2026年军工信息安全等级保护测评考试模拟题及答案

2026年军工信息安全等级保护测评考试模拟题及答案一、单项选择题（每题2分，共40分）1.根据《军工信息系统安全等级保护实施细则（2025修订）》，某承担新型导弹火控系统研发的信息系统，因一旦遭到破坏将对国防安全造成特别严重损害，其安全保护等级应划分为（）A.一级B.二级C.三级D.四级答案：D2.军工信息系统等级保护测评中，针对“结构化安全保护级”（三级）系统，要求应通过（）方式验证安全管理员、系统管理员、安全审计员的角色分离有效性A.查阅授权文档B.观察日常操作C.模拟权限越界操作D.检查日志记录答案：C3.某军工单位研发管理系统采用国密算法进行数据加密，根据《军用密码使用管理规定》，存储研发关键参数的数据库应优先使用（）算法A.SM1B.SM2C.SM3D.SM4答案：B（注：SM2为非对称算法，适用于数字签名和密钥交换，关键参数存储需高强度身份认证和密钥保护）4.以下不属于军工信息系统物理安全“区域隔离”要求的是（）A.核心机房与办公区域设置电子门禁B.测试终端与互联网物理断开C.研发服务器与后勤管理服务器部署在同一机房D.涉密存储设备与非涉密设备分柜存放答案：C5.测评机构对某二级军工信息系统开展测评时，发现其未对重要操作（如代码提交、参数修改）进行审计记录，违反了（）要求A.安全审计-审计覆盖B.入侵防范-恶意代码检测C.访问控制-最小授权D.数据完整性-校验技术答案：A6.军工信息系统等级保护测评中，“渗透测试”应在（）阶段实施A.自查自评B.现场测评C.整改复查D.系统交付答案：B7.某单位将装备测试数据存储于云服务器，根据《军工云服务安全管理办法》，云服务商必须具备的资质是（）A.信息系统安全等级保护三级测评机构资质B.武器装备科研生产单位保密资格C.军用信息系统安全保密测评资质D.云计算服务安全能力认证（增强级）答案：C8.关于军工信息系统安全管理制度，错误的说法是（）A.应包含《涉密移动存储介质管理办法》B.制度修订需经安全领导小组审批C.普通员工只需了解与其岗位相关的制度条款D.所有制度应在单位内部网站全文公开答案：D（涉密制度需控制知悉范围）9.测评时发现某系统管理员账号同时具备用户管理和日志审计权限，违反了（）原则A.最小特权B.职责分离C.纵深防御D.安全审计答案：B10.军工信息系统数据备份应满足“异址存储”要求，其中“异址”指（）A.同一建筑物不同楼层B.同一城市不同园区C.不同城市且物理距离不小于30公里D.不同国家答案：C11.对三级军工信息系统进行漏洞扫描时，应优先使用（）A.通用漏洞扫描工具（如Nessus）B.军用专用漏洞检测平台C.开源扫描脚本D.人工渗透测试答案：B（需符合军用安全标准）12.以下属于“安全标记”技术应用场景的是（）A.对用户登录IP进行白名单限制B.为涉密文档标注“秘密”“机密”等级标签C.对数据库操作日志进行哈希校验D.对网络流量进行异常检测答案：B13.某单位采用双因素认证（口令+动态令牌），但测评发现令牌系统与互联网连接，存在（）风险A.口令暴力破解B.令牌被伪造C.时间同步攻击D.中间人攻击答案：D（互联网连接可能导致通信被窃听）14.军工信息系统安全测评中，“剩余信息保护”要求是指（）A.删除存储介质数据后无法恢复B.备份数据与原始数据保持一致C.传输过程中数据不被篡改D.访问控制列表及时更新答案：A15.根据《军队信息安全等级保护测评过程指南》，现场测评工作应在（）个工作日内完成A.5-10B.10-15C.15-20D.20-30答案：B（二级系统一般10-15个工作日，三级系统可延长）16.以下不属于“安全通信网络”层面测评内容的是（）A.网络边界访问控制策略B.通信线路冗余设计C.终端主机病毒防护D.传输数据加密方式答案：C（属于“安全计算环境”）17.某单位将研发图纸通过电子邮件发送至协作单位，测评发现未对邮件内容进行加密，违反了（）要求A.数据完整性B.数据保密性C.抗抵赖性D.可用性答案：B18.测评机构发现某系统存在高危漏洞（CVSS评分9.8），正确的处理流程是（）A.立即向被测评单位口头通报，3个工作日内出具正式报告B.完成所有测评项后统一反馈C.先记录漏洞，待测评结束后由被测评单位自行处理D.当场告知并要求立即整改，整改完成后重新测评相关项答案：D19.军工信息系统等级保护测评中，“人员安全管理”不包括（）A.安全岗位人员背景审查B.外聘技术人员签订保密协议C.员工年度安全培训记录D.设备供应商资质审核答案：D（属于“供应链安全”）20.对四级军工信息系统进行测评时，必须验证的容灾能力是（）A.本地实时备份B.异地数据备份C.异地应用级容灾D.国家战略级容灾答案：C二、填空题（每题2分，共20分）1.军工信息系统安全等级保护实行“自主保护、（）、同步建设、动态调整”的原则。答案：重点保护2.三级军工信息系统安全测评周期为（）年一次。答案：13.安全管理制度应包括制度编制、发布、（）、废止等全生命周期管理要求。答案：修订4.访问控制的“三权分立”指安全管理员、系统管理员和（）的权限分离。答案：安全审计员5.涉密信息系统应采用（）密码进行加密，非涉密但敏感的军工信息系统可采用商用密码。答案：军用6.物理安全中“防盗窃和防破坏”要求，核心设备应安装（）或定位装置。答案：电子标签7.数据备份应至少包括全备份和（）两种方式。答案：增量备份8.安全测评中，“渗透性测试”需使用（）工具，并严格限制测试范围。答案：授权9.人员安全管理中，关键岗位人员离岗应进行（），并签署离岗保密承诺书。答案：安全审计10.四级军工信息系统应实现（）冗余，关键网络设备需双机热备。答案：网络线路三、判断题（每题1分，共10分。正确打√，错误打×）1.军工信息系统等级保护与涉密信息系统分级保护是两套独立的体系，无需衔接。（）答案：×（需协同实施）2.测评机构可以将部分测评任务转包给具备资质的第三方。（）答案：×（禁止转包）3.安全审计日志应至少保存6个月，四级系统需保存1年以上。（）答案：√4.为提高效率，系统管理员可以兼任安全审计员。（）答案：×（需职责分离）5.无线AP可以部署在核心机房周边，只要关闭SSID广播。（）答案：×（军工系统禁止使用无线接入）6.存储过涉密数据的硬盘，格式化后可作为非涉密设备使用。（）答案：×（需进行物理销毁或安全擦除）7.云计算环境下，军工信息系统的安全责任由云服务商全部承担。（）答案：×（责任共担）8.安全培训记录只需保存3年，超过期限可销毁。（）答案：×（需长期保存）9.测评时发现的一般安全问题，可在测评报告中注明“建议整改”，无需跟踪。（）答案：×（需跟踪整改情况）10.四级系统的安全策略应每半年评审一次，根据需求变化及时调整。（）答案：√四、简答题（每题6分，共30分）1.简述军工信息系统等级保护与普通信息系统等级保护的主要区别。答案：①保护对象特殊，涉及国防安全、装备研发等核心数据；②安全要求更严格，部分条款（如物理安全、人员管理）严于国标；③测评机构需具备军用安全测评资质；④强调“同步建设”，与系统研发、部署全周期融合；⑤涉密系统需同时符合分级保护要求。2.列举三级军工信息系统在“安全计算环境”层面的5项关键测评指标。答案：①身份鉴别：双因素认证且口令复杂度符合军用标准；②访问控制：基于角色的最小授权，权限分配记录可审计；③安全审计：覆盖所有重要操作，日志包含源地址、时间、操作类型等要素；④入侵防范：部署军用级入侵检测系统，能检测APT攻击；⑤数据完整性：关键数据（如设计参数）采用国密算法校验。3.说明“安全管理制度”测评的主要内容。答案：①制度完备性：是否涵盖物理、网络、主机、应用、数据等全层面；②制度合规性：是否符合国家/军队相关法规（如《保守国家秘密法》《军队信息安全条例》）；③执行有效性：是否有培训记录、检查记录、违规处理记录；④更新机制：是否定期评审（至少每年一次），修订流程是否规范（需经安全领导小组审批）。4.简述军工信息系统漏洞管理的基本流程。答案：①漏洞发现：通过自动化扫描、人工渗透、供应商通报等方式识别；②漏洞评估：由安全团队评估漏洞风险等级（高/中/低）及影响范围；③漏洞修复：高危漏洞需24小时内修补，中危72小时，低危1周内；④修复验证：通过复测确认漏洞消除；⑤记录归档：将漏洞信息、修复过程、验证结果存入漏洞管理台账；⑥预防措施：分析漏洞原因，完善补丁管理、配置加固等制度。5.测评某军工单位“装备测试数据管理系统”时，发现以下问题：①数据库管理员拥有所有表的读写权限；②测试报告通过未加密的FTP传输；③审计日志仅记录登录成功事件。请分别指出违反的安全要求，并提出整改建议。答案：问题①：违反“访问控制-最小授权”要求。整改建议：按测试、审核、归档等角色划分权限，限制管理员仅具备必要权限，启用权限审批流程。问题②：违反“数据保密性-传输加密”要求。整改建议：使用SFTP或SSL/TLS加密传输，测试报告应通过军工专用加密通道（如IPSecVPN）传输。问题③：违反“安全审计-审计覆盖”要求。整改建议：扩大审计范围，记录登录失败、数据修改、删除等事件，日志需包含用户、时间、操作对象、结果等要素，日志存储时间不少于1年（三级系统）。五、案例分析题（每题10分，共20分）案例1：某军工研究所“新型雷达研发管理系统”（三级）委托测评机构开展等级保护测评。测评过程中发现：系统部署在互联网可访问的云服务器，未划分安全域；研发人员使用弱口令（如“123456”）登录，且未启用多因素认证；近3个月审计日志中存在12次异常登录（同一账号异地短时间连续登录），但未触发任何告警；存储研发图纸的文件夹所有人权限为“完全控制”，无访问限制。请分析该系统存在的安全风险，并提出整改措施。答案：安全风险：①互联网暴露风险：系统直接连接互联网，易遭APT攻击、数据窃取；②身份鉴别脆弱：弱口令易被暴力破解，无多因素认证无法有效确认用户身份；③审计与监测缺失：异常登录未告警，无法及时发现非法访问；④访问控制失控：文件夹权限过高，存在数据被误删或恶意篡改风险。整改措施：①网络安全：将系统迁移至军工专用内网，划分研发区、管理区、审计区，部署防火墙实现区域隔离；②身份鉴别：强制使用12位以上包含字符/数字/符号的复杂口令，启用动态令牌或指纹识别的双因素认证；③安全监测：部署入侵检测系统（IDS），对异地短时间登录、高频访问等行为设置告警规则，联动阻断异常会话；④访问控制：基于角色（研发员、审核员、管理员）分配文件夹权限，研发员仅具备只读权限，修改需审核员批准，权限变更记录纳入审计日志。案例2：某单位“导弹制导参数管理系统”（四级）完成等级保护测评后，测评报告指出“未实现关键设备的冗余备份”“数据备份策略未覆盖参数修改操作”“安全培训仅覆盖技术部门，管理部门未参与”。假设你是该单位信息安全主管，需制定整改方案。请列出整改目标、具体措施及验证方法。答案：整改目标：①关键设备冗余率100%，确保单点故障不影响系统运行；②数据备份覆盖所有参数修改操作，恢复时间目标（RTO）≤30分钟；③安全培训覆盖率100%，管理部门掌握安全责任与合规要求。具体措施：①设备冗余：为数据库服务器、核心交换机部署双机热备，配置心跳线实现自动切换；②备份策略：修改备份脚本，将参数修改操作日志与参数文件进