42. data remanence是什么？

data remanence

中文：数据残留 / 数据余迹（CISSP、信息安全取证标准术语）

定义：尝试删除、擦除数据之后，仍然残留在存储介质上的数据痕迹，可以被取证工具或特殊物理手段恢复读取。

一句话通俗理解：
你点删除、格式化，只是删掉文件目录索引，原始比特还留在盘上；就算多次覆写，硬件物理层面依然可能留下微弱痕迹，这就叫 data remanence。

43. 未授权数据窃取

题干：安全分析师观察到数据库服务器上多次未授权数据窃取行为。调查后发现所有窃取行为都溯源到同一个用户账号。分析师立刻应当采取哪一项操作？

A) Delete the user account. 删除该用户账号
B) Notify the user about the suspicious activity. 通知这名用户存在可疑活动
C) Isolate or disable the account and initiate an incident response. 隔离 / 禁用账号并启动事件响应 ✅
D) Implement stricter access controls on the database server. 在数据库服务器部署更严格的访问控制

逐项拆解

1. A 错
   直接删除账号会销毁账号日志、审计记录，破坏取证证据。事件遏制阶段，只能禁用 (disable)，不能删除 (delete)。
2. B 错
   通知用户属于打草惊蛇。如果账号已经被攻击者劫持，攻击者收到提醒会立刻销毁痕迹、横向渗透，扩大损失。
3. C 对（Containment 遏制阶段）
   IR 流程第一步核心目标：停止正在发生的损害

• disable/isolate account：堵住攻击入口，阻止继续偷数据（遏制）
• initiate incident response：正式启动事件响应流程，后续评估影响、取证、根除威胁

4. D 错
   给数据库全局加固访问控制，属于根除 Eradicate / 恢复 Recover阶段的长期修复措施，不是**immediate（立即）**动作。此时攻击正在进行，优先封堵这个正在作恶的账号，而不是大范围修改服务器策略。

44. 哪一种安全评估方法是最有效的，可以识别未知的漏洞，而且还不会公开？

B penetration testing

45. 在取证调查场景中，以下哪一项最准确描述 chain of custody（保管链 / 证据链） 的主要目的？

A) To ensure evidence is properly catalogued.
确保证据被正确编目登记。

B) To demonstrate the integrity and authenticity of the evidence.
证明证据的完整性与真实性。 ✅ 正确答案

C) To ensure that only authorized personnel handle the evidence.
保证只有授权人员可以接触证据。

D) To protect the investigator from allegations of tampering.
保护调查人员，使其免于被指控篡改证据。

46. 以下哪一项，能够最好地长期保障应用程序的安全状态（security posture over time）？

A) Conducting annual penetration tests.
每年执行一次渗透测试。
B) Implementing strict password policies.
实施严格的密码策略。
C) Continuous integration with security testing.
集成安全测试的持续集成（CI + 安全测试，DevSecOps） ✅正确答案
D) Quarterly vulnerability assessments.
每季度漏洞评估。

47 太简单。考察confidentiality的定义

48. 在移动应用开发的场景中，保证应用组件不会暴露给同一设备上的其他应用，是指：

A) Data In Transit protection
传输中数据保护（传输加密，比如 HTTPS）

B) Application sandboxing
应用沙箱 ✅正确答案

C) Data At Rest encryption
静态数据加密（本地存储文件加密）

D) Code obfuscation
代码混淆（把代码变得难阅读，防逆向）

49. security governance program是什么

Security Governance Program 安全治理项目 / 安全治理体系（Security+ / CISSP 高频术语）

中文：安全治理方案 / 安全治理项目

一句话定义：由高层发起、用来把信息安全和业务目标对齐的整套制度、组织、流程、考核框架，用来确保安全工作不是零散的技术补丁，而是企业顶层管控。

核心目的

1. 确保安全策略符合业务目标（安全不能脱离业务乱做）
2. 明确权责：董事会、管理层、安全团队、业务部门各自的安全责任
3. 风险管理：识别业务风险、接受 / 转移 / 规避风险
4. 合规：满足法律法规、行业标准（ISO27001、等保、隐私法规）
5. 监督审计：持续监控安全状态、上报给高层，保证安全措施被落地执行

简单区分：

• Security Management（安全管理）：偏执行层，做漏洞修复、配置、日常运维。
• Security Governance（安全治理）：偏顶层决策、问责、方向，由董事会 / 高管负责，决定 “我们要做到什么安全水平”。

安全治理项目里一般包含这些组件

• 信息安全政策（Security Policy）
• 安全组织架构、角色权责划分（RACI）
• 风险管理框架
• 合规与审计计划
• 安全意识培训
• 安全指标 KPI、上报机制（给高管的汇报）
• 风险评审、事件上报机制

考试做题关键点（Security + 选择题）

只要题干出现下面关键词，大概率选 security governance

• board of directors /senior management 董事会、高管层
• align security with business objectives 安全对齐业务目标
• accountability 问责、责任归属
• oversight 监督
• risk appetite 风险偏好

要保证安全治理项目取得成功，下面哪一项是最关键的因素？

A) Advanced technology solutions
先进的技术方案
B) Comprehensive security policies
完备的安全策略
C) Strong executive support
强有力的高层 / 管理层支持 ✅正确答案
D) Experienced security staff
经验丰富的安全人员

50. 在令牌化（tokenization）系统中，令牌（token）和它所代表的原始敏感数据最主要区别是什么？

A) The token is always longer than the original data.
令牌一定比原始数据更长。

B) The token contains encrypted segments of the original data.
令牌包含原始数据的加密片段。

C) The token, on its own, has no meaningful value or information.
令牌本身，不具备有意义的值或信息 ✅正确答案

D) The token must be reversible to the original data without any additional information.
不需要任何额外信息，令牌就可以还原成原始数据。

令牌化：将敏感原始数据（信用卡号、手机号、身份证号）替换成一串无意义的随机字符串，这个随机串就叫 token（令牌）。

⚠️最重要区分：令牌化 ≠ 加密（考试最容易挖坑）

• 加密：原始数据经过数学变换变成密文，密文本身携带原始信息，有密钥就能解密还原。
• 令牌化：token 只是索引编号，token 里面不包含任何原始敏感数据。

工作流程（信用卡举例）

1. 用户提交真实信用卡号（原始敏感数据）
2. 令牌系统接收卡号，把真实卡号存入独立安全数据库（令牌库）
3. 系统生成随机字符串作为 token（例如：7294-XXXX-XXXX-1856）
4. 业务系统只保存 token，不再保存真实卡号
5. 后续业务需要原始卡号时，拿着 token 去令牌库查表，换回原始数据
6. 如果黑客拖库拿到 token：只拿到一串随机字符，单独拿 token 推不出真实卡号