Certified Information Systems Security Professional

A

正確答案：行政控制 行政控制有時也稱爲管理控制。它們包括組織安全計劃定義的策略或程序，例如招聘流程、背景調查、數據分類要求、數據標籤、策略、安全意識和培訓。程序是管理控制的一個子集。邏輯控制和技術控制是同一回事，指的是包括硬件、軟件、代碼等的控制。官方(ISC)² CISSP CBK參考，第六版。點燃版。第 131-132 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 83 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 81、1037 頁。

D

正確答案：風險轉移 風險轉移是指將風險轉移給其他人。例如，當您向保險公司付款時，如果意識到風險，他們將負責付款。軟件補丁是風險緩解的一個例子，其重點是降低風險。不採取任何行動是接受風險的一個例子。然而，在接受風險之前應進行成本效益分析。風險延期不是標準的風險應對措施或術語。推遲風險通常被認爲是風險規避。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 73 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 122 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 74-76 頁。

C

正確答案：VAST VAST 代表視覺、敏捷和簡單威脅。VAST 使用敏捷編程概念來進行威脅建模。STRIDE 代表欺騙、篡改、否認、信息泄露、拒絕服務和特權升級。它是由 Microsoft 發明的，旨在讓軟件開發人員專注於可能出現的問題，有助於系統地識別和減輕軟件系統中的潛在安全威脅。TRIKE 代表威脅表示、情報和知識引擎。它是一個威脅建模框架，專注於模擬網絡威脅並幫助組織識別和減輕其系統和網絡中的漏洞。PASTA 代表攻擊模擬和威脅分析過程。它可以識別潛在威脅。這可用於應用程序和 IT 系統。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 29、31、33 頁。

C

正確答案：資產價值 (AV) 資產價值 (AV) 是資產貨幣價值的簡單底線平衡。獲取資產的價值是風險評估的第一步。然後將 AV 乘以暴露因子 (EF) 以確定單次損失預期 (SLE)。SLE 是特定類型的單個事件的成本。年發生率 (ARO) 是指事件在一年內預計發生的次數（例如每年 8 次 (8/1)），或事件發生之間的年數（例如每五年一次 (1/5)）。然後，通過將 SLE 和 ARO 相乘來計算年化損失預期 (ALE)。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 71 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 72-73 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 70、113、136 頁。

D

正確答案：熱站點 熱站點提供最快速的恢復能力，因爲它包含 IT 系統即時功能和連接所需的全部資源。熱門站點僅缺少人員和一些數據。熱點站點有助於確保高可用性 (HA)。但是，HA 站點並不是災難恢復站點類型的標準術語。溫站點基本上是冷站點，但計算機和通信鏈路已經就位，可以加載操作系統和數據。在互惠協議中，兩個組織承諾在發生災難時其組織的數據中心仍然可用，但可能需要一段時間才能轉移到互惠站點並開始工作。這並不快，因爲其他公司的站點不會有任何數據，並且其他公司可能需要時間來釋放對某些系統的訪問權限。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 527 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 1043-1045 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 891、916、1105 頁。