网络与信息安全管理员（四级）三色笔记

考查漏洞处置中的职业规范与保密要求。发现漏洞应按内部流程报告并控制知悉范围，避免公开扩散或私自利用，ACD均违反保密和授权原则。

考查离职后的保密义务。保密义务不因离职而自动解除，未经授权不得泄露、使用或出售原单位客户信息和商业秘密。

考查个人信息处理原则。应遵循合法、正当、必要和最小必要原则，不得违规复制、提供或超期保存。

考查《网络安全法》的施行时间。该法于2016年11月7日通过、2017年6月1日起施行，故选B。A项为通过日期而非施行日期；C、D两项均与法定施行时间不符。

考查《网络安全法》第二十一条关于日志留存的规定：网络运营者应当采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。故选C，其余期限均不符合法定要求。

考查《网络安全法》第三十五条：关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。故选B。A项等级测评是等级保护工作环节，C项备案、D项密码评估均不能替代网络安全审查。

本题考查风险计算基本模型。根据常用模型，风险值=资产价值×威胁程度×脆弱性严重程度=4×3×2=24。其他选项均为错误计算，故正确答案为B。

本题考查风险处置策略。风险转移是通过合同或保险将风险损失转嫁给第三方。风险规避是放弃可能产生风险的活动；风险降低是采取措施减小风险可能性或影响；风险接受是容忍风险存在。购买保险属于典型的风险转移，故正确答案为C。

本题考查风险评估流程。按照GB/T 20984，风险评估首先进行资产识别，确定资产价值，然后识别威胁和脆弱性，最后分析风险。资产识别是后续工作的基础，故正确答案为B。

考查账户密码强度要求。强密码应具备足够长度和复杂度，A项符合；B项易被猜测；C项一旦泄露影响所有账户；D项长期不修改增加泄露风险。

考查防病毒软件的日常维护。病毒库需要定期更新才能识别新威胁，全盘扫描可发现潜在恶意程序。A、C、D均会降低防护能力。

考查最小化服务原则。关闭非必需端口可减少攻击面，仅开放业务必需端口是安全加固的基本要求。A、C、D均会扩大暴露风险。