2025年信息设备安全管理试题及答案

2025年信息设备安全管理试题及答案一、单项选择题（每题1分，共20分。每题只有1个正确答案）1.根据2024年修订发布的《信息设备安全通用要求》（GB/T20271-2024），党政机关及关键信息基础设施运营者采购的办公信息设备，必须满足的安全等级最低要求是（）A.第一级（用户自主保护级）B.第二级（系统审计保护级）C.第三级（安全标记保护级）D.第四级（结构化保护级）2.信创终端设备固件安全验证环节中，下列不属于可信根预启动验证范围的是（）A.BIOS固件完整性B.操作系统内核签名合法性C.外接U盘存储内容完整性D.硬件配置寄存器参数合规性3.搭载生成式AI助手的办公终端设备，接入单位内网前必须完成的前置配置是（）A.关闭AI本地训练权限B.开启AI内容自动过滤功能C.配置敏感数据出境阻断、本地数据不上传云端的规则D.绑定个人实名认证账号4.量子密钥分发（QKD）终端设备的日常运维中，存储过核心业务密钥的介质报废必须采取的处置方式是（）A.逻辑删除B.高级格式化C.物理粉碎至粒径小于1毫米D.强磁场消磁处理5.针对工业控制系统现场的边缘计算网关设备，下列行为符合安全管理要求的是（）A.开启SSH远程调试端口便于运维人员远程操作B.定期导出设备运行日志上传至公有云存储留存C.采用白名单机制限制设备上可运行的程序列表D.直接接入办公内网进行固件升级包下载6.根据2024年修订的《网络安全事件报告管理办法》要求，关键信息基础设施使用的信息设备被曝出存在CVSSv3.1评分9.0及以上的严重漏洞时，必须完成修复的最长时限是（）A.24小时B.72小时C.7个工作日D.15个工作日7.下列关于涉密信息设备管理的要求，表述正确的是（）A.低密级涉密设备可临时接入非涉密网络传输文件B.涉密设备的维修可由单位内部运维人员在办公区域完成C.涉密设备淘汰时可直接捐赠给对口帮扶的基层单位D.涉密设备必须粘贴对应密级标识，且标识不得涂改、遮挡8.移动办公设备（笔记本、平板、手机等）接入单位零信任内网时，无需校验的维度是（）A.设备硬件指纹B.设备所在地IP归属地C.设备当前运行的进程列表D.设备的屏幕分辨率9.根据《生成式人工智能服务管理暂行办法》要求，单位自行部署的本地AI服务类信息设备，生成内容的日志留存期限不得少于（）A.30天B.90天C.6个月D.12个月10.下列关于IoT类信息设备（摄像头、门禁、传感器等）的安全管理要求，表述错误的是（）A.必须修改设备出厂默认密码，密码长度不低于8位B.可直接暴露在公网进行远程管理C.定期升级设备固件，关闭不必要的服务端口D.同一区域的IoT设备应单独划分VLAN，与办公网隔离11.信息设备的密码应用配置中，下列不属于必须满足的要求是（）A.身份鉴别采用国密算法生成的数字证书B.敏感数据传输采用SM4算法加密C.日志完整性校验采用SM3哈希算法D.设备开机密码必须包含特殊字符12.下列哪类信息设备无需纳入等保三级系统的设备台账统一管理（）A.核心业务服务器B.网络边界防火墙C.员工个人自用的蓝牙耳机D.数据库审计设备13.信息设备远程运维时，必须采用的认证方式是（）A.静态密码认证B.短信验证码认证C.双因素及以上认证D.人脸认证14.下列关于跨网摆渡信息设备的管理要求，表述正确的是（）A.可同时连接涉密网和非涉密网B.摆渡设备的存储介质必须采用加密分区C.摆渡完成后可留存源文件在设备中D.摆渡设备可由普通员工自行采购使用15.关键信息基础设施运营者采购信息设备时，需向网信部门提交供应链安全审查申报的阈值是单次采购金额超过（）A.50万元B.100万元C.500万元D.1000万元16.信息设备存储的重要业务数据，备份频率最低要求是（）A.每日增量备份，每周全量备份B.每日全量备份，每月增量备份C.每周增量备份，每月全量备份D.每周全量备份，每季度增量备份17.下列不属于信息设备应急响应处置环节的是（）A.设备断网隔离B.攻击路径溯源C.漏洞修复验证D.新设备采购招标18.搭载车联网功能的新能源公务用车信息设备，下列行为符合安全要求的是（）A.接入单位内网同步公务出行数据B.随意安装第三方应用程序C.关闭车辆数据自动上传境外厂商服务器的功能D.将车辆WiFi热点开放给外来人员使用19.信创服务器设备的安全基线配置中，必须关闭的默认服务是（）A.HTTP服务B.SSH服务C.Telnet服务D.日志审计服务20.信息设备报废处置时，下列流程正确的是（）A.直接丢弃至垃圾站B.格式化后转卖至二手市场C.消磁/物理粉碎后交由有资质的危废处理机构处置D.送给单位员工个人使用二、多项选择题（每题2分，共30分。多选、少选、错选均不得分）1.党政机关采购信创信息设备时，需纳入供应链安全审查范围的内容包括（）A.设备厂商的背景资质、近3年无网络安全不良记录B.设备固件的开源组件漏洞情况C.核心元器件的来源地，无境外不可控组件D.预装软件的隐私合规性、无恶意代码E.厂商的售后服务网点数量2.搭载生成式AI功能的办公信息设备，日常使用中严禁出现的行为包括（）A.上传涉密文档、内部敏感数据至AI助手进行内容处理B.利用AI生成安全攻防方案用于单位内部渗透测试C.开启AI的本地模型微调功能导入未脱敏的内部业务数据D.使用AI进行设备运行日志的异常分析E.通过AI生成密码字典破解单位正式业务系统密码3.涉密信息设备使用过程中，必须严格禁止的行为包括（）A.连接互联网、公共WiFiB.安装未经过安全检测的软件C.转借他人使用D.复制存储涉密信息到非涉密介质E.在符合保密要求的场所使用4.移动办公设备接入单位内网前，必须完成的安全配置包括（）A.开启设备锁屏密码，密码长度不低于8位，超时自动锁屏时间不超过5分钟B.安装单位统一部署的EDR、DLP终端安全软件C.开启设备定位功能，便于丢失后溯源D.关闭设备的USB调试、蓝牙发现功能E.root/越狱设备获取最高权限5.工业现场边缘计算网关设备的安全管理要求包括（）A.单独划分VLAN，与办公网、互联网逻辑隔离B.采用白名单机制限制可运行的程序、可访问的IP地址C.日志留存期限不低于6个月D.固件升级前必须在测试环境验证无兼容性、安全问题E.开启远程调试端口便于厂商运维6.信息设备漏洞全生命周期管理的环节包括（）A.漏洞监测与预警B.漏洞研判与定级C.漏洞修复与验证D.漏洞披露与上报E.漏洞利用与交易7.量子密钥分发终端设备的运维要求包括（）A.密钥更新频率不低于每24小时一次B.密钥存储采用国密算法加密C.设备部署场所必须符合物理安全三级要求D.运维人员必须经过量子安全专项培训E.密钥可直接导出至普通存储介质备份8.零信任架构下，信息设备接入内网的校验要素包括（）A.设备硬件指纹唯一性B.设备安全基线符合要求C.访问主体的身份权限D.访问行为的上下文合理性E.设备的采购时间9.信息设备的数据泄露防护（DLP）功能必须覆盖的场景包括（）A.敏感数据外发至U盘、移动硬盘等外接存储B.敏感数据通过邮件、即时通讯工具外发C.敏感数据上传至公网云盘、AI服务D.敏感数据通过打印机打印E.敏感数据在设备本地加密存储10.下列属于信息设备安全管理台账必须包含的内容是（）A.设备名称、型号、序列号B.设备使用人、部署位置C.设备采购金额、采购时间D.设备的固件版本、漏洞修复记录E.设备的包装盒、说明书存放位置11.根据2024年修订的《网络安全法》，信息设备安全管理违法违规行为可能面临的处罚包括（）A.单位最高处500万元以下罚款B.直接负责的主管人员最高处20万元以下罚款C.责令暂停相关业务、停业整顿D.吊销相关业务许可证或者吊销营业执照E.追究刑事责任12.下列关于信息设备跨网传输的要求，表述正确的是（）A.涉密网和非涉密网之间禁止使用普通U盘摆渡B.不同安全域之间的设备数据传输必须经过防火墙、网闸的访问控制C.关键业务数据跨网传输必须加密D.可通过微信、QQ等公网即时通讯工具传输内部敏感数据E.跨网传输的日志必须留存不少于6个月13.信息设备安全培训的内容必须包括（）A.国家相关法律法规、标准要求B.设备的安全操作规范C.数据泄露、网络攻击的应急处置流程D.密码设置、敏感数据保护的基础知识E.设备的硬件维修技能14.下列关于AI训练服务器设备的安全管理要求，表述正确的是（）A.训练数据必须经过脱敏、合规审查B.禁止接入互联网，仅可在内网访问C.训练生成的模型必须经过安全评估，不存在生成敏感内容、歧视性内容的风险D.训练日志留存不少于12个月E.可随意对外开放训练接口供外部人员使用15.信息设备报废前必须完成的操作包括（）A.导出并备份设备中的重要数据B.清除设备中的所有存储数据，无法清除的物理销毁C.注销设备在准入系统、资产管理系统中的相关信息D.拆除设备中的核心元器件单独存放E.直接转让给其他单位使用三、判断题（每题1分，共10分。正确打√，错误打×）1.关键信息基础设施运营者使用的国产信息设备，可无需进行密码应用安全性评估直接投入使用。（）2.涉密信息设备严禁连接非涉密网络，但非涉密信息设备可临时存储处理低密级的涉密信息。（）3.量子密钥分发终端设备的密钥更新频率不得低于每24小时一次。（）4.边缘计算网关设备存储的工业敏感数据，可直接同步至公有云进行大数据分析。（）5.搭载生成式AI功能的办公设备，用户上传的数据默认同步至厂商云端用于模型训练的，必须明确告知用户并获得授权。（）6.信息设备的出厂默认密码只要复杂度符合要求，可无需修改直接使用。（）7.零信任架构下，只要设备通过一次身份认证，即可长期访问内网所有资源。（）8.工业控制信息设备的漏洞修复，必须经过测试验证无业务中断风险后方可在生产环境实施。（）9.信息设备的运行日志只要存储在本地即可，无需上传至统一的日志审计平台。（）10.单位采购的信息设备，可由员工自行安装任意来源的软件。（）四、案例分析题（每题10分，共20分）1.案例背景：某国企2025年新采购120台搭载生成式AI助手的信创笔记本，分配给市场部员工使用，上线前未进行专项安全配置，仅安装了常规EDR软件。上线1个月后发生1.2万条敏感客户数据泄露事件，经查是员工将未脱敏的客户清单上传至AI助手进行营销话术生成，该AI助手默认开启用户数据上传至厂商公有云训练数据集的功能，数据被厂商服务器同步出境后被非法窃取。问题：（1）指出该单位在信息设备安全管理中存在的3项核心违规问题（3分）（2）针对此类搭载生成式AI功能的办公信息设备，应制定哪些专项安全管控措施（7分）2.案例背景：某轨道交通运营单位属于关键信息基础设施运营者，其部署在12个地铁站的36台边缘计算网关设备2025年3月被国家网信办通报存在CVSS评分9.2的严重漏洞，攻击者可远程获取设备最高权限篡改运行数据。该单位运维人员因忙于业务系统升级，在漏洞通报10天后才完成全部设备的漏洞修复，修复前未采取临时防护措施，期间被境外攻击者入侵，导致3条线路的列车运行调度数据被篡改，造成2小时的线路停运，直接经济损失1200万元。问题：（1）该单位违反了哪些信息设备安全管理的法规和标准要求（3分）（2）针对此类工业现场信息设备，应建立哪些漏洞全生命周期管理机制（7分）五、实操题（共20分）背景：某省直单位计划2025年完成全部800台办公终端、23台业务服务器、17台网络设备的信创替代，要求你编制一份《信息设备入网安全核验操作规范》，明确核验的核心环节、每个环节的操作要点、合格判定标准，确保所有新设备入网前符合安全要求。参考答案一、单项选择题答案1.B2.C3.C4.C5.C6.A7.D8.D9.C10.B11.D12.C13.C14.B15.B16.A17.D18.C19.C20.C二、多项选择题答案1.ABCD2.ACE3.ABCD4.ABD5.ABCD6.ABCD7.ABCD8.ABCD9.ABCD10.ABCD11.ABCDE12.ABCE13.ABCD14.ABCD15.ABC三、判断题答案1.×2.×3.√4.×5.√6.×7.×8.√9.×10.×四、案例分析题参考答案1.（1）核心违规问题：①未落实《生成式人工智能服务管理暂行办法》要求，AI设备入网前未配置敏感数据不上传云端、数据出境阻断的安全规则，未关闭AI默认上传用户数据的功能；②未落实数据分级分类管理要求，未对员工开展AI设备使用的专项安全培训，员工未掌握敏感数据保护的操作要求；③未落实信息设备入网核验要求，AI类专项设备未进行专项安全配置即接入内网，未部署DLP数据泄露防护系统监测敏感数据外发行为。（2）专项管控措施：①入网前配置：统一关闭AI助手的云端数据上传、模型微调功能，配置DLP规则阻断敏感数据上传至任何公网AI服务，开启AI生成内容的本地审计功能；②使用权限管理：对AI助手的功能进行分级授权，普通员工仅可使用基础的文本生成功能，涉及内部数据处理的功能需经部门负责人审批后开放；③日志审计：AI设备的所有操作日志、生成内容日志统一上传至单位审计平台，留存期限不少于6个月，每月开展一次AI使用行为的专项审计；④人员培训：每季度开展一次AI设备使用的安全培训，明确禁止上传敏感数据、禁止利用AI从事违法违规活动的要求，培训考核合格后方可使用AI设备；⑤应急处置：建立AI数据泄露的应急响应预案，一旦发生数据上传至云端的情况，第一时间联系厂商删除相关数据，开展溯源和影响评估。2.（1）违反的法规要求：①违反《网络安全事件报告管理办法》要求，严重漏洞未在24小时内完成修复，也未采取临时防护措施；②违反《关键信息基础设施安全保护条例》要求，未建立漏洞管理、应急处置的常态化机制，未履行关键信息基础设施安全保护义务；③违反《信息设备安全通用要求》（GB/T20271-2024）要求，工业现场设备未配置入侵检测、访问控制的安全防护措施。（2）漏洞全生命周期管理机制：①监测预警机制：安排专人每日关注国家网信办、工信部、设备厂商的漏洞通报，建立724小时的漏洞预警响应机制，收到严重、高危漏洞通报后1小时内完成内部设备的排查；②研判评估机制：收到漏洞通报后，第一时间组织技术人员开展漏洞影响评估，明确漏洞的可利用性、影响范围、风险等级，制定修复方案和临时防护措施；③修复验证机制：对于不影响业务的漏洞，严重漏洞24小时内修复，高危漏洞72小时内修复；对于可能影响业务的工业设备漏洞，先采取端口封禁、IP白名单限制等临时防护措施，在测试环境验证修复补丁无兼容性问题后，选择业务低峰期进行修复，修复后24小时内开展验证；④台账管理机制：建立漏洞管理台账，记录漏洞的通报时间、影响设备、修复时间、验证结果，每季度开展一次漏洞修复情况的复盘审计；⑤应急处置机制：建立漏洞被利用的应急响应预案，一旦发生入侵事件，第一时间断网隔离，开展溯源和处置，按照要求向网信、公安部门上报。五、实操题参考答案《信息设备入网安全核验操作规范》核心内容如下：1.核验范围：所有新采购的信创终端、服务器、网络设备，入网前必须完成全流程核验，未通过核验的设备不得接入内网。2.核心核验环节、操作要点、合格判定标准：（1）供应链安全核验（3分）操作要点：①核查设备的出厂合格证明、信创适配认证证书、供应链安全审查报告；②核查核心元器件、操作系统、数据库、中间件的国产资质，确认无境外不可控组件；③核查设备厂商的背景资质，确认近3年无网络安全不良记录。判定标准：所有材料齐全，无供应链安全风险，判定合格。（2）固件安全核验（3分）操作要点：①核查设备固件的版本为厂商发布的最新稳定版本，无公开未修复的高危、严重漏洞；②采用可信验证工具核验固件的完整性、签名合法性，确认无被篡改、植入恶意代码的情况；③核查固件是否开启可信启动功能，预启动环节可验证操作系统内核的合法性。判定标准：固件版本符合要求，完整性校验通过，可信启动功能开启，判定合格。（3）预装软件核验（4分）操作要点：①核查设备预装软件的清单，确认无多余的、未授权的软件，无恶意代码、流氓软