私的协议。当服务器和客户机进行通信，TLS 确保没有第三方能窃听或盗取信息。TLS 是安全套接字层(Security Socket Layer，SSL)的后继协议。TLS 由两层构成，分别是 TLS 记录协议和 TLS 握手协议。TLS 记录协议使用机密方法，如数据加密标准(DES)，来保证连接安全。TLS 记录协议也可以不使用加密技术。TLS 握手协议使服务器和客户机在数据交换之前进行相互鉴定，并协商加密算法和密钥。7.信息安全管理体系是指_。A网络维护人员的组织体系B信息系统的安全设施体系C防火墙等设备、设施构
34、建的安全体系D组织建立信息安全方针和目标并实现这些目标的体系（分数：2.00）A.B.C.D. 解析：信息安全管理体系是指通过计划、组织、领导、控制等措施以实现组织信息安全目标的相互关联或相互作用的一组要素，是组织建立信息安全方针和目标并实现这些目标的体系。这些要素通常包括信息安全组织机构、信息安全管理体系文件、控制措施、操作过程和程序以及相关资源等。信息安全管理体系中的要素通常包括信息安全的组织机构；信息安全方针和策略；人力、物力、财力等相应资源；各种活动和过程。信息安全管理体系通过不断地识别组织和相关方的信息安全要求，不断地识别外界环境和组织自身的变化，不断地学习采用新的管理理念和技术手段
35、，不断地调整自己的目标、方针、程序和过程等，才可以实现持续的安全。8._指对主体访问和使用客体的情况进行记录和审查，以保证安全规则被正确执行，并帮助分析安全事故产生的原因。A安全授权 B安全管理 C安全服务 D安全审计（分数：2.00）A.B.C.D. 解析：安全审计是指对主体访问和使用客体的情况进行记录和审查，以保证安全规则被正确执行，并帮助分析安全事故产生的原因。安全审计是落实系统安全策略的重要机制和手段，通过安全审计识别与防止计算机网络系统内的攻击行为、追查计算机网络系统内的泄密行为。它是信息安全保障系统中的一个重要组成部分。具体包括两个方面的内容：(1)采用网络监控与入侵防范系统，识别
36、网络中各种违规操作与攻击行为，即时响应并进行阻断。(2)对信息内容和业务流程的审计，可以防止内部机密或敏感信息的非法泄漏和单位资产的流式。9.安全管理是信息系统安全能动性的组成部分，它贯穿于信息系统规划、设计、运行和维护的各阶段。安全管理中的介质安全属于_。A技术安全 B管理安全 C物理安全 D环境安全（分数：2.00）A.B.C. D.解析：网络安全的层次可以分为物理安全、控制安全、服务安全、协议安全。其中物理安全措施包括环境安全、设施和设备安全(设备管理包括设备的采购、使用、维修和存储管理，并建立详细资产清单：设备安全主要包括设备防盗、防毁、防电磁泄漏、防线路截获、抗电磁干扰及电源保护)、
37、介质安全(对介质及其数据进行安全保护，防止损坏、泄漏和意外失误)。10.安全审计是保障计算机系统安全的重要手段之一，其作用不包括_。A检测对系统的入侵B发现计算机的滥用情况C发现系统入侵行为和潜在的漏洞D保证可信网络内部信息不外泄（分数：2.00）A.B.C.D. 解析：安全审计的作用如下：(1)检测对系统的入侵，对潜在的攻击者起到震慑或警告作用。(2)发现计算机的滥用情况，对于已经发生的系统破坏行为提供有效的追纠证据。(3)为系统安全管理员提供有价值的系统使用日志，从而帮助系统安全管理员及时发现系统入侵行为或潜在的系统漏洞。(4)为系统安全管理员提供系统运行的统计日志，使系统安全管理员能够发
38、现系统性能上的不足或需要改进与加强的地方。而为了保护高安全度网络环境而产生的、可以确保把有害攻击隔离在可信网络之外，并保证可信网络内部信息不外泄的前提下，完成网间信息的安全交换的技术属于安全隔离技术。11.防火墙把网络划分为几个不同的区域，一般把对外提供网络服务的设备(如 WWW 服务器、FTP 服务器)放置于_区域。A信任网络 B非信任网络C半信任网络 DDMZ(非军事化区)（分数：2.00）A.B.C.D. 解析：传统边界防火墙主要有以下 4 种典型的应用：(1)控制来自因特网对内部网络的访问。(2)控制来自第三方局域网对内部网络的访问。(3)控制局域网内部不同部门网络之间的访问。(4)控
39、制对服务器中心的网络访问。而其中的第一项应用“控制来自因特网对内部网络的访问”是一种应用最广，也是最重要的防火墙应用环境。在这种应用环境下，防火墙主要保护内部网络不遭受因特网用户(主要是指非法的黑客)的攻击。在这种应用环境中，一般情况下防火墙网络可划分为三个不同级别的安全区域：(1)内部网络。这是防火墙要保护的对象，包括全部的企业内部网络设备及用户主机。这个区域是防火墙的可信区域(这是由传统边界防火墙的设计理念决定的)。(2)外部网络。这是防火墙要防护的对象，包括外部因特网主机和设备。这个区域为防火墙的非可信网络区域(同样也是由传统边界防火墙的设计理念决定的)。(3)DMZ(非军事区)。它是从
40、企业内部网络中划分的一个小区域，在其中就包括内部网络中用于公众服务的外部服务器，如 Web 服务器、邮件服务器、FTP 服务器和外部 DNS 服务器等，它们都是为因特网提供某种信息服务。在以上三个区域中，用户需要对不同的安全区域采取不同的安全策略。虽然内部网络和 DMZ 区都属于企业内部网络的一部分，但它们的安全级别(策略)是不同的。对于要保护的大部分内部网络，一般情况下禁止所有来自因特网用户的访问；而由企业内部网络划分出去的。DMZ 区，因需为因特网应用提供相关的服务，因此允许任何人对诸如 Web 服务器进行正常的访问。12.“需要时，授权实体可以访问和使用的特性”指的是信息安全的_。A保密
41、性 B完整性 C可用性 D可靠性（分数：2.00）A.B.C. D.解析：所有的信息安全技术都是为了达到一定的安全目标，其核心包括保密性、完整性、可用性、可控性和不可否认性 5 个安全目标。保密性是指阻止非授权的主体阅读信息。它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。对纸质文档信息，只需要保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要阻止非授权者对信息的阅读，还要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。完整性是指防止信息被未经授权地篡改。它是保护信息保持原始的状态，使信息保持其真实性
42、。如果这些信息被蓄意地修改、插入和删除等，形成虚假信息将带来严重的后果。可用性是指授权主体在需要信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。可控性是指对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统。不可否认性是指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。13.信息安全从社会层面来看，反映在_这三个方面。A网络空间的幂结构规律、自主参与规律和冲突规律B物理安全、数据安全和内容安全C网络空间中的舆论文化、社会行为和技术环境D机密性、完整性、可用性（分数：2.00）A.B.
43、C. D.解析：信息安全从社会层面的角度来看，反映网络空间的舆论文化、社会行为、技术环境三个方面。(1)舆论文化：互联网的高度开放性，使得网络信息得以迅速而广泛的传播，且难以控制，使得传统的国家舆论管制的平衡被轻易打破，进而冲击着国家安全。境内外敌对势力、民族分裂组织利用信息网络，不断散布谣言、制造混乱，推行与我国传统道德相违背的价值观。有害信息的失控会在意识形态、道德文化等方面造成严重后果，导致民族凝聚力下降和社会混乱，直接影响到国家现行制度和国家政权的稳固。(2)社会行为：有意识或针对信息及信息系统进行违法犯罪的行为，包括网络窃密、泄密、散播病毒、信息诈骗、为信息系统设置后门、攻击各种信息
44、系统等违法犯罪行为；控制或致瘫基础信息网络和重要信息系统的网络恐怖行为；国家间的对抗行为网络信息战。(3)技术环境：由于信息系统自身存在的安全隐患，而难以承受所面临的网络攻击，或不能在异常状态万运行。主要包括系统自身固有的技术脆弱性和安全功能不足；构成系统的技术核心、关键装备缺乏自主可控制；对系统的宏观与微观管理的技术能力薄弱等。14.网吧管理员小李发现局域网中有若干台电脑有感染病毒的迹象，这时应首先_，以避免病毒的进一步扩散。A关闭服务器B启动反病毒软件查杀C断开有嫌疑计算机的物理网络连接D关闭网络交换机（分数：2.00）A.B.C. D.解析：当发现局域网中有若干台电脑有感染病毒迹象时，网
45、吧管理员应该首先立即断开有嫌疑的计算机的物理网络连接，查看病毒的特征，看看这个病毒是最新的病毒，还是现有反病毒软件可以处理的。如果现有反病毒软件能够处理，只是该计算机没有安装反病毒软件或者禁用了反病毒软件，可以立即开始对该计算机进行查杀工作。如果是一种新的未知病毒，那只有求教于反病毒软件厂商和因特网，找到查杀或者防范的措施，并立即在网络中的所有计算机上实施。15.在构建信息安全管理体系中，应建立起一套动态闭环的管理流程，这套流程指的是_。A评估响应防护评估 B检测分析防护检测C评估防护响应评估 D检测评估防护检测（分数：2.00）A. B.C.D.解析：信息安全管理体系的建立是一个目标叠加的过
46、程，是在不断发展变化的技术环境中进行的，是一个动态的、闭环的风险管理过程；要想获得有效的成果，需要从评估、响应、防护，到再评估。这些都需要企业从高层到具体工作人员的参与和重视，否则只能是流于形式与过程，起不到真正有效的安全控制的目的和作用。16.某单位在制定信息安全策略时采用的下述做法中，正确的是_。A该单位将安全目标定位为“系统永远不停机、数据永远不丢失、网络永远不瘫痪、信息永远不泄密”B该单位采用了类似单位的安全风险评估结果来确定本单位的信息安全保护等级C该单位的安全策略由单位授权完成制定，并经过单位的全员讨论修订D该单位为减小未经授权的修改、滥用信息或服务的机会，对特定职责和责任领域的管
47、理和执行功能实施职责合并（分数：2.00）A.B.C. D.解析：安全策略是指人们为保护因为使用计算机业务应用信息系统可能招致来的对单位资产造成损失而进行保护的各种措施、手段，以及建立的各种管理制度、法规等。一个单位的安全策略决不能照搬别人的。一定是对本单位的计算机业务应用信息系统的安全风险(安全威胁)进行有效的识别、评估后，为如何避免单位的资产的损失，所采取的一切，包括各种措施、手段，以及建立的各种管理制度、法规等。安全策略涉及技术的和非技术的、硬件的和非硬件的、法律的和非法律的各个方面。一个单位要不要建立安全策略，实际上就是要不要抵御因为使用计算机业务应用信息系统可能招致来的风险(威胁)。答案一定是肯定的。所以，一个单位的安全策略。来源于单位的“安全风险(威胁)”，同时又是针对于单位的“安全风险(威胁)”来进行防护的。安全策略的归宿点(立脚点)就是单位的资产得到充分的保护。安全策略的核心内容就是“七定”：定方案、定岗、定位、定员、定目标、定制度、定工作流程。概括以上“七定”，可以归结一句话：“七定”的结果就是确定了
