首页 › 答案 › 题库 › 知识竞赛

商用密码应用安全性评估从业人员考核

4201根据GM/T0116《信息系统密码应用测评过程指南》，现场测评过程中，若无法在密码产品和调用者之间接入测试工具、且被测信息系统无法提供源代码等有关证据的情况下，可通过逆向分析等方法对被测信息系统应用程序进行逆向分析，探究应用程序内部组成结构及工作原理，核查应用程序调用密码功能的合理性。
4202根据GM/T0116《信息系统密码应用测评过程指南》，进行工具测试时，需根据测评机构的实际情况选择测试工具，在配置检查无法提供有力证据的情况下，应通过工具测试的方法抓取并分析被测信息系统相关数据。
4203根据GM/T0116《信息系统密码应用测评过程指南》，对于已经取得商用密码产品认证证书的密码产品，测评时不对其本身进行重复检测，主要进行符合性核验和配置检查。
4204根据GM/T0116《信息系统密码应用测评过程指南》，进行配置检查时，根据被测单位出具的商用密码产品认证证书（复印件）、安全策略文档或用户手册等，先确认实际部署的密码产品与声称情况的一致性，再查看配置的正确性，并记录相关证据。
4205密评实施过程中，需要深入验证密码产品的功能实现，并核查密码产品是否在信息系统中正确、有效地发挥作用。
4206根据GM/T0116《信息系统密码应用测评过程指南》，现场测评活动的目标是通过与被测单位进行沟通和协调，依据密评方案实施现场测评工作，获取分析与报告编制活动所需且足够的证据和资料。
4207根据GM/T0116《信息系统密码应用测评过程指南》，某密评人员在现场测试过程中生成了测试账号，现场测试结束后在委托方配合下清除了测试账号及关联数据，以上做法是正确的。
4208根据GM/T0116《信息系统密码应用测评过程指南》，密评人员在现场测试结束后，应保持现场环境的测评状态，以便核对测评结果。
4209根据GM/T0116《信息系统密码应用测评过程指南》，编写完成的信息系统密评方案应该在提交被测单位并进行签字确认后，进行测评方内部评审。
4210根据GM/T0116《信息系统密码应用测评过程指南》，在密评工作中，测评内容的确定是将测评对象与测评指标，测评对象与测评方法联系起来的过程。
4211根据GM/T0116《信息系统密码应用测评过程指南》，测评检查点确定主要任务为确定工具测试的接入点、测试途径、测试目的。
4212根据GM/T0116《信息系统密码应用测评过程指南》，在使用工具进行测评时应在保证被测信息系统正常、安全运行的情况下，确定测试路径和工具接入点，当测评工具接入被测信息系统条件不成熟时，测评方应搭建测试模拟环境进行接入测试。
4213根据GM/T0116《信息系统密码应用测评过程指南》，在使用工具进行测评时应在保证被测信息系统正常、安全运行的情况下，确定测试路径和工具接入点，并结合网络拓扑图，采用图示的方式描述测评工具的接入点、测试目的、测试途径和测试对象等相关内容。
4214根据GM/T0116《信息系统密码应用测评过程指南》，确定测评检查点需充分考虑检查的可行性和风险，最大限度的避免对被测信息系统的影响。
4215根据GM/T0116《信息系统密码应用测评过程指南》，对于“宜”的指标，若信息系统的密码应用方案通过评估且方案中做了明确的不适用说明，可不纳入测评范围。
4216根据GM/T0116《信息系统密码应用测评过程指南》，无论信息系统密码应用方案是否通过评估，测评方均需要对所有不适用项进行逐条核查、评估，论证其安全需求、不适用的具体原因，以及是否采用了可满足安全要求的其他替代性风险控制措施来达到等效控制。
4217根据GM/T0116《信息系统密码应用测评过程指南》，测评方案编制活动中，测评对象确定需要基于完成的调查表格、以及各种与被测信息系统相关的技术资料，并最终确认密评方案中的测评对象。
4218根据GM/T0116《信息系统密码应用测评过程指南》，在密码应用安全性评估活动中，确定测评对象和测评指标是测评准备活动的内容。
4219根据GM/T0116《信息系统密码应用测评过程指南》，密评工作中，工具和表单准备阶段输出物的内容应涵盖测评工具、现场测评授权、测评可能带来的风险、交接的文档名称、会议记录表单、会议签到表单等。
4220根据GM/T0116《信息系统密码应用测评过程指南》，密评工作的测评准备活动中，到被测信息系统现场进行信息收集的过程是必须的。
4221根据GM/T0116《信息系统密码应用测评过程指南》，密评工作中，如果测评准备阶段调查表格中存在相互矛盾的情况，密评人员应与填表人进行沟通和确认，但测评方应尽量避免现场调查，影响系统运行。
4222根据GM/T0116《信息系统密码应用测评过程指南》，为确保密评结果的准确性，应针对生产系统进行密评，避免使用搭建的测试环境。
4223根据GM/T0116《信息系统密码应用测评过程指南》，如果具备条件，建议密评人员模拟被测信息系统搭建测评环境，进行前期准备和验证。
4224根据GM/T0116《信息系统密码应用测评过程指南》，校准本次测评过程中可能用到的测评工具，发生在现场测评活动中。
4225根据GM/T0116《信息系统密码应用测评过程指南》，在测评准备阶段进行是信息收集和分析的过程中，测评方分析调查结果，可以采信自查结果、上次网络安全保护等级测评报告或商用密码应用安全性评估报告中的可信结果。
4226根据GM/T0116《信息系统密码应用测评过程指南》，测评准备活动由信息收集和分析、工具和表单准备两项主要任务组成。
4227根据GM/T0116《信息系统密码应用测评过程指南》，密码应用安全性评估基本测评活动包括测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。
4228根据GM/T0116《信息系统密码应用测评过程指南》，方案编制活动是开展测评工作的关键活动，主要任务是编写收集确认信息系统的资产信息，并确定与被测信息系统相适应的测评对象、测评指标、测评检查点及测评内容，形成密评方案，为实施现场测评提供依据。
4229根据GM/T0116《信息系统密码应用测评过程指南》，测评过程中的分析与报告编制活动的实施顺序是：单元测评、整体测评、量化评估、风险分析、密评报告编制、评估结论形成。
4230根据GM/T0116《信息系统密码应用测评过程指南》，在测评活动开展前，需要对被测信息系统的密码应用方案进行评估，密码应用方案可以作为测评实施的依据。
4231根据GM/T0116《信息系统密码应用测评过程指南》，现场测评过程中，如果被测系统配置了与被测信息系统一致的模拟/仿真环境，可以在模拟/仿真环境下开展验证测试和工具测试工作。
4232根据GM/T0116《信息系统密码应用测评过程指南》，现场测评之前，测评方应与被测单位签署现场测评授权书，要求测评相关方对系统及数据进行备份，并针对可能出现的事件制定应急处理方案。
4233根据GM/T0116《信息系统密码应用测评过程指南》，测评工作的开展可能会给被测信息系统带来一定风险，测评方应在测评开始前完成全部风险识别工作。
4234根据GM/T0116《信息系统密码应用测评过程指南》，A系统部署的物理环境现状的密评结果已包含在B系统的密评报告中，则A系统密评时可复用B系统密评报告中的相应评估结果。
4235根据GM/T0116《信息系统密码应用测评过程指南》，密评的可再现性原则是：按照同样的要求、使用同样的测评方法、在同样的环境下，同一测评人员对每个测评实施过程的重复执行应得到同样的结果。
4236根据GM/T0116《信息系统密码应用测评过程指南》，密评的可重复性原则是：按照同样的要求、使用同样的测评方法、在同样的环境下，不同测评人员对同一个测评实施过程的重复执行应得到同样的结果。
4237根据GM/T0116《信息系统密码应用测评过程指南》，密码应用安全性评估遵循的基本原则有客观公正原则、经济性原则、可重复性和可再现性原则、结果完善性原则。
4238根据GM/T0116《信息系统密码应用测评过程指南》，开展密码应用安全性评估时，可重用性原则要求所有重用结果都应以已有测评结果仍适用于当前被测信息系统为前提，并能够客观反映系统当前的安全状态。
4239根据GM/T0116《信息系统密码应用测评过程指南》，测评方对信息系统开展密码应用安全性评估时，应遵循不可重复性原则。
4240根据GB/T39786《信息安全技术信息系统密码应用基本要求》，应用和数据安全层面的身份鉴别措施，可以替代网络和通信安全层面的身份鉴别。
4241根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级信息系统应采用密码技术保证信息系统应用的访问控制信息的完整性。
4242根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级信息系统应采用密码技术保证信息系统应用的重要数据在存储过程中的完整性。
4243根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级信息系统应采用密码技术保证信息系统应用的重要数据在传输过程中的完整性。
4244根据GB/T39786《信息安全技术信息系统密码应用基本要求》，应用和数据安全的身份鉴别要求是为了保证登录信息系统的用户身份的真实性。
4245根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第四级信息系统应用和数据安全层面采用的密码产品宜达到GB/T37092三级及以上要求。
4246根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级信息系统应用和数据安全层面采用的密码产品宜达到GB/T37092二级及以上要求。
4247GB/T39786《信息安全技术信息系统密码应用基本要求》应用和数据安全层面的各个指标所涉及的密钥之间应相对独立，即使这些指标所提供的应用功能类似，但使用的密钥也不应相同。
4248根据GB/T39786《信息安全技术信息系统密码应用基本要求》，在信息系统中，基于生物特征识别与匹配的身份鉴别，是一种基于密码技术的身份鉴别。
4249根据GB/T39786《信息安全技术信息系统密码应用基本要求》，在密码应用第四级信息系统应用和数据安全层面，要求采用密码技术保证访问控制信息的完整性和机密性。
4250根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第四级信息系统，当密码应用安全事件处置完成后，应越过属地密码管理部门，直接向国家密码管理部门报告。
4251根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第三级信息系统，当密码应用安全事件发生后，如果处置得当、未发现损失，则不必向信息系统主管部门报告。
4252根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于所有密码应用等级的信息系统，都必须单独制定应急策略并定期演练。
4253根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第三级及以上信息系统，当密码应用安全事件处置完成后，应及时向信息系统主管部门和归属的密码管理部门报告事件发生情况及处置情况。
4254根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第二级及以下信息系统，当密码应用安全事件发生后，不强制要求向信息系统主管部门或属地密码管理部门进行报告。
4255根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第四级信息系统，当密码应用安全事件发生后，应及时向信息系统主管部门及归属的密码管理部门进行报告。
4256根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于密码应用第三级信息系统，当密码应用安全事件发生后，应及时向信息系统主管部门及归属的密码管理部门进行报告。
4257根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级及以上信息系统，当密码应用安全事件发生时，应立即启动应急处置措施。
4258根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第二级信息系统应制定密码应用应急策略。
4259根据GB/T39786《信息安全技术信息系统密码应用基本要求》，视频监控记录数据存储完整性可通过CBC-MAC机制来实现。
4260根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密码应用第三级的信息系统如果部署在云服务提供商的机房，物理和环境安全层面的要求就不再适用。
4261GB/T39786《信息安全技术信息系统密码应用基本要求》中，物理和环境安全层面中的重要区域通常指信息系统所在的物理机房。
4262GB/T39786《信息安全技术信息系统密码应用基本要求》中，物理和环境安全层面的身份鉴别要求是为了保证重要区域进入人员身份的真实性。
4263GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级信息系统物理和环境安全层面采用的密码产品宜达到GB/T37092一级及以上要求。
4264根据GB/T39786《信息安全技术信息系统密码应用基本要求》，电子门禁记录数据存储完整性只能通过部署符合GM/T0036《采用非接触卡的门禁系统密码应用技术指南》的电子门禁系统来实现。
4265根据GB/T39786《信息安全技术信息系统密码应用基本要求》，电子门禁系统进出记录数据存储完整性可通过HMAC机制来实现。
4266GB/T39786《信息安全技术信息系统密码应用基本要求》规定，在网络和通信安全层面“采用密码技术保证网络边界访问控制信息的完整性”，该要求只针对密码产品，防火墙的访问控制列表不在此范围内。
4267GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级信息系统应采用密码技术保证通信过程中重要数据的机密性。
4268GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级信息系统应采用密码技术对通信实体进行双向身份鉴别，保证通信实体身份的真实性。
4269GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级及以上信息系统应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性。
4270GB/T39786《信息安全技术信息系统密码应用基本要求》中，网络和通信安全层面的身份鉴别与应用和数据安全层面的身份鉴别可以互相替代。
4271根据GB/T39786《信息安全技术信息系统密码应用基本要求》，在网络边界部署的IPSecVPN或SSLVPN设备，正确配置后，可以同时保证网络通信过程中数据的完整性和机密性。
4272GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级信息系统采用的密码产品应达到GB/T37092二级及以上安全要求。
4273GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第三级信息系统提出了“安全接入认证”要求，宜采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入设备身份的真实性。
4274GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第四级信息系统提出了“安全接入认证”要求，宜采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入设备身份的真实性。
4275GB/T39786《信息安全技术信息系统密码应用基本要求》中，网络和通信安全层面的“安全接入认证”是对从外部连接到内部网络的设备进行接入认证，确保接入网络的设备身份真实性。
4276根据GB/T39786《信息安全技术信息系统密码应用基本要求》，为特定行业、特定需求设计的专用算法及未公开的通用算法，在使用前可向密码主管部门咨询有关政策，获得同意后也可作为合规的密码算法使用。
4277根据GB/T39786《信息安全技术信息系统密码应用基本要求》，如果某一政务信息系统采用电子认证服务的，那么项目建设单位只需选择在工商部门依法注册的电子认证服务机构。
4278根据GB/T39786《信息安全技术信息系统密码应用基本要求》，如果某一政务信息系统需采用电子认证服务，那么项目建设单位需选择具有电子政务电子认证服务资质的机构。
4279根根据GB/T39786《信息安全技术信息系统密码应用基本要求》，据目前商用密码产品检测认证目录，“安全电子签章系统”是一类密码产品，但无需按照GB/T37092或GM/T0028来做密码模块安全分级。
4280根据GB/T39786《信息安全技术信息系统密码应用基本要求》，常用的银行U盾，是“智能密码钥匙”类密码产品。
4281根据GB/T39786《信息安全技术信息系统密码应用基本要求》，对于网络安全等级保护四级系统，如果设备的操作系统采用了强制访问控制机制，那么就需要考虑采用密码技术保证重要信息资源安全标记完整性。
4282根据GB/T39786《信息安全技术信息系统密码应用基本要求》，可以使用代码签名机制保证重要可执行程序完整性、重要可执行程序来源真实性。
4283根据GB/T39786《信息安全技术信息系统密码应用基本要求》，可以使用消息鉴别码（MAC）机制保证日志记录完整性。
4284根据GB/T39786《信息安全技术信息系统密码应用基本要求》，如果使用基于AES、SHA-256和RSA-2048算法的SSL协议来实现远程管理通道安全，那么对远程管理通道安全进行风险评估时，存在高风险项。
4285根据GB/T39786《信息安全技术信息系统密码应用基本要求》，由于防火墙是一类网络安全产品，所以对于登录防火墙的管理员用户，不必使用基于密码技术的身份鉴别。
4286根据GB/T39786《信息安全技术信息系统密码应用基本要求》，基于非对称密码的数字签名技术，可用于构建基于密码技术的身份鉴别协议。
4287GB/T39786《信息安全技术信息系统密码应用基本要求》规定，密码应用第三级信息系统应定期对密码应用安全岗位人员进行考核。
4288GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第三级信息系统规定对关键岗位建立专人专管机制。
4289GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第三级信息系统规定对关键岗位建立多人共管机制。
4290GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第四级信息系统在人员管理层面要求：密钥管理员、密码安全审计员、密码操作员应由本机构的内部员工或上级机构员工担任。
4291GB/T39786《信息安全技术信息系统密码应用基本要求》对于密码应用所有等级的信息系统，在人员管理层面都要求包括定期进行安全岗位人员考核、建立关键人员保密制度和调离制度、建立密码应用岗位责任制度等。
4292GB/T39786《信息安全技术信息系统密码应用基本要求》人员管理层面，要求密码应用第四级密码应用系统建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。
4293GB/T39786《信息安全技术信息系统密码应用基本要求》要求密码应用第四级信息系统的密钥管理员、密码安全审计员、密码操作员、密码设备开发者应由本机构的内部员工担任。
4294GB/T39786《信息安全技术信息系统密码应用基本要求》对密码应用第三级及以上信息系统，要求根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位。
4295根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密钥销毁过程是可逆的，需要时通过授权可以从销毁结果中恢复原密钥。
4296根据GB/T39786《信息安全技术信息系统密码应用基本要求》，如果密钥生存周期管理由密码产品提供，那么无论密码产品是否具备商用密码产品认证证书，都能保证密钥的安全。
4297根据GB/T39786《信息安全技术信息系统密码应用基本要求》，虽然不需要保护公钥的机密性，但在使用前（如签名验证或者密钥协商过程）需要验证公钥的完整性，以及实体与公钥的关联关系，以确保公钥来源的真实性。
4298根据GB/T39786《信息安全技术信息系统密码应用基本要求》，签名密钥对的私钥不应进行归档。
4299根据GB/T39786《信息安全技术信息系统密码应用基本要求》，密钥分发既能通过人工（离线）方式进行，也可通过自动（在线）方式进行。
4300根据GB/T39786《信息安全技术信息系统密码应用基本要求》，为了保证密钥的安全性，密钥一般不能明文导出到密码产品外部。
‹1…424344…49›