1、信息安全培训试题 一、 单选 1、信息科技风险指在商业银行运用过程中，由于自然因素、（ B ）、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。 A 制度落实 B 技术标准 C 人为因素 D 不可抗力 2、信息科技风险管理的第一责任人是（ A ）。 A 银行的法定代表人 B 信息技术部负责人 C CIO D 其他 3、信息科技指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行（ A ），建立完整的管理组织架构，制订完善的管理制度和流程。 A 信息科技治理 B 信息安全管理 C 系统持续性管理 D 突发事件管理 4、所有科技风险事件
2、都可以归于信息系统连续性或（ D ）出问题的事件。 A 保密性 B 完整性 C 可用性 D 安全性 5、设立或指派一个特定部门负责信息科技（ D ）管理工作，该部门为信息科技突发事件应急响应小组的成员之一。 A 安全 B 审计 C 合规 D 风险 6、内部审计部门设立专门的信息科技风险审计岗位，负责（ A ）进行审计。 A 信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等 B 制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等 C 信息科技审计制度和流程的实施，对信息科技整个生命周期和重大事件等 D 信息科技审计制度和流程的实施，制订和执
3、行信息科技审计计划等 7、信息科技风险管理策略，包括但不限于下述领域（ C ）。 A 信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问 控制；物理安全；人员安全 B 信息分级与保护；信息系统开发、测试和维护；访问控制；物理安全；人员安全；业务连续性计划与应急处置 C 信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问控制；物理安全；人员安全；业务连续性计划与应急处置 D 信息分级与保护；信息科技运行和维护；访问控制；物理安全；人员安全；业务连续性计划与应急处置 8、依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。定义每个业务级别的控制内容，包括
4、最高权限用户的审查、控制对数据和系统的物理和逻辑访问、访问授权（ C ）为原则、审批和授权、验证和调节。 A 以 “最小授权 ” B 以 “必需知道 ” C 以 “必需知道 ”和 “最小授权 ” D 以上都不是 9、信息科技风险管理应制定明确的（ D ）等，定期进行更新和公示 A 信息科技风险管理制度 B 技术标准 C 操作规程 D 信息科技风险管理制度、技术标准和操作规程 10、制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要求；明确定义包括（ A ）等不同用户组的访问权限。 A 终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员 B 终端用户、计算机
5、操作人员、系统管理员和用户管理员 C 系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员 D 终端用户、系统开发人员、系统测试人员、计算机操作人员 11、商业银行应保证（ C ）中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要。 A 交易日志 B 系统日志 C 交易日志和系统日志 D 监控日志 12、对信息系统的（ C ）管理制定制度和流程。 A 立项 B 投产 C 全生命周期 D 终止 13、制定信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性 。应包括以下要求 : （ C ） A 生产系统与开发系统、测试系统有效隔离。 B 生产系统与开发系统
6、、测试系统的管理职能相分离。 C 生产系统与开发系统、测试系统有效隔离，生产系统与开发系统、测试系统的管理职能相分离。 D 生产系统与开发系统、测试系统有限隔离。 14、除得到管理层批准执行紧急修复任务外，禁止（ C ）进入生产系统，且所有的紧急修复活动都应立即进行记录和审核。 A 应用程序开发 B 维护人员 C 应用程序开发和维护人员 D 所有人员 15、将完成开发和测试环境的程序或系统配置变更应用到生产系统时，应得到（ C ）的批准，并对变更进行及时记录和定期复查。 A 信息科技部门 B 业务部门 C 信息科技部门和业务部门 D 机房管理人员 16、所有变更都应记入日志，由信息科技部门和业
7、务部门共同审核签字，并事先进行（ A ），以便必要时可以恢复原来的系统版本和数据文件。 A 备份 B 验证 C 测试 D 制定方案 17、严格控制（ C ）进入安全区域，如确需进入应得到适当的批准，其活动也应受到监控。 A 业务人员 B 维护人员 C 第三方人员（如服务供应商 ） D 开发人员 18、针对（ C ），尤其是从事敏感性技术相关工作的人员，应制定严格的审查程序，包括身份验证和背景调查。 A 临时聘用的技术人员和承包商 B 长期聘用的技术人员和承包商 C 长期或临时聘用的技术人员和承包商 D 来访人员 19、商业银行应采取（ C ）等措施降低业务中断的可能性，并通过应急安排和保险等方
8、式降低影响。 A 系统恢复 B 双机热备处理 C 系统恢复和双机热备处理 D 冗余方式 20、商业银行实施重要外包（如数据中心和信息科技基础设施等） 应格外谨慎，在准备实施重要外包时应以书面材料正式报告（ C ）。 A 银监会 B 人民银行 C 银监会或其派出机构 D 董事会 21、所有信息科技外包合同应由（ C ）和信息科技管理委员会审核通过。 A 信息科技部门 B 审计部门 C 信息科技风险管理部门、法律部门 D 董事会 22、至少应每（ C ）年进行一次全面审计。 A 一 B 二 C 三 D 四 23、业务连续性管理是指商业银行为有效应对（ C ），建设应急响应、恢复机制和管理能力框架，
9、保障重要业务持续运营的一整套管理过程，包括策略、组织架构、方法、标准和 程序。 A 系统宕机 B 通讯中断 C 重要业务运营中断事件 D 系统运行效率降低 24、商业银行业务连续性组织架构包括（ C ） A 日常管理组织架构 B 应急处置组织架构 C 日常管理组织架构和应急处置组织架构 D 信息科技管理组织架构 25、业务连续性管理主管部门是（ B ） A 办公室 B 风险管理部 C 信息科技部 D 审计部 26、信息科技部门是（ A ）。 A 业务连续性管理执行部门 B 业务连续性管理保障部门 C 业务连续性管理审计部门 D 业务连续性管理主管部门 27、应急处置组织架构应急决策层由（ A
10、）组成，负责决定应急处置重大事宜。 A 商业银行高级管理人员 B 信息科技部门人员 C 风险管理部门人员 D 业务条线管理部门人员 28、根据业务重要程度实现差异化管理，商业银行确定各业务恢复优先顺序和恢复指标，商业银行应当至少每（ C ）年开展一次全面业务影响分析，并形成业务影响分析报告。 A 一 B 二 C 三 D 四 29、原则上，重要业务恢复时间目标不得大于（ D ）小时。 A 一 B 二 C 三 D 四 30、原则上，重要业务恢复点目标不得大于（ D ）小时 A 0.1 B 0.2 C 0.4 D 0.5 31、商业银行应当通过分析（ A ）的对应关系、信息系统之间的依赖关系，根据业
11、务恢复时间目标、业务恢复点目标、业务应急响应时间、业务恢复的验证时间，确定信息系统 RTO 、信息系统 RPO ，明确信息系统重要程度和恢复优先级别，并识别信息系统恢复所需的必要资源。 A 业务与信息系统 B 开发测试与生产环境 C 重要系统与非重要系统 D 以上都不对 32、商业银行应当重点加强信息系统关键资源的建设，实现信息系统的（ C ），保障信息系统的持续运行并减少信息系统中断后的恢复时 间。 A 安全运行 B 顺利投产 C 高可用性 D 高可靠性 33、商业银行应当设立统一的（ A ），用于应急决策、指挥与联络，指挥场所应当配置办公与通讯设备以及指挥执行文档、联系资料等。 A 运营中
12、断事件指挥中心场所 B 技术标准 C 规章制度 D 组织架构 34、商业银行应当建立（ D ）等备用信息技术资源和备用信息系统运行场所资源，并满足银监会关于数据中心相关监管要求。 A 数据中心 B 技术中心 C 研发中心 D 灾备中心 35、商业银行应当明确关键岗位的备份人员及其备份方式，并确保 （ C ）可用，降低关键岗位人员无法及时履职风险。 A 在岗人员 B 运维人员 C 备份人员 D 科技人员 36、商业银行应当至少每（ C ）年对全部重要业务开展一次业务连续性计划演练。 A 一 B 二 C 三 D 四 37、商业银行应当至少（ A ）对业务连续性管理体系的完整性、合理性、有效性组织一
13、次自评估，或者委托第三方机构进行评估，并向高级管理层提交评估报告。 A 每年 B 6个月 C 两年 D 3个月 38、当运营中断事件同时满足多个级别的定级条件时，按（ B ）级别确定事件等级。 A 最低 B 最高 C 平均水 平 D 其他 39、灾备中心同城模式是指灾备中心与生产中心位于（ A ），一般距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。 A 同一地理区域 B 不同地理区域 C 距离较远地区 D 同一地点 40、总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级农村信用联合社应设立（ C ）。 A 备份介质存储中心 B 同城模式灾备中心 C 异地模
14、式灾备中心 D 其他 41、应具备机房环境监控系统，对基础设施设备、机房环境状况、安防系统状况进行（ A ）实时监测，监测记录保存时间应满足故障诊断、事后审计的需要。 A 7x24小时 B 5 x8小时 C 5x24小时 D 其他 42、数据中心应用（ B ）通信运营商线路互为备份。互为备份的通信线路不得经过同一路由节点。 A 一家 B 两家或多家 C 两家 D 其他 43、商业银行应（ A ）至少进行一次重要信息系统专项灾备切换演练，每三年至少进行一次重要信息系统全面灾备切换演练，以真实业务接管为目标，验证灾备系统有效接管生产系统及安全回切的能力。 A 每年 B 每两年 C 每半年 D 每季
15、度 44、商业银行应充 分识别、分析、评估数据中心外包风险，包括信息安全风险、服务中断风险、系统失控风险以及声誉风险、战略风险等，形成风险评估报告并报董事会和高管层审核。商业银行在实施数据中心整体服务外包以及涉及影响业务、管理和客户敏感数据信息安全的外包前，应向（ C ）报告。 A 银监会 B 银监会派出机构 C 中国银监会或其派出机构 D 其他 45、突发事件是指银行业金融机构（ A ）以及为之提供支持服务的电力、通讯等系统突然发生的，影响业务持续开展，需要采取应急处置措施应对的事件。 A 重要信息系统 B 桌面计算机系统 C 内部办公系统 D 笔记本电脑系统 46、突发事件依照其影响范围及
16、持续时间等因素分级。当突发事件同时满足多个级别的定级条件时，按（ A ）确定突发事件等级。 A 最高级别 B 最低级别 C 系统分类 D 其他 47、恢复时间目标（ RTO ）指（ B ）恢复正常的时间要求。 A 系统功能 B 业务功能 C 系统重启 D 事件关闭 48、恢复点目标（ RPO ）：业务功能恢复时能够容忍的（ D ）。 A 业务数据丢失量 B 客户数据丢失量 C 设备损坏数量 D 数据丢失量 49、银行业金融机构应对关键信息技术资源建立（ B ）以及相关的日常监测与预警机制。 A 备份策略 B 监测指标体系 C 场景模拟 D 风险评估机制 50、银行业金融机构应根据 RTO 和
17、RPO ，结合风险控制策略，从基础设施、网络、信息系统等不同方面，分类制定本机构（ B ）。 A 应急组织机构 B 应急预案 C 应急报告路线 D 应急保障团队 51、应急预案应包括系统恢复流程和应急处置操作手册，尽可能将操作代码化、（ A ），降低应急处置过程中产生的操作风险； A 自动化 B 可回溯 C 全面性 D 可中断 52、应急预案应明确（ B ），确保信息系统恢复正常业务处理能力。 A 系统重启步骤 B 系统重建步骤 C 系统验证步骤 D 应急评估指标 53、实施应急演练应严格控制应急演练引起的信息系统变更风险，避免因演练导致（ C ）。 A 数据丢失 B 系统宕机 C 服务中断
18、D 网络中断 54、应急演练应选择在（ D ）进行。 A 法定节假日 B 停业时段 C 主要业务时段 D 非主要业务时段 55、应急演练完成后，应保证实施应急预案所需的各项资源（ A ）。 A 恢复正常 B 恢复初始状态 C 恢复备份数据 D 被验证 56、对于应急预案没有覆盖的突发事件，应立即报告（ A ）进行应急决策。 A 应急领导小组 B 应急执行小组 C 应急保障小组 D 其他 57、银行业金融机构应在重要信息系统突发事件后（ C ）分钟之内将突发事件相关情况上报银监会或其派出机构信息系统应急管理部门，并在事件发生后 12小时内提交正式书面报告； A 15 B 30 C 60 D 12
19、0 58、对造成经济秩序混乱或重大经济损失、影响金融稳定的，或对银行、客户、公众的利益造成损害的突发事件，银行业金融机构要（ C ）。 A 在规定时间上报 B 立即上报 C 按 规定路线报告 D 及时处置，结束后上报 59、银行业金融机构应将应急处置重大进展情况及时上报银监会或其派出机构，直至（ C ）。 级突发事件发生后，银行业金融机构应每 2小时将应急处置进展情况上报，直至（ C ）。 A 应急操作完成 B 数据恢复 C 应急结束 D 正常营业 60、重要信息系统（ A ）即为应急结束。 A 恢复正常服务 B 数据恢复 C 主机运行正常 D 网络恢复 61、银行业金融机构应采取必要的（ C
20、 ），确保应急响应通讯及时有效。 A 备份介质保存措施 B 设备备份措施 C 通讯保障措施 D 人员备份措施 62、银行业金融机构应每年开展一次对突发事件风险防范措施的（ C ），包括评估风险识别、分析和控制措施的有效性、应急预案的完备性、应急演练的全面性和及时性等，检验防范措施的有效性，并及时发现新的风险，改进风险控制措施，进一步完善应急预案，形成风险防范措施的持续改进。 A 全面评估 B 审计活动 C 全面评估和审计活动 D 全面检查 63、业务、管理部门应配合信息科技部门开展投产及变更工作，开展业务影响分析，制定业务管理办法，组织（ B ），保证业务资源投入。 A 联调测试 B 用户测试
21、 C 应急演 练 D 系统验收 64、审计部门应开展重要信息系统（ D ）审计工作，针对问题发现提出整改意见。 A 立项 B 变更 C 投产 D 投产及变更 65、银行金融机构应建立重要信息系统投产及变更内容评审和审批、授权机制。按照（ C ），采取与风险程度相适应的重要信息系统投产及变更策略。 A 上线时间顺序 B 系统重要性 C 对业务影响最小原则 D 对系统影响最小原则 66、银行业金融机构应合理避开（ A ）安排重要信息系统上线，应提前将重要信息系统投产及变更可能对服务的影响告知客户。 A 业务高峰期和敏感时段 B 敏感时段 C 业务高峰期 D 法定节假日 67、银行业金融机构应建立充
22、分、完整的测试体系，测试结果应经过（ D ）确认，并形成测试和验收报告，确保系统上线后的正常稳定运行以及系统功能与业务目标的一致性。 A 风险管理部门 B 业务部门 C 审计部门 D 信息科技部门和相关业务部门 68、银行业金融机构应建立（ C ）的测试环境，测试环境应模拟生产环境的真实情况。 A 运行在生产设备 B 与生产环境互通 C 与生产环境相隔离 D 与生产环境不一致 69、银行业金融机构应建立完善的（ B ），制定严格的审批、控制和 操作流程，保存完整的日志记录。 A 上线方案 B 版本管理制度 C 上线评审制度 D 版本审批流程 70、银行业金融机构应制定重要信息系统投产及变更（
23、A ），制定系统回退和应急处置计划和流程，必要时应实施演练。 A 应急预案 B 上线方案 C 绿灯测试方案 D 测试方案 71、应对重要信息系统投产及变更过程产生的各类（ B ）进行管理，确保（ B ）的完整性、及时性和有效性，并满足独立审计要求。 A 上线方案 B 文档资料 C 管理制度 D 研发成果 72、银行业金融机构应就重要信息系统投产及变更事项向中国银监会或其派出机构报告。应在重要信息系统投产前至少（ C ）个工作日、变更前至少（ B ）个工作日向中国银监会或其派出机构报告。 A 5 B 10 C 20 D 30 73、银行业金融机构应在重要信系统投产及变更实施后（ A ）个月内向中
24、国银监会或其派出机构提交总结报告材料。 A 1 B 2 C 3 D 6 74、向银监会及其派出机构提交的投产及变更总结报告材料内容包括但不限于：（ D ）等 A 后续改进措施 B 问题发现和处理情况 C 投产及变更方案执行情况、效 果 D 投产及变更方案执行情况、效果，问题发现和处理情况，后续改进措施 75、计划内事件（预期事件）：由上级行或本级行部署实施的可能影响信息科技服务的增加、修改或删除等变更事件。包括（ D ）等。 A 软硬件维护 B 应用系统变更或升级 C 基础设施变更 D 软硬件维护、应用系统变更或升级、基础设施变更 76、计划外事件（非预期事件）：因各种非预期原因影响或可能影响业务应用、系统环境、网络通信、机器设备、机房设施的正常有效运行的事件。包括硬件故障、软件故障、（ D ）、内外部攻击等。 A 网络故障
