银监会信息安全培训试题及答案1

银监会信息安全培训试题及答案 1 壱、 单选 1、信息科技风险指在商业银行运用过程中，由于自然因素、（B）、技术漏洞和管理缺陷 产生的操作、法律和声誉等风险。 A 制度落实 B 技术标准 C 人为因素 D 不可抗力 2、信息科技风险管理的第一责任人是（A）。 A 银行的法定代表人 B 信息技术部负责人 C CIO D 其他 3、信息科技指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易 处理、经营管理和内部控制等方面的应用，并包括进行（ A），建立完整的管理组织架构， 制订完善的管理制度和流程。 A 信息科技治理 B 信息安全管理 C 系统持续性管理 D 突发事件管理 4、所有科技风险事件都可以归于信息系统连续性或（D）出问题的事件。 A 保密性 B 完整性 C 可用性 D 安全性 5、设立或指派一个特定部门负责信息科技（D）管理工作，该部门为信息科技突发事件应 急响应小组的成员之一。 A 安全 B 审计 C 合规 D 风险 6、内部审计部门设立专门的信息科技风险审计岗位，负责（A）进行审计。 A 信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命 周期和重大事件等 B 制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等 C 信息科技审计制度和流程的实施，对信息科技整个生命周期和重大事件等 D 信息科技审计制度和流程的实施，制订和执行信息科技审计计划等 7、信息科技风险管理策略，包括但不限于下述领域（C）。 A 信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问控制；物理 安全；人员安全 B 信息分级与保护；信息系统开发、测试和维护；访问控制；物理安全；人员安全；业务 连续性计划与应急处置 C 信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问控制；物理 安全；人员安全；业务连续性计划与应急处置 D 信息分级与保护；信息科技运行和维护；访问控制；物理安全；人员安全；业务连续性 计划与应急处置 8、依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。定义每个业 务级别的控制内容，包括最高权限用户的审查、控制对数据和系统的物理和逻辑访问、访 问授权（C）为原则、审批和授权、验证和调节。。 A 以 “最小授权” B 以“必需知道” C 以“必需知道”和“最小授权” D 以上都不是 9、信息科技风险管理应制定明确的（D）等，定期进行更新和公示 A 信息科技风险管理制度 B 技术标准 C 操作规程 D 信息科技风险管理制度、技术标准和操作规程 10、制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要求；明确定义 包括（A）等不同用户组的访问权限。 A 终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员 B 终端用户、计算机操作人员、系统管理员和用户管理员 C 系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员 D 终端用户、系统开发人员、系统测试人员、计算机操作人员 11、商业银行应保证（C）中包含足够的内容，以便完成有效的内部控制、解决系统故障 和满足审计需要。 A 交易日志 B 系统日志 C 交易日志和系统日志 D 监控日志 12、对信息系统的（C）管理制定制度和流程。。 A 立项 B 投产 C 全生命周期 D 终止 13、制定信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性。应包括以 下要求: （C） A 生产系统与开发系统、测试系统有效隔离。 B 生产系统与开发系统、测试系统的管理职能相分离。 C 生产系统与开发系统、测试系统有效隔离，生产系统与开发系统、测试系统的管理职能 相分离。 D 生产系统与开发系统、测试系统有限隔离。 14、除得到管理层批准执行紧急修复任务外，禁止（C）进入生产系统，且所有的紧急修 复活动都应立即进行记录和审核。 A 应用程序开发 B 维护人员 C 应用程序开发和维护人员 D 所有人员 15、将完成开发和测试环境的程序或系统配置变更应用到生产系统时，应得到（C）的批 准，并对变更进行及时记录和定期复查。 A 信息科技部门 B 业务部门 C 信息科技部门和业务部门 D 机房管理人员 16、所有变更都应记入日志，由信息科技部门和业务部门共同审核签字，并事先进行 （A），以便必要时可以恢复原来的系统版本和数据文件。 A 备份 B 验证 C 测试 D 制定方案 17、严格控制（C）进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控。 A 业务人员 B 维护人员 C 第三方人员（如服务供应商） D 开发人员 18、针对（C），尤其是从事敏感性技术相关工作的人员，应制定严格的审查程序，包括 身份验证和背景调查。 A 临时聘用的技术人员和承包商 B 长期聘用的技术人员和承包商 C 长期或临时聘用的技术人员和承包商 D 来访人员 19、商业银行应采取（C）等措施降低业务中断的可能性，并通过应急安排和保险等方式 降低影响。 A 系统恢复 B 双机热备处理 C 系统恢复和双机热备处理 D 冗余方式 20、商业银行实施重要外包（如数据中心和信息科技基础设施等）应格外谨慎，在准备实 施重要外包时应以书面材料正式报告（C）。 A 银监会 B 人民银行 C 银监会或其派出机构 D 董事会 21、所有信息科技外包合同应由（C）和信息科技管理委员会审核通过。 A 信息科技部门 B 审计部门 C 信息科技风险管理部门、法律部门 D 董事会 22、至少应每（C）年进行一次全面审计。 A一 B二 C三 D四 23、业务连续性管理是指商业银行为有效应对（C），建设应急响应、恢复机制和管理能 力框架，保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和 程序。 A 系统宕机 B 通讯中断 C 重要业务运营中断事件 D 系统运行效率降低 24、商业银行业务连续性组织架构包括（C） A 日常管理组织架构 B 应急处置组织架构 C 日常管理组织架构和应急处置组织架构 D 信息科技管理组织架构 25、业务连续性管理主管部门是（B） A 办公室 B 风险管理部 C 信息科技部 D 审计部 26、信息科技部门是（A）。 A 业务连续性管理执行部门 B 业务连续性管理保障部门 C 业务连续性管理审计部门 D 业务连续性管理主管部门 27、应急处置组织架构应急决策层由（A）组成，负责决定应急处置重大事宜。 A 商业银行高级管理人员 B 信息科技部门人员 C 风险管理部门人员 D 业务条线管理部门人员 28、根据业务重要程度实现差异化管理，商业银行确定各业务恢复优先顺序和恢复指标， 商业银行应当至少每（C）年开展一次全面业务影响分析，并形成业务影响分析报告。 A一 B二 C三 D四 29、原则上，重要业务恢复时间目标不得大于（D）小时。 A一 B二 C三 D四 30、原则上，重要业务恢复点目标不得大于（D）小时 A 0.1 B 0.2 C 0.4 D 0.5 31、商业银行应当通过分析（A）的对应关系、信息系统之间的依赖关系，根据业务恢复 时间目标、业务恢复点目标、业务应急响应时间、业务恢复的验证时间，确定信息系统 RTO、信息系统 RPO，明确信息系统重要程度和恢复优先级别，并识别信息系统恢复所需 的必要资源。 A 业务与信息系统 B 开发测试与生产环境 C 重要系统与非重要系统 D 以上都不对 32、商业银行应当重点加强信息系统关键资源的建设，实现信息系统的（C），保障信息 系统的持续运行并减少信息系统中断后的恢复时间。 A 安全运行 B 顺利投产 C 高可用性 D 高可靠性 33、商业银行应当设立统一的（A），用于应急决策、指挥与联络，指挥场所应当配置办 公与通讯设备以及指挥执行文档、联系资料等。 A 运营中断事件指挥中心场所 B 技术标准 C 规章制度 D 组织架构 34、商业银行应当建立（D）等备用信息技术资源和备用信息系统运行场所资源，并满足 银监会关于数据中心相关监管要求。 A 数据中心 B 技术中心 C 研发中心 D 灾备中心 35、商业银行应当明确关键岗位的备份人员及其备份方式，并确保（C）可用，降低关键 岗位人员无法及时履职风险。 A 在岗人员 B 运维人员 C 备份人员 D 科技人员 36、商业银行应当至少每（C）年对全部重要业务开展一次业务连续性计划演练。 A一 B二 C三 D四 37、商业银行应当至少（A）对业务连续性管理体系的完整性、合理性、有效性组织一次 自评估，或者委托第三方机构进行评估，并向高级管理层提交评估报告。