随着信息安全涉及的范围越来越广,各个组织对信息安全管理的需求越来越迫切,越来越多的组织开始尝试使用,参考ISO27001介绍的ISMS来实施信息安全管理体系,提高组织的信息安全管理能力,关于ISMS,下面描述错误的是:
(A)在组织中,应由信息技术责任部门(如信息中心)制定并颁布信息安全方针,为组织的ISMS建设指明方向并提供总体纲领,明确总体要求。
(B)组织的管理层应确保ISMS目标和相应的计划得以制定,信息安全管理目标应明确,可度量,风险管理计划应具体,具备可行性
(C)组织的信息安全目标,信息安全方针和要求应传达到全组织范围内,应包括全体员工,同时,也应传达到客户,合作伙伴和供应商等外部各方
(D)组织的管理层应全面了解组织所面临的信息安全风险,决定风险可接受级别和风险可接受准则,并确认接受相关残余风险
参考答案
继续答题:下一题
更多CISP证书试题
- 1若一个组织声称自己的ISMS符合ISO/IEC 27001或GB/T 22080标准要求,其信息安全控制措施通常需要在物理和环境安全方面实施常规控制。物理和环境安全区域和设备安全两个控制目标。安全区域的控制目标是防止对组织场所和信息的未授权物理访问、损坏和干扰,关键或敏感的信息及信息处理设施应放在安全区域内,并受到相应保护。该目标可以通过以下控制措施来实现,不包括哪一项( )
- 2常见的访问控制模型包括自主访问控制模型,强制访问控制模型和基于角色的访问控制模型等。下面描述中错误的是:
- 3信息安全事件的分类方法有多种,依据GB/Z 20986-2007《信息安全技术信息安全事件分类分级指南》,信息安全事件分为7各基本类别,描述正确的是:
- 4某单位在一次信息安全风险管理活动中,风险评估报告提出服务器A的FTP服务存在高风险漏洞,随后该单位在风险处理时选择了关闭FTP服务的处理措施,请问该措施属于哪种风险处理方式:
- 5作为信息安全从业人员,以下哪种行为违反了CISP职业道德准则
- 6风险管理四个步骤的正确顺序是:( )