Главная / Менеджмент / Анализ и управление рисками в информационных системах на базе операционных систем Microsoft

Анализ и управление рисками в информационных системах на базе операционных систем Microsoft - ответы на тесты Интуит

Правильные ответы выделены зелёным цветом.
Все ответы: Курс посвящен вопросам управления рисками, связанными с безопасностью информационных систем (ИС). В связи с широкой распространенностью, основное внимание уделяется ИС, использующим операционные системы семейства Microsoft Windows для рабочих станций и серверов. Рассматриваются теоретические основы анализа рисков, специализированное ПО (такое как Microsoft Security Assessment Tool, Microsoft Baseline Security Analyzer), механизмы защиты операционных систем семейства Windows.
Смотрите также:
Безопасность
Что в сфере информационной безопасности принято считать риском?
(1) потенциальную возможность понести убытки из-за нарушения безопасности информационной системы
(2) потенциально возможное происшествие неважно, преднамеренное или нет, которое может оказать нежелательное воздействие на компьютерную систему, а также информацию, хранящуюся и обрабатывающуюся в ней
(3) характеристику, которая делает возможным возникновение угрозы
В каком году в России принят последний стандарт "Информационная технология. Практические правила управления информационной безопасностью"?
(1) 2008
(2) 1999
(3) 2005
С какой целью при разработке и реализации политики безопасности используются метрики?
(1) для определения рамок, в которых осуществляются мероприятия по обеспечению безопасности информации, и задаются критерии оценки полученных результатов
(2) для замеров уровней безопасности
(3) с целю определения параметров защищенности системы, что позволяет соотнести сделанные затраты и полученный эффект
Какая из перечисленных распространенных методик анализа рисков использует метод оценки риска на качественном уровне (например, по шкале "высокий", "средний", "низкий")?
(1) FRAP
(2) RiskWatch
(3) CRAMM
В каком формате принято определять имя центра сертификации, выдавшего сертификат?
(1) General Distinguished Name (выделенное имя общего уровня)
(2) Relative Distinguished Name (относительное выделенное имя)
(3) Digital Distinguished Name (цифровое выделенное имя)
Каким способом в OS Windows можно получить сведения о сертификатах?
(1) при обращении к управляющему элементу MMI
(2) при обращении к журналу трассировки
(3) при обращении к настройке консоли управления MMC "Сертификаты"
Почему аналитический метод определения минимальных затрат при расчетах защиты информационной системы неприменим?
(1) потому, что расчеты ресурсов подвержены флуктуациям, связанными с колебаниями на рынке услуг в сфере безопасности ИС
(2) потому, что на практике точные зависимости между затратами и уровнем защищенности определить не представляется возможным
(3) потому, что уровень защищенности информационной системы неадекватен затратам на ее защиту
Какие из перечисленных факторов, предписано учитывать в ГОСТ Р ИСО/МЭК 17799:2005 при формировании требований безопасности?
(1) оценку рисков организации
(2) юридические, законодательные, регулирующие и договорные требования, которым должны удовлетворять организация, ее торговые партнеры, подрядчики и поставщики услуг
(3) специфический набор принципов, целей и требований, разработанных организацией в отношении обработки информации
В каких целях разрабатываются методы реагирования в случае инцидентов?
(1) в целях обеспечения эффективных мер защиты
(2) в целях обеспечения расширения функционала сотрудников учреждения
(3) в целях обеспечения скорейшего восстановления работоспособности системы в случае инцидентов
Сколько стадий исследование информационной безопасности системы имеется в методике СRAMM?
(1) одна
(2) две
(3) три
(4) четыре
Что из перечисленного как правило не включают в состав учетной записи пользователя?
(1) Ф.И.О., серия и номер паспорта пользователя
(2) IP PC
(3) идентификаторы и пароля
Какой из перечисленных подходов при формировании правил для межсетевого экрана считается наиболее безопасным?
(1) "разрешено все, что явно не запрещено"
(2) "запрещено все, что не имплицитно разрешено "
(3) "запрещено все, что явно не разрешено"
Что представляет собой система с полным перекрытием?
(1) система, в которой ведется учет всех вторжений, блокируются только вредоносные проникновения
(2) система, в которой имеются средства защиты на каждый возможный путь проникновения
(3) система, в которой обеспечивается селективная безопасность
Какие требования выдвигаются к формализации политики безопасности?
(1) дожна быть разработана и утверждена руководством организации
(2) должна быть издана и доведена до сведения всех сотрудников
(3) должна определять порядок работы с информационными ресурсами организации, обязанности и ответственность сотрудников
Что из перечисленного не входит в систему мер по ограничению физического доступа?
(1) защита помещений, контроль доступа, видеонаблюдение
(2) защита коллатеральных сетей, используемых сотрудниками
(3) защита мобильных устройств, используемых сотрудниками в служебных целях
Какому из перечисленных значений по шкале оценки уязвимости CRAMM соответствует инцидент, если вероятность развития событий по наихудшему сценарию составляет от 0, 33 до 0,66?
(1) высокий
(2) низкий
(3) средний
Какой из указанных протоколов аутентификации используется в сетях Windows наряду с Kerbos v.5 (RFC 1510) в настоящее время?
(1) NTLM
(2) PEAP-MS-CHAP
(3) PEAP-TLS
По каким из перечисленных параметров может производиться фильтрация при применении экранирующего маршрутизатора?
(1) по ip-адресам отправителя и получателя
(2) по ТСР портам
(3) по UDP портам
Какие из перечисленных вариантов решений в отношении рисков являются неуместными:
(1) принят, устранен
(2) принят, дезавуирован
(3) дезавуирован, отклонен
Какие формальности предполагает порядок доступа специалистов сторонних организаций к информационным системам?
(1) в договоры со специалистами сторонних организаций и организациями должны быть включены требования, касающиеся соблюдения политики безопасности
(2) достаточно инструктажа о соблюдении мер информационной безопасности
(3) в договорах со специалистами сторонних организаций и организациями Формально ответственность за несоблюдение требований безопасности по отношению к специалистам сторонних организаций вменить нельзя
Каким аспектам рекомендуется уделять первоочередное внимание при защите узлов?
(1) функциональности узлов
(2) защите на уровне операционной системы
(3) защите серверов и рабочих станций
Какие из перечисленных критериев оценки и управления рисками используются в методике RiskWatch?
(1) годовые потери (Annual Loss Expectancy, ALE) и оценка возврата инвестиций (Return on Investment, ROI)
(2) угрозы, исходящие от человека-нарушителя, действующего через сеть передачи данных
(3) влияние потерь на HR - аспект деятельности организации
Что позволяет достичь использование методов асимметричной криптографии?
(1) безопасный обмен пакетами между отправителем и получателем
(2) безопасный обмен криптографическими ключами между отправителем и получателем без использования центров распределения ключей
(3) автоматизацию настройки соединений
Может ли шлюз сеансового уровня проводить проверку проходящих пакетов на принадлежность разрешенным соединениям?
(1) да
(2) нет
(3) да, но с ограничениями
Какое из перечисленных требований доверия к безопасности не является справедливым?
(1) к технологии разработки и тестированию
(2) к анализу уязвимостей
(3) верификации контента
Каковы рекомендации стандарта по обучению пользователей процедурам безопасности?
(1) всех пользователей необходимо обучать процедурам безопасности и правильному использованию средств обработки информации
(2) всех пользователей не реже одного раза в год предписано обучать и экзаменовать на предмет знаний процедур безопасности
(3) требования по процедурам безопасности доводятся единожды при приеме на работу под роспись, в дальнейшем контроля за знанием работником процедур безопасности не требуется
Являются ли термины управление рисками и оценка рисков взаимозаменяемыми?
(1) нет
(2) да
(3) лишь частично
Какую величину, согласно методике Microsoft, определяют произведением стоимости актива на фактор подверженности воздействию?
(1) качественную оценку влияния
(2) Фактор подверженности воздействию
(3) количественную оценку влияния
Что представляет собой открытый ключ?
(1) это - составное поле, содержащее идентификатор алгоритма, для которого предназначается данный открытый ключ, и собственно сам открытый ключ в виде набора битов
(2) это - составное поле из таблиц серверных БД
(3) дополнительный атрибут, связанный с субъектом и изготовителем, и предназначенный для управления процессами сертификации
Какую схему установки межсетевого экрана логично применить если требования в области защиты от несанкционированного межсетевого доступа примерно одинаковы для всех узлов внутренней сети?
(1) схема, в которой для защиты сети с DMZ задействуются два независимо конфигурируемых межсетевых экрана
(2) схема установки в которой межсетевой экран устанавливается после маршрутизатора
(3) схема использования межсетевого экрана с тремя сетевыми интерфейсами
Что из перечисленного характеризует потенциал нападения?
(1) показатели компетентности
(2) ресурсы
(3) мотивация
Какие из перечисленных рекомендаций по обеспечению безопасности при осуществлении обмена информацией между организациями содержатся в стандарте ГОСТ Р ИСО/МЭК 17799-2005?
(1) должна обеспечиваться безопасность носителей информации при пересылке, определена политика использования электронной почты и электронных офисных систем
(2) следует уделять внимание защите целостности информации, опубликованной электронным способом, например информации на Web-сайте
(3) рекомендуется организация авторизованного доступа на сайт организации
К какому состоянию зрелости управления рисками безопасности согласно методики фирмы Microsoft относится уровень, когда политики и процессы в организации не документированы, процессы не являются полностью повторяемыми?
(1) оптимизированный
(2) повторяемый
(3) узкоспециализированный
Позволяет проведение анализа рисков в сфере информационной безопасности определять уязвимость отдельных компонентов и недостатки политики системы?
(1) да, гарантированно позволяет
(2) несмотря на то, что в целом проблема определения уязвимости системы решается, определение уязвимости компонентов достичь нельзя
(3) нет, не позволяет
Каково предназначение протокола S/MIME
(1) для защиты FTP-серверов
(2) для защиты данных, передаваемых электронной почтой
(3) для контроля спама
Каковы могут быть последствия атаки на сеть в которой установлены два независимо конфигурируемых межсетевые экрана?
(1) атака не достигнет своей цели: даже успешная атака на первый межсетевой экран не сделает внутреннюю сеть беззащитной
(2) при успешной атаке на первый межсетевой экран может произойти нарушение безопасности всей сети межсетевых экранов
(3) успешная атака на первый межсетевой экран не может не сделать внутреннюю сеть беззащитной
Что определяет ресурсы или активы ИС?
(1) модель ИС
(2) все элементы, имеющие материальную ценность независимо от того подлежат они защите или нет
(3) именованный элемент ИС, имеющий (материальную) ценность и подлежащий защите
Каковы требования к идентификаторам, используемым для идентификации и аутентификации?
(1) все пользователи должны иметь уникальные идентификаторы, подчеркивающие признаки привилегии пользователя
(2) все пользователи должны иметь уникальные идентификаторы, которые не должны содержать признаков уровня привилегии пользователя
(3) все пользователи должны иметь логично читаемые идентификаторы, которые напрямую указывают на уровень пользователя
Что контролирует уровень защиты узлов?
(1) парирование атак на отдельный узел сети. Может учитываться функциональность узла и отдельно рассматриваться защита серверов и рабочих станций
(2) защиту обрабатывающихся и хранящихся в системе данных от несанкционированного доступа и других угроз
(3) безопасность передаваемого внутри сети трафика и сетевой инфраструктуры
Какие из перечисленных распространенных методик анализа рисков не используют количественные методики оценки рисков?
(1) FRAP
(2) RiskWatch
(3) CRAMM
Должно ли поддерживаться использование хэш-функций во всех реализациях протокола AH?
(1) нет
(2) да"
(3) лишь факультативно
Где принято устанавливать межсетевой экран
(1) на стыке коллатеральных внутренних сетей
(2) за пределами внутренних сетей
(3) на границе между внутренней (защищаемой) и внешней (потенциально опасной) сетями
Какие из перечисленных мер способствуют предотвращению утечки?
(1) использование программного обеспечения, полученного от доверенных поставщиков
(2) применение аморфных схем контроля
(3) контроль целостности системы
Что из перечисленного должны предусматривать системы управления паролем?
(1) эффективные интерактивные возможности
(2) использование системных утилит должно быть ограничено и тщательным образом контролироваться
(3) обеспечение установленных технических условий эксплуатации локальных сетей
Характерно использование внутри сети средств, применимых для защиты периметра?
(1) да, например, межсетевые экраны, в том числе и персональные (устанавливаемые на защищаемый компьютер)
(2) нет, внутри сети средства, характерные для защиты периметра, такие как межсетевые экраны, не применяются
(3) нет, внутри сети нет необходимости применения каких либо барьерных механизмов
Что обеспечивает ранжирование рисков по приоритетам?
(1) возможность системного анализа рисков
(2) возможность выделить наиболее приоритетные направления для внедрения новых СЗИ, мер и процедур обеспечения ИБ
(3) возможность оценить выгоды от внедрения средств и механизмов защиты и принять участие в процессе определения требуемого уровня защищенности КС
Где расположен сертификат Microsoft Windows Hardware Compatibility?
(1) в паке System32
(2) в хранилище сертификатов Windows'XP
(3) в папке MSAPPS
Как распределяются роли в схеме для защиты сети с DMZ, с двумя независимо конфигурируемых межсетевыми экранами?
(1) наборы правил фильтрации идентичны
(2) межсетевой экран1 реализует менее жесткий, а межсетевой экран2 - более жесткий набор правил фильтрации
(3) межсетевой экран2 выполняет страховочные функции, всю нагрузку берет на себя межсетевой экран1
Что формируют потенциальные злоумышленные действия по отношению к объектам?
(1) вероятностный набор действий по подавлению угроз
(2) шаблоны мер потенциального противодействия
(3) набор угроз ИБ
Что надлежит предпринимать при использовании переносных устройств, например, ноутбуков?
(1) специальные меры противодействия компрометации служебной информации
(2) формализованную политику, учитывающую риски, связанные с работой с переносными устройствами, в особенности в незащищенной среде
(3) необходимо обеспечить жесткий контроль за использованием ноутбуков
Какие из перечисленных контрмер можно назвать в качестве примера, характерного для уровня защиты данных?
(1) разграничение доступа к данным средствами файловой системы
(2) шифрование данных при хранении и передаче
(3) кодификация информации
Какая величина, согласно методике Microsoft, определяется произведением стоимости актива на фактор подверженности воздействию?
(1) фактор подверженности воздействию
(2) количественная оценка влияния
(3) качественная оценка влияния
Что представляет собой PKI?
(1) набор средств, мер и правил, предназначенных для управления политикой безопасности и обменом защищенными сообщениями
(2) набор средств, мер и правил, предназначенных для управления ключами, политикой безопасности и обменом защищенными сообщениями
(3) набор средств, мер и правил, предназначенных для управления ключами
Может шлюз сеансового уровня контролировать процесс установки соединения и проводить проверку проходящих пакетов на принадлежность разрешенным соединениям?
(1) нет
(2) да, но только с очень ограниченным количеством пакетов
(3) да
Содержит ли модель системы безопасности с полным перекрытием требования к составу подсистемы защиты ИС?
(1) да
(2) нет
(3) да, но лишь в имплицитной форме
Какой подход предлагает стандарт по работе с системами менеджмента информационной безопасности?
(1) процессинговый подход
(2) клиринговый подход
(3) методика хеджирования рисков
Как можно проверить информацию о соответствии имен компьютеров IP-адресам в OS Windows?
(1) при обращении к утилите командной строки nslookup
(2) при обращении к административной оснастке "DNS"
(3) при обращении к функции autoexec
Какому значению по шкале оценки уязвимости CRAMM соответствует инцидент, если вероятность развития событий по наихудшему сценарию составляет от 0, 33 до 0,66?
(1) высокий
(2) низкий
(3) средний
Каково предназначение набора протоколов IPSec IETF?
(1) используется как базовый протокол обеспечения безопасности на уровне IP-соединения
(2) поддержка 3-G сетей
(3) поддержка wifi сетей
Какие оснастки или утилиты рекомендуется использовать для выявления причины неправильной работы IPSec?
(1) MMC IPSec Monitor
(2) Network Monitor
(3) Windows utility analyzer
С какой целью предпринимаются контрмеры в аспектах защиты активов от угроз?
(1) в целях уменьшения уязвимостей
(2) в целях политики безопасности владельцев активов
(3) в целях получения дополнительной прибыли
Что из перечисленного входит в требования стандарта к документации?
(1) положения политики системы менеджмента информационной безопасности и описание области функционирования, описание методики и отчет об оценке рисков
(2) план обработки рисков, документирование связанных процедур
(3) положение, предписывающее определять процесс управления документами системы менеджмента информационной безопасности, включающий актуализацию, использование, хранение и уничтожение
Что позволяет осуществить утилита 3Com Network Supervisor?
(1) сбор данных о топологии сети
(2) сбор данных о сотрудниках учреждения
(3) сбор данных о продуктах Microsoft, установленных на компьютерах, входящих в состав локальной сети
Какому значению по шкале оценки уязвимости CRAMM соответствует инцидент, происходящий в среднем один раз в три года?
(1) высокий
(2) низкий
(3) средний
В каких случаях не используется туннельный режим?
(1) когда все соединяющиеся узлы являются шлюзами безопасности
(2) когда ни один из узлов не являются шлюзом безопасности
(3) если хотя бы один из соединяющихся узлов является шлюзом безопасности
Как регламентируются правила доступа в сеть в случае использование межсетевого экрана с тремя сетевыми интерфейсами?
(1) правила доступа во внутреннюю сеть менее строгие, чем в открытый сегмент
(2) правила доступа во внутреннюю сеть достаточно строгие, однако открытый сегмент не контролируется
(3) правила доступа во внутреннюю сеть более строгие, чем в открытый сегмент. В то же время, и те, и другие соединения могут контролироваться
Что обеспечивает базовая стойкость?
(1) защиту от тщательно спланированного и организованного нарушения безопасности объекта оценки нарушителем с высоким потенциалом нападения
(2) защиту от целенаправленного нарушения безопасности объекта оценки нарушителем с умеренным потенциалом нападения
(3) адекватную защиту от случайного нарушения безопасности объекта оценки нарушителем с низким потенциалом нападения
Какие из перечисленных работ по улучшению системы менеджмента информационной безопасности входят в стандарт?
(1) работы по улучшению системы менеджмента информационной безопасности
(2) работы по обеспечению уровня соответствия текущего состояния системы, предъявляемым к ней требованиям
(3) работы по обеспечению надлежащей HR политики в организации
В каких из перечисленных ОС программа Microsoft Baseline Security analyzer позволяет проверить уровень безопасности установленной конфигурации операционной системы?
(1) Windows 2000
(2) Server 2003
(3) Server 2008
Сочетает методика CRAMM количественные и качественные методы анализа рисков?
(1) да
(2) нет
(3) нет, но данная методика в настоящее время совершенствуется
Порядок форматирования каких из данных описывает MIME?
(1) обычный текст
(2) текст в формате html
(3) видео и графические файлы различный типов
В каких случаях принято устанавливать межсетевой экран после маршрутизатора?
(1) межсетевой экран после маршрутизатора не устанавливают
(2) если требования в области защиты от несанкционированного межсетевого доступа примерно одинаковы для всех узлов внутренней сети
(3) если требования в области защиты от несанкционированного межсетевого доступа отличаются для каждого из узлов внутренней сети
Что принято считать ресурсом или активом информационной системы?
(1) модель информационной системы
(2) все элементы, имеющие материальную ценность независимо от того подлежат они защите или нет
(3) именованный элемент информационной системы, имеющий (материальную) ценность и подлежащий защите
Является ли информация, поддерживающие ее процессы, информационные системы и сетевая инфраструктура существенными активами организации?
(1) частично
(2) нет
(3) да
Может организация разрабатывать и применять собственные (корпоративные) стандарты безопасности?
(1) нет, это недопустимо
(2) да, это не запрещено
(3) это требует множественных согласований, поэтому разработка своих стандартов не распространена
Какая из перечисленных распространенных методик анализа рисков использует количественные методики оценки рисков?
(1) FRAP
(2) RiskWatch
(3) CRAMM
(4) Microsoft
Во всех реализациях AH обязательно должно поддерживаться использование хэш-функций с ключом HMAC-MD5-96
(1) по наличию у пользователя уникального объекта заданного типа = I have
(2) по наличию у пользователя конфиденциальной информация = I know
(3) по уникальным характеристикам пользователя= "I am" ("я есть")
Предоставляет ли фирма Microsoft возможность бесплатно получить сертификат для электронной почты
(1) да
(2) да, но эта услуга бесплатна только в течение трех месяцев
(3) нет, этот сервис является платным
Идентифицируется ли риск уязвимостью, через которую может быть реализована некая угроза в отношении определенного ресурса?
(1) да
(2) нет
(3) да, но только в случае отсутствия угрозы
Может организация в целях обеспечения безопасности разрабатывать свой специфический набор принципов, целей и требований, в отношении обработки информации?
(1) да, безусловно
(2) нет
(3) да, но только по согласованию с местными органами власти
Решению каких из перечисленных задач способствует разработка стратегического плана построения системы безопасности?
(1) распределение бюджетов и ресурсов по приоритетам
(2) эффективный выбор продуктов и разработка стратегий их внедрения
(3) получение кредитов на развитие ИБ в кредитных учреждениях на льготных основаниях
Чем определяется ценность физических ресурсов в методике CRAMM?
(1) временем, необходимым на восстановление в случае разрушения
(2) объемом финансовых активов организации
(3) стоимостью их восстановления в случае разрушения
Где в OS XPрасполагается сертификат Microsoft Windows Hardware Compatibility
(1) в хранилище сертификатов Windows'XP
(2) в папке MOI
(3) system32
В тех случаях, когда применяется принцип: "разрешено все, что явно не запрещено", какую проверку принято осуществлять?
(1) проверку на соответствие запрещающим правилам и, если таких не будет найдено, пакет будет пропущен
(2) избирательную проверку
(3) проверку на соответствие разрешающим правилам и, если соответствие не установлено, пакет не будет пропущен
Что происходит с размером ожидаемых потерь при увеличении затрат на защиту?
(1) падает
(2) находится в зависимости от других факторов
(3) не изменяется
Какова степень модальности создания управляющих советов с участием руководящего состава организации в отношении политики информационной безопасности?
(1) стандарт рекомендует создавать управляющие советы
(2) стандарт предписывает безоговорочное создание управляющих советов
(3) стандарт не предполагает введения управляющих советов
Какие из перечисленных средств применяются для защиты сети в "точках входа"?
(1) средства антивирусной защиты для шлюзов безопасности
(2) межсетевые экраны (firewall)
(3) системы обнаружения вторжений
Как в методике FRAP осуществляется определение защищаемых активов?
(1) по результатам заполнения опросных листов и автоматизированного анализа (сканирования) сетей
(2) по результатам изучения документации на систему
(3) по результатам заполнения опросных листов, изучения документации на систему, использования инструментов автоматизированного анализа (сканирования) сетей
На каком уровне реализуется аутентификация по протоколу Kerberos v.5 (RFC 1510)?
(1) на уровне доменов
(2) на уровне ЛВС
(3) на уровне PC
Может ли экранирующий маршрутизатор контролировать атаки, связанные с подменой участников соединений
(1) нет
(2) да
(3) да, но только с ограничениями
Какие из перечисленных характеристик не входят в систему обеспечения безопасности Клементса: О - набор защищаемых объектов; Т - набор угроз; М - набор средств обеспечения безопасности; P- набор креативных функций; Z - набор виндикативных инструментов?
(1) О - набор защищаемых объектов; Т - набор угроз; М - набор средств обеспечения безопасности; P- набор креативных функций
(2) О - набор защищаемых объектов; Т - набор угроз; М - набор средств обеспечения безопасности; P- набор креативных функций; Z - набор виндикативных инструментов
(3) Р- набор креативных функций; Z - набор виндикативных инструментов
Какие типы обработки информации подлежат классификации в аспектах оценки приоритетности ее защиты?
(1) только копирование, хранение и передача информации
(2) только передача голосом, включая мобильный телефон, голосовую почту, автоответчики
За какие из перечисленных аспектов "отвечает" уровень защиты приложений?
(1) защита от атак, направленных на нарушение логики обработки данных базами данных
(2) защита от атак, направленных на конкретные приложения - почтовые серверы, web-серверы, серверы баз данных
(3) защита от вирусных атак
Какие из перечисленных классов активов не входят в систему оценки и управления рисками безопасности, предлагаемый корпорацией Майкрософт?
(1) высокое влияние на бизнес (ВВБ) - влияние на конфиденциальность, целостность и доступность этих активов может причинить организации значительный или катастрофический ущерб
(2) среднее влияние на бизнес (СВБ) - влияние на конфиденциальность, целостность и доступность этих активов может причинить организации средний ущерб
(3) низкое влияние на бизнес (НВБ) - активы, не попадающие в классы ВВБ и СВБ, относятся к классу НВБ. К защите подобных активов не выдвигаются формальные требования, и она не требует дополнительного контроля, выходящего за рамки стандартных рекомендаций по защите инфраструктуры
Какими средствами осуществляется аутентификация ключа?
(1) ключ заверяется физическим контролером
(2) ключ заверяется с помощью цифрового сертификата
(3) ключ заверяется с помощью цифрового мандата
Может ли шлюз прикладного уровня анализировать пакеты модели OSI на сетевом уровне?
(1) "да, безусловно
(2) "нет, но часть пакетов может анализироваться
(3) " нет, он может работать только на прикладном уровне
На основании каких из перечисленных документов разрабатываются задания по безопасности?
(1) каталог сертифицированных профилей защиты и продуктов
(2) технический регламент
(3) профиль защиты
Входит в перечень рекомендаций по обеспечению физической защиты и защиты от воздействия окружающей среды организация зон безопасности?
(1) да
(2) нет
(3) нет, но имеется ссылка на требования законодательства
К какому состоянию зрелости управления рисками безопасности согласно методики фирмы Microsoft относится уровень, когда процесс управления рисками глубоко изучен сотрудниками и в значительной степени автоматизирован?
(1) управляемый
(2) оптимизированный
При вычислении вероятности влияния результирующий уровень вероятности определяется на основании двух значений. Первое значение определяет вероятность существования уязвимости в текущей среде. Что определяет второе значение?
(1) изменения останова сервера по причине физического износа оборудования
(2) вероятность существования уязвимости исходя из эффективности текущих элементов контроля
(3) вероятность существования уязвимости при гипотетических параметрах систе
Что обозначает аббревиатура CRL
(1) список отозванных сертификатов (англ. Certificate Revocation List)
(2) язык удаленных коммуникаций (англ. Remote Connection language
(3) сниженная степень сжатия (англ. Reduced Compression Level)
В каких случаях не принято устанавливать межсетевой экран после маршрутизатора?
(1) если требования в области защиты от несанкционированного межсетевого доступа отличаются для каждого из узлов внутренней сети
(2) если в дополнение установлены персональные межсетевые экраны
(3) если требования в области защиты от несанкционированного межсетевого доступа примерно одинаковы для всех узлов внутренней сети
Каким образом мотивация связана с нарушителем и активами, которые его интересуют?
(1) мотивация может косвенно выражать вероятность нападения
(2) мотивация может быть связана с ценностью актива
(3) мотивация может быть связана с ресурсами нарушителя
Какие из перечисленных требований обеспечения аутентификации справедливы?
(1) требуется, чтобы правила контроля доступа и права каждого пользователя или группы пользователей однозначно определялись политикой безопасности
(2) требуется, чтобы при использовании парольной аутентификации пользователи подписывали документ о необходимости соблюдения полной конфиденциальности паролей
(3) требуется обеспечить безопасность процесса получения пароля пользователем
К какому состоянию зрелости управления рисками безопасности согласно методики фирмы Microsoft относится уровень, когда принято формальное решение об интенсивном внедрении управления рисками, разработан базовый процесс и внедряется управление рисками?
(1) наличие определенного процесса
(2) повторяемый
(3) оптимизированный
Что из перечисленного лежит за пределами методики OCTAVE?
(1) разработка профиля угроз, связанных с активом
(2) идентификация инфраструктурных уязвимостей
(3) определение второстепенных направлений для внедрения новых СЗИ, мер и процедур обеспечения ИБ
Позволяет ли S/MIME использовать различные криптоалгоритмы?
(1) нет
(2) да
(3) S/MIME позволяет использовать только два набора криптоалгоитмов
К чему приводит установка флажка "Notify me when Windows Firewall blocks a new program" в панели управления?
(1) отключается возможность полностью контролировать подключения в пределах внутреннего сегмента межсетевого экрана
(2) при наличии проблем в ходе установки нового приложения, пользователь информируется о том, что брандмауэр не позволяет его устанавливать
(3) подключения к узлам открытого сегмента межсетевого экрана контролируются лишь избирательно
Что представляет собой событие - триггер?
(1) событие, повлекшее реализацию или дальнейшее развитие рисков и являющееся идентификатором риска
(2) событие, увеличивающее время отклика web - сервера
(3) это одна из разновидностей атак на сервер
Системы управления паролем должны предусматривать:
(1) эффективные интерактивные возможности
(2) использование системных утилит должно быть ограничено и тщательным образом контролироваться
(3) обеспечение установленных технических условий эксплуатации локальных сетей
Что такое SQL-инъекции?
(1) меры по защите беспроводных сетевых технологий и виртуальных частных сетей (VPN)
(2) атаки на сайт учреждения, с применением деструктивных запросов к базам данных
(3) атаки на сервер баз данных, заключающиеся в том, что во входную текстовую строку включаются операторы языка SQL
Какая из перечисленных распространенных методик анализа рисков использует смешанный метод оценки риска?
(1) Microsoft
(2) FRAP
(3) RiskWatch
Какие методы аутентификации принято называть биометрическими?
(1) по наличию у пользователя уникального объекта заданного типа
(2) по собственным уникальным характеристикам пользователя - "I am"
(3) по наличию у пользователя некоторой конфиденциальной информация
Который из двух фильтров в схеме для защиты сети с DMZ с двумя независимо конфигурируемыми межсетевыми экранами реализует менее жесткий набор правил фильтрации?
(1) межсетевой экран2
(2) наборы правил фильтрации идентичны
(3) межсетевой экран1
Какие из перечисленных рекомендаций уместны в случае, когда для проведения работ по разработке программного обеспечения привлекается сторонняя организация?
(1) необходимо предусмотреть антиифильтрационные меры
(2) необходимо предусмотреть меры по контролю правильности выполненных работ
(3) необходимо предусмотреть меры по контролю качества выполненных работ
Для чего необходимо проводить мониторинг системы безопасности?
(1) в целях формирования требований политики контроля доступа
(2) в целях обеспечения релевантности действий сотрудников учреждения
(3) в целях обеспечения доказательства на случай выявления инцидентов нарушения информационной безопасности
Может ли защита серверов осуществляться отдельно от защиты рабочих станций?
(1) да, это возможно
(2) нет, это не практикуется
(3) если сеть надежно защищена извне, отдельной защиты для станций организовывать необходимости нет
Позволяет ли проведение анализа рисков в сфере информационной безопасности определять уязвимость отдельных компонентов и недостатки политики системы?
(1) нет, не позволяет
(2) несмотря на то, что в целом проблема определения уязвимости системы решается, определение уязвимости компонентов достичь нельзя
(3) да, позволяет
Какой протокол аутентификации наряду с Kerbos v.5 (RFC 1510) используется в сетях Windows в настоящее время?
(1) PEAP-MS-CHAP
(2) PEAP-TLS
(3) NTLM
Каковы могут быть последствия атаки на сеть, в которой в установлены два независимо конфигурируемых межсетевых экрана?
(1) успешная атака на первый МЭ приведет к коллапсу внутренней сети
(2) успешная атака на первый МЭ не сделает внутреннюю сеть беззащитной
(3) любая атака будет отражена
Что в аспектах информационной безопасности связывается с каждым объектом, требующим защиты?
(1) множество действий, к которым может прибегнуть нарушитель для получения несанкционированного доступа к объекту
(2) множество вариантов развития ситуации, при которых санкционированный доступ ведет к нарушению целостности системы объекту
(3) множество вариантов действий, к которым может прибегнуть нарушитель для валидации ID пользователя
На каком этапе разработки информационных систем необходимо обеспечить учет требований безопасности?
(1) согласования проекта с заказчиком
(2) разработки информационных систем
(3) отладки информационных систем
Является ли возможным в процессе идентификации рисков определить цели потенциального нарушителя и уровни защиты, на которых можно ему противостоять?
(1) нет
(2) да
(3) нет, но такая попытка может дать некий эффект
Какие из перечисленных классов активов входят в систему оценки и управления рисками безопасности, предлагаемый корпорацией Майкрософт?
(1) активы, имеющие среднее влияние на бизнес (СВБ)
(2) активы, имеющие низкое влияние на бизнес (НВБ)
(3) активы, имеющие высокое влияние на бизнес(ВВБ)
(4) активы, имеющие приоритеное влияние на бизнес(ПВБ)
Для чего используются методы асимметричной криптографии?
(1) для безопасного обмена криптографическими ключами между отправителем и получателем без использования центров распределения ключей
(2) для безопасного обмена пакетами между отправителем и получателем
(3) для автоматизации настройки соединений
Перечислите параметры, по которым может производиться фильтрация при применении экранирующего маршрутизатора:
(1) по ТСР портам
(2) UDP портам
(3) по ip-адресам отправителя и получателя
Что из перечисленного предписывается выполнить при проектировании системы с полным перекрытием?
(1) выверить остаточную стоимость активов
(2) детально прописать пути потенциального проникновения
(3) согласовать порядок применения альтернативных инструментов защиты
Какой из этапов предполагает выполнение следующих пунктов системы менеджмента информационной безопасности:
  • определить способ измерения результативности выбранных мер управления;
  • реализовать программы по обучению и повышению квалификации сотрудников;
    •
    (1) этап "внедрение и функционирование системы менеджмента информационной безопасности"
    (2) этап "проведение мониторинга и анализа системы менеджмента информационной безопасности"
    (3) этап разработки системы менеджмента информационной безопасности
    Как можно получить перечень папок, предоставляемых в общий доступ в OS Windows?
    (1) с помощью оснастки "Управление компьютером"
    (2) при обращении к папке Windows\Config
    (3) данные сведения пользователю недоступны
    По каким из перечисленных параметров в методике FRAP осуществляется определение защищаемых активов?
    (1) по результатам изучения документации на систему
    (2) по результатам заполнения опросных листов, изучения документации на систему, использования инструментов автоматизированного анализа (сканирования) сетей
    (3) по результатам заполнения опросных листов и автоматизированного анализа (сканирования) сетей
    В каком случае может понадобиться создание корпоративного ЦС?
    (1) если принято решение использовать защиту электронной почты с помощью S/MIME
    (2) если принято решение о шифровании сетевого трафика с помощью протокола IPSec
    (3) если принято решение использовать защиту средствами EFS (EFS - Encrypted File System (шифрование данных на дисках с файловой системой NTFS)
    Относится ли подключение межсетевого экрана с двумя сетевыми интерфейсами при выделении открытого сегмента внутренней сети к разряду типовых схем?
    (1) да
    (2) нет
    (3) это не относится к разряду типовых схем, но такое подключение изредка практикуется
    Способствуют контрмеры в аспектах достижения информационной безопасности эффективному снижению уязвимостей?
    (1) да
    (2) нет
    (3) лишь отчасти
    Как стандарт определяет ответственность руководства организации за обеспечение и управление ресурсами?
    (1) руководство организации ограниченно ответственно за обеспечение и управление ресурсами, необходимыми для создания системы менеджмента информационной безопасности
    (2) руководство организации ответственно за обеспечение и управление ресурсами, необходимыми для создания системы менеджмента информационной безопасности, включая аспекты управления персоналом
    (3) руководство организации ответственно за обеспечение и управление ресурсами, необходимыми для создания системы менеджмента информационной безопасности, однако аспекты управления персоналом в стандарт не включены
    Какие сведения содержит оснастка "Active Directory Users and Computers"?
    (1) о сетевой идентификации
    (2) о членстве пользователя в доменных группах
    (3) реестр сведений о членстве пользователей в сетевых профессиональных союзах и группах
    По каким из перечисленых критериев осуществляется определение защищаемых активов в методике FRAP?
    (1) по результатам изучения документации на систему
    (2) по результатам автоматизированного анализа (сканирования) сетей
    (3) по результатам заполнения опросных листов
    Какой из вариантов правильно описывает состав PKI?
    (1) набор средств, мер и правил, предназначенных для управления политикой безопасности и обменом защищенными сообщениями
    (2) набор средств, мер и правил, предназначенных для управления ключами, политикой безопасности и обменом защищенными сообщениями
    (3) набор средств, мер и правил, предназначенных для управления ключами
    Позволяет ли установленный на защищаемый компьютер межсетевой экран обеспечить защиту от угроз исходящих из внутренней сети?
    (1) да
    (2) нет
    (3) да, но с ограничениями
    Что обеспечивает средняя стойкость системы?
    (1) защиту от целенаправленного нарушения безопасности объекта оценки нарушителем с умеренным потенциалом нападения
    (2) защиту от тщательно спланированного и организованного нарушения безопасности объекта оценки нарушителем с высоким потенциалом нападения
    (3) адекватную защиту от случайного нарушения безопасности объекта оценки нарушителем с низким потенциалом нападения
    Какие из перечисленных мероприятий рекомендуется выполнять на этапе "Поддержка и улучшение системы менеджмента информационной безопасности"?
    (1) передавать подробную информацию о действиях по улучшению системы менеджмента информационной безопасности всем заинтересованным сторонам, при этом степень ее детализации должна соответствовать обстоятельствам и, при необходимости, согласовывать дальнейшие действия; обеспечивать внедрение улучшений системы менеджмента информационной безопасности для достижения запланированных целей
    (2) обновлять планы информационной безопасности с учетом результатов анализа и мониторинга; регистрировать действия и события, способные повлиять на результативность или функционирование системы менеджмента информационной безопасности
    (3) обеспечивать внедрение улучшений системы менеджмента информационной безопасности для достижения запланированных целей
    Применительно к программе Microsoft Base Line Security Analyzer: о чем свидетельствует извещение "You do not have sufficient permissions to perform this command. Make sure that you are running as the local administrator…"?
    (1) о том, что программа выполняется не от имени учетной записи с правами локального администратора
    (2) о том, что программа выполняется без ограничений
    (3) о том, что имеет место нарушение авторских прав
    Какие из перечисленных распространенных методик анализа рисков не используют смешанный метод оценки риска?
    (1) RiskWatch
    (2) FRAP
    (3) CRAMM
    (4) Microsoft
    Перечислите криптографические услуги безопасности (криптографические сервисы) протокола Multipurpose Internet Mail Extensions (S/MIME)
    (1) установление подлинности отправителя (аутентификация)
    (2) проверка целостности сообщения
    (3) обеспечение секретности передаваемых данных (шифрование)
    Какой основной недостаток схемы, когда перед межсетевым экраном создается открытый сегмент сети предприятия, а межсетевой экран защищает остальную внутреннюю сеть?
    (1) подключения к узлам открытого сегмента межсетевой экран не контролирует
    (2) подключения к узлам открытого сегмента межсетевым экраном контролируются лишь частично
    (3) отсутствует возможность полностью контролировать подключения в пределах внутреннего сегмента межсетевого экрана
    Что отличает риск от угрозы?
    (1) объем вероятных потерь
    (2) наличие количественной оценки возможных потерь и (возможно) оценки вероятности реализации угрозы
    (3) угроза и риск - понятия идентичные
    Рассматривает ли стандарт ГОСТ Р ИСО/МЭК 17799:2005 вопросы информационной безопасности в аспектах экономического эффекта?
    (1) да
    (2) нет
    (3) нет, но экономическая сторона вопроса не отрицается
    В каких целях осуществляется анализ рисков?
    (1) в целях соблюдения требований об обязательной отчетности учреждения, его проведение формально необходимо
    (2) в целях установления и поддержания эффективного управления системой защиты
    (3) в целях укрепления имиджевой политики учреждения
    Какие из перечисленных распространенных методик анализа рисков используют смешанный метод оценки риска?
    (1) CRAMM
    (2) Microsoft
    (3) RiskWatch
    (4) FRAP
    Какой из перечисленных типов атак вероятен в случае обмена криптографическими ключами между отправителем и получателем без использования центров распределения ключей ?
    (1) "человек посередине" (man in the middle)
    (2) "вторжение человека извне" (intrusion from outside)
    (3) человек сзади (man behind)
    На какие ресуры может быть направлена угроза?
    (1) только на информационные ресурсы
    (2) только на аппаратные ресурсы
    (3) на любые виды ресурсов (информационный, аппаратный, программный и т.д.)
    Что достигается посредством оценки рисков организации?
    (1) анализируется вероятность возникновения угроз, а также оценка возможных последствий
    (2) происходит выявление угроз активам организации
    (3) осуществляется изучение уязвимости соответствующих активов
    Какова связь анализа рисков с другими компонентами модели информационной безопасности?
    (1) на базе полученных результатов по оценке рисков осуществляется анализ состояния системы и разрабатывается план построения системы защиты сети
    (2) анализ рисков увязан с процедурами анализа рисков
    (3) анализ не увязывается с другими компонентами системы
    Какому значению по шкале оценки уязвимости CRAMM соответствует инцидент, происходящий в среднем один раз в четыре месяца?
    (1) очень низкий
    (2) очень высокий
    (3) высокий
    Является ли протокол Kerbos v.5 (RFC 1510) в сетях Windows в настоящее время единственным протоколом аутентификации?
    (1) да
    (2) нет
    (3) нет, но остальные не распространены
    Перечислите классы по которым принято производить классификацию межсетевого экрана по принципу уровней фильтрации.
    (1) экранирующий маршрутизатор
    (2) экранирующий транспорт (шлюз сеансового уровня)
    (3) экранирующий шлюз (шлюз прикладного уровня)
    (4) экранирующий шлюз (шлюз внутреннего уровня)
    Каким параметром принято определять степень разрушительности?
    (1) коэффициентом разрушительности
    (2) стоимостью ресурса
    (3) коэффициентом риска
    Предписывает ли стандарт введение организацией своих мер по обеспечению информационной безопасности?
    (1) да
    (2) нет
    (3) только в отношении сугубо материально ассоциированных факторов
    На что нацелен уровень защиты внутренней сети?
    (1) на защиту сети от спама, поступающего на почтовые ящики сотрудников
    (2) на скрининг деятельности сотрудников по посещению ими web-узлов
    (3) на обеспечение безопасности передаваемого внутри сети трафика и сетевой инфраструктуры
    Что из перечисленного характерно для методики OCTAVE?
    (1) весь процесс анализа автоматизирован, производится на основании параметрических функций
    (2) весь процесс анализа производится силами сотрудников организации, без привлечения внешних консультантов
    (3) весь процесс анализа производится силами внешних консультантов, без привлечения сотрудников организации
    Что позволяет выявлять утилита Microsoft Baseline Security Analyzer?
    (1) учетные записи со слабыми или отсутствующими паролями
    (2) синтаксические ошибки в контенте пользователя
    (3) ошибки администрирования
    Какие из перечисленных дополнительных функций имеет шлюз прикладного уровня по сравнению со шлюзами сеансового уровня и экранирующим маршрутизатором?
    (1) аутентификация пользователей
    (2) анализ команд протоколов прикладного уровня
    (3) проверка передаваемых данных (на наличие компьютерных вирусов, соответствие политике безопасности) и т.д.
    В каком отечественном документе впервые в России выделено понятие риска в отношении ИБ?
    (1) ГОСТ Р ИСО/МЭК 15408-2002
    (2) КЗОТ
    (3) УК РФ
    Как определяется стандартом организация информационной безопасности с точки зрения управления персоналом?
    (1) обязанности по соблюдению требований безопасности должны включаться только в трудовые договоры
    (2) обязанности по соблюдению требований безопасности должны распределяться на стадии подбора персонала, включаются в трудовые договоры, а мониторинг осуществляется в течение всего периода работы сотрудника
    (3) стандарт не регламентирует закрепление и мониторинг информационной безопасности в аспектах управления персоналом
    Является ли шифрование данных при их хранении и передаче адекватной мерой защиты?
    (1) нет
    (2) да
    (3) лишь частично
    Что, согласно методике Microsoft, входит в понятие "активы"?
    (1) физическая инфраструктура
    (2) данные и другая ценная для организации информация, хранящаяся в цифровой форме
    (3) ИТ-служба
    Каков состав и предназначение PKI?
    (1) PKI представляет собой набор средств, мер и правил, предназначенных для управления ключами
    (2) PKI представляет собой набор средств, мер и правил, предназначенных для управления политикой безопасности и обменом защищенными сообщениями
    (3) PKI представляет собой набор средств, мер и правил, предназначенных для управления ключами, политикой безопасности и обменом защищенными сообщениями
    Позволяет ли установленный на защищаемый компьютер межсетевой экран защититься от угроз исходящих из внутренней сети?
    (1) да
    (2) нет
    (3) да, но лишь ограниченно
    Какой термин определяет характеристику функции безопасности объекта оценки, выражающую минимальные усилия, которых теоретически может быть достаточно для нарушения работоспособности при прямой атаке на информационную систему?
    (1) "потенциал падения"
    (2) "стойкость функции безопасности (СФБ)"
    (3) "резистивность системы" (РС)
    Влияют ли сбои электропитания на степень защиты кабельной сети?
    (1) да
    (2) нет
    (3) только гипотетически
    К какому состоянию зрелости управления рисками безопасности, согласно методики фирмы Microsoft, относится уровень, когда процесс документирован не полностью, но управление рисками является всеобъемлющим и руководство вовлечено в управление рисками?
    (1) оптимизированный
    (2) повторяемый
    (3) узкоспециализированный
    Оценка вероятности взлома имеет субъективный характер.Что рекомендуется делать для достижения большей объективности?
    (1) задавать большую степень градации оценок
    (2) ограничиться специфическим перечнем вопросов во избежание ошибок в оценке
    (3) уточнять перечень вопросов исходя из конкретных условий
    Используются ли цифровые сертификаты для распределения открытых ключей в протоколах защиты электронной почты S/MIME или PGP?
    (1) нет, но работа по расширению возможностей цифровых сертификатов ведутся
    (2) да
    (3) нет
    Где в OS Windows можно включить или отключить межсетевой экран?
    (1) в панели управления (Control Panel) на вкладке "Windows Firewall"(брэндмауэр) (
    (2) в панели управления (Control Panel) на вкладке "администрирование"
    (3) межсетевой экран в OS Windows не управляется, он всегда включен
    Какой из перечисленных классов функциональных требований включает требования кодирования информации?
    (1) класс приватности (конфиденциальности)"
    (2) класс защиты функций безопасности объекта
    (3) класс криптографической поддержки (криптографической защиты)
    Какие из перечисленных мер рекомендуется выполнять для обеспечения непрерывности бизнес-процессов?
    (1) требуется идентифицировать события, которые могут быть причиной прерывания бизнес-процессов
    (2) требуется провести оценку последствий, после чего разработать планы восстановления
    (3) требуется согласовать порядок компенсации потенциального ущерба
    Что из перечисленного лежит за пределами сферы информационной безопасности?
    (1) ранжирование рисков по приоритетам
    (2) выявление проблем уязвимостей системы, недостатков политик безопасности
    (3) разработка методик хеджирования экономических рисков
    Какова основная задача IPSec?
    (1) создание между двумя компьютерами, связанными через общедоступную (небезопасную) IP-сеть, безопасного туннеля
    (2) полный контроль ЛВС
    (3) обеспечение надежного обмена криптографическими пакетами
    Который из двух фильтров в схеме для защиты сети с DMZ, с двумя независимо конфигурируемыми межсетевыми экранами реализует более жесткий набор правил фильтрации?
    (1) межсетевой экран1
    (2) межсетевой экран2
    (3) наборы правил фильтрации идентичны
    Каковы цели анализа и тестирования прикладных систем в аспектах информационной безопасности?
    (1) оперативное внесение изменений в операционные системы
    (2) обеспечение целостности программного обеспечения
    (3) обеспечение более эффективного использования готовых пакетов программ
    Какие действия надлежит выполнять с результатами мониторинга?
    (1) их следует вносить в генеральный всемирный реестр результатов мониторинга
    (2) их следует регулярно анализировать
    (3) никаких действий по результатам мониторинга выполнять не надо
    Относится ли модификация приложений компьютерными вирусами к разряду SQL-инъекций?
    (1) да
    (2) нет
    (3) нет, но такая классификация модификаций возможна в принципе
    Какая из перечисленных распространенных методик анализа рисков не использует количественные методики оценки рисков?
    (1) FRAP
    (2) RiskWatch
    (3) CRAMM
    На каком уровне обеспечивает защиту протокол IPSec
    (1) на уровне сети
    (2) на уровне ПК
    (3) на уровне приложений
    Что представляет собой служба WSUS?
    (1) служба обновления серверов Windows и клиентских рабочих станций
    (2) служба поддержки системного администрирования
    (3) служба рассылки уведомлений о введении новых систем ИБ
    Какой из перечисленных вариантов последовательности действий предписан стандартом ГОСТ Р ИСО/МЭК 17799:2005 "Информационная технология. Практические правила управления информационной безопасностью" в аспектах управления непрерывностью бизнеса?
    (1) идентифицировать события, которые могут быть причиной прерывания бизнес-процессов, провести оценку последствий, после чего разработать планы восстановления
    (2) произвести экспертную оценку контента информации на сервере на предмет возможных схем утечки критически важной информации, после чего разработать планы восстановления системы
    (3) произвести контроль плана восстановления и его тестирование на предмет реализуемости, затем идентифицировать события, которые могут быть причиной прерывания бизнес-процессов (отказ оборудования, пожар и т.п.)
    Перечислите компоненты, за которые "отвечает" уровень защиты приложений:
    (1) почтовые серверы
    (2) web-серверы
    (3) серверы баз данных
    Позволяет проведение анализа рисков в сфере информационной безопасности выделить наиболее приоритетные направления для внедрения новых средств защиты информации?
    (1) да, но с ограничениями
    (2) нет, не позволяет
    (3) да, гарантированно позволяет
    Что, как правило, составляет учетную запись пользователя?
    (1) PC IP и/или e-mail
    (2) совокупность идентификатора, пароля и (иногда) дополнительной информации, служащей для описания пользователя
    (3) Ф.И.О., серия и номер паспорта пользователя
    Какая оснастка служит для работы с политиками IPSec?
    (1) IP Security Policy Control
    (2) IP Security Policy Management
    (3) MS Security Policy Management
    Чем характеризуются угрозы?
    (1) нежелательностью их появления
    (2) невероятностью их появления
    (3) вероятностью их появления
    Какие из перечисленных аспектов, по Вашему, не могут быть включены в стандарт?
    (1) вопросы соблюдения авторского права (в том числе, на программное обеспечение)
    (2) вопросы защиты персональной информации (сотрудников, клиентов)
    (3) вопросы физической защиты сотрудников, клиентов
    Способствует ли организация защиты от угрозы на нескольких уровнях снижению уровня риска?
    (1) да
    (2) нет
    (3) спорно
    Что можно считать главной особенностью методики OCTAVE?
    (1) весь процесс анализа автоматизирован, производится на основании параметрических функций
    (2) весь процесс анализа производится силами внешних консультантов, без привлечения сотрудников организации
    (3) весь процесс анализа производится силами сотрудников организации, без привлечения внешних консультантов
    Как осуществляется аутентификация ключа?
    (1) с помощью цифрового сертификата
    (2) с помощью цифрового мандата
    (3) физическим контролером
    Рассматривается ли в системе с полным перекрытием вопрос соотношения затрат на защиту и получаемого эффекта?
    (1) да
    (2) нет
    (3) в системе с полным перекрытием эта величина не является критической
    Какие из перечисленных мер предлагается выполнять на этапе "поддержка"?
    (1) выявлять возможности улучшения системы менеджмента информационной безопасности; предпринимать необходимые корректирующие и предупреждающие действия, использовать на практике опыт по обеспечению информационной безопасности, полученный как в собственной организации, так и в других организациях;
    (2) передавать подробную информацию о действиях по улучшению системы менеджмента информационной безопасности всем заинтересованным сторонам, при этом степень ее детализации должна соответствовать обстоятельствам и, при необходимости, согласовывать дальнейшие действия;
    (3) обеспечивать внедрение улучшений системы менеджмента информационной безопасности для достижения запланированных целей
    Какие средства можно использовать для получения данных о системе, если в информационной системе используются домены Windows?
    (1) средства синхронизации данных, реализованные в виде консоли администрирования
    (2) средства администрирования, реализованные в виде оснасток консоли администрирования (Microsoft management console - mmc)
    (3) средства администрирования, реализованные в виде консоли журналы и оповещения производительности (Microsoft management console - mmc)
    Какие критерии для оценки и управления рисками используются в методике RiskWatch?
    (1) используются угрозы, исходящие от человека-нарушителя, действующего через сеть передачи данных
    (2) используется влияние потерь на HR - аспект деятельности организации
    (3) используются годовые потери (Annual Loss Expectancy, ALE) и оценка возврата инвестиций (Return on Investment, ROI)
    Протокол ESPобеспечивает:
    (1) конфиденциальность
    (2) уникальность адресации
    (3) надежность работы ЛВС
    Может ли шлюз сеансового уровня контролировать процесс установки соединения и проводить проверку проходящих пакетов на принадлежность разрешенным соединениям?
    (1) нет, но работы по внедрению такой схемы установки фильтра в настоящее время ведутся
    (2) нет
    (3) да
    Может ли анализ угроз каким-то образом помочь при выборе контрмер для противостояния угрозам и уменьшения рисков до приемлемого уровня?
    (1) нет
    (2) да
    (3) спорно
    Предписывается руководству организации осуществлять внутренний аудит в аспектах информационной безопасности?
    (1) да
    (2) нет
    (3) организация должна проводить внутренние аудиты системы менеджмента информационной безопасности только по требованию надзорных органов
    Поддерживает управляемое сетевое оборудование 3Com протокол SNMP?
    (1) да
    (2) нет
    (3) не во всех версиях
    В течение какого периода времени согласно методике FRAP реализуется угроза, имеющая статус средней (Medium Probability)?
    (1) в течении следующего месяца
    (2) в течение следующего года
    (3) в течение следующего десятилетия
    Используются цифровые сертификаты для распределения открытых ключей в протоколах защиты электронной почты S/MIME или PGP?
    (1) да
    (2) нет
    (3) нет, но работы по инкорпорированию сертификатов ведутся
    В случае, если межсетевой экран устанавливается после маршрутизатора, какую часть сети он защищает?
    (1) всю внутреннюю сеть
    (2) только участок после маршрутизатора
    (3) только участок между маршрутизатором и точкой входа
    Чем определяется высокая стойкость системы?
    (1) уровнем стойкости функции безопасности объекта оценки, на котором она обеспечивает защиту от тщательно спланированного и организованного нарушения безопасности ОО нарушителем с высоким потенциалом нападения
    (2) уровнем стойкости, при котором обеспечивается защита от целенаправленного нарушения безопасности объекта оценки нарушителем с умеренным потенциалом нападения
    (3) уровнем стойкости функции безопасности объекта оценки, на котором обеспечивается адекватная защита от случайного нарушения безопасности ОО нарушителем с низким потенциалом нападения
    Предписано учреждению передавать подробную информацию о действиях по улучшению системы менеджмента информационной безопасности всем заинтересованным сторонам?
    (1) да
    (2) нет
    (3) только по запросу вышестоящей организации
    Какова процедура запуска утилиты mbsacli.exe если соединение с Интернет отсутствует?
    (1) утилиту надо запускать или с ключом /nd или с ключом /n
    (2) утилита без ключей не запустится
    (3) процедура запуска утилиты не зависит от подключения к Интернет
    Что определяет ценность физических ресурсов в методике CRAMM ?
    (1) объемом финансовых активов организации
    (2) стоимость их восстановления в случае разрушения
    (3) время восстановления в случае разрушения
    В каких из перечисленных случаях практикуется использование механизм трансляции сетевых адресов - NAT (Network Address Translation)?
    (1) при подключении сетей организаций к Интернет
    (2) при выполнении регламентных работ по обслуживанию сети
    (3) при тотальной проверке информационной безопасности организации
    Каковы могут быть последствия атаки на сеть в которой установлены два независимо конфигурируемых межсетевых экрана?
    (1) сеть может не выдержать серии атак
    (2) успешная атака на второй межсетевой экран может вызвать риск инфильтрации во внутреннюю сеть
    (3) внутренняя сеть не пострадает