2026年信息安全管理规范试卷

2026年信息安全管理规范试卷一、单项选择题（每题2分，共20分。每题只有一个正确答案，请将正确选项字母填入括号内）1.在ISO/IEC27001:2025版中，对“信息安全连续性”新增的核心要求是（）A.必须每年进行一次渗透测试B.必须建立跨云灾备切换时间≤15分钟的SLAC.必须将连续性目标写入业务连续性战略文件D.必须每季度向监管机构提交连续性报告答案：C解析：2025版AnnexA5.29首次把“连续性目标”提升到战略层，要求写入业务连续性战略文件，而非单纯技术测试或报告。2.某金融公司采用“零信任架构”，其动态访问控制策略最依赖的实时属性是（）A.用户生日B.终端CPU主频C.当前会话风险评分D.员工工号答案：C解析：零信任的核心是“永不信任、持续验证”，风险评分是动态策略的输入，生日、工号、主频均为静态或弱相关属性。3.2026年生效的《个人信息跨境流动安全评估办法》要求，出境数据超过多少条个人敏感信息需开展安全评估？（）A.1万条B.5万条C.10万条D.1千条答案：A解析：办法第七条明确，敏感个人信息出境累计≥1万条即触发评估门槛。4.在DevSecOps流水线中，最适合进行依赖库漏洞扫描的阶段是（）A.需求评审B.代码提交合并请求C.生产灰度发布D.用户验收测试答案：B解析：MergeRequest阶段扫描可在代码入库前阻断已知CVE，修复成本最低。5.量子计算对下列哪种算法带来的威胁出现时间最晚？（）A.RSA-2048B.ECDSA-P256C.AES-256D.DSA-1024答案：C解析：Grover算法对对称密钥相当于减半密钥长度，AES-256仍提供128位安全强度，威胁晚于公钥算法。6.2026版《工业控制系统信息安全分级指南》中，对SIL3级系统要求的安全等级是（）A.等保二级B.等保三级C.等保四级D.无需等保答案：B解析：指南附录C映射表规定SIL3对应等保三级。7.采用同态加密实现隐私计算时，最消耗计算资源的操作是（）A.密文加法B.密文乘法C.密文比较D.密文置换答案：B解析：密文乘法需执行重线性化与重缩放，计算量远高于加法。8.在2026年新版NISTSP800-53中，控制项RA-6(2)主要针对（）A.勒索软件应急演练B.AI模型投毒风险C.第三方代码签名验证D.太空资产供应链答案：B解析：RA-6(2)新增“AdversarialMachineLearning”，聚焦模型投毒。9.某云服务商通过“保密计算”实现租户隔离，其硬件根信任基于（）A.SGX密封存储B.TPM2.0PCR值C.AMD-SEVSNPD.TXT动态启动答案：C解析：AMD-SEVSNP提供内存完整性与回滚保护，适合多租户保密计算。10.2026年《数据安全法》实施细则要求，重要数据出境应在多少小时内向省级以上网信部门报告？（）A.24小时B.48小时C.72小时D.7日答案：A解析：细则第三十二条明确24小时报告义务。二、多项选择题（每题3分，共15分。每题有两个或以上正确答案，多选、少选、错选均不得分）11.以下哪些技术组合可满足“抗量子+前向保密”双重要求？（）A.Kyber1024+TLS1.3B.Dilithium3+WireGuardC.RSA-4096+AES-256-GCMD.Falcon-512+QUIC答案：A、B、D解析：C项RSA不抗量子；A、B、D均使用抗量子算法并支持会话密钥前向保密。12.2026年《汽车数据安全管理若干规定》要求，处理车外个人信息时应（）A.默认匿名化B.取得个人单独同意C.车内本地处理优先D.数据留存≤1年答案：A、B、C解析：D项未规定统一1年期限，视场景而定。13.零信任参考架构中，动态信任评估引擎输入包含（）A.用户行为基线B.终端EDR告警C.网络延迟抖动D.物理门禁刷卡记录答案：A、B、D解析：网络延迟抖动属网络层指标，不直接输入信任引擎。14.2026年《关键信息基础设施安全保护条例》中，下列哪些操作需提前10个工作日向保护工作部门报告？（）A.核心网络拓扑变更B.关键岗位人员离职C.上线新版本OSD.机房UPS扩容答案：A、B解析：条例19条明确拓扑变更与人员离职需提前报告，OS与UPS未强制。15.在隐私计算场景下，可抵御“合谋攻击”的方案有（）A.秘密共享+恶意安全多方计算B.联邦学习+安全聚合C.差分隐私+中心化curatorD.可信执行环境+远程证明答案：A、D解析：B项服务器仍可见聚合梯度；C项curator若被攻破无法抗合谋；A、D通过密码学与硬件隔离抗合谋。三、判断题（每题1分，共10分。正确打“√”，错误打“×”）16.2026年ISO27701修订版已将“AI训练数据最小化”纳入隐私管理目标。（√）17.使用SM4-GCM模式时，初始化向量IV可以固定为全0以节省存储。（×）18.在5G专网中，网络切片隔离强度等同于物理隔离。（×）19.2026年《网络安全审查办法》将“国外上市”纳入审查触发条件。（√）20.同态加密方案CKKS支持浮点数近似计算，适用于机器学习推理。（√）21.零信任环境中，JWT令牌一旦签发即无法撤销，只能等待过期。（×）22.2026年NIST发布的《后量子密码过渡路线图》建议优先替换数字签名算法。（√）23.采用ChaCha20-Poly1305比AES-256-GCM在ARM移动端能耗更低。（√）24.2026年《个人信息保护法》将“已匿名化信息”重新定义为个人信息。（×）25.在区块链PoS共识中，长程攻击可通过“检查点+弱主观性”缓解。（√）四、简答题（每题10分，共30分）26.简述2026年新版ISO/IEC27002中“数据遮蔽”控制项的四个关键实施要点，并给出金融行业应用示例。答案与解析：要点：(1)分类分级：先按敏感度对数据分级，再决定遮蔽强度。(2)策略驱动：用DLP策略引擎动态下发遮蔽规则，支持正则、列级、行级。(3)不可逆性：生产环境使用单向哈希或格式保持加密（FPE），确保无法逆向。(4)审计追溯：记录“谁、何时、为何”访问原始数据，留存≥3年。示例：银行客服中心查询客户卡号时，后台返回`****1234`，客服无法看到完整PAN，但风控系统可在授权后通过令牌化服务还原，用于交易核对。27.说明“安全多方计算（MPC）”在2026年医疗基因数据联合分析中的部署流程，并指出性能瓶颈与缓解方案。答案与解析：流程：①数据预处理：各医院在本地对FASTQ文件进行对齐、突变calling，得到VCF片段。②秘密共享：采用Shamir方案，将每份VCF记录拆分为n=5份，阈值t=3。③电路编译：把GWAS统计检验（卡方检验）编译为算术电路，约1.2×10^6门。④在线计算：三方使用SPDZ协议，在40Gbps专网执行，耗时38分钟。⑤结果重构：仅公布p值<5×10^-8的SNP位点，原始计数不泄露。瓶颈：•通信量：乘法triple消耗128bit×门数≈15GB。•局域网RTT抖动导致在线阶段延迟。缓解：•采用VOLE-style预处理，把通信降至1/10。•使用RDMA零拷贝，把RTT影响从O(n)降至O(1)。28.2026年《关基条例》要求运营者建立“网络安全信息共享”机制，请设计一套包含威胁情报评分、隐私保护与激励机制的方案。答案与解析：方案：(1)评分模型：采用STIX2.1扩展字段，引入CVSSv4、TTP罕见度、资产关联度三维加权，公式S=0.4×CVSS+0.3×(1-其中N为同类报告数，C为关基关联度（0/1）。(2)隐私保护：使用差分隐私拉普拉斯机制，对IP、域名添加ε=0.1噪声，再生成HMAC盲标识，防止溯源。(3)激励：设立“共享积分”，积分可兑换等保测评费用折扣；同时设置10%额外预算奖励首次报告高危漏洞单位。(4)共享通道：基于联盟链Fabric2.5，智能合约自动验证评分>7.0的情报，触发积分结算，全程可追溯但不可篡改。五、综合计算题（共25分）29.某电商平台2026年“618”大促期间，采用同态加密对用户消费额进行实时统计。系统参数如下：•采用CKKS方案，多项式模数度N=2^15；•密文规模每个≈2×N×log₂qbit，其中log₂q=438；•需处理1.2×10^8条订单，每条订单金额m_i∈[1,2000]元；•统计目标：计算总销售额∑m_i与平均客单价(∑m_i)/n；•云主机带宽上限25Gbps，单台CPU可支持6.4×10^4次/秒同态加法，6.0×10^2次/秒同态乘法；•允许误差ε≤0.1%。问题：(1)计算完成全部加法所需的最短时间T_add；（6分）(2)若采用“分片聚合+树形求和”策略，将1.2×10^8条订单分为1024片，每片先本地明文求和得S_j，再对S_j加密后同态求和，求此时总时间T_tree及所需密文通信量V；（10分）(3)评估误差是否满足ε≤0.1%，并给出结论。（4分）(4)若改用Paillier方案，仅支持整数且模数2048bit，估算密文通信量增加倍数。（5分）答案与解析：(1)纯同态加法：总加法次数n单台性能6.4×10^4次/秒，所需时间T(2)分片聚合：每片明文求和本地完成，耗时忽略；需对1024个S_j加密后同态求和。同态加法次数n时间T通信量：每份密文大小2×总通信量V=1024×3.58

MB≈3.67

GB.(3)误差分析：CKKS浮点近似误差主要来源于编码精度，实测438bit模数下log₂Δ≈40bit有效小数位，相对误差‖m满足要求。(4)Paillier对比：单条Paillier密文2048bit=256Byte；CKKS单条密文3.58MB。增加倍数3.58×1024结论：Paillier通信开销极大，不适合大批量实时场景。六、案例分析题（共20分）30.背景：2026年4月，某直辖市“智慧交通”关基运营单位A公司发现其信号控制平台遭未知组织植入“量子增强”恶意固件，攻击者利用后量子签名伪造固件签名，成功绕过TPM2.0验证。事件导致17个路口红绿灯失控4分18秒。事后溯源发现，供应链环节B厂商在GitHub发布的开源库被投毒，A公司CI/CD流水线未开启哈希锁定，直接拉取最新commit。问题：(1)请用200字内描述该事件暴露的四个关键安全控制缺失；（4分）(2)结合2026年《关基条例》第21条，列出运营者应在24小时内完成的五项应急报告内容；（5分）(3)设计一套“抗量子+可审计”固件签名验证方案，要求包含算法选型、密钥托管、日志上链、回滚机制；（8分）(4)计算若采用Dilithium3签名，固件包4.8MB，需切分为1KB块，求总签名次数与累计签名数据量，并评估对OTA更新的时间影响。（3分）答案与解析：(1)缺失：①供应链代码无锁定哈希，未验证后量子签名；②CI/CD缺乏强制SBOM与依赖扫描；③固件更新无回滚策略；④事件监测未覆盖信号控制器侧信道异常。(2)24小时内报告内容：①事件发生时间、地点、影响范围；②已采取或拟采取的应急处置措施；③初步判断的攻击途径与危害程度；④涉及的关键业务与系统清单；⑤预计恢复时间与所需支援。(3)方案：•算法：使用Dilithium3签名，哈希用SHA-3