22 道业务连续性、灾难恢复与安全意识练习题及答案

ISC2 网络安全入门认证（CC）考试练习的全部业务连续性、灾难恢复与安全意识练习题，附正确答案和简短解析。

1. 一位连续性规划人员梳理仓库订单系统的运行方式后发现，所有交易都要经过同一台路由器，而该路由器只有一个电源和一条互联网线路。规划人员发现的是什么问题，应以什么原则应对？
- A.恢复目标；应对原则是缩短该设备的还原时间
- B.剩余风险；应对原则是因已监控而予以接受
- C.合规缺口；应对原则是将该设备登记入资产清单
- D.单点故障；应对原则是为该链路建立冗余✓ 答案
冗余的目的就是消除单点故障，即某个部件一旦失效就会导致整个业务职能停摆。监控、资产登记和缩短还原时间都有价值，但只有复制该部件及其链路，才能真正消除这种依赖。
编号 QB-SSDH93依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance, Understand redundancy报告此题的问题
2. 某公司在区域性洪灾期间将员工迁至临时办公室，用纸质方式继续接收客户订单；与此同时，技术团队在另一处数据中心用备份重建服务器。这两项活动应如何归类？
- A.用纸质方式接单属于业务连续性；重建服务器属于灾难恢复✓ 答案
- B.用纸质方式接单属于灾难恢复；重建服务器属于业务连续性
- C.两者都是灾难恢复，因为管理层已正式宣布进入灾难状态
- D.两者都是业务连续性，因为连续性计划已被率先启动
业务连续性关注在中断期间让关键业务职能继续运转，侧重人员与流程，因此临时改用纸质接单属于业务连续性。灾难恢复是其中偏技术的子集，负责还原系统、数据和场所，因此重建服务器属于灾难恢复。
编号 QB-9A8CP2依据： NIST SP 800-34, Contingency Planning Guide for Federal Information Systems, plan types and relationships报告此题的问题
3. 一位董事询问：业务连续性计划要交付的成果中，有哪一项是灾难恢复计划所不提供的？哪个答案是正确的？
- A.它在事件之后把服务器、应用和场所恢复到正常运行状态
- B.它在安全事件影响业务之前完成检测与遏制
- C.它让关键业务职能在中断持续期间继续运转✓ 答案
- D.它使组织每年通过外部信息安全标准的认证
业务连续性计划的目的，是在中断期间借助替代人员、替代场所和人工变通手段，让关键业务职能不间断地交付。还原技术设施是灾难恢复计划的职责，而检测与遏制属于事件响应。
编号 QB-RS2742依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance, Understand redundancy报告此题的问题
4. 一位安全经理刚开始做连续性规划，就被要求直接沿用 IT 团队已经选定的四小时恢复目标。为什么这不是正确的起点？
- A.恢复目标由法规固定，组织无权自行选择
- B.灾难恢复计划设定恢复目标，连续性计划照单接受
- C.业务影响分析确定关键职能并推导恢复目标✓ 答案
- D.风险登记册在正式接受剩余风险之后设定恢复目标
业务影响分析是连续性规划的基础：它识别关键业务职能、排定重要性次序，并权衡定量与定性影响，恢复目标正是由该分析推导得出。恢复目标是分析的产出，绝不是事先交给分析的输入。
编号 QB-C3UNHU依据： NIST SP 800-34, Contingency Planning Guide, Business Impact Analysis报告此题的问题
5. 某零售商的计划规定：任何故障之后，业务损失的已记录销售交易不得超过一小时。这表达的是哪个目标，而能否达成主要取决于什么？
- A.恢复点目标；主要取决于数据备份或复制的频率✓ 答案
- B.最大可容忍停机时间；主要取决于客户愿意等待多久
- C.恢复时间目标；主要取决于人员重建故障服务器的速度
- D.平均无故障时间；主要取决于存储硬件的可靠性
恢复点目标以时间表示可容忍的最大数据丢失量，因此它是从故障时刻向前回看的指标。备份或复制的频率直接决定该目标：如果数据每小时才捕获一次，就最多可能丢失一小时的工作量。
编号 QB-UJNGXT依据： NIST SP 800-34, Contingency Planning Guide, recovery point objective definition报告此题的问题
6. 某连续性团队为理赔系统记录的最大可容忍停机时间为八小时。技术部门可在六小时内还原该平台，之后理赔人员还需三小时清理积压事项，业务职能才算真正恢复运转。团队应得出什么结论？
- A.达标，因为六小时的还原时间已经短于八小时的上限
- B.不达标，因为还原时间加上业务恢复时间必须落在八小时之内✓ 答案
- C.达标，因为业务恢复时间与可容忍停机时间是分开计算的
- D.不达标，因为可容忍停机时间必须始终大于恢复点目标
最大可容忍停机时间是业务能承受的中断外部上限，而只有积压工作清理完毕，该职能才算真正恢复。六小时还原加三小时业务恢复共计九小时，已超过八小时上限，因此方案必须改进。
编号 QB-B3GBCT依据： NIST SP 800-34, Contingency Planning Guide, maximum tolerable downtime and recovery time objective报告此题的问题
7. 一位分析师在为新员工做培训，需要用一句话区分两个最容易混淆的恢复指标。哪种说法是准确的？
- A.恢复时间目标衡量可容忍的数据丢失量，恢复点目标衡量还原速度
- B.两者都衡量停机时长，其中恢复点目标始终是更严格的那一个
- C.恢复点目标衡量可容忍的数据丢失量，恢复时间目标衡量还原速度✓ 答案
- D.两者都由技术团队设定，业务方接受技术上能够实现的数值
恢复点目标从故障时刻向前回看，限定可以丢失多少数据；恢复时间目标则向后展望，限定还原可以花费多长时间。两者都是由业务影响分析推导出的业务决策，而非技术偏好。
编号 QB-TJA6SS依据： NIST SP 800-34, Contingency Planning Guide, recovery objectives报告此题的问题
8. 某公司每周日做一次全量备份。方案 A 在此基础上每晚备份自周日以来发生变化的全部内容；方案 B 则每晚备份自前一晚以来发生变化的内容。周四发生故障。哪一项比较是正确的？
- A.方案A只需全量备份加一份夜间备份；方案B需要全量备份加全部夜间备份✓ 答案
- B.两种方案都只需全量备份即可还原，夜间备份只是缩短了备份窗口
- C.两种方案都需要全部夜间备份，差别只在于每次备份耗时的长短
- D.方案B只需全量备份加一份夜间备份；方案A需要全量备份加全部夜间备份
方案 A 属于差异备份，捕获自上次全量备份以来的全部变化，因此还原时只需全量备份加最近一份差异备份。方案 B 属于增量备份，捕获自上一次任意类型备份以来的变化，因此链条上的每一份增量备份都不可缺少。
编号 QB-EAZZH8依据： NIST SP 800-34, Contingency Planning Guide, backup methods (full, incremental, differential)报告此题的问题
9. 勒索软件加密了某公司的文件服务器，位于同一网络中的备份设备也被一并加密。哪一项备份做法最能直接保住一份可用的恢复副本？
- A.保持向第二套阵列的同步复制，使副本始终与生产完全保持一致
- B.保留一份离线或不可变的副本，使运行中的恶意软件无法触及或篡改✓ 答案
- C.为备份设备打好补丁，并与生产服务器置于同一道防火墙之后
- D.把保留期延长到一年，使设备上仍保存有较早版本的文件副本
凡是恶意软件能通过网络访问到的副本，都可能与生产数据一起被加密，这正是 3-2-1 规则要求保留一份异地且不可触及副本的原因。离线或一次写入的副本之所以能幸存，是因为正在运行的进程根本无路径去修改它。
编号 QB-WSTUX7依据： CISA #StopRansomware Guide, maintain offline and immutable backups报告此题的问题
10. 某系统负责人认为无需再做每晚备份，理由是存储阵列会把每一次写入都镜像到第二组磁盘上。这一论点的缺陷是什么？
- A.镜像只有在两组磁盘分处不同建筑时，才能起到防范磁盘故障的作用
- B.镜像可以防磁盘故障，但它同样会忠实地复制误删除和数据损坏✓ 答案
- C.镜像算作备份，只是还需要再复制一次才能满足异地副本的要求
- D.镜像算作备份，前提是每年至少做一次还原测试来验证该阵列
镜像与复制属于可用性控制：硬件故障时能保持服务运行，但它们会即时复制每一次变更，包括误删除和勒索软件的加密。备份是可供回退的某一时间点副本，而镜像并不提供这一点。
编号 QB-WVBCFS依据： NIST SP 800-34, Contingency Planning Guide, disk redundancy versus data backup报告此题的问题
11. 某公司的业务影响分析为其交易平台设定了四小时的恢复目标，而财务部门倾向于选择报价最低的备用场所。连续性经理应当坚持哪一种选择？
- A.冷站，因为它以最低成本满足了必须具备备用场所的要求
- B.温站，因为硬件已经就位，数据可在数天之内完成装载
- C.热站，因为四小时目标根本来不及在异地安装并装载系统✓ 答案
- D.互惠协议，因为同业公司可以承接平台且无经常性费用
备用场所是在成本与速度之间取舍：冷站只提供场地和电力，启用需要数周；温站已有硬件但装载数据需要数天；热站则可在数分钟到数小时内投入运行。成本不能凌驾于业务已经批准的恢复目标之上。
编号 QB-EDHH2T依据： NIST SP 800-34, Contingency Planning Guide, alternate site types (cold, warm, hot, mirrored)报告此题的问题
12. 两家相互竞争的公司正在考虑签订互惠协议，约定灾后由一方承接另一方的业务处理。治理层应首先提出哪一项顾虑？
- A.只要两家组织在同一市场上竞争，互惠协议就一律被禁止使用
- B.互惠协议的年度成本高于租用一处专属热站所需支付的费用
- C.任何一方在签署此类协议之前都必须先获得国家监管机构批准
- D.真正需要时双方都可能没有余量，且彼此会看到对方的数据✓ 答案
互惠协议是成本最低的备用场所方案，也正因如此其弱点常被考查：合作方的富余容量无法核实，且可能已被自身业务占满，而承接竞争对手的业务处理还会暴露机密数据。这类安排本身并未被禁止，但治理层必须权衡上述风险。
编号 QB-VVYZ9R依据： NIST SP 800-34, Contingency Planning Guide, reciprocal agreements as alternate processing options报告此题的问题
13. 一位管理员报告称，全年每晚的备份作业都成功完成，并请审计师就可恢复性这一发现予以关闭。审计师在关闭之前应要求提供什么？
- A.异地轮转的证据，因为作业成功仍可能把所有副本都留在同一栋楼里
- B.静态加密的证据，因为作业成功并不妨碍副本内容被他人直接读取
- C.还原演练的证据，因为作业成功并不证明数据真的能够被恢复出来✓ 答案
- D.延长保留期的证据，因为作业成功仍会覆盖掉上个月留存的副本集
备份作业只能说明数据被写出去了；介质故障、数据集不完整和目录不可用等问题，只有在真正尝试还原时才会暴露。连续性实践的原则是：未经测试的备份不构成恢复能力，因此需要的证据是一次成功的还原演练。
编号 QB-DD67VR依据： NIST SP 800-53, Contingency Planning control family, testing of information system backups报告此题的问题
14. 一份三年前编写的连续性计划中，仍然写着公司去年已经关闭的一处数据中心。按照治理原则，谁对计划保持最新负责，又应由什么触发复审？
- A.由安全团队负责；只有在收到外部审计通知之后才会触发计划复审
- B.由行政后勤部门负责；在建筑租约到期或被终止时触发计划复审
- C.由内部审计负责；每当正式提出一项审计发现时才会触发复审
- D.由高级管理层负责；按既定周期并在发生重大变更之后触发复审✓ 答案
治理机制把连续性计划的所有权与批准权赋予高级管理层，安全团队则代其起草和维护文档。计划必须按既定周期复审，并在组织、技术或场所发生重大变更之后以及真实事件之后追加复审。
编号 QB-YV22TU依据： NIST SP 800-34, Contingency Planning Guide, plan maintenance and management responsibility报告此题的问题
15. 数据中心的火警响起时，一项关键数据库还原作业正在进行，现场工程师询问是否应留下直到还原完成。连续性规划对此有何指引？
- A.确认警报属实后再撤离，因为误报会白白打断恢复工作
- B.留到还原完成，因为中途中断还原可能导致数据库损坏
- C.留到经理批准离开，因为该还原作业正处于关键路径上
- D.立即撤离，因为保护生命高于任何系统或数据恢复工作✓ 答案
所有连续性计划与应急计划都把人身安全置于资产和数据恢复之上，因此警报一旦响起，人员应急（疏散）计划即优先适用。数据可以再次从备份还原，而员工必须撤离，而不是自行去核实警报真伪。
编号 QB-GD87DV依据： OSHA 29 CFR 1910.38, Emergency Action Plans, evacuation priority for employees报告此题的问题
16. 某项目每月向全体员工发送一条两分钟的提醒和一封模拟钓鱼邮件，同时安排数据库管理员参加一场实操型的安全配置工作坊。这两项工作应如何归类？
- A.每月提醒属于培训；管理员的工作坊属于正式的安全教育
- B.每月提醒属于安全意识；管理员的工作坊属于岗位专项培训✓ 答案
- C.两者都属于教育，因为都旨在长期改变员工的工作行为习惯
- D.两者都属于意识宣贯，因为都由安全团队面向全体员工发布
安全意识是简短、反复的强化手段，目的是让安全保持在脑中并改变日常行为，例如提醒和模拟钓鱼。培训是围绕岗位职责建立具体技能，而教育则是学位或认证一类广泛且周期长的学习。
编号 QB-XVPPMT依据： NIST SP 800-50, Building an Information Technology Security Awareness and Training Program, awareness versus training versus education报告此题的问题
17. 两个事业部使用完全相同的安全意识课程。其中一个部门由高管为每场培训开场，并在全员大会上通报钓鱼演练结果；另一个部门只是由安全团队把材料用邮件发出。前者上报可疑邮件的数量高出许多。对此差异最好的解释是什么？
- A.第一个部门由领导公开推动，向员工传递出安全行为是真正的要求✓ 答案
- B.第一个部门的课程时长更长，员工对材料的练习次数更多
- C.第一个部门技术控制更强，多数邮件在到达员工前已被拦截
- D.第一个部门强制跟踪完成率，迫使员工修完每一个课程模块
安全文化取决于高层的示范作用：当领导公开为项目站台并讨论结果时，员工会把安全行为理解为岗位的应尽之责，而不是可有可无的额外要求。两个部门的课程内容完全相同，因此内容无法解释差距。
编号 QB-FDVU7U依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance, Understand security awareness (organizational culture, security leadership)报告此题的问题
18. 某员工因点击钓鱼链接而在公司大会上被点名批评之后，全公司对可疑邮件的上报量急剧下降。安全管理层应当作出什么改变？
- A.对多次点击者实行纪律扣分，因为后果能让员工集中注意力
- B.把上报做成免责且便捷的流程，因为惩罚会让失误被隐瞒下来✓ 答案
- C.公布演练失败者的名单，因为同侪压力有助于提高员工警惕性
- D.停止开展钓鱼演练，因为演练损害员工与安全团队之间的互信
安全意识项目依赖员工迅速上报，而惩罚会让员工认为沉默更安全，从而延长攻击不被发现的时间。免责且上报路径便捷的流程能提高上报率，而这正是项目真正需要的衡量指标。
编号 QB-2WRP5X依据： NIST SP 800-50, Building an Information Technology Security Awareness and Training Program, program effectiveness and incident reporting报告此题的问题
19. 一位员工询问：如果某个逼真的假登录页面窃取了她的口令，哪一个习惯最能保护她的工作账户？哪条指引最为准确？
- A.启用多因素认证，使仅凭被窃取的口令无法登入该工作账户✓ 答案
- B.在口令中加入符号和数字，使被截获的口令更难被破解工具还原
- C.每30天更换一次口令，使被窃取的口令在被利用之前就已失效
- D.在各处重复使用同一个强口令，这样只需要保护一个秘密即可
钓鱼页面一旦窃取口令，攻击者就已经掌握了这个秘密，因此复杂度和定期更换在这段时间内都无济于事。第二种因素意味着仅凭被窃口令无法完成认证，这正是它成为凭据钓鱼最有效单项缓解措施的原因。
编号 QB-JDXUQX依据： NIST SP 800-63B, Digital Identity Guidelines, authenticator assurance and multifactor authentication报告此题的问题
20. 某治理看板上有两项数据：上一季度部署关键补丁的平均天数，以及某人工智能反欺诈模型的输出与已验证结果之间持续上升的偏离率。这两项数据应如何归类？
- A.补丁部署时长是关键绩效指标；模型漂移加剧是关键风险指标✓ 答案
- B.两项都是关键绩效指标，因为都由历史系统数据计算得出
- C.两项都是关键风险指标，因为都呈报高管并列在同一看板上
- D.补丁部署时长是关键风险指标；模型漂移加剧是关键绩效指标
关键绩效指标向后回看，报告某项控制或流程实际执行得如何，例如补丁部署时长。关键风险指标则向前预警，提示风险敞口正在累积，而模型漂移不断加剧正是这类关于服务未来可用性与准确性的早期信号。
编号 QB-BUZHP9依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance, Measure cybersecurity effectiveness (key metrics and key risk indicators)报告此题的问题
21. 员工停车场里出现告示，要求员工扫描二维码以重新验证停车许可。该二维码打开的页面仿冒了公司的登录门户。这属于哪种手法，正确的应对是什么？
- A.短信钓鱼；上报该告示，并发短信给停车管理处确认此项活动
- B.二维码钓鱼；上报该告示，并只通过已知内部入口访问公司服务✓ 答案
- C.诱饵攻击；上报该告示，并改用个人手机而非公司电脑扫描
- D.捕鲸攻击；上报该告示，并转发给各位高管，由他们核实真伪
通过恶意二维码投递的钓鱼被称为二维码钓鱼，其奏效原因在于目标地址藏在图像之中，直到页面加载后才显现。应对方法与所有钓鱼变体相同：通过自己已知的地址访问服务，而不是使用对方提供的地址。
编号 QB-TBUC49依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance, Understand security awareness (social engineering, phishing)报告此题的问题
22. 一名财务文员接到电话，来电者的声音与首席财务官完全一致，提到了一个真实项目，并要求紧急把款项支付到一个新银行账户。如今合成语音的制作成本已经很低。该文员应当怎么做？
- A.照付款要求执行，因为来电者的声音和项目细节已能证明其身份
- B.先付款再发邮件告知首席财务官，万一有误还可以撤回转账
- C.向来电者提一个私人问题，因为冒充者不可能答得上来
- D.用已备案的首席财务官号码回拨核实，核实通过前不得付款✓ 答案
凭声音辨认和了解内情已不再是可靠的身份证明，因为合成音频可以复刻熟悉的嗓音，而项目细节往往是公开的或早前被窃取的。使用与该请求无关的、独立掌握的号码进行带外回拨核实，是应对此类支付欺诈的标准做法。
编号 QB-AUN7H8依据： FBI Internet Crime Complaint Center guidance on business email compromise: verify payment change requests using known contact information报告此题的问题

本考试的其他主题

安全原则与控制措施类型22 道免费练习题风险、文件层级与职业道德22 道免费练习题治理、风险与合规22 道免费练习题身份生命周期管理22 道免费练习题逻辑访问控制与模型22 道免费练习题网络安全概念22 道免费练习题网络架构与云安全22 道免费练习题数据安全与安全运营22 道免费练习题事件响应、资产与安全测试22 道免费练习题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。官方 CC 考试大纲 →

1. 一位连续性规划人员梳理仓库订单系统的运行方式后发现，所有交易都要经过同一台路由器，而该路由器只有一个电源和一条互联网线路。规划人员发现的是什么问题，应以什么原则应对？

2. 某公司在区域性洪灾期间将员工迁至临时办公室，用纸质方式继续接收客户订单；与此同时，技术团队在另一处数据中心用备份重建服务器。这两项活动应如何归类？

3. 一位董事询问：业务连续性计划要交付的成果中，有哪一项是灾难恢复计划所不提供的？哪个答案是正确的？

4. 一位安全经理刚开始做连续性规划，就被要求直接沿用 IT 团队已经选定的四小时恢复目标。为什么这不是正确的起点？

5. 某零售商的计划规定：任何故障之后，业务损失的已记录销售交易不得超过一小时。这表达的是哪个目标，而能否达成主要取决于什么？

6. 某连续性团队为理赔系统记录的最大可容忍停机时间为八小时。技术部门可在六小时内还原该平台，之后理赔人员还需三小时清理积压事项，业务职能才算真正恢复运转。团队应得出什么结论？

7. 一位分析师在为新员工做培训，需要用一句话区分两个最容易混淆的恢复指标。哪种说法是准确的？

8. 某公司每周日做一次全量备份。方案 A 在此基础上每晚备份自周日以来发生变化的全部内容；方案 B 则每晚备份自前一晚以来发生变化的内容。周四发生故障。哪一项比较是正确的？

9. 勒索软件加密了某公司的文件服务器，位于同一网络中的备份设备也被一并加密。哪一项备份做法最能直接保住一份可用的恢复副本？

10. 某系统负责人认为无需再做每晚备份，理由是存储阵列会把每一次写入都镜像到第二组磁盘上。这一论点的缺陷是什么？

11. 某公司的业务影响分析为其交易平台设定了四小时的恢复目标，而财务部门倾向于选择报价最低的备用场所。连续性经理应当坚持哪一种选择？

12. 两家相互竞争的公司正在考虑签订互惠协议，约定灾后由一方承接另一方的业务处理。治理层应首先提出哪一项顾虑？

13. 一位管理员报告称，全年每晚的备份作业都成功完成，并请审计师就可恢复性这一发现予以关闭。审计师在关闭之前应要求提供什么？

14. 一份三年前编写的连续性计划中，仍然写着公司去年已经关闭的一处数据中心。按照治理原则，谁对计划保持最新负责，又应由什么触发复审？

15. 数据中心的火警响起时，一项关键数据库还原作业正在进行，现场工程师询问是否应留下直到还原完成。连续性规划对此有何指引？

16. 某项目每月向全体员工发送一条两分钟的提醒和一封模拟钓鱼邮件，同时安排数据库管理员参加一场实操型的安全配置工作坊。这两项工作应如何归类？

18. 某员工因点击钓鱼链接而在公司大会上被点名批评之后，全公司对可疑邮件的上报量急剧下降。安全管理层应当作出什么改变？

19. 一位员工询问：如果某个逼真的假登录页面窃取了她的口令，哪一个习惯最能保护她的工作账户？哪条指引最为准确？

20. 某治理看板上有两项数据：上一季度部署关键补丁的平均天数，以及某人工智能反欺诈模型的输出与已验证结果之间持续上升的偏离率。这两项数据应如何归类？

21. 员工停车场里出现告示，要求员工扫描二维码以重新验证停车许可。该二维码打开的页面仿冒了公司的登录门户。这属于哪种手法，正确的应对是什么？

22. 一名财务文员接到电话，来电者的声音与首席财务官完全一致，提到了一个真实项目，并要求紧急把款项支付到一个新银行账户。如今合成语音的制作成本已经很低。该文员应当怎么做？

本考试的其他主题