信息安全管理體系ISMS是建立和維持信息安全管理體系的（），標準要求組織通過確定信息安全管理系統(tǒng)范圍、制定（）、明確定管理職責、以風險評估為基礎(chǔ)選擇控制目標與控制方式等活動建立信息安全管理體系；體系一旦建立組織應按體系規(guī)定的要求進行運作，保持體系運作的有效性；信息安全管理體系應形成一定的（），即組織應建立并保持一個文件化的信息安全（），其中應闡述被保護的資產(chǎn)、組織安全管理體系應形成一定的（）。

某集團公司信息安全管理員根據(jù)領(lǐng)導安排制定了下一年度的培訓工作計劃，提出了四個培訓任務和目標。關(guān)于這四個培訓任務和目標。作為主管領(lǐng)導，以下選項中正確的是（）。

信息時流動的，在信息的流動過程中必須能夠識別所有可能途徑的（）與（）；面對于信息本身，信息的敏感性的定義是對信息保護的（）和（），信息在不同的環(huán)境存儲和表現(xiàn)的形式也決定了（）的效果，不同的截體下，可能體現(xiàn)出信息的（）、臨時性和信息的交互場景，這使得風險管理變得復雜和不可預測。

計算機漏洞是在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權(quán)的情況下訪問或破壞系統(tǒng)。在病毒肆意的信息不安全時代，某公司為減少計算機系統(tǒng)漏洞，對公司計算機系統(tǒng)進行了如下措施，其中錯誤的是（）。

以下哪個組織所屬的行業(yè)的信息系統(tǒng)不屬于關(guān)鍵信息基礎(chǔ)設(shè)施？（）

信息安全方面的業(yè)務連續(xù)性管理包含2個（）和4個控制措施。組織應確定在業(yè)務連續(xù)性管理過程或災難恢復管理過程中是否包含了（）。應在計劃業(yè)務連續(xù)性和災難恢復時確定（）。組織應建立、記錄、實施并維持過程、規(guī)程和控制措施以確保在不利情況下信息安全連續(xù)性處于要求級別。在業(yè)務連續(xù)性或災難恢復內(nèi)容中，可能已定義特定的（）。應保護在這些過程和規(guī)程或支持它們的特性信息系統(tǒng)中處理的額信息。在不利情況下，已實施的信息安全控制措施應繼續(xù)實行。若安全控制措施不能保持信息安全，應建立、實施和維持其他控制措施以保持信息安全在（）。

組織應依照已確定的訪問控制策略限制對信息和（）功能的訪問。對訪問的限制要基于各個業(yè)務應用要求，訪問控制策略還要與組織訪問策略一致。應建立安全登錄規(guī)程控制實現(xiàn)對系統(tǒng)和應用的訪問。宜選擇合適的身份驗證技術(shù)以驗證用戶身份。在需要強認證和（）時，宜使用加密、智能卡、令牌或生物手段等替代密碼的身份驗證方法。應建立交互式的口令管理系統(tǒng)，并確保使用優(yōu)質(zhì)的口令。對于可能覆蓋系統(tǒng)和應用的控制措施的實用工具和程序的使用，應加以限制并（）。對程序源代碼和相關(guān)事項（例如設(shè)計、說明書、驗證計劃和確認計劃）的訪問宜嚴格控制，以防引入非授權(quán)功能、避免無意識的變更和維持有價值的知識產(chǎn)權(quán)的（）。對于程序源代碼的保存，可以通過這種代碼的中央存儲控制來實現(xiàn)，更好的是放在（）中。

你是單位安全主管，由于微軟剛發(fā)布了數(shù)個系統(tǒng)漏洞補丁，安全運維人員給出了針對此漏洞修補的四個建議方案，請選擇其中一個最優(yōu)方案執(zhí)行（）。

分析針對Web的攻擊前，先要明白http協(xié)議本身是不存在安全性的問題的，就是說攻擊者不會把它當作攻擊的對象。而是應用了http協(xié)議的服務器或則客戶端、以及運行的服務器的wed應用資源才是攻擊的目標。針對Web應用的攻擊，我們歸納出了12種，小陳列舉了其中的4種，在這四種當中錯誤的是（）。

風險評估文檔是指在整個風險評估過程中產(chǎn)生的評估過程文檔和評估結(jié)果文檔，其中，明確評估的目的、職責、過程、相關(guān)的文檔要求，以及實施本次評估所需要的各種資產(chǎn)、威脅、脆弱性識別和判斷依據(jù)的文檔是（）。