信息安全体系试卷及答案

信息安全体系试卷及答案一、单项选择题（每题2分，共20分）1.信息安全的核心三要素“CIA”指的是（）。A.机密性、完整性、可用性B.可控性、完整性、可追溯性C.机密性、不可否认性、可用性D.完整性、抗抵赖性、可控性2.以下哪项是ISO/IEC27001标准的核心方法论？（）A.最小权限原则B.PDCA（计划执行检查改进）循环C.零信任架构D.纵深防御策略3.某企业采用“用户角色权限”的访问控制模型，该模型属于（）。A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）4.以下哪种加密算法属于非对称加密？（）A.AES256B.DESC.RSAD.SHA2565.在信息安全风险评估中，“威胁利用脆弱性导致的潜在损失”被称为（）。A.风险值B.资产价值C.脆弱性等级D.威胁源6.依据《网络安全法》，关键信息基础设施的运营者应当自行或委托第三方每年至少进行（）次网络安全检测评估。A.1B.2C.3D.47.以下哪项不属于信息安全技术控制措施？（）A.防火墙策略配置B.员工安全意识培训C.数据库加密D.入侵检测系统（IDS）部署8.某系统日志显示某用户在非工作时间频繁登录失败，最可能的安全事件类型是（）。A.数据泄露B.暴力破解攻击C.拒绝服务攻击（DoS）D.社会工程学攻击9.信息安全管理体系（ISMS）的核心文件不包括（）。A.信息安全方针B.风险评估报告C.系统运维记录D.控制措施实施计划10.以下哪项是零信任架构的核心原则？（）A.信任网络边界内的所有设备B.持续验证访问请求的合法性C.仅允许已知白名单应用通信D.依赖传统防火墙进行边界防护二、填空题（每题2分，共20分）1.信息安全管理体系（ISMS）的国际标准是__________。2.常见的身份认证方式包括单因素认证、双因素认证和__________。3.数据脱敏技术中，将真实姓名替换为“用户A”的方法称为__________。4.网络安全等级保护（等保2.0）要求第三级系统应满足__________防护要求。5.风险评估的基本步骤包括资产识别、威胁识别、__________、风险分析和风险处置。6.加密技术中，明文通过算法和密钥转换为密文的过程称为__________。7.访问控制的“三要素”是主体、客体和__________。8.应急响应的关键步骤包括准备、检测、__________、恢复和总结。9.依据《个人信息保护法》，处理个人信息应遵循最小必要原则，即收集的个人信息数量应__________实现处理目的所需的最小范围。10.区块链技术通过__________机制保障数据不可篡改，其核心是分布式账本和密码学算法。三、简答题（每题8分，共40分）1.简述ISO/IEC27001标准中“风险评估”的主要内容及实施步骤。2.比较对称加密与非对称加密的优缺点，并各举一例说明其典型应用场景。3.说明“最小权限原则”在信息安全体系中的作用，并列举3种具体实现方式。4.某企业拟开展信息安全管理体系（ISMS）认证，需完成哪些关键准备工作？5.结合《数据安全法》，阐述企业在数据分类分级管理中的核心要求。四、案例分析题（20分）某互联网金融企业近期发生一起数据泄露事件：用户注册信息（包含姓名、身份证号、银行卡号）被内部运维人员张某通过后台系统导出并出售。经调查发现：张某拥有系统超级管理员权限，可直接访问用户数据库；系统未开启操作日志审计功能；企业未对敏感数据（如身份证号、银行卡号）进行加密存储；张某入职时仅接受过基础安全培训，近2年未参与任何安全意识教育。要求：（1）分析该事件暴露出的信息安全体系缺陷（至少4项）；（2）提出针对性的整改措施（至少4项）。答案一、单项选择题1.A2.B3.C4.C5.A6.A7.B8.B9.C10.B二、填空题1.ISO/IEC27001:20132.多因素认证（MFA）3.匿名化（或去标识化）4.增强级5.脆弱性识别6.加密7.控制策略（或访问规则）8.抑制（或遏制）9.限于10.共识三、简答题1.答案要点：风险评估是ISMS的核心环节，主要内容包括识别组织的信息资产、面临的威胁和存在的脆弱性，评估风险发生的可能性及影响程度，最终确定风险等级。实施步骤：①确定评估范围与目标；②资产识别与赋值（保密性、完整性、可用性）；③威胁识别（自然、人为、技术威胁）；④脆弱性识别（技术、管理、人员脆弱性）；⑤风险分析（定性/定量计算风险值）；⑥风险评价（与可接受风险阈值对比）；⑦编制风险评估报告。2.答案要点：对称加密：优缺点——加密/解密使用相同密钥，速度快但密钥分发困难（易泄露）。典型应用：AES（文件加密、VPN隧道）。非对称加密：优缺点——使用公钥加密、私钥解密，解决密钥分发问题但计算复杂度高。典型应用：RSA（数字签名、HTTPS证书交换）。3.答案要点：作用：最小权限原则要求用户/进程仅获得完成任务所需的最小权限，可降低误操作或恶意行为导致的损害范围，是防御越权访问的核心策略。实现方式：①基于角色的访问控制（RBAC），按岗位职责分配权限；②特权账户最小化（如禁用默认管理员账户，使用普通账户日常操作）；③会话权限临时提升（如sudo命令仅在需要时授权）；④定期权限审计与回收（删除离职员工权限）。4.答案要点：关键准备工作：①建立ISMS推进小组（管理层、IT、法务等参与）；②制定信息安全方针与目标（符合业务战略）；③完成风险评估（识别资产、威胁、脆弱性，确定控制措施）；④编制ISMS文件（手册、程序文件、记录表格）；⑤实施控制措施（技术如加密、访问控制；管理如培训、审计）；⑥开展内部审核与管理评审（验证体系有效性）；⑦选择认证机构并提交申请。5.答案要点：《数据安全法》要求企业建立数据分类分级保护制度，核心要求包括：①明确分类标准（如按数据类型：个人信息、业务数据、敏感数据；按重要性：一般、重要、核心）；②确定分级规则（如根据一旦泄露可能造成的损害程度划分等级）；③针对不同级别数据采取差异化保护措施（如核心数据需加密存储、限制访问范围、增强审计）；④制定数据分类分级目录并动态更新（结合业务变化调整）；⑤向监管部门备案重要数据目录（如属于关键信息基础设施的企业）。四、案例分析题（1）暴露的缺陷：①访问控制失效：运维人员拥有超级管理员权限，违反“最小权限原则”；②日志与审计缺失：系统未开启操作日志审计，无法追踪违规操作；③数据保护不足：敏感数据未加密存储，降低泄露后的补救难度；④安全培训缺失：员工长期未接受安全意识教育，风险意识薄弱；⑤权限管理漏洞：未对特权账户实施多因素认证或审批流程。（2）整改措施：①优化访问控制：采用RBAC模型，根据运维岗位需求分配最小权限（如限制数据库查询权限，禁止直接导出）；②启用日志审计：部署集中日志管理系统（如ELK），记录所有数据库操作（增删改查），保留至少6个月；③实施数据加密：对身份证号、银行卡号等敏感字段