免费智能真题库 > 历年试卷 > 信息系统项目管理师 > 2021年上半年 信息系统项目管理师 上午试卷 综合知识
  第29题      
  知识点:   范围控制   策划   设计阶段   网络安全   网络安全等级保护   信息安全
  章/节:   项目范围管理过程       

 
项目进入设计阶段时,GB/T 22239《信息安全技术网络安全等级保护基本要求》已经升级版本,而项目需求是按旧版本策划的。( )直接影响项目进度。
 
 
  A.  提高需求评审评率
 
  B.  执行项目范围变更
 
  C.  与项目干系人沟通
 
  D.  重新进行成本估算
 
 
 

 
  第40题    2018年上半年  
   64%
()属于控制范围的活动。
  第40题    2019年上半年  
   36%
关于范围控制的描述,正确的是( )。
  第25题    2022年下半年  
   48%
当用户提出新需求时,项目组应在()指导下进行项目范围管理。
   知识点讲解    
   · 范围控制    · 策划    · 设计阶段    · 网络安全    · 网络安全等级保护    · 信息安全
 
       范围控制
        范围控制涉及的内容包括对引起范围变更的因素施加影响,确保所有请求的变更按项目整体变更过程处理,并在范围变更实际发生时进行管理。未经控制的范围变更经常被叫做范围潜变或范围蔓延。
        变更产生的原因很多,例如:
        .项目外部环境发生变化。
        .项目范围说明书编制不够周密详细,有一定的错误或遗漏。
        .新技术、手段或方案的出现。
        .项目实施组织本身发生了变化。
        .客户对项目、项目产品或服务的要求发生变化。
        输入
        1.范围说明书
        2.WBS
        3.WBS字典
        4.范围管理计划
        5.绩效报告
        绩效报告过程的输出。
        6.批准的变更请求
        7.工作绩效信息
        指导与管理项目执行过程的输出。
        工具与技术
        1.变更控制系统
        项目范围管理计划定义了范围变更的有关流程,它包括必要的书面文件(如变更申请单)、跟踪系统和授权变更的批准等级。变更控制系统应与项目管理信息系统结合为整体,共同控制项目范围。当项目受合同约束时,变更控制系统应当符合所有相关合同条款。
        2.偏差分析
        项目绩效测量用来评价偏差的大小。范围控制的一个重要功能就是确定发生范围偏差的原因,并决定是否需要执行纠正措施。
        3.重新规划
        影响项目范围的变更请求经常会导致WBS、WBS字典、项目范围说明书和项目范围管理计划变化。由于项目管理是综合性的整体工作,局部的工作调整牵动整体的变化,需要在每个变更发生时进行规划性工作。
        4.配置管理系统
        正式的配置管理系统要求说明项目交付物的状态,并确保变更请求是经过全面考虑且形成文件后,再交由整体变更控制过程处理的。
        输出
        1.项目范围说明书(更新)
        如果批准的变更请求对项目范围有影响,那么项目范围说明书就要进行修订并重新发布以反映这些变更。此时,更新后的项目范围说明书便成为当前的项目范围基线。
        2.WBS(更新)
        如果批准的变更请求对项目范围有影响,那么WBS就要进行修订并重新发布以反映这些变更。
        3.WBS字典(更新)
        如果批准的变更请求对项目范围有影响,那么WBS字典就要进行修订并重新发布以反映这些变更。
        4.范围基线(更新)
        5.请求的变更
        6.推荐的纠正措施
        推荐的纠正措施是为了使项目未来预期的绩效与项目管理计划和项目范围说明书的要求保持一致而推荐采取的措施。
        7.组织过程资产(更新)
        偏差产生的原因、选定纠正措施的理由,以及从项目范围控制过程中得出的其他的经验教训,都应记录在组织过程资产数据库中。
        8.项目管理计划(更新)
        如果批准的变更对项目范围有影响,则相应部分文件及项目管理计划的成本基线和进度基线在修订之后重新发布,以便反映这些变更。
 
       策划
        目的:对运行维护服务能力进行整体策划并提供必要的资源支持,以确保供方有能力提供运行维护服务。
        供方应对运行维护服务能力进行策划,至少应:
        .根据自身业务定位和能力,策划运行维护服务对象的服务内容与要求,并形成服务目录。
        .依据组织的业务发展需要来建立组织结构和管理制度,支持服务目录的实施或实现。
        .对人员、资源、技术和过程进行规划,建立相适应的指标体系和服务保障体系。
        .策划如何管理、审核并改进服务质量,建立内部审核评估机制。
 
       设计阶段
        设计阶段监理进行质量控制的要点如下。
        (1)了解建设单位的建设需求和对信息系统安全性的要求,协助建设单位制定项目质量目标规划和安全目标规划。
        (2)对各种设计文件提出设计质量标准。
        (3)进行设计过程跟踪,及时发现质量问题,并及时与承建单位协调解决。审查阶段性成果,并提出监理意见。审查承建单位提交的总体设计方案,审查承建单位对关键部位的测试方案。
        (4)协助承建单位建立质量保障体系。
        (5)协助承建单位完善现场质量管理制度。
        (6)组织设计文件及设计方案交底会,制定质量要求标准。
 
       网络安全
        随着互联网的飞速发展,网络安全问题已经越来越受到大家广泛的关注,各种病毒花样繁多、层出不穷;系统、程序、软件的安全漏洞越来越多;黑客们通过不正当手段侵入他人电脑,非法获得信息资料,给正常使用互联网的用户带来不可估计的损失。由于目前网络经常受到人为的破坏,因此,网络必须有足够强的安全措施。
               计算机网络的安全问题
               计算机网络安全就其本质而言是网络上的信息安全。从广义上讲,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论,都是网络安全的研究领域。简单来讲,网络安全包括:系统不被侵入、数据不丢失以及网络中的计算机不被病毒感染三大方面。完整的网络安全要求:
               .运行系统安全
               .网络上系统信息的安全
               .网络上信息传播的安全
               .网络上信息内容的安全
               网络安全应具有保密性、完整性、可用性、可控性以及可审查性几大特征。网络的安全层次分为物理安全、控制安全、服务安全和协议安全。
                      物理安全
                      物理安全包括:自然灾害、物理损坏、设备故障、意外事故、人为的电磁泄漏、信息泄漏、干扰他人、受他人干扰、乘机而入、痕迹泄露、操作失误、意外疏漏、计算机系统机房环境的安全漏洞等。
                      控制安全
                      控制安全包括:计算机操作系统的安全控制、网络接口模块的安全控制、网络互联设备的安全控制等。
                      服务安全
                      服务安全包括:对等实体认证服务、访问控制服务、数据加密服务、数据完整性服务、数据源点认证服务、禁止否认服务等。
                      TCP/IP协议安全
                      TCP/IP协议安全主要用于解决:TCP/IP协议数据流采用明文传输、源地址欺骗(Source address spoofing)或IP欺骗(IP spoofing)、源路由选择欺骗(Source Routing spoofing)、路由信息协议攻击(RIP Attacks)、鉴别攻击(Authentication Attacks)、TCP序列号欺骗攻击(TCP SYN Flooding Attack)、易欺骗性(Ease of spoofing)等。
                      计算机网络的安全威胁主要表现在:非授权访问、信息泄漏或丢失、破坏数据完整性、拒绝服务攻击、利用网络传播病毒、使用者的人为因素、硬件和网络设计的缺陷、协议和软件自身的缺陷以及网络信息的复杂性等方面。
                      下面介绍一些常见的信息安全技术。
               数据的加密与解密
               随着计算机网络不断渗透到各个领域,密码学的应用也随之扩大。数字签名、身份鉴别等都是由密码学派生出来的新技术和应用。
               在计算机上实现的数据加密,其加密或解密变换是由密钥控制实现的。密钥(Keyword)是用户按照一种密码体制随机选取,它通常是一随机字符串,是控制明文和密文变换的唯一参数。
               密码技术除了提供信息的加密解密外,还提供对信息来源的鉴别、保证信息的完整和不可否认等功能,而这三种功能都是通过数字签名实现。数字签名的原理是将要传送的明文通过一种函数运算(Hash)转换成报文摘要(不同的明文对应不同的报文摘要),报文摘要加密后与明文一起传送给接受方,接受方将接受的明文产生新的报文摘要与发送方的发来报文摘要解密比较,比较结果一致表示明文未被改动,如果不一致表示明文已被篡改。
               数据加密技术是为提高信息系统及数据的安全性和保密性,防止秘密数据被外部破译所采用的主要技术手段之一,也是网络安全的重要技术。
               根据密钥类型不同将现代密码技术分为两类:一类是对称加密(秘密钥匙加密)系统,另一类是公开密钥加密(非对称加密)系统。
               对称钥匙加密系统是加密和解密均采用同一把秘密钥匙,而且通信双方都必须获得这把钥匙,并保持钥匙的秘密。它的安全性依赖于以下两个因素。第一,加密算法必须是足够强的,仅仅基于密文本身去解密信息在实践上是不可能的;第二,加密方法的安全性依赖于密钥的秘密性,而不是算法的秘密性,因此,没有必要确保算法的秘密性,而需要保证密钥的秘密性。对称加密系统的算法实现速度极快。因为算法不需要保密,所以制造商可以开发出低成本的芯片以实现数据加密。这些芯片有着广泛的应用,适合于大规模生产。对称加密系统最大的问题是密钥的分发和管理非常复杂、代价高昂。比如对于具有n个用户的网络,需要n(n-1)/2个密钥,在用户群不是很大的情况下,对称加密系统是有效的。但是对于大型网络,当用户群很大,分布很广时,密钥的分配和保存就成了大问题。对称加密算法另一个缺点是不能实现数字签名。
               公开密钥加密系统采用的加密钥匙(公钥)和解密钥匙(私钥)是不同的。由于加密钥匙是公开的,密钥的分配和管理就很简单,比如对于具有n个用户的网络,仅需要2n个密钥。公开密钥加密系统还能够很容易地实现数字签名。因此,最适合于电子商务应用需要。在实际应用中,公开密钥加密系统并没有完全取代对称密钥加密系统,这是因为公开密钥加密系统是基于尖端的数学难题,计算非常复杂,它的安全性更高,但它的实现速度却远赶不上对称密钥加密系统。在实际应用中可利用二者的各自优点,采用对称加密系统加密文件,采用公开密钥加密系统加密“加密文件”的密钥(会话密钥),这就是混合加密系统,它较好地解决了运算速度问题和密钥分配管理问题。因此,公钥密码体制通常被用来加密关键性的、核心的机密数据,而对称密码体制通常被用来加密大量的数据。
               防火墙技术
               防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合,以防止发生不可预测的、潜在破坏性的侵入。实际上,它包含着一对矛盾(或称机制):一方面它限制数据流通,另一方面它又允许数据流通。
               作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。
               常见的防火墙主要有数据包过滤型防火墙、应用级网关型防火墙、代理服务型防火墙、复合型防火墙等几种类型。典型的防火墙包括过滤器、链路级网关和应用级网关或代理服务器,如下图所示。
               安装防火墙的作用在于弥补网络服务的脆弱性、控制对网络的存取、集中的安全管理、网络使用情况的记录及统计。但是它仍然有局限性,对于下列情况,它不能防范:绕过防火墙的攻击、来自内部变节者和不经心的用户带来的威胁、变节者或公司内部存在的间谍将数据复制到软盘、传送已感染病毒的软件或文件等。
               在使用防火墙前,应该设计好防火墙的规则。它包括下列内容:防火墙的行为准则(拒绝没有特别允许的任何服务、允许没有特别拒绝的任何服务)、机构的安全策略、费用、系统的组件或构件。
               
               防火墙的组成
               网络安全协议
               下面介绍几种常见的网络安全协议。
                      SSH (Secure Shell)
                      由芬兰的一家公司开发的。通过使用SSH,可以把所有传输的数据进行加密,抵御“中间人”攻击,而且也能够防止DNS和IP欺骗。由于传输的数据是经过压缩的,所以还可以加快传输的速度。
                      SSH由客户端和服务端的软件组成的。从客户端来看,SSH提供两种级别的安全验证:基于密码的安全验证和基于密匙的安全验证。
                      PKI (Public Key Infrastructure)
                      PKI体系结构采用证书管理公钥,通过第三方的可信机构CA,把用户的公钥和用户的其他标识信息(如名称、E-mail、身份证号等)捆绑在一起,在Internet网上验证用户的身份,PKI体系结构把公钥密码和对称密码结合起来,在Internet网上实现密钥的自动管理,保证网上数据的机密性、完整性。一个典型、完整、有效的PKI应用系统至少应具有:公钥密码证书管理、黑名单的发布和管理、密钥的备份和恢复、自动更新密钥以及自动管理历史密钥等几部分。
                      (1) SET (Secure Electronic Transaction)。
                      SET安全电子交易协议是由美国Visa和MasterCard两大信用卡组织提出的应用于Internet上的以信用卡为基础的电子支付系统协议。它采用公钥密码体制和X.509数字证书标准,主要应用于B to C模式中保障支付信息的安全性。SET协议本身比较复杂,设计比较严格,安全性高,它能保证信息传输的机密性、真实性、完整性和不可否认性。
                      (2) SSL (Secure socket Layer&Security Socket Layer)。
                      安全套接层协议(SSL)是网景(Netscape)公司提出的基于Web应用的安全协议,包括:服务器认证、客户认证(可选)、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说,使用SSL可保证信息的真实性、完整性和保密性。但由于SSL不对应用层的消息进行数字签名,因此不能提供交易的不可否认性,这是SSL在电子商务中使用的最大不足。
 
       网络安全等级保护
        网络安全法第二十一条规定,国家实行网络安全等级保护制度。按照规定要求,网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改。其中,所规定的网络安全保护义务如下:
        . 制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任;
        . 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施;
        . 采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留存相关的网络日志不少于六个月;
        . 采取数据分类、重要数据备份和加密等措施;
        . 法律、行政法规规定的其他义务。
        网络安全等级保护的主要工作可以概括为定级、备案、建设整改、等级测评、运营维护。其中,定级工作是确认定级对象,确定合适级别,通过专家评审和主管部门审核;备案工作是按等级保护管理规定准备备案材料,到当地公安机关备案和审核;建设整改工作是指依据相应等级要求对当前保护对象的实际情况进行差距分析,针对不符合项结合行业要求对保护对象进行整改,建设符合等级要求的安全技术和管理体系;等级测评工作是指等级保护测评机构依据相应等级要求,对定级的保护对象进行测评,并出具相应的等级保护测评证书;运营维护工作是指等级保护运营主体按照相应等级要求,对保护对象的安全相关事宜进行监督管理。
        网络安全等级保护主要技术标准规范如下:
        . 《信息安全技术网络安全等级保护基本要求》;
        . 《信息安全技术网络安全等级保护安全设计技术要求》;
        . 《信息安全技术网络安全等级保护实施指南》;
        . 《信息安全技术网络安全等级保护测评过程指南》;
        . 《信息安全技术网络安全等级保护测试评估技术指南》;
        . 《信息安全技术网络安全等级保护测评要求》。
 
       信息安全
        信息安全的5个基本要素为机密性、完整性、可用性、可控性和可审查性。
        (1)机密性。确保信息不暴露给未受权的实体或进程。
        (2)完整性。只有得到允许的人才能修改数据,并能够判别出数据是否已被篡改。
        (3)可用性。得到授权的实体在需要时可访问数据。
        (4)可控性。可以控制授权范围内的信息流向及行为方式。
        (5)可审查性。对出现的安全问题提供调查的依据和手段。
        随着信息交换的激增,安全威胁所造成的危害越来越受到重视,因此对信息保密的需求也从军事、政治和外交等领域迅速扩展到民用和商用领域。所谓安全威胁,是指某个人、物、事件对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是威胁的具体实现。安全威胁分为两类:故意(如黑客渗透)和偶然(如信息发往错误的地址)。
        典型的安全威胁举例如下表所示。
        
        典型的安全威胁
   题号导航      2021年上半年 信息系统项目管理师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第29题    在手机中做本题