类别 ISACA

敏捷软件项目管理方法的一个重要原则是团队学习，并随着项目的进展，利用团队学习来完善项目管理和软件开发流程。实现这一目标的最佳方法之一是，在每次迭代结束时，团队都要考虑并记录哪些工作做得好，哪些工作可以做得更好，并确定在后续迭代中实施的改进措施。CMM 和敏捷实际上是截然相反的。CMM 非常强调预定义的正式流程、正式的项目管理和软件开发成果。相比之下，敏捷项目则依赖于根据项目和团队动态的特殊需求对流程进行改进。此外，敏捷项目不太重视正式的纸质交付成果，而是更倾向于在团队内部以及与主要外部贡献者进行有效的非正式沟通。敏捷项目在较短的迭代周期内（通常为 4 至 8 周）生成可发布的软件。这本身就在团队内部灌输了相当严格的绩效纪律。再加上每天召开简短的会议，就团队正在做的事情达成一致，并找出任何障碍，这就使得根据进度表进行任务级跟踪变得多余。敏捷项目确实使用了合适的开发工具，但工具并不是实现生产力的主要手段。团队的和谐、有效的沟通和解决挑战的集体能力才是最重要的。

科：信息技术的治理和管理

科：信息系统运行、维护和支持
解释：
铜缆安装简单，易于分接。它主要用于短距离，支持语音和数据。
在考试中，您应该了解以下有关传输媒体的信息：
铜电缆
铜缆安装简单，易于分接。它主要用于短距离，支持语音和数据。
早在 19 世纪电磁铁和电报发明之后，铜就被用于电线中。
1876 年电话的发明进一步推动了对铜线作为电导体的需求。
铜是多种类型电线的导体。铜线用于发电、输电、配电、电信、电子电路和无数种电气设备。铜及其合金还用于制造电气触点。建筑电线是铜业最重要的市场。开采的铜矿中约有一半用于制造电线和电缆导体。
铜电缆

同轴电缆
同轴电缆或 coax（读作'ko.aks'）是一种电缆，其内部导体由管状绝缘层包围，周围是管状导电屏蔽层。许多同轴电缆还有绝缘外鞘或护套。同轴这一术语源于内导体和外屏蔽共用一个几何轴。同轴电缆由英国工程师和数学家奥利弗-海维塞德发明，他于 1880 年为该设计申请了专利。同轴电缆与其他用于传输低频信号（如音频信号）的屏蔽电缆不同，同轴电缆的尺寸受到控制，以提供精确、恒定的导体间距，这是其作为射频传输线有效发挥作用的必要条件。
同轴电缆价格昂贵，而且不支持许多局域网。它支持数据和视频。

同轴电缆
光纤
光纤电缆是一种包含一根或多根用于传输光的光纤的电缆。光纤元件通常单独涂有塑料层，并装入适合光缆部署环境的保护管中。不同类型的电缆用于不同的应用，例如长距离电信，或在建筑物的不同部分之间提供高速数据连接。
光纤用于长距离传输，不易熔接，不易串话，不易窃听。它支持语音数据、图像和视频。
光纤

无线电系统
无线电系统用于短距离，价格便宜，易于拦截。
无线电是电磁信号在大气层或自由空间中的辐射（无线传输）。
通过系统地改变（调制）辐射波的某些特性，如振幅、频率、相位或脉宽，来传递信息（如声音）。当无线电波撞击电导体时，振荡场会在导体中产生交变电流。电波中的信息可以被提取并转换回其原始形式。
微波无线电系统
微波传输是指利用无线电波传输信息或能量的技术，这些无线电波的波长可以方便地以厘米为单位测量，称为微波。
微波被广泛应用于点对点通信，因为微波波长小，天线尺寸方便，可以将微波导成窄波束，直接对准接收天线。这使得附近的微波设备可以使用相同的频率，而不会像低频无线电波那样相互干扰。另一个优点是微波的高频率使微波波段具有非常大的信息承载能力；微波波段的带宽是其下的所有其他无线电频谱带宽的 30 倍。缺点是微波仅限于视线传播，不能像低频无线电波那样绕过山丘或山脉。
微波无线电传输通常用于地球表面的点对点通信系统、卫星通信和深空无线电通信。微波无线电波段的其他部分则用于雷达、无线电导航系统、传感器系统和射电天文学。
微波无线电系统是语音数据信号的载体，价格便宜，易于开发。
微波无线电系统

卫星广播链接
卫星广播是一种无线电服务，主要通过卫星向汽车广播，信号在全国范围内播出，覆盖的地理区域比地面广播电台广阔得多。与地面广播相比，卫星广播通过订阅提供更多的电台和更广泛的节目选择，而且大多不含商业广告。
卫星无线电链路使用转发器发送信息，容易被拦截。
下列答案不正确：
光纤 - 光缆用于长距离传输，不易熔接，不易串话，不易分接。它支持语音数据、图像和视频。
无线电系统 - 无线电系统用于短距离，价格便宜，易于接入。
卫星无线电链接 - 卫星无线电链接使用转发器发送信息，易于接入。
参考资料
CISA 审查手册 2014 年 第 265 页

科：保护信息资产

保护以特定数据格式存储的敏感信息（如个人身份信息 (PII)），同时允许软件开发人员在开发和测试环境中使用这些信息的最佳方法是数据屏蔽。数据屏蔽是一种用虚构或修改的数据元素替换或遮蔽敏感数据元素的技术，但保留数据的原始格式和特征。数据屏蔽有助于保护敏感信息，如以特定数据格式存储的 PII，同时允许软件开发人员在开发和测试环境中使用，防止真实数据值的暴露或泄露，而不影响软件或应用程序的功能或性能。在保护存储在特定数据格式中的 PII 等敏感信息，同时允许软件开发人员在开发和测试环境中使用这些信息方面，其他选项不如数据屏蔽有效，因为它们有不同的限制或缺点。数据标记化是一种将敏感数据元素替换为无内在价值或意义的非敏感标记的技术。数据标记化可以保护 PII 等敏感信息免遭未经授权的访问或窃取，但它可能无法保留数据的原始格式和特征，这可能会影响软件或应用程序的功能或性能。
数据加密是一种利用算法和密钥将敏感数据元素转换为不可读或不可理解的密文的技术。数据加密可以保护 PII 等敏感信息免遭未经授权的访问或修改，但需要解密才能恢复原始数据值，这可能会给软件开发过程带来额外的复杂性或开销。数据抽象是一种技术，通过提供简化的表示或界面，向用户或程序员隐藏数据结构或操作的细节或复杂性。数据抽象有助于提高软件或应用程序的可用性或可维护性，但并不能保护 PII 等敏感信息不被暴露或泄露。参考资料：CISA 审查手册》（电子版），第 5 章，第 5.3.2 节

验证检查是一种数据质量控制，有助于确保系统接口数据的完整性。验证检查可验证系统间输入或传输的数据是否正确、一致，并符合预定义的规则或标准。验证检查可以防止或发现数据中可能影响系统功能、性能或安全性的错误、异常或不一致。
选项 C 是正确的，因为验证检查是确保系统接口数据完整性的一种常见而有效的方法。验证检查可在数据生命周期的不同阶段执行，如输入、处理、输出或存储。验证检查也可应用于不同类型的数据，如数据类型、代码、范围、格式、一致性和唯一性。
选项 A 不正确，因为系统接口测试是一种验证两个独立系统或系统组件之间交互的软件测试。系统接口测试并不直接确保系统接口数据的完整性，而是确保接口本身的功能和可靠性。系统接口测试可能使用验证检查作为测试用例的一部分，但它与验证检查不同。
选项 B 不正确，因为用户验收测试（UAT）是一种软件测试，用于评估系统是否符合用户的期望和要求。UAT 并不直接确保系统界面数据的完整性，而是从用户的角度确保系统的可用性和可接受性。UAT 可以使用验证检查作为其测试方案的一部分，但它与验证检查不同。
选项 D 不正确，因为审计日志是系统或网络中发生的事件和活动的记录。审计日志并不直接确保系统界面数据的完整性，而是为系统的运行和安全提供证据和责任。审计日志可能使用验证检查作为其分析或报告的一部分，但它们与验证检查不同。
参考资料
* CISA 在线复习课程1，模块 5：保护信息资产，第 4 课：数据质量管理，幻灯片 5-6。
* CISA 审查手册（数字版）2，第 5 章：信息资产保护，第 5.3 节：数据质量管理》，第 281-282 页。
* CISA 审查手册（印刷版），第 5 章：信息资产保护，第 5.3 节：数据质量管理》，第 281-282 页。
* CISA 问题、答案和解释数据库3，问题 ID：QAE_CISA_722.
* 数据验证 - 概述、类型、实例4
* 数据有效性：企业的最佳实践5
* 验证 - 数据验证6
* 什么是数据验证？类型、技术和工具7

反恶意软件工具审计日志可为信息系统审计员提供最佳证据，证明其持续遵守全球组织的政策，即每天必须对所有工作站进行恶意软件扫描。反恶意软件工具审计日志记录了与安装在工作站上的反恶意软件有关的活动和事件，如扫描计划、扫描结果、更新、警报和采取的行动1。这些日志可帮助信息系统审计员验证反恶意软件是否正常运行，扫描是否定期有效执行，以及是否及时发现并解决了任何恶意软件事件2。反恶意软件工具审计日志还能帮助 IS 审计员发现反恶意软件政策或实施中的任何漏洞或薄弱环节，并提出改进建议3。
其他选项并非持续遵守反恶意软件政策的最佳证据。渗透测试结果是一份报告，从外部或内部攻击者的角度显示工作站和网络的漏洞和风险4。雖然滲透測試有助評估機構的保安狀況和應變能力，但並不能提供每日反惡意軟件掃描或其結果的資料。管理层证明是管理层作出的声明或宣言，表明他们已遵守反恶意软件政策5。虽然管理层证明可以表明承诺和责任，但它不能提供客观或可验证的合规证据。近期恶意软件扫描报告是显示工作站上最新反恶意软件扫描摘要或细节的文件。虽然最近的恶意软件扫描报告可以说明反恶意软件的当前状态和性能，但不能提供合规的历史或全面证据。
参考资料
* Malwarebytes Anti-Malware (MBAM) 日志收集和威胁报告 ...
* 使用 Windows 审计日志检测恶意行为
* PCI 要求 5.2 - 确保所有防病毒机制都是最新的...
* 管理认证 - 概述 | ScienceDirect Topics
* 如何阅读恶意软件扫描报告 | Techwalla

科：保护信息资产
说明/参考：
在网络安全中，屏蔽子网防火墙是双归属网关和屏蔽主机的一种变体。
防火墙。它可用于将防火墙的组件分离到不同的系统中，从而实现
尽管在简便性方面要付出一定的代价，但仍能提高吞吐量和灵活性。由于
筛选出的子网防火墙只需执行特定任务，每个系统的复杂性较低
配置。
屏蔽子网防火墙通常用于建立非军事区（DMZ）。
下面是几个防火墙实施实例：
屏蔽主机防火墙
利用数据包过滤路由器和堡垒主机，这种方法实现了基本的网络层
安全和应用服务器安全。
在这种配置下，入侵者必须先侵入两个独立的系统，然后才能确保专用系统的安全。
网络可能被入侵
该防火墙系统的配置是，堡垒主机与专用网络连接，通过数据包
互联网与堡垒主机之间的过滤路由器
双归属防火墙
有两个或更多网络接口的防火墙系统，每个网络接口连接到不同的网络
在防火墙配置中，双归属防火墙系统的作用通常是阻止或过滤部分或全部的网络连接。
试图在网络之间传输的流量
双主机防火墙系统是限制性更强的屏蔽主机防火墙系统形式
非军事区（DMZ）或屏蔽子网防火墙
利用两个数据包过滤路由器和一台堡垒主机
这种方法可创建最安全的防火墙系统，因为它支持网络和应用程序级
安全，同时定义独立的 DMZ 网络
通常情况下，DMZ 的配置会限制来自互联网和组织专用网络的访问。
以下是不正确的答案：
选项中提到的其他类型防火墙不使用两个数据包过滤路由器和一个堡垒。
东道主
编制本问题时使用了以下参考资料：
2014 年 CISA 审查手册 页码 346

任何通过网络传输的数据都有可能被窃听，甚至被恶意人员修改。即使是作为封闭系统运行的机器，也可能通过监控硬件产生的微弱电磁波传输（如 TEMPEST）而被窃听。

说明
IT 活动与企业目标的同步性是 IT 战略修正有效性的最佳证明。IT 战略修正是一个对 IT 战略进行审查和调整的过程，以确保 IT 战略与企业战略和目标保持一致并为其提供支持。信息技术活动与企业目标的同步意味着信息技术活动符合并有助于实现企业目标和愿景。信息系统审计师可以通过比较信息技术活动与企业目标，评估它们是否一致、整合和协调，来衡量和评价信息技术战略修正的有效性。其他选项不能很好地证明 IT 战略修正的有效性，因为它们要么没有反映出 IT 与业务的一致性，要么是 IT 战略修正过程的输入或输出，而不是结果或成果。参考资料：CISA 审核手册（数字版）1，第 1 章，第 1.2.1 节

科：保护信息资产
解释：
选项 A、B 和 C 不正确，因为它们都与审计领域无关。在审查拟议的应用程序时，审计员应确保将要购买的产品与当前或计划中的操作系统兼容。关于选项 A，如果操作系统目前正在使用，那么它就与现有硬件平台兼容，因为如果不兼容，就无法正常运行。对于选项 B，应安排计划中的操作系统更新，以尽量减少对组织的负面影响。选择 C，已安装的操作系统应配备最新版本和更新（具有足够的历史和稳定性）。

源数据的准确性是数据仓库数据质量的先决条件。数据源的可信度、准确的提取过程和准确的转换例程都很重要，但并不能将不准确的数据转变为高质量（准确）的数据。

科：保护信息资产
解释：
网络主干故障将导致整个网络瘫痪，并影响所有用户访问网络信息的能力。备用 PBX 系统不可用将导致用户无法拨打或接收电话或传真；不过，用户可以使用移动电话或电子邮件等备用通信手段。用户 PC 缺乏备份系统只会影响特定用户，而不会影响所有用户。门禁卡系统失灵会影响对进入指定工作区的用户进行记录的能力；不过，这可以通过人工监测控制来缓解。

科：保护信息资产
解释：
在实施持续监控系统时，信息系统审计师的第一步是确定组织内的高风险领域。