22 道治理、风险与合规练习题及答案

ISC2 网络安全入门认证（CC）考试练习的全部治理、风险与合规练习题，附正确答案和简短解析。

1. 某公司把自己的安全工作称为“GRC”(治理、风险与合规)。以下哪项最准确地说明了这三部分各自的作用?
- A.治理审计已部署的控制措施,风险管理负责编写政策,合规负责挑选安全工具。
- B.治理向监管机构报告事件,风险管理购买保险,合规负责培训员工的安全行为。
- C.治理为技术采购提供资金,风险管理执行内部审计,合规制定组织的战略方向。
- D.治理设定方向与问责,风险管理处理危及使命的威胁,合规满足外部义务。✓ 答案
这三项职能回答的是不同的问题。治理是高层管理者与董事会的职能,负责设定方向、分配问责并实施监督;风险管理负责识别、评估和处置可能妨碍组织达成使命的风险;合规则负责证明法律、法规与合同义务已经得到履行。三者合一,才能把方向、风险决策与合规证据放进同一个循环中管理。
编号 QB-79384J依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Plan Governance, Risk and Compliance (GRC)报告此题的问题
2. 某组织在年度监管审计中通过了全部控制测试,被判定为完全合规。为什么不能据此断定它是安全的?
- A.合规只是一项技术性工作,因此无法评价管理类或物理类的控制措施。
- B.合规框架由监管机构编写,他们无法查阅本组织真实的风险登记册。
- C.合规要求是某一时点上的最低基线,而威胁和环境在持续不断地变化。✓ 答案
- D.合规审计由外部方执行,因此其结论在组织内部不具备任何效力。
合规衡量的是在特定日期针对特定要求清单的符合情况,它是下限而不是上限。组织可以满足清单上的每一项要求,却仍然承受着清单从未考虑过的风险;而且审计结束的第二天,风险敞口就会发生变化。安全需要针对组织自身的风险持续管理,合规只是向外部方证明义务已履行。
编号 QB-PRV2HH依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — purpose and importance of GRC报告此题的问题
3. 某组织正在建立一个全新的 GRC(治理、风险与合规)项目。以下哪项最能说明该项目预期产出的成果?
- A.一份获批安全产品目录,要求各业务部门统一采购并按标准部署。
- B.由安全团队为每个系统签发的技术认证,用以取代管理层的审查环节。
- C.一种保证:只要控制措施持续获得经费,就不会再发生任何安全事件。
- D.一套可重复的机制,用于设定方向、权衡风险与目标并证明义务已履行。✓ 答案
GRC 项目的存在价值是让决策可重复:方向和问责有文件依据,判断风险与业务目标关系的方法保持一致,并能拿出履行法律、法规与合同义务的证据。它的产出是政策、风险登记册和报告这类工件,而不是一份产品清单;任何项目都不可能承诺不再发生安全事件。
编号 QB-69QVWG依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — purpose and importance of GRC报告此题的问题
4. 管理层询问,安全团队为什么要采用一个已公开发布的网络安全框架,而不是从零开始自行编写全部内容。以下哪项回答是正确的?
- A.框架提供有组织的目标结果和共同术语,由组织结合自身风险裁剪。✓ 答案
- B.框架规定了精确的产品配置,因此采用后技术决策就已经提前确定下来。
- C.只要把框架的控制清单抄进政策文件,组织就会自动获得相应的认证。
- D.任何引用该框架的组织都要受其法律约束,因此不必再制定内部政策。
框架是一种结构化工具:它把一个安全项目应当达成的目标结果加以组织,并为讨论这些目标提供共同术语,组织因此不必自行发明整套结构。除非有法律或合同明确要求,框架本身是自愿采用的;它不会规定具体产品;采用框架本身也不等于获得任何认证。
编号 QB-SRX22N依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — GRC frameworks and tools报告此题的问题
5. 某组织希望采用一项管理体系标准,以便就信息安全接受独立审核并取得认证。以下哪一项是为此目的设计的?
- A.ISO/IEC 27001,规定信息安全管理体系应满足的要求✓ 答案
- B.ISO 31000,提供适用于各类风险的管理原则与指引
- C.ISO/IEC 27002,提供安全控制措施的实施指南与建议
- D.CIS 控制措施,提供面向从业者的优先防御行动清单
要取得认证,就必须有可审核的“要求”。ISO/IEC 27001 正是规定信息安全管理体系建立与运行要求的标准,认可机构可据此审核组织是否符合。ISO/IEC 27002 是控制措施方面的指南,ISO 31000 是通用风险管理指引,CIS 控制措施则是面向从业者的优先行动清单,这三者都不是可供认证的管理体系标准。
编号 QB-99SVEM依据： ISO/IEC 27001, Information security management systems — Requirements, contrasted with ISO/IEC 27002 and ISO 31000报告此题的问题
6. 美国 NIST 网络安全框架把网络安全目标结果划分为若干“职能”。其中哪一项职能负责确立并监督组织的风险策略、角色与政策?
- A.识别(Identify)——梳理资产、供应商及影响它们的各类风险
- B.保护(Protect)——落实可限制或遏制事件影响的各项防护措施
- C.治理(Govern)——确立并监督风险策略、角色分工与相关政策✓ 答案
- D.检测(Detect)——发现并分析表明某一事件已经发生的各种迹象
框架把组织环境、风险管理策略、角色与职责、政策以及监督等内容放在“治理”职能之下,这些决策决定了其他各项职能如何执行。识别负责梳理资产与风险,保护负责落实防护措施,检测负责发现事件迹象,它们都不承载策略与问责方面的目标结果。
编号 QB-RRKQUK依据： NIST Cybersecurity Framework, Core Functions: Govern, Identify, Protect, Detect, Respond, Recover报告此题的问题
7. 某合规登记册把 HIPAA、SOX、GDPR 和 PCI DSS 并列在一起。关于这些义务的来源,以下哪种说法是正确的?
- A.PCI DSS 是美国联邦法律,其效力高于登记册中列出的各项合同义务。
- B.PCI DSS 通过与卡组织和收单机构签订的合同施加,另外三项则属于法律。✓ 答案
- C.四者都是成文法,因此任何一项违规都只能由政府监管机构负责追究。
- D.四者都属于自愿性指引,组织可按自身风险偏好选择采纳其中部分内容。
HIPAA、SOX 和 GDPR 都是由政府机关执行的成文法,而 PCI DSS 是一项行业标准,通过商户与卡组织及其收单银行签订的合同才具有约束力。区分二者很重要,因为后果不同:前者是监管处罚,后者是合同救济,例如通过收单机构转嫁的罚款,或失去受理银行卡的资格。
编号 QB-89EJ9K依据： PCI Security Standards Council, PCI DSS — enforced through payment brand and acquirer contracts; HIPAA, SOX and GDPR are statutes报告此题的问题
8. 某份面向开发人员笔记本电脑的加固文件被标注为“指南”。一名开发人员遵循了其中大部分内容,但偏离了两条建议,并记录了原因。治理审查人员应如何看待这种情况?
- A.属于违规:任何已批准发布的安全文件都具有同等的强制约束力。
- B.属于违规:指南的效力高于标准,偏离指南是最严重的一类违规行为。
- C.可以接受:指南属于建议性文件,有记录、有理由的偏离并不构成违规。✓ 答案
- D.可以接受:在管理层另行签发强制令之前,安全文件对员工没有约束力。
在治理文件层级中,政策、标准和程序都是强制性的,而指南则明确属于可自行取舍的文件:它推荐良好实践,并允许专业判断。由于该开发人员运用了判断并记录了理由,因此没有可追究的违规;如果组织希望这些措施具有强制力,就应当以“标准”的形式发布。
编号 QB-KRT2ZD依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — policies, standards, procedures and guidelines报告此题的问题
9. 一起数据泄露事件暴露了某系统中的客户记录;该系统由管理员按系统所有者的指示配置,所依据的政策由董事会批准。谁对该风险负有“问责”责任,谁负责具体“执行”工作?
- A.高层领导承担问责且无法转移,系统所有者与管理员负责具体执行相关工作。✓ 答案
- B.管理员承担问责,因为错误配置是他亲手在键盘上操作造成的。
- C.问责会随任务执行者转移,因此已从董事会下移到系统所有者身上。
- D.问责属于在最近一次审查中批准了该控制设计的那位审计人员。
治理把这两个概念区分开:执行任务的“责任”可以向下委派给系统所有者和从业人员,但对结果的“问责”始终留在设定方向并实施监督的高层管理者和董事会手中。正因如此,即使具体动手的工作在下面几个层级完成,残余风险决策和政策批准仍然属于最高层。
编号 QB-39NVDD依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — governance: senior management direction, accountability and oversight报告此题的问题
10. 在实施缓解措施之后,某业务应用系统上仍有已记录在案的残余风险。按照治理原则,该系统继续在生产环境运行之前,必须由谁正式接受这一风险?
- A.在评估过程中测算出该项残余风险的那位安全分析师
- B.拥有该业务职能及其风险的高层管理者或系统所有者✓ 答案
- C.将在下一次审计中复核这套控制措施的外部审计人员
- D.在该系统上配置了各项缓解控制措施的系统管理员
接受风险是一项业务决策而非技术决策,因此必须由对该业务职能负有问责、并且能够承担后果的人作出,也就是高层管理者或系统/数据所有者。分析师负责测算和建议,管理员负责实施,审计人员负责检查,但他们都无权代表组织承担这份潜在损失。
编号 QB-AMCJTK依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — risk management: risk treatment and acceptance of residual risk报告此题的问题
11. 某公司为所有服务器制定并出资落实了打补丁的要求;它还每月执行检查,核实并记录每台服务器是否确实完成了补丁安装。按此顺序,这两项活动分别对应哪个术语?
- A.先是应尽审慎(due diligence),后是应尽关注(due care):先调查,再留存记录。
- B.先是正当程序(due process),后是应尽关注(due care):先走流程,再决定拨款。
- C.先是应尽关注(due care),后是疏忽:拨款实施控制后又复查,属于重复劳动。
- D.先是应尽关注(due care),后是应尽审慎(due diligence):先审慎行动,再验证。✓ 答案
应尽关注(due care)是指做一个审慎的组织应当做的事,本例中就是制定并出资落实打补丁的要求;应尽审慎(due diligence)则是持续的调查、核实与记录,用以表明这项义务确实得到了履行,本例中就是每月的检查与记录。这一对概念在法律上很重要:前者确立行为标准,后者提供达到该标准的证据。
编号 QB-T4JQDM依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — professional and ethical conduct (due care and due diligence)报告此题的问题
12. 一名 ISC2 会员发现,客户要求隐瞒某个严重缺陷的指示会使公众面临受损风险。《道德规范》的各条准则有既定的适用顺序。这一冲突应如何解决?
- A.为委托方提供尽责服务的准则排在首位,因此应当按客户的指示办理。
- B.保护社会与公众信任的准则排在首位,其效力高于对委托方的服务义务。✓ 答案
- C.各条准则的效力完全相同,会员可以选择最适合本次委托的那一条。
- D.推进与保护职业的准则排在首位,因此会员应当悄悄听从客户的安排。
ISC2《道德规范》的各条准则是按优先顺序排列的,第一条是保护社会、公共利益、必要的公众信任与信心以及基础设施。由于该准则的效力高于“为委托方提供尽责且胜任的服务”这一义务,会员在遇到此类冲突时,不能为了迎合客户而隐瞒会危害公众的缺陷。
编号 QB-9MZ7NJ依据： ISC2 Code of Ethics, Canons (Canon I: protect society, the common good, necessary public trust and confidence, and the infrastructure)报告此题的问题
13. 一次检查发现,多个部门的员工把客户数据粘贴进公司从未批准、也未纳入清单的公共生成式人工智能工具中。以下哪一项治理措施应当最先实施?
- A.先发布人工智能可接受使用政策,并清点已在使用的人工智能服务。✓ 答案
- B.封锁相关部门的全部对外网络流量,直到这些工具不再被使用为止。
- C.请各部门继续使用这些工具,并在发现异常情况时及时向上报告。
- D.先采购企业级人工智能平台,部署完成之后再编写相应的治理文件。
这属于“影子人工智能”。治理处理它的方式与处理任何未经批准的服务相同:先把规则讲清楚,再摸清家底。可接受使用政策告诉员工哪些数据可以、哪些不可以提交给人工智能服务;人工智能资产清单则揭示出需要评估的风险敞口。政策与可见性应当先于采购或一刀切封禁,后者只是在没有决策依据的情况下处理症状。
编号 QB-S47D8K依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — GRC and foundational AI concepts (AI acceptable use, AI asset inventory)报告此题的问题
14. 某安全项目每月报告两个数字:在约定窗口期内完成补丁安装的服务器百分比;以及未启用多因素认证的特权账户数量,该数量一旦超过设定阈值就上报风险委员会。这两个数字最恰当的分类是什么?
- A.补丁百分比是关键风险指标;设有阈值的账户数量衡量的则是绩效。
- B.两者都是关键绩效指标,因为二者统计的都是环境中当前存在的状况。
- C.两者都是关键风险指标,因为凡是报送风险委员会的数字都算风险指标。
- D.补丁百分比是关键绩效指标;设有阈值的账户数量是关键风险指标。✓ 答案
关键绩效指标衡量的是项目把承诺之事做得如何——在约定窗口期内完成打补丁,就是对照目标的绩效。关键风险指标则是前瞻性的:它设有明确阈值,能在损失发生之前预警风险敞口正在上升,未启用多因素认证的特权账户数量正是如此。指标报送给谁,并不能决定它属于哪一类。
编号 QB-8MNVFH依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics, key risk indicators)报告此题的问题
15. 风险委员会要求安全负责人提出一个关键风险指标,而不是再报一个状态数字。所提出的度量必须具备以下哪项特征?
- A.它须统计监控团队在本季度内已经处理关闭的各类安全事件数量。
- B.它须在损失发生之前预示风险敞口上升,并设有触发上报的阈值。✓ 答案
- C.它须把团队的实际支出与年初获批的预算额度进行对比分析。
- D.它须汇总上一周期中提出并已经完成整改的各项审计发现事项。
关键风险指标与普通度量的区别在于方向与后果:选择它,是因为它会先于损失发生而变动,并且设有明确阈值,一旦被突破就触发上报或行动。已关闭事件的计数、支出与预算的对比、以往审计发现的汇总,描述的都是已经发生的事情,因此只是报告现状,而不是发出预警。
编号 QB-R4U23J依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key risk indicators)报告此题的问题
16. 某份月度报告列出了被拦截的邮件数量、防火墙拒绝次数和产生的告警数量。从来没有人因为这些数字而作出任何改变。这些指标的根本问题是什么?
- A.它们采集得太频繁,这类计数指标每年汇总一次就已经足够了。
- B.它们是定量指标,而面向董事会的治理指标必须全部为定性指标。
- C.它们可以统计却无法支撑决策,因为没有与任何目标或行动挂钩。✓ 答案
- D.它们由自动化工具产生,只有人工汇编出来的数字才算安全度量指标。
有用的度量必须与某个目标挂钩,并且能够改变某项决策:数字上升或下降时,总得有人据此改变做法。被拦截邮件数、防火墙拒绝次数这类活动量统计,衡量的是工具有多忙,而不是组织是否更安全,因此只产生报告工作量,却无法支撑任何选择。定量和自动采集本身并不是缺陷。
编号 QB-7MAJAG依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics)报告此题的问题
17. 有人向一位高管报告:月末有 312 个漏洞处于未修复状态。她反问:这说明了什么?这项度量还需要什么,才能回答她的问题?
- A.需要把计数换算成百分比,任何时点数字经过换算后即可被解读。
- B.需要基线和历次周期的趋势,这样才能判断数字是在改善还是恶化。✓ 答案
- C.需要与竞争对手公布的数字对比,那是度量指标唯一有效的参照。
- D.需要按扫描器和子网做更细拆分,这样计数才成为治理层面的度量。
孤立的时点计数本身没有意义,因为没有可供比较的参照。确立基线并按周期报告趋势,读者才能看出方向——风险敞口在收缩还是在扩大——这才是支撑决策的信息。换算成百分比、做更细的技术拆分或引用竞争对手的数字,都无法提供这个参照点。
编号 QB-Q4GQVG依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (key metrics, trends and reporting)报告此题的问题
18. 有人提议制作三样东西:运维团队在整个班次中持续盯着的屏幕;每季度一份、按目标为各控制领域评分的表;以及每季度一份、说明发生了哪些变化及原因的书面叙述材料。按顺序,它们分别是什么?
- A.仪表板、报告、记分卡——实时监控、目标评分、随后是季度书面摘要。
- B.记分卡、报告、仪表板——排名结果、实时监控、随后是定期书面摘要。
- C.报告、仪表板、记分卡——详细叙述、目标评分、随后是面向运营的屏幕。
- D.仪表板、记分卡、报告——实时监控、对照目标的绩效、叙述性背景说明。✓ 答案
这三种呈现方式对应不同的节奏和受众。仪表板是可视化、近实时的,用于运营监控;记分卡是周期性的,按既定目标为绩效评分;报告则是周期性的书面叙述,提供细节与背景。选错载体是常见的报告失误,因为载体本身就决定了读者对信息时效性和详细程度的预期。
编号 QB-6MX75F依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (dashboards, score cards, reports)报告此题的问题
19. 某安全经理有十五分钟时间向董事会作汇报。以下哪种内容安排适合这一受众?
- A.本季度发现的全部严重漏洞清单,含受影响的主机名及其扫描评分。
- B.自上次会议以来所做防火墙规则变更的逐条说明,按实施顺序排列。
- C.以业务影响表述的风险敞口,以及需要董事会作出的各项决策事项。✓ 答案
- D.各监控工具的原始告警计数,供董事会自行评判技术产品的实际表现。
报告必须与受众匹配。董事会承担的是治理职责,它需要以业务影响表述的风险,以及明确说明需要它作出哪些决策或批准哪些资源,因为这才是它能够采取行动的内容。主机名清单、规则变更和原始告警计数属于运营层面的细节,应当留给技术团队;把这些内容讲给董事听,只会耗尽汇报时间而无助于任何治理决策。
编号 QB-P45DQF依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (reports and audience)报告此题的问题
20. 某公司运行着一个为贷款申请评分的人工智能模型。风险人员希望在治理仪表板上设置一个针对人工智能的关键风险指标。以下哪项度量符合这一目的?
- A.跟踪模型漂移,以便在决策质量受损之前发现输出质量正在下降。✓ 答案
- B.把供应商公布的准确率声明照搬到仪表板上,每季度重复展示一次。
- C.统计已处理的推理请求总量,用以显示该模型受欢迎的程度如何。
- D.记录业务方在今年内针对该模型提交的新增功能需求的数量。
模型漂移是指模型训练时所依据的条件与其当前实际运行条件之间逐渐拉开的差距,它会在任何人察觉到错误决策之前就使输出质量下降。由于它先于损失而变动,并且可以设定触发复核或重新训练的阈值,因此具备关键风险指标的特征。请求量、供应商声明和功能需求数描述的是使用情况或预期,而不是上升中的风险敞口。
编号 QB-5GNZ93依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — Measure cybersecurity effectiveness (AI-specific key risk indicators on dashboards and reports)报告此题的问题
21. 某面向客户的人工智能服务,其业务连续性计划目前只备份应用程序数据库。还必须保护哪些内容,该服务才真正能够被恢复?
- A.与该服务一同对外发布的营销材料和面向用户的使用文档。
- B.模型权重、训练数据集以及该模型所依赖的服务配置信息。✓ 答案
- C.与供应商签订的合同,以及为图形处理算力支付的各项发票。
- D.显示每天有多少用户访问该服务的网站分析历史数据记录。
恢复一个人工智能服务,意味着恢复产生答案的那个东西,而不仅仅是它保存下来的记录。训练得到的模型权重、用于构建和重新训练模型的数据集,以及把它们组装起来的配置,才是让该服务能够运转的要素;如果计划中遗漏了这些,组织就只能恢复数据而无法恢复能力。合同、文档和分析数据虽然有用,却无法恢复任何服务能力。
编号 QB-MYFUP2依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — understand redundancy (backing up configurations, model weights and training datasets for AI services)报告此题的问题
22. 某公司的安全意识培训材料教员工通过“语法拙劣、排版怪异”来识别钓鱼邮件。既然攻击者已经在使用生成式人工智能,为什么必须更新这一指导?
- A.人工智能能写出流畅且个性化的诱饵并克隆语音,措辞已不再是可靠线索。✓ 答案
- B.人工智能使钓鱼攻击大幅减少,培训内容应转而讲解其他类型的攻击。
- C.人工智能生成的邮件都会在邮件网关被拦截,用户已经无需再接受任何提示。
- D.人工智能只影响语音通话,因此书面培训材料可以原样保留、不必修改。
生成式人工智能消除了安全意识培训教大家去寻找的那些表面破绽:它能大规模生成流畅、排版规整且高度个性化的信息,还能克隆熟悉的声音用于电话或语音留言。因此,培训内容必须从“识别糟糕的语言”转向“通过已知可信的渠道核实请求本身”,并把任何异常情况上报安全团队。
编号 QB-4GAP42依据： ISC2 Certified in Cybersecurity Exam Outline, Security Governance — understand security awareness (AI amplifying social engineering and phishing)报告此题的问题

本考试的其他主题

安全原则与控制措施类型22 道免费练习题风险、文件层级与职业道德22 道免费练习题业务连续性、灾难恢复与安全意识22 道免费练习题身份生命周期管理22 道免费练习题逻辑访问控制与模型22 道免费练习题网络安全概念22 道免费练习题网络架构与云安全22 道免费练习题数据安全与安全运营22 道免费练习题事件响应、资产与安全测试22 道免费练习题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。官方 CC 考试大纲 →

1. 某公司把自己的安全工作称为“GRC”(治理、风险与合规)。以下哪项最准确地说明了这三部分各自的作用?

2. 某组织在年度监管审计中通过了全部控制测试,被判定为完全合规。为什么不能据此断定它是安全的?

3. 某组织正在建立一个全新的 GRC(治理、风险与合规)项目。以下哪项最能说明该项目预期产出的成果?

4. 管理层询问,安全团队为什么要采用一个已公开发布的网络安全框架,而不是从零开始自行编写全部内容。以下哪项回答是正确的?

5. 某组织希望采用一项管理体系标准,以便就信息安全接受独立审核并取得认证。以下哪一项是为此目的设计的?

6. 美国 NIST 网络安全框架把网络安全目标结果划分为若干“职能”。其中哪一项职能负责确立并监督组织的风险策略、角色与政策?

7. 某合规登记册把 HIPAA、SOX、GDPR 和 PCI DSS 并列在一起。关于这些义务的来源,以下哪种说法是正确的?

8. 某份面向开发人员笔记本电脑的加固文件被标注为“指南”。一名开发人员遵循了其中大部分内容,但偏离了两条建议,并记录了原因。治理审查人员应如何看待这种情况?

9. 一起数据泄露事件暴露了某系统中的客户记录;该系统由管理员按系统所有者的指示配置,所依据的政策由董事会批准。谁对该风险负有“问责”责任,谁负责具体“执行”工作?

10. 在实施缓解措施之后,某业务应用系统上仍有已记录在案的残余风险。按照治理原则,该系统继续在生产环境运行之前,必须由谁正式接受这一风险?

11. 某公司为所有服务器制定并出资落实了打补丁的要求;它还每月执行检查,核实并记录每台服务器是否确实完成了补丁安装。按此顺序,这两项活动分别对应哪个术语?

12. 一名 ISC2 会员发现,客户要求隐瞒某个严重缺陷的指示会使公众面临受损风险。《道德规范》的各条准则有既定的适用顺序。这一冲突应如何解决?

13. 一次检查发现,多个部门的员工把客户数据粘贴进公司从未批准、也未纳入清单的公共生成式人工智能工具中。以下哪一项治理措施应当最先实施?

14. 某安全项目每月报告两个数字:在约定窗口期内完成补丁安装的服务器百分比;以及未启用多因素认证的特权账户数量,该数量一旦超过设定阈值就上报风险委员会。这两个数字最恰当的分类是什么?

15. 风险委员会要求安全负责人提出一个关键风险指标,而不是再报一个状态数字。所提出的度量必须具备以下哪项特征?

16. 某份月度报告列出了被拦截的邮件数量、防火墙拒绝次数和产生的告警数量。从来没有人因为这些数字而作出任何改变。这些指标的根本问题是什么?

17. 有人向一位高管报告:月末有 312 个漏洞处于未修复状态。她反问:这说明了什么?这项度量还需要什么,才能回答她的问题?

18. 有人提议制作三样东西:运维团队在整个班次中持续盯着的屏幕;每季度一份、按目标为各控制领域评分的表;以及每季度一份、说明发生了哪些变化及原因的书面叙述材料。按顺序,它们分别是什么?

19. 某安全经理有十五分钟时间向董事会作汇报。以下哪种内容安排适合这一受众?

20. 某公司运行着一个为贷款申请评分的人工智能模型。风险人员希望在治理仪表板上设置一个针对人工智能的关键风险指标。以下哪项度量符合这一目的?

21. 某面向客户的人工智能服务,其业务连续性计划目前只备份应用程序数据库。还必须保护哪些内容,该服务才真正能够被恢复?

22. 某公司的安全意识培训材料教员工通过“语法拙劣、排版怪异”来识别钓鱼邮件。既然攻击者已经在使用生成式人工智能,为什么必须更新这一指导?

本考试的其他主题