问题：
[单选] 下面哪一项不是安全编程的原则（）
尽可能使用高级语言进行编程。尽可能让程序只实现需要的功能。不要信任用户输入的数据。尽可能考虑到意外的情况，并设计妥善的处理方法。
问题：
[单选] 黑客进行攻击的最后一个步骤是：（）
侦查与信息收集。漏洞分析与目标选定。获取系统权限。打扫战场、清楚证据。
问题：
[单选] 下面哪一项是缓冲溢出的危害？（）
可能导致shellcode的执行而非法获取权限，破坏系统的保密性。执行shellcode后可能进行非法控制，破坏系统的完整性。可能导致拒绝服务攻击，破坏系统的可用性。以上都是。
问题：
[单选] 以下哪一项不是跨站脚本攻击？（）
给网站挂马。盗取COOKIE。伪造页面信息。暴力破解密码。
问题：
[单选] 对能力成熟度模型解释最准确的是？（）
它认为组织的能力依赖与严格定义，管理完善，可测可控的有效业务过程。。它通过严格考察工程成果来判断工程能力。。它与统计过程控制的理论出发点不同，所以应用于不同领域。。它是随着信息安全的发展而诞生的重要概念。。
问题：
[单选] 一个单位在处理一台储存过高密级信息的计算机是首先应该做什么？（）
将硬盘的每一个比特写成“O”。将硬盘彻底毁坏。选择秘密信息进行删除。进行低级格式化。
问题：
[单选] 变更控制是信息系统运行管理的重要的内容，在变更控制的过程中：（）
应该尽量追求效率，而没有任何的程序和核查的阻碍。。应该将重点放在风险发生后的纠正措施上。。应该很好的定义和实施风险规避的措施。。如果是公司领导要求的，对变更过程不需要追踪和审查。
问题：
[单选] 管理者何时可以根据风险分析结果对已识别风险不采取措施（）
当必须的安全对策的成本高出实际风险的可能造成的谴责负面影响时。当风险减轻方法提高业务生产力时。当引起风险发生的情况不在部门控制范围之内时。不可接受。
问题：
[单选] 风险评估按照评估者的不同可以分为自评估和第三方评估，这两种评估方式最本质的差别是什么？（）
评估结果的客观性。评估工具的专业程度。评估人员的技术能力。评估报告的形式。
问题：
[单选] 以下选项中那一项是对信息安全风险采取的纠正机制？（）
访问控制。入侵检测。灾难恢复。防病毒系统。
