第1题

下列关于信息系统生命周期中实施阶段所涉及主要安全需求描述错误的是：（）

A．确保采购定制的设备、软件和其他系统组件满足已定义的安全要求

B．确保整个系统已按照领导要求进行了部署和配置

C．确保系统使用人员已具备使用系统安全功能和安全特性的能力

D．确保信息系统的使用已得到授权

信管网参考答案：B

信管网参考解析：信息系统生命周期是指信息系统在使用过程中随着其生存环境的变化，要不断维护、修改，具有产生、发展、成熟、消亡（更新）的过程周期循环。

信息系统生命周期由系统分析、系统设计、系统实施以及系统管理和维护四个时期组成，每一个时期又进一步划分成若干个阶段。

1．系统分析

系统的分析，也叫系统的调查与分析，是信息系统生命周期的第一个阶段，也是最重要的一个环节。系统分析时期的任务包括确定信息系统必须完成的总目标，确定工程的可行性，导出实现工程目标应该采取的策略及系统必须完成的功能，估计完成该项工程需要的资源和成本，并且制定工程进度表。系统分析时期通常进一步划分成三个阶段，即问题的定义、可行性研究和需求分析。问题定义阶段的主要任务是确定所开发的信息系统要完成的目标是什么，如果不知道信息系统的目标就试图开发信息系统，显然是盲目的，只会白白浪费时间和金钱。可行性研究阶段的主要任务是分析达到信息系统的目标是否存在可行的办法。可行性研究的结果是信息系统的负责人做出是否继续进行这个信息系统的开发决定的重要依据。一般来说，只有投资可能取得较大效益的那些信息系统才值得继续进行下去，及时终止不值得投资的工程项目，可以避免更大的浪费。需求分析阶段的主要任务是确定目标系统必须具备哪些功能以及系统正常运行时应满足的性能指标。

2．系统设计

系统设计是信息系统生命周期中另一个重要阶段。系统设计的主要目的就是为下一阶段的系统实施制定蓝图。系统设计包括两个方面的内容，首先是系统总体设计，总体设计的任务是提供信息系统的概括的解决方案，主要内容包括信息系统的功能模块的划分，功能模块之间的层次结构和关系。其次是系统详细设计，详细设计的任务是把系统总体设计的结果具体化。这个阶段的任务不是编写程序，而是设计出各个功能模块的详细规格说明，如信息系统各个模块的处理流程，系统的数据流程和数据库逻辑结构的设计。

3．系统实施

系统实施是新系统开发工作的最后一个阶段。所谓实施指的是将上述系统设计阶段的结果在计算机上实现，将原来纸面上的、类似于设计图式的新系统的设计方案转换成可执行的应用系统。系统设计阶段的主要任务是：按总体设计方案购置和安装计算机网络系统；建立数据库系统；程序设计与调试；整理基础数据；培训操作人员和试运行。

4．系统维护

系统维护是系统投入正常运行之后一件长期而又艰巨的工作。维护时期的主要任务是使系统持久地满足用户的需要。具体地说，系统维护的任务包括当系统在使用过程中发现错误时应该加以改正；当环境改变时应该修改系统以适应新的环境；当企业有新的需求时应该及时改进信息系统以满足企业的需求。每一次维护活动本质上都是一次压缩和简化了的系统定义和开发过程。

信息系统的生命周期是周而复始进行的，一个系统开发完成以后就不断地评价和积累问题，积累到一定程度就要重新进行系统分析，开始一个新的生命周期。一般来说，不管系统运行的好坏，每隔一定的时期也要进行新一轮的开发。信息系统生命周期如图所示。

另外需要注意的是，信息系统的生命周期并不等于信息系统软件的生命周期，信息系统的生命周期考查的对象包含了组成信息系统的软件和硬件，具有更多的内容。但由于信息系统的大多数功能一般是通过软件来实现的，因此，信息系统的生命周期和信息系统软件的生命周期的联系又是十分密切的。

第2题

After reviewing its business processes, a large organization is deploying a new web application based on a VoIP technology. Which of the following is the MOST appropriate approach for implementing access control that will facilitate security management of the VoIP web application?

A、Fine-grained access control

B、Role-based access control (RBAC)

C、Access control lists

D、Network/service access control

信管网参考答案：B

信管网参考解析：在评估完它的业务流程后，一个大型组织整打算配置一个新的基于语音通话的应用。下面哪一个是最合适的实施访问控制并将可以推动语音网络运用的安全管理：

A、详尽的访问控制

B、基于角色的访问控制

C、访问控制列表

D、网络/服务访问控制

注：授权本VoIP案例可以通过基于角色的访问控制（RBAC）技术解决。RBAC是易于管理和执行高效的强在大型网络环境中包括VoIP实现访问控制。访问控制列表和细粒度的访问控制对VoIP网络应用没有规模企业范围的系统，因为他们主要是基于个人用户的身份和权限的具体技术。网络/服务地址VoIP可用但没有解决应用层的访问和授权。