3.Information System Acquisition,Development and Implemenation（12%） Flashcards
1 "在对一个小型银行的合规审计中，IS审计师发现-IT职能和会计功能是由财务系统的同一个用户来执行的。监管人员实施的下面哪一项审查代表着最佳的补偿性控制？ A.显示交易日期和时间的审计轨迹 B.含有每笔交易的总数量和总金额的每日总报表 C.用户账户管理 D.显示财务系统中每一笔交易的计算机日志文件"
D 每个用户在访问计算机系统或数据文件的时候，计算机日志将记录他们的活动，而且会记录所有异常的活动，比如编辑或者删除财务数据。仅仅记录交易日期和时间的审计轨迹，不足以补偿被同一用户执行的多种职能之后的风险。审核财务的摘要报告不能补偿职责分离的义。监管者对用户账户管理进行审查是一个好的控制，然而，它可能无法发现不当活动。
2 "以下哪一项是用来识别ERP系统实施中违反职责分离的最有效的审计技术？ A.审计系统安全权限的报告、 B.审评授权目的的复杂性 C.开发程序来发现授权中的冲突 D.检查最近的违背访问权限的案例"
C 因为目标是检测违反职责分离，所以必须定义能够识别授权冲突的逻辑。可以开发程序来发现这些冲突。ERP系统中安全权限的报告可能需要花费大量时间和精力来评审；因此这种技术不及一个程序有效。随着复杂性增加，验证系统是有效性越来越难，且复杂性本质上与职责分离没有关系。审评最近的违反访问权限的案例是一个很好的实践；但是，他需要大量时间识别哪一个违规行为是真正由于不适当的职责分离导致的。
3 "一个项目经理在目标日期内不能实施所有的审计建议，信息系统审计师应该： A.建议在问题被解决前暂停项目 B.建议补偿性控制被实施 C.评估未解决问题的风险 D.建议项目经理重新分配审计资源来解决问题"
C 当审计建议在截至日期前没有被完全实施时，评估暴露的风险是最重要的。在评估的基础上，管理人员能相应地考虑补偿性控制，风险接受能力等。所有的其他选项仅在风险被评估后可能是恰当的。
4 "下面哪一个是有效防止断电的最好方法？ A.电力转接系统 B.双路电源线 C.发电机 D.UPS"
B 最有效方法就是从两个不同的配电站接电线。在电力中断时电力转换开关常常出现故障，它不能预防电力中断，但是它被用来降低此类中断的影响。发电机不能预防电力中断，它们仅仅用于万一电力中断时候的补充电源。UPS可持续监控电力供应并且当电力中断使能提供有限的电池电量以保持系统的运行，但是不能预防电力中断。
5 "当传输一个支付的指令时，以下哪一项可用来帮助校验该指令不是被复制的？ A.使用密码学的哈希算法 B.加密信息摘要 C.解密消息摘要 D.（使用）序列号及时间戳"
D 当传输数据时，将一个序列号及/或时间戳加入消息中来使其（该消息）变得具有唯一性，从而使得接受者能够确定消息在传输工程中没有被拦截和重放。这既是公认的重放预防（Replay Protection），可以用来确认一个支付指令不是被复制的。使用密码学的哈希算法来处理整个消息可以确保（传输过程中的）数据完整性。使用发送者的密钥来加密消息摘要，即对（收到的）消息时，这保证了该消息只能来自于对应的发送者。这个对发送者进行认证的过程保证了不可抵赖性。
6 "在审计访问权限时，以下哪项权限被分配给计算机操作员会使IS审计师感到可疑？ A.对数据的读取访问。 B.对交易数据文件的删除访问。 C.对程序的记录读取/执行访问 D.对作业控制语言（JCL）/脚本文件的更新访问。"
B 删除交易数据文件是应用程序支持团队的职能，不是操作人员的职能。对生产数据的读取访问是计算机操作员的正常工作需要，就像对程序的记录访问和访问JCL以控制工作的执行是正常工作需一样。
7 "一项应用程序开发工作外包给了离岸供应商。以下哪个选项最令IS审计师关注 A.合同中未包括审计权力条款 B.未建立业务案例 C.没有源代码第三方托管协议 D.合同中没有包括变更管理流程"
B 由于未建立业务案例，所以应用程序开发外包的业务理由、风险和风险管理缓解策略可能都无法得到高层管理人员的全面评估和正式批准。这种情况给组织带来的风险最大。没有审计条款、源代码托管或变更管理流程，这每一项都代表了对组织的风险；但它们都不像缺少业务案例的风险那样巨大。
8 "当审计一套新计算机系统的购置提议时，IS审计师应该首先确保： A.一份清晰且已被管理层许可的业务案例 B.达到公司安全标准 C.用户将参与与实施计划 D.该新系统将满足所有用户功能需求"
A 审计师首先要关注的是该提议满足业务需求，且这就要求建立一份清晰的业务用例。虽然符合安全标准是必须的，就像满足用户需求及用户参与实施过程一样，这些在采购过程中太早了，而不是IS审计师首先要考虑的。
9 "在实施电子数据交换（EDI）程序项目时，下面那一项应该是被包括在项目可行性分析中？ A.加密算法形式 B.详细的内部控制流程 C.必要的通讯协议 D.推荐的可信任第三方协议"
C 加密算法，第三方协议和内控流程对于可行性分析阶段来说对于详细。他们只需要概括和表明成本或性能的含义。通信协议必须在可行性研究阶段提及，因为如果涉及新的软件会导致显著的成本增加，而且如果通信协议对公司的全新的话，会导致公司面临新的风险点。
10 "实施专家系统的最大好处是： A.在组织内收集个人的知识和经验 B.分享中心知识库的知识 C.增强人员生产率和业绩 D.减少关键部门员工流动"
A 专家系统的基础是获取并记录组织中个人的知识和经验。将知识输入知识库，在企业内共享式推动实施专家系统的手段而不是溢出。提高人员生产率和业绩是一个优势。尽管如此，他不如获取知识和经验来的重要。专家系统不对员工流动生产影响。
11 "信息系统审计师应该通过检查以下哪项内容来了解更多项目管理控制的效果？ A.项目数据库 B.政策文件 C.项目组合数据库 D.程序组织"
C 项目组合数据库是项目组合管理的基础。它包括项目数据，如业主，计划，目标，项目类型，状态和成本。项目组合管理需要具体的项目投资组合报告。项目数据库可能包含一个特定的项目，设计到该项目的当前状态的各种参数更新。项目管理的政策文件确定的设计，开发，实施和项目的监督方向。完成项目交付目标，项目组织是必要的（管理委员会，质量保证，系统人员，分析师，程序员，硬件支持等）。
12 "IT开发项目的业务方案文档应该保留到： A.系统生命周期结束 B.该项目获得批准 C.用户已接受系统 D.系统投入使用中"
A 在产品的整个生命周期中可以且应该使用商业案例。它能帮助新（管理）员工理解关键点，为预期与实际情况分析提供有价值的信息。类似的问题：“为什么我们这样做”，“最初的目标是什么”和“我们如何执行这项计划”都可以回答，也有助于开发为了的商业案例。在项目的开发阶段，应始终确认商业案例，是一个很好的管理工具。项目完成后，投入生产，商业案例和所有已完成的研究为将来项目提供参考是宝贵的信息来源。
13 "在审查一个活动的IT项目，IS审计员发现，由于预期的效益减少及成本的增加，业务模式不再有效。IS审计员应该建议： A.终止项目。 B.首先识别业务模式的变更及可能的纠正措施 C.项目应该让赞助者重新批准 D.应先完成项目，之后更新业务模式"
B 在审查一个动态项目时，在识别业务模式是否发生变更之前，IS审计师不应建议中止或先定成项目。应建议业务模式保持当前状态，它是项目周期中决策的一个关键的输入。
14 "当检查一个局域网的实施时，信息系统审计师应该首先检查： A.节点列表 B.接受测试报告 C.网络图 D.用户列表"
C 为了正确的检查一个局域网的实施，信息系统审计师应该首先核实网络图和确认批准。核实节点列表的节点应该在网络图后，接着检查接受测试报告，然后是用户列表。
15 "IS管理人员告诉IS审计师，组织最近达到了软件能力成熟度模型的最高水平，那么最近组织增加的软件质量流程是： A.持续改进 B.量化的质量目标 C.文档化流程 D.为某一特殊项目定制的流程"
A 组织达到软件CMM最高级别五级，最优化。量化的质量目标只能达到四级以下；文档化流程在三级和更低级执行：为某一特殊项目定制的流程只能达到二级或更低级。需要做到持续优化，以便达到纠正措施或预防措施。
16 "管理人员发现在多阶段实施之初，就有落后计划和超出预算的情况。在进行下一阶段之前，IS审计师针对后实施阶段工作重点的首要建议应是 A.评估是否衡量、分析和报告计划的成本利益 B.审查控制平衡，验证系统能否正确处理数据 C.审查第一阶段的后续项目更改要求 D.确定系统目标是否实现"
C “既然管理人员意识到项目存在问题，那么审查后续修复将会提供关于项目问题的类型和可能原因方面的见解。这将有助于确定IT是否已为解决后续阶段中的这些问题而做好充分的计划。
尽管所有选项都对，但后实施阶段工作重点和主要目标应保证最初阶段的问题得以解决。”
17 "一家跨国销售组织正在制定新的计划，希望通过移动电话向客户提供信息服务。这家组织雇佣的IT经理的主要职责是： A.执行可行性分析 B.评估技术实力 C.准备业务案例 D.寻找解决方案提供商"
B 在这种场景下，IT经理应负责为此项计划评估技术实力。可行性分析、准备业务案例更可能由业务或流程负责人，而非IT经理执行。寻找解决方案提供商的任务由跨职能团队执行；这不是IT经理的主要职责。
18 "一位正在审查大型软件开发项目的IS审计师发现，项目正在按计划进行，且未超出预算，但是软件开发人员方面却出现了计划外的加班。这位IS审计师应该： A.既然可以如期完成，所以做出项目正在按计划进行的结论 B.进一步询问项目经理，确认加班成本是否得到准确追踪 C.做出程序员为赚取加班费用而有意工作迟缓的结论 D.进一步调查，确定项目计划是否准确"
D “尽管重要项目如期完成非常重要，但是如果需要相当多的计划外加班才能准时交付，则项目计划可能存在问题。大部分案例中，要求程序员大量加班显然不是最佳做法。
尽管加班成本可能是计划有问题的一个指标，但在许多组织中，编程人员可能会因此得到报酬，而加班成本可能不会直接记录。程序员有可能钻工时系统的空子，但是如果不付加班费，他们不会心甘情愿的加班。”
19 "以下哪个选项对应用程序系统的顺利实施影响最大 A.原型设计应用程序开发方法 B.遵守适用的外部要求 C.组织整体环境 D.软件再工程技术"
C “应用程序的系统开发管理流程是整个IT流程管理的一部分。组织整体环境对应用程序系统的顺利实施影响最大。
部署的方法自身对应用程序系统的顺利实施不会有太大影响。速度更快的开发工具（如第四代语言（4GL）技术）允许用户在短期内查看建设系统工作情况的高层次视图。通过采用此类工具，原型设计应用程序开发技术可大幅缩短系统部署时间。
遵守适用的外部要求对顺利实施也有影响，但是不如组织的整体环境影响大。
软件再工程技术是一个通过提取、重新使用设计和程序组件来更新现有系统的过程。在组织运营方式出现重大变化时，其能够提供支持。相对于组织的整体环境，其对应用系统的顺利实施影响较小。”
20 "发现IS项目范围发生变化而未执行影响分析时，最令IS审计师关注的是以下哪一项 A.变化带来的时间和成本影响 B.回归测试失败的风险 C.用户不同意更改 D.项目团队不具备作出必要更改的技能"
A “任何的范围变化都会对项目周期和成本造成影响；这就是执行影响分析、告知客户变化对计划和成本方面的可能影响的原因。
范围变化不一定会影响回归测试失败的风险，用户也不一定会拒绝更改，项目团队也不见得缺乏做出改变的技能。”
21 "使用成熟模型（CMM）来评估应用程序开发项目的主要目的是 A.确保开发了适当的系统流程和程序 B.验证是否开发了可靠的应用程序 C.确保系统安全要求合理恰当 D.验证程序员的工作是否高效"
B “通过使用CMM评估组织的开发项目，IS审计师可以确定开发组织是否遵守了稳定、可预测的流程。
CMM不是用来开发流程和程序、设计系统安全要求或是测试程序员工作效率的。”
22 "一家组织在项目完成之前审查关键项目成果，并决定随后对项目进行了一些重大更改。管理层发现这些改动会影响到最初设定目标的实现。为改进项目管理流程，IS审计师应建议采取以下哪一项控制？ A.定期绩效监控 B.流程框架标准化 C.适度的活动分割 D.高层管理人员审批"
A “项目的定期绩效监控能够确保与预算、时间和资源有关的错误或偏差在项目执行阶段得到尽早发现、及早作出更改。这样要好过等到项目结束时才来应对（这时作出更改的成本会增加）。
如同将采用的活动和模版自定义一样，项目管理流程所用框架的标准化也有助于建立有效的项目控制，但它不能直接保证执行了适当的绩效监控。
将项目活动按照各个阶段进行分割能够简化管理、计划和控制工作。但是它本身无法保证对各阶段的目标实现进行审查，及时防止组织更改延迟的情况。
为保证获得项目成功所需要的资源，在项目开始前需要得到高层管理人员的审批，但这不能保证项目得到适当监控，其各个目标均能实现。”
23 "下列哪一项是对确定项目活动带优先级和确定项目的时间表最有帮助？ A.甘特图（一种按照时间进度标出工作活动，常用项目管理的图表） B.挣值分析法（是一种项目跟踪、对项目状态评估的技术。其核心内容是将工作、工作进度量化为价值，工作计划—预算，实际工作进展—成本，使得我们可以客观的精确地计算共完成的百分比。它解决了在任务持续时间段内凭借主观估计该任务完成情况的问题） C.项目评审技术 D.功能点分析法"
C PERT方法的工作原理是基于项目事件的三种可能情形（最好、最坏、正常）下获得的项目的时间表。时间表由事先定义的公式计算，并识别关键路径，识别出的关键活动必须是最优先的。EVA是跟踪项目成本和项目成果的技术，但对任务优先级排序没有帮助，甘特图是一个简单的项目管理工具，并对于优先级排序需求有帮助，但是它没有PERT更有效。FPA评估输入和输出的复杂性，但对于项目活动优先级排序没有帮助。
24 "某企业正在开发一个新的采购系统，但有些任务进度已经落后于预定计划。由此，有人建议将原定的测试阶段缩短。项目经理向信息系统审计人员咨询如何减轻缩短测试时间可能带来的相关风险。下列哪一项是适当的风险缓解策略？ A.测试并发布一个精简功能的版本 B.修复并且重新测试最为严重的功能性缺陷 C.取消开发团队已计划的测试，直接进入验收测试 D.部署一个测试工具去做自动化的缺陷跟踪"
A 选项A能在很多途径上降低风险。降低功能要求会导致运行较少的整体测试用例和缺陷修复，以及更少的回归测试。对被选择的一组用户而言，一个试用系统发布是可用的，能降低与完全实施相关的风险。针对所有用户发布系统不能实现所有的优点，但是某些优点将开始实现。另外，可以获得来自真实用户的有用的建议来在完全发布中引导额外的功能和其他的一些需求上的提升。选项B不正确，当测试开始后，一个指标性意义的缺陷是非常可能存在的。仅仅聚焦在风险的高位功能性缺陷上面，会忽略一些其他的重要场景，比如可用性问题和性能以及安全方面的非功能性的需求。系统能上线，但是用户可能难于使用旨在实现业务利益的系统。选项C是最常见的很糟糕的想法，在系统的验收测试开始之前，某些前置的测试要进行并发布系统已经准备好进入验收评估的阶段。如果有开发团队进行的前置测试没有发生，有相当大的风险就是大量的低级别的缺陷存在，比如交易引发的系统当即和难以理解的错误信息，对用户或测试者的验收测试而言，最终导致整体测试时间的增加而不是减少。选项D能够帮助提升测试效果，但是他不能处理由于在一个质量得不到保证的系统中减少测试的努力所带来的基础风险。根据问题发生的经验，至少有理由怀疑存在着质量问题。
25 "企业首席信息官（CIO）担心，在软件项目进入到测试阶段后，发现大量的缺陷使得项目延迟。下列哪个选项最适合解决这种情况？ A.要求所有的测试任务都由一个专门团队来执行 B.构建系统时以较小、较短的增量进行 C.采用一个顺序的开发技术，把测试类型和开发阶段绑定起来 D.要求交付所有项目成果时正式签字"
B 建立一个更小更短的增量工作软件系统作为每一个增量输出，能够在项目的整个生命周期的早期暴露质量问题。安排专业的测试人员有助于增加测试效果并可能有力的、较早的暴露严重的缺陷。无论怎样，在开始测试以前的项目早期阶段，这个选项并不解决缺陷的基础性问题。一个顺序的开发技术，比如“V型”模型，是一个顺序的软件开发方法，比如，项目被视为一个“需求定义、设计、开发、测试”的顺序阶段，但是，它不能在测试开始之前的项目早期阶段直接定位缺陷所在。正式签字并不确保签署者充分理解文档以及此文档是否完整。
26 "以下哪一项是由不合适的软件基线（software baselining）导致的风险？ A.范围蔓延 B.交付延迟 C.软件完整性违规 D.不合适的控制"
A 软件基线是系统的设计和开发阶段的调整点，在此之前如果没有经过业务成本分析及正式严格的审批步骤，都不应该对设计部分作出额外要求或修改。没有通过软件基线管理系统需求将会导致一系列的风险，其中最大的风险就是范围蔓延。选项BCD都不一定会发生，但A是不可避免的。
27 "因为开发时间或资源需求被低估，很多IT项目遇到问题，以下哪一项技术可以在预计项目期限方面提供最大的帮助？ A.功能点分析 B.PERT图 C.快速应用开发 D.面向对象开发"
B 了解所有的活动及相应的工作后，可以通过PERT图计算项目持续时间。功能点分析是基于功能点数量判断一项开发任务大小的技术。功能点是输入。输出、查询、逻辑内部文件等要素。虽然这有助于确定个别活动的规模，却无法确定项目的持续时间，因为活动有很多重叠。快速应用程序开发能够组织快速开发具有重点战略意义的系统，同时降低开发成本，保证质量，面向对象开发方法是解决方案的技术说明和建模的过程。
28 "IS审计师正在检查一系列完成的项目，发现完成的功能超过了需求，并且绝大多数项目显著超过预算。该组织的项目管理流程的哪个方面最有可能造成这个问题的原因？ A.项目范围管理 B.项目时间管理 C.项目风险管理 D.项目采购管理"
A 由于完成的功能大于需求功能，最可能的预算超支问题的原因是没有有效的管理项目范围。项目范围管理被定义为确保项目包含为完成项目所需的工作并且只有需要的工作所需的流程。选项B是不正确的，因为项目时间管理被定义为确保项目按时完成所需要的流程，上面出现的问题没有提到项目是否按时完成，因此这不是最可能的原因。选项C是不正确的，因为项目风险管理被定义为与识别、分析和对项目风险的反应相关的过程。尽管上面提到的预算超支代表了项目风险的一种形式，他们似乎是由完成太多功能造成的，这与项目范围直接相关，选项D是不正确的，因为项目采购管理被定义为被审计的组织外部获得的商品和服务所需的过程。尽管采购过于昂贵的商品和服务造成预算超支，在当前情况下造成该问题最主要的原因是完成的功能远大于需求，这更有可能与项目范围有关。
29 "IS审计师在检查一个组织的软件开发流程，下列哪项功能是最适合由最终用户来完成的？ A.程序输出测试 B.系统配置 C.程序逻辑规范 D.性能调查"
A 用户可以通过检查程序输入测试程序输出并与系统输出相比，虽然这个工作通常由程序员完成，但由用户来做就是更有效的。系统配置通常技术性过强而不能被用户完成，而且这种情况下会造成安全问题。程序逻辑规范也是一个非常技术性的工作，通常由程序员完成，性能调整同样需要高等技术因此也不能由用户有效完成。另外选项BCD也会带来职责分离问题。
30 "IS审计师发现系统开发模式下，有12个链接块且每条记录带有10个可定义属性的字段。系统一年处理几百万条事务，IS审计师可以使用以下哪种技术来评价开发工作的大小？ A.项目评审技术 B.源代码系统 C.功能点分析 D.白盒测试"
C 功能点分析是一种通过考虑输入，输出和文件的数目和复杂性间接测量应用程序大小的方法。它用于评估复杂的项目。项目评审技术是管理技术有助于项目规划和控制。源代码统计给予一个程序大小的直接测量，但不允许产生有重复的链接模块的和各种各样的输入和输出地复杂度。白盒测试包括详细的程序代码行为检查，也是适合于简单应用程序设计和开发建立阶段的质量保证技术。
31 "系统开发生命周期项目的阶段和交付成果应被确定： A.在项目启动计划阶段 B.在早期计划完成后，但在实际工作开始前 C.整个工作过程中，基于风险和暴露点 D.只有在识别所有风险和暴露点后且IS审计师建议采取适当的控制后"
A 项目计划的正确性是非常重要的，而特定阶段和支付成果应当在项目的早期阶段前确定。
32 "功能性在软件生命周期是来评估软件产品的一个特点，最好的描述在于： A.已有的功能性清单和它们得具体内容 B.软件从一个环境转移到另外一个环境的能力 C.软件在声明条件下保持性能等级的能力 D.软件的性能和大量使用资源之间的关系"
A 功能性是基于现有功能属性和他们的特定属性的属性设置。功能性是安全说明或隐含的需求。选项B提供了可移植性，选项C提供了可靠性，选项D提供有效性。
33 "下面哪个是时间盒子管理的特点？ A.不适用于原型或快速应用开发 B.减少质量控制过程的需要 C.防止成本超支和延迟交付 D.将系统测试和用户接受性测试分离"
C 时间盒子管理，设置具体的时间和成本的界限。非常适用于原型和RAD，集成系统和用户验收测试，但不能消减对质量流程的需要。
34 "以下哪项最能确保业务应用系统离岸开发的成功： A.严格的合同管理 B.详细、正确的申请规范 C.意识到文化和政策的差异 D.实施后检查"
B 在操作离岸项目时，最重要的是建立详细的规范说明。由于开发者，最终用户间语言差异和缺乏交互，设想、修改的沟通可能不充分，产生偏差。A,C,D虽然也重要，但B更重要。
35 "为加强项目工期约束，计划增添人手，以下哪项需要首先被重新核定： A.项目预算 B.项目的关键路径 C.剩余任务量 D.调配到其他项目的人员情况"
B 由于增加资源可能会改变项目的关键路径，必须重新评估项目实施关键路径以确保额外增加的资源能缩短工期。鉴于有可能不是在关键路径上的其他一些任务，给其他任务增添人员，项目预算，工期可能不受影响（某任务增添人手，可能引起关键路径的变化）。
36 "当把质量控制作为检查一个项目的重要关注点时，IS审计师应该使用项目管理三角形理论（质量-成本-时间）来解释： A.即使资源减少，质量控制目标也能提升 B.质量控制目标只能在资源增加的情况下提升 C.即使资源减少，也能加快成果交付 D.加快成果交付只能在降低质量控制要求的情况下才能事件"
A 项目的交付由三个主要方面来确定，所分配的资源和交付事件。三角形的面积由三边组成，面积是固定的。改变一条边长，可能是通过改变另一边或两边来补偿。因此，如果资源分配减少，如果在延长交付事件的情况下，提高质量是可以实现的，三角形的面积始终保持不变。
37 "在软件开发项目中，下面哪项是符合成本效益，降低软件开发项目过程中遇到的缺陷的数量有效建议： A.增加系统测试的时间 B.实施正确的软件评审 C.增加开发人员 D.要求签署所有项目的可交付成果"
B 评审代码和设计是提供软件质量的技术。这种方法的优点是缺陷在被传播到项目生命周期的下一阶段之前被识别，降低了减少返工及修正成本。花费更多的时间测试可发现更多的缺陷，额外的测试费用相对于没有早期的发现缺陷进行修改成本要小得多。开发人员的能力影响产品的质量，但是，更换开发人员取代昂贵、缺乏连续性，有胜任能力的人员在缺乏有效的管理流程的时候也不能保证产品的质量。交付物签字，复核人认真的检查交付内容有助于发现缺陷，但执行很难，交付审查通常不细致到软件评审的级别。
38 "当鉴别提前一个项目的完成时间，需要额外付费的活动，以下哪项为关注的： A.活动时间最短 B.零松弛时间（关键路径） C.最长完成时间 D.松弛时间最短者"
B 关键路径的活动时间比网络其他路径长。该路径非常重要，它的长度是整个项目完成时间最短的。在关键路径上的活动具有零松弛时间，相反，零松弛时间的活动都在关键路径上。连续的通过调整对关键路径上的活动，曲线显示项目总成本与时间的关系。
39 "IS审计师审计一个软件开发项目，项目已完成80%以上，但时间已经超期限25%，成本超过10%。则审计师该？ A.报告组织没有进行有效的项目管理。 B.建议更换项目经理。 C.审查IT治理结构。 D.审查该项目的执行过程和业务方案（判断商业模式是否发生变更）。"
D IS审计师需要在了解项目及项目预算超资，进度延迟的主要因素后才能做出建议，即使组织有有效的项目管理方法和良好的IT治理结构，仍可能落后于计划或超出预算。没有任何迹象表明，项目经理由于没有对项目延期原因进行调查而应该被更换。
40 "IS审计师应去审查下列哪一个，以便了解项目的进度，预算和支付，及早发现可能超支和预计完成的评估？ A.功能点分析 B.净值分析 C.成本预算 D.项目评估和审查技术"
B 净值分析（EVA）是一个行业标准方法，对于测量项目的进度，可在任何时间点，预测其完成日期和最终成本，分析进度中、成本、预算的差异。通过比较计划工作量与实际完成的工作量，判断成本，时间，工作的完成与计划一致。如果存在一个良好的工作分解结构的话，EVA将会更有效。功能点分析法是一个间接的测量软件规模和复杂性，不能用来做时间和预算的。成本预算不能解决时间问题。PERT在时间和交付管理上有帮助，但缺少对项目预计完成和整体财务管理的功能。
41 "下列哪一项技术最能帮助信息系统审计师获得有关项目满足它的目标日期的合理保证？ A.根据情况报告，在已完成的百分比和估计完成的时间的基础上评估实际结束日期。 B.在与参与已交付工程的有经验的经理和员工交谈地 基础上确认目标日期。 C.在已完成的工作任务和现在的资源的基础上推算最后的结束日期。 D.在当前的资源和剩余可用项目资金的基础上推算期待的结束日期。"
C 直接观察比从访谈或情况报告中估计和定性得到的结果要好。项目经理和参与员工易于低估完成需要的时间和必须的时间，来减少任务间的依赖。而过高估计已完成任务的百分率。剩余预算的基础上的推算没有考虑项目已经进行的速度。
42 "信息系统审计师发现对时间约束或延伸的需求，在新商业智能项目中违背了企业数据标准。以下哪一项是审计师应该提出的最佳建议？ A.通过增加项目的资源投入，使项目符合有关标准 B.在项目完工后在实现与数据定义标准的一致性 C.推迟项目，直到项目符合有关标准 D.通过对违反标准者采取惩罚的方式，加强项目的合规性"
A 如果数据结构、技术和操作需求得到了详细记录，标准符合性问题可以看作是分配给新项目资源的特定工作任务。使用费标准数据定义会降低开发工作的效率，增加关键业务决策发生错误的风险。在项目完工后修正数据定义标准（选项B）是危险的，并不是一个可行的方案。另一方面，惩罚违反标准者（选项D）或推迟项目建设（选项C）也不合适的建议，因为可能会影响项目的收益。
43 "一个项目经理负责一个被规定要在18个月完成的项目，并宣布项目正处良好的财务状况，因为6个月后仅1/6的预算花费。项目经理应该首先确定： A.对照时间表已经完成的进程量 B.是否项目预算能减少 C.是否项目能提前完成 D.是否项目预算能扩大项目范围"
A 项目的花费情况并不能恰当地评估时间进度情况。在一个项目上费用不能被简单地估。为了恰当地评估项目预算状况，知道实际上有多少进程被完成是必要的。给予这些，费用的使用情况被期望。项目的费用低，是因为实际进程也完成的少的情况也是可能的。直到对照已经完成的时间安排分析项目，是不可能知道任何原因去减少预算。如果项目有小的失误落后计划，那么，不但没有多余的预算，而且可能还需要额外的花费被需要去挽回失误。实际上低的花费可能是项目可能延误而不是提前的表现。如果校正实际的进程后，项目被发现少于预算，这未必是一个好的结果，因为它表明是原预算进程的瑕疵。如上所说，直到进一步分析被保证，不能确定任何多余的资金实际存在。进一步的，如果项目提前完成，那么扩大范围可能是错误的。
44 "当企业完成所有关键业务的业务流程重建（BPR）后，IS审计师最可能关注以下哪一项？ A.业务流程重建前的业务流程图 B.业务流程重建后的业务流程图 C.业务流程重建计划 D.持续改进和监控计划"
B IS审计师的任务是识别和确认关键控制被纳入到重建流程。选项A是不正确，因为IS审计师必须检查现在的流程而不是过去的流程。选项C和D也是不正确的，因为他们是业务流程重建的一个步骤。
45 "在定义并实现系统交付成果以确保顺利完成和实施新的业务系统应用程序时，应由谁来负责审查和审批 A.用户管理人员 B.项目指导委员会 C.高层管理人员 D.质量保证人员"
A “用户管理人员有对项目和所建立系统的所有权，向团队分配有资质的代表，主动参与系统需求定义、验收测试和用户培训。应由用户管理人员对于根据定义、完成或实施的系统交付成果进行审查和审批。
项目指导委员会将提供整体指导，确保主要利益相关方的利益在项目成果中得到了适当体现，定期审查项目进展情况，根据需要举行紧急会议等。项目指导委员会为所有的交付成果、项目成本和计划最终负责。
高层管理人员就项目作出承诺，并批准提供项目完成所需要的资源。高层管理人员的这一承诺有助于确保那些项目完成所需人员的参与。
质量保证人员审查其各个阶段内取得的成果，并在每个阶段结束时就其是否符合要求进行确认。审查时间取决于系统开发生命周期、系统的结构和大小，以及可能偏差的影响。”
46 "一个组织在实施企业资源规划（ERP），以满足其业务目标。以下谁是最主要负责监督该项目，以确保它按照项目计划开展，交付预期的结果？ A.项目发起人 B.系统开发项目团队 C.项目指导委员会 D.用户项目组"
C 项目指导委员会，提供一个ERP实施项目的总体方向，负责审查项目的进展，以确保实现预期的结果的负责。项目的发起人通常是负责被应用支持的主要业务单位的管理者。发起人为项目提供资金，并与项目经理监督关键成功因素和标准。发起人不负责审查项目的进度。SDPT与用户组有效的沟通完成项目经理分配的任务。SDPT不负责审查项目的进度。UPT与开发组有效的沟通完成项目经理分配的任务。UPT不负责审查项目的进度。
47 "当评估一个组织的软件开发实务时，信息系统审计师注意到质量保证能直接报告给项目经理，作为一个信息系统审计师最重要的关系是： A.质量保证功能的有效性，因为项目管理人员和用户管理人员之间相互影响。 B.质量保证功能的效能，因为项目实施小组的配合。 C.项目经理的效力，因为项目经理与质量保证功能互相影响。 D.项目经理的效能，因为质量保证功能需要与项目实施小组联系。"
A 有效的质量保证功能应该独立于项目管理人员。质量保证功能决不能与项目实施小组相关影响，因为这能影响有效性。项目经理也不能与质量保证功能相互影响，这也不影响项目经理的效率。质量保证功能也不能与项目实施小组相互影响，这也不影响项目经理的效率。
48 "Web程序开发者有时使用网页上的隐藏区域保存客户会话信息。这种技巧有时被用来保存会话参数以便能跨网页访问，例如在零售网站应用程序中保存购物车内的物品。因为这种实践，下列最有可能基于Web的攻击是： A.参数篡改 B.跨网脚本 C.Cookie中毒 D.隐藏运行命令"
A Web程序开发者有时运用隐藏区域保存客户端会话信息，或提交隐藏参数，如终端用户的代码给应用程序。由于隐藏形式的区域不在浏览器里显示，开发者可能觉得传送未验证数据是安全的（以后验证）。这种做法不安全是因为攻击者可以拦截、修改且提交能发现信息或web开发者从未注意到的执行功能的请求。网络应用程序参数的恶意更改被称作参数篡改。跨网脚本攻击包括已被入侵的网页重定向用户到入侵者的网站内容。使用隐藏区域不会影响跨网脚本攻击发生的可能性，因为这些区域都是静态的内容，一般不能被更改而造成这种类型的攻击。Web应用程序使用Cookies在客户端机器上保存会话信息，所以用户不需要每浏览一个网页就登入一次。Cookie中毒是指为了冒充用户或者窃取登陆证明而拦截和更改会话Cookies。隐藏区域的使用和Cookies中毒没有关系。隐藏运行命令是通过安装未授权代码的web服务器劫持。当使用隐藏形式可能会增加服务器被入侵的危险，最常见的服务器漏洞包括服务器操作系统或网络服务器的脆弱性。
49 "审计师正在审计一个软件采购流程，他需要确保： A.在合同签署之前先经过法律顾问的评审和批准 B.现有的系统无法满足需求 C.有关需求对业务至关重要 D.用户充分参与购置流程"
A 审查和批准合同的过程是软件采购流程中的非常重要的步骤之一。审计师要检查法律顾问已经在管理层签署之前评审和批准过合同。选项B不是正确的答案，因为已经存在的系统可能是符合需求的，但是管理层可能出于其他的原因而采购软件。选项C是不正确的，因为需求并不必须要去支持关键的业务需要。选项D是不正确的，因为在软件的采购过程中，用户的参与并不是必须的。用户最有可能参与的是在需求定义和用户验收测试（UAT）。
50 "在审计一个已获得的软件包时，IS审计师已经知道这个软件购买是以互联网获得的信息为基础，而不是从RFP得到的反馈。此时，IS审计师首先应该： A.检测软件的完整性是否满足当前硬件的需求 B.执行漏洞分析 C.审计版权政策 D.确保流程已经被批准"
D 相比规定流程的违规程度，IS审计师应当首先确保所需的软件包含业务目标并且被批准。其他选项不是IS审计师首先考虑对象。它们是发生在确定用于获得软件的流程已被审批之后的步骤。
51 "组织已和供应商签约，使用他们的电子征税系统（ETCS）解决方案。供应商在解决方案中包含了应用软件的所有权。合约应满足： A.备份服务器应可用最新数据来运行电子征税系统 B.备份服务器保存所有相关软件和数据 C.组织中使用该系统的员工应被培训后可处理任何事件 D.电子征税系统应用的源代码应由第三方保存附带条件委付盖印的契约"
D 当购买专用的应用软件时，合同中应规定源代码的协议。这将确保购买公司在供应商业务终止时拥有修改软件的机会。对当前的数据使用备份服务器和员工培训是关键的，但不确保源代码的可用性关键。
52 "某公司和外部咨询公司签约资金系统以替换现有的自行开发系统。在审核提交的开发途径时，下面那一项最值得关注？ A.由用户来管理验收测试 B.质量规划不是合同内容的一部分 C.在初步实施新系统会导致部分业务不可用 D.原型法被用于确保系统满足业务需求"
B 质量规划是项目中基本要素。要求签约供应商落实这个计划很关键的。质量规划在开发合同中应当综合考虑并包含所有的阶段并且包含需要什么样的业务功能并且合适需要。验收通常在用户方进行，用户需要确认新系统能够满足他们的需求。如果系统规模过大，在接近事实进行时合理的原型法是一种有效的开发方式确保系统满足业务需求。
53 "IS审计师在检查一个推荐的应用软件采购时应该确保： A.使用的操作系统与现有的硬件平台相兼容 B.计划操作系统的升级已按照公司要求的最小负面影响来安排时间 C.操作系统是最新版本并且实时升级 D.产品与当前或者计划中的操作系统相兼容"
D 选择A和C都是不正确的，因为它们中没有一个与正在审计的内容有关。在审查提议的应用时，审计师应当确保购买的产品与当前或计划的操作系统相兼容。关于选项A，如果操作系统是目前正使用的，它与现有的硬件平台是兼容的。如果不兼容，它将不能正确的操作。在选项B中，计划操作系统的升级应当在对组织最小负面影响的时间段进行。选择C已安装的系统应当配备最新版本和升级。
54 "下列哪一项可使总体编程效率和可靠性达到最佳？ A.结构化编程 B.微程序设计（microprogramming） C.面向对象编程 D.线性编程"
C 因为“对象”（现有数据定义和附加数据操作例程）能直接包含在源代码中，面向对象编程允许对软件进行常规性重用，并增加了代码的可靠性。结构化程序是“jumpless”无跳转的编程，通过禁止程序的Jump（跳转），可消除造成错误的诱因，但是这种编码方法主题任务的合适的逻辑结构，这可能花费大量的时间。Microprogramming是在机器级别上的汇编程序，它即花费时间也会产生关键性错误。线性编程是一种优化任务的数学解决方法，比如最大利润或者最小成本，但是要给出一个特定的数学模型才起作用，用于特殊的、范围有限的特定任务。
55 "选择使用快速应用开发（RAD）方法来实现一个ERP系统。因为内部员工无法满足需求，所有的项目活动都被分配给承包的咨询公司。审计师首先要做什么？ A.评估项目的计划和方案 B.要求供应商提供额外的外部员工 C.建议公司雇佣更多的员工 D.暂停项目，直到人员到位"
A 因为计划时间通常很短，RAD法需要可用的资源和良好的专业知识以及快速的决策流程。为弥补最终用户数量的不足，审计项目计划和方案可以对其做出合适的变更，这是最好的建议。增加参与项目的外部人员不能解决这个问题，因为他们不能决定哪个内部人员能代表来自业务端的最终的使用人员。雇佣更多的新员工将花费时间，而且也不能保证新员工能在项目中做出适当的决定。停止项目也许能成为一个不错的选项，但是审核项目并考虑所有的情况才是最先要做的。
56 "对使用原型法开发的业务应用系统变更控制比较难，是因为： A.原型开发的迭代特征 B.需求和设计的快速修改 C.强调结果和目标 D.缺少集成工具"
B 需求和设计变化的如此之快，以至于它们难得归档或经过验证。选项AC或D是原型法的特点，但是他们对变更控制没有什么不利的效果。
57 "使用面向对象设计和开发技术的应用最可能： A.使模块具有重用性 B.提高系统性能 C.提高控制有效性 D.加快系统开发生命周期"
A 面向对象开发和设计的一个主要的优势是能够重用模块。其他选项不是面向对象通常的优势。
58 "一个组织有一个集成开发环境（IDE），程序库在服务器上，但是修改/开发和测试是在PC工作站中进行的，下列哪一项是IDE的一个优势？ A.分散的多个程序版本控制 B.扩大编程资源和工具使用 C.增加程序和处理的完整性 D.防止有效的变更被其他变更覆盖"
B 使用IDE的优势之一是扩大编程资源和工具的使用，维持服务器周围环境所有开发工具可用。IDE自身不进行版本控制，相反会导致多个程序版本的存在。IDE不影响完整性，也不管理程序变更。
59 "在减少开发成本和确保项目的质量情况下，以下哪项管理技术可以使企业快速开发战略上的重要系统： A.功能点分析 B.关键路径法 C.快速应用程序开发 D.项目评审技术"
C RAD是一种管理技术用于组织快速开发战略上的重要系统，在减少开发成本和确保项目的质量情况下。PERT和CPM是计划控制技术，而功能点分析师用于建立复杂的业务应用开发的一种控制技术，用于评估项目的复杂度。
60 "下列哪一选项是采用原型开发手段的优势： A.已完成的系统自身就有很强的内部控制 B.原型系统能够带来明显的时间和成本节省 C.原型系统中的变更控制通常没那么复杂 D.原型法确保功能或额外的内容不附加到预期系统中 "
B 原型法能显著的节约时间和成本，然而，还有很多不足，经常没有足够的内部控制，变更控制变得非常复杂，经常导致功能或者不是原来预期额外的东西被加入到系统中。
61 "相对于传统系统开发生命周期，快速应用开发的最大优势是 A.促进用户的参与 B.允许早起技术特征测试 C.推进向新系统的转化 D.缩短开发的时间周期"
D 采用RAD最大的优势是系统开发过程中缩短开发的时间周期。选项AB都是对的，但他们是传统系统开封的生命周期，选项C不一定在那个是对的。
62 "基于组件（构件）的开发方法主要的优势是： A.能管理各种不受限制的数据类型 B.提供复杂关系的模型 C.满足变更环境需要的能力 D.支持多开发环境"
D 用一种语言写的组件能与其他语言写的控件相互配合，或在其他机器上的运行，这能加快开发速度。软件开发者能以业务逻辑为中心。其他的选项不是一个基于组件开发方法的重要的优势。
63 "当一个信息系统审计师检查一个用敏捷开发方法开发的项目时，信息系统审计师期望发现下列哪些一项？ A.使用过程成熟度模型，例如能力成熟度模型 B.根据时间表安排定期检查任务进程 C.大量使用软件开发工具来提高开发效率 D.重复检查来识别经验以备将来项目使用"
D 软件敏捷方法的一个关键原则是管理人员学习了解精炼的项目管理和软件开发过程并作为项目的进程。获得这个的最佳方法之一就是每次反复后。项目组考虑并记录好的工作方法和如何使工作更好，并识别改进下一次反复。实际上，能力成熟度模型和敏捷开发方法是相对立的。能力成熟度模型着重强调预定义正式的进程和正式的项目管理和软件管理交付。相比之下，敏捷项目依靠进度的改良，被项目特定的需要和项目组动态制指定。另外，较低重要性的是在正式纸质为基础的输出，在团队内有效正式沟通以及关键外部投入。Agile项目在短重复里生产可解除软件，典型分为从四到八周。从她本身来说，在团队内灌输相当的执行纪律。这个和短时间的日常会议结合，来决定什么团队正在做以及任何阻碍的鉴别，汇报任务级别按照计划跟踪。Agile项目确实使用合适的开发工具，但是，工具不上达成生产力的首要手段。团队和谐、有效沟通和集中力量来解决挑战是更为重要的。
64 “以下哪一个是面向对象的技术特性，可以增强数据更高安全性的特点？
A.继承：继承可以参考数据库结构的严格层次型结构（不具多重继承）.如果继承初始化与类的层次无关的其他对象，这样就不具对象的严格层次性。
B.动态库。
C.封装性：利用分层协议的技术，较下层的接受较高层的信息成为内部框架中的一部分。
D.多态性：就像数据结构，传送同一命令给不同的子对象，但根据他们所属的层次型的树状结构，会产生不同的结果。”
C 封装是对象的属性，他可以阻止访问未定义为公共的属性或者方法。这意味着对象的任何行为的执行都是不可访问的。对象定义了与外部的通信接口，只有属于这些接口的东西可以被访问。
65 "以下哪种风险是在SaaS（软件及服务）环境下最可能遇到的？ A.不遵守软件许可协议 B.互联网交付方法引发性能问题 C.软件许可要求造成成本偏高 D.兼容硬件更新需求造成成本偏高"
B 由于SaaS依赖互联网进行连接，所以SaaS环境下最可能遇到的风险是速度和可用性问题。SaaS以使用而非许可为基础进行提供；因此，不存在不遵守软件许可协议或许可费方面的风险。此外，开放式设计和互联网连接也让大部分SaaS可以虚拟方式进行，因而不需要硬件。
66 "由于重组，一个企业应用程序系统将会扩展至其他部门。以下哪一项最令IS审计师关注？ A.未确定流程的负责人 B.未确定记账成本分摊方法 C.应用流程存在多个所有者 D.没有培训方案"
A “在一个应用程序扩展到多个部门时，确保流程负责人和系统功能之间的对应非常重要。如果没有指定的流程负责人，在监控或授权控制方面可能会有问题。
应用程序使用成本的分摊方法是次要问题。只要流程负责人确定，存在多个应用程序所有者的情况也不是问题。是否制定培训方案则不是IS审计师要考虑的问题。”
67 "一家组织的云计算策略为采用外部提供商的软件即服务（SaaS）模式，在审计其云计算策略时，以下那个选项是最令IS审计师关注的？ A.必须执行工作站升级 B.软件的长期购置成本偏高 C.与提供商签订的合同中不包括现场技术支持 D.没有全面确定提供商的事故处理流程"
D “SaaS提供商通常不会为组织提供现场支持。因此，组织及其提供商之间的事故处理流程对于事故的检测、沟通和解决非常重要，包括有效的沟通渠道和上报流程。
除非组织的工作站被废弃，否则升级不会成为SaaS模式的一个问题，这是因为大多数作为SaaS运行程序采用了通常的技术，允许用户在不同的设备上运行软件。软件购置费用的降低是SaaS带来的众多好处之一。”
68 "要在海外安装一个新的数据库，以便向公众区提供信息并且提高获取信息的速度。此海外的数据库服务器将放在某IDC，并实施更新以便获得本地所存储信息的镜像。下面哪一个方面的操作的风险最高？ A. 数据库中存储信息的机密性 B.用于运行数据库应用的硬件 C.海外数据库备份的信息备份 D.远程访问备份数据库"
B 业务目标是让公众及时获得信息。当数据库服务器被放置到海外之后，不能修复的硬件损失会引发系统可用性的降低。信息主要为公众使用，海外数据库是一个本地数据库的镜像。因此，在本地存在着一个备份的拷贝。远程访问备份服务器不影响可用性。
69 "在确定从一个数据库迁移到另一个数据库的个人的账户余额是否正确的时候，以下哪个选项是最有效的？ A.在迁移前后比较其HASH值 B.验证前后两个数据库的记录数是否相同 C.就迁移账户的余额执行抽样测试 D.对比所有记录的总数核对控制"
C 对迁移后账户余额执行抽样测试，将涉及从迁移前的数据库中选择某些交易来进行比较。而通过HASH（哈希值）仅仅能验证数据在批处理级别而不是单一交易级别的完整性。数据库中被编辑的记录能包含多个字段。审计师不能通过记录数来确定某些字段是否均被成功迁移。比较总数核对并不意味着完成记录的迁移。
70 "一个信息系统审计师被要求检查一项执行标准化IT基础设施的提议。下述哪个发现需要在审计师的报告中展现出来？ A.提高IT服务交付与操作支持的成本效益 B.增加IT服务交付与支持的复杂度 C.减少在IT基础设施的投资水平 D.减少未来应用程序变化的测试需求"
A 基础设施的标准化将通过组织提供一个兼容的平台和操作系统集合。该标准化降低了管理和相异平台和操作系统所学的时间。另外，增强的操作支持工具的安装如密码管理工具、补丁管理工具和用户访问的自动配置工具等将会简单化。这些工具能够帮助组织降低IT服务交付和操作支持的费用。如上所述，限制基础设施在优先标准化技术集合中会简化IT服务交付，而不是让他更复杂。当标准化可以降低支持费用时，过渡到标准化工具可能就会计较昂贵，因此，IT基础设施投资的整体水平并不一定降低。一个标准化的基础设施可能简化对变化的测试，但不会降低对该测试的需求。
71 "审计师正在进行一个企业网络投产后的评价审计。下面哪一个将是最令人担忧？ A.无线PDA设备没有设置密码保护 B.安装网络设备之后，没有修改默认的密码 C.没有出站的WEB代理服务器 D.并非所有的通信链路都使用加密"
B 在这个例子中，最显著的风险就是在安装完关键的网络设备之后没有改变其出厂密码。一个无线设备未使用密码保护是一个风险，但作为不安全的设备而言，它不是最显著的。类似的，使用一个WEB代理服务器是一个好的实践，但是也许根据企业的不同，这不是必须的。加密对数据安全而言是一个好的控制，但由于成本和复杂性，对所有的通信链路而言，并不合适。
72 "与管理层商讨后，公司的IT部门决定所有的IT硬件从采购期起的三年后被替换。最可能的原因是： A.以成本效益方式管理IT资产 B.与新的成本效益技术同步 C.确保现有能力能满足所有用户需求 D.确保IT硬件厂商质保"
A IT资产在经济生命周期内实行成本效益。IT资产被使用一段时间后，由于损耗和更换零件费用的增加，维护IT资产的成本也会大幅度增加。这就是IT硬件使用一段时间后，被替换的最主要的原因与新的成本效益技术同步技术，确保现有能力可以满足当前用户的需要，确保IT硬件由厂商保质，不是指定一个标准资产周期的最可能原因。
73 "通过提取和重用程序组件来增强现有系统，这种方式叫做： A.逆向工程 B.原型法 C.软件复用 D.再造工程"
D 再造系统是对原有系统的有效性，适应性和扩展性需要进行再造以便维持运行，再造工程是应用程序语言动态整合新功能到现有系统。逆向工程设计机器码得到源程序。原型法是系统开发方法。软件重用是计划过程，分析和使用以前开发的软件组件，重用组件是有规划的集成到当前软件产品中。
74 "审计师正在检查一个最近完成的一项新的企业资源计划（ERP）系统的迁移。作为迁移流程的最后阶段，该组织在新系统运行前，让新老系统共同运行30天，什么是该组织应用此策略最显著的优势？ A.与其他测试结果相比有效的成本节约 B.确保新的硬件与新的系统兼容 C.确保新的系统能够满足功能需求 D.增加运行处理的弹性时间"
C 设计并行运行视为新系统满足功能需求提供保障。这是最安全的系统迁移测试形式。新的系统失败旧的可以立即使用。另外这种形式的测试允许应用开发者管理员同时在两个系统运行业务以确保移除旧的系统钱新的系统达到可靠程度。并行运行是系统测试最昂贵的形式。需要花费更多的时间和金钱，因此选项A不正确。硬件兼容性应该在迁移项目更早的时候确定，并不是并行运行的一个优势。兼容性通常基于应用系统发布的规范和实验环境内测试来定。并行运行被设计用来测试运行的有效性和应用数据的完整性，而不是硬件的兼容性。因此选项B是不正确的。并行处理增加的弹性是此情形下合理的结果，但是它提供的优势是临时的和微小的，所以选项D是不正确的。
75 "一个组织正在用商用ERP的相关子系统替代内部开发的工资支付程序，下述哪个将代表最高的潜在风险？ A.某些项目变更未正式批准 B.历史数据从旧系统迁移到新系统有错 C.ERP子系统标准功能测试不完整 D.现有工资系统权限在新ERP子系统上发生重复"
B 一个工资系统迁移后最重要的风险是不能以及时和准确的方法向员工支付工资。因此，在迁移过程中保持数据完整性和精确性是最重要的。只要新的工资系统实现预计的功能，其它选项均没有B重要。
76 "IS审计师正在评估一个用于编程和测试环境的虚拟机架构，生产架构是一个三层的物理架构。为确保生产环境中的WEB应用的可用性和机密性，下面哪项是最需要IT控制测试？ A.服务器配置加固 B.分配的物理资源是可用的 C.对系统管理员使用VM架结构的培训 D.灾难恢复计划（DRP）中包括VM服务器"
A 在该配置中最重要的控制测试是服务器配置安全加固。在投入生产前为已知的漏洞打补丁和禁用所有非必须的功能是非常重要的，尤其是生产环境的架构与开发和测试架构不同时。虚拟机（VMs）通常用来优化编程和测试架构。在此情形中，开发环境（VM架构）与生产基础设施（三层物理架构）不同。选项B不正确，因为适当的资源分配并不保证数据的机密性。选项C和D与生产环境的WEB应用不相关。
77 "当实施一个数据仓库时哪一个是最大的风险 A.生产系统的响应时间增加 B.访问控制不足以防止数据修改 C.数据同步 D.当前数据不能更新"
B 当数据在仓库中，访问控制应当阻止数据被修改。生产系统的响应时间并不是风险因为数据仓库不影响生产数据。基于数据可重复，数据同步为一个数据仓库所特有。从操作的系统到数据仓库数据传输遵循预先定义的时间间隔来传输，因此数据不可能是当前的。
78 "以下哪项为数据仓库设计时最为重要的考虑因素？ A.元数据的质量 B.交易处理的速度 C.数据的易变性 D.系统的弱点"
A 在搭建数据仓库时，元数据的质量高低是最重要的因素。数据仓库是一份查询和分析的交易数据特定结构。元数据目的是给储存在数据仓库的信息提供一个目录。建立了仓库的公司认为元数据是仓库最重要的元件。
79 "一个决策支持系统（DSS）： A.是为了解决高度结构化得问题 B.结合了使用模型和非传统数据的访问及存取功能 C.强调用户的决策方法的灵活性 D.只支持结构化的决策任务"
C DSS强调用户在制作决策时的灵活性，针对简单的结构化问题，结合模型和分析技术与传统的数据接入和取回功能，并且支持半结构化指定决策。
80 "在决策支持系统(DSS)的过程中,以下哪一项具有实施风险? A.管理控制 B.半结构的决策结构维度 C.无法确定目标和使用模式 D.决策过程发生的变化"
C 无法确定目标和使用模式是一个风险，开发者在实施决策系统时不能事先说明目的或使用的模式，选项A,B,D不是风险，而是决策支持系统的特征。
