2026年CISP考试题库及详细答案解析

2026年CISP考试题库及详细答案解析说明：本题库严格遵循2026年CISP最新考试大纲，贴合线下机考（闭卷）要求，涵盖信息安全保障、安全工程与运营、安全风险管理、法律合规、渗透测试五大核心知识域，题型包括单选题、多选题、判断题、案例分析题，全面匹配考试实际情况（题量、难度、考点占比）。答案解析侧重考点延伸和实操应用，通俗易懂，避免复杂晦涩表述，完全贴合备考刷题需求。考试参考参数：考试时长120分钟，满分100分，70分及格；本题库共80题，其中单选题40题（每题1分）、多选题20题（每题2分）、判断题10题（每题1分）、案例分析题2题（每题5分），总分100分，贴合真实考试分值分布。一、单选题（共40题，每题1分，每题只有一个正确答案，多选、错选、不选均不得分）下列关于CISP认证的表述，错误的是（）

A.CISP是由中国信息安全测评中心（CNITSEC）主导实施的国家级信息安全专业认证

B.CISP认证面向从事信息安全技术、管理、评估、咨询、运维等岗位的专业人员

C.CISP考试目前仅包含主观题，重点考查实操能力

D.CISP知识体系已全面融合《网络安全法》《数据安全法》《个人信息保护法》三大基础法律框架

答案：C

解析：根据2026年CISP最新考试要求，CISP考试题型以选择题为主（部分试点机考地区包含少量场景分析类选择题），不设主观题，主要考查考生对理论知识的掌握和实际场景的应用能力，因此C选项表述错误。A、B、D选项均符合CISP认证的核心定义和最新知识体系要求，其中D选项明确了CISP与三大信息安全核心法律的融合，是2025-2026年考试大纲的重点调整内容。

信息安全“CIA三元组”的核心目标不包括（）

A.机密性

B.完整性

C.可用性

D.可追溯性

答案：D

解析：CIA三元组是信息安全的核心目标，分别对应：机密性（确保信息不被未授权访问）、完整性（确保信息不被篡改）、可用性（确保授权用户可正常访问信息）。可追溯性是安全审计的核心要求，不属于CIA三元组范畴，因此选D。

依据《数据安全法》第31条规定，下列关于重要数据保护的表述，正确的是（）

A.重要数据无需进行分级分类管理

B.重要数据的处理者无需向有关主管部门备案

C.重要数据应当实行重点保护，建立健全重要数据安全管理制度

D.重要数据可以随意跨境传输，无需经过安全评估

答案：C

解析：《数据安全法》第31条明确规定，国家对重要数据实行重点保护，重要数据的处理者应当建立健全重要数据安全管理制度，落实数据安全保护责任，因此C选项正确。A选项错误，重要数据需实行分级分类管理；B选项错误，重要数据处理者需按照规定向有关主管部门备案；D选项错误，重要数据跨境传输需经过安全评估，未经评估不得跨境传输。ISO/IEC27001信息安全管理体系的核心管理方法是（）

A.PDCA循环

B.风险评估

C.访问控制

D.安全审计

答案：A

解析：ISO/IEC27001是信息安全管理体系的核心标准，其核心管理方法是PDCA循环，即计划（Plan）、执行（Do）、检查（Check）、改进（Act）的闭环管理，用于持续提升信息安全管理水平。B、C、D均为信息安全管理的重要手段，但并非该体系的核心管理方法。

下列哪种加密算法属于对称加密算法（）

A.RSA

B.SM2

C.AES

D.ECC

答案：C

解析：对称加密算法是指加密和解密使用相同密钥的算法，AES（高级加密标准）是目前应用最广泛的对称加密算法，适用于大量数据加密。A、B、D均属于非对称加密算法，加密和解密使用不同的公钥和私钥，主要用于密钥交换、数字签名等场景。

关于ApacheLog4j漏洞（Log4Shell，CVE-2021-44228）的描述，错误的是（）

A.该漏洞属于远程代码执行漏洞，CVSS评分10分（严重）

B.漏洞源于Log4J2Java库对JNDI查找和消息查找替换的不当处理

C.仅Log4J2.0版本存在该漏洞，其他版本均无风险

D.修复该漏洞的核心方式是升级Log4J至2.17.1及以上版本

答案：C

解析：ApacheLog4j漏洞（Log4Shell）影响Log4J2.x系列多个版本，并非仅2.0版本，其中2.17.1及以上版本已完全修复该漏洞及相关衍生漏洞，因此C选项错误。A、B、D选项均符合该漏洞的实际情况，该漏洞因影响范围极广，是2026年CISP渗透测试模块的重点考点。

网络安全等级保护2.0中，三级系统的核心要求不包括（）

A.入侵防范

B.可信验证

C.安全审计

D.无需定期开展等级测评

答案：D

解析：等保2.0三级系统的核心要求包括入侵防范、可信验证、安全审计、集中管控等增强控制项，且要求定期开展等级测评（每两年至少一次），因此D选项错误。等保2.0是CISP信息安全保障模块的重点，需掌握各级系统的核心要求。

下列哪种行为违反了“最小权限原则”（）

A.为普通员工分配仅满足其工作需求的权限

B.管理员账户仅在执行管理操作时使用，日常办公使用普通账户

C.为所有员工分配管理员权限，方便操作

D.定期review员工权限，回收闲置权限

答案：C

解析：最小权限原则是信息安全管理的核心原则之一，指为用户、程序、设备分配仅能完成其本职工作所需的最小权限，避免权限滥用。C选项为所有员工分配管理员权限，远超其工作需求，极易导致权限滥用和安全风险，违反了最小权限原则。A、B、D选项均是落实最小权限原则的正确做法。

SOC平台日志分析的核心目的是（）

A.存储日志数据，便于后续查询

B.监控系统运行状态，及时发现安全事件

C.优化系统性能，提升运行效率

D.统计日志数量，评估系统负载

答案：B

解析：SOC（安全运营中心）平台的核心功能是日志收集、分析、告警，其日志分析的核心目的是监控系统运行状态，及时发现异常行为和安全事件，为安全处置提供依据。A选项是日志存储的作用，C、D选项并非SOC平台日志分析的核心目的，因此选B。

下列关于数据备份的表述，错误的是（）

A.数据备份是业务连续性管理的重要组成部分

B.备份数据应定期进行恢复测试，确保可恢复性

C.备份数据无需加密，只要存储在安全位置即可

D.应根据数据的重要性，制定不同的备份策略（全量备份、增量备份、差异备份）

答案：C

解析：数据备份是数据安全模块的重点内容，也是企业安全运维的基础工作。A选项正确，数据备份能够在系统故障、数据丢失时恢复数据，保障业务连续性；B选项正确，定期恢复测试是验证备份有效性的关键，避免出现“备份成功但无法恢复”的问题；C选项错误，备份数据可能包含敏感信息，必须进行加密存储，防止备份数据泄露；D选项正确，不同重要性的数据，备份频率、备份方式应有所区别，降低备份成本的同时保障核心数据安全。

红队攻击链的正确顺序是（）

A.Exploit→Recon→Post-exploitation

B.Recon→Exploit→Post-exploitation

C.Post-exploitation→Recon→Exploit

D.Recon→Post-exploitation→Exploit

答案：B

解析：红队攻击链是渗透测试模块的核心考点，其正确顺序为：侦察（Recon）→漏洞利用（Exploit）→后渗透（Post-exploitation）。侦察阶段主要收集目标信息，漏洞利用阶段利用发现的漏洞获取权限，后渗透阶段扩大权限、窃取数据或维持控制，因此选B。

依据《个人信息保护法》，下列关于个人信息处理的表述，正确的是（）

A.可以未经个人同意，收集、使用个人信息

B.个人信息可以随意共享给第三方

C.处理个人信息应当遵循合法、正当、必要和诚信原则

D.不需要向个人告知个人信息处理的目的、方式和范围

答案：C

解析：《个人信息保护法》明确规定，处理个人信息应当遵循合法、正当、必要和诚信原则，不得非法收集、使用、加工、传输个人信息，因此C选项正确。A选项错误，收集、使用个人信息需取得个人同意；B选项错误，个人信息共享给第三方需经个人同意且符合法律规定；D选项错误，处理个人信息前，需向个人告知处理的目的、方式和范围。

下列哪种工具常用于渗透测试中的端口扫描（）

A.BurpSuite

B.Nmap

C.Metasploit

D.Splunk

答案：B

解析：Nmap是渗透测试中最常用的端口扫描工具，可用于探测目标主机的开放端口、服务版本等信息，是侦察阶段的核心工具。A选项BurpSuite主要用于Web应用漏洞扫描和代理；C选项Metasploit主要用于漏洞利用；D选项Splunk主要用于日志分析，因此选B。

信息安全风险评估的核心流程是（）

A.风险识别→风险分析→风险评价→风险处置

B.风险分析→风险识别→风险评价→风险处置

C.风险评价→风险识别→风险分析→风险处置

D.风险处置→风险识别→风险分析→风险评价

答案：A

解析：信息安全风险评估的核心流程遵循“识别-分析-评价-处置”的逻辑，先识别潜在的安全风险，再分析风险发生的可能性和影响程度，然后对风险进行分级评价，最后根据评价结果采取相应的风险处置措施（规避、转移、降低、接受），因此选A。

云安全架构设计中，AWS/Azure混合云场景的核心安全挑战是（）

A.云平台性能不足

B.多平台权限统一管理和数据一致性保护

C.云平台成本过高

D.云服务提供商服务不稳定

答案：B

解析：AWS/Azure混合云场景中，核心安全挑战是多平台权限的统一管理（避免权限混乱和滥用）以及数据在不同云平台之间传输和存储的一致性保护（防止数据泄露、篡改），因此选B。A、C、D均属于混合云场景的非核心安全挑战，并非CISP考试的重点。

下列关于安全审计的表述，正确的是（）

A.安全审计仅需记录系统操作日志，无需分析

B.安全审计的目的是发现和追溯安全事件

C.安全审计无需定期开展，出现安全事件后再进行

D.安全审计记录可以随意删除

答案：B

解析：安全审计的核心目的是记录系统操作行为、发现异常安全事件，并能追溯事件源头，为安全处置和责任认定提供依据，因此B选项正确。A选项错误，安全审计不仅需要记录日志，还需要对日志进行分析，发现异常；C选项错误，安全审计需定期开展，形成常态化管理；D选项错误，安全审计记录需妥善保存，不得随意删除，通常需保存一定期限（如6个月以上）。

PDCA循环中，“Check”环节的核心任务是（）

A.制定安全目标和管理方案

B.落实计划中的各项安全措施

C.监控和评估计划的执行效果

D.针对问题进行改进，形成闭环

答案：C

解析：PDCA循环各环节的核心任务的：Plan（计划）——制定安全目标和管理方案；Do（执行）——落实各项安全措施；Check（检查）——监控和评估计划的执行效果，发现问题；Act（改进）——针对检查中的问题进行改进，形成闭环。因此C选项正确。

下列哪种漏洞属于OWASPTop10中的高频漏洞（）

A.缓冲区溢出

B.跨站脚本（XSS）

C.逻辑错误

D.硬件故障

答案：B

解析：OWASPTop10是Web应用安全的核心考点，其中跨站脚本（XSS）、注入攻击、身份认证失效等是高频漏洞，因此B选项正确。A选项缓冲区溢出属于系统级漏洞，不属于OWASPTop10范畴；C选项逻辑错误是通用漏洞，未列入OWASPTop10；D选项硬件故障不属于漏洞范畴。

关键信息基础设施的运营者，应当按照规定向（）备案。

A.公安机关

B.网络安全主管部门

C.市场监管部门

D.税务部门

答案：B

解析：根据《网络安全法》《关键信息基础设施安全保护条例》，关键信息基础设施的运营者应当按照规定向网络安全主管部门备案，接受监督管理，因此选B。A、C、D均不属于关键信息基础设施备案的主管部门。

下列关于国密算法的表述，正确的是（）

A.SM3是对称加密算法

B.SM4主要用于数字签名

C.SM2是非对称加密算法，用于密钥交换和数字签名

D.国密算法仅适用于政务系统，不适用于企业系统

答案：C

解析：国密算法是我国自主研发的密码算法，其中SM2是非对称加密算法，主要用于密钥交换和数字签名；SM3是哈希算法，用于数据完整性校验；SM4是对称加密算法，用于数据加密，因此C选项正确，A、B选项错误。D选项错误，国密算法适用于政务、金融、企业等各类场景，目前已广泛推广应用。安全应急响应的正确流程是（）

A.检测预警→遏制处置→根除恢复→总结改进

B.遏制处置→检测预警→根除恢复→总结改进

C.根除恢复→检测预警→遏制处置→总结改进

D.总结改进→检测预警→遏制处置→根除恢复

答案：A

解析：安全应急响应的核心流程为：首先检测预警，发现安全事件并发出告警；然后遏制处置，阻止事件扩散，减少损失；接着根除恢复，清除安全隐患，恢复系统正常运行；最后总结改进，分析事件原因，完善安全措施，因此选A。

下列关于防火墙的表述，错误的是（）

A.防火墙可以阻止未授权的网络访问

B.防火墙可以防范所有网络攻击

C.防火墙分为网络层防火墙和应用层防火墙

D.防火墙是网络边界安全的核心设备

答案：B

解析：防火墙是网络边界安全的核心设备，可分为网络层（包过滤）和应用层（代理）防火墙，能够阻止未授权的网络访问，过滤恶意流量，但无法防范所有网络攻击（如内部攻击、绕过防火墙的攻击），因此B选项错误。

数据脱敏技术中，下列哪种方式属于静态脱敏（）

A.对传输中的数据进行脱敏处理

B.对存储在数据库中的数据进行脱敏处理，生成测试数据

C.对用户查询的数据进行实时脱敏展示

D.对日志中的敏感数据进行脱敏后存储

答案：B

解析：静态脱敏是指对存储在数据库、文件等介质中的静态数据进行脱敏处理，处理后的数据可用于测试、分析等场景，不影响原始数据，因此B选项正确。A、C、D均属于动态脱敏，即对数据在传输、查询、使用过程中进行实时脱敏处理，确保敏感信息不泄露。

GDPR与《个人信息保护法》的核心区别在于（）

A.GDPR仅适用于欧盟境内，《个人信息保护法》仅适用于中国境内

B.GDPR不要求个人信息主体的同意，《个人信息保护法》要求

C.GDPR不涉及跨境数据传输，《个人信息保护法》涉及

D.GDPR的处罚力度远低于《个人信息保护法》

答案：A

解析：GDPR（通用数据保护条例）是欧盟的个人信息保护法规，仅适用于欧盟境内的个人信息处理活动；《个人信息保护法》是我国的个人信息保护法规，仅适用于中国境内的个人信息处理活动，这是两者的核心区别，因此A选项正确。B选项错误，两者均要求取得个人信息主体的同意；C选项错误，两者均涉及跨境数据传输的相关规定；D选项错误，GDPR的处罚力度并不低于《个人信息保护法》，两者均有高额罚款条款。

下列关于安全基线的表述，正确的是（）

A.安全基线是系统的最低安全配置要求

B.安全基线无需定期更新

C.不同类型的系统，安全基线完全相同

D.安全基线仅适用于服务器，不适用于终端设备

答案：A

解析：安全基线是指系统（服务器、终端、网络设备等）的最低安全配置要求，用于保障系统的基础安全，因此A选项正确。B选项错误，安全基线需根据系统更新、漏洞变化等情况定期更新；C选项错误，不同类型的系统（如Windows服务器、Linux服务器、终端设备），安全基线不同；D选项错误，安全基线适用于所有类型的IT系统和设备。

渗透测试中，“权限提升”属于哪个阶段的任务（）

A.侦察阶段

B.漏洞扫描阶段

C.漏洞利用阶段

D.后渗透阶段

答案：D

解析：后渗透阶段的核心任务包括权限提升、横向移动、数据窃取、维持控制等，权限提升是指通过各种手段将普通用户权限提升为管理员权限，以便进一步控制目标系统，因此选D。

依据《网络安全法》，网络运营者应当建立网络安全等级保护制度，落实安全保护义务，其核心流程不包括（）

A.定级

B.备案

C.建设整改

D.无需等级测评

答案：D

解析：《网络安全法》明确要求网络运营者落实网络安全等级保护制度，其核心流程为“定级、备案、建设整改、等级测评、监督检查”五阶段闭环管理，因此D选项（无需等级测评）不属于核心流程，等级测评是必不可少的环节。

下列哪种技术用于防范SQL注入攻击（）

A.数据加密

B.输入验证和参数化查询

C.防火墙过滤

D.日志审计

答案：B

解析：SQL注入攻击是由于Web应用程序对用户输入的参数未进行有效验证，导致恶意SQL语句被执行，因此防范SQL注入的核心技术是输入验证（过滤恶意字符）和参数化查询（将用户输入作为参数传递，不直接拼接SQL语句），因此选B。A、C、D均无法有效防范SQL注入攻击。

安全运营中，EDR终端行为异常检测的核心目的是（）

A.监控终端硬件状态

B.检测终端上的恶意行为，及时阻断

C.统计终端的使用时长

D.优化终端性能

答案：B

解析：EDR（终端检测与响应）是终端安全的核心工具，其行为异常检测的核心目的是监控终端上的异常行为（如恶意程序运行、敏感数据泄露、异常进程启动等），并及时进行阻断和处置，因此选B。A、C、D均不属于EDR的核心功能。

下列关于残余风险的表述，正确的是（）

A.残余风险是指经过风险处置后，仍然存在的风险

B.残余风险可以完全消除

C.残余风险无需进行管理

D.残余风险一定是可接受的

答案：A

解析：残余风险是指经过风险处置（规避、转移、降低）后，仍然存在的风险，由于技术、成本等因素，残余风险无法完全消除，因此A选项正确，B选项错误。C选项错误，残余风险需要进行持续监控和管理，确保其处于可接受范围；D选项错误，残余风险可能超出可接受范围，此时需要进一步采取处置措施。

云原生安全架构中，容器镜像签名验证的核心目的是（）

A.确保容器镜像的大小符合要求

B.确保容器镜像未被篡改，来源可信

C.优化容器镜像的运行速度

D.减少容器镜像的存储空间

答案：B

解析：容器镜像签名验证是云原生安全的重要措施，其核心目的是通过数字签名，验证容器镜像的完整性（未被篡改）和来源可信性（来自合法渠道），防止恶意镜像被部署到云环境中，因此选B。A、C、D均不属于容器镜像签名验证的核心目的。

下列关于安全策略的表述，错误的是（）

A.安全策略是信息安全管理的核心依据

B.安全策略需要明确安全目标和责任分工

C.安全策略无需落地执行，仅作为文档留存

D.安全策略需要定期修订和完善

答案：C

解析：安全策略是信息安全管理的核心依据，需要明确安全目标、责任分工、安全措施等内容，并且需要落地执行，指导实际的安全工作，因此C选项错误。A、B、D选项均符合安全策略的核心要求，安全策略需根据业务变化、技术发展定期修订和完善。

下列哪种属于基于实体所有的鉴别方法（）

A.用户通过自己设置的口令登录系统完成身份鉴别

B.用户使用个人指纹，通过指纹识别系统完成身份鉴别

C.用户利用和系统协商的秘密函数，对系统发送的挑战进行正确应答，完成身份鉴别

D.用户使用集成电路卡（如智能卡）完成身份鉴别

答案：D

解析：身份鉴别方法分为三类：基于所知（如口令）、基于所有（如智能卡、密钥）、基于特征（如指纹、人脸）。D选项智能卡属于用户“拥有”的实体，因此属于基于实体所有的鉴别方法。A选项属于基于所知，B选项属于基于特征，C选项属于基于所知（秘密函数），因此选D。

商用密码应用安全性评估（密评）的核心维度不包括（）

A.管理制度

B.人员配备

C.硬件设备的品牌

D.建设方案

答案：C

解析：商用密码应用安全性评估（密评）的核心维度包括管理制度、人员配备、建设方案、应急处置四个方面，主要评估密码应用的合规性和安全性，与硬件设备的品牌无关，因此选C。

与PDR模型相比，P2DR模型多增加的环节是（）

A.防护（Protection）

B.检测（Detection）

C.反应（Response）

D.策略（Policy）

答案：D

解析：PDR模型的核心环节是防护（Protection）、检测（Detection）、反应（Response）；P2DR模型在PDR模型的基础上，增加了“策略（Policy）”环节，策略作为整个安全体系的核心，指导防护、检测和反应环节的实施，因此选D。

二、多选题（共20题，每题2分，每题有2-4个正确答案，多选、少选、错选均不得分）三、判断题（共10题，每题1分，正确选“√”，错误选“×”）四、案例分析题（共2题，每题5分，结合案例回答问题，要求思路清晰、贴合考点）补充说明：本题库严格贴合2026年CISP最新考试大纲，考点覆盖全面，答案解析通俗易懂，重点突出实操应用和考点延伸，可直接用于备考刷题。刷题时建议重点关注渗透测试、法律法规、等保2.0等高频模块，结合案例分析题掌握考点应用，提升答题能力。2026年CISP考试核心知识域包括（）

A.信息安全保障

B.安全工程与运营

C.安全风险管理

D.法律合规

E.渗透测试

答案：ABCDE

解析：2026年CISP最新考试大纲明确，核心知识域包括信息安全保障（20分）、安全工程与运营（25分）、安全风险管理（15分）、法律合规（10分）、渗透测试（30分）五大模块，覆盖了CISP考试的全部考点，因此ABCDE均正确。

信息安全保障的核心内容包括（）

A.等保2.0三级系统建设规范

B.关键信息基础设施防护框架

C.ISO27001/27002标准应用

D.数据备份与恢复

答案：ABC

解析：信息安全保障模块的核心内容包括等保2.0三级系统建设规范、关键信息基础设施防护框架、ISO27001/27002等国际标准的应用，因此ABC正确。D选项数据备份与恢复属于安全工程与运营模块的内容，不属于信息安全保障的核心内容。

ApacheLog4j漏洞（Log4Shell）的衍生漏洞包括（）

A.CVE-2021-45046

B.CVE-2021-45105

C.CVE-2021-44832

D.CVE-2021-44228

答案：ABC

解析：Log4Shell漏洞（CVE-2021-44228）被发现后，陆续曝光了多个衍生漏洞，包括CVE-2021-45046（第一个补丁未完全修复的漏洞）、CVE-2021-45105（拒绝服务漏洞）、CVE-2021-44832（需提升权限的远程代码执行漏洞），因此ABC正确。D选项是Log4Shell漏洞本身的CVE编号，并非衍生漏洞。

《数据安全法》的核心要求包括（）

A.数据分级分类管理

B.重要数据重点保护

C.数据跨境传输安全评估

D.数据处理者的安全责任

答案：ABCD

解析：《数据安全法》的核心要求包括：数据分级分类管理、重要数据重点保护、数据跨境传输安全评估、数据处理者的安全责任、数据安全监督管理等，因此ABCD均正确，是CISP法律合规模块的重点考点。

对称加密算法的特点包括（）

A.加密和解密使用相同密钥

B.加密速度快，适用于大量数据加密

C.密钥管理难度大，不适用于多用户场景

D.加密强度高于非对称加密算法

答案：ABC

解析：对称加密算法的核心特点是加密和解密使用相同密钥，加密速度快，适用于大量数据加密，但密钥管理难度大（多用户场景下密钥分发和保管困难），因此ABC正确。D选项错误，对称加密算法的加密强度不一定高于非对称加密算法，两者适用场景不同，无法简单比较强度。

安全工程与运营模块的核心考点包括（）

A.SOC平台日志分析实战（含Splunk操作）

B.云安全架构设计（AWS/Azure混合云场景）

C.安全基线配置

D.应急响应流程

答案：ABCD

解析：2026年CISP安全工程与运营模块（占比25%）的核心考点包括SOC平台日志分析、云安全架构设计、安全基线配置、应急响应流程、数据备份与恢复等，因此ABCD均正确。

渗透测试的核心环节包括（）

A.侦察（Recon）

B.漏洞扫描与分析

C.漏洞利用（Exploit）

D.后渗透（Post-exploitation）

答案：ABCD

解析：渗透测试的核心环节遵循“侦察-漏洞扫描与分析-漏洞利用-后渗透-报告编写”的流程，四个选项均为渗透测试的核心环节，其中侦察、漏洞利用、后渗透是2026年考试的重点，占渗透测试模块分值的70%以上。

最小权限原则的落实措施包括（）

A.为用户分配仅满足工作需求的权限

B.定期review员工权限，回收闲置权限

C.管理员账户与普通账户分离使用

D.为所有用户分配统一的权限

答案：ABC

解析：落实最小权限原则的措施包括：为用户分配仅满足工作需求的权限、定期review权限并回收闲置权限、管理员账户与普通账户分离使用（避免权限滥用），因此ABC正确。D选项为所有用户分配统一权限，会导致权限冗余，违反最小权限原则，因此错误。

等保2.0三级系统的增强控制项包括（）

A.入侵防范

B.可信验证

C.安全审计

D.集中管控

答案：ABCD

解析：等保2.0三级系统在二级系统的基础上，增加了入侵防范、可信验证、安全审计、集中管控等增强控制项，要求更高，因此ABCD均正确，是信息安全保障模块的重点考点。

个人信息处理的合法原则包括（）

A.取得个人同意

B.符合法律、行政法规规定

C.不违反公序良俗

D.可以随意处理个人信息

答案：ABC

解析：《个人信息保护法》明确规定，个人信息处理应当遵循合法原则，具体包括：取得个人同意、符合法律和行政法规规定、不违反公序良俗，因此ABC正确。D选项错误，个人信息处理不得随意进行，必须符合合法原则。

安全风险处置的方式包括（）

A.风险规避

B.风险转移

C.风险降低

D.风险接受

答案：ABCD

解析：信息安全风险处置的核心方式包括四种：风险规避（停止可能带来风险的活动）、风险转移（通过保险、外包等方式转移风险）、风险降低（采取措施降低风险发生的可能性和影响）、风险接受（风险处于可接受范围，无需额外处置），因此ABCD均正确。渗透测试中常用的工具包括（）

A.Nmap（端口扫描）

B.BurpSuite（Web漏洞扫描）

C.Metasploit（漏洞利用）

D.Splunk（日志分析）

答案：ABC

解析：渗透测试中常用的工具包括Nmap（端口扫描）、BurpSuite（Web漏洞扫描与代理）、Metasploit（漏洞利用框架），因此ABC正确。D选项Splunk主要用于日志分析，属于安全运营工具，不属于渗透测试常用工具。

云安全的核心挑战包括（）

A.多平台权限统一管理

B.数据一致性保护

C.云服务商责任划分

D.云环境的弹性扩展

答案：ABC

解析：云安全的核心挑战包括多平台权限统一管理、数据一致性保护、云服务商责任划分、数据泄露风险等，因此ABC正确。D选项云环境的弹性扩展是云平台的优势，并非安全挑战。

安全审计的核心内容包括（）

A.日志收集与存储

B.日志分析与告警

C.事件追溯与责任认定

D.日志随意删除

答案：ABC

解析：安全审计的核心内容包括日志收集与存储、日志分析与告警、事件追溯与责任认定，因此ABC正确。D选项日志随意删除违反安全审计要求，不属于安全审计的核心内容。

国密算法体系包括（）

A.SM2（非对称加密）

B.SM3（哈希算法）

C.SM4（对称加密）

D.RSA（非对称加密）

答案：ABC

解析：国密算法是我国自主研发的密码算法体系，包括SM2（非对称加密）、SM3（哈希算法）、SM4（对称加密）等，因此ABC正确。D选项RSA是国际通用的非对称加密算法，不属于国密算法体系。

安全应急响应的核心原则包括（）

A.快速响应

B.损失最小化

C.快速恢复

D.事后改进

答案：ABCD

解析：安全应急响应的核心原则包括快速响应（及时发现和处置事件）、损失最小化（阻止事件扩散，减少损失）、快速恢复（尽快恢复系统正常运行）、事后改进（分析原因，完善措施），因此ABCD均正确。

OWASPTop10中的高频漏洞包括（）

A.跨站脚本（XSS）

B.SQL注入

C.身份认证失效

D.缓冲区溢出

答案：ABC

解析：OWASPTop10是Web应用安全的核心考点，高频漏洞包括跨站脚本（XSS）、SQL注入、身份认证失效、访问控制失效、安全配置错误等，因此ABC正确。D选项缓冲区溢出属于系统级漏洞，未列入OWASPTop10。

关键信息基础设施的防护要求包括（）

A.建立健全安全管理制度

B.定期开展安全测评

C.落实数据备份和应急恢复措施

D.无需向主管部门备案

答案：ABC

解析：关键信息基础设施的防护要求包括建立健全安全管理制度、定期开展安全测评、落实数据备份和应急恢复措施、向主管部门备案等，因此ABC正确。D选项错误，关键信息基础设施运营者必须向主管部门备案。数据脱敏的常用方式包括（）

A.静态脱敏

B.动态脱敏

C.数据加密

D.数据删除

答案：AB

解析：数据脱敏的常用方式分为静态脱敏和动态脱敏，静态脱敏用于处理存储的静态数据，动态脱敏用于处理传输、查询过程中的实时数据，因此AB正确。C选项数据加密不属于数据脱敏（脱敏是对数据进行变形处理，加密是对数据进行加密存储，解密后可恢复原始数据）；D选项数据删除不属于脱敏，是直接删除数据。

CISP考试目前为线下机考（闭卷），题量100题，及格线70分。（）

答案：√

解析：根据2026年CISP最新考试要求，考试形式为线下机考（闭卷），题量100题，总分100分，70分及格，表述正确。

信息安全“CIA三元组”包括机密性、完整性、可追溯性。（）

答案：×

解析：CIA三元组包括机密性、完整性、可用性，可追溯性是安全审计的核心要求，并非CIA三元组的内容，表述错误。

ApacheLog4j漏洞（Log4Shell）仅影响Log4J2.0版本，升级至2.15.0版本即可完全修复。（）

答案：×

解析：Log4Shell漏洞影响Log4J2.x系列多个版本，2.15.0版本仅修复了部分漏洞，需升级至2.17.1及以上版本才能完全修复该漏洞及衍生漏洞，表述错误。

《个人信息保护法》规定，个人信息可以未经个人同意，随意收集和使用。（）

答案：×

解析：《个人信息保护法》明确规定，处理个人信息必须取得个人同意，遵循合法、正当、必要原则，不得随意收集和使用，表述错误。

对称加密算法加密和解密使用不同的密钥，非对称加密算法使用相同的密钥。（）

答案：×

解析：对称加密算法加密和解密使用相