вторник, 30 октября 2012 г.

Вопросы с 201 по 250 из CISM (перевод)

201. Какая ответственность должна быть на сотруднике, отвечающем за хранение данных?
А. За всеобщую защиту информационных активов;
Б. За классификацию данных по уровням;
В. За определение контролей к уже установленным продуктам;
Г. За обеспечение мер, прописанных в политиках ИБ.

202. Оценка рисков ИБ должна проводиться регулярно так как:
А. угрозы для бизнеса постоянно меняются;
Б. в предыдущих оценках может быть что-то упущено;
В. это позволяет применить различные методологии;
Г. это позволяет повысить уровень осведомленности персонала.

203. Что в оценке рисков должно проводиться ПЕРВЫМ?
А. Идентификация бизнес активов;
Б. Идентификация бизнес рисков;
В. Оценка уязвимостей;
Г. Оценка ключевых контролей.

204. Системный администратор не оповестил немедленно офицера ИБ об атаке. Как офицер ИБ может противостоять такой ситуации?
А. Периодически тестируя план реагирования на инциденты;
Б. Регулярно тестируя IDS;
В. Проводить обязательный тренинг персонала;
Г. Периодически пересматривая процедуры реагирования на инциденты.

205. Какие из следующих рисков остаются в организации?
А. Риски контроля;
Б. Неотъемлемые риски;
В. Остаточные риски;
Г. Риски аудита.

206. Какой параметр важен для восстановления данных в нормальных условиях?
А. Время восстановления (RTO);
Б. Максимальное время отключения (MTO);
В. Точки восстановления (RPOs);
Г. Цели предоставления услуг (SDOs).

207. Программа управления рисками служит для:
А. устранения всех неотъемлемых рисков;
Б. удержания остаточных рисков на приемлемом уровне;
В. внедрения превентивных контролей для каждой угрозы;
Г. уменьшения рисков до нуля.

208. На какой стадии проекта по разработке ПО должна проводиться оценка рисков?
А. Разработка кода;
Б. Разработка спецификации;
В. Тестирование пользователями;
Г. Анализ технической осуществимости.

209. Что из перечисленного поможет менеджменту определить ресурсы, необходимые на уменьшение рисков организации?
А. Анализ рисков;
Б. Анализ воздействия на бизнес;
В. Управление рисками;
Г. Аудит.

210. Руководство международной финансовой организации решило ничего не делать, чтобы противостоять рискам DoS. Какая НАИБОЛЕЕ важная причина принятия такого решения?
А. Есть достаточные основания для предотвращения этого риска;
Б. Контрмеры слишком сложно выполнить;
В. Стоимость контрмер превосходит стоимость возможных потерь;
Г. Вероятность этого риска оценить трудно.

211. Какая метрика ЛУЧШЕ позволяет менеджеру оценить эффективность результатов программы ИБ?
А. Количество внедренных контролей;
Б. Процент достижения целей;
В. Процент соответствия политикам ИБ;
Г. Уровень снижение количества инцидентов.

212. Какая информация с точки зрения менеджера ИБ работающего в большой международной организации подлежит МИНИМАЛЬНОЙ защите?
А. Стратегический бизнес план развития;
Б. Ожидаемые финансовые результаты;
В. Персональные данные клиентов;
Г. Предыдущие финансовые результаты.

213. Какая ПЕРВИЧНАЯ цель проведения анализа рисков?
А. Определить справедливость трат на ИБ;
Б. Помочь бизнесу приоритезировать активы, подлежащие защите;
В. Информировать исполнительного директора об остаточных рисках;
Г. Спланировать защитные меры.

214. Что нужно сделать ПЕРВЫМ при проведении классификации информации?
А. Определить роли;
Б. Провести оценку рисков;
В. Идентифицировать владельцев данных;
Г. Разработать политику хранения данных.

215. В организации беспокоятся, что уязвимости ПО могут привести к утечкам персональных данных клиентов и финансовому ущербу. Что нужно сделать, чтобы уменьшить остаточные риски?
А. Застраховать их;
Б. Установить сетевые экраны;
В. Увеличить эффективность защитных мер;
Г. Внедрить IPS.

216. Какие механизмы используются для определения недостаточной защиты ИС, которые могут позволить злоумышленникам провести успешную атаку и скомпрометировать ИС?
А. Анализ воздействия на бизнес;
Б. Gap-анализ;
В. Метрики производительности систем;
Г. Процедуры реагирования на инциденты.

217. Что позволяет сделать распространенная уязвимость плохо написанного web-приложения?
А. Переполнить буфер;
Б. Провести DDoS;
В. Выявить последовательности и условия опасных событий;
Г. Использовать SQL-инъекцию.

218. Что для менеджера ИБ является САМЫМ важным при определении, какие остаточные риски следует принять?
А. Историческая стоимость активов;
Б. Приемлемый уровень влияния на бизнес;
В. Стоимость/польза дополнительных мер;
Г. Ожидаемый уровень ежегодных потерь.

219. В целях разработки портала для разработчиков менеджер проекта запросил менеджера ИБ выделить внешний IP для доступа внешних консультантов в сеть организации. Что в ПЕРВУЮ очередь должен сделать менеджер ИБ?
А. Разобраться в бизнес требованиях к порталу;
Б. Провести оценку уязвимостей портала;
В. Установить IDS;
Г. Подписать NDA с внешними консультантами и только потом предоставить доступ.

220. Было обнаружено, что в критическом приложении есть административная учетная запись, которая не может быть заблокирована или изменена. Что ЛУЧШЕ сделать, чтобы предотвратить попытки подобрать к ней пароль?
А. Закрыть удаленный доступ к приложению;
Б. Создать сложный случайный пароль;
В. Попросить решение вопроса у вендора;
Г. Включить запись логов и последующую работу с ними.

221. Какие преимущества получает злоумышленник, используя Cross-Site scripting?
А. Утечки данных из-за отсутствия входного контроля;
Б. Слабости аутентификации на уровне приложения;
В. Уязвимости протокола SSL из-за короткой длины ключей шифрования;
Г. Не явное доверие к приложению.

222. Какая мера более предназначена для предотвращения утечек данных?
А. Резервное копирование данных;
Б. Проверка целостности баз данных;
В. Принятие пользователями политик;
Г. Реагирование на инциденты.

223. Компания разрабатывает новую технологию, которая даст ей преимущество. Что нужно сделать ПЕРВЫМ, чтобы защитить эту информацию?
А. Принять политику контроля доступа;
Б. Принять политику классификации данных;
В. Принять стандарты шифрования;
Г. Принять политику использования ресурсов.

224. Какая техника ЛУЧШЕ позволит выбрать меры ИБ при ограниченном бюджете?
А. Проведение анализа рисков;
Б. Вычисление ежегодных потерь;
В. Анализ затрат и преимуществ;
Г. Анализ ущерба.

225. В компании разрешен анонимный доступ из вне по протоколу FTP. Что в этом случае должен предпринять менеджер ИБ?
А. Текст на проникновение;
Б. Пересмотр основных настроек;
В. Оценку рисков;
Г. Анализ влияния на бизнес.

226. Какая из мер НАИБОЛЕЕ эффективна против внутренних угроз персональных данных?
А. Ролевой контроль доступа;
Б. Мониторинг логов;
В. Политика персональных данных;
Г. Многоуровневая защита.

227. Бизнесу необходимо внедрить техническое решение, которое позволит понять, есть ли отклонения в текущей ситуации от того, что прописывается политиками ИБ. Что должен сделать в этой ситуации менеджер ИБ?
А. Провести оценку рисков и принять решение по ее результатам;
Б. Рекомендовать провести оценку рисков и внедрить систему, только если останутся остаточные риски;
В. Не рекомендовать внедрять систему, т.к. она противоречит политике ИБ;
Г. Рекомендовать актуализировать политики ИБ.

228. После оценки рисков руководство крупного банка решило продолжить свое присутствие в данном регионе, не смотря на высокий процент мошенничеств в нем. Что должен порекомендовать бизнесу менеджер ИБ?
А. Усилить программу осведомленности персонала в этих вопросах;
Б. Внедрить технологии обнаружения и реагирования на мошеннические схемы;
В. Передать свой процессинговый центр другой организации на аутсорсинг;
Г. Информировать клиентов банка о необходимости сразу сообщать о мошенничествах в банк.

229. Критичность информационных активов определяется на основе:
А. оценки угроз;
Б. оценки уязвимостей;
В. оценки зависимостей одних ресурсов от других;
Г. оценки влияния на бизнес.

230. Что нужно предпринять ПЕРЕД классификацией информации?
А. Оценить риски;
Б. Разработать систему классификации;
В. Оценить стоимость активов;
Г. Уменьшить риски.

231. Что является САМЫМ важным при проведении оценки рисков?
А. Поддержка руководства;
Б. Расчет ожидаемых годовых потерь для критичных ресурсов;
В. Идентификация активов и оценка их стоимости;
Г. Выявление целей и мотивов злоумышленников.

232. В чем ГЛАВНАЯ причина того, почему классификация активов является важной частью программы обеспечения ИБ?
А. В установке приоритетов и определении затрат по снижению рисков;
Б. В страховании рисков на случай потерь;
В. В определении подходящего уровня защиты активов;
Г. В сравнении с мерами ИБ других организаций.

233. Какая стратегия для управления рисками ЛУЧШАЯ?
А. Обеспечить баланс между рисками и целями;
Б. Снизить риски до приемлемого уровня;
В. Добиться, чтобы разрабатываемые политики ИБ сопоставлялись с целями организации;
Г. Обеспечить, чтобы все неснижаемые риски были приняты руководством.

234. Какой САМЫЙ важный аспект при утечке информации с мобильных устройств без использования шифрования?
А. Раскрытие персональных данных;
Б. Страхование от подобных утечек;
В. Большая ценность персональных данных;
Г. Стоимость замены оборудования

235. Чтобы выполнить опубликованные в настоящий момент требования регуляторов требуются значительные затраты. Что должен сделать ПЕРВЫМ менеджер ИБ?
А. Созвать комитет ИБ;
Б. Провести gap-анализ;
В. Внедрить компенсационные меры;
Г. Потребовать немедленного соответствия.

236. Что ЛУЧШЕ подходит для включения в отчет по поводу внедрения двухфакторной аутентификации?
А. Ожидаемые ежегодные потери в результате инцидента;
Б. Частота инцидентов;
В. Полная стоимость владения;
Г. Утвержденный бюджет проекта.

237. Правильный путь для определения эффективности контролей?
А. Предотвращать, обнаруживать, компенсировать;
Б. Оповещать при неисправности;
В. Проверять результаты, от которых зависят цели;
Г. Оценивать и анализировать достоверность информации.

238. Что делает сеть уязвимой?
А. Уязвимости 0-го дня;
Б. Зловредное и шпионское ПО;
В. Незащищенные потоки информации;
Г. Неверное конфигурирование или пропущенные обновления.

239. Кто отвечает за классификацию информации?
А. Высшее руководство;
Б. Менеджер ИБ;
В. Владелец данных;
Г. Хранитель данных.

240. В процессе оценке рисков выявлено, что стоимость уменьшения риска превосходит стоимость риска. Что в этой ситуации должен рекомендовать руководству менеджер ИБ?
А. Передать риск;
Б. Уменьшить риск;
В. Принять риск;
Г. Избавиться от риска.

241. Что нужно передать ПЕРВЫМ руководству организации в случае обнаружения атаки?
А. Полные логи систем безопасности, показывающие последовательность событий;
Б. Объяснение инцидента и корректирующих действий;
В. Анализ нанесенного ущерба подобной атакой в других организациях;
Г. Бизнес требование для внедрения строгого контроля за логическим доступом.

242. В чем ГЛАВНАЯ причина возражений при принятии политик ИБ?
А. Сотрудники слишком заняты, чтобы соблюдать эти требования;
Б. Риски имеют прямое отношение к прибыли организации;
В. Соответствие политикам трудно осуществить;
Г. Это создаст неудобство пользователям.

243. Какой фактор БОЛЕЕ важен при классификации информации?
А. Качество информации;
Б. Доступность ИТ-инфраструктуры;
В. Производительность систем;
Г. Требования владельцев данных.

244. Что должен сделать менеджер ИБ при выборе контролей для соответствия бизнес требованиям?
А. Считать приоритетным контроль доступа на основе ролей;
Б. Сфокусироваться на ключевых контролях;
В. Ограничиться контролями только критичных приложений;
Г. Сфокусироваться на автоматических контролях.

245. Кто САМЫЙ подходящий владелец хранимых в центральной БД данных, которую использует  департамент продаж?
А. Департамент продаж;
Б. Администратор БД;
В. ИТ-директор;
Г. Руководитель департамента продаж.

246. Что ПЕРВЫМ должен сделать менеджер ИБ для оценки степени соответствия организации новым документам в области ПДн?
А. Разработать план приведения организации в соответствие;
Б. Выявить системы и процессы, которые содержат ПДн;
В. Запретить сбор ПДн до того, пока соответствие не будет достигнуто;
Г. Изучить иностранное законодательство, которое может иметь подобные требования.

247. Оценка рисков наиболее эффективна, когда проводится:
А. вначале разработки программы ИБ;
Б. на постоянной основе;
В. для соответствия бизнес целям организации;
Г. при изменении направления бизнеса.

248. Какая ГЛАВНАЯ причина проведения оценки рисков на периодической основе?
А. Оправдание бюджета на ИБ;
Б. Новые уязвимости обнаруживаются каждый день;
В. Риски постоянно меняются;
Г. Руководство требует постоянно информировать о появляющихся рисках.

249. Всегда есть временной интервал между публикацией об уязвимости и применением исправления.  Что нужно сделать ПЕРВЫМ для уменьшения этого времени?
А. Идентифицировать уязвимые системы и применять компенсационные меры;
Б. Минимизировать число уязвимых систем;
В. Сообщить пользователям о том, что их системы уязвимы;
Г. Обновить сигнатуры БД на IDS.

250. Какая деятельность ИБ должна выполняться в процессе управления изменениями для идентификации ключевых уязвимостей?
А. Анализ влияния на бизнес;
Б. Тест на проникновение;
В. Аудит и пересмотр;
Г. Анализ угроз.

Комментариев нет:

Отправить комментарий