信息安全审核知识试题

2022年第二期CCAA注册ISMS信息安全管理体系审核员知识模拟试题一、单项选择题1、末次会议包括（）A、请受审核方确认不符合报告、并签字B、向审核方递交审核报告C、双方就审核发现的不同意见进行讨论D、以上都不准确2、下列哪一种情况下，网络数据管理协议(NDM.P)可用于备份?（）A、需要使用网络附加存储设备(NAS)时B、不能使用TCP/IP的环境时C、需要备份旧的备份系统不能处理的文件许可时中先创学D、要保证跨多个数据卷的备份连续、一致时3、《信息安全等级保护管理办法》规定,应加强涉密信息系统运行中的保密监督检查对秘密级、机密级信息系统每（）至少进行一次保密检查或系统测评。

A、半年B、1年C、1.5年D、2年4、当操作系统发生变更时，应对业务的关键应用进行（）以确保对组织的运行和安全没有负面影响A、隔离和迀移B、评审和测试C、评审和隔离D、验证和确认5、风险识别过程中需要识别的方面包括：资产识别、识别威胁、识别现有控制措施、（）。

A、识别可能性和影响B、识别脆弱性和识别后果C、识别脆弱性和可能性D、识别脆弱性和影响6、在根据组织规模确定基本审核时间的前提下,下列哪一条属于增加审核时间的要素?A、其产品/过程无风险或有低的风险B、客户的认证准备C、仅涉及单一的活动过程D、具有高风险的产品或过程7、审核计划中不包括（）。

A、本次及其后续审核的时间安排B、审核准则C、审核组成员及分工D、审核的日程安排8、被黑客控制的计算机常被称为(）A、蠕虫B、肉鸡C、灰鸽子D、木马9、GB/T22080-2016中所指资产的价值取决于（）A、资产的价格B、资产对于业务的敏感程度C、资产的折损率D、以上全部10、《信息技术安全技术信息安全治理》对应的国际标准号为（）A、ISO/IEC27011B、ISO/IEC27012C、ISO/IEC27013D、ISO/IEC2701411、对于信息安全方针，（）是ISO/IEC27001所要求的A、信息安全方针应形成文件B、信息安全方针文件为公司内部重要信息，不得向外部泄露C、信息安全方针文件应包括对信息安全管理的一般和特定职责的定义D、信息安全方针是建立信息安全工作的总方向和原则，不可变更12、以下哪项不属于脆弱性范畴？（）A、黑客攻击B、操作系统漏洞C、应用程序BUGD、人员的不良操作习惯13、关于适用性声明下面描述错误的是(）A、包含附录A中控制删减的合理性说明B、不包含未实现的控制C、包含所有计划的控制D、包含附录A的控制及其选择的合理性说明14、根据GB/T22080-2016/ISO/IEC27001:2013标准，以下做法不正确的是（）A、保留含有敏感信息的介质的处置记录B、离职人员自主删除敏感信息的即可C、必要时采用多路线路供电D、应定期检查机房空调的有效性15、容灾的目的和实质是（）A、数据备份B、系统的C、业务连续性管理D、防止数据被破坏16、《互联网信息服务管理办法》现行有效的版本是哪年发布的？()A、2019B、2017C、2016D、202117、()可用来保护信息的真实性、完整性A、数字签名B、恶意代码C、风险评估D、容灾和数据备份18、关于顾客满意，以下说法正确的是：（）A、顾客没有抱怨，表示顾客满意B、信息安全事件没有给顾客造成实质性的损失就意味着顾客满意C、顾客认为其要求已得到满足,即意味着顾客满意D、组织认为顾客要求已得到满足，即意味着顾客满意19、主动式射频识别卡(RFID)存在哪一种弱点?（）A、会话被劫持B、被窃听C、存在恶意代码D、被网络钓鱼攻击DR20、ISMS管理评审的输出应包括（）A、可能影响ISMS的任何变更B、以往风险评估没有充分强调的脆弱点或威胁C、风险评估和风险处理计划的更新D、改进的建议21、关于信息安全策略，下列说法正确的是（）A、信息安全策略可以分为上层策略和下层策略B、信息安全方针是信息安全策略的上层部分C、信息安全策略必须在体系建设之初确定并发布D、信息安全策略需要定期或在重大变化时进行评审22、由认可机构对认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格，予以承认的合格评定活动是（）。

2024年第二期CCAA注册ISMS信息安全管理体系审核员知识考试题目一、单项选择题1、《互联网信息服务管理办法》现行有效的版本是哪年发布的？()A、2019B、2017C、2016D、20212、当发生不符合时，组织应（）。

A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果3、（）是建立有效的计算机病毒防御体系所需要的技术措施A、补丁管理系统、网络入侵检测和防火墙B、漏洞扫描、网络入侵检测和防火墙C、漏洞扫描、补丁管理系统和防火墙D、网络入侵检测、防病毒系统和防火墙4、TCP/IP协议层次结构由（）A、网络接口层、网络层组成B、网络接口层、网络层、传输层组成C、网络接口层、网络层、传输层和应用层组成D、其他选项均不正确5、在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级A、3B、4C、5D、66、一家投资顾问商定期向客户发送有关经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾何商的公钥加密邮件的HASH值C、电子邮件发送前，用投资项问商的私钥数字签名邮件D、电子邮件发送前，用投资顾向商的私钥加密邮件7、管理者应（）A、制定ISMS方针B、制定ISMS目标和专划C、实施ISMS内部审核D、确保ISMS管理评审的执行8、管理员通过桌面系统下发IP、MAC绑定策略后，终端用户修改了IP地址，对其的处理方式不包括(）A、自动恢复其IP至原绑定状态B、断开网络并持续阻断C、弹出提示街口对其发出警告D、锁定键盘鼠标9、物理安全周边的安全设置应考虑：（）A、区域内信息和资产的敏感性分类B、重点考虑计算机机房，而不是办公区或其他功能区C、入侵探测和报警机制D、A+C10、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度11、公司A在内审时发现部分员工计算机开机密码少于6位，公司文件规定员工计算机密码必须6位及以上，那么中哪一项不是针对该问题的纠正措施？()A、要求员工立即改正B、对员工进行优质口令设置方法的培训C、通过域控进行强制管理D、对所有员工进行意识教育12、对于较大范围的网络，网络隔离是（）A、可以降低成本B、可以降低不同用户组之间非授权访问的风险C、必须物理隔离和必须禁止无线网络D、以上都对13、完整性是指()A、根据授权实体的要求可访问的特性B、信息不被未授权的个人实体或过程利用或知悉的特性C、保护资产准确和完整的特性D、保护资产保密和可用的特性14、审核抽样时，可以不考虑的因素是(）A、场所差异B、管理评审的结果C、最高管理者D、内审的结果15、信息安全管理中，支持性基础设施指：（）A、供电、通信设施B、消防、防雷设施C、空调及新风系统、水气暖供应系统D、以上全部16、构成风险的关键因素有（）A、人、财、物B、技术、管理和操作C、资产、威胁和弱点D、资产、可能性和严重性17、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域18、依据GB/T22080-2016/1SO/1EC.27001:2013标准，不属于第三方服务监视和评审范畴的是（）。

信息安全知识试题及答案信息安全在现代社会中起着至关重要的作用，保护个人和组织的信息免受恶意攻击是一项迫切需求。

下面是一些关于信息安全的试题及答案，以帮助您更好地了解和提高信息安全意识。

试题一：密码学基础1. 什么是对称加密算法？举例说明。

2. 什么是非对称加密算法？举例说明。

3. 什么是哈希函数？它在信息安全中的应用是什么？4. 什么是加密强度？它与密钥长度有何关系？答案一：1. 对称加密算法是一种使用相同密钥进行加密和解密的算法。

例如，DES（数据加密标准）和AES（高级加密标准）都是对称加密算法。

2. 非对称加密算法使用一对密钥，包括公钥和私钥。

公钥可用于加密，而私钥用于解密。

RSA（Rivest-Shamir-Adleman）和ECC（椭圆曲线密码算法）是非对称加密算法的代表。

3. 哈希函数是将任意长度的输入转换为固定长度输出的一种函数。

在信息安全中，哈希函数常用于验证数据的完整性和生成数字签名。

4. 加密强度是指加密算法抵抗破解攻击的能力。

密钥长度越长，加密强度越高。

因此，加密强度与密钥长度成正比关系。

试题二：网络安全1. 什么是防火墙？它如何保护网络安全？2. 什么是DDoS攻击？如何应对？3. 什么是SQL注入攻击？如何预防？4. 什么是恶意软件？列举几种常见的恶意软件类型。

答案二：1. 防火墙是一种网络安全设备，通过监控和控制网络流量来保护网络安全。

它可以根据事先设定的规则，阻止未经授权的访问和不安全的网络活动。

2. DDoS（分布式拒绝服务）攻击是指通过利用多个计算机或网络设备的攻击源，向目标服务器发送大量的请求，从而使目标服务器过载而无法响应正常请求。

为应对DDoS攻击，可以使用流量清洗、黑洞路由等方法。

3. SQL注入攻击是指攻击者通过向Web应用程序的数据库查询中插入恶意的SQL语句，从而获取数据库的敏感信息或执行未授权的操作。

预防SQL注入攻击的方法包括使用参数化查询、输入验证和限制数据库权限等。

信息安全试题及答案信息安全是当今社会中至关重要的一项任务，保护个人和组织的信息资产免遭损失和非法获取至关重要。

为了帮助大家深入了解和学习信息安全知识，本文将提供一些常见的信息安全试题及答案。

通过对这些问题的学习和思考，相信您将对信息安全有更全面和深入的理解。

一、选择题1. 下列哪个属于信息安全的“三要素”？A. 机密性、完整性、可用性B. 算法、密钥、加密模式C. 防火墙、入侵检测系统、反病毒软件D. 用户名、密码、验证码答案：A2. 钓鱼攻击的特点是什么？A. 以速度快著称B. 通过调查内部人员获取机密信息C. 通过冒充合法实体欺骗用户D. 利用漏洞攻击系统答案：C3. 下列哪个密码学算法是对称加密算法？A. RSAB. AESC. ECCD. Diffie-Hellman答案：B二、判断题1. 强密码应该包括大小写字母、数字和特殊字符。

答案：对2. 数字证书用于证明一个人的身份是真实的。

答案：对3. 强密码可以完全避免密码破解的风险。

答案：错三、简答题1. 什么是多因素认证？为什么多因素认证比单因素认证更安全？答：多因素认证是指在登录或身份验证过程中，使用多个独立的因素对用户进行验证。

常见的因素包括密码、指纹、手机验证码等。

相比单因素认证，多因素认证引入了额外的验证因素，提高了身份验证的安全性。

即使一个因素被破坏或获取到，其他因素仍然可以起到保护作用，大大减少了被未授权者冒用身份的风险。

2. 请简要介绍一下威胁情报的概念及作用。

答：威胁情报是指通过对恶意活动、攻击方法和攻击者行为的研究和分析，提供有关威胁的相关信息和洞察力。

威胁情报的作用是帮助组织预测和预防可能的攻击，改善主机和网络的防护措施，并能更快地回应和恢复攻击后的情况。

通过对威胁情报的及时获取和分析，组织可以提前采取必要的措施，加强信息安全防护。

四、应用题某公司正在建设一个新的内部网络，该网络将涉及大量重要数据的传输和存储。

作为信息安全专家，请为该网络设计一套完备的安全措施，确保数据的机密性、完整性和可用性。

信息安全审核知识试题 Document number：NOCG-YUNOO-BUYTT-UU986-1986UTITSMS审核员考试审核知识试卷201606一、单选题1、对于目标不确定性的影响是（）A、风险评估B、风险C、不符合D、风险处置2、管理体系是（）A、应用知识和技能获得预期结果的本领的系统B、可引导识别改进的机会或记录良好实践的系统C、对实际位置、组织单元、活动和过程描述的系统D、建立方针和目标并实现这些目标的体系3、审核的特征在于其遵循（）A、充分性。

有效性和适宜性B、非营利性C、若干原则D、客观性4、审核员在（）应保持客观性A、整个审核过程B、全部审核过程C、完整审核过程D、现场审核过程5、如果审核目标、范围或准则发生变化,应根据（）修改审核计划A、顾客建议B、需要C、认可规范 D。

认证程序6、在审核过程中，出现了利益冲突和能力方面的问题，审核组的（规模和组成）可能有必要加以调整。

A、审核员和技术专家B、审核组长和审核员C、规模和组成D、实习审核员7、从审核开始直到审核完成，（）都应对审核的实施负责。

A、管理者代表B、审核方案人员C、认证机构D、审核组长8、当审核不可行时，应向审核委托方提出（替代建议）并与受审核方协商一致。

A、合理化建议B、替代建议C、终止建议D、调整建议9、文件评审应考虑受审核方管理体系和组织的规模、性质和复杂程度以及审核的（）A、目标和范围B、方针和目标C、方案和计划D、标准和法规10、在编制审核计划时，审核组长不应考虑一下方面（）A、适当的抽样技术B、审核组的组成及其整体能力C、审核对组织形成的风险D、企业文化11、对于初次审核和（），审核计划的内容和详略程度可以有所不同A、监督审核。

内部审核和外部审核B、随后的审核、内部审核和外部审核C、监督审核、再认证审核和例外审核D、预审核、一阶段审核和二阶段审核12、如果在审核计划所规定的时间框架内提供的文件（不适宜、不充分），审核组长应告知审核方案管理人员和受审核方A、不适宜、不充分B、不是最新版本C、未经过审批D、不完整、不批准13、观察员应承担由审核委托方和受审核方（约定的）与健康安全相关的义务A、规定的B、法定的C、约定的D、确定的14、只有能够（）信息方可作为审核证据。

信息安全考试题库及答案一、单项选择题（每题2分，共20分）1. 信息安全的三个基本要素是机密性、完整性和______。

A. 可用性B. 可靠性C. 保密性D. 易用性答案：A2. 以下哪项不是信息安全的主要威胁？A. 病毒B. 黑客攻击C. 自然灾害D. 内部泄密答案：C3. 密码学中的对称加密算法是指加密和解密使用同一密钥的加密算法，以下哪个不是对称加密算法？A. AESB. RSAC. DESD. 3DES答案：B4. 以下哪个协议不是用于网络层的安全协议？A. IPsecB. SSL/TLSC. HTTPSD. SSH答案：B5. 在信息安全中，身份认证的目的是确保用户身份的______。

A. 真实性B. 合法性C. 唯一性D. 以上都是答案：D6. 以下哪个选项不是防火墙的功能？A. 访问控制B. 入侵检测C. 数据加密D. 包过滤答案：C7. 以下哪个选项不是数字签名的特点？A. 验证消息的完整性B. 验证消息的来源C. 可以被第三方验证D. 可以被发送者否认答案：D8. 以下哪个选项不是信息安全风险评估的步骤？A. 资产识别B. 威胁识别C. 风险分析D. 风险接受答案：D9. 以下哪个选项不是信息安全管理体系ISO/IEC 27001的标准要求？A. 信息安全政策B. 信息安全组织C. 业务连续性计划D. 员工绩效考核答案：D10. 以下哪个选项不是信息安全培训的内容？A. 安全意识教育B. 操作规程培训C. 应急响应演练D. 产品营销策略答案：D二、多项选择题（每题3分，共15分）1. 以下哪些措施可以提高系统的安全性？A. 定期更新操作系统B. 使用复杂密码C. 安装防病毒软件D. 禁用不必要的服务答案：ABCD2. 以下哪些因素可能影响信息安全？A. 人为因素B. 技术因素C. 管理因素D. 环境因素答案：ABCD3. 以下哪些属于信息安全的基本要求？A. 保密性B. 完整性C. 可用性D. 可审计性答案：ABCD4. 以下哪些是信息安全事故的常见类型？A. 数据泄露B. 系统崩溃C. 服务拒绝D. 恶意软件攻击答案：ABCD5. 以下哪些是信息安全管理体系ISO/IEC 27001的核心组成部分？A. 信息安全政策B. 风险评估C. 信息安全组织D. 业务连续性计划答案：ABCD三、判断题（每题2分，共10分）1. 信息安全仅指保护计算机系统免受攻击。

信息安全试题库及参考答案信息安全试题库1. 试题：什么是信息安全？简要描述其概念和重要性。

参考答案: 信息安全是保护信息免受未经授权的访问、使用、披露、破坏、修改或者泄露的安全措施和技术。

它涉及保护信息的完整性、可用性和机密性，对于机构和个人来说，信息安全保障了数据的安全性和业务的连续性，尤其在数字化时代更加重要。

2. 试题：列举一些常见的信息安全威胁和攻击方式。

参考答案: 常见的信息安全威胁包括计算机病毒、恶意软件、网络钓鱼、数据泄露、拒绝服务攻击（DDoS）等。

攻击方式主要包括网络攻击、物理攻击、社交工程攻击、应用程序漏洞利用和密码破解等。

3. 试题：什么是防火墙（Firewall）？它在信息安全中起到了什么作用？参考答案: 防火墙是一种用于保护计算机网络免受未经授权访问的安全设备。

它通过检测和过滤进出网络的数据流，根据预定的安全策略允许或阻止数据的传输。

防火墙起到了限制网络访问、保护网络免受恶意攻击、监控网络流量等作用，是信息安全中的重要组成部分。

4. 试题：什么是加密？为什么加密在信息安全中很重要？参考答案: 加密是通过使用密码算法将数据转换成密文的过程，以保护数据的安全性和隐私性。

加密在信息安全中很重要，它可以防止未经授权的访问和数据泄露，确保数据在传输和存储过程中的机密性和完整性。

5. 试题：描述密码学中的对称加密和非对称加密的区别。

参考答案: 对称加密和非对称加密是两种常见的加密算法。

对称加密使用相同的密钥进行加密和解密，速度较快，但存在密钥分发和管理的问题。

非对称加密使用公钥进行加密和私钥进行解密，安全性较高，但速度较慢。

非对称加密可以解决对称加密的密钥管理问题。

信息安全参考答案1. 试题：什么是社交工程攻击？列举一些常见的社交工程攻击手段。

参考答案: 社交工程攻击是利用人们的社交心理，通过与目标进行欺骗、伪装或诱导等手段，获取对方的敏感信息或进行非法操作的攻击方式。

常见的社交工程攻击手段包括钓鱼邮件、钓鱼网站、社交媒体欺诈、伪造身份等。

信息安全试题及答案一、单项选择题（每题2分，共20分）1. 信息安全的核心目标是保护信息的（）。

A. 可用性B. 完整性C. 机密性D. 所有选项答案：D2. 下列哪项不是信息安全的基本属性？A. 机密性B. 可用性C. 完整性D. 易用性答案：D3. 以下哪个协议不是用于数据加密的？A. SSLB. TLSC. SSHD. HTTP答案：D4. 以下哪项技术不是用于防止SQL注入攻击的？A. 参数化查询B. 预编译语句C. 错误信息显示D. 数据清洗答案：C5. 以下哪项不是防火墙的功能？A. 包过滤B. 状态检测C. 应用层代理D. 网络加速答案：D6. 以下哪项不是数字签名的目的？A. 验证消息的完整性B. 验证消息的来源C. 确保消息的机密性D. 提供不可否认性答案：C7. 以下哪项不是VPN（虚拟私人网络）的优势？A. 数据加密B. 访问控制C. 降低带宽成本D. 提高网络速度答案：D8. 以下哪项不是入侵检测系统（IDS）的功能？A. 异常检测B. 误用检测C. 网络监控D. 网络加速答案：D9. 以下哪项不是密码学中的基本概念？A. 对称加密B. 非对称加密C. 哈希函数D. 数据压缩答案：D10. 以下哪项不是信息安全风险评估的目的？A. 识别潜在的安全威胁B. 评估资产的价值C. 确定风险的优先级D. 提供网络加速服务答案：D二、多项选择题（每题3分，共15分）11. 以下哪些是信息安全的基本要素？（）A. 机密性B. 完整性C. 可用性D. 可审计性答案：ABCD12. 以下哪些是常见的网络攻击类型？（）A. 拒绝服务攻击（DoS）B. 分布式拒绝服务攻击（DDoS）C. 钓鱼攻击D. 社交工程答案：ABCD13. 以下哪些是信息安全策略的组成部分？（）A. 物理安全B. 人员安全C. 技术安全D. 法律安全答案：ABCD14. 以下哪些是信息安全管理体系ISO/IEC 27001标准中的关键要素？（）A. 信息安全政策B. 风险评估C. 信息安全组织D. 业务连续性管理答案：ABCD15. 以下哪些是密码学中的基本操作？（）A. 加密B. 解密C. 哈希D. 压缩答案：ABC三、判断题（每题2分，共10分）16. 信息安全仅关注技术层面的保护措施。

CCAA信息安全管理体系审核员考试（审核知识与技能）姓名：身份证号：单位名称：考试日期：年月日一、单项选择题(从下面各题选项中选出一个最恰当的答案，并将相应字母填在下表相应位置中。

每题1分，共40分。

)难度按5级划分，1级很容易，答题对的率90%以上，2级较容易，答题对的率80-90%之间，3级中档，答题对的率70-80% ，4级较难，答题对的率50-70%，5级很难，答题对的率50%以下。

答题对的率在30%以下的题不要出。

1．对于目的不拟定性的影响是（）。

A．风险评估B．风险C．不符合D．风险处置2．管理体系是（）。

A．应用知识和技能获得预期结果的本领的系统B．可引导辨认改善的机会或记录良好实践的系统C．对实际位置、组织单元、活动和过程描述的系统D．建立方针和目的并实现这些目的的体系3．审核的特性在于其遵循（）。

A．充足性、有效性和适宜性B．非营利性C．若干原则D．客观性4. 审核员在（）应保持客观性。

A．整个审核过程B．所有审核过程C．完整审核过程D．现场审核过程5. 假如审核目的、范围或准则发生变化，应根据（）修改审核方案。

A．顾客建议B．需要C．认可规范D．认证程序6. 在审核过程中，出现了利益冲突和能力方面的问题，审核组的（）也许有必要加以调整。

A．审核员和技术专家B．审核组长和审核员C．规模和组成D．实习审核员7. 从审核开始直到审核完毕，（）都应对审核的实行负责。

A．管理者代表B．审核方案人员C．认证机构D．审核组长8. 当审核不可行时，应向审核委托方提出（）并与受审核方协商一致。

A．合理化建议B．替代建议C．终止建议D．调整建议9. 文献评审应考虑受审核方管理体系和组织的规模、性质和复杂限度以及审核的（）A．目的和范围B．方针和目的C．方案和计划D．标准和法规10. 在编制审核计划时，审核组长不应考虑以下方面（）A．适当的抽样技术B．审核组的组成及其整体能力C．审核对组织形成的风险D．公司文化11. 对于初次审核和（），审核计划的内容和详略限度可以有所不同。

2022年12月ISMS信息安全管理体系CCAA审核员考试题目一、单项选择题1、以下可表明知识产权方面符合GB/T22080/ISO/IEC27001要求的是：（）A、禁止安装未列入白名单的软件B、禁止使用通过互联网下载的免费软件C、禁止安装未经验证的软件包D、禁止软件安装超出许可权规定的最大用户数2、我国网络安全等级保护共分几个级别？（）A、7B、4C、5D、63、根据《信息安全等级保护管理办法》,对于违反信息安全法律、法规行为的行政处罚中()是较轻的处罚方式A、警告B、罚款C、没收违法所得D、吊销许可证4、对于外部方提供的软件包，以下说法正确的是：（）A、组织的人员可随时对其进行适用性调整B、应严格限制对软件包的调整以保护软件包的保密性C、应严格限制对软件包的调整以保护软件包的完整性和可用性D、以上都不对5、对于交接区域的信息安全管理，以下说法正确的是:（）A、对于进入组织的设备设施予以检查验证,对于离开组织的设备设施则不必验证B、对于离开组织的设备设施予以检查验证,对于进入组织的设备设施则不必验证C、对于进入和离开组织的设备设施均须检查验证D、对于进入和离开组织的设备设施，验证携带者身份信息;可替代对设备设施的验证6、最高管理者应（）。

A、确保制定ISMS方针B、制定ISMS目标和计划C、实施ISMS内部审核D、主持ISMS管理评审7、涉及运行系统验证的审计要求和活动，应（）A、谨慎地加以规划并取得批准，以便最小化业务过程的中断B、谨慎地加以规划并取得批准，以便最大化保持业务过程的连续C、谨慎地加以实施并取得批准，以便最小化业务过程的中断D、谨慎地加以实施并取得批准，以便最大化保持业务过程的连续8、残余风险是指:（）A、风险评估前，以往活动遗留的风险B、风险评估后，对以往活动遗留的风险的估值C、风险处置后剩余的风险，比可接受风险低D、风险处置后剩余的风险，不一定比可接受风险低9、《信息安全等级保护管理办法》规定，应加强沙密信息系统运行中的保密监督检查。