根据GB/T 22080中控制措施的要求，关于技术脆弱性管理，以下说法正确的是：（  ）。【2024.03、2021.05、2019.11、2016.12】

A.技术脆弱性应单独管理，与事件管理没有关联

B.及时安装针对技术脆弱性的所有补丁是应对脆弱性相关风险的最佳途径

C.针对技术脆弱性的补丁安装应按变更管理进行控制

D.了解某技术脆弱性的公众范围越广，该脆弱性对于组织的风险越小

依据GB/T22080/ISO/IEC27001，信息系统审计（  ）。
A.是发现信息系统脆弱性的手段之一
B.应在系统运行期间进行，以便于准确地发现弱点
C.审核工具在组织内应公开可获取，以便于提升员工的能力
D.只要定期进行，就可以替代内部ISMS审核

依据 GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》6.1.2 “信息安全风险评估” 的相关规定，下列说法正确的是（）

A. 信息安全风险评估仅需采用定性方法，无需建立统一的风险准则

B. 组织应建立风险准则并确保风险评估结果一致、有效且可比较，同时保留评估过程的文件化信息

C. 风险评估仅需识别信息安全风险，无需分析风险发生的可能性和潜在后果

D. 风险评估结果无需与风险准则对比，直接按处置优先级排序即可

依据CB/T22080/ISO/IEC27001，以下表明符合资产管理原则的是（  ）。（老标准题目，新标准无答案）

依据 GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》附录 A 8.32 “变更管理” 的相关规定，下列说法正确的是（）

A. 信息处理设施和信息系统的变更可直接实施

B. 需记录变更内容即可，无需对变更进行审批和测试

C. 信息系统的重大变更需遵循变更管理规程，普通信息处理设施变更可不管控

D. 信息处理设施和信息系统的变更应遵循变更管理规程，确保变更合规可控

依据GB/T22080标准，组织应（  ）。
A.识别在组织范围内从事会影响组织信息安全绩效的员工的必要能力
B.确保在组织控制下从事会影响组织信息安全绩效的员工的必要能力
C.确定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力
D.鉴定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力

依据 GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》附录 A 5.7 “威胁情报” 的相关规定，下列说法正确的是（）

A. 组织无需主动收集信息安全威胁相关信息，仅需应对已发生的安全事件

B. 威胁情报的核心是收集信息安全威胁相关信息，并进行分析以生成可用情报

C. 威胁情报仅需收集外部网络攻击信息，无需关注内部潜在风险

D. 生成的威胁情报无需传达给相关人员，仅需存储备案即可

关于GB/T22080标准,下列说法错误的是（  ）。
A.标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求
B.标准中所表述要求的顺序反映了这些要求要予实现的顺序
C.信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中
D.信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性

根据GB/T 28450标准，ISMS文件评审不包括( )。【2024.03、2023.10、2023.05】

A.信息安全管理手册的充分性

B.风险评估报告的合理性

C.适用性声明的完备性和合理性

D.风险处置计划的完备性

对于“监控系统”的存取与使用，下列说法正确的是（  ）。
A.监控系统所产生的记录可由用户任意存取
B.应保持时钟同步
C.只有当系统发生异常事件及其他安全相关事件时才需进行监控
D.监控系统投资额庞大，并会影响系统效能，因此可以予以暂时省略