下载文档原格式
一、目的本规程定义了对无菌药品生产、转运、仓储、检验、分配中用到的系统进行系统影响性评估和部件关键性评估的程序。
影响性评估为风险评估，其输出是对应该进行确认的关键系统和其中的关键部件的识别和文件记录，确认活动的重点放在对产品质量有直接影响的系统上。
二、术语1 系统：直接或间接应用于药品的生产、转运、仓储、检验和分配的工艺设备、设备/仪器、公用设备和设施等，都被成为“系统”。
2 系统界限：围绕系统所做的范围界定，用于逻辑定义哪些包括在系统内，哪些不包括在系统内。
3 直接影响系统：预计对“产品”有直接影响的系统，影响到重要房间或功能间的环境条件，及对GxP文件的完整性有影响的系统。
这些系统的设计和调试符合GEP。
另外，对直接影响系统需要进行确认活动。
4 间接影响系统：对“产品”、重要房间或功能间的环境条件或GxP文件的整体性有间接影响的系统。
即该系统为某一直接影响系统提供公用设施、或对某一直接影响系统的性能有影响或为该系统提供注册申报资料。
对“间接影响”产品质量的系统进行调试。
某些情况下, 可对间接影响系统的设备实施确认，并且记录设备测试。
5 没有影响的系统：对“产品”、重要房间或功能间的环境条件或GxP文件的整体性既无直接又无间接影响的系统。
这些系统仅需按照GEP要求设计并调试。
6 系统影响性评估(SIA)：对那些系统在产品质量或工艺性能上有直接影响的系统评估。
有直接影响的系统需要调试和确认，间接影响和无影响的系统只需要进行调试。
7 关键部件：直接影响系统的一个部件，其操作、连接、数据控制、报警或故障可能会对产品质量有直接影响。
这些部件包括在安装确认/运行确认/性能确认（IQ/OQ/PQ）方案中。
8 非关键部件：在直接影响系统中，其操作、连接控制、报警或故障对产品质量没有影响的部件。
三、内容1 影响性评估的输入1.1 影响性评估活动需要用到以下文件（包括但不限于），以助于理解系统及其部件对产品质量的影响：1.2 用户需求说明（URS）。
一、 工艺气体系统基础知识1、分类药品生产企业在生产过程中需要使用各种各种工艺气体，如压缩空气、氮气、氧气、二氧化碳、燃气、真空等。
按照其用途可分为两类：仪表用气和工艺用气。
仪表用气主要是给设备运行提供动力，工艺用气则一般与工艺流接触，有可能影响到产品质量，为直接影响系统，需要重点关注。
2、定义2.1压缩空气：带有一定压力的气体称为压缩空气；21.1℃下单一气体或者混合气体的绝对压力超过40psi，或者54.4℃下，容器气体或混合气体的绝对压力超过104psi，或者在37.8℃下液体蒸汽压超过40psi。
（ASTM-323-72）1bar=0.1Mpa =100000Pa ；1MPa=10 bar。
2.2工艺气体：指可能影响产品质量的压缩空气。
（ISPE）2.3油、气体含油量：油：含有6个或更多的碳原子碳氢化合物的混合物。
气体含油量：单位体积的压缩空气所含的油（包括油滴、油蒸气）的质量。
单位：mg/m3，可以用ppm表示。
2.4 露点：湿空气在等压力下冷却，使空气里原来所含未饱和水蒸汽变成饱和水蒸汽的温度，或者说，在3、典型用途和质量控制要求3.1压缩空气3.1.1物料的转移和吹扫：直接影响GMP，应控制压力、含水量、含油量、悬浮粒子、微生物；3.1.2工艺系统灭菌后的保压：直接影响GMP，应控制压力、含水量、含油量、悬浮粒子、微生物。
3.2氮气等惰性气体3.2.1产品干燥时氮气保护：直接影响GMP，应控制纯度（氧气含量）、含水量、含油量、悬浮粒子、微生物；3.2.2工艺系统灭菌后的保压：直接影响GMP，应控制压力、含水量、含油量、悬浮粒子、微生物；3.2.3最终产品灌装保护气保证效期：直接影响GMP，应控制纯度（氧气含量）、含水量、含油量、悬浮粒子、微生物。
注：气体的含水量、含油量是常规控制项目。
4、压缩空气系统一般流程图无油空压机将环境中的空气压缩为压缩空气，压缩空气经水分分离器、AO除油除尘过滤器及AA除油过滤初步去除压缩空气中的水分、油分、悬浮粒子和微生物后再经吸附式干燥机、AR除固体颗粒过滤器、活性炭过滤器及终端除菌过滤器去除压缩空气中的水分、油分、悬浮粒子和微生物，保证洁净压缩空气中的水分、油分、悬浮粒子和微生物限度符合洁净压缩空气使用标准。
SIA：系统影响性评估CCA：部件关键性评估CAPA：纠正措施和预防措施URS：user requirement specification 用户需求规格书FAT：Factory Acceptance TestSAT：Site Acceptance TestDQ：Design Qualification 设计确认IQ：Installation Qualification 安装确认OQ：Operation Qualification 操作(运行)确认PQ：Performance Qualification 性能确认SOP：Standard operation procedure 标准操作程序1、中药材从进厂到出厂，含量检验几次？答：两次，原药材一次，成品一次，成品在包装前检验。
2、有一个品种，有一个包装规格是经销商定制的，每次要货不够一批，可以分成两个包装规格吗？一部份包装成定制，另一部份做成常规包装规格。
答：可以，做好包装记录。
3、做原料药时用的起始物料有效期怎么确定？购买时厂家标准和报告里均没有体现。
答：可以自己先行制定，然后制定期限进行复检。
4、公司一注射剂车间要变更为独立的企业法人公司，请问，这种情况需要重新认证吗？答：如果是车间、品种、工艺等没有变化，那就需要重新认证；如果只是关键人员和组织架构发生变化，那就只做备案和变更就可以了。
5、委托加工委托方提供药材，并出检验报告单，受托方在生产之前是否还需要对药材再进行检验？答：一般不需要，在委托协议中明确详细规定双方责任即可。
6、申请变更延长制剂的有效期，药学研究那块是否需要做加速？答：主要是做长期稳定性考察试验。
7、企业可以比药店执行的日期先行执行吗？答：可以。
8、请问变更包材（原来是铝塑包装，现变更为瓶装），需要省局还是国家局批准？答：口服的是批省局批；注射剂是报国家批的。
9、生产相关记录和检验记录应该保存多长时间？答：GMP162条产品有效期后一年，对没有有效期的产品确定一个贮存期。
计算机化系统CSV验证问答Q1：什么是计算机化系统？由计算机系统控制部分和受控的功能和模块构成，计算机控制部分包括控制软件和硬件(如电脑、固件等) ，受控部分包括仪器设备和人员、SOP 程序、组织、培训等。
在制药工厂中，计算机化系统主要有实验室仪器设备、应用程序、IT基础设施和生产单元等。
Q2: 全球哪些监管法规重点要求了计算机化系统验证？美国、欧盟、中国都有相关的法规美国FDA 21 CFR Part 11：电子记录/签名欧盟Annex 11：计算机化系统欧盟EMA：发布计算机化系统验证-核心文件，Annex2：复杂计算机化系统验证2018年4月发布，2018年8月1日强制实施中国CFDA：2010版GMP附录-<计算机化系统> <确认与验证>；2015年12月中国CFDA ：<药物非临床研究质量管理规范> 新版GLP，第十六条强调计算机化系统验证2017年9月1日生效ISPE GAMP5（指南基于风险的验证策略/V 模型文档PIC/s PI-011（指南）在法规监管GxP环境下计算机化系统验证良好规范《药品数据管理规范》（征求意见稿，2018 年1 月）是数据可靠性的法规文件，明确地规定了对计算机系统需要有验证，且对验证要求都做出了明确的规定Q3：一个完整的CSV 验证需要考虑哪些？—— CSV 实施框架V ModelGAMP5 V 模型的核心是风险分析与控制，V 模型左边主要是需求规格，V 模型底部是系统的安装/调试/配置，V 模型右边主要是确认与测试，以证明需求是否得到满足。
具体而言，V 模型左边包括验证计划VP、系统影响性评估SIA 或法规风险分析、URS 用户需求说明、FRS 功能规格说明、以及根据这些功能需求所做出详细风险分析，即功能风险分析FRA、DS/CS设计/配置规格。
另外，还包括系统供应商评估，这个也是验证前期需要做的重要环节。
系统经过安装/调试/配置后，然后进行IQ/OQ 确认测试，需要准备相关SOPs 和进行员工培训，再进行PQ 确认测试，RTM 需求追踪矩阵，验证总结报告VSR。
2024年第一期CCAA注册审核员考试题目—ISMS信息安全管理体系知识一、单项选择题1、防火墙提供的接入模式不包括(）A、透明模式B、混合模式C、网关模式D、旁路接入模式2、在规划如何达到信息安全目标时，组织应确定（）A、要做什么，有什么可用资源，由谁负责，什么时候开始，如何测量结果B、要做什么，需要什么资源，由谁负责，什么时候完成，如何测量结果C、要做什么，需要什么资源，由谁负责，什么时候完成，如何评价结果D、要做什么，有什么可用资源，由谁执行，什么时候开始，如何评价结果3、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度4、在安全模式下杀毒最主要的理由是（）A、安全模式下查杀病速度快B、安全模式下查杀比较彻底C、安全模式下查杀不连通网络D、安全模式下查杀不容易死机5、关于信息安全管理体系认证，以下说法正确的是（）A、认证决定人员不宜推翻审核组的正面结论B、认证决定人员不宜推翻审核组的负面结论C、认证机构应对客户组织的ISMS至少进行一次完整的内部审核D、认证机构必须遵从客户组织规定的内部审核和管理评审的周期6、保密性是指（）A、根据授权实体的要求可访问的特性B、信息不被未授权的个人、突体或过程利用或知悉的特性C、保护信息的准确和完整的特性D、以上都不対7、下列哪一种情况下，网络数据管理协议(NDM.P)可用于备份?（）A、需要使用网络附加存储设备(NAS)时B、不能使用TCP/IP的环境时C、需要备份旧的备份系统不能处理的文件许可时中先创学D、要保证跨多个数据卷的备份连续、一致时8、信息安全目标应()A、可测量B、与信息安全方针一致C、适当时，对相关方可用D、定期更新9、《信息安全等级保护管理办法》规定，应加强沙密信息系统运行中的保密监督检查。
对秘密级、机密级信息系统每（）至少进行次保密检查或者系统测评。
目的：该规程用于评估待验证的设备/系统是否对产品质量有影响，以指导设备和系统确认的范围，并且为没有质量影响而不进行验证的设备/系统提供文件支持。
范围：适用于产品制剂工艺设备和系统。
职责：质量部负责本规程的起草并监督执行，各部门按具体的风险评估进行风险管理。
依据：《药品生产质量管理规范》（2010版）。
1 定义1.1系统：有确定运行功能（例如：管道、仪表、设备、设施、计算机硬件/软件）的工程组件的组合。
1.2系统范围界定：用来定义系统所包含的内容。
1.3系统影响性评估（SIA)：是指评估系统的运行、控制、报警和故障状况对产品质量影响的过程。
SIA就是用于判断哪些系统要进行验证/确认的依据。
1.4直接影响系统：预计对“产品”有直接影响的系统，影响到重要房间或功能间的环境条件，及对 GxP文件的完整性有影响的系统。
这些系统的设计和调试符合GEP。
另外，对直接影响系统需要进行确认活动。
1.5间接影响系统：预计对“产品”不会产生直接影响的系统，对关键房间或操作间的环境条件、或 GxP文件的整体性均无直接影响，但通常是直接影响系统的辅助系统。
这些系统仅需按照GEP要求设计、安装和调试，不要求做确认。
1.6无影响的系统：对“产品”、重要房间或功能间的环境条件或GxP文件的整体性既无直接又无间接影响的系统。
这些系统仅需按照 GEP要求设计、安装和调试。
2评估原则2.1每个设备或系统在制定验证方案前进行法规符合性评估，这将有助于准确的制定验证方案以确定验证所需要的行动和资源。
2.2在进行进行法规符合性评估前，必须全面的理解用户需求标准和药品法规，包括该设备对电子记录和电子签名的要求（如果涉及）。
3设备/系统影响评估方法3.1首先将待评估的设备/系统归类为“直接影响系统”、“间接影响系统”、“无影响的系统”。
3.2再对“直接影响系统”的部件进行关键性评估；之后，对关键性的部件进行风险评估；下一步，对直接影响系统在GEP基础上进行确认；对“间接影响系统”或“无影响的系统”按照GEP进行设计、按照和调试。
经典质量管理类问答Q 55：听说ISPE C&Q第二版对系统影响性评估（SIA）做了修改，同时取消了部件关键性评估（CCA），那以后我们还可以应用SIA和CCA吗？解答：首先，ISPE C&Q指南不是强制性推广的法规指南。
其次，对SIA和CCA的变化进行继续分析：ISPE C&Q指南(第二版)对系统影响性评估（SIA）做了微调，但是没有颠覆性修改，还可以继续使用。
ISPE C&Q指南(第二版)取消了部件关键性评估（CCA），替代为系统风险评估(SRA)，SRA 比较科学，推荐使用。
但是从SRA的实际应用来说，难度比较大，所以，在对SRA没有充分认识的情况下，还是推荐继续使用CCA。
理由：N/A参考：N/AQ 54：ISPE C&Q第二版的新型风险评估是怎么开展的？需要企业具备什么样的基础？解答：首先，企业要有关键质量属性（CQA）和关键工艺参数(CPP)的评估基础。
其次，企业要对系统风险评估(SRA)工具做更多了解，才有可能应用。
理由：N/A参考：N/AQ 53：纠正和纠正措施实施在签批之前怎么办？解答：先明确纠正和纠正措施是什么，纠正：为消除已发现的不合格所采取的措施。
纠正措施：为消除已发现的不合格的原因所采取的措施。
从定义可以分析出，纠正措施一定是在明确了不合格原因后采取的，这个原因也要得到QA 认可的，确定了原因的同时制定纠正措施，所以不存在纠正措施没有批准就实施的情况。
纠正是为了紧急将偏差停止的措施，有可能在正式的纠正措施之前执行，这时就需要一个应急程序来进行偏差的纠正，有的企业采取紧急批准人等措施。
理由：N/A参考：N/AQ 52：变更关闭的必要条件除了变更相关措施已完成，是否需要评估受变更影响第一批放行产品的质量解答：不是必须的。
理由：可根据具体变更的项目及对产品质量影响程度的评估情况确定，是否需跟踪后期产品质量情况。
参考：第二百四十四条改变原辅料、与药品直接接触的包装材料、生产工艺、主要生产设备以及其他影响药品质量的主要因素时，还应当对变更实施后最初至少三个批次的药品质量进行评估。
社会影响评估报告的步骤与技巧引言：社会影响评估报告（Social Impact Assessment，SIA）是一种重要的科学方法，用于评估特定发展项目对社会产生的影响，并提出相应的管理措施。
本文将从六个方面详细论述社会影响评估报告的步骤与技巧。
一、确定评估目标评估目标的明确是社会影响评估报告的首要步骤。
评估人员应与建设单位充分沟通，明确评估的范围和内容，确定评估的目标和目的。
这一步骤的关键是建立一个明确的框架，确保评估的全面和准确。
二、数据收集与分析数据收集是社会影响评估报告的关键步骤。
评估人员需要收集关于影响项目的社会经济背景、环境条件和人口情况的相关数据，并进行详细分析。
数据收集可以通过问卷调查、现场观察和专家访谈等方式进行。
在数据分析过程中，评估人员应采用恰当的统计方法和分析工具，提取关键信息，确保评估的科学性和客观性。
三、评估影响评估影响是社会影响评估报告的核心步骤。
评估人员需要将收集到的数据和分析结果与评估目标相结合，对项目可能产生的经济、环境和社会影响进行评估。
评估人员应在评估过程中充分考虑当地的社会文化和经济状况，提供准确和全面的评估结果。
四、风险识别与减轻措施在评估影响的基础上，评估人员需要识别潜在的风险和问题，并提出相应的减轻措施。
这包括制定环境保护措施、社区参与计划和社会福利补偿方案等。
评估人员应充分考虑利益相关者的意见和建议，并与当地政府和社区进行密切合作，确保评估结果的可行性和有效性。
五、撰写报告与呈递社会影响评估报告的撰写是一项关键任务。
报告应准确、清晰地概括评估的目标和过程，并详细介绍评估中的数据、分析和评估结果。
评估人员应使用简明扼要的语言，避免术语和专业性语言的过多使用。
同时，报告应向建设单位、政府和相关利益相关者提出明确的建议和措施，以促进有效管理和减少不利影响。
六、评估结果的跟踪与回顾最后一步是对评估结果进行跟踪和回顾。
评估人员应与建设单位、政府和相关利益相关者合作，监测项目的社会影响，并及时调整和改进管理措施。
社会影响评估社会影响评估（Social Impact Assessment，简称SIA）是一种评估社会和人类活动对自然环境和社会组织的影响的方法。
它是一种系统性的评估方法，通过系统地收集、分析和评估社会变化、社会成本和效益，以及社会公正和可持续发展的维度来评估项目、政策或计划对社会的影响。
一、概述社会影响评估的目标是全面了解和评估项目或政策对社会的影响，从而为决策者提供评估结果，为项目或政策的合理性和可行性提供依据。
社会影响评估通常包括以下几个关键方面的评估：1. 社会风险评估：评估项目或政策可能对当地社会造成的风险，包括人口迁移、文化变迁、社会凝聚力削弱等。
2. 社会效益评估：评估项目或政策可能对社会组织和社区民众的经济、社会和环境效益。
3. 社会公正评估：评估项目或政策对社会各阶层和群体的公正性影响，包括社会公平性、公民参与和社会权益保护等。
二、社会影响评估的重要性社会影响评估在现代社会发展中起到重要作用，原因如下：1. 促进决策的科学性：社会影响评估提供了项目或政策的全面评估，帮助决策者了解项目或政策可能引发的社会问题和潜在影响。
2. 保护社会公正和权益：通过评估社会公正和权益，社会影响评估可以为决策者提供关于平衡发展和社会公正的决策依据。
3. 促进可持续发展：社会影响评估可以评估项目或政策对社会和环境的长期影响，促进可持续发展的目标实现。
三、社会影响评估的方法与步骤社会影响评估主要包括问题识别、研究对象选择、评估指标建立、数据收集与分析以及评估结果的提出等步骤。
1. 问题识别：确定评估的目标、范围和重点问题，明确评估的目的。
2. 研究对象选择：根据评估目标，确定需要评估的项目、政策或计划，并进行背景研究。
3. 评估指标建立：建立评估指标体系，包括社会经济指标、社会认同指标、环境指标等。
4. 数据收集与分析：收集相关数据、文献资料，并进行数据分析，从而评估项目或政策的社会影响。
5. 评估结果提出：根据数据分析的结果，提出社会影响评估报告，反馈给决策者。
2024年第一期CCAA国家注册审核员ISMS信息安全管理体系复习题一、单项选择题1、下面哪一种环境控制措施可以保护计算机不受短期停电影响？（）A、电力线路调节器B、电力浪涌保护设备C、备用的电力供应D、可中断的电力供应2、组织应（）。
A、对信息按照法律要求、价值、重要性及其对授权泄露或修改的敏感性进行分级B、对信息按照制度要求、价值、有效性及其对授权泄露或修改的敏感性进行分级C、对信息按照法律要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级D、对信息按照制度要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级3、()是风险管理的重要一环。
A、管理手册B、适用性声明C、风险处置计划D、风险管理程序4、从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A、计算机舞弊B、欺骗或胁迫C、计算机偷窃D、计算机破坏5、下列哪项不是监督审核的目的？（）A、验证认证通过的ISMS是否得以持续实现B、验证是否考虑了由于组织运转过程的变化而可能引起的体系的变化C、确认是否持续符合认证要求D、作出是否换发证书的决定6、《计算机信息系统安全保护条例》中所称计算机信息系统，是指A、对信息进行采集、加工、存储、传输、检索等处理的人机系统B、计算机及其相关的设备、设施，不包括软件C、计算机运算环境的总和，但不含网络D、一个组织所有计算机的总和，包括未联网的微型计算机7、依据GB/T29246,控制目标指描述控制的实施结果所要达到的目标的（）。
A、说明B、声明C、想法D、描述8、最高管理层应（），以确保信息安全管理体系符合本标准要求。
A、分配职责与权限B、分配岗位与权限C、分配责任与权限D、分配角色和权限9、加密技术可以保护信息的(）A、机密性B、完整性C、可用性D、A+B10、当发生不符合时，组织应（）。
A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果11、完整性是指（）A、根据授权实体的要求可访问的特性B、信息不被未授权的个人、实体或过程利用或知悉的特性C、保护资产准确和完整的特性D、以上都不对12、为信息系统用户注册时，以下正确的是:（）A、按用户的职能或业务角色设定访问权B、组共享用户ID按组任务的最大权限注册C、预设固定用户ID并留有冗余，以保障可用性D、避免频繁变更用户访问权13、对于获准认可的认证机构，认可机构证明（）A、认证机构能够开展认证活动B、其在特定范围内按照标准具有从事认证活动的能力C、认证机构的每张认证证书都符合要求D、认证机构具有从事相应认证活动的能力14、关于信息安全策略，下列说法正确的是（）A、信息安全策略可以分为上层策略和下层策B、信息安全方针是信息安全策略的上层部分C、信息安全策略必须在体系建设之初确定并发布D、信息安全策略需要定期或在重大变化时进行评审15、—个信息安全事件由单个的或一系列的有害或一系列（）信息安全事态组成，它们具有损害业务运行和威胁信息安全的极大可能性A、已经发生B、可能发生C、意外D、A+B+C16、设置防火墙策略是为了(）A、进行访问控制B、进行病毒防范C、进行邮件内容过滤D、进行流量控制17、关于防范恶意软件，以下说法正确的是：（）A、物理隔断信息系统与互联网的连接即可防范恶意软件B、安装入侵探测系统即可防范恶意软件C、建立白名单即可防范恶意软件D、建立探测、预防和恢复机制以防范恶意软件18、形成ISMS审核发现时，不需要考虑的是（）A、所实施控制措施与适用性声明的符合性B、适用性声明的完备性和适宜性C、所实施控制措施的时效性D、所实施控制措施的有效性19、ISO/IEC27701是（）A、是一份基于27002的指南性标准B、是27001和27002的隐私保护方面的扩展C、是ISMS族以外的标准D、在隐私保护方面扩展了270001的要求20、进入重要机构时，在门卫处登记属于以下哪种措施？（）A、访问控制B、身份鉴别C、审计D、标记21、依据GB/T22080,网络隔离指的是(）A、不同网络运营商之间的隔离B、不同用户组之间的隔离C、内网与外网的隔离D、信息服务，用户及信息系统22、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域23、计算机病毒是计算机系统中一类隐藏在（）上蓄意破坏的捣乱程序A、内存B、软盘C、存储介质D、网络24、以下可表明知识产权方面符合GB/T22080/ISO/IEC27001要求的是：（）A、禁止安装未列入白名单的软件B、禁止使用通过互联网下载的免费软件C、禁止安装未经验证的软件包D、禁止软件安装超出许可权规定的最大用户数25、对于可能超越系统和应用控制的实用程序,以下做法正确的是（）A、实用程序的使用不在审计范围内B、建立禁止使用的实用程序清单C、紧急响应时所使用的实用程序不需要授权D、建立、授权机制和许可使用的实用程序清单26、被黑客控制的计算机常被称为(）A、蠕虫B、肉鸡C、灰鸽子D、木马27、(）是确保信息没有非授权泄密，即信息不被未授权的个人、实现或过程，不为其所用。
2024年3月CCAA国家注册审核员考试题目—ISMS信息安全管理体系知识一、单项选择题1、ISMS关键成功因素之一是用于评价信息安全管理执行情况和改进反馈建议的（）系统A、报告B、传递C、评价D、测量2、下面哪一种属于网络上的被动攻击（）A、消息篡改B、伪装C、拒绝服务D、流量分析3、信息分类方案的目的是（）A、划分信息载体的不同介质以便于储存和处理，如纸张、光盘、磁盘B、划分信息载体所属的职能以便于明确管理责任C、划分信息对于组织业务的关键性和敏感性分类，按此分类确定信息存储、处理、处置的原则D、划分信息的数据类型，如供销数据、生产数据、开发测试数据，以便于应用大数据技术对其分析4、残余风险是指:（）A、风险评估前，以往活动遗留的风险B、风险评估后，对以往活动遗留的风险的估值C、风险处置后剩余的风险，比可接受风险低D、风险处置后剩余的风险，不一定比可接受风险低5、审核证据是指（）A、与审核准则有关的，能够证实的记录、事实陈述或其他信息B、在审核过程中收集到的所有记录、事实陈述或其他信息C、一组方针、程序或要求D、以上都不对6、关于访问控制策略，以下不正确的是：（）A、须考虑被访问客体的敏感性分类、访问主体的授权方式、时限和访问类型B、对于多任务访问，一次性赋予全任务权限C、物理区域的管理规定须遵从物理区域的访问控制策D、物理区域访问控制策略应与其中的资产敏感性一致7、风险评价是指（）A、系统地使用信息来识别风险来源和评估风险B、将估算的风险与给定的风险准则加以比较以确定风险严重性的过程C、指导和控制一个组织相关风险的协调活动D、以上都对8、组织应（）与其意图相关的，且影响其实现信息安全管理体系预期结果能力的外部和内部事项。
A、确定B、制定C、落实D、确保9、以下说法不正确的是(）A、应考虑组织架构与业务目标的变化的风险评估进行再评审B、应考虑以往未充分识别的威胁对风险评估结果进行再评估C、制造部增加的生产场所对信息安全风险无影响D、安全计划应适时更新10、容量管理的对象包括（）A、信息系统内存B、办公室空间和基础设施C、人力资源D、以上全部11、关于内部审核下面说法不正确的是(）。
