379.为了解风险和控制风险,应当及时进行风险评估活动,我国有关文件指出:风险评估的工作形式可分为自评估和检查评估两种,关于自评估,下面选项中描述错误的是()。

自评估是由信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估

自评估应参照相应标准、依据制定的评估方案和准则,结合系统特定的安全要求实施

自评估应当是由发起单位自行组织力量完成,而不应委托社会风险评估服务机构来实施

周期性的自评估可以在评估流程上适当简化,如重点针对上次评估后系统变化部分进行

正确答案：C

解析：

解析:自评估也可以委托社会风险评估服务机构来实施。

141.有关系统安全工程-能力成熟度模型(SSE-CMM)中的通用实施(Generic Practices,

140.有关系统安全工程-能力成熟度模型(SSE-CMM),错误的理解是()。

139.某购物网站开发项目经过需求分析进入系统设计阶段,为了保证用户帐户的安全,项目开发人员决定用户登录时除了用户名口令认证方式外,还加入基于数字证书的身份认证功能,同时用户口令使用 SHA-1算法加密后存放在后台数据库中,请问以上安全设计遵循的是哪项安全设计原则()

138.关于《网络安全法》域外适用效力的理解,以下哪项是错误的()

137.在信息安全风险管理过程中,背景建立是实施工作的第一步。下面哪项理解是错误的()。

136.下列关于软件安全开发中的 BSI(Build Security In)系列模型说法错误的是()。

135.关于Wi-Fi 联盟提出的安全协议WPA和WPA2的区别,下面描述正确的是()。

134.某集团公司信息安全管理员根据领导安排制定了下一年度的培训工作计划,提出了四大培训任务和目标,关于这四个培训任务和目标,作为主管领导,以下选项中不合理的是()

133.某电子商务网站在开发设计时,使用了威胁建模方法来分析电子商务网站所面临的威胁。STRIDE是微软 SDL 中提出的威胁建模方法,将威胁分为六类,为每一类威胁提供了标准的消减措施,Spoofing是 STRIDE中欺骗类的威胁,以下威胁中哪个可以归入此类威胁()

132.小华在某电子商务公司工作,某天他在查看信息系统设计文档时,发现其中标注该信息系统的 RPO(恢复点目标)指标为 3小时。请问这意味着( )。