以下有关访问控制的描述不正确的是

以下有关通信与日常操作描述不正确的是

A、信息系统的变更应该是受控的

B、企业在岗位设计和人员工作分配时应该遵循职责分离的原则

C、移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏

D、内部安全审计无需遵循独立性、客观性的原则

有关人员安全的描述不正确的是

A、人员的安全管理是企业信息安全管理活动中最难的环节

B、重要或敏感岗位的人员入职之前，需要做好人员的背景检查

C、企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作

D、人员离职之后，必须清除离职员工所有的逻辑访问帐号

企业信息资产的管理和控制的描述不正确的是

A、企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任;

B、企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施;

C、企业的信息资产不应该分类分级，所有的信息系统要统一对待

D、企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产

PDCA特征的描述不正确的是

A、顺序进行，周而复始，发现问题，分析问题，然后是解决问题

B、大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题

C、阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足

D、信息安全风险管理的思路不符合PDCA的问题解决思路

对安全策略的描述不正确的是

A、信息安全策略(或者方针)是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程

B、策略应有一个属主，负责按复查程序维护和复查该策略

C、安全策略的内容包括管理层对信息安全目标和原则的声明和承诺;

D、安全策略一旦建立和发布，则不可变更;

以下对ISO27001标准的描述不正确的是

A、企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求

B、ISO27001标准与信息系统等级保护等国家标准相冲突

C、ISO27001是源自于英国的国家标准BS7799

D、ISO27001是当前国际上最被认可的信息安全管理标准

企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的

A、只关注外来的威胁，忽视企业内部人员的问题

B、相信来自陌生人的邮件，好奇打开邮件附件

C、开着电脑离开，就像离开家却忘记关灯那样

D、及时更新系统和安装系统和应用的补丁

风险评估的基本过程是怎样的?

A、识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险

B、通过以往发生的信息安全事件，找到风险所在

C、风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位

D、风险评估并没有规律可循，完全取决于评估者的经验所在

降低企业所面临的信息安全风险，可能的处理手段不包括哪些

A、通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷

B、通过数据备份、双机热备等冗余手段来提升信息系统的可靠性;

C、建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击

D、通过业务外包的方式，转嫁所有的安全风险

有关定性风险评估和定量风险评估的区别，以下描述不正确的是

A、定性风险评估比较主观，而定量风险评估更客观

B、定性风险评估容易实施，定量风险评估往往数据准确性很难保证

C、定性风险评估更成熟，定量风险评估还停留在理论阶段

D、定性风险评估和定量风险评估没有本质区别，可以通用