I85PREP
⌘ K
CNITSEC CISM study materials
CNITSEC CISM study resources

CNITSEC CISM practice questions

One question at a time. Build your CNITSEC CISM understanding.

First 50 of 200 questions. Each one lists the choices, the correct answer, and an explanation. The checker at the top of this page saves progress in this browser when it is available.

Continue in the practice tool above to load more questions, 50 at a time.

Question 1Information Security Governance and Management

在信息安全管理体系（ISMS）中，信息安全治理最核心的目标是什么？

  1. 由信息技术部门独立完成全部安全技术配置
  2. 将所有安全事件的处理时限压缩到最短
  3. 确保信息安全活动与组织战略目标保持一致并实现风险与资源的平衡 Correct answer.
  4. 把安全预算集中投入到最新的防护产品采购

Explanation

信息安全治理关注的是方向与决策层面，即通过战略对齐、价值交付、风险管理和绩效度量，使安全投入服务于组织目标。技术配置、事件响应时限和产品采购都属于管理或运营层面的执行活动，不能代表治理的核心目标。

Question 2Information Security Governance and Management

某组织董事会要求建立信息安全治理结构。下列哪一项最恰当地描述了董事会在该结构中的职责？

  1. 直接负责防火墙规则与入侵检测策略的日常维护
  2. 承担所有安全事件的现场处置与技术取证工作
  3. 编写并维护应用系统的源代码安全规范
  4. 审批信息安全战略并监督其与业务风险偏好的一致性 Correct answer.

Explanation

董事会层面的治理职责是设定方向、批准战略、监督绩效并确保风险在可接受范围内，属于监督与问责职能。具体的技术运维、事件处置和编码规范制定属于管理层和执行层的职责。

Question 3Information Security Governance and Management

组织正在制定信息安全方针文件体系。按照常见的层级结构，下列哪一项通常处于最顶层？

  1. 总体信息安全方针 Correct answer.
  2. 具体系统的操作手册
  3. 终端防病毒软件配置指南
  4. 某次渗透测试的详细报告

Explanation

方针体系一般分为方针、标准、程序、指南四个层次，总体信息安全方针位于最顶层，阐明管理层意图与原则。操作手册、配置指南属于程序或指南层，测试报告则是执行记录，均不在顶层。

Question 4Information Security Governance and Management

在职责分离设计中，某员工同时拥有生产系统的开发权限和上线部署权限。从治理角度看，这主要带来什么风险？

  1. 该员工会占用更多服务器资源影响系统性能
  2. 该员工可能因工作负荷过重而降低代码编写效率
  3. 该员工可在未经独立审查的情况下将未授权代码投入生产 Correct answer.
  4. 该员工需要接受更多的安全培训从而增加成本

Explanation

职责分离的核心是防止同一人同时具备实施变更和批准或部署变更的能力，否则舞弊和错误都难以被独立发现。效率、培训成本和资源占用虽然也是管理关注点，但与职责分离要控制的风险性质不同。

Question 5Information Security Governance and Management

某企业依据 ISO/IEC 27001 建立 ISMS。下列哪一项最能体现该标准所要求的持续改进机制？

  1. 一次性完成风险评估后永久归档不再更新
  2. 定期开展内部审核与管理评审并据此采取措施 Correct answer.
  3. 仅在发生重大安全事件后才修订安全方针
  4. 每年更换一次全部安全技术产品供应商

Explanation

ISO/IEC 27001 采用计划-实施-检查-改进的循环，要求通过内部审核、管理评审和纠正措施持续改进体系有效性。一次性评估、被动修订和频繁更换供应商都不构成体系化的持续改进。

Question 6Information Security Governance and Management

组织在制定信息安全方针时，下列哪一项最应作为方针内容的直接依据？

  1. 竞争对手公开宣传的安全口号
  2. 行业展会上了解到的热门技术
  3. 业务目标与经批准的风险偏好 Correct answer.
  4. 安全团队负责人个人的技术偏好

Explanation

信息安全方针必须服务于业务目标，并在组织明确的风险偏好范围内界定安全要求与承诺。热门技术、竞争对手口号和个人偏好都缺乏与组织风险状况的可靠关联。

Question 7Information Security Governance and Management

在信息安全治理中，风险偏好（risk appetite）的含义是什么？

  1. 组织已购买保险覆盖的风险金额上限
  2. 组织对已发生事件进行赔偿的最高额度
  3. 组织能够识别出的全部风险清单
  4. 组织为实现目标而愿意接受的风险数量与类型 Correct answer.

Explanation

风险偏好表达组织在追求目标过程中愿意承受的风险水平与种类，是风险处置决策的基准。风险清单、保险覆盖额度和赔偿额度都是具体工具或财务安排，不能等同于风险偏好。

Question 8Information Security Governance and Management

某组织的高管认为信息安全管理只是安全部门的职责。作为信息安全经理，最恰当的应对是什么？

  1. 向高管说明安全是全员共担的治理责任并推动业务部门参与 Correct answer.
  2. 在未获授权的情况下自行增设跨部门安全岗位
  3. 接受该观点并缩减其他部门的安全职责以明确边界
  4. 把全部安全控制措施外包给第三方以转移责任

Explanation

信息安全治理要求明确安全是管理层与业务部门共同的责任，安全部门承担协调与专业支持角色。接受错误观点、外包控制措施或擅自增设岗位都不能解决责任归属问题，后者还超越了职权。

Question 9Information Security Governance and Management

组织拟建立信息安全关键绩效指标（KPI）。下列哪一项最能反映治理层关注的安全管理有效性？

  1. 安全团队每月加班总小时数
  2. 关键风险处置计划按期完成的比例 Correct answer.
  3. 员工在内部论坛的发帖数量
  4. 安全部门办公室的座位使用率

Explanation

有效的 KPI 应可度量、与目标相关并能反映控制与风险管理的成效，风险处置计划的按期完成率直接体现管理执行力。加班时长、座位使用率和发帖数量与安全目标缺乏逻辑关联。

Question 10Information Security Governance and Management

组织在评估一项新业务上线带来的信息安全风险时，发现残余风险高于既定容忍度。按照治理原则，下一步最恰当的做法是什么？

  1. 暂停全部业务系统运行直至风险彻底消除
  2. 由安全工程师单方面批准上线并承担后果
  3. 由项目组自行决定忽略该风险以按时上线
  4. 由具备相应权限的管理层决定接受、缓解或拒绝该风险 Correct answer.

Explanation

当残余风险超出容忍度时，应由拥有相应授权和问责的管理层基于风险偏好作出接受、缓解或拒绝的决策。项目组无权忽略风险，工程师个人不能替代组织决策，而全面停机属于过度反应。

Question 11Information Security Governance and Management

关于信息安全方针的发布与沟通，下列哪一项做法最符合治理要求？

  1. 在网站上公开后不再进行任何内部宣贯
  2. 只在年度审计前临时发给相关人员签署
  3. 由安全部门起草后仅在部门内部留存备查
  4. 由最高管理者批准发布并向全体员工传达和培训 Correct answer.

Explanation

方针需经最高管理者批准以体现管理层承诺，并通过传达与培训确保相关人员知悉并理解其义务。仅在部门留存、公开后不宣贯或审计前临时签署都无法形成有效沟通。

Question 12Information Security Governance and Management

某组织在制定信息安全预算时，管理层要求将投入与风险敞口挂钩。下列哪种方法最符合这一要求？

  1. 按各部门人数平均分配全部安全预算
  2. 依据风险评估结果对高风险领域优先配置控制资源 Correct answer.
  3. 优先采购市场宣传力度最大的安全产品
  4. 沿用上一年度预算金额不做任何调整

Explanation

以风险为导向的资源配置要求依据风险评估识别高风险领域，并将有限资源优先投向能显著降低风险的控制措施。平均分配、简单沿用和依据宣传采购都缺乏风险依据。

Question 13Information Security Governance and Management

组织内审发现某部门长期未执行既定的访问权限复核程序。从治理角度看，最恰当的后续行动是什么？

  1. 将该问题从审计记录中删除以避免重复出现
  2. 仅在内审报告中记录问题而不通知相关部门
  3. 要求该部门制定纠正措施并由管理层跟踪验证其有效性 Correct answer.
  4. 立即解雇该部门负责访问审批的主管

Explanation

对不符合项应要求责任部门分析原因、制定纠正措施，并由管理层跟踪验证，形成闭环管理。不通知、直接解雇或删除记录都破坏了改进与问责机制。

Question 14Information Security Governance and Management

关于信息安全治理与信息安全管理的关系，下列描述最准确的是哪一项？

  1. 治理与管理是同一概念，可以互换使用
  2. 管理确定战略方向，治理负责日常技术运维
  3. 治理确定方向与监督机制，管理负责在既定方向下执行控制活动 Correct answer.
  4. 治理只适用于监管行业，管理适用于所有组织

Explanation

治理关注决策权、方向设定与监督问责，管理则是在治理确定的框架内规划、实施和运行控制措施。二者是不同层次但相互衔接的职能，不能互换，也不因行业而异。

Question 15Information Security Governance and Management

某组织计划将核心业务系统迁移至云服务商。在治理层面，下列哪一项最应优先明确？

  1. 云服务中的安全责任划分与组织的最终问责归属 Correct answer.
  2. 云服务商机房的装修风格与工位布局
  3. 云服务商销售团队的人员规模
  4. 云平台管理员使用的显示器品牌

Explanation

采用云服务时，责任共担模型下的职责边界必须清晰界定，且组织对自身信息安全的最终问责不能外包。装修、设备品牌和销售团队规模与安全治理目标无关。

Question 16Information Security Governance and Management

组织在制定可接受使用方针时，下列哪一项内容最有助于其可执行性？

  1. 使用大量法律术语但不指明适用范围
  2. 明确违规情形对应的处理措施与责任部门 Correct answer.
  3. 规定所有员工必须自行判断是否合规
  4. 仅罗列推荐使用的最佳实践而不设约束

Explanation

可接受使用方针需要明确适用范围、允许与禁止的行为以及违规后果和处理责任，才能被有效执行。仅有建议、术语晦涩或把判断责任完全推给员工都会削弱可执行性。

Question 17Information Security Governance and Management

某组织拟设立信息安全指导委员会。下列哪一项最能使该委员会有效发挥治理作用？

  1. 由外部顾问组成且不向管理层汇报
  2. 由安全工程师组成且仅负责技术方案评审
  3. 由临时实习生组成并每季度轮换
  4. 由业务与高管层代表组成并拥有资源与优先级决策权 Correct answer.

Explanation

治理委员会需要跨业务的高层代表和实际决策权，才能协调优先级、分配资源并推动问责。纯技术组成、缺乏汇报关系或人员频繁轮换都会削弱其治理效力。

Question 18Information Security Governance and Management

组织在评估信息安全控制措施时采用成本效益分析。下列哪种情形最支持追加一项新控制措施？

  1. 预期降低的风险损失显著高于实施与运维成本 Correct answer.
  2. 该措施能够增加安全团队的技术复杂度
  3. 该控制措施在同行业中被广泛宣传
  4. 供应商承诺该产品永不需要维护

Explanation

成本效益分析要求比较控制措施带来的风险降低价值与实施运维成本，当前者明显更高时才具备经济合理性。宣传热度、技术复杂度和绝对承诺都不是合理依据。

Question 19Information Security Governance and Management

某组织的高管层要求安全团队在不增加预算的前提下承担更多合规工作。作为信息安全经理，最恰当的治理回应是什么？

  1. 未经批准挪用其他项目的预算填补缺口
  2. 默默接受要求并让团队长期超负荷工作
  3. 提交基于风险的资源缺口分析供管理层决策优先级 Correct answer.
  4. 直接拒绝并停止所有合规相关工作

Explanation

资源约束属于治理层需要决策的优先级问题，安全经理应提供基于风险的缺口分析，帮助管理层在知情前提下取舍。默默承受、擅自挪用或全面停工都违背治理与问责原则。

Question 20Information Security Governance and Management

组织在并购一家新公司后需要整合其信息安全管理体系。从治理角度，下列哪一步最应最先完成？

  1. 直接沿用收购方的全部技术配置
  2. 立即统一更换所有终端设备型号
  3. 马上关闭被收购方的全部信息系统
  4. 评估双方安全治理结构、风险偏好与方针的差异并确定整合原则 Correct answer.

Explanation

整合应始于治理层面的对齐，包括治理结构、风险偏好和方针差异的评估，据此确定整合原则与路线图。设备更换、系统关闭和技术配置沿用都属于缺乏评估的战术动作，可能带来业务中断风险。

Question 21Information Security Governance and Management

某组织发现其安全方针与实际操作长期脱节，员工普遍按习惯行事。从治理角度分析，最可能的根本原因是什么？

  1. 安全技术产品的性能不足以支撑操作
  2. 方针制定缺乏业务参与且未建立执行监督与反馈机制 Correct answer.
  3. 员工个人的道德水平普遍低于行业平均
  4. 办公场所的网络带宽无法满足需求

Explanation

方针与操作脱节通常源于制定过程缺少业务参与、发布后缺乏宣贯与执行监督，也没有反馈渠道用于修订。将其归因于员工道德、产品性能或网络带宽都缺乏治理层面的解释力。

Question 22Information Security Governance and Management

组织在确定信息安全风险容忍度时，两个业务单元提出了相互冲突的要求。治理层最恰当的处理方式是什么？

  1. 在组织整体风险偏好框架下协调并形成统一且书面的容忍标准 Correct answer.
  2. 由安全团队随机选择一个标准强制执行
  3. 允许各业务单元自行设定互不相关的容忍度且不汇总
  4. 搁置争议直到发生安全事件后再决定

Explanation

风险容忍度应在组织整体风险偏好下统一协调，形成书面标准以保持一致性并可被监督。放任各自为政、随机选择或拖延至事件发生都违背治理的一致性与前瞻性原则。

Question 23Information Security Governance and Management

某组织拟将信息安全报告路径从技术部门调整到直接向董事会风险委员会汇报。这一调整最主要的治理价值是什么？

  1. 减少安全团队需要编写的报告数量
  2. 提升安全风险信息在最高决策层的可见性与独立性 Correct answer.
  3. 降低安全设备的采购价格
  4. 缩短终端用户的密码重置时间

Explanation

将安全报告提升至董事会风险委员会可增强风险信息的可见性，并减少技术部门利益对报告的干扰，从而提升独立性与监督效果。报告数量、采购价格和密码重置时间与报告路径调整无直接关系。

Question 24Information Security Governance and Management

组织正在制定第三方供应商的信息安全管理要求。下列哪一项最应写入合同层面的治理条款？

  1. 供应商市场活动的广告投放渠道
  2. 供应商办公区的绿化维护频次
  3. 安全事件通知时限、审计权与不合规的处置措施 Correct answer.
  4. 供应商员工的午餐补贴标准

Explanation

合同中的安全治理条款应明确事件通知义务、审计权利以及违反安全要求时的处置与救济措施，以保障组织可监督和追责。补贴、绿化和广告渠道与信息安全治理无关。

Question 25Information Security Governance and Management

某组织在年度管理评审中讨论信息安全目标的达成情况。下列哪一项最符合管理评审的输入要求？

  1. 员工餐厅菜单的更新计划
  2. 公司年会的节目安排
  3. 内外部审核结果、风险状况变化与纠正措施的执行情况 Correct answer.
  4. 办公家具采购的招标进度

Explanation

管理评审应基于审核结果、风险变化、事件与纠正措施执行情况等与体系有效性相关的信息进行决策。餐厅菜单、家具招标和年会安排与信息安全管理体系无关。

Question 26Information Security Governance and Management

信息安全治理结构中，董事会下设的审计委员会在信息安全方面最核心的职责是什么？

  1. 承担信息安全事故的第一线应急处置指挥
  2. 审批每一条具体的系统访问权限申请
  3. 独立监督信息安全管理体系的有效性并向董事会报告 Correct answer.
  4. 直接负责部署防火墙和入侵检测等技术控制措施

Explanation

治理层的监督职能强调独立性与问责，审计委员会通过独立审查确认管理体系是否按既定方针运行，并向董事会反馈。技术部署、权限审批和一线应急属于管理层与执行层的职责，不应由治理委员会承担。

Question 27Information Security Governance and Management

某组织的信息安全方针由信息安全经理单独起草后直接发布，业务部门普遍不知情。从治理角度看，这一做法最主要的问题是什么？

  1. 方针缺少最高管理层的批准与承诺，缺乏治理权威性 Correct answer.
  2. 方针未使用统一模板，格式不美观
  3. 方针没有引用国际标准编号，显得不专业
  4. 方针文本篇幅过长，不利于员工阅读

Explanation

信息安全方针必须体现最高管理层的方向与承诺，并由其批准发布，才能获得组织范围内的约束力。由中层单独起草并直接发布，缺少治理层的授权，业务部门自然缺乏遵循动力。格式、篇幅与标准引用属于文档质量层面，并非治理缺陷的核心。

Question 28Information Security Governance and Management

在信息安全治理中，"职责分离"原则最主要的目的是什么？

  1. 减少安全团队的人员编制以节约成本
  2. 确保所有安全决策由同一个人统一作出
  3. 降低单一人员同时拥有冲突权限而滥用或掩盖错误的风险 Correct answer.
  4. 加快安全事件的平均响应速度

Explanation

职责分离通过将相互冲突的权限分配给不同人员，防止一人既能实施操作又能掩盖或批准该操作，从而降低舞弊与错误风险。它是治理层面的控制设计原则，与人员编制、响应速度无直接关系，也与集中决策相反。

Question 29Information Security Governance and Management

某组织的信息安全策略规定"密码长度不少于12位"，但该要求在多个系统中以不同形式实现。从治理角度看，这最可能反映出什么问题？

  1. 员工的安全意识培训不到位
  2. 策略在转化为具体标准与控制时缺乏统一的技术规范 Correct answer.
  3. 组织的风险偏好过于保守
  4. 密码长度要求本身设置得过低

Explanation

治理层制定策略，管理层应将其细化为统一的标准与基线，再落实到各系统配置。同一要求在不同系统中实现不一致，说明策略到标准、标准到控制的转化链条缺少统一规范。密码长度数值、培训与风险偏好都不能解释实现方式的差异。

Question 30Information Security Governance and Management

某组织拟将信息安全管理体系的适用范围从总部扩展到全部海外分支机构。在治理层面，最先需要明确的事项是什么？

  1. 总部安全团队是否需要增加值班班次
  2. 各分支机构所在国的网络带宽是否充足
  3. 海外员工是否习惯使用统一的安全工具
  4. 治理责任与授权在总部与分支机构之间如何划分 Correct answer.

Explanation

范围扩展首先改变的是治理边界，必须明确谁对哪些资产与风险负责、决策权如何分配、问责路径如何建立。带宽、工具习惯与值班安排属于实施层面的细节，应在治理框架确定后再考虑。

Question 31Information Security Governance and Management

某组织的风险登记册显示多项高风险长期未处理，原因是相关整改预算每年都被削减。作为信息安全经理，最恰当的治理行动是什么？

  1. 自行挪用其他项目预算完成整改
  2. 要求安全团队加班以弥补预算缺口
  3. 将该风险从登记册中删除以避免审计问题
  4. 将未处置风险的业务影响正式上报治理层，请求其作出接受或处置决策 Correct answer.

Explanation

风险的接受与资源分配属于治理层的决策权限，管理层应将风险敞口及其业务影响如实上报，由治理层决定承担风险还是追加投入。擅自挪用预算、删除记录或依靠加班掩盖问题，都绕过了问责机制并可能构成违规。

Question 32Information Security Governance and Management

某组织希望衡量信息安全治理本身的成熟度，而非仅衡量技术控制的效果。下列哪组指标最贴合这一目的？

  1. 防病毒软件的安装率与病毒库更新频率
  2. 治理会议决议的按期落实情况与风险决策的闭环率 Correct answer.
  3. 防火墙日均拦截的恶意连接数量
  4. 员工密码的平均长度分布

Explanation

治理成熟度体现在决策机制是否有效运转，例如治理机构是否按期议事、决议是否被跟踪落实、风险决策是否形成闭环。防病毒安装率、拦截数量与密码长度都是技术控制或运营层面的度量，无法反映治理效能。

Question 33Information Security Governance and Management

某组织在制定信息安全角色与职责矩阵时，发现多个关键控制点无人负责。治理层最恰当的处理方式是什么？

  1. 由安全团队默认承担所有无人负责的控制点
  2. 将无人负责的控制点从控制清单中移除
  3. 明确每个控制点的问责角色并纳入正式授权文件 Correct answer.
  4. 在下一年度管理评审时再讨论该问题

Explanation

治理的核心是建立清晰的问责，出现职责空白时应由治理层指定问责角色并以正式文件授权，确保责任可追溯。让安全团队默认兜底会造成职责混乱，推迟处理会延长风险暴露，删除控制点则等同于放弃风险处置。

Question 34Information Security Governance and Management

某组织的高管层希望信息安全投入能体现对业务战略的支撑。下列哪种做法最能实现这一目标？

  1. 依据业务战略识别关键信息资产并据此确定安全投资优先级 Correct answer.
  2. 优先采购市场上功能最全的安全产品
  3. 按照部门人数比例分配安全预算
  4. 对所有业务系统平均分配安全预算

Explanation

治理要求安全投入与业务目标对齐，因此应先从业务战略出发识别支撑关键业务的信息资产与风险，再据此排序投资。平均分配、追求功能最全或按人数摊派都缺乏风险与业务关联，无法体现战略支撑。

Question 35Information Security Governance and Management

某组织正在评审一项涉及客户个人数据的营销分析项目。治理层要求项目在启动前完成合规性判断。最恰当的治理安排是什么？

  1. 由项目组自行判断是否需要合规评估
  2. 在项目立项阶段设置隐私影响评估作为通过关卡 Correct answer.
  3. 仅在客户投诉后再启动合规审查
  4. 在项目上线后再补做隐私合规检查

Explanation

治理通过关卡机制将合规要求前置，隐私影响评估应在处理活动开始前完成，以便在设计中消除风险。上线后补做、由项目组自行裁量或事后被动响应，都会使组织在风险已发生时失去选择空间。

Question 36Information Security Governance and Management

某组织的信息安全委员会每季度召开会议，但议程长期由技术团队主导，讨论内容集中于漏洞修补。从治理角度看，最需要改进的是什么？

  1. 议程应纳入风险态势、合规状况与业务影响等治理议题 Correct answer.
  2. 应将会议纪要改为内部保密不再分发
  3. 应提高会议频率至每周一次
  4. 应邀请更多技术人员参会

Explanation

治理机构的议程应聚焦风险、合规、资源与业务影响等决策性议题，而非被技术执行细节占据。提高频率、增加技术参会者或限制纪要分发都不能改变议题结构，反而可能削弱治理视野与透明度。

Question 37Information Security Governance and Management

某组织在年度治理评审中需要判断信息安全方针是否仍然适宜。下列哪一项最应作为该判断的关键依据？

  1. 安全团队成员的离职率
  2. 业务模式、威胁环境与法规要求的重大变化 Correct answer.
  3. 上一年度安全产品的采购金额
  4. 办公场所的搬迁计划

Explanation

方针的适宜性取决于其是否仍与组织内外部环境相符，因此业务模式调整、威胁态势演变和法规更新是评审的关键输入。采购金额、人员流动与场所搬迁属于局部运营因素，不足以单独触发方针层面的重新评估。

Question 38Information Security Governance and Management

某组织计划将部分安全运营外包给托管服务商。治理层在合同中要求服务商接受组织的审计并报告安全事件。这一要求的治理意义主要在于什么？

  1. 减少组织对自身风险的可见性要求
  2. 在保留问责的前提下将控制执行转移给第三方 Correct answer.
  3. 免除组织对监管机构的合规义务
  4. 将安全事件的最终责任转移给服务商

Explanation

外包转移的是控制执行活动，而非组织的问责与合规义务，因此治理层需通过审计权与事件报告义务保持对第三方的可见性与控制。责任无法随合同转移，合规义务仍由组织承担，可见性要求应加强而非减少。

Question 39Information Security Governance and Management

某跨国组织在不同国家设有分支机构，各地法规对数据留存期限的要求存在冲突。治理层最恰当的处理原则是什么？

  1. 统一采用最短留存期限以降低存储成本
  2. 按适用法律分别确定各地最低要求，并在集团层面记录冲突与处置理由 Correct answer.
  3. 由各地分支机构自行决定且不向总部报告
  4. 统一采用最长留存期限以规避所有法律风险

Explanation

跨境合规冲突需要以适用法律为基础逐地判断，并在集团层面形成有记录的决策依据，以便审计与问责。简单采取最短或最长期限都可能违反某一法域的要求，而完全下放且不报告会使集团失去对合规风险的整体可见性。

Question 40Information Security Governance and Management

某组织的内部审计发现，安全控制措施虽已部署，但缺乏证据表明其持续有效运行。从治理角度看，这一发现最直接指向哪一方面的缺陷？

  1. 安全预算规模低于行业平均水平
  2. 控制措施的技术选型存在错误
  3. 监控与评审机制不足以提供持续有效的保证 Correct answer.
  4. 员工的安全意识普遍薄弱

Explanation

控制已部署却缺少持续有效性的证据，说明治理所依赖的监控、度量与评审机制未能提供保证，属于监督职能的缺口。技术选型、预算规模与意识水平都可能影响效果，但不能解释为何缺乏有效性证据这一治理层面的失效。

Question 41Information Security Risk Management

在信息安全风险管理中，风险通常被定义为威胁利用脆弱性造成不利影响的可能性和后果的组合。以下哪一项最准确地表达了这一关系？

  1. 风险仅由已发生的安全事件数量决定
  2. 风险等同于威胁源的数量乘以攻击频率
  3. 风险由威胁、脆弱性及影响共同决定，并与可能性相关 Correct answer.
  4. 风险等于威胁、脆弱性与资产价值三者简单相加

Explanation

风险是威胁利用脆弱性导致不利后果的可能性与影响程度的组合，通常与资产价值相关。单看威胁数量或事件数量都不能完整表达风险。因此只有同时考虑威胁、脆弱性与影响（可能性与后果）的表述才是准确的。

Question 42Information Security Risk Management

组织在完成风险评估后决定对某高风险系统采购网络安全保险，以转移部分财务损失。这一处置方式属于哪一类风险处置策略？

  1. 风险缓解
  2. 风险规避
  3. 风险接受
  4. 风险转移 Correct answer.

Explanation

风险转移是将风险的财务后果通过合同或保险等方式转嫁给第三方，但风险本身仍可能发生。缓解是降低可能性或影响，规避是停止相关活动，接受是不采取额外措施。购买保险是典型的风险转移手段。

Question 43Information Security Risk Management

在风险分析中，使用定性方法（如高/中/低分级）相对于定量方法的主要优势是什么？

  1. 能够直接满足所有监管资本计量要求
  2. 在数据不足时仍可快速形成可比较的风险排序 Correct answer.
  3. 无需任何专家判断即可得出结果
  4. 能够精确计算年化损失期望值

Explanation

定性方法依赖分级尺度与专家判断，在缺乏精确数据时能快速产出可比较的风险排序。它不提供精确的货币化损失估计，也不能替代监管要求的定量资本计量。

Question 44Information Security Risk Management

某组织为关键业务系统设定了可接受的风险水平（风险偏好）。在风险处置后，剩余风险仍高于该阈值。最恰当的做法是什么？

  1. 停止记录该风险以避免审计发现
  2. 直接接受剩余风险并记录在案
  3. 追加控制措施或调整处置方案，直至剩余风险降至可接受水平 Correct answer.
  4. 降低风险偏好的阈值以匹配现有剩余风险

Explanation

剩余风险必须与组织既定的风险偏好相比较，若超出阈值则应追加控制或调整处置方案。为迁就现状而随意调整阈值会削弱风险管理的严肃性。风险不应通过停止记录来掩盖。

Question 45Information Security Risk Management

在风险评估中，'固有风险'（inherent risk）通常指什么？

  1. 实施控制措施后仍然残留的风险
  2. 仅与第三方供应商相关的风险
  3. 经保险转移后由第三方承担的风险
  4. 在未考虑任何控制措施情况下存在的风险 Correct answer.

Explanation

固有风险是在假设没有任何控制措施时风险暴露的水平，用于衡量风险本身的严重程度。剩余风险则是控制实施后残留的部分。区分二者有助于评估控制措施的实际有效性。

Question 46Information Security Risk Management

组织在制定风险处置计划时，以下哪一项最应作为确定处置优先级的首要依据？

  1. 控制措施实施的难易程度
  2. 风险等级与业务影响，结合处置成本效益 Correct answer.
  3. 安全团队的人员数量
  4. 控制措施供应商的知名度

Explanation

风险处置优先级应基于风险等级、对业务的影响以及处置措施的成本效益进行排序，从而把资源投向最关键的暴露。供应商知名度、实施难易或团队规模只是次要考虑因素。

Question 47Information Security Risk Management

以下哪一项最恰当地描述了'风险登记册'（risk register）在信息安全管理中的作用？

  1. 仅用于存储防火墙规则配置
  2. 持续记录已识别风险、评估结果、责任人和处置状态的工具 Correct answer.
  3. 替代业务影响分析（BIA）的文档
  4. 记录所有已发生的安全事件取证材料

Explanation

风险登记册用于持续记录已识别风险、其评估结果、责任人、处置措施与状态，是风险治理的追踪工具。它不是事件取证库，也不能替代业务影响分析。

Question 48Information Security Risk Management

某企业将风险评估结果与既定的风险容忍度进行对比，并据此决定是否需要董事会层面的关注。这一活动最恰当地体现了风险管理的哪个环节？

  1. 风险处置实施
  2. 风险沟通与监督 Correct answer.
  3. 控制测试
  4. 风险识别

Explanation

将评估结果与风险容忍度对比并向高层报告，属于风险沟通与监督（监控）环节，确保治理层了解风险状况。风险识别是发现风险，处置是采取措施，控制测试是验证控制有效性。

Question 49Information Security Risk Management

某系统资产价值为500万元，单一威胁年发生概率估计为0.2，若发生将造成资产价值40%的损失。按单次损失期望值（ALE）方法估算，年化损失期望值约为多少？

  1. 20万元
  2. 40万元 Correct answer.
  3. 200万元
  4. 100万元

Explanation

单次损失期望值（SLE）等于资产价值乘以暴露系数，即500万×40%=200万元；年化损失期望值（ALE）等于SLE乘以年发生概率，即200万×0.2=40万元。因此年化损失期望值为40万元。

Question 50Information Security Risk Management

在使用威胁建模方法识别系统风险时，数据流图（DFD）的主要作用是什么？

  1. 识别数据在系统中的流动路径、信任边界和潜在攻击面 Correct answer.
  2. 制定事件响应升级流程
  3. 确定系统的恢复时间目标（RTO）
  4. 计算年化损失期望值

Explanation

数据流图描述数据在系统组件间的流动、外部实体与信任边界，帮助识别跨边界的攻击面与威胁。它不用于计算损失、确定恢复目标或制定升级流程。