保护-检测-响应（Protection-Detection-Response，PDR）模型是（）工作中常用的模型，七思想是承认（）中漏洞的存在，正视系统面临的（），通过采取适度防护、加强（）、落实对安全事件的响应、建立对威胁的防护来保障系统的安全。

组织应定期监控、审查、审计（）服务，确保协议中的信息安全条款和条件被遵守，信息安全事件和问题得到妥善管理。应将管理供应商关系的责任分配给指定的个人或（）团队。另外，组织应确保落实供应商符合性审查和相关协议要求强制执行的责任。应保存足够的技术技能和资源的可用性以监视协议要求尤其是（）要求的实现。当发现服务交付的不足时，宜采取（）。当供应商提供的服务，包括对（）方针、规程和控制措施的维持和改进等发生变更时，应在考虑到其对业务信息、系统、过程的重要性和重新评估风险的基础上管理。

信息安全管理体系也采用了（）模型，该模型可应用于所有的（）。ISMS把相关方的信息安全要求和期望作为输入，并通过必要的（），产生满足这些要求和期望的（）。

信息安全方面的业务连续性管理包含2个（）和4个控制措施。组织应确定在业务连续性管理过程或灾难恢复管理过程中是否包含了（）。应在计划业务连续性和灾难恢复时确定（）。组织应建立、记录、实施并维持过程、规程和控制措施以确保在不利情况下信息安全连续性处于要求级别。在业务连续性或灾难恢复内容中，可能已定义特定的（）。应保护在这些过程和规程或支持它们的特性信息系统中处理的额信息。在不利情况下，已实施的信息安全控制措施应继续实行。若安全控制措施不能保持信息安全，应建立、实施和维持其他控制措施以保持信息安全在（）。

与PDR模型相比，P2DR模型则更强调（），即强调系统安全的（），并且以安全检测、（）和自适应填充“安全间隙“为循环来提高（）。

组织应依照已确定的访问控制策略限制对信息和（）功能的访问。对访问的限制要基于各个业务应用要求，访问控制策略还要与组织访问策略一致。应建立安全登录规程控制实现对系统和应用的访问。宜选择合适的身份验证技术以验证用户身份。在需要强认证和（）时，宜使用加密、智能卡、令牌或生物手段等替代密码的身份验证方法。应建立交互式的口令管理系统，并确保使用优质的口令。对于可能覆盖系统和应用的控制措施的实用工具和程序的使用，应加以限制并（）。对程序源代码和相关事项（例如设计、说明书、验证计划和确认计划）的访问宜严格控制，以防引入非授权功能、避免无意识的变更和维持有价值的知识产权的（）。对于程序源代码的保存，可以通过这种代码的中央存储控制来实现，更好的是放在（）中。

以下关于开展软件安全开发必要性描错误的是（）。

某项目组进行风险评估时由于时间有限，决定采用基于知识的分析方法，使用基于知识的分析方法进行风险评估，最重要的在于评估信息的采集，该项目组对信息源进行了讨论，以下说法中不可行的是（）。

（）在实施攻击之前，需要尽量收集伪装身份（），这些信息是攻击者伪装成功的（）。例如攻击者要伪装成某个大型集团公司总部的（）。那么他需要了解这个大型集团公司所处行业的一些行规或者（）、公司规则制度、组织架构等信息，甚至包括集团公司相关人员的绰号等等。

分析针对Web的攻击前，先要明白http协议本身是不存在安全性的问题的，就是说攻击者不会把它当作攻击的对象。而是应用了http协议的服务器或则客户端、以及运行的服务器的wed应用资源才是攻击的目标。针对Web应用的攻击，我们归纳出了12种，小陈列举了其中的4种，在这四种当中错误的是（）。