• 基础问题

    • 1. 什么是信息安全，如何定义信息安全？
    2. 信息安全的核心原则是什么？
    3. 什么是non-repudiation，可否举个例子？
    4. 信息安全和数据可用性之间的关系是什么？
    5. 什么是安全策略，为什么我们需要一个安全策略？
    6. 逻辑安全和物理安全，有什么区别？
    7. 你是否有对安全风险定义可接受的级别？
    8. 如何衡量风险？你能举一个衡量信息安全风险的具体指标的例子吗？
    9. 你能给我一个风险权衡的例子么，比如风险vs成本？
    10. 最常见的威胁企业数据安全的攻击类型是什么？
    11. 威胁和漏洞之间有什么区别？
    12. 你能给我一个常见的安全漏洞的例子吗？
    13. 描述你所熟悉什么安全管理框架，如ISO / IEC 27002？
    14. 简要讨论信息安全在软件开发生命周期每个阶段的作用吗？
    15. 你能描述企业中安全操作的作用吗？
    16. 什么是事件管理？
    17. 什么是业务连续性管理？它如何与安全相关？
    18. 什么是安全控制？
    19. 什么是不同类型的安全控制？
    20. 你能描述信息生命周期吗？如何确保每个阶段的信息安全？
    21. 什么是信息安全治理？
    22. 你的专业价值是什么？为什么职业道德在信息安全领域很重要？

  • 安全审计和测试

    • 1. 什么是IT安全审计？
    2. 如何测试信息安全？
    3. 黑盒和白盒渗透测试有什么区别？
    4. 什么是漏洞扫描？
    5. 安全测试计划是什么？

  • 访问控制

    • 1. 认证和授权有什么区别？
    2. 可以使用哪些类型的信息进行身份验证？
    3. 什么是基于角色的访问控制？
    4. 什么是最小特权？
    5. 什么是双因素身份验证？ 它需要特殊的硬件吗？

  • 安全架构

    • 1. 为什么开放标准对安全解决方案很重要？
    2. 当不同利益相关者之间有矛盾时，如何平衡他们的要求？
    3. 什么是分层的安全体系结构？这是一个好的方法吗？为什么？
    4. 您是否设计了跨越重叠信息域的安全措施？你能给我一个简单的概述解决方案吗？
    5. 对于人为错误，如何设计防护
    6. 什么是capability-based security？
    7. 在安全架构中，有哪些经验例子。
    8. 阐述安全架构的适用场景。
    9. SOA提出了哪些特殊的安全挑战？
    10. 统一通信存在什么安全挑战？
    11. 说说你对COTS的理解。
    12. 你是否构拥有SaaS组件的安全解决方案经验，并说说SaaS面临什么挑战？

  • 计算机网络

    • 1. 什么是防火墙？
    2. 除了防火墙，还有哪些设备可用于强制网络边界？
    3. 网络边界在信息安全中起到了什么作用。
    4. 入侵检测系统是做什么的，原理是什么？
    5. 什么是蜜罐？ 它防御什么类型的攻击？
    6. 使用哪些技术和方法，来保护部署在云计算基础设施上的信息和服务？
    7. 云计算环境面临哪些信息安全挑战？
    8. 阐述包过滤的实现原理。
    9. 什么是IP多播？
    10. 包过滤防火墙和应用层防火墙之间的区别吗？
    11. OSI模型的层是什么？

  • 安全管理能力

    • 1. 你如何保证安全解决方案的有效性。
    2. 安全解决方案人员需要做哪些培训和开发学习？
    3. 企业安全贡献价值，如何让企业领导认同？
    4. 如何确保解决方案在面临不断发展的威胁时能够持续应对？
    5. 如何避免实现过于复杂或不必要的安全机制？
    6. 你是否参与了信息安全的治理？你的角色是什么？你完成了哪些工作？
    7. 描述你所理解的信息安全相关法律法规。
    8. 信息安全和隐私条款的区别。
    9. 什么是安全级别管理？
    10. 如何确保安全管理的透明和工作可衡量性？
    11. 你能概述一个首席安全官（CSO）的主要职责吗？
    12. 请列举一个你所知道的最新安全动态？

  • 工作经验

    • 1. 你是否参与制定过事故响应计划？
    2. 你是否参与并支持过事件调查？ 你的角色是什么？ 结果是什么？
    3. 举例一次你在风险分析和评估，如何实施？接触了哪些人？
    4. 是否有威胁评估经验？威胁评估中，需要考虑哪些因素？
    5. 你提交过哪些漏洞评估？ 哪些类型的漏洞最难识别？
    6. 在漏洞评估的上下文中，如何计算漏洞被利用的概率？
    7. 出现安全风险时，你是如何进行时间风险控制的？
    8. 如何保持最新的技术？如何应对最新的信息安全威胁？

  • 密码学

    • 1. 解释SSL协议工作原理。
    2. 对称密钥加密和公钥加密之间有什么区别？
    3. 阐述公共密钥加密的工作原理。
    4. 加密标准AES和DES之间有什么区别？
    5. 数字证书在加密中的作用是什么？
    6. 对于希望加密的电子邮件，您会建议使用哪些加密机制？
    7. 请解释IPsec，其作用是什么？

  • 安全威胁

    • 1. 信息安全威胁有哪几类？请简要描述。
    2. 什么是中间人攻击？
    3. 你能给我一个跨站点脚本的例子吗？
    4. 什么是SQL注入？ 如何预防？
    5. 什么是缓冲区溢出？
    6. 什么是点击劫持？

  • 安全漏洞

    • 1. 什么是不安全的直接对象引用？会导致哪些问题？
    2. 为什么验证重定向和转发很重要？
    3. 在信息存储级别层面，有哪些常见的安全漏洞？
    4. 在传输级别层面，有什么常见的安全漏洞？
    5. 为什么不正确对待错误处理可能会导致的漏洞？请举一个例子。

  • 物理环境

    • 1. 能否列举常见的物理安全集成用例？
    2. 什么是社会工程？为什么很流行？
    3. 如何保证企业的办公环境安全？
    4. 如何保证企业的数据中心安全？