第1題：

以下關(guān)于“最小特權(quán)”安全管理原則理解正確的是：（）

A．組織機(jī)構(gòu)內(nèi)的敏感崗位不能由一個(gè)人長(zhǎng)期負(fù)責(zé)

B．對(duì)重要的工作進(jìn)行分解，分配給不同人員完成

C．一個(gè)人有且僅有其執(zhí)行崗位所足夠的許可和權(quán)限

D．防止員工由一個(gè)崗位變動(dòng)到另一個(gè)崗位，累積越來(lái)越多的權(quán)限

信管網(wǎng)參考答案：C

信管網(wǎng)參考解析：最小特權(quán)原則是系統(tǒng)安全中最基本的原則之一。所謂最小特權(quán)（least privilege），指的是"在完成某種操作時(shí)所賦予網(wǎng)絡(luò)中每個(gè)主體（用戶或進(jìn)程）必不可少的特權(quán)"。最小特權(quán)原則，則是指"應(yīng)限定網(wǎng)絡(luò)中每個(gè)主體所必須的最小特權(quán)，確?？赡艿氖鹿?、錯(cuò)誤、網(wǎng)絡(luò)部件的篡改等原因造成的損失最小"。

第2題

關(guān)于源代碼審核，描述正確的是（）

A.源代碼審核過(guò)程遵循信息安全保障技術(shù)框架模型，執(zhí)行時(shí)應(yīng)一步一步嚴(yán)格執(zhí)行

B.源代碼審核有利于發(fā)現(xiàn)軟件編碼中存在的安全問(wèn)題，相關(guān)的審核工具既有商業(yè)開源工具

C.源代碼審核如果想要有效率高，則主要要依賴人工審核而不是工具審核，因?yàn)槿斯ぶ悄艿模枰说哪X袋來(lái)判斷

D.源代碼審核能起到很好的安全保證作用，如果執(zhí)行了源代碼審核，則不需要安全測(cè)試

信管網(wǎng)參考答案：B

信管網(wǎng)參考解析：代碼評(píng)審也稱代碼復(fù)查，是指通過(guò)閱讀代碼來(lái)檢查源代碼與編碼標(biāo)準(zhǔn)的符合性以及代碼質(zhì)量的活動(dòng)。

代碼評(píng)審的好處：編輯

提高代碼質(zhì)量

在項(xiàng)目的早期發(fā)現(xiàn)缺陷，將損失降至最低

評(píng)審的過(guò)程也是重新梳理思路的過(guò)程，雙方都加深了對(duì)系統(tǒng)的理解

促進(jìn)團(tuán)隊(duì)溝通、促進(jìn)知識(shí)共享、共同提高

交叉評(píng)審——代碼走查：團(tuán)隊(duì)成員互相檢查代碼

參與者可以是任意兩個(gè)組員，或開發(fā)組長(zhǎng)分別與每個(gè)組員結(jié)對(duì)進(jìn)行

時(shí)機(jī)可以選擇在下班前半小時(shí)，對(duì)當(dāng)天改動(dòng)的模塊進(jìn)行評(píng)審

代碼作者講解如何以及為何這樣實(shí)現(xiàn)、評(píng)審者提出問(wèn)題和建議

每次解決的問(wèn)題要記錄到svn注釋或jira

每次評(píng)審不要貪多，如下圖所示：當(dāng)一次評(píng)審超過(guò)400行代碼時(shí)，能發(fā)現(xiàn)缺陷數(shù)顯著降低——事倍功半

會(huì)審：以項(xiàng)目為單位，召開專門的代碼評(píng)審會(huì)議

參與者：包括項(xiàng)目組全體成員，其它組的開發(fā)組長(zhǎng)也應(yīng)盡量參加

時(shí)機(jī)選擇：開發(fā)進(jìn)行到某一階段時(shí)，對(duì)共性問(wèn)題進(jìn)行總結(jié)，對(duì)好的做法進(jìn)行提煉和推廣