CNITSEC CISM case studies
CNITSEC CISM · Put your knowledge to work in context.
CNITSEC CISM（注册信息安全员）是由中国信息安全测评中心（CNITSEC）面向国内从业人员推出的信息安全资质认证，定位于安全管理与实务能力，而不是纯技术攻防。它适合刚进入安全管理岗位的人员、承担等保与内控职责的运维和审计人员，以及需要把安全要求落到制度与流程中的项目负责人。考试为中文单选题，覆盖安全治理与管理、风险管理、信息安全管理体系（ISMS）、安全技术与控制措施、安全事件管理与运营、法律法规与合规等模块，强调在组织情境中判断“应当先做什么”，而非记忆产品参数。备考建议按三条线并行：一是通读 GB/T 22080（ISO/IEC 27001）与 GB/T 20984 等基础标准，建立体系与风险评估的概念框架；二是结合《网络安全法》《数据安全法》《个人信息保护法》以及等级保护制度，理解合规义务如何转化为控制措施；三是通过情境题训练答题视角，习惯从管理层与流程角度而非单一技术手段作答。本页内容为学习整理，不代表官方，考试科目设置、题型与安排请以中国信息安全测评中心发布的最新通知为准。. Topics on this exam: Information Security Governance and Management, Information Security Risk Management, Information Security Management System (ISMS), Information Security Technology and Controls, Information Security Incident Management and Operations, and Information Security Laws, Regulations and Compliance. The CNITSEC CISM case studies are 5 cases and about 685 words.
1收购后两家公司安全治理架构的整合归属之争
某大型制造集团 A 于 2024 年完成对 SaaS 服务商 B 的收购。A 的 CISO 向 CIO 汇报，安全团队 18 人，年度安全预算占 IT 预算 4.2%，管理方式以合规驱动的年度检查为主；B 的安全负责人直接向 B 的 CEO（现为集团副总裁）汇报，团队 6 人，采用 DevSecOps 与持续交付，客户合同中写有“供应商须维持独立的安全治理与审计机制”条款。集团要求在 6 个月内完成治理整合，并统一风险登记册与 KPI 口径。整合中的冲突：B 的漏洞修复 SLA 达标率 92%，集团为 78%；集团策略要求所有生产系统每年做一次渗透测试，而 B 每周多次发布；B 拒绝把安全审批并入集团变更委员会，称会阻塞交付。两家公司的风险登记册分别使用 3×3 与 5×5 刻度，无法直接汇总。B 有 11 家客户在合同中约定年度渗透测试报告与安全事件 24 小时告知义务。集团正在投标一家欧洲客户，供应商问卷要求披露集团层面的治理结构与认证状态。CIO 主张把 B 的安全团队并入集团安全部实线汇报，集团副总裁坚持保留独立汇报线，董事会风险委员会要求 CISO 在下次会议提交整合建议。. 作为集团 CISO，你提交给董事会风险委员会的治理整合建议应包含哪些核心判断？请说明汇报线设计、决策权划分，以及如何兼顾客户合同承诺。.
174 words, under 1 min2超出风险偏好的遗留系统风险接受申请
某城市商业银行的核心对账系统仍运行在 2023 年 10 月已结束厂商支持的 Windows Server 2012 R2 上，日均处理 4.3 万笔跨行对账，通过专线与 3 家清算机构对接。IT 评估迁移到受支持平台需 14 个月、预算 380 万元，且属于需向监管报备的重大变更。安全团队测算：单次数据泄露或对账错误事件的损失约 1400 万元，当前年发生概率约 30%，年化损失期望 ALE 约 420 万元；网络安全保险最高赔付 500 万元，免赔 50 万元，且明确不覆盖监管罚款与业务中断损失。该系统另有一个仅对内部开放的 Web 管理界面，未接入 SIEM，日志本地留存 7 天。风险登记册中该条目上次更新为 9 个月前，未记录任何补偿控制。监管近期发布软件供应链安全指引，要求不得使用已停止安全更新的软件版本，确有困难的应制定并报备替代计划。业务部门负责人提交为期 12 个月的风险接受申请，理由是“无可行替代方案、迁移将影响季度结算”。集团风险偏好声明写明：“不接受可能导致客户资金损失的高风险；不接受无支持的软件运行于涉及资金清算的路径。”风险委员会要求 CISO 出具意见。. ALE 420 万元的测算应如何被质疑与使用？保险在其中起什么作用？.
136 words, under 1 min3监督审核前的认证范围争议与严重不符合
某医疗信息服务公司持有 ISO/IEC 27001:2022 认证，证书范围为“为医院提供云 EHR 平台的开发与运维（总部及两个数据中心）”，目前处于第二年的监督审核周期，审核预约在 6 周后。内审刚刚结束，开出 1 项严重不符合：访问权限定期复核在过去 12 个月未执行，涉及 240 个账户，其中 37 个属于已离职或已转岗人员；另有 3 项一般不符合。管理评审上一次召开是 11 个月前。3 个月前，公司用收购来的团队在另一座城市上线了一个 SaaS 子产品，部署在同一云账户、共用同一数据库集群与账户体系。2 个月前，公司把一级 Help Desk 外包给第三方，外包商使用自有工单系统，医院通过邮件提交的含患者诊断信息的截图附件就存放在该系统内。公司规模 620 人，安全专职人员 3 人，管理者代表同时负责等级保护测评整改。公司希望把上述两块排除在认证范围之外，以降低本次审核的复杂度、避免范围变更带来的额外审核人日。认证机构规则要求范围变更须在审核前申报。内审报告未包含严重不符合的根本原因分析，纠正措施计划只写了“加强培训并在 30 天内完成复核”。. 新增 SaaS 子产品与外包 Help Desk 是否应纳入认证范围？请说明判断依据，以及审核前应采取的动作。.
112 words, under 1 min4无法实施 MFA 的 SCADA 历史服务器的验收决策
某能源集团的 OT/IT 融合项目进入验收阶段。一台用于采集 12 座变电站遥测数据的 SCADA 历史数据服务器（historian）运行供应商定制系统：供应商书面确认不支持多因素认证，禁止安装第三方安全代理，否则保修与技术支持失效。该系统使用一个本地管理员账户，密码 8 位、90 天轮换，由 3 名运维人员共享，远程维护经供应商提供的 VPN 通道进入。企业安全基线要求：高价值资产启用 MFA、日志集中留存 180 天、EDR 全覆盖、高危漏洞 15 天内修复。现状：historian 与企业 IT 处于同一 VLAN，未做分段；未接入 SIEM，日志本地保存 7 天；过去 6 个月 EDR 在该主机上误报两次，运维人员曾临时卸载代理以恢复采集。该主机在 CMDB 中标记为“高价值”。供应商称下一代产品将在 18 个月后支持 MFA。监控团队担心分段会造成遥测数据采集中断。集团上月刚发生一起供应商 VPN 账号泄露导致的横向移动事件（未波及 OT）。该项目已列入集团年度重点工程，延期将影响监管报送的可靠性指标。安全团队被要求在两周内给出结论：强制整改、接受例外，还是实施补偿控制后附条件验收。. 共享账户与 EDR 被临时卸载这两个现象，分别暴露了什么控制问题？如何在不影响生产的前提下解决？.
126 words, under 1 min5勒索软件事件中的赎金、通报与恢复排序
某全国性连锁零售企业，周四 02:10 SIEM 与 EDR 同时告警：文件服务器出现大量文件改名并附加 .locked 扩展名。06:00 确认受影响范围包括门店 POS 后台对账服务、财务共享盘与备份服务器--备份目录位于同一域内且已被加密，离线磁带最近一次成功备份是 5 周前，此前两次作业因磁带库故障静默失败且未告警。攻击者留下勒索信，索要 180 万美元等值加密货币，限 96 小时，并声称已窃取 3 TB 数据，附有少量会员数据样本。企业有 320 家门店、约 200 万名会员，会员数据包括姓名、手机号、部分订单与收货地址，日均营业额 900 万元。06:30 起部分门店无法完成对账，仅能现金交易。取证人员在跳板机上发现攻击者留下的 3 个本地账户。域管理员账户使用同一密码已 3 年未更换，VPN 未启用 MFA。企业在中国境内运营，未在境外处理个人信息，上月刚通过等级保护三级测评。保险公司要求在任何付款前 24 小时通知。董事会要求 CISO 在 24 小时内回答三个问题。. 先纠正问题框架 ：支付不是技术决策，而是董事会层面的业务、法律与声誉决策。CISO 提供事实与概率，不单独决定。 支付前必须验证的三件事 ：① 用少量样本文件测试解密器是否真的有效（很多团伙的解密器不可靠，尤其是被多家团伙重复加密的环境）；② 独立验证“已窃取 3 TB 数据”的说法（样本文件、泄露站点、谈判记录），不要把对方的时限施压当作事实；③ 核对钱包地址与团伙是否在制裁名单，评估支付是否触及制裁合规，同时确认保险条款（是否覆盖赎金、是否以通知执法为前提）。 业务对比 ：真正的比较对象是“支付”与“恢复时间”。离线磁带是 5 周前，重建 320 家门店的对账能力需要多久？如果 72 小时内能用降级流程恢复现金流（离线 POS、限额、人工对账、延长退货窗口），支付的业务理由会大幅减弱。 建议 ：以不支付为基线、并行恢复；只有在业务中断损失显著超过赎金且恢复无望时才重新讨论，且必须由董事会书面决策并记录依据。支付不消除风险：不保证解密、可能再次被勒索、可能被认定为资助犯罪，并会显著加重后续的监管与客户诉讼。 流程要求 ：无论是否支付，都应在付款前 24 小时通知保险经纪，同步联系执法，保留全部谈判与决策记录。.
137 words, under 1 min