2010年上半年5月份信息系统项目管理师上午试题答案（分析与解答）之四
(18)
试题分析：
关键词“建立一套动态闭环的管理流程”。
戴明环，就是这样一套动态闭环管理流程，PDCA,计划，执行，检测，改进。
排除A与C.
B与D的区别，就在“分析”和“评估”这两个词语上。
一个企业如果需要建立信息安全体系架构，一般的流程如下：
1、分析企业的信息安全目标，即企业在未来的3-5年的安全目标是什么?在信息安全方面达到什么样的程度?
2、有了安全目标之后，下一步我们要做的就是分析企业目前的安全现状，此阶段一般通过风险评估等方式来实现，可选的方式有风险评估、安全审计、渗透测试等。
参考答案：B
(19)
试题分析：
表示层
表示层提供多种功能用于应用层数据编码和转化，以确保以一个系统应用层发送的信息可以被另一个系统应用层识别。表示层的编码和转化模式包括公用数据表示格式、性能转化表示格式、公用数据压缩模式和公用数据加密模式。 公用数据表示格式就是标准的图像、声音和视频格式。通过使用这些标准格式，不同类型的计算机系统可以相互交换数据；转化模式通过使用不同的文本和数据表示，在系统间交换信息，例如ASCII(American Standard Code for Information Interchange，美国标准信息交换码)；标准数据压缩模式确保原始设备上被压缩的数据可以在目标设备上正确的解压；加密模式确保原始设备上加密的数据可以在目标设备上正确地解密。表示层协议一般不与特殊的协议栈关联，如QuickTime是Applet计算机的视频和音频的标准，MPEG是ISO的视频压缩与编码标准。常见的图形图像格式PCX、GIF、JPEG是不同的静态图像压缩和编码标准。
应用层
应用层是最接近终端用户的OSI层，这就意味着OSI应用层与用户之间是通过应用软件直接相互作用的。注意，应用层并非由计算机上运行的实际应用软件组成，而是由向应用程序提供访问网络资源的API（Application Program Interface，应用程序接口）组成，这类应用软件程序超出了OSI模型的范畴。应用层的功能一般包括标识通信伙伴、定义资源的可用性和同步通信。因为可能丢失通信伙伴，应用层必须为传输数据的应用子程序定义通信伙伴的标识和可用性。定义资源可用性时，应用层为了请求通信而必须判定是否有足够的网络资源。在同步通信中，所有应用程序之间的通信都需要应用层的协同操作。 OSI的应用层协议包括文件的传输、访问及管理协议(FTAM) ，以及文件虚拟终端协议(VIP)和公用管理系统信息(CMIP)等。
参考答案：B
(20)
试题分析：
网络协议三要素
一个网络协议至少包括三要素:
语法 用来规定信息格式；
语义 用来说明通信双方应当怎么做；
时序 详细说明事件的先后顺序。
参考答案：C
(21)
NAS,是基于网络的,即插即用指的是网络
参考答案：B
(22)
综合布线系统应是开放式结构，应能支持电话及多种计算机数据系统，还应能支持会议电视、监视电视等系统的需要。
综合布线系统可划分成6个子系统：
工作区子系统。
水平干线子系统。
垂直干线子系统。
设备间子系统。
管理子系统。
建筑群子系统。
参考答案：A
(23)
试题分析：
安全出口都是对外开的,不然火灾了跑不出去,气流的问题
参考答案：D
(24)
试题分析：
WEB层组件当然要运行在服务器上啦
参考答案：B
3、分析了安全现状，我们接下来要做的就是分析安全目标和安全现状之间的差距，目标有了，现状也清楚了，差距自然而然也就出来了。差距分析阶段主要是分析企业目前的安全现状和目标之间还存在哪些薄弱点，并一一列举出来，差距分析主要从组织安全、人员安全、访问控制、物理安全、安全事件、业务连续性等方面来展开。
4、在我们得到差距之后，我们就要为企业设计安全体系架构了，一套完整的信息安全体系架构，应包括技术体系架构和管理体系架构，技术体系架构主要是指从网络、系统层面来设计，譬如分析企业目前的网络架构是否合理?产品的部署是否到位?而管理体系架构主要是指信息安全的制度建设，俗话说“无规矩不成方圆”，安全问题归根结底就是管理的问题，很多安全事件的发生都是因为管理不到位而产生的。譬如弱口令，如果企业的安全制度里有明确的要求，密码为6位，并应包括数字、字母、特殊字符等，这样完全是可以避免弱口令的现象，再譬如补丁更新不及时、ACL 做的不够等等诸如此类的问题，很大程度都是因为管理不到位。在我们的评估项目中，我们发现很多时候并不是技术上不可达，而是管理意识不到位。这里出现的比较多的是企业的高层领导的安全意识薄弱，对安全这一块基本没什么概念，对于管理员或安全部门提出的安全建议认为没有必要等等。很多安全的措施在很多企业都会出现实施难的问题，因为安全措施在很大程度上会给员工造成不便，员工都会出现抵触的情绪，在这种情况下，就需要公司的高层通过管理制度来推行安全措施，所以又归结到管理的问题上来。
对于企业来说，如上的这些现象一般出现在中小型企业，这些企业的资金比较缺乏，在公司没有出现大的安全事件的时候，公司高层一般是不考虑在安全方面加大投资的，而在大型企业，随着规模的不断壮大，网络已经成为这些企业不可缺少的部分，如果一旦出现安全事件，将会给企业造成严重的损失，如客户资料丢失、财务数据泄密、企业形象受损等等，而大型企业的资金也比较雄厚，在安全方面的投资也就相对较多了。
另外我们在设计信息安全体系架构时，应充分结合企业目前的安全现状和相关法律法规的要求，并应考虑企业的运营成本等问题，最后需要考虑就是信息安全体系架构设计的可执行性了，不能出现一套体系出来之后，发现根本没有联系企业目前的安全现状，方案的可执行性太差等问题。
5、在我们建立了信息安全体系架构之后，最后的阶段就是实施了。在实施中，还是需要企业高层的大力支持，才能顺利进行，因为信息安全体系架构的实施和运行，比如会跨越不同的部门，在部门与部门的协调上，就需要上层领导的协调了。
6、最后阶段就是 Check，信息安全体系架构应遵循 PDCA 的模型。我们应及时跟踪分析信息安全体系的建设情况，查漏补缺，及时发现不足和存在的问题，在后期的运行维护中及时修正。
