50 CISSP Practice Questions

18. least computationally efficient

least computationally efficient
翻译：计算效率最低 / 算力开销最大

CISSP密码学选择题短语，拆解：

  • computationally：计算上的
  • efficient：高效的
  • least：最低、最差

含义：完成同样任务，它消耗最多CPU/算力，速度最慢。

密码学场景核心对比

  • 对称加密 symmetric encryption（AES）：computationally efficient 计算高效，快、算力消耗小，适合加密大文件、磁盘。
  • 非对称加密 asymmetric encryption（RSA/ECC）：least computationally efficient，运算非常耗CPU，很慢。

    ✅ 考点结论：非对称加密是计算效率最低的。

为什么

非对称是基于大数分解/椭圆曲线复杂数学难题；
对称只是简单位运算，速度快很多。
工程上：不用RSA直接加密大文件，只用它加密对称密钥DEK（密钥封装key wrapping）。

CISSP一句话背诵

Asymmetric cryptography is the least computationally efficient, compared with symmetric encryption and hashing. It is slow and resource-intensive, so it is not used to encrypt large volumes of data.

考题坑

题干问：
Which is least computationally efficient?
👉 答案选 asymmetric encryption

补充：

  • Hashing（哈希）：计算效率很高
  • Symmetric：高效
  • Asymmetric：least computationally efficient

要不要我整理密码学算法算力速度排序（从最快到最慢）？

计算效率排序（从最快 → 最慢，CISSP标准）

越快 = computationally efficient；最慢 = least computationally efficient
Blowfish > AES > ECC > RSA

逐个说明

  1. Blowfish（最快）
    对称分组密码，轻量、运算简单；适合嵌入式，速度非常快。

    注：CISSP里它属于经典对称算法，无专利。缺点：块大小64bit，现代很多场景不再推荐。

  2. AES
    对称加密，硬件AES-NI加速加持，现代系统主流。略慢于Blowfish，但安全性更强。

    AES、Blowfish 都是symmetric 对称加密，整体远快于非对称。

  3. ECC 椭圆曲线（非对称）
    非对称加密，比RSA快很多，同等安全强度下密钥短、算力消耗更低。

  4. RSA（最慢｜least computationally efficient）
    非对称，大数模幂运算，CPU开销巨大。

    这就是考题里常说的：asymmetric crypto least computationally efficient。

一句话速记口诀

Blowfish > AES（对称快） >> ECC > RSA（非对称慢）

CISSP选择题考点

  1. 对称算法（AES/Blowfish）全部快于非对称（ECC/RSA）
  2. 同安全强度：ECC 远快于 RSA
  3. 如果题目问：least computationally efficient → RSA
  4. 如果问哪个非对称效率更高：ECC

补充考点提醒

  • 对称加密用来加密大量业务数据
  • 非对称（RSA/ECC）只用来加密短小的DEK密钥、数字签名，不会加密大文件

背诵短句：
Symmetric ciphers (Blowfish, AES) are much more computationally efficient than asymmetric algorithms. ECC outperforms RSA for equivalent security strength, and RSA is the least computationally efficient among these four.

要不要顺便整理这4个算法的用途、密钥长度、优缺点的极简对照表？

19. SOC 2 type II report

SOC 2 Type II Report
全称：System and Organization Controls Type 2 Report
中文：SOC2 第二类鉴证报告（AICPA美国注册会计师协会，SSAE18标准，CISSP第三方服务商风险章节必考）

✅ 一句话定义

由独立CPA会计师事务所出具，评估服务供应商（如云/SaaS厂商）的安全控制：不仅检查控制设计是否合理，还要验证在一段持续周期（通常6–12个月）内，这些控制持续有效运行。

Type I：快照，只评估某一个时间点，控制设计好不好（只看文档、制度设计）
Type II：一段期间，评估 design（设计） + operating effectiveness（运行有效性），审计师会抽样日志、记录，验证日常确实在执行安全管控，可信度更高，企业客户采购外包服务优先要求Type II报告

SOC2 的5大信任服务准则 Trust Services Criteria（TSC）

  1. Security（安全，必选）：防止未授权访问
  2. Availability（可用性）：系统按承诺可用
  3. Processing Integrity（处理完整性）：处理准确、完整、及时
  4. Confidentiality（保密性）：保护机密信息
  5. Privacy（隐私）：个人信息合规采集使用

    Security强制，其余四项按需选择

SOC1 / SOC2 / SOC3 快速区分（选择题高频）

  • SOC1：针对财务内控，评估外包服务对客户财务报表的影响
  • SOC2：安全、可用性、隐私，评估云/SaaS服务商的安全控制；Type II是长期运行有效性；受限分发，一般签NDA才提供，报告细节多
  • SOC3：和SOC2同一套标准，但删减内部敏感细节，可以对外公开、放在官网宣传

CISSP背诵短句

A SOC 2 Type II report is an independent auditor’s assessment of a service provider’s controls. It evaluates both the design and operating effectiveness of controls over a period (typically 6–12 months) against AICPA Trust Services Criteria. It provides higher assurance than Type I, which only reviews control design at a single point in time.

考题坑

  1. Type I ≠ Type II：Type I只看设计；Type II看长期实际落地执行，风险评估优先采信Type II
  2. SOC2不是证书，是审计鉴证报告，不是永久有效，需要每年重新审计
  3. 属于**第三方供应商风险管理（third-party risk）**场景，用来评估云厂商、外包服务商安全风险

要不要把SOC1/2/3 TypeI/TypeII浓缩成一行对比表刷题用？

20. 安全策略的主要目的是什么？

C. to provide high-level guidance and direction for security efforts.

21. 安全应急响应计划，post-incident review的主要目的是什么？

B. Assessing the effectiveness of the response and identifying areas for improvement.

post-incident review（事件后复盘 / 事后审查，也叫 lessons learned）

✅ 答案：Assessing the effectiveness of the response and identifying areas for improvement.
评估本次响应的有效性，识别可改进之处。

核心定义（CISSP 事件响应章节）

事件解决、业务恢复之后，召开事后复盘会。
目标不是追责，而是总结经验教训，优化安全体系、应急流程、控制措施。

复盘会重点讨论内容

  1. 本次告警、检测是否及时准确
  2. 应急响应流程执行是否顺畅（遏制、根除、恢复）
  3. 现有安全控制是否生效，哪里失效
  4. 团队资源、沟通、权限存在什么短板
  5. 更新预案、安全策略、安全控制，防止同类事件再次发生

NIST IR 事件响应生命周期对照

  1. Prepare 准备
  2. Detect & Analyze 检测与分析
  3. Contain, Eradicate, Recover 遏制、根除、恢复
  4. Post-incident activity 事后活动（就是post-incident review）

❌ 常见干扰选项辨析

  • Identify the attacker / collect forensic evidence：取证、溯源属于遏制根除阶段，不是复盘目的
  • Determine who is to blame（追责）：CISSP明确不主张追责，复盘聚焦流程改进，不是惩罚个人
  • Update incident logs：只是复盘的产出物，不是主要目的

CISSP背诵短句

The post-incident review (lessons learned) occurs after an incident is resolved. Its primary purpose is to evaluate how well the incident response worked and identify improvements to controls, procedures and training to prevent recurrence of similar incidents.

一句话速记

Post-incident review = lessons learned，复盘响应效果，找改进点，避免下次再踩坑。

要不要把NIST事件响应6步（有的教材是4步）整理成速记清单？

22. 防止email附件恶意感染的方法是？

B email content filtering

23. 防止sql和xss的最重要的是什么？

A 输入验证和输出编码

24. 安全事件响应计划，在检测安全事件之后，最严重的一步是什么？

C. implementing containment and mitigation measures

解析：Detect 检测到事件之后，首要/最重要步骤：implementing containment and mitigation measures（实施遏制与缓解措施）

对应NIST事件响应4阶段：Prepare → Detect & Analyze → Contain, Eradicate, Recover → Post-Incident Activity

核心逻辑

一旦确认这是真实安全事件（不是误报），第一优先级：限制攻击范围，阻止事态继续扩大。

  • Contain 遏制：把攻击锁在当前受害范围，防止横向扩散、攻击者继续窃取/破坏更多资产。
  • Mitigation 缓解：降低当下攻击带来的损失。

举例：隔离被攻陷服务器、封禁恶意IP、禁用被盗账号，都是containment。
目标：不让情况变得更糟。

各阶段顺序（考试必背）

  1. Detect & Analyze：检测告警，确认是不是真事件、评估影响范围
  2. ✅ Contain（遏制）【检测后的第一步重大动作】
  3. Eradicate（根除）：清除恶意代码、后门，移除攻击者驻留
  4. Recover（恢复）：把系统恢复到正常状态，上线业务
  5. Post-incident review：事后复盘

❌ 常见干扰选项为什么不对

  • Collect forensic evidence（取证）：在遏制之后。业务环境还在被攻击的时候，优先遏制；取证可以在隔离遏制后做，不能优先取证耽误止损。
  • Notify management / inform stakeholders（上报管理层）：同步并行动作，但不是首要操作。一边遏制一边上报；不能等上报完再去控制攻击。
  • Eradicate the threat（根除威胁）：在contain之后。必须先锁住攻击者，再清除，否则清除过程攻击者还会继续入侵别的机器。

CISSP背诵短句

After detecting and verifying a security incident, containment is the priority. Containment and mitigation limit the spread of the attack and reduce immediate damage. Forensic collection, eradication and recovery happen after containment.

一句话速记

检测确认事件 → 先遏制，防止扩散；再根除，再恢复，最后复盘。取证、上报都排在遏制之后。

要不要我整理事件响应的常考顺序选择题陷阱？很多考题喜欢把取证、上报、根除放在选项里混淆。

25. 应用存储密码，存储这些密码最佳实践是什么？

C using salted hashes for password storage.

26. 物理安全防止未授权物理访问的最佳实践是什么？

C. mantrap access control at the data center entrance

解析：C. mantrap access control at the data center entrance
mantrap = 防尾随门 / 陷阱门（缓冲门禁、气闸室）

什么是 Mantrap

由两道门禁门组成的隔离小隔间，两道门不能同时解锁。

  1. 进入时：打开外门 → 进入隔间 → 外门自动上锁
  2. 身份核验（刷卡/生物识别）通过后，内门才解锁

    核心作用：防止尾随（tailgating），这是机房物理访问最常见的威胁。
    同一时间隔间内只允许一个人。

为什么它是数据中心入口防未授权访问的最佳实践

Tailgating（尾随）：授权人员进门时，陌生人紧跟在后面蹭进去。普通门禁（单门刷卡）很难阻止尾随。
Mantrap强制一次一人，从物理架构上杜绝尾随。

❌ 常见干扰选项辨析

  • Security guard alone（单纯保安）：人会疲劳、分心、被社会工程欺骗，不是最佳
  • CCTV 监控摄像头：事后取证，不能阻止实时未授权进入（detect，不是prevent）
  • 简单门禁卡（badge reader）：可以被尾随，无法单独阻止tailgating

CISSP背诵短句

A mantrap is a physical access control consisting of two interlocking doors. It prevents tailgating, because only one person may enter the vestibule at a time, and the second door unlocks only after successful authentication. It is an effective control to stop unauthorized physical access at datacenter entrances.

考点关键词

tailgating（尾随） ↔ mantrap（防尾随陷阱门）
看到题干关键词：prevent tailgating / datacenter entrance → 优先 mantrap。

补充小知识点

  • Mantrap 属于预防性物理控制（preventative control）
  • CCTV 是侦测控制（detective control）
  • 保安属于补偿控制（compensating control）

要不要我把物理安全的控制类型（preventative/detective/deterrent/compensating/corrective）快速过一遍？CISSP经常考这个分类。

27. 在SDLC里面，包含安全控制，最重要的安全理由是什么？

B to ensure secure coding practices are followed.

解析：B. to ensure secure coding practices are followed

翻译：确保遵循安全编码实践

题干背景

SDLC 中纳入安全控制（integrate security controls into SDLC），核心目的就是在开发全过程落实安全编码，从源头减少代码层漏洞（SQL 注入、XSS、缓冲区溢出等）。

核心逻辑

  1. 如果 SDLC 流程里没有嵌入安全控制（SAST、代码评审、安全需求、威胁建模、安全编码规范），开发人员很容易写出存在漏洞的代码。
  2. 安全控制嵌入 SDLC ≠ 上线之后再扫描；把安全嵌入开发流程，强制团队遵守安全编码，在编码阶段发现缺陷，修复成本远低于上线后。

28. 这道题太简单了，跳过

29. 在移动设备中，防止未授权访问最有效的手段？

A strong encryption of the data

30. 哪个安全策略强调，不要依赖对设计和实施的保密？

C open design

答案：Open Design（开放设计原则）
✅ 题干描述正是 Open Design 开放设计 的核心定义：

安全不依赖系统设计、算法、实现细节的保密；即使攻击者知晓全部方案，安全依然成立。密钥/凭证才是保密对象，架构本身可以公开。

几个容易混淆的安全原则对照

原则 核心要点
Open Design 安全不靠设计保密，算法、架构公开，秘密只在密钥
最小权限（Least privilege） 主体只拥有完成任务必需的最小权限
纵深防御（Defense in depth） 多层防护，一层失守还有其他防线
安全默认（Secure by default） 默认配置就是安全，需要用户主动开启才放开权限
完全仲裁（Complete mediation） 每次访问都要校验权限，不缓存放行结果

来源：经典盐与胡椒（Saltzer & Schroeder）8大安全设计原则。

要不要我一次性把这8条安全原则整理成速记版，方便刷题？

31. privacy by design最严重的部分是什么？

c involving privacy experts from the inception of a project.

Privacy by Design（隐私设计 / 设计时隐私）

7 大基础原则，最核心 / 最重要的一条：从项目立项之初就引入隐私专家，把隐私嵌入早期设计阶段（involving privacy experts from the inception of a project） ✅ 选 C

简要理解

Privacy by Design 核心思想：隐私不是事后打补丁，不是上线后再加，必须在项目起源、需求、架构设计阶段就考虑隐私。

  • inception = 项目最初开端、立项阶段
  • 错误思路：产品开发完、快要上线才做隐私评估（事后补救）

32 评估工业控制系统，红队engagement的主要focus是什么？

C simulating realistic cyberattacks to test ICS defenses

✅ 答案：C simulating realistic cyberattacks to test ICS defenses

翻译：模拟真实网络攻击，来测试 ICS 防御体系

33 数字签名验证的时候，哪个步骤对验证签证真实性是最重要的？

D. comparing the hash value of the received data with the decrypted hash in the signature.

翻译：把收到数据重新计算出的哈希，和从签名里解密得到的哈希值做比对

完整数字签名流程（CISSP 考点）

签名方（发送者，用私钥签名）

  1. 对原始消息计算哈希
  2. 使用发送方私钥加密这个哈希值 → 生成数字签名，附在消息一起发送

验证方（接收者，用公钥验签）

  1. 收到消息 + 签名
  2. 使用发送方公钥解密签名，取出里面的原始哈希值
  3. 对收到的消息，本地重新计算一遍哈希
  4. ✅ 比对两个哈希是否相等
    • 相等：消息未篡改 + 签名是对应私钥生成（身份可信）
    • 不等：数据被改动 / 签名伪造

34 题干：在信息安全场景下，选择供应商时最关键的考量因素是什么？

A) Vendor reputation 供应商声誉
B) Geographic location 地理位置
✅ C) Data classification 数据分级
D) Business continuity 业务连续性

解析（CISSP 外包 / 第三方风险管理考点）

Explanation 原文：虽然所有选项在选供应商时都重要，但数据分级是最关键因素。数据分级帮助组织识别、划分敏感信息，从而匹配对应的安全管控。不同等级的数据需要不同强度的保护；清楚数据分级，才能做出合理的外包决策。

逻辑拆解

  1. 核心底层逻辑：你要交给供应商处理的数据是什么级别，决定了你对供应商的安全要求
    • 如果只是公开数据：供应商安全要求很低；
    • 如果是最高机密 / 个人敏感数据：你就必须强制供应商满足严苛控制、加密、审计、留存、泄露上报等条款。
      → 先确定数据分级，才知道这个供应商能不能承接，要加什么安全约束
  2. 其他选项为什么不是 “most critical”
    • A 声誉：是参考指标，但声誉好≠能保护你这一类敏感数据；
    • B 地理位置：影响司法管辖、数据出境，属于由数据分级衍生出来的考量；
    • D 业务连续性：是供应商能力之一，同样取决于你数据 / 业务的重要等级。

一句话速记

第三方外包评估：先看要托管的数据分级，以此设定供应商安全基线。

35 安全治理框架的主要目标是什么？

D. aligning security with business objectives

中文原题

安全治理框架的主要目标是什么？
✅ 核心：使安全工作与业务目标保持一致（CISSP Domain1 经典考点）

36. due care在安全治理的最佳代表是什么

✅ B. exercising reasonable security measures to protect assets

笔误修正：resonable → reasonable

术语

Due care 应尽注意义务（审慎责任）
CISSP 考点区分：

  1. Due care（应尽注意）：管理层主动采取合理保护措施来保护资产，做该做的事。

对应选项释义：采取合理安全措施保护资产

37. 跳过

38. security posture是什么？

Security posture = 组织整体安全状态 / 安全面貌，包含现有防护、漏洞、风险、管控措施等全部要素，用来描述当前安全强弱水平。

39. GDPR的主要意图是什么？

B. protecting the fundamental right to data privacy of EU residents.

GDPR（General Data Protection Regulation，通用数据保护条例）

CISSP 考试标准答案

Main intent: Strengthen and unify EU citizens’ rights over their personal data; protect individuals’ privacy while enabling free flow of personal data within EU.
中文：强化并统一欧盟公民对个人数据的控制权，保护自然人隐私，同时保障个人数据可在欧盟境内自由流转EUR-Lex

单选题最常见正确选项句式：
Protect the privacy rights of individuals (data subjects) and give them greater control over their personal data.
保护数据主体的隐私权利，赋予个人对自身个人数据更大控制权

考点拆解

  1. 适用范围：不限于欧盟本土公司，任何组织（全球）只要处理欧盟居民个人数据就要遵守 GDPR
  2. 两大核心目标（官方原文）
    ✅ 保护自然人在个人数据处理上的基本权利与隐私
    ✅ 保障个人数据在欧盟内部自由流动（不是禁止数据流动，是合规前提下自由流动）EUR-Lex
  3. 数据主体权利（选择题常考）
    • 访问权、被遗忘权（删除权）、数据可携带权、反对画像等

40. 太难了而且不实用，跳过

41. 在云环境中评估PHI的风险，哪个是主要的担忧？

题干：在云环境下评估 PHI（受保护健康信息，HIPAA 体系）的风险时，哪一项是首要关注点？
A) Location of data centers. 数据中心位置
B) Type of encryption used in data storage. 存储所用加密类型
C) SLA uptime guarantees by the cloud provider. 云服务商 SLA 正常运行时间保证
✅ D) Data access and control agreements with the cloud provider. 与云服务商之间的数据访问与管控协议

术语

PHI = Protected Health Information，美国 HIPAA 法案里的受保护健康数据。

HIPAA 核心：数据责任划分，即使外包给云厂商，数据所有者仍然承担 PHI 保护责任。

CISSP 考点解析

  1. 四个选项全都相关，但题目问 primary concern（首要关注点）
    • A 数据中心位置：会影响司法管辖权，重要但不是首要
    • B 加密算法：是技术控制手段，属于落地实现
    • C SLA 可用性：关乎业务连续性，和 PHI 隐私保护不是同一维度
    • ✅ D 访问控制协议：明确双方权责边界。HIPAA 要求和云服务商签订 BAA（业务伙伴协议 Business Associate Agreement），本质就是定义数据访问权限、管控责任。在 CISSP 理念中：法律 / 责任协议 > 单纯技术。

Explanation 原文要点：
All options relevant, but clear data access & control agreements define PHI responsibilities, paramount for sensitive health data.
所有选项都有相关性，但清晰的数据访问和管控协议可以明确界定 PHI 相关责任，对保护敏感健康数据至关重要。