免费智能真题库 > 历年试卷 > 信息系统监理师 > 2013年上半年 信息系统监理师 上午试卷 综合知识
  第68题      
  知识点:   工程验收   验收测试   结论   系统安全   信息系统安全   信息系统安全等级   准备工作
  关键词:   安全等级   测试方案   监理   信息系统安全   验收测试   安全   测试   系统安全   信息系统   验收        章/节:   信息管理       

 
工程验收监理报告包含的要素是(68)。
①信息系统安全等级
②工程竣工准备工作综述
验收测试方案与规范
④测试结果与分析
验收测试结论
 
 
  A.  ①②③④⑤
 
  B.  ①②③④
 
  C.  ②③④⑤
 
  D.  ①③④
 
 
 

 
  第68题    2013年下半年  
   38%
信息工程监理表格体系中,属于承建单位用表的是(68)。
  第68题    2012年上半年  
   54%
监理方在编制工程验收监理报告时,应重点说明(68)。
  第68题    2014年上半年  
   42%
以下对监理文档内容及作用描述错误的是()
   知识点讲解    
   · 工程验收    · 验收测试    · 结论    · 系统安全    · 信息系统安全    · 信息系统安全等级    · 准备工作
 
       工程验收
        验收是信息系统建设的收尾工作。信息网络系统的验收应以网络设计的总体设计为基础,主要验证系统的整体性能和主要设备运行性能。另外,在验收工作中要认识到,应用是根本,应用系统是信息系统的核心。
        在这个过程中,首先在承建单位认为项目已经具备验收条件的情况下,提出验收申请,并由承建单位制定验收计划交承建单位和监理单位审核,在三方均认为项目已满足验收前提条件时,组织成立验收委员会或项目验收小组,根据验收计划和经过三方讨论通过的验收标准实施验收,然后对验收过程和结果进行评审并形成验收报告,如果最终结论是通过,则移交产品或项目,否则督促承建单位进行整改。
               验收的前提条件
               当承建单位提出进行工程验收的时候,监理要考虑验收的前提条件是否满足,主要考虑以下几项。
               (1)所有建设项目按照批准的设计方案的要求全部建成,并满足使用要求。
               (2)各个分项工程全部初验合格。
               (3)各种技术文档和验收资料完备,符合集成合同的内容。
               (4)系统建设和数据处理符合信息安全的要求。
               (5)外购的操作系统、数据库、中间件、应用软件和开发工具符合知识产权相关政策法规的要求。
               (6)各种设备经加电试运行,状态正常。
               (7)建设单位同意进行验收。
               验收方案的审核与实施
               在信息网络系统完工时,应由建设单位、承建单位和监理单位三方共同确定验收方案。在审核验收方案时,监理的首要任务是确认工程验收的基本条件是否已经达到如下要求。
               (1)是否符合工程设计和合同约定的各项内容。
               (2)技术文档和工程实施管理资料是否完备。
               (3)工程涉及的主要设备、材料的进场和检验报告是否完备。
               (4)单位分别签署的各单项工程的设计、实施、工程监理等质量合格文件是否完备。
               (5)承建单位的售后服务和培训计划是否完备。
               工程验收的组织
               确认工程验收的基本条件已经满足后,建议建设单位、承建单位共同推荐人员组成验收组(验收委员会)。工程验收组一般由建设单位组织,监理单位、承建单位共同参与。验收组应有明确分工,一般为测试小组、资料文档评审小组和工程质量鉴定小组。验收组的职责就是对工程进行验收评审,决定工程是否通过。
               监理的主要内容
               (1)系统整体功能、性能。
               (2)主要设备(或子系统)的功能、性能。
               (3)承建单位提交文档的种类和内容。
               (4)系统设计、开发、实施及测试等各个阶段涉及的工具和设备都具备合法的知识产权。
               (5)承建单位的质量保证和售后服务体系。
               (6)承建单位采取必要的管理和工程措施,以方便系统的扩容和升级。
               网络基础平台的验收
               (1)网络基础平台的整体性能:网络整体性能(网络连通性能、网络传输性能、网络安全性能、网络可靠性能及网络管理性能),服务器整体性能(服务器设备连通性能、服务器设备提供的网络服务、服务器设备可靠性能及服务器设备的压力测试),系统整体压力测试验收(网络压力测试和系统运行监控测试)。
               (2)网络设备:检测主要的指标,如吞吐量、包丢失、延时和背靠背性能等。
               (3)服务器和操作系统,以及数据存储和备份系统。
               服务平台的验收
               (1)Internet服务:电子邮件服务器、WWW服务器。
               (2)多媒体业务网络:VoIP网络、视频会议系统。
               (3)数字证书系统:CA系统、RA系统。
               网络安全和管理平台的验收
               主要对系统中的设备进行验收,包括防火墙、入侵检测和漏洞扫描系统(入侵检测、漏洞扫描)、其他网络安全系统(网络防病毒、安全审计及Web信息防篡改系统)和网络管理系统(网络管理、系统管理及运行维护管理)等工具的验收。
               环境平台的验收
               (1)机房工程:UPS电源系统、接地系统、门禁系统、消防系统、照明系统及空调系统。
               (2)综合布线系统:包括环境的验收、器材的验收和设备安装的验收。
               .环境的验收:主要包括各配线间场地的选择及温湿度的控制。
               .器材的验收:必须与合同规定的规格、型号和质量参数等要求相符,符合相关的国家标准,必须满足线缆各项参数的要求,以及机柜等的安装注意事项。
               .设备安装的验收:设备安装要符合有关准的要求。
               提交的文档
               信息网络系统验收需提交的文档主要有以下9个。
               (1)网络系统技术方案。
               (2)网络系统到货验收报告。
               (3)主机网络系统实施总结报告。
               (4)网络系统测试报告。
               (5)用户手册。
               (6)随机技术资料。
               (7)工程主机网络系统安装配置手册。
               (8)工程主机网络系统维护手册——管理员级。
               (9)工程主机网络系统日常维护及应急处理方案。
 
       验收测试
        验收测试是部署软件之前的最后一个测试操作。验收测试的目的是确保软件准备就绪,并且可以让最终用户将其用于执行软件的既定功能和任务。验收测试是向未来的用户表明系统能够像预定要求的那样工作。经集成测试后,已经按照设计把所有的模块组装成一个完整的软件系统了,接口错误也已经基本排除了,接着就应该进一步验证软件的有效性,这就是验收测试的任务,即软件的功能和性能是否如同用户所合理期待的那样。
        验收测试的结果有两种可能:一种是功能和性能指标满足软件需求说明的要求,用户可以接受;另一种是软件不满足软件需求说明的要求,用户无法接受。项目进行到这个阶段才发现严重错误和偏差一般很难在预定的工期内改正,因此必须与用户协商,寻求一个妥善解决问题的方法。
               验收测试的常用策略
               验收测试通常可以分为正式验收和非正式验收,具体选择的策略通常建立在合同需求、组织和公司标准,以及应用领域的基础上。
                      正式验收测试
                      正式验收测试是一项管理严格的过程,它通常是系统测试的延续。计划和设计这些测试的周密和详细程度不亚于系统测试。选择的测试用例应该是系统测试中所执行测试用例的子集。不要偏离所选择的测试用例方向,这一点很重要。在很多组织中,正式验收测试是完全自动执行的。
                      在某些组织中,开发组织(或其独立的测试小组)与最终用户组织的代表一起执行验收测试。在其他组织中,验收测试则完全由最终用户组织执行,或者由最终用户组织选择人员组成一个客观公正的小组来执行。这种测试形式的优点是:
                      .要测试的功能和特性都是已知的。
                      .测试的细节是已知的,并且可以对其进行评测。
                      .这种测试可以自动执行,支持回归测试。
                      .可以对测试过程进行评测和监测。
                      .可接受性标准是已知的。
                      缺点包括:
                      .要求大量的资源和计划。
                      .这些测试可能是系统测试的再次实施。
                      .可能无法发现软件中由于主观原因造成的缺陷,这是因为只查找了预期要发现的缺陷。
                      非正式验收测试
                      在非正式验收测试中,执行测试过程的限定不像正式验收测试中那样严格。在此测试中,确定并记录要研究的功能和业务任务,但没有可以遵循的特定测试用例。测试内容由各测试员决定。这种验收测试方法不像正式验收测试那样组织有序,而且更为主观。
                      大多数情况下,非正式验收测试是由最终用户组织执行的。这种测试形式的优点是:
                      .要测试的功能和特性都是已知的。
                      .可以对测试过程进行评测和监测。
                      .可接受性标准是已知的。
                      .与正式验收测试相比,可以发现更多由于主观原因造成的缺陷。
                      缺点包括:
                      .要求资源、计划和管理资源。
                      .无法控制所使用的测试用例。
                      .最终用户可能沿用系统工作的方式,并可能无法发现缺陷。
                      .最终用户可能专注于比较新系统与遗留系统,而不是专注于查找缺陷。
                      .用于验收测试的资源不受项目的控制,并且可能受到压缩。
               验收测试的条件
               在真正进行用户验收测试之前,一般应该已经完成了以下工作(也可以根据实际情况有选择地采用或增加)。
               (1)软件开发已经完成,并全部解决了已知的软件缺陷。
               (2)验收测试计划已经过评审和批准,并且置于文档控制之下。
               (3)对软件需求说明书的审查已经完成。
               (4)对概要设计及详细设计的审查已经完成。
               (5)对所有关键模块的代码审查已经完成。
               (6)对单元、集成、系统测试计划和报告的审查已经完成。
               (7)所有的测试脚本已完成,并至少执行过一次,且通过评审。
               (8)使用配置管理工具且代码置于配置控制之下。
               (9)软件问题处理流程已经就绪。
               (10)已经制定、评审并批准验收测试完成标准。
               验收测试的过程
               (1)软件需求分析:了解软件功能和性能要求、软硬件环境要求等,并特别要了解软件的质量要求和验收要求。
               (2)编制《验收测试计划》和《项目验收准则》:根据软件需求和验收要求编制测试计划,制定需测试的测试项,制定测试策略及验收通过准则,并制订出经过客户参与评审的计划。
               (3)测试设计和测试用例设计:根据《验收测试计划》和《项目验收准则》编制测试用例,并经过评审。
               (4)测试环境搭建:,建立测试的硬件环境和软件环境等(可在委托客户提供的环境中进行测试)。
               (5)测试实施:测试并记录测试结果。
               (6)测试结果分析:根据验收通过准则分析测试结果,做出验收是否通过的决定,给出测试评价。
               (7)测试报告:根据测试结果编制缺陷报告和验收测试报告,并提交给客户。
               软件配置审核
               软件配置审核包括审查和审核。
               审查是指审查可执行程序、源程序、配置脚本、测试程序或脚本、主要的开发类文档和主要的管理类文档。
               通常,正式的审核过程分为5个步骤,即计划、预备会议(可选)、准备阶段、审核会议和问题追踪。预备会议是指对审核内容进行介绍并讨论。准备阶段就是各责任人事先审核并记录发现的问题。审核会议是指最终确定工作产品中包含的错误和缺陷。
               审核要达到的基本目标是根据共同制定的审核表,尽可能地发现被审核内容中存在的问题,并最终得到解决。在根据相应的审核表进行文档审核和源代码审核时,还要注意文档与源代码的一致性。
               在实际的验收测试执行过程中,常常会发现文档审核是最难的工作,一方面,由于市场需求等方面的压力使这项工作常常被弱化或推迟,造成持续时间变长,加大文档审核的难度;另一方面,文档审核中不易把握的地方非常多,每个项目都有一些特别的地方,而且也很难找到可用的参考资料。
               对软件需求说明书的审查,可以从清晰性、完整性、依从性、一致性、可行性和可管理性等几个方面考虑。对软件设计说明书(详细设计说明书、概要设计说明书)的审查,可以从清晰性、完整性、依从性、一致性、可行性、数据使用性、功能性、接口、可维护性、性能、可靠性、易测性和可追溯性等方面考虑。对测试计划(单元测试计划、集成测试计划、确认测试计划、系统测试计划)的审查,可以从完整性、依从性、一致性、正确性、详细级别/程度、易测性/可行性和可追溯性等方面考虑。对软件编码规范的审查,可以考虑源程序文档化、数据说明、输入输出等方面,评审的目的是为了使程序具有良好的风格,便于阅读。
               可执行程序的测试
               在文档审核、源代码审核、配置脚本审核、测试程序或脚本审核都顺利完成后,就可以进行验收测试的最后一个步骤——可执行程序的测试了,包括功能、性能等方面的测试,每种测试也都包括目标、启动标准、活动、完成标准和度量5个部分。
               不能直接使用开发方提供的可执行程序用于测试,而要按照开发方提供的编译步骤,从源代码重新生成可执行程序。
               验收测试的内容
               具体的测试内容通常可以包括安装(升级)、启动与关机、功能测试(正例、重要算法、边界、时序、反例、错误处理)、性能测试(正常的负载、容量变化)、压力测试(临界的负载、容量变化)、配置测试、平台测试、安全性测试、恢复测试(在出现掉电、硬件故障或切换、网络故障等情况时,系统是否能够正常运行)及可靠性测试等。
               如果执行了所有的测试案例、测试程序或脚本,用户验收测试中发现的所有软件问题也都已解决,而且所有的软件配置均已更新和审核,可以反映出软件在用户验收测试中所发生的变化,用户验收测试就完成了。
 
       结论
        从上面的概念和例子可以看出,要进行上面的白盒测试是需要投入巨大的测试资源,包括人力、物力和时间等。但是为什么还要进行白盒测试呢?原因如下。
        . 逻辑错误和不正确假设与一条程序路径被运行的可能性成反比。当我们设计和实现主流之外的功能、条件或控制时,错误往往开始出现在我们的工作中。日常处理往往被很好地了解(和很好地细查),而“特殊情况”的处理则难以发现。
        . 我们经常相信某逻辑路径不可能被执行,而事实上,它可能在正常的基础上被执行。程序的逻辑流有时是违反直觉的,这意味着我们关于控制流和数据流的一些无意识的假设,可能导致设计错误。只有路径测试才能发现这些错误。
        . 印刷上的错误是随机的。当一个程序被翻译为程序设计语言源代码时,有可能产生某些打印错误,很多将被语法检查机制发现,但是,其他的错误只有在测试开始时才会被发现。打印错误出现在主流上和出现在不明显的逻辑路径上的可能性是一样的。
 
       系统安全
        华为EulerOS通过了公安部信息安全技术操作系统安全技术要求四级认证。EulerOS能够提供可配置的加固策略、内核级OS安全能力等各种安全技术以防止入侵,保障客户的系统安全。
 
       信息系统安全
               信息系统安全的概念
               信息系统安全指信息系统及其所存储、传输和处理的信息的保密性、完整性和可用性的表征,一般包括保障计算机及其相关的和配套的设备、设施(含网络)的安全,运行环境的安全,保障信息的安全,以保障信息系统功能的正常发挥,维护信息系统的安全运行。
               信息系统安全的侧重点会随着信息系统使用者的需求不同而发生变化,例如:
               .个人用户最关心的信息系统安全问题是如何保证涉及个人隐私的问题。企业用户看重的是如何保证涉及商业利益的数据的安全。
               .从网络运行和管理者角度说,最关心的信息系统安全问题是如何保护和控制其他人对本地网络信息进行访问、读写等操作。
               .对安全保密部门和国家行政部门来说,最关心的信息系统安全问题是如何对非法的、有害的或涉及国家机密的信息进行有效过滤和防堵,避免非法泄露。
               .从社会教育和意识形态角度来说,最关心的则是如何杜绝和控制网络上的不健康内容。有害的黄色内容会对社会的稳定和人类的发展造成不良影响。
               信息系统安全的属性
               信息系统安全的属性主要包括:
               .保密性:是应用系统的信息不被泄露给非授权的用户、实体或过程,或供其利用的特性,即防止信息泄漏给非授权个人或实体,信息只为授权用户使用的特性。保密性建立在可用性基础之上,是保障应用系统信息安全的重要手段。应用系统常用的保密技术如下:
               最小授权原则:对信息的访问权限仅授权给需要从事业务的用户使用。
               防暴露:防止有用信息以各种途径暴露或传播出去。
               信息加密:用加密算法对信息进行加密处理,非法用户无法对信息进行解密从而无法读懂有效信息。
               物理保密:利用各种物理方法,如限制、隔离、掩蔽和控制等措施,来保护信息不被泄露。
               .完整性:是信息未经授权不能进行改变的特性,即应用系统的信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放和插入等破坏和丢失的特性。保障应用系统完整性的主要方法如下:
               协议:通过各种安全协议可以有效地检测出被复制的信息、被删除的字段、失效的字段和被修改的字段。
               纠错编码方法:由此完成检错和纠错功能。最简单和常用的纠错编码方法是奇偶校验法。
               密码校验和方法:是抗篡改和传输失败的重要手段。
               数字签名:用于保障信息的真实性。
               公证:请求系统管理或中介机构证明信息的真实性。
               .可用性:是应用系统信息可被授权实体访问并按需求使用的特性,即信息服务在需要时,允许授权用户或实体使用的特性,或者是网络部分受损或需要降级使用时,仍能为授权用户提供有效服务的特性。可用性一般用系统正常使用时间和整个工作时间之比来度量。可用性还应该满足以下要求:身份识别与确认、访问控制、业务流控制、路由选择控制和审计跟踪。
               .不可抵赖性:也称作不可否认性,在应用系统的信息交互过程中,确信参与者的真实同一性,即所有参与者都不可能否认或抵赖曾经完成的操作和承诺。利用信息源证据可以防止发信方不真实地否认已发送信息,利用递交接收证据可以防止收信方事后否认已经接收的信息。
               信息系统安全管理体系
               信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级责任要求的管理。
               不同安全等级的安全管理机构可按下列顺序逐步建立自己的信息系统安全组织机构管理体系:
               .配备安全管理人员。
               .建立安全职能部门。
               .成立安全领导小组。
               .主要负责人出任领导。
               .建立信息安全保密管理部门。
               信息系统安全管理体系参见《GB/T 20269~2006信息安全技术信息系统安全管理要求》,该标准把信息系统安全管理分为八大类,每个类分为若干族,针对每个族设置了相应的管理要素。八大类分别为:政策和制度、机构和人员管理、风险管理、环境和资源管理、运行和维护管理、业务持续性管理、监督和检查管理、生存周期管理。
               信息系统安全技术体系参见《GB/T 20271—2006信息安全技术信息系统通用安全技术要求》,该标准把信息系统安全技术分为:
               .物理安全:包括环境安全、设备安全和记录介质安全。
               .运行安全:包括风险分析、信息系统安全性检测分析、信息系统安全监控、安全审计、信息系统边界安全防护、备份与故障恢复、恶意代码防护、信息系统的应急处理、可信计算和可信连接技术。
               .数据安全:包括身份鉴别、用户标识与鉴别、用户主体绑定、抗抵赖、自主访问控制、标记、强制访问控制、数据完整性保护、用户数据保密性保护、数据流控制、可信路径和密码支持。
 
       信息系统安全等级
        GB 17895—1999《计算机信息系统安全保护等级划分准则》中将信息安全分为五个等级,分别为:
        .自主保护级。
        .系统审计保护级。
        .安全标记保护级。
        .结构化保护级。
        .访问验证保护级。
 
       准备工作
        在开始性能调整循环之前,必须做一些准备工作,为正在进行的性能调整活动建立框架。
        (1)识别约束。约束(如可维护性)在寻求更高的性能方面是不可改变的因素,因此,在寻求提高性能的方法时,必须集中在不受约束的因素上。
        (2)指定负载。确定系统的客户端需要哪些服务,以及对这些服务的需求程度。用于指定负载的最常用度量标准是客户端数目、客户端思考时间以及负载分布状况。其中客户端思考时间是指客户端接收到答复到提交新请求之间的时间间隔,负载分布状况包括稳定或波动负载、平均负载和峰值负载。
        (3)设置性能目标。性能目标必须明确,包括识别用于调整的度量标准及其对应的基准值。总的系统吞吐量和响应时间是用于测量性能的两个常用度量标准。识别性能度量标准后,必须为每个度量标准建立可计量的、合理的基准值。
   题号导航      2013年上半年 信息系统监理师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第68题    在手机中做本题