2026年CISP认证考试高频考点汇总｜历年真题答案+备考资料免费下载

某网站为了开发的便利，使用SA 链接数据库，由于网站脚本中被发现存在SQL 注入漏洞，导致攻击者利用内置存储过程XP.cmctstell 删除了系统中的一个重要文件，在进行问题分析时，作为安全专家，你应该指出该网站设计违反了以下哪项原则：

微软提出了STRIDE 模型，其中Repudation（抵赖）的缩写，关于此项安全要求，下面描述错误的是（）

关于信息安全管理，下面理解片面的是（）

以下哪项制度或标准被作为我国的一项基础制度加以推行，并且有一定强制性，其实施的主要目标是有效地提高我国信息和信息系统安全建设的整体水平，重点保障基础信息网络和重要信息系统的安全（）

小明是某大学计算科学与技术专业的毕业生，大四上学期开始找工作，期望谋求一份技术管理的职位，一次面试中，某公司的技术经理让小王谈一谈信息安全风险管理中的背景建立的几本概念与认识，小明的主要观点包括：（1）背景建立的目的是为了明确信息安全风险管理的范围和对象，以及对象的特性和安全要求，完成信息安全风险管理项目的规划和准备；（2）背景建立根据组织机构相关的行业经验执行，雄厚的经验有助于达到事半功倍的效果(3)背景建立包括：风险管理准备、信息系统调查、信息系统分析和信息安全分析（4.）背景建立的阶段性成果包括：风

降低风险（或减低风险）指通过对面的风险的资产采取保护措施的方式来降低风险，下面那个措施不属于降低风险的措施（）

关于风险要素识别阶段工作内容叙述错误的是：

某单位的信息安全主管部门在学习我国有关信息安全的政策和文件后，认识到信息安全风险评估分为自评估和检查评估两种形式，该部门将有检查评估的特点和要求整理成如下四条报告给单位领导，其中描述错误的是

规范的实施流程和文档管理，是信息安全风险评估结能否取得成果的重要基础，按照规范的风险评估实施流程，下面哪个文档应当是风险要素识别阶段的输出成果（）

在信息安全管理的实施过程中，管理者的作用于信息安全管理体系能否成功实施非常重要，但是一下选项中不属于管理者应有职责的是（）

信息安全管理体系（Information Security Management System ,ISMS）的内部审核和管理审核是两项重要的管理活动，关于这两者，下面描述的错误是

在风险管理中，残余风险是指实施了新的或增强的安全措施后还剩下的风险，关于残余风险，下面描述错误的是（）

关于业务连续性计划（BCP）以下说法最恰当的是：

在某次信息安全应急响应过程中，小王正在实施如下措施：消除或阻断攻击源，找到并消除系统的脆弱性/漏洞、修改安全策略，加强防范措施、格式化被感染而已程序的介质等，请问，按照应急响应方法，这些工作应处于以下哪个阶段（）

关于信息安全事件管理和应急响应，以下说法错误的是：

对信息安全事件的分级参考下列三个要素：信息系统的重要程度、系统损失和社会影响，依据信息系统的重要程度对信息进行划分，不属于正确划分级别的是：

恢复时间目标（RTO）和恢复点目标（RPO）是信息系统灾难恢复中的重要概念，关于这两个值能否为零，正确的选项是（）

某政府机构拟建设一机房，在工程安全监理单位参与下制定了招标文件，项目分二期，一期目标为年内实现系统上线运营，二期目标为次年上半年完成运行系统风险的处理：招标文件经营管理层审批后发布，就此工程项目而言，以下正确的是：

对系统工程（Systems Engineering ，SE ）的理解，以下错误的是：

系统工程的模型之一霍尔三维结构模型由时间维、逻辑维和知识维组成。有关此模型，错误的是：

北京某公司利用SSE-CMM 对其自身工程队伍能力进行自我改善，其理解正确的是：

以下哪一项不是信息系统集成项目的特点：

信息安全工程监理是信息系统工程监理的重要组成部分，信息安全工程监理适用的信息化工程中，以下选择最合适的是：

以下关于信息安全工程说法正确的是：

有关系统安全工程-能力成熟度模型（sse-cmm）中的基本实施（Base Practices ，BP），正确的理解是：

有关系统安全工程-能力成熟度模型（SSE-CMM）中的通用实施（Generic Practices ，GP）错误理解是：

在使用系统安全工程-能力成熟度模型（SSE-CCM）对一个组织的安全工程能力成熟度进行测量时，有关测量结果，错误的理解是：

系统安全工程-能力成熟度模型(SSE-CMM）定义的包含评估威胁、评估脆弱性、评估影响和评估安全风险的基本过程领域是：

.以下行为不属于违反国家涉密规定的行为：

具有行政法律责任强制的安全管理规定和安全制度包括1>安全事件（包括安全事故）报告制度 2>安全等级保护制度 3>信息系统安全监控 4>安全专用产品销售许可证制度

信息系统建设完成后，（）的信息系统的而运营使用单位应当选择符合国家规定的测评机构进行测评合格后方可投入使用

为了保障网络安全，维护网络安全空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，加强在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，2015 年6 月，第十二届全国人大常委会第十五次会议初次审议了一部法律草案，并与7 月6 日起在网上全文公布，向社会公开征求意见，这部法律草案是（）

为了进一步提高信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，公安部等4 部分联合发布《关于信息安全等级保护工作的实施意见》(公通字[2004]66 号)，对等级保护工作的开展提供宏观指导和约束，明确了等级保护工作的基本内容、工作要求和实施计划，以及各部门工作职责分工等，关于该文件，下面理解正确的是

CC 标准是目前系统安全认证方面最权威的而标准，那一项不是体现CC 标准的先进性？

对于数字证书而言，一般采用的是哪个标准？

在可信计算机系统评估准则（TCSEC）中，下列哪一项是满足强制保护要求的最低级别？

关于标准，下面哪项理解是错误的（）

2005 年，RFC4301（Request for Comments 4301：Security Architecture for the Intermet Protocol）发布，用以取代原先的RFC2401，该标准建议规定了IPsec 系统基础架构，描述如何在IP 层（IPv4/IPv6）为流量提供安全业务，请问此类RFC 系列标准建设是由哪个组织发布的（）

关于信息安全管理体系，国际上有标准（ISO/IEC 27001:2013）而我国发布了《信息技术安全技术信息安全管理体系要求》(GB/T 22080-2008）请问，这两个标准的关系是：

信息安全工程监理的职责包括：

关于信息安全保障的概念，下面说法错误的是：

关于监理过程中成本控制，下列说法中正确的是?

下列关于ISO15408 信息技术安全评估准则(简称CC)通用性的特点，即给出通用的表达方式，描述不正确的是______。

对涉密系统进行安全保密测评应当依据以下哪个标准?

ISO／IEC27001《信息技术安全技术信息安全管理体系要求》的内容是基于（）

在GB／T18336《信息技术安全性评估准则》（CC 标准）中，有关保护轮廓(Protection Profile，PP)和安全目标(Security Target，ST)，错误的是：

以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一?

以下哪项是对系统工程过程中“概念与需求定义”阶段的信息安全工作的正确描述?

以下关于法律的说法错误的是（）

由于频繁出现软件运行时被黑客远程攻击获取数据的现象，某软件公司准备加强软件安全开发管理，在下面做法中，对于解决问题没有直接帮助的是（）

根据信息安全风险要素之间的关系，下图中空白处应该填写（）

信息安全标准化工作是我国信息安全保障工作的重要组成部分之一，也是政府进行宏观管理的重要依据，同时也是保护国家利益，促进产业发展的重要手段之一，关于我国标准化工作，下面选项中描述错误的是（）

最小特权是软件安全设计的基本原则，某应用程序在设计时，设计人员给出了以下四种策略，其中有一个违反了最小特权的原则，作为评审专家，请指出是哪一个?

主机A 向主机B 发出的数据采用AH 或ESP 的传输模式对经过互联网的数据流量进行保护时，主机A 和主机B 的IP 地址在应该在下列哪个范围?

某电子商务网站最近发生了一起安全事件，出现了一个价值1000 元的商品用1 元被买走的情况，经分析是由于设计时出于性能考虑，在浏览时使用Http 协议，攻击者通过伪造数据包使得向购物车添加商品的价格被修改．利用此漏洞，攻击者将价值1000 元的商品以1 元添加到购物车中，而付款时又没有验证的环节，导致以上问题，对于网站的这个问题原因分析及解决措施。最正确的说法应该是?

以下哪个选项不是防火墙提供的安全功能?

以下关于可信计算说法错误的是：

Linux 系统对文件的权限是以模式位的形式来表示，对于文件名为test 的一个文件，属于admin 组中user 用户，以下哪个是该文件正确的模式表示?

Apache Web 服务器的配置文件一般位于/usr／local／apache／conf 目录，其中用来控制用户访问Apache 目录的配置文件是：

应用软件的数据存储在数据库中，为了保证数据安全，应设置良好的数据库防护策略，以下不属于数据库防护策略的是?

下列哪项内容描述的是缓冲区溢出漏洞?

对恶意代码的预防，需要采取增强安全防范策略与意识等措施，关于以下预防措施或意识，说法错误的是：

安全专家在对某网站进行安全部署时，调整了Apache 的运行权限，从root 权限降低为nobody 用户，以下操作的主要目的是：

下列关于计算机病毒感染能力的说法不正确的是：

以下哪个是恶意代码采用的隐藏技术：

通过向被攻击者发送大量的ICMP 回应请求，消耗被攻击者的资源来进行响应，直至被攻击者再也无法处理有效的网络信息流时，这种攻击称之为：

以下哪个拒绝服务攻击方式不是流量型拒绝服务攻击

传输控制协议(TCP)是传输层协议，以下关于TCP 协议的说法，哪个是正确的?

以下关于UDP 协议的说法，哪个是错误的?

有关项目管理，错误的理解是：

近年来利用DNS 劫持攻击大型网站恶性攻击事件时有发生，防范这种攻击比较有效的方法是?

关于源代码审核，下列说法正确的是：

在戴明环(PDCA)模型中，处置(ACT)环节的信息安全管理活动是：

信息系统的业务特性应该从哪里获取?

在信息系统设计阶段，“安全产品选择”处于风险管理过程的哪个阶段?

以下关于“最小特权”安全管理原则理解正确的是：

以下哪一项不属于常见的风险评估与管理工具：

以下说法正确的是：

信息系统安全保护等级为3 级的系统，应当()年进行一次等级测评?

国家科学技术秘密的密级分为绝密级、机密级、秘密级，以下哪项属于绝密级的描述?

关于我国加强信息安全保障工作的总体要求，以下说法错误的是：

根据《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》的规定，以下正确的是：

某单位信息安全岗位员工，利用个人业余时间，在社交网络平台上向业内同不定期发布信息安全相关知识和前沿动态资讯，这一行为主要符合以下哪一条注册信息安全专业人员（CISP）职业道德准则：

以下哪一项不是我国信息安全保障的原则：

下列选项中，哪个不是我国信息安全保障工作的主要内容：

关于信息安全管理，说法错误的是：

以下哪个选项不是信息安全需求的来源?

下列关于信息系统生命周期中实施阶段所涉及主要安全需求描述错误的是：

下列关于信息系统生命周期中安全需求说法不准确的是：

小张在某单位是负责事信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训。一次培训的时候，小张主要负责讲解风险评估工作形式，小张认为：1．风险评估工作形式包括：自评估和检查评估；2．自评估是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行风险评估；3．检查评估是信息系统上级管理部门组织或者国家有关职能部门依法开展的风险评估；4．对信息系统的风险评估方式只能是“自评估”和“检查评估”中的一个，非此即彼.请问小张的所述论点中错误的是哪项：

小李在某单位是负责信息安全风险管理方面工作的部门领导，主要负责对所在行业的新人进行基本业务素质培训，一次培训的时候，小李主要负责讲解风险评估方法。请问小李的所述论点中错误的是哪项：

风险评估工具的使用在一定程度上解决了手动评佑的局限性，最主要的是它能够将专家知识进行集中，使专家的经验知识被广泛使用，根据在风险评估过程中的主要任务和作用愿理，风险评估工具可以为以下几类，其中错误的是：

为了解风险和控制风险，应当及时进行风险评估活动，我国有关文件指出：风险评估的工作形式可分为自评估和检查评估两种，关于自评估，下面选项中描述错误的是()。

信息安全风险评估是信息安全风险管理工作中的重要环节，在国家网络与信息安全协调小组发布的《关于开展信息安全风险评估工作的意见》(国信办(2006)5 号)中，风险评估分为自评估和检查评估两种形式，并对两种工作形式提出了有关工作原则和要求，下面选项中描述正确的是( )。

小王在学习定量风险评估方法后，决定试着为单位机房计算火灾的风险大小，假设单位机房的总价值为200 万元人民币，暴露系数(Exposure Factor，EF)是25％，年度发生率(Annualized Rate of Occurrence，ARO)为0．1，那么小王计算的年度预期损失(Annualized Loss Expectancy，ALE)应该是().

规范的实施流程和文档管理，是信息安全风险评估结能否取得成果的重要基础，某单位在实施风险评估时，形成了《风险评估方案》并得到了管理决策层的认可，在风险评估实施的各个阶段中，该《风险评估方案》应是如下( )中的输出结果。

规范的实施流程和文档管理，是信息安全风险评估能否取得成功的重要基础。某单41 位在实施风险评估时，形成了《待评估信息系统相关设备及资产清单》。在风险评估实施的各个阶段中，该《待评估信息系统相关设备及资产清单》应是如下()

风险要素识别是风险评估实施过程中的一个重要步骤，有关安全要素，请选择一个最合适的选项()。

某单位在实施信息安全风险评估后，形成了若干文挡，下面( )中的文挡不应属于风险评估中“风险评估准备”阶段输出的文档。

文档体系建设是信息安全管理体系(ISMS)建设的直接体现，下列说法不正确的是：