niusouti.com

问答题信息系统安全某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：①合法用户可以安全地使用该系统完成业务。②灵活的用户权限管理。③保护系统数据的安全，不会发生信息泄露和数据损坏。④防止来自于互联网上的各种恶意攻击。⑤业务系统涉及各种订单和资金的管理，需要防止授权侵犯。⑥业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。该软件开发商接受任务后，成立方案设计小组

题目
问答题
信息系统安全 某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求： ①合法用户可以安全地使用该系统完成业务。 ②灵活的用户权限管理。 ③保护系统数据的安全，不会发生信息泄露和数据损坏。 ④防止来自于互联网上的各种恶意攻击。 ⑤业务系统涉及各种订单和资金的管理，需要防止授权侵犯。 ⑥业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。 该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。 企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取：王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。 信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别予以简要描述。
相似考题

1.信息系统安全某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：①合法用户可以安全地使用该系统完成业务。②灵活的用户权限管理。③保护系统数据的安全，不会发生信息泄露和数据损坏。④防止来自于互联网上的各种恶意攻击。⑤业务系统涉及各种订单和资金的管理，需要防止授权侵犯。⑥业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取：王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。请解释授权侵犯的具体含义；针对王工的意见给出相应的解决方案，说明该解决方案的名称、内容和目标。

2.信息系统安全某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：①合法用户可以安全地使用该系统完成业务。②灵活的用户权限管理。③保护系统数据的安全，不会发生信息泄露和数据损坏。④防止来自于互联网上的各种恶意攻击。⑤业务系统涉及各种订单和资金的管理，需要防止授权侵犯。⑥业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取：王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别予以简要描述。

3.试题五（25分）阅读以下关于信息系统安全性的叙述，在答题纸上回答问题1至问题3。某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：（1）合法用户可以安全地使用该系统完成业务；（2）灵活的用户权限管理；（3）保护系统数据的安全，不会发生信息泄漏和数据损坏；（4）防止来自于互联网上各种恶意攻击；（5）业务系统涉及到各种订单和资金的管理，需要防止授权侵犯；（6）业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名／密码方式是一可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取：王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。【问题1】信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别子以简要描述。【问题2】认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。【问题3】请解释授权侵犯的具体含义；针对王工的意见给出相应的解决方案，说明该解决方案的名称、内容和目标。

4.信息系统安全某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求：①合法用户可以安全地使用该系统完成业务。②灵活的用户权限管理。③保护系统数据的安全，不会发生信息泄露和数据损坏。④防止来自于互联网上的各种恶意攻击。⑤业务系统涉及各种订单和资金的管理，需要防止授权侵犯。⑥业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取：王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。

更多“信息系统安全 某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成”相关问题

  • 第1题：

    （） 阅读以下关于信息系统安全性的叙述，在答题纸上回答问题1至问题3。 某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，但此时系统的安全性成为一个非常重要的设计需求。【问题1】（8分） 信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别子以简要描述。【问题2】（7分） 认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。


    正确答案：（）
    【问题1】
    　　信息系统面临的安全威胁来自于物理环境、通信链路、网络系统、操作系统、应用系统以及管理等多个方面。
    　　物理安全威胁是指对系统所用设备的威胁,如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。
    　　通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。
    　　网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性,对内部网络形成的严重安全威胁。
    　　操作系统安全威胁指的是操作系统本身的后门或安全缺陷,如“木马”和“陷阱门”等。
    　　应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁,包括应用系统自身漏洞,也受到“木马”的威胁。
    　　管理系统安全威胁指的是人员管理和各种安全管理制度。
    【问题2】
    　　目前主要的认证方式有三类：
    　　（1）用户名和口令认证：主要是通过一个客户端与服务器共知的口令（或与口令相关的数据）进行验证。根据处理形式的不同,分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。
    　　（2）使用令牌认证：该方式中,进行验证的密钥存储于令牌中,目前的令牌包括安全证书和智能卡等方式。
    　　（3）生物识别认证：主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业的业务特征,采用令牌认证较为合适。


        本题考查信息系统的安全威胁以及采用的常用方案。
    　　信息系统面临的安全主要包括信息系统所依赖环境的安全、信息系统自身安全和使用信息系统的人员管理和相关规章制度。
    　　信息系统所依赖的环境带来的安全威胁有物理环境、通信链路和操作系统。物理安全威胁是指对系统所用设备的威胁，如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性，对内部网络形成的严重安全威胁。操作系统安全威胁指的是操作系统本身的后门或安全缺陷，如“木马”和“陷阱门”等。
    　　应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁，包括应用系统自身漏洞，也受到“木马”的威胁。
    　　管理系统安全威胁指的是人员管理和各种安全管理制度。所谓的安全措施，是指“三分技术 ，七分管理”。
    　　在信息系统安全中，认证是必不可少的环节。常见的认证方式有三种：（1）用户名和口令认证；主要是通过一个客户端与服务器共知的口令（或与口令相关的数据）进行验证。根据处理形式的不同，分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。（2）使用令牌认证：该方式中，进行验证的密钥存储于令牌中，目前的令牌包括安全证书和智能卡等方式。（3）生物识别认证：主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业原有信息系统中的认证方式，并考虑到接入因特网后的用户特征，采用令牌认证的方式较为适合。

  • 第2题：

    某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，此时系统的安全性成为一个非常重要的设计需求。为此，该企业向软件开发商提出如下要求： (1) 合法用户可以安全地使用该系统完成业务; (2) 灵活的用户权限管理; (3) 保护系统数据的安全，不会发生信息泄漏和数据损坏； (4) 防止来自于互联网上各种恶意攻击； (5) 业务系统涉及到各种订单和资金的管理，需要防止授权侵犯； (6) 业务系统直接面向最终用户，需要在系统中保留用户使用痕迹，以应对可能的商业诉讼。 该软件开发商接受任务后，成立方案设计小组，提出的设计方案是：在原有业务系统的基础上，保留了原业务系统中的认证和访问控制模块；为了防止来自互联网的威胁，增加了防火墙和入侵检测系统。 企业和软件开发商共同组成方案评审会，对该方案进行了评审，各位专家对该方案提出了多点不同意见。李工认为，原业务系统只针对企业内部员工，采用了用户名/密码方式是可以的，但扩展为基于互联网的B2C业务系统后，认证方式过于简单，很可能造成用户身份被盗取；王工认为，防止授权侵犯和保留用户痕迹的要求在方案中没有体现。而刘工则认为，即使是在原有业务系统上的扩展与改造，也必须全面考虑信息系统面临的各种威胁，设计完整的系统安全架构，而不是修修补补。 [问题1]（8分） 信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别予以简要描述。 [问题2]（8分） 认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。 [问题3]（9分） 请解释授权侵犯的具体含义；针对王工的意见给出相应的解决方案，说明该解决方案的名称、内容和目标。


    答案：
    解析：
    [问题1] 信息系统面临的安全威胁来自于物理环境、通信链路、网络系统、操作系统、应用系统以及管理等多个方面。 物理安全威胁是指对系统所用设备的威胁，如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。 通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。 网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性，对内部网络形成的严重安全威胁。 操作系统安全威胁指的是操作系统本身的后门或安全缺陷，如“木马”和“陷阱门”等。 应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁，包括应用系统自身漏洞，也受到“木马”的威胁。 管理系统安全威胁指的是人员管理和各种安全管理制度。[问题2] 目前主要的认证方式有三类： (1) 用户名和口令认证：主要是通过一个客户端与服务器共知的口令(或与口令相关的数据)进行验证。根据处理形式的不同，分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。 (2) 使用令牌认证：该方式中，进行验证的密钥存储于令牌中，目前的令牌包括安全证书和智能卡等方式。 (3) 生物识别认证：主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业的业务特征，采用令牌认证较为合适。[问题3] 授权侵犯指的是被授权以某一目的使用某一系统或资源的某个人，将此权限用于其他非授权的目的，也称作“内部攻击”。 针对王工的建议，从系统安全架构设计的角度需要提供抗抵赖框架。 抗抵赖服务包括证据的生成、验证和记录，以及在解决纠纷时随即进行的证据恢复和再次验证。 框架中抗抵赖服务的目的是提供有关特定事件或行为的证据。例如，必须确认数据原发者和接收者的身份和数据完整性，在某些情况下，可能需要涉及上下文关系(如日期、时间、原发者/接收者的地点等)的证据，等等。

  • 第3题：

    信息系统安全只包括业务信息安全


    正确答案:错误

  • 第4题：

    某企业负责人关于信息化的下列说法中，错误的有（）

    • A、公司信息系统建设由信息部领导负全责
    • B、信息化要大力推进，各个部门要认真结合业务梳理流程，各自开发自身的业务信息系统
    • C、加强信息系统运行与维护的管理，建立和完善信息系统安全保密和泄密责任追究、用户管理、数据定期备份、信息系统安全保密和泄密责任追究等制度，确保系统安全运转
    • D、已用的信息系统不适应业务开展的，应由信息部门及时变更

    正确答案:A,B,D

  • 第5题：

    由于业务系统原因影响数据质量，需修改、优化应用系统功能的，按照公司（）进行。

    • A、信息系统安全规定
    • B、信息系统运维规定
    • C、信息系统检修管理规定
    • D、信息系统使用规定

    正确答案:B

  • 第6题：

    按照业务横向将支撑系统划分，可分为以下安全域（）

    • A、互联接口区、核心生产区、日常维护管理区（维护终端）、第三方接入区（漫游区）、DMZ区
    • B、集团网管系统安全子域、省公司网管系统安全子域、地市分公司的网管系统安全子域
    • C、业务支撑系统安全域、网管系统安全域、企业信息化系统安全域

    正确答案:C

  • 第7题：

    下列信息系统安全说法正确的是：（）

    • A、加固所有的服务器和网络设备就可以保证网络的安全
    • B、只要资金允许就可以实现绝对的安全
    • C、断开所有的服务可以保证信息系统的安全
    • D、信息系统安全状态会随着业务系统的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略

    正确答案:D

  • 第8题：

    信息安全管理体系中的BCP指的是（）。

    • A、灾难恢复计划
    • B、系统扩容计划
    • C、业务连续性计划
    • D、系统安全性评估

    正确答案:C

  • 第9题：

    （）是指华夏银行网上企业银行系统和企业的财务系统相联接，企业无需专门登录网上银行，直接通过财务系统完成其银行账户包括分子公司银行账户的查询、转账、资金归集、信息下载等功能，并在财务系统中自动登记账务信息。

    • A、网上企业理财业务
    • B、银企直联业务
    • C、集团服务业务
    • D、代发工资业务

    正确答案:B

  • 第10题：

    影响操作风险的系统性因素中，硬件处理技术不能满足业务量增长的要求、系统老化不能适应新业务需求属于（）。

    • A、系统失灵
    • B、系统完备性
    • C、系统安全性
    • D、通讯系统

    正确答案:B

  • 第11题：

    单选题
    按照业务横向将支撑系统划分，可分为以下安全域（）
    A

    互联接口区、核心生产区、日常维护管理区（维护终端）、第三方接入区（漫游区）、DMZ区

    B

    集团网管系统安全子域、省公司网管系统安全子域、地市分公司的网管系统安全子域

    C

    业务支撑系统安全域、网管系统安全域、企业信息化系统安全域


    正确答案： B
    解析： 暂无解析

  • 第12题：

    多选题
    下面选项关于信息系统安全等级保护说法正确的是（）
    A

    从系统服务安全角度反映的信息系统安全保护等级称为系统服务安全保护等级

    B

    信息系统安全包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定

    C

    从系统服务安全角度反映的信息系统安全保护等级称为业务信息安全保护等级

    D

    从业务信息安全角度反映的信息系统安全保护等级称为业务信息安全保护等级

    E

    从业务信息安全角度反映的信息系统安全保护等级称为系统服务安全保护等级


    正确答案： D,E
    解析： 暂无解析

  • 第13题：

    某企业内部现有的主要业务功能已封装成为Web服务。为了拓展业务范围，需要将现有的业务功能进行多种组合，形成新的业务功能。针对业务灵活组合这一要求，采用（ ）架构风格最为合适。

    A.规则系统 B.面向对象 C.黑板 D.解释器


    正确答案：D

  • 第14题：

    从业务信息安全角度反映的信息系统安全保护等级称（）。

    • A、安全等级保护
    • B、信息系统等级保护
    • C、系统服务安全保护等级
    • D、业务信息安全保护等级

    正确答案:D

  • 第15题：

    信息系统安全包括业务信息安全和系统服务安全


    正确答案:正确

  • 第16题：

    《公安信息通信网联网设备及应用系统注册管理办法》中的应用系统是指（）

    • A、在公安信息通信网上漫游的各类业务信息系统和车站
    • B、漫游的各类业务信息系统
    • C、各类业务信息系统和车站
    • D、在公安信息通信网上运行的各类业务信息系统和网站

    正确答案:D

  • 第17题：

    为了保证应用系统的安全使用和互联互通，金信工程统一在业务专网上建立基于（）PKI的网络信任服务系统。


    正确答案:公钥基础设施

  • 第18题：

    要实现MAS与业务融合，最有效的方式是（）.

    • A、根据MAS业务接口规范，修改现有系统，使企业现有应用扩展到手机终端；
    • B、根据具体的业务系统，编写相关接口适配器，将现有应用扩展到手机终端；
    • C、无需修改现有系统、数据和流程，通过页面适配技术，将现有应用扩展到手机终端；
    • D、以上都不对

    正确答案:C

  • 第19题：

    关于移动警务，下面哪种说法是错的（）

    • A、移动警务系统是移动互联技术在公安行业应用，是IT的先进技术与公安业务的嫁接。
    • B、移动警务系统是一个独立的系统，是原有公安业务不需关联。
    • C、移动警务系统可覆盖所有业务警种，并且支持根据业务警种灵活定制功能。
    • D、移动警务系统建设需符合公安部要求的安全接入要求

    正确答案:B

  • 第20题：

    下列信息系统安全说法正确的是（）。

    • A、加固所有的服务器和网络设备就可以保证网络的安全
    • B、只要资金允许就可以实现绝对的安全
    • C、断开所有的服务可以保证信息系统的安全
    • D、信息系统安全状态会随着业务的变化而变化，因此网络安全状态需要根据不同的业务而调整相应的网络安全策略

    正确答案:D

  • 第21题：

    对于分行特色业务的自律监管，主要内容包括（）。

    • A、电子银行特色业务系统安全控制体系是否健全
    • B、是否建立了具体的安全控制措施保证业务系统的安全
    • C、是否建立了保障特色业务交易电子信息通畅的措施
    • D、电子银行特色业务是否得到有效开展

    正确答案:A,B,C

  • 第22题：

    单选题
    （）是指华夏银行网上企业银行系统和企业的财务系统相联接，企业无需专门登录网上银行，直接通过财务系统完成其银行账户包括分子公司银行账户的查询、转账、资金归集、信息下载等功能，并在财务系统中自动登记账务信息。
    A

    网上企业理财业务

    B

    银企直联业务

    C

    集团服务业务

    D

    代发工资业务


    正确答案： C
    解析： 暂无解析

  • 第23题：

    单选题
    从业务信息安全角度反映的信息系统安全保护等级称为（）
    A

    系统服务安全保护等级

    B

    业务信息安全保护等级

    C

    服务安全保护等级

    D

    系统安全保护等级


    正确答案： B
    解析： 暂无解析

相关内容