1、软件水平考试（中级）系统集成项目管理工程师上午基础知识（信息安全）历年真题试卷汇编 1 及答案解析(总分：66.00，做题时间：90 分钟)一、选择题(总题数：33，分数：66.00)1.选择题下列各题 A、B、C、D 四个选项中，只有一个选项是正确的，请将此选项涂写在答题卡相应位置上，答在试卷上不得分。（分数：2.00）_2.(2009 年上半年)信息系统的安全属性包括(21)和不可抵赖性。（分数：2.00）A.保密性、完整性、可用性B.符合性、完整性、可用性C.保密性、完整性、可靠性D.保密性、可用性、可维护性3.(2009 年上半年)使用网上银行卡支付系统付款与使用传统信用卡支付系统付款
2、，两者的付款授权方式是不同的，下列论述正确的是(64)。（分数：2.00）A.前者使用数字签名进行远程授权，后者在购物现场使用手写签名的方式授权商家扣款B.前者在购物现场使用手写签名的方式授权商家扣款，后者使用数字签名进行远程授权C.两者都在使用数字签名进行远程授权D.两者都在购物现场使用手写签名的方式授权商家扣款4.(2009 年下半年)电子商务安全要求的四个方面是(24)。（分数：2.00）A.传输的高效性、数据的完整性、交易各方的身份认证和交易的不可抵赖性B.存储的安全性、传输的高效性、数据的完整性和交易各方的身份认证C.传输的安全性、数据的完整性、交易各方的身份认证和交易的不可抵赖性D
3、.存储的安全性、传输的高效性、数据的完整性和交易的不可抵赖性5.(2009 年下半年)应用数据完整性机制可以防止(25)。（分数：2.00）A.假冒源地址或用户地址的欺骗攻击B.抵赖做过信息的递交行为C.数据中途被攻击者窃听获取D.数据在途中被攻击者篡改或破坏6.(2009 年下半年)应用系统运行中涉及的安全和保密层次包括四层，这四个层次按粒度从粗到细的排列顺序是(26)。（分数：2.00）A.数据域安全、功能性安全、资源访问安全、系统级安全B.数据域安全、资源访问安全、功能性安全、系统级安全C.系统级安全、资源访问安全、功能性安全、数据域安全D.系统级安全、功能性安全、资源访问安全、数据域安
4、全7.(2009 年下半年)为了确保系统运行的安全，针对用户管理，下列做法不妥当的是(27)。（分数：2.00）A.建立用户身份识别与验证机制，防止非法用户进入应用系统B.用户权限的分配应遵循“最小特权”原则C.用户密码应严格保密，并定时更新D.为了防止重要密码丢失，把密码记录在纸质介质上8.(2010 年上半年)某机房部署了多级 UPS 和线路稳压器，这是出于机房供电的(24)需要。（分数：2.00）A.分开供电和稳压供电B.稳压供电和电源保护C.紧急供电和稳压供电D.不间断供电和安全供电9.(2010 年上半年)以下关于计算机机房与设施安全管理的要求，(25)是不正确的。（分数：2.00）
5、A.计算机系统的设备和部件应有明显的标记，并应便于去除或重新标记B.机房中应定期使用静电消除剂，以减少静电的产生C.进入机房的工作人员，应更换不易产生静电的服装D.禁止携带个人计算机等电子设备进入机房10.(2010 年上半年)Simple 企业应用系统为保证运行安全，只允许操作人员在规定的工作时间段内登录该系统进行业务操作，这种安全策略属于(26)层次。（分数：2.00）A.数据域安全B.功能性安全C.资源访问安全D.系统级安全11.(2010 年上半年)基于用户名和口令的用户入网访问控制可分为(27)三个步骤。（分数：2.00）A.用户名的识别与验证、用户口令的识别与验证、用户账号的默认限
6、制检查B.用户名的识别与验证、用户口令的识别与验证、用户权限的识别与控制C.用户身份识别与验证、用户口令的识别与验证、用户权限的识别与控制D.用户账号的默认限制检查、用户口令的识别与验证、用户权限的识别与控制12.(2010 年下半年)关于计算机机房安全保护方案的设计，以下说法错误的是(32)。（分数：2.00）A.某机房在设计供电系统时将计算机供电系统与机房照明设备供电系统分开B.某机房通过各种手段保障计算机系统的供电，使得该机房的设备长期处于 7*24 小时连续运转状态C.某公司在设计计算机机房防盗系统时，在机房布置了封闭装置，当潜入者触动装置时，机房可以从内部自动封闭，使盗贼无法逃脱D.
7、某机房采用焊接的方式设置安全防护地和屏蔽地13.(2010 年下半年)应用系统运行中涉及的安全和保密层次包括系统级安全、资源访问安全、功能性安全和数据域安全。以下关于这四个层次安全的论述，错误的是(33)。（分数：2.00）A.按粒度从粗到细排序为系统级安全、资源访问安全、功能性安全、数据域安全B.系统级安全是应用系统的第一道防线C.所有的应用系统都会涉及资源访问安全问题D.数据域安全可以细分为记录级数据域安全和字段级数据域安全14.(2010 年下半年)Simple 公司接到通知，上级领导要在下午对该公司机房进行安全检查，为此公司做了如下安排：了解检查组人员数量及姓名，为其准备访客证件安排专
8、人陪同检查人员对机房安全进行检查为了体现检查的公正，下午为领导安排了一个小时的自由查看时间根据检查要求，在机房内临时设置一处吸烟区，明确规定检查期间机房内其他区域严禁烟火上述安排符合GBT202692006 信息安全技术信息系统安全管理要求的做法是(34)。（分数：2.00）A.B.C.D.15.(2011 年上半年)电子商务发展的核心与关键问题是交易的安全性，目前安全交易中最重要的两个协议是(9)。（分数：2.00）A.S-HTTP 和 STTB.SEPP 和 SMTPC.SSL 和 SETD.SEPP 和 SSL16.(2011 年上半年)依据电子信息系统机房设计规范(GB50174-20
9、08)，对于涉及国家秘密或企业对商业信息有保密要求的电子信息系统机房，应设置电磁屏蔽室。以下描述中，不符合该规范要求的是(22)。（分数：2.00）A.所有进入电磁屏蔽室的电源线缆应通过电源滤波器进行B.进出电磁屏蔽室的网络线宜采用光缆或屏蔽缆线，光缆应带有金属加强芯C.非金属材料穿过屏蔽层时应采用波导管，波导管的截面尺寸和长度应满足电磁屏蔽的性能要求D.截止波导通风窗内的波导管宜采用等边六角形，通风窗的截面积应根据室内换气次数进行计算17.(2011 年上半年)信息安全的级别划分有不同的维度，以下级别划分正确的是(25)。（分数：2.00）A.系统运行安全和保密有 5 个层次，包括设备级安全
10、、系统级安全、资源访问安全、功能性安全和数据安全B.机房分为 4 个级别：A 级、B 级、C 级、D 级C.根据系统处理数据划分系统保密等级为绝密、机密和秘密D.根据系统处理数据的重要性，系统可靠性分 A 级和 B 级18.(2011 年上半年)系统运行安全的关键是管理，下列关于日常安全管理的做法，不正确的是(26)。（分数：2.00）A.系统开发人员和系统操作人员应职责分离B.信息化部门领导安全管理组织，一年进行一次安全检查C.用户权限设定应遵循“最小特权”原则D.在数据转储、维护时要有专职安全人员进行监督19.(2011 年上半年)在某次针对数据库的信息安全风险评估中，发现其中对财务核心数
11、据的逻辑访问密码长期不变。基于以上现象，下列说法正确的是(27)。（分数：2.00）A.该数据不会对计算机构成威胁，因此没有脆弱性B.密码和授权长期不变是安全漏洞，属于该数据的脆弱性C.密码和授权长期不变是安全漏洞，属于对该数据的威胁D.风险评估针对设施和软件，不针对数据20.(2011 年下半年)完整性是信息系统未经授权不能进行改变的特性，它要求保持信息的原样。下列方法中，不能用来保证应用系统完整性的措施是(24)。（分数：2.00）A.安全协议B.纠错编码C.数字签名D.信息加密21.(2011 年下半年)在信息系统安全技术体系中，环境安全主要指中心机房的安全保护。以下不属于该体系环境安全
12、内容的是(25)。（分数：2.00）A.设备防盗器B.接地和防雷击C.机房控制D.防电磁泄漏22.(2011 年下半年)物理安全是整个信息系统安全的前提，以下安全防护措施中不属于物理安全范畴的是(26)。（分数：2.00）A.安装烟感、温感报警系统，禁止工作人员在主机房内吸烟或者使用火源B.要求工作人员在主机房内工作时必须穿着防静电工装和防静电鞋，并定期喷涂防静电剂C.为工作人员建立生物特征信息库，并在主机房入口安装指纹识别系统，禁止未经授权人员进入主机房D.对因被解雇、退休、辞职或其他原因离开信息系统岗位的人员，收回所有相关证件、徽章、密匙和访问控制标记等23.(2011 年下半年)以下各项
13、措施中，不能够有效防止计算机设备发生电磁泄漏的是(27)。（分数：2.00）A.配备电磁干扰设备，且在被保护的计算机设备工作时不能关机B.设置电磁屏蔽室，将需要重点保护的计算机设备进行隔离C.禁止在屏蔽墙上打钉钻孔，除非连接的是带金属加强芯的光缆D.信号传输线、公共地线以及电源线上加装滤波器24.(2012 年上半年)下列关于电子信息机房的设计中，(24)不符合电子信息系统机房设计规范 GB50174-2008)的要求。（分数：2.00）A.机房采用二级、三级耐火等级的建筑材料，重要部位采用一级耐火等级的材料B.机房所有设备的金属外壳、各类金属管道、金属线糟、建筑物金属结构等结构等全部进行电位
14、连接并接地C.在机房吊顶上和活动地板下都设置火灾探测器D.主机房内绝缘体的静电电位不大于 1KV25.(2012 年上半年)系统运行安全和保护的层次按照粒度从粗到细排序为(26)。（分数：2.00）A.系统级安全，资源访问安全，数据域安全，功能性安全B.系统级安全，资源访问安全，功能性安全，数据域安全C.资源访问安全，系统级安全，数据域安全，功能性安全D.资源访问安全，系统级安全，功能性安全，数据域安全26.(2012 年上半年)以下不属于主动式攻击策略的是(27)。（分数：2.00）A.中断B.篡改C.伪造D.窃听27.(2012 年下半年)项目经理要求杨工在项目经理的工作站上装一个 Int
15、ernet 应用程序，该程序允许项目经理登录，并且可以远程安全地控制服务器，杨工应安装的应用程序为(20)。（分数：2.00）A.EmailB.FTPC.WebBrowserD.SSH28.(2012 年下半年)在信息系统安全管理中，业务流控制、路由选择控制和审计跟踪等技术主要用于提高信息系统的(25)。（分数：2.00）A.保密性B.可用性C.完整性D.不可抵赖性29.(2012 年下半年)根据信息安全技术信息系统安全通用性技术要求 GBT2720120069，信息系统安全的技术体系包括(26)。（分数：2.00）A.物理安全、运行安全、数据安全B.物理安全、网络安全、运行安全C.人员安全、
16、资源安全、过程安全D.方法安全、过程安全、工具安全30.(2012 年下半年)Simple 单位在机房建设和管理中采用的下列做法。(27)不符合电子信息系统机房设计规范 GB50174-2008)。（分数：2.00）A.计算机系统的设备和部件设置了明显的无法去除的标记。以防更换和查找脏物B.禁止携带移动电话、电子记事本等具有移动互联功能的个人物品进入机房C.主机房内设地漏，地漏下加设水封装置，并有防止水封破坏的措施D.为机房内设备供水的给排水干管和引入的支管为明敷，以便及时检修和更换31.(2012 年下半年)某高校准备建设一个容纳 50 位学生上机的机房，假设每一计算机系统及其辅助设备的投影
17、面积为 15 平方米，则该机房最小面积应该为(28)平方米。（分数：2.00）A.150B.375C.450D.52532.(2012 年下半年)应用系统安全等级中的可靠性等级由高到低分别为(29)。（分数：2.00）A.绝密、机密、秘密B.军用、商用、民用C.A 级、B 级、C 级D.访问级、修改级、控制级33.(2013 年上半年)应用系统运行的安全管理中心，数据域安全是其中非常重要的内容，数据域安全包括(20)。（分数：2.00）A.行级数据域安全，字段级数据域安全B.系统性数据域安全，功能性数据域安全C.数据资源安全，应用性数据安全D.组织级数据域安全，访问性数据域安全软件水平考试（中
18、级）系统集成项目管理工程师上午基础知识（信息安全）历年真题试卷汇编 1 答案解析(总分：66.00，做题时间：90 分钟)一、选择题(总题数：33，分数：66.00)1.选择题下列各题 A、B、C、D 四个选项中，只有一个选项是正确的，请将此选项涂写在答题卡相应位置上，答在试卷上不得分。（分数：2.00）_解析：2.(2009 年上半年)信息系统的安全属性包括(21)和不可抵赖性。（分数：2.00）A.保密性、完整性、可用性 B.符合性、完整性、可用性C.保密性、完整性、可靠性D.保密性、可用性、可维护性解析：3.(2009 年上半年)使用网上银行卡支付系统付款与使用传统信用卡支付系统付款，两
19、者的付款授权方式是不同的，下列论述正确的是(64)。（分数：2.00）A.前者使用数字签名进行远程授权，后者在购物现场使用手写签名的方式授权商家扣款 B.前者在购物现场使用手写签名的方式授权商家扣款，后者使用数字签名进行远程授权C.两者都在使用数字签名进行远程授权D.两者都在购物现场使用手写签名的方式授权商家扣款解析：4.(2009 年下半年)电子商务安全要求的四个方面是(24)。（分数：2.00）A.传输的高效性、数据的完整性、交易各方的身份认证和交易的不可抵赖性B.存储的安全性、传输的高效性、数据的完整性和交易各方的身份认证C.传输的安全性、数据的完整性、交易各方的身份认证和交易的不可抵赖
20、性 D.存储的安全性、传输的高效性、数据的完整性和交易的不可抵赖性解析：5.(2009 年下半年)应用数据完整性机制可以防止(25)。（分数：2.00）A.假冒源地址或用户地址的欺骗攻击B.抵赖做过信息的递交行为C.数据中途被攻击者窃听获取D.数据在途中被攻击者篡改或破坏 解析：解析：“假冒源地址或用户地址的欺骗攻击”对应的是“交易各方的身份认证”，应对办法是：认证技术，如 PKICA 数字证书。“抵赖做过信息的递交行为”对应的是“交易的不可抵赖性”，应对办法是：数字签名。“数据中途被攻击者窃听获取”对应的是“传输的安全性”，应对办法是：加密技术(各种对称、非对称密钥算法)。“数据在途中被攻击
21、者篡改或破坏”对应的是“数据的完整性”，应对办法是：数据完整性机制，如 HASH 校验(MD5、SHA、SDH 等算法)。6.(2009 年下半年)应用系统运行中涉及的安全和保密层次包括四层，这四个层次按粒度从粗到细的排列顺序是(26)。（分数：2.00）A.数据域安全、功能性安全、资源访问安全、系统级安全B.数据域安全、资源访问安全、功能性安全、系统级安全C.系统级安全、资源访问安全、功能性安全、数据域安全 D.系统级安全、功能性安全、资源访问安全、数据域安全解析：7.(2009 年下半年)为了确保系统运行的安全，针对用户管理，下列做法不妥当的是(27)。（分数：2.00）A.建立用户身份识
22、别与验证机制，防止非法用户进入应用系统B.用户权限的分配应遵循“最小特权”原则C.用户密码应严格保密，并定时更新D.为了防止重要密码丢失，把密码记录在纸质介质上 解析：解析：很多人都有类似的习惯，比如记不住保险柜的密码，索性在柜门上贴个小纸条。最小特权原则(PrincipleofLeastPrivilege)是系统安全中最基本的原则之一，是指“应限定系统中每个主体所必需的最小特权，确保可能的事故、错误、网络部件的篡改等原因造成的损失最小”。8.(2010 年上半年)某机房部署了多级 UPS 和线路稳压器，这是出于机房供电的(24)需要。（分数：2.00）A.分开供电和稳压供电B.稳压供电和电源
23、保护C.紧急供电和稳压供电 D.不间断供电和安全供电解析：解析：紧急供电：配置抗电压不足的基本设备、改进设备或更强设备，如基本 UPS、改进的 UPS、多级 UPS 和应急电源(发电机组)等。稳压供电：采用线路稳压器，防止电压波动对计算机系统的影响。9.(2010 年上半年)以下关于计算机机房与设施安全管理的要求，(25)是不正确的。（分数：2.00）A.计算机系统的设备和部件应有明显的标记，并应便于去除或重新标记 B.机房中应定期使用静电消除剂，以减少静电的产生C.进入机房的工作人员，应更换不易产生静电的服装D.禁止携带个人计算机等电子设备进入机房解析：解析：计算机系统的设备和部件应有明显的
24、无法去除的标记，以防更换和方便查找赃物。D 是正确的，“获准进入机房的人员，一般应禁止携带个人计算机等电子设备进入机房，其活动范围和操作行为应受到限制，并有机房接待人员负责和陪同”。10.(2010 年上半年)Simple 企业应用系统为保证运行安全，只允许操作人员在规定的工作时间段内登录该系统进行业务操作，这种安全策略属于(26)层次。（分数：2.00）A.数据域安全B.功能性安全C.资源访问安全D.系统级安全 解析：解析：常见的系统级安全策略包括敏感系统的隔离、访问口地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等。11.(2010
25、 年上半年)基于用户名和口令的用户入网访问控制可分为(27)三个步骤。（分数：2.00）A.用户名的识别与验证、用户口令的识别与验证、用户账号的默认限制检查 B.用户名的识别与验证、用户口令的识别与验证、用户权限的识别与控制C.用户身份识别与验证、用户口令的识别与验证、用户权限的识别与控制D.用户账号的默认限制检查、用户口令的识别与验证、用户权限的识别与控制解析：解析：访问控制的主要任务是保证网络资源不被非法使用和访问，包括入网访问控制、操作权限控制、目录安全控制、属性安全控制、网络服务器安全控制、网络监测、锁定控制和防火墙控制。入网访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够登
26、录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的默认限制检查。三道关卡中只要任何一关未过，该用户便不能进入该网络。12.(2010 年下半年)关于计算机机房安全保护方案的设计，以下说法错误的是(32)。（分数：2.00）A.某机房在设计供电系统时将计算机供电系统与机房照明设备供电系统分开B.某机房通过各种手段保障计算机系统的供电，使得该机房的设备长期处于 7*24 小时连续运转状态C.某公司在设计计算机机房防盗系统时，在机房布置了封闭装置，当潜入者触动装置时，机房可以从内部自动封闭
27、，使盗贼无法逃脱 D.某机房采用焊接的方式设置安全防护地和屏蔽地解析：解析：C 选项有明显错误，机房要防盗，但更要防破坏，盗贼困在机房内无法逃脱，可能会导致机房设备的损毁。13.(2010 年下半年)应用系统运行中涉及的安全和保密层次包括系统级安全、资源访问安全、功能性安全和数据域安全。以下关于这四个层次安全的论述，错误的是(33)。（分数：2.00）A.按粒度从粗到细排序为系统级安全、资源访问安全、功能性安全、数据域安全B.系统级安全是应用系统的第一道防线C.所有的应用系统都会涉及资源访问安全问题 D.数据域安全可以细分为记录级数据域安全和字段级数据域安全解析：解析：C 错，“程序资源访问控
28、制安全是最常见的应用系统安全问题，几乎所有的应用系统都会涉及这个安全问题”，注意用词：“几乎所有”和“所有”是不一样的。14.(2010 年下半年)Simple 公司接到通知，上级领导要在下午对该公司机房进行安全检查，为此公司做了如下安排：了解检查组人员数量及姓名，为其准备访客证件安排专人陪同检查人员对机房安全进行检查为了体现检查的公正，下午为领导安排了一个小时的自由查看时间根据检查要求，在机房内临时设置一处吸烟区，明确规定检查期间机房内其他区域严禁烟火上述安排符合GBT202692006 信息安全技术信息系统安全管理要求的做法是(34)。（分数：2.00）A.B.C. D.解析：解析：错，机
29、房出入应有指定人员负责，未经允许的人员不准进入机房；获准进入机房的来访人员，其活动范围应受限制，并有接待人员陪同。错，机房内严禁吸烟及带入火种和水源。15.(2011 年上半年)电子商务发展的核心与关键问题是交易的安全性，目前安全交易中最重要的两个协议是(9)。（分数：2.00）A.S-HTTP 和 STTB.SEPP 和 SMTPC.SSL 和 SET D.SEPP 和 SSL解析：解析：电子商务中常用的安全协议有： (1)安全套接层协议(SSL)。 (2)安全电子交易协议(sET)。 (3)增强的私密电子邮件(PEM)。 (4)安全多用途网际邮件扩充协议(S/MIE)。 (5)安全超文本传
30、输协议(S-HTTP)。 (6)三方域安全协议(3-DSecure)。 这其中最常用的就是 SSL 和SET。STT(SecureTransactionTechnology)和 SEPP(SecureElectronicPaymentProtoc01)都是过时的协议，现已很少使用。SMTP 是简单邮件传输协议，不是安全协议。此外，S-HTTP 与 HTTPS 并不是一回事儿。HTTPS(HypertextTransferProtocolSecure)是 HTTP 和 SSL 的组合，通俗地说，就是传输层使用 SSL 的HTTP、HTTPoverSSL。S-H1TP(SecureHypertex
31、tTransferProtoc01)是 HTTP 的安全增强版，在 RFC2660 中定义。1990 年代中期，HTTPS 与 S-HTlP 均已被开发出来，不过当时占据浏览器市场的 Netscape 和微软公司都强力支持 HTTPS，使得 HTTPS 最终成为 Internet 上安全通信的事实标准。16.(2011 年上半年)依据电子信息系统机房设计规范(GB50174-2008)，对于涉及国家秘密或企业对商业信息有保密要求的电子信息系统机房，应设置电磁屏蔽室。以下描述中，不符合该规范要求的是(22)。（分数：2.00）A.所有进入电磁屏蔽室的电源线缆应通过电源滤波器进行B.进出电磁屏蔽室
32、的网络线宜采用光缆或屏蔽缆线，光缆应带有金属加强芯 C.非金属材料穿过屏蔽层时应采用波导管，波导管的截面尺寸和长度应满足电磁屏蔽的性能要求D.截止波导通风窗内的波导管宜采用等边六角形，通风窗的截面积应根据室内换气次数进行计算解析：17.(2011 年上半年)信息安全的级别划分有不同的维度，以下级别划分正确的是(25)。（分数：2.00）A.系统运行安全和保密有 5 个层次，包括设备级安全、系统级安全、资源访问安全、功能性安全和数据安全B.机房分为 4 个级别：A 级、B 级、C 级、D 级C.根据系统处理数据划分系统保密等级为绝密、机密和秘密 D.根据系统处理数据的重要性，系统可靠性分 A 级
33、和 B 级解析：18.(2011 年上半年)系统运行安全的关键是管理，下列关于日常安全管理的做法，不正确的是(26)。（分数：2.00）A.系统开发人员和系统操作人员应职责分离B.信息化部门领导安全管理组织，一年进行一次安全检查 C.用户权限设定应遵循“最小特权”原则D.在数据转储、维护时要有专职安全人员进行监督解析：解析：系统运行的安全管理组织由单位主要领导人领导，不能隶属于计算机运行或应用部门。19.(2011 年上半年)在某次针对数据库的信息安全风险评估中，发现其中对财务核心数据的逻辑访问密码长期不变。基于以上现象，下列说法正确的是(27)。（分数：2.00）A.该数据不会对计算机构成威
34、胁，因此没有脆弱性B.密码和授权长期不变是安全漏洞，属于该数据的脆弱性 C.密码和授权长期不变是安全漏洞，属于对该数据的威胁D.风险评估针对设施和软件，不针对数据解析：解析：威胁可看成从系统外部对系统产生的作用，而导致系统功能及目标受阻的所有现象。而脆弱性则可以看成是系统内部的薄弱点。脆弱性是客观存在的，脆弱性本身没有实际的伤害，但威胁可以利用脆弱性发挥作用。常见的脆弱性有：“密码和授权长期不变”、“错误地选择和使用密码”。20.(2011 年下半年)完整性是信息系统未经授权不能进行改变的特性，它要求保持信息的原样。下列方法中，不能用来保证应用系统完整性的措施是(24)。（分数：2.00）A.
35、安全协议B.纠错编码C.数字签名D.信息加密 解析：21.(2011 年下半年)在信息系统安全技术体系中，环境安全主要指中心机房的安全保护。以下不属于该体系环境安全内容的是(25)。（分数：2.00）A.设备防盗器 B.接地和防雷击C.机房控制D.防电磁泄漏解析：22.(2011 年下半年)物理安全是整个信息系统安全的前提，以下安全防护措施中不属于物理安全范畴的是(26)。（分数：2.00）A.安装烟感、温感报警系统，禁止工作人员在主机房内吸烟或者使用火源B.要求工作人员在主机房内工作时必须穿着防静电工装和防静电鞋，并定期喷涂防静电剂C.为工作人员建立生物特征信息库，并在主机房入口安装指纹识别
36、系统，禁止未经授权人员进入主机房D.对因被解雇、退休、辞职或其他原因离开信息系统岗位的人员，收回所有相关证件、徽章、密匙和访问控制标记等 解析：23.(2011 年下半年)以下各项措施中，不能够有效防止计算机设备发生电磁泄漏的是(27)。（分数：2.00）A.配备电磁干扰设备，且在被保护的计算机设备工作时不能关机B.设置电磁屏蔽室，将需要重点保护的计算机设备进行隔离C.禁止在屏蔽墙上打钉钻孔，除非连接的是带金属加强芯的光缆 D.信号传输线、公共地线以及电源线上加装滤波器解析：解析：C 选项有两处错误：不得在屏蔽墙上打钉钻孔，不得在波导管以外或不经过过滤器对屏蔽机房内外连接任何线缆。进出电磁屏蔽
37、室的网络线宜采用光缆或屏蔽缆线，光缆不应带有金属加强芯。24.(2012 年上半年)下列关于电子信息机房的设计中，(24)不符合电子信息系统机房设计规范 GB50174-2008)的要求。（分数：2.00）A.机房采用二级、三级耐火等级的建筑材料，重要部位采用一级耐火等级的材料 B.机房所有设备的金属外壳、各类金属管道、金属线糟、建筑物金属结构等结构等全部进行电位连接并接地C.在机房吊顶上和活动地板下都设置火灾探测器D.主机房内绝缘体的静电电位不大于 1KV解析：25.(2012 年上半年)系统运行安全和保护的层次按照粒度从粗到细排序为(26)。（分数：2.00）A.系统级安全，资源访问安全，
38、数据域安全，功能性安全B.系统级安全，资源访问安全，功能性安全，数据域安全 C.资源访问安全，系统级安全，数据域安全，功能性安全D.资源访问安全，系统级安全，功能性安全，数据域安全解析：解析：按粒度从粗到细的排序是：系统级安全、资源访问安全、功能性安全、数据域安全。程序资源访问控制安全是最常见的应用系统安全问题，几乎所有的应用系统都会涉及这个安全问题。26.(2012 年上半年)以下不属于主动式攻击策略的是(27)。（分数：2.00）A.中断B.篡改C.伪造D.窃听 解析：解析：计算机网络上的通信面临以下的四种威胁：(1)截获从网络上窃听他人的通信内容。(2)中断有意中断他人在网络上的通信。(
39、3)篡改故意篡改网络上传送的报文。(4)伪造伪造信息在网络上传送。截获属于被动攻击；中断、篡改、伪造属于主动攻击。被动攻击：截获信息的攻击，攻击者只是观察和分析某一个 PDU(协议数据单元)而不干扰信息流。主动攻击：更改信息和拒绝用户使用资源的攻击，攻击者对某个连接中通过的 PDU 进行各种处理。27.(2012 年下半年)项目经理要求杨工在项目经理的工作站上装一个 Internet 应用程序，该程序允许项目经理登录，并且可以远程安全地控制服务器，杨工应安装的应用程序为(20)。（分数：2.00）A.EmailB.FTPC.WebBrowserD.SSH 解析：解析：SSH 为 Secure
40、Shell 的缩写，即安全外壳协议，SSH 是专为远程登录会话和其他网络服务提供安全性的协议，利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。28.(2012 年下半年)在信息系统安全管理中，业务流控制、路由选择控制和审计跟踪等技术主要用于提高信息系统的(25)。（分数：2.00）A.保密性B.可用性 C.完整性D.不可抵赖性解析：解析：可用性是应用系统信息可被授权实体访问并按需求使用的特性。即在需要时，信息服务允许授权用户或实体使用的特性，或者是网络部分受损或需要降级使用时，仍能为授权用户提供有效服务的特性。可用性是应用系统面向用户的安全性能。可用性一般用系统正常使用时间和整个工
41、作时间之比来度量。可用性还应该满足以下要求：身份识别与确认。访问控制(对用户的权限进行控制，只能访问相应权限的资源，防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制)。业务流控制(利用均分负荷方法，防止业务流量过度集中而引起网络阻塞)。路由选择控制(选择那些稳定可靠的子网、中继线或链路等)。审计跟踪(把应用系统中发生的所有安全事件情况存储在安全审计跟踪之中，以便分析原因，分清责任，及时采取相应的措施。审计跟踪的信息主要包括事件类型、被管信息等级、事件时间、事件信息、事件回答以及事件统计等方面的信息)。29.(2012 年下半年)根据信息安全技术信息系统安全通用性技术要求 GBT2
42、720120069，信息系统安全的技术体系包括(26)。（分数：2.00）A.物理安全、运行安全、数据安全 B.物理安全、网络安全、运行安全C.人员安全、资源安全、过程安全D.方法安全、过程安全、工具安全解析：30.(2012 年下半年)Simple 单位在机房建设和管理中采用的下列做法。(27)不符合电子信息系统机房设计规范 GB50174-2008)。（分数：2.00）A.计算机系统的设备和部件设置了明显的无法去除的标记。以防更换和查找脏物B.禁止携带移动电话、电子记事本等具有移动互联功能的个人物品进入机房C.主机房内设地漏，地漏下加设水封装置，并有防止水封破坏的措施D.为机房内设备供水的
43、给排水干管和引入的支管为明敷，以便及时检修和更换 解析：解析：机房的防水措施应考虑如下几个方面：与主机房无关的给排水管道不得穿过主机房。主机房内如设有地漏，地漏下应加设水封装置，并有防止水封破坏的措施。机房内的设备需要用水时，其给排水干管应暗敷，引入支管宜暗装。管道穿过主机房墙壁和楼板处，应设置套管，管道与套管之间应采取可靠的密封措施。机房不宜设置在用水设备的下层。机房房项和吊顶应有防渗水措施。安装排水地漏处的楼地面应低于机房内的其他楼地面。31.(2012 年下半年)某高校准备建设一个容纳 50 位学生上机的机房，假设每一计算机系统及其辅助设备的投影面积为 15 平方米，则该机房最小面积应该
44、为(28)平方米。（分数：2.00）A.150B.375 C.450D.525解析：解析：依据电子计算机机房设计规范 GB50174-2008)：主机房的使用面积应根据电子信息设备的数量、外形尺寸和布置方式确定，并应预留今后业务发展需要的使用面积。在对电子信息设备外形尺寸不完全掌握的情况下，主机房的使用面积可按下式确定：(1)当电子信息设备已确定规格时，可按下式计算：A=KS，式中，A主机房使用面积(m 2 )：K系数，可取 57；S电子信息设备的投影面积(m 2 )。(2)当电子信息设备尚未确定规格时，可按下式计算：A=FN；式中，F单台设备占用面积，可取 3555(m 2 台)；N主机房内
45、所有设备(机柜)的总台数。所以依题意：A=KS=55015=375(m 2 )(最小面积)。K=5 的通俗理解：每个设备自身 1 个投影面积+人员占 2 个投影面积+边缘过道占 2 个投影面积。32.(2012 年下半年)应用系统安全等级中的可靠性等级由高到低分别为(29)。（分数：2.00）A.绝密、机密、秘密B.军用、商用、民用C.A 级、B 级、C 级 D.访问级、修改级、控制级解析：解析：安全等级可分为保密等级和可靠性等级两种，系统的保密等级与可靠性等级可以不同。保密等级应按有关规定划为绝密、机密和秘密。可靠性等级可分为三级，对可靠性要求最高的为 A 级，系统运行所要求的最低限度可靠性
46、为 C 级，介于中间的为 B 级。密码等级及适用范围：(1)商用密码国内企业、事业单位。(2)普用密码政府、党政部门。(3)绝密密码中央和机要部门。(4)军用密码军队。选项 A 说的是保密的密级，选项 B 说的是密码分类等级。33.(2013 年上半年)应用系统运行的安全管理中心，数据域安全是其中非常重要的内容，数据域安全包括(20)。（分数：2.00）A.行级数据域安全，字段级数据域安全 B.系统性数据域安全，功能性数据域安全C.数据资源安全，应用性数据安全D.组织级数据域安全，访问性数据域安全解析：解析：数据域安全包括两个层次：其一是行级数据域安全，即用户可以访问哪些业务记录，一般以用户所在单位为条件进行过滤。其二是字段级数据域安全，即用户可以访问业务记录的哪些字段。
