信息安全方面的业务连续性管理包含2个（）和4个控制措施。组织应确定在业务连续性管理过程或灾难恢复管理过程中是否包含了（）。应在计划业务连续性和灾难恢复时确定（）。组织应建立、记录、实施并维持过程、规程和控制措施以确保在不利情况下信息安全连续性处于要求级别。在业务连续性或灾难恢复内容中，可能已定义特定的（）。应保护在这些过程和规程或支持它们的特性信息系统中处理的额信息。在不利情况下，已实施的信息安全控制措施应继续实行。若安全控制措施不能保持信息安全，应建立、实施和维持其他控制措施以保持信息安全在（）。

风险评估文档是指在整个风险评估过程中产生的评估过程文档和评估结果文档，其中，明确评估的目的、职责、过程、相关的文档要求，以及实施本次评估所需要的各种资产、威胁、脆弱性识别和判断依据的文档是（）。

终端访问控制器访问控制系统（TERMINAL Access Controller Access-Control System，TACACS），在认证过程中，客户机发送一个START包给服务器，包的内容包括执行的认证类型、用户名等信息。START包只在一个认证会话开始时使用一个，序列号永远为（）。服务器收到START包以后，回送一个REPLY包，表示认证继续还是结束。

保护-检测-响应（Protection-Detection-Response，PDR）模型是（）工作中常用的模型，七思想是承认（）中漏洞的存在，正视系统面临的（），通过采取适度防护、加强（）、落实对安全事件的响应、建立对威胁的防护来保障系统的安全。

以下关于开展软件安全开发必要性描错误的是（）。

下列选项中对信息系统审计概念的描述中不正确的是（）。

下列信息安全评估标准中，哪一个是我国信息安全评估的国家标准？（）

分析针对Web的攻击前，先要明白http协议本身是不存在安全性的问题的，就是说攻击者不会把它当作攻击的对象。而是应用了http协议的服务器或则客户端、以及运行的服务器的wed应用资源才是攻击的目标。针对Web应用的攻击，我们归纳出了12种，小陈列举了其中的4种，在这四种当中错误的是（）。

欧美六国和美国商务部国家标准与技术局共同制定了一个供欧美各国通用的信息安全评估标准，简称CC标准，该安全评估标准的全称为（）。

某项目组进行风险评估时由于时间有限，决定采用基于知识的分析方法，使用基于知识的分析方法进行风险评估，最重要的在于评估信息的采集，该项目组对信息源进行了讨论，以下说法中不可行的是（）。