首頁 › 試題練習
CISP 試題練習
以下 10 道示範題按十大知識域各設一題，題型與正式考試相同，都是四選一的單項選擇題。先自己作答，再按「查看答案」核對解說。
第 1 題・信息安全保障
某公司發現員工未經授權修改了客戶記錄中的金額。這主要破壞了信息的哪一項安全屬性？
- A.保密性
- B.完整性
- C.可用性
- D.不可否認性
查看答案
答案：B
完整性指信息不被未經授權地修改或破壞。資料被擅自改動，即使沒有外洩、系統仍可使用，也已破壞完整性。保密性關乎資料是否外洩，可用性關乎授權用戶能否及時使用。
第 2 題・網絡安全監管
《中華人民共和國網絡安全法》於何時開始施行？
- A.2016 年 11 月 7 日
- B.2018 年 1 月 1 日
- C.2017 年 6 月 1 日
- D.2021 年 9 月 1 日
查看答案
答案：C
《網絡安全法》於 2016 年 11 月 7 日通過，2017 年 6 月 1 日施行。注意分清「通過」與「施行」日期；2021 年 9 月 1 日是《數據安全法》的施行日期。
第 3 題・信息安全管理
在信息安全管理體系的 PDCA 循環中，進行內部審核及管理評審屬於哪一個階段？
- A.計劃（Plan）
- B.實施（Do）
- C.檢查（Check）
- D.處置（Act）
查看答案
答案：C
檢查階段負責監視和評審管理體系的成效，內部審核及管理評審都在此階段。計劃階段建立方針及進行風險評估，實施階段落實控制措施，處置階段根據檢查結果採取糾正及改進措施。
第 4 題・業務連續性
某系統每晚 12 時備份一次。若管理層要求災難時最多只可丟失 1 小時的數據，需要調整的是哪一項指標？
- A.恢復時間目標（RTO）
- B.恢復點目標（RPO）
- C.平均故障間隔時間（MTBF）
- D.最大可容忍中斷時間（MTPD）
查看答案
答案：B
RPO 指可容忍丟失數據的時間範圍，決定備份或複製的頻率。每日備份最多可能丟失約 24 小時數據，要達到 1 小時須提高備份頻率或採用實時複製。RTO 則是恢復業務所需的時間。
第 5 題・安全工程與運營
廠商發布了一個高危漏洞的安全補丁。以下哪一種做法最恰當？
- A.先在測試環境驗證兼容性，再按變更流程部署並準備回退方案
- B.立即在所有生產系統直接安裝，避免延誤
- C.只為已經出現異常的系統安裝
- D.由各部門用戶自行決定是否安裝
查看答案
答案：A
補丁管理要兼顧及時性與穩定性：先測試兼容性，經變更管理批准後分批部署，並預備回退方案。未經測試直接安裝可能令生產系統故障；只修已出事的系統或交由用戶決定，則會留下未修補的漏洞。
第 6 題・安全評估
在風險評估中，「伺服器的操作系統存在未修補的漏洞」屬於哪一個要素？
- A.資產
- B.威脅
- C.安全措施
- D.脆弱性
查看答案
答案：D
脆弱性是資產本身存在、可被威脅利用的弱點，未修補的漏洞正是典型例子。威脅是可能造成損害的外在因素，例如黑客攻擊；資產是需要保護的對象，例如伺服器及其數據。
第 7 題・信息安全支撐技術
甲要向乙發送只有乙才能閱讀的機密文件，並使用非對稱加密。乙應使用哪一把密鑰解密？
- A.甲的私鑰
- B.甲的公鑰
- C.乙的私鑰
- D.乙的公鑰
查看答案
答案：C
加密保密信息時，發送方用接收方的公鑰加密，只有持有對應私鑰的接收方才能解密。若要證明文件由甲發出（數字簽名），則由甲用自己的私鑰簽名，乙用甲的公鑰驗證。
第 8 題・物理與網絡通信安全
傳統的包過濾防火牆主要根據哪些信息決定是否放行數據包？
- A.物理層的電信號強度
- B.網絡層及傳輸層的地址、端口和協議
- C.用戶在網頁表單輸入的內容
- D.電子郵件附件的文件內容
查看答案
答案：B
包過濾防火牆檢查數據包標頭中的源及目的 IP 地址、端口號和協議類型，工作於網絡層及傳輸層。要檢查網頁輸入或附件內容，需要應用層防火牆、Web 應用防火牆或內容過濾等技術。
第 9 題・計算環境安全
防範 Web 應用 SQL 注入攻擊，以下哪一項措施最有效？
- A.隱藏數據庫錯誤信息
- B.全站改用 HTTPS
- C.定期更改數據庫管理員密碼
- D.使用參數化查詢（預編譯語句）
查看答案
答案：D
參數化查詢把用戶輸入當作數據而非 SQL 指令，從根本上防止注入。隱藏錯誤信息只能增加攻擊難度；HTTPS 保護傳輸過程，不能阻止惡意輸入；更改密碼與注入漏洞無關。
第 10 題・軟件安全開發
在威脅建模中，攻擊者冒用合法用戶的身份登入系統，屬於 STRIDE 模型中的哪一類威脅？
- A.仿冒（Spoofing）
- B.篡改（Tampering）
- C.拒絕服務（Denial of Service）
- D.權限提升（Elevation of Privilege）
查看答案
答案：A
STRIDE 的 S 代表仿冒，即冒充其他用戶或系統的身份，對應的安全屬性是鑑別。篡改是擅自修改數據，權限提升是取得超出授權的權限，拒絕服務是令系統無法正常提供服務。
還想多練？App 內有 1,399 道練習題
App 按十大知識域分類出題，每題附解說，可重溫錯題及做限時模擬測驗，找出自己的弱項。免費下載，可先免費試做。
