Вопросы с 201 по 250 из CISM (перевод)

201. Какая ответственность должна быть на сотруднике, отвечающем за хранение данных?

А. За всеобщую защиту информационных активов;

Б. За классификацию данных по уровням;

В. За определение контролей к уже установленным продуктам;

Г. За обеспечение мер, прописанных в политиках ИБ.

202. Оценка рисков ИБ должна проводиться регулярно так как:

А. угрозы для бизнеса постоянно меняются;

Б. в предыдущих оценках может быть что-то упущено;

В. это позволяет применить различные методологии;

Г. это позволяет повысить уровень осведомленности персонала.

203. Что в оценке рисков должно проводиться ПЕРВЫМ?

А. Идентификация бизнес активов;

Б. Идентификация бизнес рисков;

В. Оценка уязвимостей;

Г. Оценка ключевых контролей.

204. Системный администратор не оповестил немедленно офицера ИБ об атаке. Как офицер ИБ может противостоять такой ситуации?

А. Периодически тестируя план реагирования на инциденты;

Б. Регулярно тестируя IDS;

В. Проводить обязательный тренинг персонала;

Г. Периодически пересматривая процедуры реагирования на инциденты.

205. Какие из следующих рисков остаются в организации?

А. Риски контроля;

Б. Неотъемлемые риски;

В. Остаточные риски;

Г. Риски аудита.

206. Какой параметр важен для восстановления данных в нормальных условиях?

А. Время восстановления (RTO);

Б. Максимальное время отключения (MTO);

В. Точки восстановления (RPOs);

Г. Цели предоставления услуг (SDOs).

207. Программа управления рисками служит для:

А. устранения всех неотъемлемых рисков;

Б. удержания остаточных рисков на приемлемом уровне;

В. внедрения превентивных контролей для каждой угрозы;

Г. уменьшения рисков до нуля.

208. На какой стадии проекта по разработке ПО должна проводиться оценка рисков?

А. Разработка кода;

Б. Разработка спецификации;

В. Тестирование пользователями;

Г. Анализ технической осуществимости.

209. Что из перечисленного поможет менеджменту определить ресурсы, необходимые на уменьшение рисков организации?

А. Анализ рисков;

Б. Анализ воздействия на бизнес;

В. Управление рисками;

Г. Аудит.

210. Руководство международной финансовой организации решило ничего не делать, чтобы противостоять рискам DoS. Какая НАИБОЛЕЕ важная причина принятия такого решения?

А. Есть достаточные основания для предотвращения этого риска;

Б. Контрмеры слишком сложно выполнить;

В. Стоимость контрмер превосходит стоимость возможных потерь;

Г. Вероятность этого риска оценить трудно.

211. Какая метрика ЛУЧШЕ позволяет менеджеру оценить эффективность результатов программы ИБ?

А. Количество внедренных контролей;

Б. Процент достижения целей;

В. Процент соответствия политикам ИБ;

Г. Уровень снижение количества инцидентов.

212. Какая информация с точки зрения менеджера ИБ работающего в большой международной организации подлежит МИНИМАЛЬНОЙ защите?

А. Стратегический бизнес план развития;

Б. Ожидаемые финансовые результаты;

В. Персональные данные клиентов;

Г. Предыдущие финансовые результаты.

213. Какая ПЕРВИЧНАЯ цель проведения анализа рисков?

А. Определить справедливость трат на ИБ;

Б. Помочь бизнесу приоритезировать активы, подлежащие защите;

В. Информировать исполнительного директора об остаточных рисках;

Г. Спланировать защитные меры.

214. Что нужно сделать ПЕРВЫМ при проведении классификации информации?

А. Определить роли;

Б. Провести оценку рисков;

В. Идентифицировать владельцев данных;

Г. Разработать политику хранения данных.

215. В организации беспокоятся, что уязвимости ПО могут привести к утечкам персональных данных клиентов и финансовому ущербу. Что нужно сделать, чтобы уменьшить остаточные риски?

А. Застраховать их;

Б. Установить сетевые экраны;

В. Увеличить эффективность защитных мер;

Г. Внедрить IPS.

216. Какие механизмы используются для определения недостаточной защиты ИС, которые могут позволить злоумышленникам провести успешную атаку и скомпрометировать ИС?

А. Анализ воздействия на бизнес;

Б. Gap-анализ;

В. Метрики производительности систем;

Г. Процедуры реагирования на инциденты.

217. Что позволяет сделать распространенная уязвимость плохо написанного web-приложения?

А. Переполнить буфер;

Б. Провести DDoS;

В. Выявить последовательности и условия опасных событий;

Г. Использовать SQL-инъекцию.

218. Что для менеджера ИБ является САМЫМ важным при определении, какие остаточные риски следует принять?

А. Историческая стоимость активов;

Б. Приемлемый уровень влияния на бизнес;

В. Стоимость/польза дополнительных мер;

Г. Ожидаемый уровень ежегодных потерь.

219. В целях разработки портала для разработчиков менеджер проекта запросил менеджера ИБ выделить внешний IP для доступа внешних консультантов в сеть организации. Что в ПЕРВУЮ очередь должен сделать менеджер ИБ?

А. Разобраться в бизнес требованиях к порталу;

Б. Провести оценку уязвимостей портала;

В. Установить IDS;

Г. Подписать NDA с внешними консультантами и только потом предоставить доступ.

220. Было обнаружено, что в критическом приложении есть административная учетная запись, которая не может быть заблокирована или изменена. Что ЛУЧШЕ сделать, чтобы предотвратить попытки подобрать к ней пароль?

А. Закрыть удаленный доступ к приложению;

Б. Создать сложный случайный пароль;

В. Попросить решение вопроса у вендора;

Г. Включить запись логов и последующую работу с ними.

221. Какие преимущества получает злоумышленник, используя Cross-Site scripting?

А. Утечки данных из-за отсутствия входного контроля;

Б. Слабости аутентификации на уровне приложения;

В. Уязвимости протокола SSL из-за короткой длины ключей шифрования;

Г. Не явное доверие к приложению.

222. Какая мера более предназначена для предотвращения утечек данных?

А. Резервное копирование данных;

Б. Проверка целостности баз данных;

В. Принятие пользователями политик;

Г. Реагирование на инциденты.

223. Компания разрабатывает новую технологию, которая даст ей преимущество. Что нужно сделать ПЕРВЫМ, чтобы защитить эту информацию?

А. Принять политику контроля доступа;

Б. Принять политику классификации данных;

В. Принять стандарты шифрования;

Г. Принять политику использования ресурсов.

224. Какая техника ЛУЧШЕ позволит выбрать меры ИБ при ограниченном бюджете?

А. Проведение анализа рисков;

Б. Вычисление ежегодных потерь;

В. Анализ затрат и преимуществ;

Г. Анализ ущерба.

225. В компании разрешен анонимный доступ из вне по протоколу FTP. Что в этом случае должен предпринять менеджер ИБ?

А. Текст на проникновение;

Б. Пересмотр основных настроек;

В. Оценку рисков;

Г. Анализ влияния на бизнес.

226. Какая из мер НАИБОЛЕЕ эффективна против внутренних угроз персональных данных?

А. Ролевой контроль доступа;

Б. Мониторинг логов;

В. Политика персональных данных;

Г. Многоуровневая защита.

227. Бизнесу необходимо внедрить техническое решение, которое позволит понять, есть ли отклонения в текущей ситуации от того, что прописывается политиками ИБ. Что должен сделать в этой ситуации менеджер ИБ?

А. Провести оценку рисков и принять решение по ее результатам;

Б. Рекомендовать провести оценку рисков и внедрить систему, только если останутся остаточные риски;

В. Не рекомендовать внедрять систему, т.к. она противоречит политике ИБ;

Г. Рекомендовать актуализировать политики ИБ.

228. После оценки рисков руководство крупного банка решило продолжить свое присутствие в данном регионе, не смотря на высокий процент мошенничеств в нем. Что должен порекомендовать бизнесу менеджер ИБ?

А. Усилить программу осведомленности персонала в этих вопросах;

Б. Внедрить технологии обнаружения и реагирования на мошеннические схемы;

В. Передать свой процессинговый центр другой организации на аутсорсинг;

Г. Информировать клиентов банка о необходимости сразу сообщать о мошенничествах в банк.

229. Критичность информационных активов определяется на основе:

А. оценки угроз;

Б. оценки уязвимостей;

В. оценки зависимостей одних ресурсов от других;

Г. оценки влияния на бизнес.

230. Что нужно предпринять ПЕРЕД классификацией информации?

А. Оценить риски;

Б. Разработать систему классификации;

В. Оценить стоимость активов;

Г. Уменьшить риски.

231. Что является САМЫМ важным при проведении оценки рисков?

А. Поддержка руководства;

Б. Расчет ожидаемых годовых потерь для критичных ресурсов;

В. Идентификация активов и оценка их стоимости;

Г. Выявление целей и мотивов злоумышленников.

232. В чем ГЛАВНАЯ причина того, почему классификация активов является важной частью программы обеспечения ИБ?

А. В установке приоритетов и определении затрат по снижению рисков;

Б. В страховании рисков на случай потерь;

В. В определении подходящего уровня защиты активов;

Г. В сравнении с мерами ИБ других организаций.

233. Какая стратегия для управления рисками ЛУЧШАЯ?

А. Обеспечить баланс между рисками и целями;

Б. Снизить риски до приемлемого уровня;

В. Добиться, чтобы разрабатываемые политики ИБ сопоставлялись с целями организации;

Г. Обеспечить, чтобы все неснижаемые риски были приняты руководством.

234. Какой САМЫЙ важный аспект при утечке информации с мобильных устройств без использования шифрования?

А. Раскрытие персональных данных;

Б. Страхование от подобных утечек;

В. Большая ценность персональных данных;

Г. Стоимость замены оборудования

235. Чтобы выполнить опубликованные в настоящий момент требования регуляторов требуются значительные затраты. Что должен сделать ПЕРВЫМ менеджер ИБ?

А. Созвать комитет ИБ;

Б. Провести gap-анализ;

В. Внедрить компенсационные меры;

Г. Потребовать немедленного соответствия.

236. Что ЛУЧШЕ подходит для включения в отчет по поводу внедрения двухфакторной аутентификации?

А. Ожидаемые ежегодные потери в результате инцидента;

Б. Частота инцидентов;

В. Полная стоимость владения;

Г. Утвержденный бюджет проекта.

237. Правильный путь для определения эффективности контролей?

А. Предотвращать, обнаруживать, компенсировать;

Б. Оповещать при неисправности;

В. Проверять результаты, от которых зависят цели;

Г. Оценивать и анализировать достоверность информации.

238. Что делает сеть уязвимой?

А. Уязвимости 0-го дня;

Б. Зловредное и шпионское ПО;

В. Незащищенные потоки информации;

Г. Неверное конфигурирование или пропущенные обновления.

239. Кто отвечает за классификацию информации?

А. Высшее руководство;

Б. Менеджер ИБ;

В. Владелец данных;

Г. Хранитель данных.

240. В процессе оценке рисков выявлено, что стоимость уменьшения риска превосходит стоимость риска. Что в этой ситуации должен рекомендовать руководству менеджер ИБ?

А. Передать риск;

Б. Уменьшить риск;

В. Принять риск;

Г. Избавиться от риска.

241. Что нужно передать ПЕРВЫМ руководству организации в случае обнаружения атаки?

А. Полные логи систем безопасности, показывающие последовательность событий;

Б. Объяснение инцидента и корректирующих действий;

В. Анализ нанесенного ущерба подобной атакой в других организациях;

Г. Бизнес требование для внедрения строгого контроля за логическим доступом.

242. В чем ГЛАВНАЯ причина возражений при принятии политик ИБ?

А. Сотрудники слишком заняты, чтобы соблюдать эти требования;

Б. Риски имеют прямое отношение к прибыли организации;

В. Соответствие политикам трудно осуществить;

Г. Это создаст неудобство пользователям.

243. Какой фактор БОЛЕЕ важен при классификации информации?

А. Качество информации;

Б. Доступность ИТ-инфраструктуры;

В. Производительность систем;

Г. Требования владельцев данных.

244. Что должен сделать менеджер ИБ при выборе контролей для соответствия бизнес требованиям?

А. Считать приоритетным контроль доступа на основе ролей;

Б. Сфокусироваться на ключевых контролях;

В. Ограничиться контролями только критичных приложений;

Г. Сфокусироваться на автоматических контролях.

245. Кто САМЫЙ подходящий владелец хранимых в центральной БД данных, которую использует  департамент продаж?

А. Департамент продаж;

Б. Администратор БД;

В. ИТ-директор;

Г. Руководитель департамента продаж.

246. Что ПЕРВЫМ должен сделать менеджер ИБ для оценки степени соответствия организации новым документам в области ПДн?

А. Разработать план приведения организации в соответствие;

Б. Выявить системы и процессы, которые содержат ПДн;

В. Запретить сбор ПДн до того, пока соответствие не будет достигнуто;

Г. Изучить иностранное законодательство, которое может иметь подобные требования.

247. Оценка рисков наиболее эффективна, когда проводится:

А. вначале разработки программы ИБ;

Б. на постоянной основе;

В. для соответствия бизнес целям организации;

Г. при изменении направления бизнеса.

248. Какая ГЛАВНАЯ причина проведения оценки рисков на периодической основе?

А. Оправдание бюджета на ИБ;

Б. Новые уязвимости обнаруживаются каждый день;

В. Риски постоянно меняются;

Г. Руководство требует постоянно информировать о появляющихся рисках.

249. Всегда есть временной интервал между публикацией об уязвимости и применением исправления.  Что нужно сделать ПЕРВЫМ для уменьшения этого времени?

А. Идентифицировать уязвимые системы и применять компенсационные меры;

Б. Минимизировать число уязвимых систем;

В. Сообщить пользователям о том, что их системы уязвимы;

Г. Обновить сигнатуры БД на IDS.

250. Какая деятельность ИБ должна выполняться в процессе управления изменениями для идентификации ключевых уязвимостей?

А. Анализ влияния на бизнес;

Б. Тест на проникновение;

В. Аудит и пересмотр;

Г. Анализ угроз.