2026年安全风险评估试题及答案

2026年安全风险评估试题及答案一、单项选择题（每题2分，共20分）1.以下哪项不属于安全风险评估的三要素？A.资产价值B.威胁可能性C.脆弱性等级D.应急响应速度答案：D解析：安全风险评估的核心三要素为资产（价值）、威胁（可能性）、脆弱性（等级），应急响应速度属于风险控制措施的评估维度，非风险要素本身。2.某企业部署了工业物联网（IIoT）设备，其风险评估中“资产识别”的关键是？A.统计设备数量B.确定设备数据流向及敏感程度C.记录设备供应商信息D.评估设备物理位置安全性答案：B解析：资产识别的核心是明确资产的价值属性，工业物联网设备的核心价值在于其处理、传输的生产数据（如工艺参数、设备状态），需重点评估数据的敏感程度及流动路径。3.采用定量风险评估时，风险值（RV）的计算公式通常为？A.RV=威胁×脆弱性×资产价值B.RV=（威胁可能性+脆弱性等级）×资产价值C.RV=威胁可能性×脆弱性等级×资产价值D.RV=（威胁可能性-脆弱性等级）÷资产价值答案：C解析：定量评估中，风险值通常通过威胁发生的可能性（概率）、脆弱性被利用的难易程度（等级）与资产价值（量化值）的乘积计算，反映风险的实际影响程度。4.针对人工智能（AI）系统的安全风险评估，需重点关注的脆弱性是？A.模型训练数据的偏差性B.服务器机房温湿度控制C.系统管理员账号密码强度D.网络带宽冗余量答案：A解析：AI系统的核心风险源于算法本身的缺陷，如训练数据偏差可能导致模型输出错误（如人脸识别误判），属于技术层面的固有脆弱性，其他选项为传统信息系统的通用风险点。5.某医院部署了远程手术机器人系统，其风险评估中“威胁源”最可能的是？A.手术机器人硬件老化B.医疗设备供电中断C.黑客入侵篡改控制指令D.医护人员操作失误答案：C解析：远程手术机器人依赖网络通信，外部威胁（如黑客攻击）可能直接干预手术过程，导致患者安全风险，属于外部恶意威胁源；硬件老化、供电中断、操作失误属于内部或非恶意威胁。二、多项选择题（每题3分，共15分，少选、错选均不得分）1.以下属于安全风险评估实施阶段的关键活动有？A.制定评估计划B.资产清单编制C.威胁场景模拟D.风险等级矩阵构建答案：B、C、D解析：实施阶段包括资产识别（编制清单）、威胁与脆弱性分析（场景模拟）、风险计算（等级矩阵）；制定评估计划属于准备阶段。2.针对5G网络切片的安全风险评估，需重点分析的维度包括？A.切片间隔离机制有效性B.切片用户身份认证强度C.切片数据跨境传输合规性D.基站设备物理防盗措施答案：A、B、C解析：5G网络切片的核心风险在于逻辑隔离失效（切片间干扰）、身份认证漏洞（非法访问）、数据跨境流动（合规风险）；基站物理防盗属于传统通信设备的通用安全要求，非切片特有关注点。3.某新能源汽车企业评估车联网系统风险时，需识别的关键资产包括？A.车载摄像头采集的道路影像B.电池管理系统（BMS）控制算法C.车联网通信协议（如C-V2X）D.4S店维修车间监控视频答案：A、B、C解析：车联网核心资产包括车载数据（道路影像）、关键算法（BMS控制逻辑）、通信协议（安全传输基础）；4S店监控视频属于企业内部运营数据，非车联网系统核心资产。4.以下哪些属于风险控制措施中的“转移”策略？A.购买网络安全保险B.部署入侵检测系统（IDS）C.与第三方签订数据安全责任协议D.对关键系统进行冗余备份答案：A、C解析：风险转移通过合同或保险将风险后果转移至第三方；部署IDS（检测）、冗余备份（降低影响）属于“降低”策略。5.医疗行业开展隐私数据（如电子病历）风险评估时，需符合的法规要求包括？A.《个人信息保护法》B.《网络安全法》C.《医疗质量安全管理办法》D.《数据安全法》答案：A、B、D解析：电子病历属于个人健康信息，受《个人信息保护法》约束；医疗信息系统运营需符合《网络安全法》《数据安全法》；《医疗质量安全管理办法》主要规范诊疗流程，非数据安全专项法规。三、案例分析题（共25分）案例背景：某化工企业2025年完成智能工厂改造，部署了DCS（分布式控制系统）、SCADA（数据采集与监控系统）及500台工业机器人，2026年拟开展全面安全风险评估。已知信息：DCS与企业管理系统（ERP）通过单向网闸连接；工业机器人采用MQTT协议与SCADA通信，未启用TLS加密；操作员工可通过移动终端（自带设备）访问SCADA监控界面，认证方式为静态密码；近半年曾发生2起外部IP尝试连接DCS的记录（未成功）。问题1：请列出该企业智能工厂中需重点识别的三类核心资产，并说明理由。（5分）答案：（1）DCS系统：直接控制化工生产流程（如温度、压力调节），资产价值为“生产安全”；（2）SCADA系统采集的实时生产数据（如设备运行参数）：支撑生产决策，泄露或篡改可能导致生产事故；（3）工业机器人控制指令：通过MQTT传输的指令若被篡改，可能导致机器人误动作（如误关阀门）。问题2：结合已知信息，分析该系统存在的3项主要脆弱性，并说明其可能导致的风险。（10分）答案：（1）工业机器人MQTT通信未加密：攻击者可截获或篡改传输中的控制指令（如伪造“停止”指令），导致机器人异常停机或误操作，引发生产中断或安全事故；（2）移动终端访问SCADA使用静态密码认证：密码可能被暴力破解或员工泄露，导致未授权用户访问监控界面，篡改生产参数（如调整反应釜温度）；（3）DCS与ERP通过单向网闸连接但存在外部IP尝试连接记录：网闸可能存在配置漏洞（如允许反向连接），外部攻击者可能利用该路径渗透至DCS，直接干预生产控制。问题3：针对问题2中的脆弱性，提出3项具体的风险控制措施。（10分）答案：（1）对MQTT通信启用TLS1.3加密，部署工业协议解析网关，实时检测异常指令（如非授权设备发送的控制请求）；（2）移动终端访问SCADA需采用