22 道风险、文件层级与职业道德练习题及答案

1. 1. 某医院的档案服务器缺少厂商发布的多个安全补丁。已知有勒索软件团伙专门在互联网上扫描这些未打补丁的版本。按照标准的风险术语，这些缺失的补丁本身应归类为什么？

   • A.威胁，因为未打补丁的软件才是真正造成损害的东西
   • B.脆弱性，因为它是外部力量能够加以利用的弱点✓ 答案
   • C.威胁载体，因为它是勒索软件团伙进入内网所走的路径
   • D.风险，因为补丁一天不装，暴露程度就一天在上升

   脆弱性是资产或控制措施中可被威胁利用的弱点或缺口。勒索软件团伙属于外部威胁，可能随之发生的入侵才是风险，而未安装的补丁正是那个缺口，因此属于脆弱性。

   编号 QB-NHECPA依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (threat, vulnerability, risk)报告此题的问题

2. 2. 某组织的人员、设施和业务距离任何海岸线都有数百英里之遥，但其风险登记册草稿仍把飓风风暴潮列为一项威胁。按照 CC 层级的风险概念，该组织面临的风暴潮风险有多大？

   • A.中等，因为凡是能被列出的威胁在处置之前都带有基础风险
   • B.基本为零，因为没有相对应脆弱性的威胁不会产生风险✓ 答案
   • C.高，因为当威胁足以摧毁整座设施时，仅凭影响就可定级
   • D.无法确定，因为风险必须先由定量方法赋值才能评级

   只有当威胁与相对应的脆弱性同时存在并交汇时才产生风险。内陆组织不存在可被风暴潮作用的暴露面，因此该威胁在客观上存在，却不会给它带来风险；仅仅把威胁写进清单并不会凭空产生风险。

   编号 QB-52974A依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk as the intersection of threat and vulnerability)报告此题的问题

3. 3. 一名风险分析师这样记录某个情景：“发生的可能性不大，但一旦发生将导致停产三周。”这句话描述的是哪两个风险要素？

   • A.“可能性不大”是影响，“停产三周”是可能性
   • B.“可能性不大”是剩余风险，“停产三周”是固有风险
   • C.“可能性不大”是可能性，“停产三周”是影响✓ 答案
   • D.“可能性不大”是风险容忍度，“停产三周”是风险偏好

   可能性指风险发生的概率，影响指一旦发生所造成后果的严重程度。风险是由这两者共同决定的，因此一个发生概率很低但后果严重的事件，仍可能需要采取处置措施。

   编号 QB-MH32H9依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (likelihood and impact)报告此题的问题

4. 4. 一位新上任的安全经理正在启动该组织第一个正式的风险管理项目。在风险管理生命周期中，哪项活动应当排在最前面？

   • A.为风险登记册上的每个情景评定可能性与影响等级
   • B.挑选可把最严重暴露降下来的各项控制措施
   • C.购买网络保险以覆盖最终仍会留下的那部分损失
   • D.识别并清点组织赖以运作的各项关键资产和数据✓ 答案

   风险管理生命周期从识别开始，而组织无法保护、评级或投保一件自己从未清点过的东西。资产清点确定了什么才是有价值的对象，这是后续评估与处置各阶段的必要输入。

   编号 QB-42WUW8依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk management lifecycle)报告此题的问题

5. 5. 某团队已完成资产、威胁与脆弱性的识别，并按可能性与影响对每个情景做了排序。按照风险管理生命周期，下一步应当做什么？

   • A.结束风险登记册，因为评估做完就意味着生命周期收尾
   • B.决定每项风险如何处置：规避、缓解、转移还是接受✓ 答案
   • C.重新开始识别，因为威胁形势的变化快过评级的速度
   • D.通知监管机构，因为评估出的风险必须一律对外披露

   生命周期的顺序是识别、评估、处置，然后持续监控。排好序的评估结果正是作出处置决策的输入，而监控是在处置之后持续开展的活动，并不能取代处置，因此排好序的登记册并不是终点。

   编号 QB-KHQPB8依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk management processes)报告此题的问题

6. 6. 在尚无任何防护措施时，某数据丢失情景被评为高风险。部署加密、访问权限复核与监控之后，剩下的暴露被评为低风险。这部分剩下的暴露叫什么，又必须如何处理？

   • A.固有风险，必须在系统正式投入使用之前把它降到零为止
   • B.剩余风险，必须落在风险容忍度之内并由管理层正式接受✓ 答案
   • C.转移风险，现在归提供这些防护产品的供应商承担
   • D.规避风险，无需责任人，因为控制措施已消除威胁

   固有风险是施加控制措施之前的暴露，控制之后仍然留下的部分就是剩余风险。任何控制组合都不可能把风险降为零，因此剩余风险必须被降到组织既定的容忍度之内，并由拥有该决策权的管理层正式接受。

   编号 QB-32JHR7依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (inherent risk, residual risk, risk acceptance)报告此题的问题

7. 7. 某零售商评估一项会员功能，该功能需要存储顾客的护照号码。管理层认定相关暴露无法降到容忍度之内，于是在开发启动前取消了这项功能。这属于哪种风险处置方式？

   • A.缓解，因为取消这项工作降低了数据泄露的可能性
   • B.接受，因为管理层选择照现状承受这一暴露
   • C.转移，因为放弃该功能把暴露推给了竞争对手
   • D.规避，因为根本不开展会产生该暴露的那项活动✓ 答案

   规避是指不开展或停止该项活动，使风险根本无从产生。缓解则会保留该功能并在其周围增加控制措施，而本例是通过去掉风险的成因把暴露彻底消除，而不是把它降低。

   编号 QB-JHCC67依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: avoidance)报告此题的问题

8. 8. 某制造商购买了一份网络保险保单，承保数据泄露的应急处置费用和业务中断损失。下列哪项最准确地描述了这份保单所起的作用？

   • A.它彻底消除了风险，因为后果已由第三方承担下来
   • B.它规避了风险，因为已投保的活动不再需要自有控制
   • C.它转移了大部分财务影响，但问责仍留在本组织身上✓ 答案
   • D.它记录了对风险的接受，因为缴保费就是决定自行承担

   转移是把财务后果转嫁给第三方，并不能把风险本身转走。声誉损害、监管责任以及保护数据的最终问责仍留在组织自己身上，因此各项控制措施依然必须落实。

   编号 QB-A22VXF依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: transference/sharing)报告此题的问题

9. 9. 一款遗留报表工具存在一个影响较小的缺陷。管理层比较了修复成本与预期损失，发现修复成本更高，于是记录了这一决定并指定了责任人和复查日期，此外不再采取行动。这属于哪种处置方式？

   • A.接受，因为这是经记录、经批准、主动承担该暴露的决定✓ 答案
   • B.忽视，因为把已知缺陷留在原地永远是未尽应尽关注
   • C.缓解，因为指定责任人和复查日期降低了发生的可能性
   • D.转移，因为指定的责任人此后要个人承担这笔损失

   接受是一项刻意作出的、有记录并经管理层批准的决定，前提是该风险处在容忍度之内，通常因为控制成本高于预期损失。单纯对缺陷视而不见并不算接受，因为无人权衡过，也无人对该决定负责。

   编号 QB-SHUPCF依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: acceptance)报告此题的问题

10. 10. 某公司既不能停止受理在线支付，也无法为该暴露投保，但可以在支付链路上增加多因素认证、令牌化和持续监控。该公司采用的是哪种风险处置方式？

    • A.规避，因为新控制措施消除了攻击者所需的全部条件
    • B.转移，因为引入第三方技术把损失推给了这些供应商
    • C.接受，因为业务照常进行，同时明知损失仍可能发生
    • D.缓解，因为增加控制措施是为降低损失的可能性与影响✓ 答案

    缓解（也称降低）是在保留业务活动的前提下施加控制措施，以降低发生的可能性、影响或两者。它与规避的区别在于业务流程仍在继续，与转移的区别在于并没有第三方承担财务后果。

    编号 QB-6H544Q依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk treatment: mitigation)报告此题的问题

11. 11. 某风险团队在一次研讨会上依据各部门主管的判断，把每个情景评为低、中、高三级，然后把结果画在热力图上。这属于哪种评估方法，其主要局限是什么？

    • A.定性法，其局限是得不出可支撑成本效益比较的金额✓ 答案
    • B.定量法，其局限是把专家判断搁置，只看原始事件计数
    • C.定量法，其局限是需要多数组织实际并不掌握的损失数据
    • D.定性法，其局限是只能用于声誉等无形损害的评估

    定性评估使用来自专家判断的主观描述性等级，通常以矩阵或热力图呈现。由于它不产生金额数值，因此无法直接支撑成本效益论证，而这正是定量评估所补足的部分。

    编号 QB-PZA9PQ依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (qualitative and quantitative risk assessment)报告此题的问题

12. 12. 一名安全分析师记录了某新应用存在较高的剩余风险，并建议不要上线；而项目发起人仍希望上线。按照通行的风险治理原则，谁对接受该风险负最终责任？

    • A.安全分析师，因为他对该暴露的技术理解最为深入
    • B.系统管理员，因为他们运行该应用并设定其配置
    • C.内部审计部门，因为它独立检验各项控制措施是否充分有效
    • D.高级管理层，因为冒此暴露所服务的业务目标归其所有✓ 答案

    风险偏好与风险容忍度由高级管理层和董事会设定，接受剩余风险的决定也归同一层级，因为承担该风险所要实现的业务目标正属于他们。安全从业者负责建言与落实，但不能代表组织接受风险。

    编号 QB-5HSRWN依据： ISC2 CC Exam Outline, Security Principles — understand risk management concepts (risk tolerance and risk acceptance by senior management)报告此题的问题

13. 13. 某商户的合规负责人列出了企业必须满足的四项义务。其中哪一项属于合同性的行业标准，而不是法律或政府法规？

    • A.《支付卡行业数据安全标准》，通过卡组织的合同来执行✓ 答案
    • B.欧盟《通用数据保护条例》，由各成员国的数据保护机构执行
    • C.美国 HIPAA 安全规则，由联邦部门对受管实体执行
    • D.某州的数据泄露通知法，由该州总检察长负责执行

    法律或法规由政府设定并由国家强制执行，而支付卡行业标准是卡组织通过合同施加的，靠罚款和取消受理资格来执行。不合规属于违约，而不是违法。

    编号 QB-NZXWGP依据： ISC2 CC Exam Outline, Security Principles — understand governance concepts (regulations and laws vs. standards)报告此题的问题

14. 14. 美国一家私营制造企业采用 NIST 网络安全框架来组织其安全工作。对这家公司而言，该框架具有什么样的效力？

    • A.国际条约义务，因为框架的采用是由各主权国家共同约定的
    • B.具有约束力的联邦法规，因为 NIST 出版物在全国具有法律效力
    • C.自愿性框架，公司可自行选择遵循，除非合同另有要求✓ 答案
    • D.可强制执行的行业标准，因为审计师可对偏离者处以罚款

    框架与指南属于组织自主选择采纳的参考材料；NIST 的指导对美国联邦机构具有强制性，但对私营企业则是自愿的，除非合同、监管要求或客户要求把它引入。采纳与否是一项管理决策，而非法律义务。

    编号 QB-8HURES依据： ISC2 CC Exam Outline, Security Principles — understand governance concepts (frameworks and guidelines)报告此题的问题

15. 15. 在安全治理的文件层级中，哪一类文件属于建议性而非强制性？

    • A.标准，它给出推荐技术，团队可在方便时自行替换
    • B.指南，它给出推荐做法，为专业判断留有余地✓ 答案
    • C.规程，它给出建议的步骤顺序，员工可按任务重排
    • D.方针，它表达管理层的愿望，并不要求任何人遵守

    指南是该层级中唯一具有自由裁量余地的一层：它提出良好做法并允许使用判断。方针、标准和规程对其适用对象都具有约束力，因此把标准或规程当作可选项，本身就是一种合规失败。

    编号 QB-RZZWZS依据： ISC2 CC Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures, guidelines)报告此题的问题

16. 16. 某治理文件中有这样一句话：“公司所有笔记本电脑必须使用 AES-256 全盘加密。”这句话属于哪一类文件？

    • A.方针，因为这是管理层对公司所重视之事的高层表述
    • B.规程，因为它一步步告诉管理员如何为笔记本加密
    • C.标准，因为它确定了落实方针的具体、可度量的要求✓ 答案
    • D.指南，因为它推荐了一种强算法，团队宜优先考虑采用

    方针用不依赖具体技术的语言说明“做什么、为什么”；标准则说明“具体做到什么程度”，即落实方针的统一、可度量的要求。这句话是强制性的，点名了具体技术却没有给出操作步骤，因此属于标准。

    编号 QB-7HGE9R依据： ISC2 CC Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures)报告此题的问题

17. 17. 是什么使组织的安全方针对员工具有约束力？

    • A.由安全工程团队做技术评审，确认其在实践中可行
    • B.由高级管理层批准，因为其领导并对业务负责✓ 答案
    • C.由受影响的员工在年度安全意识培训时签字表示知悉
    • D.由外部审计师出具认证，确认其符合行业的通行做法

    治理是自上而下行使的：方针之所以具有约束力，是因为领导该组织的高级管理层发布并背书了它。技术评审、审计意见和员工签字知悉都可以为方针提供支持，但它们本身并不赋予其权威。

    编号 QB-QZNKUR依据： ISC2 CC Exam Outline, Security Principles — understand governance concepts (policy issued and approved by senior management)报告此题的问题

18. 18. 某公司聘请外部机构评估一家关键供应商的安全控制措施并出具报告；随后公司出资并推动落实报告建议的整改措施。按先后顺序，这两项活动分别对应哪两个术语？

    • A.先疏忽，后应尽关注，因为聘请外部公司等于推卸责任
    • B.先应尽关注，后尽职调查，因为先行动才能验证是否有效
    • C.先尽职调查，再应尽关注，因为先知情才谈得上据以采取行动✓ 答案
    • D.先尽职调查，后疏忽，因为照别家的报告行事并不审慎

    尽职调查是“知”：调查、评估并弄清应当做什么。应尽关注是“行”：像一个理性的人那样依据所知采取行动，出资、实施并推动落实相应措施。认知必然先于有依据的行动。

    编号 QB-AHJESU依据： ISC2 CC Exam Outline, Security Principles — Maintain professional and ethical conduct (due care and due diligence)报告此题的问题

19. 19. 某公司已评估过风险、为合理的控制措施拨付了经费并记录了各项决策，但仍然被攻破。衡量它是否尽到应尽关注，应以什么为标准？

    • A.以结果为准，因为只要被攻破就证明未尽到应尽关注
    • B.以市场为准，因为应尽关注要求购买市面最先进的产品
    • C.以审计证书为准，因为只有通过认证才能证明尽到关注
    • D.以审慎人规则为准，因为理性同行的做法才是尺度✓ 答案

    应尽关注以审慎人规则来衡量：一个处于相同岗位、掌握相同信息的理性审慎之人，是否会作出同样的行为？由于该规则评判的是决策本身的质量而非结果，因此遭遇入侵并不自动等于疏忽。

    编号 QB-TZQKCV依据： ISC2 CC Exam Outline, Security Principles — Maintain professional and ethical conduct (due care, prudent person standard)报告此题的问题

20. 20. 一名持证专业人员发现客户的产品存在可能危及公众的缺陷。客户要求他保持沉默，以维护公司声誉。按照 ISC2 道德准则，哪项义务优先，理由是什么？

    • A.保护社会的义务，因为准则按其排列的先后次序适用✓ 答案
    • B.对客户的义务，因为委托人享有本行业最强的义务
    • C.对行业的义务，因为公开披露会让业内同行难堪
    • D.从业者本人的偏好，因为四条准则在冲突时分量相同

    四条准则是有先后次序的，当它们发生冲突时，序号靠前的准则优先。因此，保护社会、公共利益与公众信任的准则一，高于向雇主或客户等委托人提供勤勉服务的准则三。

    编号 QB-KFT9B7依据： ISC2 Code of Ethics, Canons I and III (canons applied in order of precedence)报告此题的问题

21. 21. ISC2 道德准则以固定顺序列出四条准则。其中第二条是哪一条？

    • A.“以荣誉、诚实、公正、负责且合法的方式行事。”✓ 答案
    • B.“推动并保护本行业。”
    • C.“向委托人提供勤勉而称职的服务。”
    • D.“保护社会、公共利益、必要的公众信任与信心以及基础设施。”

    四条准则的顺序是：保护社会与基础设施；以荣誉、诚实、公正、负责且合法的方式行事；向委托人提供勤勉称职的服务；推动并保护本行业。顺序之所以重要，是因为它决定了两项义务冲突时哪一项胜出。

    编号 QB-3YM4R6依据： ISC2 Code of Ethics, Canon II报告此题的问题

22. 22. ISC2 既设有道德准则，也另行发布了一份职业行为准则。下列哪项正确描述了两者之间的关系？

    • A.道德准则对持证人强制适用；行为准则属非强制指引✓ 答案
    • B.两者都是强制性的，违反其中任何一个都可吊销认证资格
    • C.道德准则只约束雇员，行为准则则用于约束外部承包人
    • D.行为准则已取代道德准则，因此四条准则不再对会员有约束力

    遵守道德准则是持有 ISC2 认证的前提条件，违反者可被处以直至吊销认证的处分。职业行为准则是在其基础上提出的非强制性指引，面向广义的网络安全从业者；它既不取代四条准则，也不构成认证的依据。

    编号 QB-JFFX56依据： ISC2 Code of Ethics (adherence required of all members) and the ISC2 Code of Professional Conduct (supplemental, non-mandatory guidance)报告此题的问题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。 官方 CC 考试大纲 →