题号

题目

答案

解析

1

某系统实施后，发现处理交易速度慢，审计师应该审查？A. 容量管理 B. 压力测试C. 数据执行结果D. 业务流程

A

容量管理性能问题

2

物理设施，审计师最？A. 没有安装双门系统B. 没有安装摄像头C. 用钥匙代替智能卡D. 没有访问记录

D

没有访问记录问题最严重

3

下面哪一项能够最有效地确保只有适当的用户才能进行薪资处理？A. 使用网络安全软件，来限制对处理的访问B. 对敏感的应用程序交易，使用一个独立的菜单C. 由主管负责批准薪资处理D. 将访问权限限制在应用程序级别

D

4

某IS审计师正在对某组织的系统进行实施后审查，并发现了会计应用内部的输出错误。该IS审计师确定这是由输入错误造成的。该IS审计师应当向管理层建议以下哪一项控制？A.重新计算B.限值检查(limit check)C.运行到运行的汇总(run-to-run total)D.对账

B

A.手动重新计算交易的样本可以确保该处理完成预期任务。重新计算在输出阶段之后执行。B.处理控制应当尽可能靠近数据入口实施。极限检查是一种输入验证性检查，它提供预防性控制，以确保无法输入无效数据，原因是数据值必须在预定值范围之内。<p.189 处理控制>C.运行总计提供在整个应用处理阶段数据值的验证能力。运行总计验证可确保读取到计算机中的数据被接受并且随后应用到处理流程。运行总计在输出阶段之后执行。D.应当在日常工作中执行文件总体的对账。可通过手动维护帐户、文件控制记录或独立控制文件的应用来执行对账。对账在输出阶段之后执行。

5

在审查IT资源能力和性能的持续监测流程时，IS审计师应当主要确保该流程重点：A.充分监测IT资源和服务的服务等级。B.提供数据，以确保能够及时规划容量和性能要求。C.提供有关IT资源可用性的准确反馈。D.正确预测IT资源的性能、能力和吞吐量。

C

A.持续监测有助确保符合服务等级协议（SLA)，但这并非监测的主要点。即使系统离线，它也有可能符合SLA的要求。因此，准确的可用性监测更重要。B.尽管通过能力和性能监测获得的数据将是规划流程的一种输入，主要点是监测可用性。C.准确监测IT资源的可用性是持续监测流程的最关键要素。D.尽管持续监测有助管理层预测可能的IT资源能力，更关键的问题是可用性监测要准确。

6

IT风险评估应包括识别以下哪项？A. 补偿控制措施B. 弱点C. 业务流程所有者D. 业务要求

B

风险评估的流程，资产识别，威胁、弱点识别，现有控制分析，风险评价，风险处置

7

下列哪一种灭火系统需要与自动开关组合，才能在警报激活时切断电源？A. 二氧化碳B. 七氟丙烷C. 灭火卤化物D. 干管灭火

D

水来灭火要断电

8

使电子商务应用程序更强壮的最佳方法: A.集群服器B.磁盘冗余阵列0 (RAID0) C.电子保险箱D.外部设备

A

9

在灾难恢复审计过程中，某信息系统审计师发现没有进行业务影响分析，审计师需首先开展哪项工作？A. 执行额外的符合性测试B. 评估对当前灾难恢复能力的影响C. 执行业务影响分析D. 向管理层提交报告

B

非紧急先调研<C.审计师不能执行业务影响分析！>

10

多个远程用户无法与安全的HTTP服务器通信，最可能的原因是：A.黑客模拟了此服务器B.使用密码破解软件 C.偷听者重播攻击 D.黑客使用探查器

A

破坏了可用性

11

在对最近部署的应用执行实施审查过程中，发现几个事故被分配了错误的优先级，并因此未能符合服务等级协议（SLA)的要求。以下哪一项最令人担心？A.支持模型未经高级管理层批准。B.SLA中规定的事故解决时间不现实。C.没有足够的资源来支持应用。D.未适当开发和实施事故支持模型。

D

A.尽管高级管理层的参与很重要，但更关键的问题是，是否适当开发和实施了支持模型。B.尽管服务等级协议（SLA)中指定的事故解决时间并不一定总是可以实现；但更关键的问题是，是否适当开发和实施了支持模型。C.尽管足够的支持资源很重要，但更关键的问题是，是否适当开发和实施了支持模型。D.IS审计师最担心的是未正确开发和实施用于防止或应对潜在中断的支持模型。事故可能给企业带来大量财务损失，并且应当随同项目实施支持模型。这应当是系统开发生命周期（SDLC)和程序中的一个步骤，并且如果在某个项目中缺失，则可能是流程中发生全面崩溃的症状。

12

下列哪一项能够最有效地防止病毒进入局域网中 A.禁止用户访问互联网B.定期扫描网络上的硬盘 C.禁用下载可执行文件的能力 D.在网络服务器上安装内存驻留病毒扫描程序

D

第四章 No.74以下哪个流程能够最有效地检测到将非法软件包加载到网络上的这一行为？A．使用无盘工作站 <预防性控制>B．定期检查硬盘C．使用最新的防病毒软件D．违反规定便立即解雇的政策<预防性控制>

13

怀疑一个用来处理数据的PC，被用于针对财务部门的舞弊，应首先向谁报告 A.业务管理部门B.警察C.审计委员会 D.审计管理部门

C

< 当内部审计师怀疑有舞弊行为时，必须通知企业组织内适当的权利机构并提出进行调查的建议。此后，内部审计师要进行跟踪审计，以了解进展情况。首席审计执行官要在过程中，适当地与管理人员、安全部门等协调行动，因为安全部门在舞弊调查方面通常拥有更多的专家。CPA考题中的说法：如果确定或怀疑舞弊涉及管理层，应当尽早与治理层沟通。如果认为所沟通的违反法律法规的事项是故意和重大的，应当及时向治理层通报如果怀疑违反法律法规行为涉及到管理层或治理层，应当向被审计单位的审计委员会或监事会等更高级别的机构通报。如果注册会计师不能确定向谁报告，应该考虑是否要征询法律意见>

14

IS审计师需验证应用发布后是否有完成实施后审查流程的主要原因是什么？A.确保用户经过适当培训B.验证项目在预算范围之内C.核实项目达到预期D.确定是否已实施适当的控制措施

C

A.实施后审查的目的不是验证用户培训需求。B.项目成本在开发过程中监测，并且不是进行实施后审査的主要原因。C.实施后审查的目的是查明系统实施后是否达到计划的目标（即达到业务目标和风险接受标准）。D.尽管IS审计师有兴趣确保实施适当的控制措施，但最重要的考虑因素是项目是否达到预期。

15

在开发整个公司电子数据交换（EDI）项目的过程中，必须完成下列那一项？A. 实施消息标准B. 审查所有供应商的EDI应用程序C. 实施加密技术D. 安装一个ISDN

A

制定双方通信的标准是EDI必不可少的步骤

16

制订业务连续性计划的第一步，也是必不可少的一步是：A. 软件和硬件的可用性B. 罗列出所有资产的清单C. 完整地记录所有灾难D. 根据风险将应用系统分类

B

做BCP第一步要做风险评估，做风险评估需要先识别资产

17

在审查计算机处置流程时，IS审计师最担心以下哪项？A.硬盘在扇区级别进行了多次覆写，但在送出组织前没有重新格式化。B.分别删除硬盘上的所有文件及文件夹，并在送出组织前格式化硬盘。C.送出组织前在盘片的几个指定位置打孔，使硬盘变得不可读。D.由内部安全人员将硬盘护送到附近的金属回收公司，在此处注册并随即粉碎硬盘。

B

A.在扇区级别覆写硬盘可将数据、目录、索引和主文件表完全擦除。由于所有内容均己破坏，因此不必进行重新格式化。通过分析盘片表面特殊的磁性特点，某些取证措施能够重建新近覆写过的扇区在覆写之前的内容，但经过多次覆写之后这些措施便无能为力了。B.删除和格式化操作无法将数据完全擦除，仅会将从前包含文件的扇区标记为具有空闲空间。在互联网上便能够找到可用于重建大部分硬盘内容的工具。C.虽然打孔并不会删除文件内容，但硬盘也便无法继续使用了，特别是在磁头驻留区和零轨道信息受到破坏时。由于所有的分析必须在清洁的房间环境下执行，所以此时重建数据会极为昂贵，而且必须在短时间内或在盘片表面受到腐蚀前进行。D.事实上不可能对已粉碎的硬盘进行数据重建，特别是当碎片与其他金属成分混杂在一起时。如果盘片运输有专门人员保驾护航，并且事实证明盘片如选项中所述进行了破坏,则可以认为处理方法有效。

18

了解一个操作系统的安全配置的最佳方式是：A．学习供应商的安装手册。B．检查系统安全计划。C．跟安装软件的系统程序员面谈。D．查看系统自动配置的参数。

D

了解安全配置查参数

19

组织要求密码必须由数字、大小写字母和特殊字符组合，这是为了预防什么攻击？A. 注入攻击B. 社会工程C. 字典攻击D. 中间人攻击

C

20

对于数据外包的第三方外包供应商发生数据泄露事件首先应 A.启动灾难恢复计划B.就损坏声誉对服务商采取法律行动 C.启动事故管理D.保险公司索赔

C

21

审计目标应如何决定？A. 董事会决议B. 公司政策C. 重要的业务流程D. 风险分析

D

风险分析用来确定审计目标

22

银行的自动柜员机（ATM）是一种专门用于销售点的终端，它：A. 必须包括高级别的逻辑和物理安全B. 一般放置在入口稠密的场所以威慑盗窃与破坏C. 只能用于支付现金和存款服务D. 利用保护的通讯线进行数据传输

A

ATM机的物理安全要

23

在EFT系统实施时，审计师最？A. 项目是否满足了业务目标B. 用户是否积极参与系统的获取过程C. 系统供应商的资质D. 通信线路的加密

A

业务优先性

24

对IS审计师而言，如果下列用户组具有生产数据库的直接完全访问权限，以下哪一组最值得？A.应用测试员B.系统管理员C.数据库所有者D.数据恢复团队

A

A.应用测试员应当限制在非生产环境，如果他们具有生产数据库的完全访问权限，数据的保密性和完整性将成为问题。B.系统管理员可能需要完全的生产访问权限，以履行其管理职责；但应当对其进行监控，以防未经授权的活动。C.数据库所有者具有生产数据库的完全访问权限，因为他们是所有者，并且对数据库负责。D.数据恢复团队将需要完全访问权限，以确保可以恢复整个数据库。

25

审查数据中心环境控制中的灭火系统时，应考虑 A.维护措施B.安装手册 C.是否能现场安装 D.承保范围

A

26

某卫生保健组织的IS审计师正在检讨考虑由其托管患者健康信息（PHI)的第三方云提供商的合同条款和条件。以下哪一项合同条款将成为客户组织面临的最大风险？A.数据所有权归属客户组织。B.第三方保留访问数据以执行某些操作的权利。C.未定义批量数据撤回机制。D.客户组织负责备份、归档和恢复。

B

A.客户组织想要保留数据所有权，因此这不是一种风险。B.某些服务提供商保留访问客户信息以执行某些交易和提供某些服务的权利（第三方访问权）。对于受保护的健康信息（PHI)，条例可能限制某些访问权。组织必须审查云提供商运营所在的监管环境，因为它可能有自己的要求或限制。组织随后必须确定云提供商是否提供适当的控制，以确保数据有适当的安全保障。C.组织可能最终想要终止其第三方云提供商的服务。组织随后相要从系统中删除其数据，并确保服务提供商清除其在系统中的数据（包括任何备份）。有些提供商不提供组织需要用来移植其数据的自动化或批量数据撤回机制。这些方面应当在使用第三方提供商之前阐明。D.如果服务提供商不提供数据恢复流程和程序，或组织对服务提供商的流程存有疑虑，组织可能需要规划其自己的数据恢复流程和程序。只有客户组织无法自行完成这些活动时，这才会是-种风险。

27

审计新应用系统的持续运行计划的最佳时间是？A. 交接给系统维护部门之前B. 上线后立即进行C. 系统需求阶段D. 成功进行用户测试之后

C

项目启动后，越早越好

28

某组织实施了一个分布式会计系统，IS审计师正在进行实施后审查，以提供数据完整性控制的鉴证。该审计师应当首先执行以下哪一项？A.审查用户访问。B.评估变更请求流程。C.评估对账控制。D.审查数据流程图。

D

A.审查用户访问很重要；但关于数据完整性，最好审查数据流程图。B.缺乏充分的变更控制流程可能影响数据的完整性；但首先应当对系统数据流进行记录，以确定交易是否流向其他系统。C.评估对账控制有助于确保数据完整性；但更重要的是要了解应用的数据流程，以确保对账控制定位于正确的位置。D.IS审计师应当审查应用的数据流程图，以了解应用内部及流向其他系统的数据流。这将使得IS审计师能够评估数据完整性控制的设计和有效性。

29

在对医疗组织的受保护医疗信息(PHI)进行IS风险评估时,IS审计师在与IS管理人员面谈。此次面谈中的哪项发现最令IS审计师？A.组织没有对所有外发的电子邮件进行加密。B.员工必须在电子邮件的主题栏键入“[PHI]”才能进行加密。C.个别工作人员的计算机屏保功能被禁用。D.服务器配置要求用户每年更改一次密码。

B

A.加密全部外发电子邮件非常昂贵，不是常用的做法。B.员工忘记在主题栏中键入某些字词的人为错误风险始终存在。组织应为处理受保护医疗信息(PHI)的员工所外发的电子邮件设置自动加密，以保护敏感信息。C.禁用屏保功能会增加敏感信息被其他员工看到的风险；但此风险不及将信息暴露于组织外的未经授权人员大。D.尽管每年更换密码是个问题,但此风险不及将信息暴露于组织外的未经授权人员大。

30

在实施数据分类程序时，以下哪一项最重要？A. 实施数据标准化B. 理解数据的业务用途C. 计划安全存储容量D. 开发隐私策略

B

业务用途是数据分类的标准

31

某IS审计师正在审查某组织的网络操作中心（NOC)。以下哪一项最受？采用：A.基于湿管的灭火系统。B.租借的NOC机架空间。C.基于二氧化碳的灭火系统。D.备用电力为10分钟的不断电源（UPS)。

C

A.湿管系统可能损坏计算机设备，但对人是安全的，并且其破坏性不如二氧化碳（CO₂）系统。B.只要保持安全控制，租借的机架空间不值得。多数组织都在租借机架空间。C.CO₂系统对人有危险，一旦发生火灾，会引起室息，因此不应当使用。控制措施应当首先考虑人身安全。D.根据不同的系统，从容关机只需几分钟时间。但CO₂系统对人是有危险的。

32

A公司计划实施的系统所采用的技术不符合公司IT策略。以下哪一项是最佳理由？A. 虽然导致成本增加，但可以增加企业效益B. 员工非常熟悉此技术C. 该系统采用最先进的技术D. 该系统的持有成本较低

A

业务优先性

33

IS审计师检查企业的生产环境中的主机和客户/服务器体系之后。发现的哪一种漏洞或威胁需要特别？A. 大多数局域网上的服务器没有执行定期的硬盘备份B. 安全官兼职数据库管理员C. 主机系统上运行的非关键应用没有纳入业务持续性计划的考虑D. 客户/服务器系统没有适当的管理口令/密码控制

D

没有口令会导致直接的风险

34

在项目的问题（issues）管理过程中，将出现下面哪类工作？A. 配置管理B. 突发事件处理计划C. 客户服务管理D. 影响评估

D

相当于项目的风险管理，要进行影响评估

35

下列哪一项是用户部门与程序变更相关的最重要的职责A. 更新文档，以体现出最新的变更B. 提供单元测试数据C. 分析变更需求D. 实施之前 批准变更

D

变更管理的要点

36

紧急情况下关闭电源的开关应该：A. 受保护B. 不在计算机机房中C. 无识别标记D. 会发亮

A

37

项目收尾的目的是要确定： A.影响项目交付质量的潜在风险 B.项目经理在专业特长 C.供未来项目使用的经验教训 D.项目可行性要求

C

38

在局域网络（LAN）中安装瘦客户机（thin client）体系结构的好处在于它可以：A.降低单点故障的风险B.便于更新软件的版本C.在服务器停机时确保应用程序的可用性D.稳定网络宽带的要求

B

39

因为IS审计团队资源限制，原批准的审计计划无法实施。假定己通过审计报告通报情况，最可接受的做法是哪一项？A.测试控制设计的充分性。B.测试控制的运作效率。C.着重审计高风险领域。D.依靠管理层测试控制。

C

A.测试控制设计的充分性并非最佳做法，原因在于这并不能确保控制按设计意图有效运作。B.测试控制运作效率无法确保审计计划重点风险最高的领域。C.缩小范围和着重审计高风险领域是最佳做法。D.依靠管理层测试控制并不能带来控制环境的客观验证。

40

企业目前磁带备份，每周一次全备份、每日一次增量备份的策略。最近，企业领导把磁带备份流程中增加了向磁盘备份的步骤。这种做法之所以恰当，是因为：A. 向磁盘备份的速度远快于向磁带备份B. 数据保存在磁盘上，其可靠性高于磁带存储C. 它支持非现场存储的快速合成备份D. 随着技术的进步，不再需要磁带库

C

磁带存储速度慢于磁盘<磁带优点：成本低、寿命长、体积小巧、容量大和便携性><采用基于磁盘的备份战略，最强有力的理由之一是在备份与恢复的性能方面。磁盘可以直接的访问数据，因为不需要加载或倒带，也不需在磁带卷中搜索数据文件。磁盘读写数据的速度明显比磁带快上许多，存储数据治理起来比较方便，备份窗口所需要的时间比较少。缺点: 将磁盘设备当成文件系统去进行备份，而文件系统无法避免磁盘碎片问题的干扰，将会导致备份和恢复性能的急剧下降。采用磁盘备份必须定期整理磁盘文件系统。其次，一个低成本的磁盘阵列只能坚持容纳几个星期的备份数据.无法容纳大量的数据作长期保留。另外，从数据的安全性出发，文件系统很容易被攻击，而磁带的无文件系统格式，决定其天生具备免疫能力。此外，对于存档需求来讲，磁盘的寿命要远比磁带介质的寿命短得多。闲置的磁盘可能在一或两年后开始丧失数据或是消磁>

41

计算机房中安装了一套火警系统，火警控制面板的最有效放置是位于：A. 距离UPS最近的机房中。B. 系统管理员的办公室中。C. 距服务器最近的机房中。D. 大厦保安人员值班室。

D

42

对一个应用系统进行审计，下面哪种情况会损害审计人员的独立性？A. 设计并嵌入了专门审计这个应用系统的审计模块B. 为应用系统最佳实践提供咨询意见C. 作为应用系统的项目组成员，但不是以后的作业使用人员D. 在应用系统开发过程中，实施了具体的控制

D

参与了建设性的工作影响独立性

43

在某医院中，医务人员携带存有病人健康状况数据的手持式电脑。这些手持式电脑与可从医院数据库传输数据的PC同步。以下哪项措施最重要？A.手持式电脑得到了妥善保护，可在发生盗窃或丢失时仍能保证数据的机密性。B.在使用后删除本地PC中临时文件的员工具有维护PC的权限。C.通过制定政策和流程来确保同步能够及时进行。D.手持式电脑的使用得到医院政策的允许。

A

A.保护数据机密性是隐私权法规中的主要要求。B.应该只有经过授权的人员才可对计算机系统进行维护；但与含有未受保护数据的手持设备丢失或被盗相比，删除临时文件只是一种很小的风险。C.政策和流程很重要，但最重要的是要保护手持设备中的敏感数据。D.没有政策允许就不可使用任何手持设备,而一旦有这样的政策，则此政策必须有执行政策和保护数据的流程。没有操作流程的政策只是空言。

44

某个大型组织正在对下一年度的IT项目进行优先级排序。排序的依据应该：A．根据项目的成本效益分析结果。B．根据组织下一年度的IT资源情况。C．根据项目的投资额大小。D．根据技术的先进性

A

项目的业务效益

45

检查入侵监测系统(IDS)时，IS审计师最的内容是:A. 系统没有识别出的攻击事件B. 把正常通讯识别为危险事件的数量(误报)C. 被系统阻断的正常通讯流D. 由自动化工具生成的报告和日志

A

入侵而未查出是大问题

46

以下那个指标最适合衡量数据恢复策略：A. RPOB. RTOC. SDOD. 最大中断窗口

A

RPO决定数据备份恢复的策略

47

某IS审计师正在审查某家制造公司，并发现远程站点的主机用户通过Telnet经互联网连接到总部的主机上。以下哪一项是确保安全控制适当的最佳建议？A.使用点对点租用线路B.使用防火墙规则，只允许该远程站点的互联网协议(IP)地址C.使用双因素身份认证D.使用Telnet非标准端口

A

A.租用线路可有效地将总部的局域网（LAN)扩展到远程站点，当使用Telnet之类的不安全协议时，Telnet链接通过租用的私有线路传送将降低安全风险。B.在总部设置防火墙规则，只允许来自分配给该远程站点的互联网协议(IP)地址的Telnet连接，可増强连接的安全性；但存在攻击者假冒源地址的可能性，因此专用的租用线路更安全。C.尽管双因素身份认证可提高登录的安全性，但无法阻止对传输信道的窃听，因此租用线路是更好的选项。D.对网络服务的攻击首先假定网络服务使用为该服务分配的标准传输控制协议(TCP)/IP端口号，其中，Telnet的端口号为23。可以通过重新配置主机和客户端来使用不同的端口。为服务分配非标准端口，可增大确定哪些服务在使用哪个端口的难度，因此是一种良好的安全做法；但在本案例中，创建连接远程站点的租用线路是更好的解决方案。

48

某IS审计师发现，某公司的灾难恢复计划（DRP)不包含托管在云端的某关键应用。管理层答复称，由云供应商负责灾难恢复(DR)和DR相关测试。IS审计师应采取的下一步行动是什么？A.制订云供应商审计计划。B.审查供应商合同，以确定其灾难恢复能力。C.审查独立审计师的云供应商报告。D.向云提供商索要一份DRP副本。

B

A.审计云供应商也许有用；但这只在合同要求供应商提供灾难恢复（DR)服务时才有用。B.只有在合同中清晰载明，并附带定义明确的恢复时间目标(RTO)和恢复点目标(RPO)时，才能指望供应商提供DR服务。若无合同约定，供应商不必提供DR服务。C.可以鉴证业务准则公告（SSAE)第16号之类的独立审计师DR能力报告，以核实供应商的能力；但这只在供应商须按合N提供DR服务时才有用。D.可以索要DR政策副本，以审查其充分性；但这只在供应商须按合同提供DR服务时才有用。

49

某业务单位已选用新的会计应用，但并未在选择流程中提前咨询IT部门。主要风险是：A.该应用的安全控制可能不符合要求。B.该应用可能不符合业务用户的需求。C.该应用的技术可能与企业架构(EA)不一致。D.该应用可能给IT部门带来不可预见的支持问题。

C

A.尽管安全控制应当是针对任何应用的要求，企业架构（EA)的主要点是确保新应用符合企业标准。尽管采用符合标准的技术可能更加安全，但这并非EA的主要好处。B.选择应用时，必须考虑业务需求以及应用是否适合IT环境。如果业务单位绕过IT部门选择其应用，则他们更有可能选择最适合其业务流程的解决方案，而不太看重该解决方案在企业内部的兼容性和支持性，但这不是个问题。C.EA的主要点是确保技术投资与IT组织的平台、数据和开发标准相一致。EA定义标准平台的使用、数据库或编程语言等领域当前及未来的状态。如果某业务单位选择的业务应用不使用EA之内的数据库或操作系统（OS)，将加大解决方案的成本和复杂度，并最终减小给业务带来的价值。D.尽管实施任何新的软件都可能带来支持问题，EA的主要好处是确保IT解决方案给业务带来价值。减小支持成本也许是EA的一种好处，但在本案例中，缺少IT参与不会影响支持要求。

50

若要开发一个应用于整个公司的系统，最适合总体负责该项目的角色是：A. IS主管B. 项目经理C. 企业高管D. 业务分析员

C

高级领导层担任项目的总体负责人

51

原型法作为一种系统软件开发方法其主要好处是什么？A. 增加用户满意度的可能性B. 减少对测试的需求C. 消除对文档的需要D. 最大限度地减少信息系统审计师系统所需要的时间

A

沟通需求的良好工具

52

某IS审计师正在为公司审查启用安全套接字层（SSL)的网站。以下哪一项风险最高？A.过期的数字证书B.自签名的数字证书C.为多个网站使用相同的数字证书D.使用56位数字证书

B

A.证书过期会导致阻止访问网站，造成不必要的停机。但不会丢失数据。因此相对风险较低。B.自签名的数字证书未经证书颁发机构(CA)签名，任何人都可以创建。因此，攻击者可用它们来冒充网站，进而可能导致数据失窃或进行中间人攻击。C.使用相同的数字证书不是一种重大风险。可为多个子域网站使用通配符数字证书。D.56位数字证书可能需要用来连接旧版操作系统（OS)或浏览器。尽管其强度不如128位或256位数字证书，但自签名证书的相对风险更高。<自签名证书：由服务器自己颁发给自己，用于证明自己身份的东西，非权威颁发机构发布，默认客户端都是不信任的><所有根证书授权机构(CA)的CA证书都是自签证书。而使用OPENSSL创建的也属于自签证书的范围。>

53

业务连续性和灾难恢复计划中的首要目的？A. 保护人员的生命B. 保护关键信息系统资产C. 最小化组织的损失D. 提供操作的连续性

A

生命最重要

54

一家公司很多笔记本用户，为了防止病毒在公司内网上传播，审计师建议采用哪种方式最佳：A. 在服务器上安装防病毒系统B. 禁止员工在家使用笔记本C. 笔记本启动的时候进行病毒扫描检测D. 笔记本载入新软件和数据的时候进行病毒扫描检测

D

加载程序和数据时扫描病毒最有效

55

在采用一个中间件在局域网服务器与大型机之间传输数据时，信息系统审计师最应该考虑的是：A. 不同平台之间的网络通讯流量水平。B. 跨平台的安全身份认证。C. 数据库的时间同步。D. 帮助恢复交易的时间戳。

B

相较来说，身份认证是最先要考虑的

56

代码在生产发布时被错误地移除，其后绕过正常的变更程序，被转入生产环境。对执行实施后审查的IS审计师而言，以下哪一项最值得？A.代码在初步实施时被遗漏。B.变更未经管理层批准。C.错误在实施后审查过程中被发现。D.发布团队使用了相同的变更顺序号。

B

A.尽管遗漏某个发布组件反映出流程缺陷，但更值得的是，遗漏的变更未经管理层批准即被引入生产环境。B.管理层批准可减小变更未经授权即被引入生产环境的风险。未经授权的变更可能导致系统中断或欺诈。因此，务必确保每一次变更均得到适当的管理层批准。C.多数发布/变更控制错误都在实施后审查过程中被发现。更值得的是，变更在被发现后，未经管理层批准即被提升。D.使用相同的变更顺序号与本案例无关。

57

哪一项评估保护公司网络中的信息安全所必需的安全级别 A.访问权限B.数据分类 C.访问控制列表 D.商业智能

B

58

事件管理的主要目标是：A. 测试事件发生时能否及时响应B. 让外部计算机安全事件影团队应来评估损害情况。C. 响应事件，以便业务能够连续开展D. 允许事件继续进行并沿着线索追溯到事件开始。

C

事件管理是治标，问题管理是治本

59

当评估企业的异地存储中心时，信息系统审计师最为哪一项A. 保留期B. 完善的物理和环境控制C. 业务持续计划的测试结果D. 介质标签的准确性

C

“评估企业的异地存储中心”，既要意识到其是异地备份的存储地，也要同时意识到这是BCP&DRP的一道关键保证。A.B.D.均从异地备份的角度给出的相关建议，但不够全面，这三项一方面正常并不能保证异地存储中心的价值实现，而C一项即可确保异地存储中心的正常。

60

双方公司互不认识下，第一次如何建立公钥体系的真实性？A. 派自己的IT人员，去对方的公司传送对方的公钥回公司B. 用已事先约定的口令加密公钥，再传输予对方C. 传输前先以电话连络，再传输D. 使用自己的公钥直接传予对方，此公钥是经过认证中心认证

D

PKI体系的作用

61

在制定业务连续性计划（BCP）方面，以下哪一个利益方最重要？A.业务流程所有者B.应用所有者C.董事会D.IT管理层

A

A．流程所有者对确定所需要的关键业务功能、恢复时间和资源至关重要。B．业务持续计划（BCP）的是业务流程的持续性，而应用并不一定支持关键业务流程。C．策事会可以批准计划，但他们通常不涉及制定BCP的细节。D.IT管理层将按业务流程所有者的定义，确定支持关键业务功能所需要的汗资源、服务器和基础设施。

62

一个公司对员工的商务智能手机实施收回并利用A、为新员工更换SIM卡和手机号B、销毁商务智能手机C、安全的删除手机数据D、更换智能手机内存卡

C

敏感数据的处理

63

对IS审计师而言，验证关键生产服务器是否在运行供应商发布的最新安全更新的最佳途径是以下哪一项？A.确保在关键生产服务器上启用自动更新。B.在生产服务器样机上手动验证已应用修补程序。C.审查关键生产服务器的变更管理日志。D.在生产服务器上运行自动化工具，以验证安全修补程序。

D

A.确保在生产服务器上启用自动更新也许是管理修补流程的一种有效途径；但这并不能保证所有服务器都适当安装了修补程序。B.在生产服务器样机上手动验证修补程序不如自动测试有效，而且会带来显著的审计风险。而且手动测试既困难又耗时。C.变更管理日志可能未得到及时更新，并且可能无法准确反映服务器上的修补程序更新状况。更好的测试策略是对服务器进行修补程序测试，而不是检查变更管理曰志。D.自动化工具可以立即提供有关已应用哪些修补程序和缺少哪些修补程序的报告。

64

IS审计章程的主要目的是：A.建立审计部门的组织结构。B.阐述IS审计职能部门的报告责任。C.详细阐述1S审计部门执行的审计流程和程序。D.概述IS审计职能部门的职责和权限。

D

A.IS审计章程不阐述IS审计部门的组织结构。章程是创建1S审计职能部门的指导性文件。B.IS审计章程不规定IS审计部门的报告要求。章程阐述信息系统审计职能部门的目的、职贵、权限和义务。C.IS审计流程和程序不在1S审计章程中详述。程序是IS审计计划的组成部分，而流程是由审计管理层确定的。D.IS审计章程的主要目的是阐述IS审计职能部门的目的、职责、权限和义务。章程文件代表董事会和公司利益相关方授予审计职能部门权限。

65

可用性最好的网络结构是：A. 环状B. 总线C. 星型D. 网状

D

网状结构的可用性最好，一般用于广域网的建设<第四章 讲义 >

66

银行客户的密码丢失后，应该采取何种措施发放PIN：A. 客户连续录入两遍新的PINB. 银行工作人员通知客户一个PINC. 通过电子邮件发送PIND. 由银行工作人员发放一个随机产生的PIN

A

PIN应该由客户生成，由银行生成会导致客户机密信息泄露；D.在某种情况下，这也是一种可选的方案，但选A.责任更分明，银行不会承担相关PIN丢失的责任。

67

审查防火墙访问控制列表时， 审计师发现哪种情况是有最大问题的：A. 用户的权限大于所在组的权限B. IT的访问权限列表中有允许和拒绝的冲突C. 默认配置为放行D. 默认配置为拒绝

C

默认放行表示防火墙不阻拦任何流量，失去其存在的意义。

68

在提议的企业资源规划(ERP)系统的需求定义阶段，项目发起人要求连接采购与应付账款模块。最好执行以下哪一种测试方法？A.单元测试B.集成测试C.社交性测试D.质量保证(QAT)测试

B

A.单元测试是用于测试特定程序或模块内部程序逻辑的一种技术，不能具体解决软件模块之间的链接问题。集成测试是最佳答案。B.集成测试是一种硬件或软件测试，用于评估将信息从一个区域传递到另一个区域的两个或多个组件之间的连接情况。其目标是采用经过单元测试的模块从而构建满足设计要求的集成结构。C.社交性测试确认新系统或修改后的系统可在其目标环境中操作，而不会对现有系统造成不良影响，不具体解决软件模块之间链接问题。集成测试是最佳答案。D.质量保证（QA)测试主要用于确保应用的逻辑正确，不能具体解决软件模块之间链接问题。集成测试是最佳答案。

69

在确定IT政策是否很好的适应业务需求时，以下哪一项是最关键的证据？A. 支持IT策略的总成本B. IT策略的例外数量C. IT策略的查询次数D. 违反IT策略所造成的总体损失

B

例外数量代表了策略与实际业务的冲突

70

防止笔记本电脑丢失后导致的信息泄漏的最好方法是：A.磁盘整体加密B.文件加密C.双因素认证D.生物识别

A

加密防止信息泄漏，整盘加密优于文件加密

71

某小型公司无法隔离开发流程与变更控制职能之间的职责。确保经过测试的代码与转入生产的代码完全一样的最佳途径是什么？A.发布管理软件B.手动代码比对C.生产前回归测试D.管理层批准变更

A

A.自动化发布管理软件可以通过无需任何手动干预将代码转入生产，防止未经授权的变更。B.手动代码比对可以检测是否已将错误的代码转入生产；但代码比对无法防止移植代码，这种控制不如使用发布管理软件。此外，手动代码比对并非总是有效，并且需要高技能人才。C.回归测试确保变更不破坏当前的系统功能，或无意间覆盖先前的变更。回归测试无法防止将未经测试的代码转入生产。D.尽管管理层应当审批每一项生产变更，但批准无法防止将未经测试的代码移植到生产环境之中。

72

定义一个标准程序，来对比源代码和目标代码的区别，属于：A. 程序库的实质性测试B. 程序库的符合性测试C. 程序编辑器的实质性测试 D. 程序编辑器的符合性测试

A

A.哈希函数的目的是产生可用于确保完整性和身份认证的数据“指纹”。密码哈希函数也能提供对尝试访问资源的用户或流程的身份认证。B.哈希函数不用于标识。它们用于验证身份的真实性。C.哈希函数通常不用于提供授权。授权通常在确立身份认证之后提供。D.哈希函数是一种算法，它将一组字节映射到或转化为另一组字节（通常较小），以保证每次用相同的消息作为输入执行该算法时，都能产生相同的结果。从算法产生的结果衍生或再构成一条消息，或找到能用相同的算法产生相同的哈希结果的两条不同消息，在计算上都是不可行的。哈希函数不对数据进行加密。

73

镜像磁盘（mirrored disks）的使用：A.减少对额外存储的需求 B.缩短系统响应时间 C.消除异地备份的需求 D.需要定期异地备份

D

RAID 1－镜像磁盘RAID 1 通过磁盘数据镜像实现数据冗余，在成对的独立磁盘上产生互为备份的数据。RAID 1是磁盘阵列中单位成本最高的，但提供了很高的数据安全性和可用性。当一个磁盘失效时，系统可以自动切换到镜像磁盘上读写，而不需要重组失效的数据。当原始数据繁忙时，可直接从镜像拷贝中读取数据，因此RAID 1可以提高读取性能。

74

以下哪一项是计划评审技术(PERT)相比其它方法的优点？与其它方法相比: A. 为计划和控制项目考虑不同的情景B. 允许使用者输入程序和系统参数. C. 测试系统维护加工的准确性D. 估算系统项目成本.

A

75

从风险管理的角度，部署庞大且复杂的IT基础架构，哪种方法最好：A. 部署前仿真模拟新的架构B. 按次序阶段性的部署计划C. 原型化和单一部署D. 在概念论证之后，全面迅速的部署

B

分阶段部署相对可靠

76

应该实施哪一项控制措施使系统维护停机时间可降至最低？A. 温站B. 集群C. 每晚完整备份D. 负载均衡

B

集群是最小RTO的解决方案

77

以下哪一项控制最能防止互联网嗅探器（Internet sniffer）进行重放攻击：A.数据包过滤路由器B.数字签名 C.正确配置的防火墙 D.带时间戳的数据加密

D

78

某新业务需求要求变更数据库供应商。关于此项实施，IS审计师应当主要检查以下哪个领域？A.数据的完整性B.切换的时间安排C.用户的授权等级D.数据的规范化

A

A．从一个数据库向另一个数据库迁移数据时的关键问题是数据的完整性和确保全面、正确地迁移数据。B．切换的时间安排很重要，但由于需将数据迁移至新的数据库，复制不应该是个问题。C．用户的授权与应用的授权无关，因为用户将通过应用连接数据库，并且用户不直接连接数据库。D．正规化用于设计数据库，不一定与数据库迁移有关。

79

以下哪一项是使用秘密密钥型加密的优势？ A.可用于数字签名B.增强验证功能C.密钥可扩展性D.使用效率

D

< 秘密密钥型加密－对称密钥公开密钥型加密－非对称密钥 >

80

以下哪一项是最好地描述了IT战略委员会的职能？A. 业务部门的满意度B. 监控KPI的结果C. IT战略委员会章程D. IT战略委员会会议纪要

C

章程描述了该组织的职责

81

固有风险评级通过对威胁或漏洞的影响及可能性评估，威胁或漏洞发生在： A.考虑采取内部控制措施之前B.考虑内部控制措施之后 C.应用了补尝控制措施后 D.确立风险偏好之前

A

82

某IS审计师发现，用户偶尔地被授权作更改系统数据。这种系统访问权限提升不符合公司政策，但对业务经营的平稳运转是有必要的。该IS审计师最有可能建议采取以下哪一种控制来长期解决这一问题？A.重新设计与数据授权有关的控制。B.实施额外的职责分离控制。C.对政策进行审查，以查明正式的例外流程是否有必要。D.实施额外的日志记录控制。

C

A.数据授权控制应当由政策推动。尽管可以调整某些技术控制，但如果并非频繁发生数据变更，则例外流程是更好的选择。B.尽管足够的职责分离很重要，但修改政策比增加落实职责分离的额外控制更为简单。C.如果为了支持业务需求而授予用户变更数据的访问权限，但政策却禁止这样做，则可能需要对政策作些调整，以允许发生政策例外。D.需要审计轨迹，但这并非解决这个问题的最佳长期解决方案。需要额外的资源来审査日志。

83

一个机房使用的门禁记录显示，进来的人比出去的人多，可以使用以下哪项应对措施？A.单向锁B.双向锁C.单因素验证D.双因素验证

B

84

IS审计师正在审查某组织的人力资源（HR)数据库的实施情况。IS审计师发现:为获得高可用性而群集数据库服务器,所有默认数据库帐户己删除，并且已保留数据库审计日志并每周审查一次。为确保适当保护数据库的安全，IS审计师还应检查哪些其他领域？A.限制数据库管理员访问HR数据。B.数据库日志经过加密。C.数据库存储的程序经过加密。D.数据库初始化参数适当。

D

A.数据库管理员将有权访问服务器上的所有数据，但却没有防止这样做的实际控制，所以这不值得。B.数据库审计日志通常不包含任何保密数据；因此不需要加密日志文件。C.如果存储的程序包含加密数据之类的安全敏感性功能，则要求对存储的程序进行加密。但这不如确保初始化参数正确重要。D.数据库被打开时，其许多配置选项都由初始化参数控制。这些参数通常由包含许多设置的文件（在Oracle数据库管理系统中，文件名为“initora”）控制。系统初始化参数处理许多“全局”的数据库设置，包括身份认证、远程访问和其他重要安全领域。为了有效审计数据库实施，IS审计师必须检查数据库初始化参数。

85

组织在灾难恢复计划（DRP）时，有多种不同的备份数据恢复方案可供选择，最需要参考的指标是：A．恢复时间目标(RTO)。B．恢复方案的技术成本。C．可容忍的最长中断时间(MTO)。D．恢复点目标(RPO)。

D

RTO、RPO的概念

86

下列哪一项是由拒绝服务攻击（denial-of-service attacks）导致的最大风险？A.未经授权访问系统B.败坏商誉。丢失业务 C.泄露机密信息 D.数据库缺乏完整性，遭到破坏

B

87

安装数据泄漏防护（DLP)软件的主要目的是控制以下哪一项？A.服务器上存储的保密文件的访问特权B.意图破坏内部网络中的重要数据C.哪些外部系统可以访问内部资源D.保密文件流出内部网络

D

A.服务器上存储的保密文件的访问特权将通过数字版权管理（DRM)软件加以控制。B.对内部网络上系统的潜在攻击通常通过入侵检测系统（IDS)和入侵防御系统（IPS)以及系统本身的安全控件加以控制。数据泄漏防护（DLP)系统重点流出企业的数据。C.控制哪些外部系统可以访问内部资源是防火墙而不是DLP系统的功能。D.运行DLP软件应用的服务器利用预先定义的衡量标准来检查是否有任何保密文件或数据流出内部网络。

88

使用EXCEL计算项目成本时，将每个成本类别的总计录入到工作成本表时，下列哪一种方法能最好地确保数据输入的准确性？A. 输入后“回放”项目的详细信息B. 有效性检查，防止输入字符数据C. 核对项目的总金额D. 就每个成本类别检查其合理性

C

89

关于能力管理的说法不正确的有：A. 至少每年进行审核和修改B. 能力计划应由用户和IS 管理部门共同参与完成C. 确保IT服务以最优成本效益的方式满足当前和未来对容量与性能的业务需求D. 无需考虑新技术

D

需要考虑新技术带来的能力提升和成本降低

90

在准备支持电子数据仓库解决方案的业务案例时，以下哪一项在协助管理层进行决策的流程中最重要？A.讨论单一解决方案。B.考虑安全控制。C.证明可行性。D.咨询审计部门。

C

A.业务案例应当讨论某个特定问题的所有可能的解决方案，这样才能让管理层选择最佳方案。其中包括不实施项目的选项。B.如果安全性对解决方案非常重要并解决问题，在业务案例中包含安全考虑因素也许很重要；但无论哪种问题，可行性都更加重要并且是必须的。C.业务案例应当证明对任何潜在项目的可行性。管理层可通过在业务案例中包含的可行性分析以及成本效益分析作出明智的决定。D.尽管准备业务案例的人员可咨询组织的审计部门，但这需视情而定，并且不必纳入业务案例之中。

91

在提交了审计报告之前，审计经理发现在审计过程总忽略了某项证据，该证据表明过程控制失败了，这可能与审计结论互相矛盾，以下哪一样风险受这一疏忽的影响最大？ A.固有风险（inherent)B.操作风险（operational) C.审计风险D.财务风险

C

92

下列哪种做法将最能确保具有永久重要性的归档电子资料，多年后还能随时查询？A. 购买类似旧版本软件的应用程序B. 定期将数据转移到采用当前的技术的系统中C. 定期备份归档数据D. 对旧硬件执行预防维护

B

对于“永久重要性的归档电子资料”，保持数据的可用性是最重要的。而“定期将数据转移到采用当前的技术的系统中”

93

在共享的处理环境中，最大的挑战是： A.分离客户数据B.分离客户网络 C.合并结果 D.保持一致的标准

A

<数据共享？多进程应用共享数据? 信息资源共享？处理能力共享？云计算？>

94

在实施数据分类等程序时，以下哪一项最重要？ A.计划实施安全存储的功能 B.使数据所有权正式化C.理解数据的分类级别 D.开发隐私政策

C

95

对于评估业务连续性计划的有效性最好方法是审查：A. 预先的测试结果B. 异地存储和环境监控C. 计划并把它们作为适当的标准D. 应急程序和员工培训

A

BCP测试是证明BCP有效性的最好方法

96

项目筹备委员会的主要负责人应该是?A. 业务执行管理层B. 项目经理 C. IS 经理D. IS 审计师

A

领导负责

97

防止服务器受到暴力破解攻击(brute force attack)的最有效方法是：A. 对服务器进行加固B. 连续输入三次错误锁定C. 更加复杂的密码D. 实施连续监控

B

强力攻击特指密码的暴力破解，其解决方案是控制尝试次数；A.服务器加固解决漏洞的问题

98

IS审计师要评估预防性维护程序的有效性，最有帮助的是：A. 停机时间记录 B. 维护计划 C. 维护日志 D. 供应商是否可靠

A

停机时间评估预防性维护有效性

99

某组织正在审查其与云计算提供商之间的合同。该组织想要从合同中删除锁定条款的原因是以下哪一项？A.可用性B.可迀移性C.敏捷性D.可扩展性

B

A.删除客户锁定条款并不能保证存储在云计算环境中的系统资源的可用性。B.与服务提供商拟定合同时，理想的做法是删除客户锁定条款。对客户而言，保证其系统资产的可迁移性（即从某个供应商转移到另一家供应商的权利）可能很重要。C.敏捷性是指让组织能够更快地响应业务需求的解决方案效率。这是云计算的良好品质。D.可扩展性是云计算的一种优势，它可以根据不断变化的业务环境调节服务等级。因此，这不是最佳选项。

100

某IS审计师发现，实施了未经督导委员会批准的多个基于lT的项目。该IS审计师最需要什么？A.IT项目资金不足。B.IT项目不遵循系统开发生命周期(SDLC)流程。C.IT项目未必一直得到正式的批准。D.IT部门未朝着共同的目标而努力。

D

A.项目资金可通过不同的预算加以解决，并且可能不需要督导委员会批准。主要是要确保项目能实现公司目标。B.尽管要求督导委员会批准可能是系统开发生命周期（SDLC）流程的一部分，但更主要的是项目是否能实现公司目标。未经督导委员会批准，则难以确定这些项目是否能实现公司目标。C.尽管具有正式批准流程很重要，对督导委员会而言，最主要的应当是它为项目指明公司方向。D.督导委员会指明方向并提供项目控制，以确保公司作出适当的投资。未经批准，项目未必能实现公司的目标．