22 道安全原则与控制措施类型练习题及答案

ISC2 网络安全入门认证（CC）考试练习的全部安全原则与控制措施类型练习题，附正确答案和简短解析。

1. 一名承包商把包含员工家庭住址和身份证号的表格发送到个人邮箱，文件在那里没有任何保护。文件内容没有被改动，人力资源系统也一直在线。这种情况主要违反了 CIA 三要素中的哪一项？
- A.完整性，因为这些记录离开了本应对其加以管控的系统
- B.保密性，因为未经授权的人员现在可以读取这些记录✓ 答案
- C.可用性，因为人力资源部门不再独占这些记录
- D.不可否认性，因为发送者可以否认曾传输这些记录
保密性指信息只向获得授权的人员披露，因此把个人记录转移到不受管控的邮箱就破坏了保密性，即使内容未被修改、服务也未中断。完整性关注的是未经授权的修改，可用性关注的是授权用户能否及时访问，本例中这两者都没有受到影响。
编号 QB-NYNRC9依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (confidentiality)报告此题的问题
2. 攻击者悄悄把标注错误的交易数据混入某银行欺诈检测模型的再训练数据中，导致该模型开始放行某一类欺诈支付。训练数据仍可正常读取，评分服务也一直在线。这主要影响了哪一项要素？
- A.保密性，因为攻击者接触到了用于训练的交易数据
- B.完整性，因为驱动模型的数据在未经授权的情况下被篡改✓ 答案
- C.可用性，因为该模型已无法执行其当初被构建的功能
- D.隐私性，因为客户交易数据被用于非预期的用途
完整性涵盖对数据的未经授权或不当修改，其中也包括人工智能系统所依赖的训练数据。污染再训练数据集会改变模型的输出结果，却没有泄露任何信息，也没有让服务中断，因此这属于完整性失效，而不是保密性或可用性失效。
编号 QB-5GGKS8依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (integrity)报告此题的问题
3. 一场洪水切断了某配送中心的供电。订单数据库完好无损，没有任何信息被泄露或修改，但员工两天内无法访问该应用。失效的是哪一项要素，且描述正确？
- A.不可否认性，即行为人无法否认自己已经实施的操作
- B.完整性，即记录在内部和外部都保持一致而不被篡改
- C.保密性，即把信息披露限制在获得授权的人员范围内
- D.可用性，即授权用户能够及时可靠地获得访问权限✓ 答案
可用性是指授权用户能够及时、可靠地获得对系统和数据的访问。断电导致数据虽然完好未被修改却两天无法访问，这是纯粹的可用性失效；另外三项分别描述披露、修改和抵赖问题，本例中都没有发生。
编号 QB-MYAE78依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (availability)报告此题的问题
4. 某医院把捐赠者邮寄名单标记为需要重点保护，因为一旦公开会让捐赠者难堪；同时把床位管理系统标记为需要重点保护，因为一旦中断就会导致无法收治病人。这两项判断分别对应哪些安全术语？
- A.邮寄名单属于关键性判断，床位系统属于敏感性判断
- B.邮寄名单属于敏感性判断，床位系统属于关键性判断✓ 答案
- C.两者都属于关键性判断，因为两者都会推导出保护要求
- D.两者都属于敏感性判断，因为都涉及对机构造成的损害
敏感性衡量的是信息一旦被披露会造成多大损害，属于保密性范畴；关键性衡量的则是资源一旦不可用会造成多大损害。捐赠者名单依据披露损害来判断，床位系统依据中断损害来判断，考题常常故意把这两个标签对调。
编号 QB-8GJKAC依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (confidentiality and availability)报告此题的问题
5. 在一台自助终端上，用户先输入用户名，再轻触硬件令牌，随后获得对某共享文件夹的只读权限，而她打开的每个文件都会被写入与其账户关联的日志。按先后顺序，这四个步骤分别是什么？
- A.身份验证、标识、审计记账、授权
- B.标识、身份验证、授权、审计记账✓ 答案
- C.授权、标识、身份验证、审计记账
- D.标识、授权、身份验证、审计记账
这一顺序总是从标识开始，主体只是声称某个身份；随后由身份验证来证明该声称，再由授权决定允许执行哪些操作，最后由审计记账把行为记录到该身份名下。每一步都以前一步为前提，因此顺序不能调换。
编号 QB-QYCEQB依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication, authorization, accounting)报告此题的问题
6. 一名新分析师说：“系统已经对他完成了身份验证，所以他可以打开薪资文件夹。”这一推理为什么是错误的？
- A.身份验证既证明他是谁，也决定他可以打开哪些资源，除非启用了日志
- B.授权发生在身份验证之前，因此该文件夹的访问决定早已作出
- C.身份验证只证明他是谁，是否可以打开该文件夹由授权决定✓ 答案
- D.只要登录环节要求多因素，身份验证与授权就合并为同一个步骤
身份验证只能确认所出示的身份是真实的。至于实际可以使用哪些资源，要由另一道授权决策依据策略和分配给该身份的权限来判定，因此登录成功本身绝不等于获得了打开某个文件夹的许可。
编号 QB-7G795B依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication versus authorization)报告此题的问题
7. 审计人员询问：组织依靠哪一项属性，才能在事后准确还原出每一次特权变更是由哪个账户执行的？AAA 中的哪个要素提供了这种能力？
- A.身份验证，它在登录时确认所出示凭据的真实性
- B.授权，它确定某个账户被允许执行的操作范围
- C.标识，它是账户在开始时所声称的身份主张
- D.审计记账，它记录所发生的操作并将其与身份关联✓ 答案
审计记账（有时称为问责）是 AAA 中负责记录所发生操作、并把每条记录与执行者身份绑定的要素。缺少这种绑定，组织只能证明有人登录过，却无法把某次具体变更归属到某个具体账户。
编号 QB-PYZ3JA依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (accounting)报告此题的问题
8. 某系统登录先要求输入口令，随后要求在用户已登记的手机上批准一条提示。一位同事认为这只是两步验证，而不是真正的多因素认证。谁的说法正确，理由是什么？
- A.这是多因素，因为手机属于与口令不同类别的“你所拥有的东西”✓ 答案
- B.这只是两步验证，因为手机提示只是“你所知道的信息”的一种变体
- C.这只是两步验证，因为两次校验都是由同一个登录服务来完成的
- D.这是多因素，但前提是把第二步改用指纹或人脸识别来完成
多因素认证要求所用因素来自不同类型。口令属于“你所知道的信息”，而用于批准提示的已登记手机属于“你所拥有的东西”，两次校验分属不同类别；两次校验由同一个服务执行，并不会改变所涉及的因素类型。
编号 QB-AG99NE依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication factors)报告此题的问题
9. 一名外勤技术员通过笔记本电脑上的指纹识别器，再加上钥匙扣令牌生成的一次性验证码来登录。这里使用了哪两类认证因素？
- A.你本身的特征与你所处的地理位置
- B.你所知道的信息与你本身的特征
- C.你所拥有的物品与你所知道的信息
- D.你本身的特征与你所拥有的物品✓ 答案
指纹属于固有因素，即“你本身的特征”，而生成一次性验证码的钥匙扣令牌属于占有因素，即“你所拥有的东西”。本例中并不需要凭记忆回忆任何秘密，因此完全没有涉及知识因素。
编号 QB-SY343E依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (authentication factors)报告此题的问题
10. 关于同一份已签名的采购订单有三项主张：(i) 它在传输过程中未被改动；(ii) 它确实来自所声称的那家供应商；(iii) 该供应商事后无法否认曾发送过它。按顺序，(i)、(ii)、(iii) 分别对应哪些术语？
- A.完整性、真实性、不可否认性✓ 答案
- B.不可否认性、完整性、真实性
- C.完整性、不可否认性、真实性
- D.真实性、完整性、不可否认性
完整性回答的是消息是否被改动，真实性回答的是来源是否属实，不可否认性回答的是行为人事后能否合理地否认自己实施过该行为。这是三项彼此独立的属性，尽管一个数字签名可以同时提供这三者。
编号 QB-KY2653依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (integrity, non-repudiation)报告此题的问题
11. 某拨款办公室必须能够在事后证明某位特定申请人提交了某份特定预算表格，并且要经得起该申请人事后的否认。哪一组合最能提供不可否认性？
- A.由双方共用一把密钥来计算该表单的消息摘要值
- B.把表单的哈希值与表单一起存放在同一个文档库中
- C.用申请人私钥生成的数字签名，并配合审计日志留存✓ 答案
- D.为上传过程建立加密通道以保护传输中的表单内容
不可否认性要求提供只有某一方才可能生成的证据，因此签名必须用只有申请人掌握的密钥来生成，并配合能把该次提交与该身份绑定起来的日志。共享密钥无法做到这一点，因为持有密钥的任一方都可能生成该值；而传输加密则完全没有说明是谁发送了表单。
编号 QB-4G8BQ3依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (non-repudiation)报告此题的问题
12. 某零售商把购买记录加密保存，并且只允许一个小团队访问，但却在没有告知顾客、也没有提供任何选择的情况下把这些记录卖给广告商。以下哪项描述最恰当？
- A.保密性得到了维持，但客户的隐私权并未得到尊重✓ 答案
- B.两者都完好，因为隐私就是针对个人数据的保密性
- C.隐私得到了维持，但该零售商的保密控制措施已经失效
- D.两者都不适用，因为隐私只涉及未经加密保存的数据
保密性是一项控制目标，即防止数据被未经授权的人员获取，而加密和访问限制确实达到了这一目标。隐私则是个人对其个人信息如何被收集、使用和披露加以控制的权利；在未告知也未给予选择的情况下出售这些记录，就侵犯了该权利，即使从未有未经授权的人闯入。
编号 QB-PRNFYU依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity concepts (privacy)报告此题的问题
13. 某公司每季度开展一次关于钓鱼邮件和口令卫生的安全意识培训，出勤情况由人力资源部门登记。按照三类控制的划分，这属于哪一类？
- A.管理性控制，因为它规范了员工在工作中应当如何行事✓ 答案
- B.物理性控制，因为人力资源在现场登记出勤情况
- C.三类都不是，因为培训只是告知，并不约束任何人
- D.技术性控制，因为它所讲授的内容属于技术主题
管理性控制（也称管理层控制）是与人员和流程相关的控制，包括政策、程序、背景审查和培训。所讲授的主题与分类无关；决定分类的是该控制通过引导人的行为发挥作用，而不是依靠硬件、软件或物理屏障。
编号 QB-3GVYH2依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (administrative controls)报告此题的问题
14. 服务器楼层的唯一入口处设有专人值守的接待台负责查验工牌，其可见的存在同时也让人打消了溜进去的念头。在类别维度和功能维度上，这属于什么控制？
- A.类别上属于物理控制；功能上兼具纠正与恢复
- B.类别上属于物理控制；功能上兼具威慑与检测✓ 答案
- C.类别上属于管理控制；功能上兼具威慑与指导
- D.类别上属于技术控制；功能上兼具预防与补偿
警卫或专人值守的接待台保护的是设施本身，因此属于物理控制。在功能上，它既起威慑作用（可见的人员存在会让人在动手之前就打消念头），又起检测作用（值守人员会观察并报告实际发生的情况），这正是考题常把这两种功能配对考查的原因。
编号 QB-NRA5TT依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (physical controls)报告此题的问题
15. 公司为每台笔记本电脑配置了全盘加密，使得偷走设备的人无法读取其中存储的内容。在两个维度上，这项控制应如何分类？
- A.类别为技术控制，功能为检测
- B.类别为技术控制，功能为预防✓ 答案
- C.类别为物理控制，功能为预防
- D.类别为管理控制，功能为纠正
加密是通过软件或硬件实现的，因此属于技术控制（也称逻辑控制）。它在保密性受损之前就已发挥作用，因为被窃取的数据从一开始就无法读取；这种事先阻止危害发生的控制属于预防性，而不是检测性或纠正性。
编号 QB-69GADU依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (technical controls)报告此题的问题
16. 某项必须实施的控制无法在一套遗留系统上落地，于是组织部署了另一项能够提供相当保护水平的保障措施，并把该决定记录在案。这项替代性保障措施叫什么？
- A.补偿性控制，用于替代那些无法实施的既定控制✓ 答案
- B.纠正性控制，在事件发生之后用于恢复正常运行
- C.威慑性控制，用于打消攻击者进行尝试的念头
- D.指导性控制，用于告知员工应当遵循的行为规范
补偿性控制是在既定的主要控制无法实施时有意部署的替代措施，它必须提供与被替代控制相当的保护水平，并且理由要记录在案并获得批准。界定它的是这种替代关系，而不是它在事件时间线上何时发挥作用。
编号 QB-MRXSMS依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (compensating controls)报告此题的问题
17. 每晚的备份被写入异地站点，以便在数据库损坏时能够还原。在功能维度上，哪一组最能描述备份所起的作用？
- A.预防与威慑，因为它从一开始就阻止了损失的发生
- B.检测与指导，因为它在损失发生的当时揭示问题
- C.纠正与恢复，因为它在损失发生之后才发挥作用✓ 答案
- D.预防与补偿，因为它可以替代系统的持续运行时间
备份既不能阻止损害事件发生，也不会在事件进行时揭示它；它的全部价值体现在事后，即用副本来纠正损害并恢复数据。功能类型是按控制相对于事件发生的时点来划分的，而备份正处在事件之后。
编号 QB-595Y7T依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (control functions)报告此题的问题
18. 一位经理提议撤掉数据机房的所有读卡器和警卫，理由是服务器已经使用了加密、强身份验证和详细日志。最有力的反对理由是什么？
- A.一旦场所没有任何物理控制，技术控制就会自动失效
- B.技术控制必须与物理控制由同一个委员会审批才有效
- C.物理控制是监管机构唯一承认为强制要求的控制类别
- D.技术控制无法阻止有人直接搬走或损毁服务器硬件设备✓ 答案
三类控制针对的是不同的攻击路径，彼此是互补关系而非替代关系：面对有人直接走进来搬走服务器、剪断线缆或对硬件动手脚，加密和日志毫无作用。把技术、管理和物理三类控制层层叠加，正是纵深防御的含义。
编号 QB-QYFGT7依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (defense in depth)报告此题的问题
19. 一套工牌系统由读卡器和门锁、一台负责判定并记录每次刷卡的服务器，以及一份关于发卡与吊销的书面政策组成。考生应当如何对这套工牌系统进行分类？
- A.该系统纯属物理控制，因为其目的是阻止人员进入房间
- B.该系统纯属技术控制，因为由软件决定门是否解锁
- C.该系统同时具有物理、技术和管理三类组成部分✓ 答案
- D.该系统纯属管理控制，因为发卡由一份书面政策管辖
一项保障措施往往可以拆解为分属不同类别的组成部分：读卡器和门锁属于物理部分，负责判定和记录的软件属于技术部分，发卡与吊销规则属于管理部分。考试要求考生对所描述的那个具体组件进行分类，而不是对整个系统的总体目的进行分类。
编号 QB-8GNND8依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand cybersecurity controls (technical, administrative and physical controls)报告此题的问题
20. 某物流公司购买了可赔付数据泄露通知费用和法律费用的网络保险。董事会询问：这份保单究竟改变了公司的哪些义务？准确的回答是什么？
- A.这属于风险接受，因为该公司选择照原样继续经营下去
- B.它把数据相关的问责连同费用一并转移给了保险公司
- C.这属于风险规避，因为该公司不再承担这项风险敞口
- D.它转移的是财务影响，数据相关的问责仍由该公司承担✓ 答案
购买保险属于风险转移，转移给第三方的是损失所带来的财务影响。保护数据方面的法律责任和问责仍然留在本组织，无法外包出去，这正是考生最常搞错的区别。
编号 QB-MPZMMS依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand risk management concepts (risk treatment: transference)报告此题的问题
21. 某份加固文档在结尾写道：“鼓励各团队在可行的情况下应用这些配置。”一名新分析师却把该文档视为对所有团队都具有强制约束力。正确的纠正是哪一项？
- A.这种措辞使它成为标准，对所有团队都具有强制约束力
- B.这种措辞使它成为程序，对执行该任务的人具有约束力
- C.这种措辞使它成为指南，属于建议而非强制要求✓ 答案
- D.这种措辞使它成为政策，对整个组织都具有约束力
在治理文档层级中，政策、标准和程序都是强制性的，而指南则属于建议性、可自行斟酌的内容。“鼓励……在可行的情况下”这一措辞正是判定该文档为指南的标志，把指南当作强制要求是这一层级中最常见的错误之一。
编号 QB-47UF2S依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — understand governance concepts (policies, standards, procedures)报告此题的问题
22. 在与某云服务商签约之前，一位安全主管研究了该服务商的控制报告并提出了详细问题；签约之后，她配置了加密并每月复核访问权限。按顺序，这两项活动分别对应哪些术语？
- A.调研属于尽职调查，配置与复核属于应尽关注✓ 答案
- B.两项都属于尽职调查，因为两者都是调查性工作
- C.两项都属于应尽关注，因为两者都是合理的行为
- D.调研属于应尽关注，配置与复核属于尽职调查
尽职调查是指为弄清什么才是正确做法而进行的调查工作，并持续加以验证；应尽关注则是依据所掌握的信息采取合理审慎的行动，即“审慎人”标准。先有调研，后有保护性行动，因此两者是有先后顺序的，不能互换。
编号 QB-KPNAFR依据： ISC2 Certified in Cybersecurity Exam Outline, Security Principles — Maintain professional and ethical conduct (due care and due diligence)报告此题的问题

本考试的其他主题

风险、文件层级与职业道德22 道免费练习题治理、风险与合规22 道免费练习题业务连续性、灾难恢复与安全意识22 道免费练习题身份生命周期管理22 道免费练习题逻辑访问控制与模型22 道免费练习题网络安全概念22 道免费练习题网络架构与云安全22 道免费练习题数据安全与安全运营22 道免费练习题事件响应、资产与安全测试22 道免费练习题

练习题依据 ISC2《Certified in Cybersecurity (CC) 考试大纲》编写。本网站与 ISC2 无关联，也未获其认可，题目并非真实考题。ISC2 会定期修订知识域及其权重，考试长度、通过标准与报考条件均由其规定——报名前请向 ISC2 确认现行大纲与要求。官方 CC 考试大纲 →

1. 一名承包商把包含员工家庭住址和身份证号的表格发送到个人邮箱，文件在那里没有任何保护。文件内容没有被改动，人力资源系统也一直在线。这种情况主要违反了 CIA 三要素中的哪一项？

2. 攻击者悄悄把标注错误的交易数据混入某银行欺诈检测模型的再训练数据中，导致该模型开始放行某一类欺诈支付。训练数据仍可正常读取，评分服务也一直在线。这主要影响了哪一项要素？

3. 一场洪水切断了某配送中心的供电。订单数据库完好无损，没有任何信息被泄露或修改，但员工两天内无法访问该应用。失效的是哪一项要素，且描述正确？

4. 某医院把捐赠者邮寄名单标记为需要重点保护，因为一旦公开会让捐赠者难堪；同时把床位管理系统标记为需要重点保护，因为一旦中断就会导致无法收治病人。这两项判断分别对应哪些安全术语？

5. 在一台自助终端上，用户先输入用户名，再轻触硬件令牌，随后获得对某共享文件夹的只读权限，而她打开的每个文件都会被写入与其账户关联的日志。按先后顺序，这四个步骤分别是什么？

6. 一名新分析师说：“系统已经对他完成了身份验证，所以他可以打开薪资文件夹。”这一推理为什么是错误的？

7. 审计人员询问：组织依靠哪一项属性，才能在事后准确还原出每一次特权变更是由哪个账户执行的？AAA 中的哪个要素提供了这种能力？

8. 某系统登录先要求输入口令，随后要求在用户已登记的手机上批准一条提示。一位同事认为这只是两步验证，而不是真正的多因素认证。谁的说法正确，理由是什么？

9. 一名外勤技术员通过笔记本电脑上的指纹识别器，再加上钥匙扣令牌生成的一次性验证码来登录。这里使用了哪两类认证因素？

10. 关于同一份已签名的采购订单有三项主张：(i) 它在传输过程中未被改动；(ii) 它确实来自所声称的那家供应商；(iii) 该供应商事后无法否认曾发送过它。按顺序，(i)、(ii)、(iii) 分别对应哪些术语？

11. 某拨款办公室必须能够在事后证明某位特定申请人提交了某份特定预算表格，并且要经得起该申请人事后的否认。哪一组合最能提供不可否认性？

12. 某零售商把购买记录加密保存，并且只允许一个小团队访问，但却在没有告知顾客、也没有提供任何选择的情况下把这些记录卖给广告商。以下哪项描述最恰当？

13. 某公司每季度开展一次关于钓鱼邮件和口令卫生的安全意识培训，出勤情况由人力资源部门登记。按照三类控制的划分，这属于哪一类？

14. 服务器楼层的唯一入口处设有专人值守的接待台负责查验工牌，其可见的存在同时也让人打消了溜进去的念头。在类别维度和功能维度上，这属于什么控制？

15. 公司为每台笔记本电脑配置了全盘加密，使得偷走设备的人无法读取其中存储的内容。在两个维度上，这项控制应如何分类？

16. 某项必须实施的控制无法在一套遗留系统上落地，于是组织部署了另一项能够提供相当保护水平的保障措施，并把该决定记录在案。这项替代性保障措施叫什么？

17. 每晚的备份被写入异地站点，以便在数据库损坏时能够还原。在功能维度上，哪一组最能描述备份所起的作用？

18. 一位经理提议撤掉数据机房的所有读卡器和警卫，理由是服务器已经使用了加密、强身份验证和详细日志。最有力的反对理由是什么？

19. 一套工牌系统由读卡器和门锁、一台负责判定并记录每次刷卡的服务器，以及一份关于发卡与吊销的书面政策组成。考生应当如何对这套工牌系统进行分类？

20. 某物流公司购买了可赔付数据泄露通知费用和法律费用的网络保险。董事会询问：这份保单究竟改变了公司的哪些义务？准确的回答是什么？

21. 某份加固文档在结尾写道：“鼓励各团队在可行的情况下应用这些配置。”一名新分析师却把该文档视为对所有团队都具有强制约束力。正确的纠正是哪一项？

22. 在与某云服务商签约之前，一位安全主管研究了该服务商的控制报告并提出了详细问题；签约之后，她配置了加密并每月复核访问权限。按顺序，这两项活动分别对应哪些术语？

本考试的其他主题