计算机等级考试三级信息安全技术章节习题6

#NCRE #笔记

六、信息安全管理

填空

信息安全的一个重要原则是 ___

技(术)管(理)并重

信息安全的3个基本属性是 ___、___和___

机密性、完整性、可用性

风险评估的结果可以用许多方法来提交，主要包含 ___、___和___

信息支持分类表、权重标准分析表、漏洞风险等级表

信息安全管理中的风险计算公式为 ___

风险 ＝ 出现漏洞的可能性 × 信息资产的价值 － 当前控制减轻的风险概率 ＋ 对漏洞了解的不确定性

进行信息安全管理措施中，事故响应的4个阶段分别为 ___、___、___、___ p355

计划、检测、反应、恢复

简答

简述如何确定一个信息系统的安全保护等级

第一级，信息系统受到破坏后，会对公民法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益

第二级，信息系统受到破坏后，会对公民法人和其他组织的合法权益产生严重损害，或对社会秩序和公共利益造成损害，但不损害国家安全

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或对国家安全造成严重损害

第五级，信息系统受到破坏后，会国家安全造成特别严重损害

简述信息安全发展过程中所历经的3个主要阶段以及它们各自的特点

通信保密阶段、计算机安全阶段、信息安全保障阶段

在信息安全管理体系中，组织机构满足哪些基本条件之后可以向被认可的认证机构提出认证申请？

简述自评估和检查评估的区别及优缺点

信息安全风险包括哪些方面？

指威胁源采用恰当的威胁方式利用脆弱性造成不良后果。风险管理重的风险种类有很多，如纯粹风险、投机风险、财产风险、责任风险、人生风险、信任风险、环境风险、职业风险、自然风险、巨灾风险、社会风险、政治风险、经济风险、税收风险、法规风险等

如何理解信息安全管理中的业务持续性管理与灾难恢复？

灾难恢复计划是为灾难做准备和从灾难中恢复的计划。应急计划小组必须区分灾难和事故，但在攻击发生前，这是不可能区分出来的。一个事件最初归类为事故，但后来常常判定为一个灾难。此时，机构可以改变事故相应方式，采取行动，取保价值最高的资产安全，即使在短期内被破坏的风险较大，但仍在较长事件内保有价值。另为，灾难恢复计划的关键是恢复主站点上的操作，使机构运转起来。DRP 的目标是恢复到灾难前的状态

访问控制有哪几类？

如何确定安全策略是否达到组织机构所需的安全目标？

在制定业务持续性计划时，要采取哪些策略？

3 重选项：热站点、暖站点和冷站点，3 重共享功能：时间共享、服务台和共有协议

热站点：完全配置好的计算机设备

暖站点：提供与热站点相同的许多服务和选项，不包括实际应用程序，或未安装和配置的应用程序

冷站点：只提供初步的服务和功能

简述信息系统开发和实施的安全原则

我国信息安全事件分级分类方法有哪些？

应急计划小组的成员可由哪些人员组成？

成员应是各利益团体的经理或代表。业务经理熟悉改领域的操作过程，所以应提供其活动的细节，说明他们能承受多大危险。项目小组的信息技术经理应熟悉可处于风险之中的系统和所需的 IRP、DRP 和 BCP ，以提供计划过程重的技术内容。信息安全经理需要监视项目的安全计划，提供威胁、漏洞、攻击的信息和计划过程中需要的恢复需求。

组织机构需求信息安全管理体系认证的目的有哪些？

具有什么特征的攻击才能被界定为事故？

事故是对信息资产的一个攻击，它明显威胁着信息资源的机密性、完整性和可用性。如果发生了威胁信息的行为并且已完成，则盖行为就界定为一个事故。

工作人员上岗前、在岗期间以及离职时，人员安全的控制措施分别有哪些？

定期对不同岗位的人员进行考核，考核包括政治思想、保密观念和业务技术等多各方面

定期对系统的所以工作人员从政治思想业务水平、工作表现等方面进行考核，对不适于接触信息系统能够的人员要适时调离

员工从一般岗位转到信息安全重要岗位，组织机构也应当对其进行信用检查。对于处在有相当权力位置的人员，这种检查应定期进行

风险评估中，风险值由哪些因素决定？请写出计算公式

风险 ＝ 出现漏洞的可能性 × 信息资产的价值 － 当前控制减轻的风险概率 ＋ 对漏洞了解的不确定性

为保证网络通信线路的安全，应注意哪几个方面？

信息安全管理认证的依据与范围、申请认证的基本条件有哪些？

认证的依据：BS7799-2：1999标准

认证范围通常与它实施安全管理体系的范围是相同的但，并不需要必须相同

基本条件：

系统运行阶段的维护活动通常有哪几类？

简述影响维护代价的技术因素和非技术因素