CISP/CISA 每日一题 14

CISA 每日一题（答）

自动无人值守运行（LIGHTS-OUT）优势：
1、信息系统运行成本的遏制/减少；
2、持续运行（24/7）；
3、减少系统错误和中断次数。

I/O 控制人员负责保证：
1、批处理信息得到准确和完整的处理
2、与信息系统管理部门的意图和授权一致
3、输出文件正确，并被送给适当的人员；
4、作为下一个系统的输入的输出要及时、准确、完整
5、处理中使用了正确的文件
6、操作员操作正确
7、没有证据表明数据已被非授权修改

CISSP每日一题
公开组已定义支持用户单点登录 (SSO) 界面的功能目标。下列哪一项不是这些目标之一，并可能代表漏洞？
A.提供非用户配置身份验证信息的用户发起的变化。
B.提供对主体的支持以建立默认用户配置文件。
C.接口应独立于处理的身份验证信息类型。
D.它不应预先定义次级登录操作的定时。

Answer: A
Userconfiguration of nonuser-configured authentication mechanisms is not supportedby the Open Group SSO interface objectives. Authentication mechanisms includeitems such as smart cards and magnetic badges. Strict controls must be placedto prevent a user from changing configurations that are set by anotherauthority. Objective a supports the incorporation of a variety ofauthentication schemes and technologies. Answer c states that the interfacefunctional objectives do not require that all sign-on operations be performedat the same time as the primary sign on. This prevents the creation of usersessions with all the available services even though these services are notneeded by the user. The creation of a default user profile will make thesign-on more efficient and less time-consuming. In summary, the scope of theOpen Group Single Sign-On Standards is to define services in support of: Thedevelopment of applications to provide a common, single end-user sign-oninterface for an enterprise. The development of applications for thecoordinated management of multiple user account management information basesmaintained by an enterprise.

CISA每日一题
管理人员发现，在多阶段实施之初，就有落后计划和超出预算的情况。在进行下一阶段之前，IS审计师针对后实施阶段工作重点的首要建议应是：
A .评估是否已衡量、分析和报告计划的成本收益。
B .审查控制平衡，验证系统能否正确处理数据。
C .审查第一阶段的后续项目更改要求。
D .确定系统目标是否实现。

答案：C
既然管理人员意识到项目存在问题，那么审查后续修复将会提供关于项目问题的类型和可能原因方面的见解。这将有助于确定IT 是否已为解决后续阶段中的这些问题而做好充分的计划。尽管所有选项都对，但后实施阶段工作重点和主要目标应保证最初阶段的问题得以解决。

CISP每日一题

ISMS审核时，对审核发现中，以下哪个是属于严重不符合项？
A.关键的控制程序没有得到贯彻，缺乏标准规定的要求可构成严重不符合项
B.风险评估方法没有按照ISO27005（信息安全风险管理）标准进行
C.孤立的偶发性的且对信息安全管理体系无直接影响的问题；
D.审核员识别的可能改进项

【答案】 D