2026年信息安全管理师考核核心题库含答案

2026年信息安全管理师考核核心题库含答案一、单选题（共20题，每题1分）1.根据《网络安全法》，以下哪项不属于网络运营者的安全义务？A.建立网络安全管理制度B.定期开展安全评估C.对用户信息进行过度收集D.及时修复网络安全漏洞2.在信息安全管理体系中，PDCA循环的“C”代表什么？A.Plan（计划）B.Do（执行）C.Check（检查）D.Act（改进）3.以下哪种加密算法属于对称加密？A.RSAB.AESC.ECCD.SHA-2564.ISO/IEC27001:2013标准中，哪项流程用于识别和评估信息安全风险？A.安全审计B.风险评估C.恶意软件防护D.物理访问控制5.勒索软件攻击的主要目的是什么？A.删除系统文件B.盗取银行账户C.阻止用户访问文件并索要赎金D.植入后门程序6.以下哪种认证方法安全性最高？A.用户名+密码B.生物识别+动态口令C.硬件令牌D.邮箱验证7.数据备份的策略中，哪种方式能最快恢复数据？A.全量备份B.增量备份C.差异备份D.磁带备份8.网络安全事件应急响应的四个阶段不包括？A.准备阶段B.发现阶段C.分析阶段D.法律诉讼阶段9.VPN（虚拟专用网络）的主要作用是什么？A.加速网络速度B.隐藏真实IP地址C.增加带宽成本D.减少网络延迟10.以下哪种漏洞属于SQL注入？A.XSS（跨站脚本）B.CSRF（跨站请求伪造）C.SQL注入D.DoS攻击11.企业信息安全培训的主要目的是什么？A.提高员工收入B.降低安全意识C.增强员工的安全防范能力D.减少管理成本12.在BIM（建筑信息模型）项目中，信息安全主要体现在？A.模型美观度B.数据防盗链C.渲染速度D.材料成本13.《数据安全法》规定，数据处理活动必须遵循的原则不包括？A.合法性B.最小必要原则C.收益最大化原则D.目标明确原则14.以下哪种技术可以防止中间人攻击？A.HTTPSB.HTTPC.FTPD.SMTP15.信息安全管理体系中，哪项文档用于记录风险评估的结果？A.安全策略B.风险评估报告C.操作手册D.会议纪要16.物联网设备的安全风险主要来自？A.操作系统漏洞B.设备外观设计C.市场销量D.生产厂商17.加密算法中，对称加密与非对称加密的主要区别是？A.速度B.密钥长度C.密钥共享方式D.应用场景18.在云计算环境中，哪种安全架构最能保障数据安全？A.对等架构B.分层架构C.平台架构D.分布式架构19.以下哪种行为属于社会工程学攻击？A.利用系统漏洞入侵B.通过钓鱼邮件骗取信息C.使用暴力破解密码D.发送垃圾邮件20.信息安全等级保护制度中，三级保护适用于哪些机构？A.政府机构B.关键信息基础设施运营者C.一般企业D.个人用户二、多选题（共10题，每题2分）1.以下哪些属于信息安全管理的核心要素？A.机密性B.完整性C.可用性D.可追溯性2.勒索软件的传播途径包括？A.邮件附件B.恶意网站C.USB移动设备D.无线网络3.企业信息安全风险评估的方法包括？A.风险矩阵法B.德尔菲法C.模糊综合评价法D.黑盒测试4.网络安全法规定，网络运营者必须采取的安全技术措施包括？A.安装防火墙B.定期更新系统补丁C.对用户密码进行加密存储D.设置访问控制策略5.以下哪些属于非对称加密算法？A.RSAB.DESC.ECCD.Blowfish6.数据备份的策略包括？A.全量备份B.增量备份C.差异备份D.云备份7.信息安全事件应急响应的流程包括？A.准备阶段B.发现与处置阶段C.事后恢复阶段D.法律诉讼阶段8.企业信息安全培训的内容包括？A.安全意识教育B.漏洞利用技巧C.数据保护法规D.应急响应流程9.以下哪些属于BIM项目中的信息安全风险？A.数据泄露B.模型篡改C.权限管理混乱D.设备硬件故障10.云计算环境中的安全架构包括？A.身份认证与访问控制B.数据加密与脱敏C.安全审计与日志管理D.分布式拒绝服务防护三、判断题（共20题，每题1分）1.信息安全管理体系（ISO/IEC27001）是强制性标准。2.数据备份的频率越高，恢复速度越快。3.SQL注入攻击可以通过直接输入恶意代码实现。4.社会工程学攻击不需要技术知识。5.网络安全法适用于所有网络运营者和用户。6.非对称加密算法的公钥和私钥可以相互替代。7.勒索软件攻击通常不会导致数据永久丢失。8.信息安全风险评估只需要考虑技术风险。9.企业信息安全培训可以完全消除安全事件。10.BIM项目中的信息安全主要依赖防火墙技术。11.数据备份只需要备份一次即可。12.云计算环境中的数据安全责任完全由云服务商承担。13.恶意软件可以通过蓝牙传输。14.信息安全等级保护制度适用于所有中国机构。15.加密算法的强度主要取决于密钥长度。16.HTTPS协议可以防止中间人攻击。17.物联网设备不需要进行安全加固。18.信息安全风险评估的结果不需要记录。19.企业信息安全培训可以降低人为失误。20.社会工程学攻击的主要目的是植入恶意软件。四、简答题（共5题，每题5分）1.简述信息安全风险评估的流程。2.列举三种常见的社会工程学攻击手段。3.简述云计算环境中的数据安全防护措施。4.简述信息安全事件应急响应的四个阶段。5.简述企业信息安全培训的重要性。五、论述题（共2题，每题10分）1.结合实际案例，论述勒索软件攻击的防范措施。2.结合中国《数据安全法》和《网络安全法》，论述企业数据安全管理的合规要求。答案与解析一、单选题答案1.C2.C3.B4.B5.C6.B7.A8.D9.B10.C11.C12.B13.C14.A15.B16.A17.C18.B19.B20.B解析：-第5题：勒索软件的主要目的是通过加密用户文件并索要赎金来获利。-第12题：BIM项目涉及大量高价值数据，信息安全主要体现在数据防盗链和访问控制。-第20题：三级保护适用于关键信息基础设施运营者，如金融、能源、交通等机构。二、多选题答案1.A,B,C2.A,B,C3.A,B,C4.A,B,C,D5.A,C6.A,B,C,D7.A,B,C8.A,C,D9.A,B,C10.A,B,C,D解析：-第4题：防火墙、系统补丁、密码加密和访问控制都是网络安全法要求的技术措施。-第10题：云计算安全架构涵盖身份认证、数据加密、审计日志和DDoS防护等多个方面。三、判断题答案1.×（ISO/IEC27001是自愿性标准，但可转化为法规要求）2.√3.√4.√5.√6.×（公钥和私钥功能不同，不可替代）7.×（勒索软件通常要求赎金后解密，但数据可能永久丢失）8.×（还需考虑管理、物理等风险）9.×（培训可降低风险但不能完全消除）10.×（BIM安全需综合技术和管理措施）11.×（需定期备份）12.×（云服务商负责基础设施安全，客户需负责应用和数据安全）13.√14.√15.√16.√17.×（物联网设备易受攻击，需加固）18.×（风险评估结果需记录存档）19.√20.×（主要目的是骗取信息，而非植入软件）四、简答题答案1.信息安全风险评估流程：-识别资产与威胁-分析脆弱性-评估风险等级-制定应对措施2.常见的社会工程学攻击手段：-鱼叉邮件（针对特定目标）-诱骗电话（冒充客服等）-伪装网站（骗取账号密码）3.云计算数据安全防护措施：-数据加密（传输和存储）-访问控制（RBAC）-安全审计与日志监控4.应急响应四个阶段：-准备阶段（预案制定）-发现与处置阶段（隔离、分析）-事后恢复阶段（数据恢复）-总结改进阶段（复盘优化）5.信息安全培训的重要性：-提高员工安全意识-减少人为失误导致的风险-合规要求（如《网络安全法》）五、论述题答案1.勒索软件防范措施：-定期备份并离线存