A.风险评估准备阶段
B.风险要素识别阶段
C.风险分析阶段
D.风险结果判定阶段
您可能感兴趣的试卷
你可能感兴趣的试题
A.资产清单
B.资产责任人
C.资产的可接受使用
D.分类指南、信息的标记和处理
A.身份鉴别，应用系统应对登录的用户进行身份鉴别，只有通过验证的用户才能访问应用系统资源
B.安全标记，在应用系统层面对主体和客体进行标记，主体不能随意更改权限，增加访问控制的力度，限制非法访问
C.剩余信息保护，应用系统应加强硬盘、内存或缓冲区中剩余信息的保护，防止存储在硬盘、内存或缓冲区中的信息被非授权的访问
D.机房与设施安全，保证应用系统处于有一个安全的环境条件，包括机房环境、机房安全等级、机房的建造和机房的装修等
A.SSE-CMM要求实施组织与其他组织相互作用，如开发方、产品供应商、集成商和咨询服务商等
B.SSE-CMM可以使安全工程成为一个确定的、成熟的和可度量的科目
C.基于SSE-CMM的工程是独立工程，与软件工程、硬件工程、通信工程等分别规划实施
D.SSE-CMM覆盖整个组织的活动，包括管理、组织和工程活动等，而不仅仅是系统安全的工程活动
操作系统用于管理计算机资源，控制整个系统运行，是计算机软件的基础。操作系统安全是计算、网络及信息系统安全的基础。一般操作系统都提供了相应的安全配置接口。小王新买了一台计算机，开机后首先对自带的Windows操作系统进行配置。他的主要操作有：
（1）关闭不必要的服务和端口；
（2）在“本地安全策略”中配置账号策略、本地策略、公钥策略和IP安全策略；
（3）备份敏感文件，禁止建立空连接，下载最新补丁；
（4）关闭审核策略，开启口令策略，开启账户策略。
这些操作中错误的是（）。
A.操作（1），应该关闭不必要的服务和所有端口
B.操作（2），在“本地安全策略”中不应该配置公钥策略，而应该配置私钥策略
C.操作（3），备份敏感文件会导致这些文件遭到窃取的几率增加
D.操作（4），应该开启审核策略
A.RTO可以为0，RPO也可以为0
B.RTO可以为0，RPO不可以为0
C.RTO不可以为0，RPO可以为0
D.RTO不可以为0，RPO也不可以为0
访问控制的实施一般包括两个步骤：首先要鉴别主体的合法身份，接着根据当前系统的访问控制规则授予用户相应的访问权限。在此过程中，涉及主体、客体、访问控制实施部件和访问控制决策部件之间的交互。下图所示的访问控制实施步骤中，标有数字的方框代表了主体、客体、访问控制实施部件和访问控制决策部件。下列选项中，标有数字1、2、3、4的方框分别对应的实体或部件正确的是（）
A.主体、访问控制决策、客体、访问控制实施
B.主体、访问控制实施、客体、访问控制决策
C.客体、访问控制决策、主体、访问控制实施
D.客体、访问控制实施、主体、访间控制决策
A.风险评估方法包括：定性风险分析、定量风险分析以及半定量风险分析
B.定性风险分析需要凭借分析者的经验和直觉或者业界的标准和惯例，因此具有随意性
C.定量风险分析试图在计算风险评估与成本效益分析期间收集的各个组成部分的具体数字值，因此更具客观性
D.半定量风险分析技术主要指在风险分析过程中综合使用定性和定量风险分析技术对风险要素的赋值方式，实现对风险各要素的度量数值化
A.HTTP1.0协议
B.HTTP1.1协议
C.HTTPS协议
D.HTTPD协议
A.保持当前版本的操作系统，不定期更新交换机操作系统补丁
B.控制交换机的物理访问端口，关闭空闲的物理端口
C.带外管理交换机，如果不能实现的话，可以利用单独的VLAN号进行带内管理
D.安全配置必要的网络服务，关闭不必要的网络服务
A.GB/TXXXX.X-200X
B.GBXXXX-200X
C.DBXX/TXXX-200X
D.GB/ZXXX-XXX-200X
最新试题
等级保护实施根据GB/T25058-2010《信息安全技术信息系统安全等级保护实施指南》分为五大阶段；（）、总体规划、设计实施、（）和系统终止。但由于在开展等级保护试点工作时，大量信息系统已经建设完成，因此根据实际情况逐步形成了（）、备案、差距分析（也叫差距测评）、建设整改、验收测评、定期复查为流程的（）工作流程。和《等级保护实施指南》中规定的针对（）的五大阶段略有差异。
下列选项分别是四种常用的资产评估方法，哪个是目前采用最为广泛的资产评估方法？（）
分析针对Web的攻击前，先要明白http协议本身是不存在安全性的问题的，就是说攻击者不会把它当作攻击的对象。而是应用了http协议的服务器或则客户端、以及运行的服务器的wed应用资源才是攻击的目标。针对Web应用的攻击，我们归纳出了12种，小陈列举了其中的4种，在这四种当中错误的是（）。
欧美六国和美国商务部国家标准与技术局共同制定了一个供欧美各国通用的信息安全评估标准，简称CC标准，该安全评估标准的全称为（）。
计算机漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。在病毒肆意的信息不安全时代，某公司为减少计算机系统漏洞，对公司计算机系统进行了如下措施，其中错误的是（）。
（）在实施攻击之前，需要尽量收集伪装身份（），这些信息是攻击者伪装成功的（）。例如攻击者要伪装成某个大型集团公司总部的（）。那么他需要了解这个大型集团公司所处行业的一些行规或者（）、公司规则制度、组织架构等信息，甚至包括集团公司相关人员的绰号等等。
与PDR模型相比，P2DR模型则更强调（），即强调系统安全的（），并且以安全检测、（）和自适应填充“安全间隙“为循环来提高（）。
信息时流动的，在信息的流动过程中必须能够识别所有可能途径的（）与（）；面对于信息本身，信息的敏感性的定义是对信息保护的（）和（），信息在不同的环境存储和表现的形式也决定了（）的效果，不同的截体下，可能体现出信息的（）、临时性和信息的交互场景，这使得风险管理变得复杂和不可预测。
在某信息系统采用的访问控制策略中，如果可以选择值得信任的人担任各级领导对客体实施控制，且各级领导可以同时修改它的访问控制表，那么该系统的访问控制模型采用的自主访问控制机制的访问许可模式是（）。
目前应用面临的威胁越来越多，越来越难发现。对应用系统潜在的威胁目前还没有统一的分类，但小赵认为同事小李从对应用系统的攻击手段角度出发所列出的四项例子中有一项不对，请问是下面哪一项？（）