Certified Information Systems Security Professional

A

正确答案：行政控制 行政控制有时也称为管理控制。它们包括组织安全计划定义的策略或程序，例如招聘流程、背景调查、数据分类要求、数据标签、策略、安全意识和培训。程序是管理控制的一个子集。逻辑控制和技术控制是同一回事，指的是包括硬件、软件、代码等的控制。官方(ISC)² CISSP CBK参考，第六版。点燃版。第 131-132 页。CISSP 一体化考试指南，第 9 版。点燃版。第 83 页。(ISC)² 认证信息系统安全专家 (CISSP) 官方学习指南，第 10 版（ISBN：978-1394254699）。第 81、1037 页。

D

正确答案：风险转移 风险转移是指将风险转移给其他人。例如，当您向保险公司付款时，如果意识到风险，他们将负责付款。软件补丁是风险缓解的一个例子，其重点是降低风险。不采取任何行动是接受风险的一个例子。然而，在接受风险之前应进行成本效益分析。风险延期不是标准的风险应对措施或术语。推迟风险通常被认为是风险规避。官方 (ISC)² CISSP CBK 参考，第 6 版。点燃版。第 73 页。CISSP 一体化考试指南，第 9 版。点燃版。第 122 页。(ISC)² 认证信息系统安全专家 (CISSP) 官方学习指南，第 10 版（ISBN：978-1394254699）。第 74-76 页。

C

正确答案：VAST VAST 代表视觉、敏捷和简单威胁。VAST 使用敏捷编程概念来进行威胁建模。STRIDE 代表欺骗、篡改、否认、信息泄露、拒绝服务和特权升级。它是由 Microsoft 发明的，旨在让软件开发人员专注于可能出现的问题，有助于系统地识别和减轻软件系统中的潜在安全威胁。TRIKE 代表威胁表示、情报和知识引擎。它是一个威胁建模框架，专注于模拟网络威胁并帮助组织识别和减轻其系统和网络中的漏洞。PASTA 代表攻击模拟和威胁分析过程。它可以识别潜在威胁。这可用于应用程序和 IT 系统。(ISC)² 认证信息系统安全专家 (CISSP) 官方学习指南，第 10 版（ISBN：978-1394254699）。第 29、31、33 页。

C

正确答案：资产价值 (AV) 资产价值 (AV) 是资产货币价值的简单底线平衡。获取资产的价值是风险评估的第一步。然后将 AV 乘以暴露因子 (EF) 以确定单次损失预期 (SLE)。SLE 是特定类型的单个事件的成本。年发生率 (ARO) 是指事件在一年内预计发生的次数（例如每年 8 次 (8/1)），或事件发生之间的年数（例如每五年一次 (1/5)）。然后，通过将 SLE 和 ARO 相乘来计算年化损失预期 (ALE)。官方 (ISC)² CISSP CBK 参考，第 6 版。点燃版。第 71 页。CISSP 一体化考试指南，第 9 版。点燃版。第 72-73 页。(ISC)² 认证信息系统安全专家 (CISSP) 官方学习指南，第 10 版（ISBN：978-1394254699）。第 70、113、136 页。

D

正确答案：热站点 热站点提供最快速的恢复能力，因为它包含 IT 系统即时功能和连接所需的全部资源。热门站点仅缺少人员和一些数据。热点站点有助于确保高可用性 (HA)。但是，HA 站点并不是灾难恢复站点类型的标准术语。温站点基本上是冷站点，但计算机和通信链路已经就位，可以加载操作系统和数据。在互惠协议中，两个组织承诺在发生灾难时其组织的数据中心仍然可用，但可能需要一段时间才能转移到互惠站点并开始工作。这并不快，因为其他公司的站点不会有任何数据，并且其他公司可能需要时间来释放对某些系统的访问权限。官方 (ISC)² CISSP CBK 参考，第 6 版。点燃版。第 527 页。CISSP 一体化考试指南，第 9 版。点燃版。第 1043-1045 页。(ISC)² 认证信息系统安全专家 (CISSP) 官方学习指南，第 10 版（ISBN：978-1394254699）。第 891、916、1105 页。