随着中国经济的发展，网络已经渗透到了社会各个领域，企业信息化水平也得到了很大的提高，对人才的需求也在不断增加。但目前我国网络安全专业人才非常紧缺，主要原因是大多数企业没有重视这一方面的人才培养，企业对[信息系统安全管理还没有一个统一的标准和规范。所以，掌握知识和技能已成为一个十分重要和迫切需要解决的问题。

一、CISP含金量为什么那么高？

进入2022年以来，随着经济得发展和行业的需求，从事信息安全行业的人越来越倾向于考证，很多人对职业选择感到困惑，不知道哪个更有价值，哪个更高。此时，作为国家注册认证的信息安全证明书CISP证明书摆在人们面前，他比企业认证高，得到了国家的认可，在行业中有非常重要的作用。全国信息安全市场如此巨大，需要信息安全人员或CISP的维护资质或作为项目使用

近两年来，国家对信息安全行业的控制作为最重要的整体安全措施之一，信息安全人员必须有执照，没有证书是不可行的。在中国，一切都是需要认证、身份证、结婚证、文凭、房地产证等。证书已经成为行业的垫脚石，在行业竞争中占有很大优势。中国信息安全CISP证书持有人年薪约50万至100万。所以CISP的含金量还是不错的，不然近年来就不会有那么多人参加考试了。

二、CISP能带来什么益处？

1、权威化

CISP是中国信息安全测评中心实施的国家认证，是对信息安全专业人员资格的最高的认可，属于国家级证书；是由专家和教授组织的科学的、系统的具有丰富的经验的网络安全专业队伍构成的知识体系。

2、普遍化

由于CISP具有科学严谨的知识体系，其实用性强，认证品牌得到社会各界的高度认可，各地政府、企事业单位都纷纷出台政策，加大CISP认证推广力度，提供补贴、提薪和晋升等措施，同时，CISP认证的各种资质要求，如涉密、招投标、岗位设置等要求也逐渐加入到CISP的选择中，CISP认证需求也日益增加。

3、体现个人价值

（1）专业水平证明：拥有权威的CISP认证，能证明你的专业水平和社会价值，也就是拥有网络安全从业证，也就是你求职、提薪、升职的明证。

（2）事业成功的阶梯：当前我国信息安全从业人员不到百万，2023年人才缺口可能高达350万，而CISP证书持有者也不到10万，刚性需求是你人生最大的机遇，你走上正确的道路，千万不要错过快速成长、领先网安的良机;

（3）融入高级网络安全社区：资讯安全知识领域，浩瀚如海，拿到CISP证书，是您驰骋资讯安全产业的重要一步，走进CISP业界交流圈，助您从容应对瞬息万变的网安态势，捕捉最前沿的专家研究，让您如鱼得水，事半功倍。所以CISP是一个含金量高，考试难度不大，性价比很高的证书！

三、习题题库

1、以下对信息安全描述不正确的是

A.信息安全的基本要素包括保密性、完整性和可用性

B.信息安全就是保障企业信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性

C.信息安全就是不出安全事故/事件

D.信息安全不仅仅只考虑防止信息泄密就可以了

2. 以下对信息安全管理的描述错误的是

A.保密性、完整性、可用性

B.抗抵赖性、可追溯性

C.真实性私密性可靠性

D.增值性

3. 以下对信息安全管理的描述错误的是

A.信息安全管理的核心就是风险管理

B.人们常说，三分技术，七分管理，可见管理对信息安全的重要性

C.安全技术是信息安全的构筑材料，安全管理是真正的粘合剂和催化剂

D.信息安全管理工作的重点是信息系统，而不是人

4. 企业按照ＩＳＯ２７００１标准建立信息安全管理体系的过程中，对关键成功因素的描述不正确的是

A. 不需要全体员工的参入，只要ＩＴ部门的人员参入即可

B. 来自高级管理层的明确的支持和承诺

C.对企业员工提供必要的安全意识和技能的培训和教育

D. 所有管理者、员工及其他伙伴方理解企业信息安全策略、指南和标准，并遵照执行

5. 信息安全管理体系（ISMS）是一个怎样的体系，以下描述不正确的是

A. ISMS是一个遵循PDCA模式的动态发展的体系

B. ISMS是一个文件化、系统化的体系

C.ISMS采取的各项风险控制措施应该根据风险评估等途径得出的需求而定

D. ISMS应该是一步到位的，应该解决所有的信息安全问题

6. PDCA特征的描述不正确的是

A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题

B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题

C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足

D. 信息安全风险管理的思路不符合PDCA的问题解决思路

7. 以下哪个不是信息安全项目的需求来源

A. 国家和地方政府法律法规与合同的要求

B. 风险评估的结果

C.组织原则目标和业务需要

D. 企业领导的个人意志

8. ISO27001认证项目一般有哪几个阶段？

A. 管理评估，技术评估，操作流程评估

B. 确定范围和安全方针，风险评估，风险控制（文件编写），体系运行，认证

C.产品方案需求分析，解决方案提供，实施解决方案

D. 基础培训，RA培训，文件编写培训，内部审核培训

9. 构成风险的关键因素有哪些？

A. 人，财，物

B. 技术，管理和操作

C.资产，威胁和弱点

D. 资产，可能性和严重性

10. 以下哪些不是应该识别的信息资产？

A. 网络设备

B.客户资料

C. 办公桌椅

D. 系统管理员

11. 以下哪些是可能存在的威胁因素？

A. 设备老化故障

B.病毒和蠕虫

C. 系统设计缺陷

D. 保安工作不得力

12. 以下哪些不是可能存在的弱点问题？

A. 保安工作不得力

B.应用系统存在Bug

C. 内部人员故意泄密

D. 物理隔离不足

13. 风险评估的过程中，首先要识别信息资产，资产识别时，以下哪个不是需要遵循的原则？

A. 只识别与业务及信息系统有关的信息资产，分类识别

B.所有公司资产都要识别

C. 可以从业务流程出发，识别各个环节和阶段所需要以及所产出的关键资产

D. 资产识别务必明确责任人、保管者和用户

14. 风险分析的目的是？

A. 在实施保护所需的成本与风险可能造成的影响之间进行技术平衡；

B.在实施保护所需的成本与风险可能造成的影响之间进行运作平衡；

C. 在实施保护所需的成本与风险可能造成的影响之间进行经济平衡；

D. 在实施保护所需的成本与风险可能造成的影响之间进行法律平衡；

15. 对于信息安全风险的描述不正确的是？

A. 企业信息安全风险管理就是要做到零风险

B. 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响及其潜在可能性

C.风险管理（Risk Management）就是以可接受的代价，识别控制减少或消除可能影响信息系统的安全风险的过程。

D. 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。

16. 有关定性风险评估和定量风险评估的区别，以下描述不正确的是

A. 定性风险评估比较主观，而定量风险评估更客观

B. 定性风险评估容易实施，定量风险评估往往数据准确性很难保证

C.定性风险评估更成熟，定量风险评估还停留在理论阶段

D. 定性风险评估和定量风险评估没有本质区别，可以通用

17. 降低企业所面临的信息安全风险，可能的处理手段不包括哪些

A. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷

B. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性；

C.建立必要的安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击

D. 通过业务外包的方式，转嫁所有的安全风险

【答案】 D

18. 风险评估的基本过程是怎样的？

A. 识别并评估重要的信息资产，识别各种可能的威胁和严重的弱点，最终确定风险

B. 通过以往发生的信息安全事件，找到风险所在

C.风险评估就是对照安全检查单，查看相关的管理和技术措施是否到位

D. 风险评估并没有规律可循，完全取决于评估者的经验所在

19. 企业从获得良好的信息安全管控水平的角度出发，以下哪些行为是适当的

A. 只关注外来的威胁，忽视企业内部人员的问题

B. 相信来自陌生人的邮件，好奇打开邮件附件

C.开着电脑离开，就像离开家却忘记关灯那样

D. 及时更新系统和安装系统和应用的补丁

20. 以下对ISO27001标准的描述不正确的是

A. 企业通过ISO27001认证则必须符合ISO27001信息安全管理体系规范的所有要求

B. ISO27001标准与信息系统等级保护等国家标准相冲突

C.ISO27001是源自于英国的国家标准BS7799

D. ISO27001是当前国际上最被认可的信息安全管理标准

21. 对安全策略的描述不正确的是

A. 信息安全策略（或者方针）是由组织的最高管理者正式制订和发布的描述企业信息安全目标和方向，用于指导信息安全管理体系的建立和实施过程

B. 策略应有一个属主，负责按复查程序维护和复查该策略

C.安全策略的内容包括管理层对信息安全目标和原则的声明和承诺；

D. 安全策略一旦建立和发布，则不可变更；

22. 以下对企业信息安全活动的组织描述不正确的是

A. 企业应该在组织内建立发起和控制信息安全实施的管理框架。

B. 企业应该维护被外部合作伙伴或者客户访问和使用的企业信息处理设施和信息资产的安全。

C.在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定。

D. 企业在开展业务活动的过程中，应该完全相信员工，不应该对内部员工采取安全管控措施

23. 企业信息资产的管理和控制的描述不正确的是

A. 企业应该建立和维护一个完整的信息资产清单，并明确信息资产的管控责任；

B. 企业应该根据信息资产的重要性和安全级别的不同要求，采取对应的管控措施；

C.企业的信息资产不应该分类分级，所有的信息系统要统一对待

D. 企业可以根据业务运作流程和信息系统拓扑结构来识别所有的信息资产

24. 有关人员安全的描述不正确的是

A. 人员的安全管理是企业信息安全管理活动中最难的环节

B. 重要或敏感岗位的人员入职之前，需要做好人员的背景检查

C.企业人员预算受限的情况下，职责分离难以实施，企业对此无能为力，也无需做任何工作

D. 人员离职之后，必须清除离职员工所有的逻辑访问帐号

25. 以下有关通信与日常操作描述不正确的是

A. 信息系统的变更应该是受控的

B. 企业在岗位设计和人员工作分配时应该遵循职责分离的原则

C.移动介质使用是一个管理难题，应该采取有效措施，防止信息泄漏

D. 内部安全审计无需遵循独立性、客观性的原则

26. 以下有关访问控制的描述不正确的是

A. 口令是最常见的验证身份的措施，也是重要的信息资产，应妥善保护和管理

B. 系统管理员在给用户分配访问权限时，应该遵循“最小特权原则”，即分配给员工的访问权限只需满足其工作需要的权限，工作之外的权限一律不能分配

C.单点登录系统（一次登录/验证，即可访问多个系统）最大的优势是提升了便利性，但是又面临着“把所有鸡蛋放在一个篮子”的风险；

D. 双因子认证（又称强认证）就是一个系统需要两道密码才能进入；

27. 有关信息系统的设计、开发、实施、运行和维护过程中的安全问题，以下描述错误的是

A. 信息系统的开发设计，应该越早考虑系统的安全需求越好

B. 信息系统的设计、开发、实施、运行和维护过程中的安全问题，不仅仅要考虑提供一个安全的开发环境，同时还要考虑开发出安全的系统

C.信息系统在加密技术的应用方面，其关键是选择密码算法，而不是密钥的管理

D. 运营系统上的敏感、真实数据直接用作测试数据将带来很大的安全风险

28. 有关信息安全事件的描述不正确的是

A. 信息安全事件的处理应该分类、分级

B. 信息安全事件的数量可以反映企业的信息安全管控水平

C.某个时期内企业的信息安全事件的数量为零，这意味着企业面临的信息安全风险很小

D. 信息安全事件处理流程中的一个重要环节是对事件发生的根源的追溯，以吸取教训、总结经验，防止类似事情再次发生

29. 以下有关信息安全方面的业务连续性管理的描述，不正确的是

A. 信息安全方面的业务连续性管理就是要保障企业关键业务在遭受重大灾难/破坏时，能够及时恢复，保障企业业务持续运营

B. 企业在业务连续性建设项目一个重要任务就是识别企业关键的、核心业务

C.业务连续性计划文档要随着业务的外部环境的变化，及时修订连续性计划文档

D. 信息安全方面的业务连续性管理只与IT部门相关，与其他业务部门人员无须参入

30. 企业信息安全事件的恢复过程中，以下哪个是最关键的？

A. 数据

B. 应用系统

C.通信链路

D. 硬件/软件

31. 企业ISMS(信息安全管理体系)建设的原则不包括以下哪个

A. 管理层足够重视

B. 需要全员参与

C.不必遵循过程的方法

D. 需要持续改进

32. PDCA特征的描述不正确的是

A. 顺序进行，周而复始，发现问题，分析问题，然后是解决问题

B. 大环套小环，安全目标的达成都是分解成多个小目标，一层层地解决问题

C.阶梯式上升，每次循环都要进行总结，巩固成绩，改进不足

D. 信息安全风险管理的思路不符合PDCA的问题解决思路

33. 对于在ISMS内审中所发现的问题，在审核之后应该实施必要的改进措施并进行跟踪和评价，以下描述不正确的是？

A. 改进措施包括纠正和预防措施

B. 改进措施可由受审单位提出并实施

C.不可以对体系文件进行更新或修改

D. 对改进措施的评价应该包括措施的有效性的分析

34. ISMS的审核的层次不包括以下哪个？

A. 符合性审核

B. 有效性审核

C.正确性审核

D. 文件审核

35. 以下哪个不可以作为ISMS管理评审的输入

A. ISMS审计和评审的结果

B. 来自利益伙伴的反馈

C. 某个信息安全项目的技术方案

D. 预防和纠正措施的状态

36. 有关认证和认可的描述，以下不正确的是

A. 认证就是第三方依据程序对产品、过程、服务符合规定要求给予书面保证（合格证书）

B. 根据对象的不同，认证通常分为产品认证和体系认证

C.认可是由某权威机构依据程序对某团体或个人具有从事特定任务的能力给予的正式承认

D. 企业通过ISO27001认证则说明企业符合ISO27001和ISO27002标准的要求

37. 信息的存在及传播方式

A. 存在于计算机、磁带、纸张等介质中

B. 记忆在人的大脑里

C… 通过网络打印机复印机等方式进行传播

D. 通过投影仪显示

38. 下面哪个组合不是是信息资产

A. 硬件、软件、文档资料

B. 关键人员

C… 组织提供的信息服务

D. 桌子、椅子

39. 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？

A. 约定的标准及相关法律的要求

B.已识别的安全需求

C. 控制措施有效实施和维护

D. ISO13335风险评估方法

40. 以下对审核发现描述正确的是

A. 用作依据的一组方针、程序或要求

B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息

C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项

D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述

D. 通过投影仪显示

38. 下面哪个组合不是是信息资产

A. 硬件、软件、文档资料

B. 关键人员

C… 组织提供的信息服务

D. 桌子、椅子

39. 实施ISMS内审时，确定ISMS的控制目标、控制措施、过程和程序应该要符合相关要求，以下哪个不是？

A. 约定的标准及相关法律的要求

B.已识别的安全需求

C. 控制措施有效实施和维护

D. ISO13335风险评估方法

40. 以下对审核发现描述正确的是

A. 用作依据的一组方针、程序或要求

B.与审核准则有关的并且能够证实的记录、事实陈述或其他信息

C. 将收集到的审核证据依照审核准则进行评价的结果，可以是合格/符合项，也可以是不合格/不符合项

D. 对审核对象的物理位置、组织结构、活动和过程以及时限的描述

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

最后给大家分享我自己学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有帮助！

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

【点击免费领取】CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。【点击领取视频教程】

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取技术文档】

（都打包成一块的了，不能一一展开，总共300多集）

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取书籍】

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

朋友们如果有需要全套《黑客&网络安全入门&进阶学习资源包》，点击下方链接即可前往免费获取 CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》

这份完整版的学习资料已经上传CSDN，也可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】