A、 信息系统自身存在脆弱性是根本原因。信息系统越来越重要,同时自身在开发、部署和使用过程中存在的脆弱性,导致了诸多的信息安全事件发生。因此,杜绝脆弱性的存在是解决信息安全问题的根本所在
B、 信息系统面临诸多黑客的威胁,包括恶意攻击者和恶作剧攻击者。信息系统应用越来越广泛,接触信息系统的人越多y信息系统越可能遭受攻击。因此,避免有恶意攻击可能的人接触信息系统就可以解决信息安全问题
C、 信息安全问题的根本原因是内因、外因和人三个因素的综合作用,内因和外因都可能导致安全事件的发生,但最重要的还是人的因素,外部攻击者和内部工作人员通过远程攻击、本地破坏和内外勾结等手段导致安全事件发生。因此,对人这个因素的防范应是安全工作重点
D、 信息安全问题产生的根源要从内因和外因两个方面分析,因为信息系统自身存在脆弱性,同时外部又有威胁源,从而导致信息系统可能发生安全事件。因此,要防范信息安全风险,需从内外因同时着手
答案：D
解析：解析:从根源来说, 信息安全问题可以归因于内因和外因两个方面。P3 页。
A、 信息系统自身存在脆弱性是根本原因。信息系统越来越重要,同时自身在开发、部署和使用过程中存在的脆弱性,导致了诸多的信息安全事件发生。因此,杜绝脆弱性的存在是解决信息安全问题的根本所在
B、 信息系统面临诸多黑客的威胁,包括恶意攻击者和恶作剧攻击者。信息系统应用越来越广泛,接触信息系统的人越多y信息系统越可能遭受攻击。因此,避免有恶意攻击可能的人接触信息系统就可以解决信息安全问题
C、 信息安全问题的根本原因是内因、外因和人三个因素的综合作用,内因和外因都可能导致安全事件的发生,但最重要的还是人的因素,外部攻击者和内部工作人员通过远程攻击、本地破坏和内外勾结等手段导致安全事件发生。因此,对人这个因素的防范应是安全工作重点
D、 信息安全问题产生的根源要从内因和外因两个方面分析,因为信息系统自身存在脆弱性,同时外部又有威胁源,从而导致信息系统可能发生安全事件。因此,要防范信息安全风险,需从内外因同时着手
答案：D
解析：解析:从根源来说, 信息安全问题可以归因于内因和外因两个方面。P3 页。
A. 通过信息安全培训,使相关信息发布人员了解信息收集风险,发布信息最小化原则
B. 减少系统对外服务的端口数量,修改服务旗标
C. 关闭不必要的服务,部署防火墙、IDS 等措施
D. 系统安全管理员使用漏洞扫描软件对系统进行安全审计
A. 采购防病毒网关并部署在企业互联网出口中,实现对所有浏览网页进行检测,阻止网页中的病毒进入内网
B. 组织对员工进行一次上网行为安全培训, 提高企业员工在互联网浏览时的安全意识
C. 采购并统一部署企业防病毒软件,信息化管理部门统一进行病毒库升级,确保每台计算机都具备有效的病毒检测和查杀能力
D. 制定制度禁止使用微软的 IE 浏览器上网,统一要求使用Chrome 浏览器
解析：解析:更换浏览器并不能防范病毒感染系统, 而且很多软件和应用与微软 IE 浏览器做了适配,强制更换 Chrome 浏览器不适合推广。
A. 基于SSE-CMM的工程是独立工程,与软件工程、硬件工程、通信工程等分别规划实施
B. SSE-CMM可以使安全工程成为一个确定的、成熟的和可度量的科目
C. SSE-CMM要求实施组织与其他组织相互作用,如开发方、产品供应商、集成商和咨询服务商等
D. SSE-CMM覆盖整个组织的活动,包括管理、组织和工程活动等,而不仅仅是系统安全的工程活动
解析：解析:SSE-CMM 的工程不是独立工程, 而是与其他工程并行且相互作用, 包括企业工程、软件工程、硬件工程、通信工程等。 P179。
A. 日志的存在就是安全风险,最好的办法就是取消日志,通过设置让前置机不记录日志
B. 只允许特定的 IP 地址从前置机提取日志,对日志共享设置访问密码且限定访问的时间
C. 由于共享导致了安全问题,应直接关闭日志共享,禁止总部提取日志进行分析
D. 为配合总部的安全策略,会带来一定的安全问题,但不影响系统使用,因此接受此风险
解析：解析:通过 IP 指定和访问策略的设定,有效的降低被攻击几率。
A. everyone
B. administrator
C. powerusers
D. users
解析：解析:超级管理员组 administrator
A. 高级管理层——最终责任
B. 信息安全部门主管——提供各种信息安全工作必须的资源
C. 系统的普通使用者——遵守日常操作规范
D. 审计人员——检查安全策略是否被遵从
解析：解析:通常由管理层提供各种信息安全工作必须的资源。
A. 策略
B. 方针
C. 人员
D. 项目
A. 设计了用户权限分级机制和最小特权原则,导致软件在发布运行后,系统管理员不能查看系统审计信息
B. 设计了缓存用户隐私数据机制以加快系统处理性能,导致软件在发布运行后,被黑客攻击获取到用户隐私数据
C. 设计了采用不加盐(SALT)的 SHA-1 算法对用户口令进行加密存储,导致软件在发布运行后,不同的用户如使用了相同的口令会得到相同的加密结果,从而可以假冒其他用户登录
D. 设计了采用自行设计的加密算法对网络传输数据进行保护,导致软件在发布运行后,被攻击对手截获网络数据并破解后得到明文
解析：解析:首先是软件设计缺陷,其次对应的设计有缺陷导致某一后果。用户权限分级机制和最小特权原则导致系统管理员不能查看系统审计信息,这个在安全、保密等领域是专门这样设计的;BCD 都是由软件缺陷引起的。
A. 识别面临的风险并赋值
B. 识别存在的脆弱性并赋值
C. 制定安全措施实施计划
D. 检查安全措施有效性
解析：解析:风险要素包括资产、威胁、脆弱性、安全措施。
A. 风险管理在系统开发之初就应该予以充分考虑,并要贯穿于整个系统开发过程之中
B. 风险管理活动应成为系统开发、运行、维护、直至废弃的整个生命周期内的持续性工作
C. 由于在系统投入使用后部署和应用风险控制措施针对性会更强,实施成本会相对较低
D. 在系统正式运行后,应注重残余风险的管理,以提高快速反应能力
解析：解析:安全措施投入应越早则成本越低,C 答案则成本会上升。
