首页 › 答案 › 题库 › 知识竞赛

商用密码应用安全性评估从业人员考核

4001在编写系统密评报告（2023版）时，“单元测评”中的测评对象应该与“测评对象确定结果”中的测评对象保持一致。
4002根据《商用密码应用安全性评估报告模板（2023版）》，单元测评中不同测评对象的结果判定应依据附录A测评结果记录中各个测评对象的量化评估分值来确定。
4003根据《商用密码应用安全性评估报告模板（2023版）》，在密评报告中，测评工具检查点部分应描述在何处接入何种测评工具进行何种测试工作。
4004根据《商用密码应用安全性评估报告模板（2023版）》，在信息系统密评报告中，如某一测评指标中的部分测评对象存在不适用情况，则应在报告“不适用指标”中体现，并说明该部分测评对象在该测评指标中的不适用原因。
4005根据《商用密码应用安全性评估报告模板（2023版）》，GB/T39786《信息安全技术信息系统密码应用基本要求》中不适用于被测信息系统的密码应用要求的个别项称为不适用指标。
4006根据《商用密码应用安全性评估报告模板（2023版）》，在密评报告中，应在“测评工具检查点”章节体现对系统中部署的每个设备的配置检查，且需要体现对信息系统传输、存储的数据进行抓取、分析。
4007应用和数据安全层面的密码应用通常与信息系统承载的业务息息相关，这部分应是密评报告中“密码应用情况”章节重点描述的内容。
4008按照《商用密码应用安全性评估报告模板（2023版）》，被测信息系统“总体评价”部分的部分符合项及不符合项数量总和，与“安全问题及改进建议”中的高、中风险数量总和应该一致。
4009按照《商用密码应用安全性评估报告模板（2023版）》，二级系统的密评报告总体评价中，管理制度安全层面测评结果可能存在：符合1项，部分符合1项，不符合1项的情况。
4010按照《商用密码应用安全性评估报告模板（2023版）》，密评结论不能作为系统构成组件（如密码产品）的评估结论。
4011按照《商用密码应用安全性评估报告模板（2023版）》，被测信息系统业务发生重大变更后，应重新对其进行评估，已出具的密评报告不再适用。
4012按照《商用密码应用安全性评估报告模板（2023版）》，委托密评机构开展密评的运营者，可以委托密评机构具体承担备案工作。
4013某云平台为三级信息系统，已进行了密评，评估结论为基本符合。
4014按照《商用密码应用安全性评估报告模板（2023版）》，即便信息系统密码应用方案通过了评估，那么针对某个安全层面的某个测评指标或者某个测评指标相关的测评对象，可能存在系统密评报告与方案密评报告中的判定结果不一致的情况。
4015依据《信息系统密码应用高风险判定指引》，二级及以上的信息系统必须具备密码安全管理制度，否则在密评时会因不具备密码应用安全管理制度而面临高风险。
4016依据《信息系统密码应用高风险判定指引》，新建二级信息系统如果未制定密码应用方案，密评时不会因未制定密码应用方案而面临高风险。
4017依据《信息系统密码应用高风险判定指引》，某四级信息系统在网络和通信安全层面，存在安全接入认证需求，但采用密码技术实现短时间内难以实现，因此，可以通过设置白名单和终端ID绑定方式对该项测评指标面临的安全风险进行缓解。
4018按照《信息系统密码应用高风险判定指引》，某二级信息系统在网络和通信安全层面，未使用密码技术实现通信前通信实体的身份鉴别，则密评时网络和通信安全层面身份鉴别测评单元的风险评价结果应为高风险。
4019某信息系统为用户提供期货交易服务，交易过程涉及信息系统和用户之间的法律责任认定。
4020用户登录某信息系统的方式为“用户名+口令”方式，口令通过SSLVPN加密传输保护。
4021某信息系统在“网络和通信安全”层面对接入的用户设备进行了身份鉴别，但“应用和数据安全”未对用户进行身份鉴别，而是直接使用了“网络和通信安全”层面的“身份鉴别”结果，默认接入的用户可以登录应用。
4022某信息系统改造前，使用DES算法对数据进行加密保护，改造后，新增服务器密码机，使用SM4-GCM对原先DES加密的数据密文进行进一步加密保护。
4023按照《信息系统密码应用高风险判定指引》，某信息系统的用户仅使用“用户名+口令”方式进行登录，则“应用和数据安全”层面的“身份鉴别”指标判定为不符合，但是不会存在高危风险。
4024某三级信息系统采用堡垒机对服务器进行统一运维管理，堡垒机采用用户名+口令方式登录，服务器通过堡垒机采用用户名+口令方式登录，两次身份鉴别措施不相同，则针对“设备和计算安全”层面的身份鉴别测评可以判定系统存在中风险安全问题。
4025未纳入《信息系统密码应用高风险判定指引》的指标条款，则一定不会导致高风险情形。
4026依据《信息系统密码应用高风险判定指引》，在通用要求的“密码技术”方面发现的高风险问题，存在可能的缓解措施。
4027依据《信息系统密码应用高风险判定指引》，密码应用安全管理制度描述的内容适用范围是三级及以上级别信息系统。
4028依据《信息系统密码应用高风险判定指引》，密钥在恢复使用时，在对其他系统缺乏鉴别机制的情况下，可以被导入到其他系统中。
4029依据《信息系统密码应用高风险判定指引》，针对存量系统要制定密码应用整改方案，该方案可不进行评审。
4030依据《信息系统密码应用高风险判定指引》，现场“对密码关键岗位人员进行上岗培训”测评时，测评人员应核查安全教育和培训计划文档是否具有针对涉及密码应用的操作和管理人员的培训计划，以及开展培训的记录。
4031依据《信息系统密码应用高风险判定指引》，未采取密码技术措施实现数据原发行为的不可否认性和数据接收行为的不可否认性，则无其他可能的缓解措施对该问题风险进行缓解。
4032依据《信息系统密码应用高风险判定指引》，使用MD5算法实现对重要数据存储完整性保护，可判定为高风险问题。
4033依据《信息系统密码应用高风险判定指引》，在“网络和通信安全”层面，采用符合要求的密码技术为网络通信信道提供机密性保护，且网络通信信道经评估无高风险，可酌情降低“应用和数据安全”层面未采用密码技术对重要数据进行传输机密性保护的风险等级。
4034依据《信息系统密码应用高风险判定指引》，系统可采用RSA1024密码算法，实现信息系统重要数据在传输过程中的机密性。
4035依据《信息系统密码应用高风险判定指引》，业务用户登录系统时，系统对登录用户仅采用指纹认证的方式进行身份鉴别，由于鉴别过程未采用密码技术实现，则用户身份真实性方面可判定存在高风险问题。
4036依据《信息系统密码应用高风险判定指引》，业务用户登录时，可使用基于动态令牌的身份鉴别方式实现用户身份的鉴别，其中采用DES算法生成动态令牌。
4037依据《信息系统密码应用高风险判定指引》，业务系统用户登录时，系统可通过用户名、口令的鉴别方式实现用户身份的鉴别。
4038依据《信息系统密码应用高风险判定指引》，设备和计算安全层面的身份鉴别，必须采用密码技术保证用户身份的真实性，没有缓解措施。
4039依据《信息系统密码应用高风险判定指引》，设备和计算安全中，身份鉴别方面的高风险问题没有缓解措施。
4040《信息系统密码应用高风险判定指引》中，安全接入认证方面的要求适用范围包含三级和四级信息系统。
4041依据《信息系统密码应用高风险判定指引》，在网络和通信安全中，安全接入认证方面的高风险问题没有缓解措施。
4042依据《信息系统密码应用高风险判定指引》，在网络通信过程中，重要数据机密性方面的高风险问题有缓解措施。
4043依据《信息系统密码应用高风险判定指引》，在网络和通信安全中，通信实体身份鉴别方面的高风险问题可以有缓解措施。
4044依据《信息系统密码应用高风险判定指引》，虽未采用密码技术对重要区域进入人员进行身份鉴别，但基于生物识别技术（如指纹等）同样保证了人员身份真实性，可酌情降低风险等级。
4045《信息系统密码应用高风险判定指引》中所涉及的指标要求包括了《信息安全技术信息系统密码应用基本要求》所有要求项。
4046依据《信息系统密码应用高风险判定指引》，缓解措施是指可以降低威胁利用安全问题导致安全事件发生造成严重程度的安全措施。
4047信息系统测评过程中的风险判定只需依据《信息系统密码应用高风险判定指引》所列出的相关安全问题所引发的风险等级做出判断。
4048某单位在密码改造工作中，采用自实现且未提供安全性证据的密码产品实现数据库的数据存储保密性保护，但考虑到数据仅内网访问，且数据库部署了审计产品，可从一定程度上缓解风险程度。
4049根据《信息系统密码应用高风险判定指引》，若信息系统中使用了存在安全问题的密码产品、密码服务，则可通过采取一定的缓解措施来降低可能的风险。
4050根据《信息系统密码应用高风险判定指引》，若信息系统所使用的密码技术未遵循密码相关国家标准和行业标准，则一定会导致信息系统面临高等级安全风险。
4051根据《信息系统密码应用高风险判定指引》，应确保三级以上的信息系统中使用的密码算法符合法律、法规的规定和密码相关国家标准、行业标准的有关要求，其他级别可酌情考虑。
4052某单位在密码应用改造方案中，采用了自行设计研发的密码算法实现数据的保密性保护，经内部确认该算法比较安全，该算法不会触发高风险判定。
4053根据《信息系统密码应用高风险判定指引》，第二级及以上级别信息系统，未采用密码技术保证信息系统应用的重要数据在存储过程中的完整性，可直接判定为高风险问题。
4054根据《信息系统密码应用高风险判定指引》，在应用和数据安全层面，未采用密码技术保证信息系统应用的重要数据在传输过程中的机密性，可直接判定为高风险问题。
4055依据《信息系统密码应用高风险判定指引》，在应用和数据安全层面，未采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性，但基于特定识别技术（如设备指纹、生物指纹、第三方身份鉴别服务等）保证用户身份的真实性，可酌情降低风险。
4056根据《信息系统密码应用高风险判定指引》，远程管理设备时，未采用密码技术建立安全的信息传输通道且无缓解措施的情况下，风险分析应判断为高风险。
4057根据《信息系统密码应用高风险判定指引》，依据相关密码算法标准自行开发实现的国密算法满足标准要求。
4058依据《信息系统密码应用高风险判定指引》，若未采用密码技术对重要区域进入人员进行身份鉴别，但基于生物识别技术（如指纹等）保证人员身份真实性，可酌情降低风险等级。
4059某三级信息系统用户口令传输时，用户可选择使用MD5算法或者SM3算法进行杂凑后，将杂凑结果发至服务端校验，服务器根据用户选取的算法类型使用MD5或者SM3算法进行校验，客户端使用的密码产品具有二级认证证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，口令做为测评对象在“重要数据传输机密性”测评单元的量化评估结果为1分。
4060某三级信息系统用户口令存储时，先使用DES算法加密后再使用SM4算法加密，使用的密码产品具有二级密码模块认证证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，口令做为测评对象在“重要数据存储机密性”测评单元的量化评估结果为1分。
4061根据《商用密码应用安全性评估量化评估规则（2021版）》，安全层面的测评结果不需要保留小数。
4062某个四级系统在网络间采用了SSLVPN，通过网络抓包发现服务器端发送了国密数字证书，客户端未发送任何数字证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，网络和通信安全层面的身份鉴别项，得分为1分。
4063某个三级系统使用SM3算法保护系统数据的传输完整性，根据《商用密码应用安全性评估量化评估规则（2021版）》，应用和数据安全层面中重要数据传输完整性的量化得分为1分。
4064某信息系统，投入运营时间为2019年10月，该系统无法提供密码应用方案，但系统制定了密码应用改造方案并经过评审，根据《商用密码应用安全性评估量化评估规则（2021版）》，建设运行层面的“制定密码应用方案”得分为0分。
4065某信息系统测评过程中，提供了管理系统人员的相关培训制度文件，根据《商用密码应用安全性评估量化评估规则（2021版）》，在人员管理层面的“定期进行安全岗位人员考核”一项得分为1分。
4066根据《商用密码应用安全性评估量化评估规则（2021版）》，在测评过程中，重要数据传输机密性与传输完整性两个指标涉及的测评对象数量可以是不同的。
4067《商用密码应用安全性评估量化评估规则（2021版）》中不同的安全层面权重分值相同。
4068《商用密码应用安全性评估量化评估规则（2021版）》中对于不同的等级同一测评项的指标权重总是相同。
4069《商用密码应用安全性评估量化评估规则（2021版）》中不适用项对应的权重指标在计算过程中不计入分值。
4070《商用密码应用安全性评估量化评估规则（2021版）》中某层面的不适用项数量不会影响其他安全层面得分。
4071已知某系统管理制度的6项测评指标得分分别为0.5、0.5、0.5、0.5、0.5、0.5，对应权重为1、0.7、0.7、0.7、0.7、0.7，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该安全层面得分为0.5000。
4072某个三级系统在网络和通信安全层面测评中，某个测评单元存在3个测评对象，分别得分为1、0.5、0.5，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该测评单元得分为0.5分。
4073某个三级系统在网络和通信安全层面测评中，某个测评单元存在4个测评对象，分别得分为1、1、0.5、0.5，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该测评单元得分为0.75分。
4074根据《商用密码应用安全性评估量化评估规则（2021版）》，若一个测评对象，涉及多个密码算法/产品/服务/密钥，D/A/K按照平均值给分。
4075根据《商用密码应用安全性评估量化评估规则（2021版）》，经认证合格的密码产品，在应用和数据层面测评过程中可直接对DAK中的K直接判定为“符合”。
4076整体量化评估结果低于阈值，或经风险评估发现存在高风险，根据《商用密码应用安全性评估量化评估规则（2021版）》，则判定被测信息系统不符合GB/T39786相应等级要求。
4077整体量化评估结果低于100分但不低于阈值，根据《商用密码应用安全性评估量化评估规则（2021版）》，则判定被测信息系统测评结果为“基本符合”。
4078整体量化评估结果为100分，根据《商用密码应用安全性评估量化评估规则（2021版）》，则判定被测信息系统的测评结果为“符合”。
4079根据《商用密码应用安全性评估量化评估规则（2021版）》，密码应用管理要求不针对各个测评对象的测评结果进行量化评估。
4080若某个安全层面的部分测评指标不适用，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该安全层面不参与量化评估过程。
4081针对信息系统设备和安全层面“日志记录完整性”，某信息系统有三台操作系统和硬件型号均相同的应用服务器，量化评估后分值分别为0.25、0.5、0.25，根据《商用密码应用安全性评估量化评估规则（2021版）》，则这三台应用服务器作为一个测评对象量化评估分值为0.3333。
4082某第三级信息系统普通用户使用智能密码钥匙（具有二级商密产品认证证书）进行身份鉴别，但未使用获得电子认证服务密码使用许可证的机构颁发的数字证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，量化评估时，K为不符合。
4083某二级信息系统使用具有商密产品认证证书的密钥管理系统（软件），且进行了正确的部署，根据《商用密码应用安全性评估量化评估规则（2021版）》，密钥管理系统所运行的服务器在设备和计算安全层面“日志记录完整性”量化评估分值一定为1分。
4084某三级信息系统用户通过智能密码钥匙（具有二级商密产品认证证书），通过和数据库比对智能密码钥匙证书字符串信息的方式实现身份鉴别，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该测评对象分值为0.5。
4085根据《商用密码应用安全性评估量化评估规则（2021版）》，若信息系统存在特殊指标项，则该特殊指标不参与量化评估过程。
4086根据《商用密码应用安全性评估量化评估规则（2021版）》，三级信息系统和四级信息系统在安全管理要求的四个安全层面的指标权重均一致。
4087根据《商用密码应用安全性评估量化评估规则（2021版）》，针对三级信息系统，在量化评估的过程中，安全管理要求所有测评单元的指标权重一定为0.7或1。
4088《商用密码应用安全性评估量化评估规则（2021版）》中测评单元的测评结果量化评估规则，针对密码应用技术要求和密码应用管理要求的判定规则完全相同。
4089根据《商用密码应用安全性评估量化评估规则（2021版）》，针对三级信息系统，设备和计算安全层面、应用和数据安全层面“重要信息资源安全标记完整性”的指标权重是一样的。
4090根据《商用密码应用安全性评估量化评估规则（2021版）》，通用要求和密码应用技术要求各安全层面的“密码服务”和“密码产品”指标均应单独评价。
4091《商用密码应用安全性评估量化评估规则（2021版）》中的原则包括优先在设备和计算安全、应用和数据安全层面推进密码技术应用。
4092若一个信息系统测评完成后，分值为60分，且无高风险，根据《商用密码应用安全性评估量化评估规则（2021版）》，则可判定该系统的测评结论为“符合”。
4093在判定
4094若某安全层面的所有指标都不适用，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该安全层面不影响整体量化评估结果。
4095若信息系统中某测评单元不适用，根据《商用密码应用安全性评估量化评估规则（2021版）》，则整体量化评估结果满分不足100分。
4096若某信息系统管理安全层面的所有指标都不适用，根据《商用密码应用安全性评估量化评估规则（2021版）》，则整体量化评估结果满分不足100分。
4097根据《商用密码应用安全性评估量化评估规则（2021版）》，低于100分、不低于阈值（目前是60分），且经风险评估发现没有高风险，则判定被测信息系统“基本符合”。
4098GB/T39786规定的第二级信息系统密码应用要求中，“网络边界访问控制信息完整性”应用要求为“可”，因此针对第二级信息系统进行量化评估时，根据《商用密码应用安全性评估量化评估规则（2021版）》，该指标一定不参与量化评估过程。
4099GB/T39786规定的第一级信息系统密码应用要求中无“视频记录数据存储完整性”，因此针对第一级信息系统进行量化评估时，根据《商用密码应用安全性评估量化评估规则（2021版）》，该指标不参与量化评估过程。
4100根据《商用密码应用安全性评估量化评估规则（2021版）》，各安全层面的测评结果量化评估结果，应四舍五入取小数点后4位。
‹1…404142…49›