2026年信息安全管理知识考试试题及答案

2026年信息安全管理知识考试试题及答案一、单项选择题（共20题，每题1.5分）1.在信息安全的三要素（CIA）中，确保信息在存储或传输过程中保持不被未授权篡改的特性是指：A.机密性B.完整性C.可用性D.不可否认性2.依据我国《网络安全法》的规定，关键信息基础设施的运营者在采购网络产品和服务时，应当按照规定与提供者签订什么文件？A.保密协议B.知识产权保护协议C.安全保密协议D.网络安全审查合同3.在风险管理的量化分析中，资产价值为100万元，暴露因子为50%，该资产每年发生一次安全事件。则年化损失期望值（ALE）是多少？A.25万元B.50万元C.100万元D.150万元4.以下哪种访问控制模型是基于用户在组织中的角色来分配权限的？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于规则的访问控制5.在ISO/IEC27001标准中，PDCA循环中的“A”代表什么？A.Action（处置）B.Assess（评估）C.Analysis（分析）D.Approval（批准）6.关于对称加密算法，下列说法错误的是：A.加密和解密使用相同的密钥B.典型算法包括DES、AES、RC4C.密钥分发和管理相对困难D.运算速度通常比非对称加密慢7.为了防止重放攻击，在身份认证协议中通常会引入什么机制？A.时间戳或随机数B.数字证书C.哈希函数D.访问控制列表8.等级保护2.0标准（GB/T22239-2019）中，将信息系统安全保护等级划分为几级？A.3级B.4级C.5级D.6级9.在网络安全纵深防御体系中，防火墙最适合部署在：A.应用层B.网络层与传输层边界C.物理层D.任何层都可以10.某公司遭受了勒索软件攻击，所有文件被加密。作为应急响应的第一步，应该优先采取的行动是：A.支付赎金获取解密密钥B.立即断开受感染系统的网络连接C.重装所有操作系统D.联系公安机关报案11.下列哪项不属于恶意代码的常见类型？A.蠕虫B.特洛伊木马C.逻辑炸弹D.垃圾邮件12.在数字签名技术中，发送方使用自己的什么密钥对数据进行签名？A.公钥B.私钥C.对称密钥D.会话密钥13.关于数据库安全，SQL注入攻击的主要成因是：A.数据库权限配置过高B.未对用户输入进行严格的过滤或验证C.数据库未加密存储D.使用了弱口令14.以下哪种协议用于在网络上安全地传输网页数据？A.HTTPB.FTPC.SMTPD.HTTPS15.在安全审计中，为了确保审计日志的完整性和不被篡改，通常采用什么技术手段？A.访问控制B.日志加密与哈希校验C.防火墙D.入侵检测系统16.我国《数据安全法》规定，国家建立数据分类分级保护制度。以下哪项不是数据分类分级的依据？A.数据遭到篡改、破坏、泄露或者非法获取、非法利用后，对个人、组织合法权益的危害程度B.数据遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益危害程度C.数据的存储格式D.数据的重要程度和敏感程度17.在虚拟化环境中，哪一种攻击形式是指攻击者通过逃出虚拟机进而访问宿主机？A.虚拟机跳跃B.侧信道攻击C.虚拟机逃逸D.资源耗尽攻击18.制定信息安全策略时，策略的层级结构通常为：A.指导性策略->规范->标准->基线B.标准->指导性策略->规范->基线C.规范->指导性策略->标准->基线D.基线->指导性策略->规范->标准19.公钥基础设施（PKI）的核心组成部分不包括：A.CA（证书颁发机构）B.RA（注册机构）C.证书库D.KDC（密钥分发中心）20.在渗透测试中，测试人员已经获得了目标系统的低权限用户，试图通过漏洞提升为管理员权限，这个过程称为：A.横向移动B.权限提升C.持久化D.数据窃取二、多项选择题（共10题，每题3分。多选、少选、错选均不得分）1.以下属于信息安全风险处理方式的有：A.规避B.降低C.转移D.接受2.业务连续性计划（BCP）通常包含以下哪些关键要素？A.风险评估B.业务影响分析（BIA）C.灾难恢复计划（DRP）D.演练与维护3.常见的网络钓鱼攻击特征包括：A.紧迫性的语言诱导用户点击B.发件人邮箱地址拼写极其相似C.链接指向的URL与显示文本不符D.索要用户密码或验证码4.根据GB/T25069-2010《信息安全技术术语》，以下属于安全机制的有：A.加密机制B.数字签名机制C.访问控制机制D.审计追踪机制5.实施双因素认证（2FA）通常需要组合以下哪两类要素？A.你知道什么（如密码）B.你拥有什么（如手机、令牌）C.你是什么（如指纹、虹膜）D.你在哪里（如IP地址）6.关于个人信息保护，以下做法正确的有：A.收集个人信息应遵循最小必要原则B.处理个人信息应当取得个人公开同意C.向他人提供个人信息应当进行去标识化处理D.个人有权要求删除其个人信息7.入侵检测系统（IDS）的检测方法主要包括：A.基于特征的检测B.基于异常的检测C.基于状态的检测D.基于行为的检测8.操作系统安全加固的措施包括：A.关闭不必要的服务和端口B.定期安装系统补丁和更新C.设置复杂的账户密码策略D.禁用Guest账户9.在供应链安全管理中，需要对供应商进行审查，审查内容通常包括：A.供应商的信息安全管理体系认证情况（如ISO27001）B.供应商的数据保护能力C.供应商的人员安全背景调查情况D.供应商的财务稳定性10.下列属于密码学中哈希函数特征的有：A.输入长度可变，输出长度固定B.具有单向性（不可逆）C.具有抗碰撞性D.对输入非常敏感（雪崩效应）三、填空题（共15空，每空2分）1.信息安全管理体系（ISMS）的国际标准是________。2.在TCP/IP协议栈中，ARP协议属于________层，其作用是将IP地址解析为MAC地址。3.________是一种通过模拟攻击者的行为来评估计算机系统或网络安全性的测试方法。4.我国《个人信息保护法》规定，处理个人信息应当遵循________、正当、必要和诚信原则。5.在访问控制中，________是指主体对客体执行特定操作（如读、写、执行）的许可。6.防火墙的三种基本工作类型是：包过滤防火墙、应用层代理防火墙和________防火墙。7.________攻击是指通过向目标服务器发送大量看似合法的TCP连接请求，耗尽服务器的连接资源，导致无法为正常用户提供服务。8.为了确保备份的有效性，必须定期进行________测试。9.在公钥密码体制中，________用于加密，________用于解密（此处填写公钥或私钥）。10.安全事件响应的四个典型阶段是：准备、检测/分析、________和恢复。11.________是指在未经授权的情况下，通过网络连接对计算机进行远程控制的技术。12.差分隐私是一种通过在查询结果中添加________来保护个人隐私的技术。13.在安全审计中，________记录了用户在系统中的所有操作轨迹，是事后追责的重要依据。14.态势感知的三个核心要素是：感知、________和决策。四、简答题（共5题，每题6分）1.请简述对称加密算法与非对称加密算法的主要区别及各自的优缺点。2.什么是“社会工程学”攻击？请列举三种常见的社会工程学攻击手段。3.请解释“纵深防御”在信息安全中的含义，并举例说明如何在一个Web应用系统中实施纵深防御。4.简述风险评估的主要步骤。5.根据我国《网络安全法》，网络运营者应当履行哪些安全保护义务？（至少列举四项）五、应用题（共3题，共35分）1.【定量风险分析计算题】（10分）某企业核心数据库服务器存储着高度敏感的客户信息。已知条件：(1)资产价值（AV）：200万元。(2)该服务器存在SQL注入漏洞，一旦被利用，预计将有50%的数据泄露或被破坏，即暴露因子（EF）为50%。(3)根据历史数据和行业报告，该漏洞每年被成功利用的次数预计为2次，即年发生率（ARO）为2。(4)现有一款Web应用防火墙（WAF）产品，采购及年度运维成本总计为15万元。部署该WAF后，可以将漏洞被利用的风险降低80%。问题：(1)请计算该服务器面临的单次损失期望值（SLE）和当前的年化损失期望值（ALE）。(2)请计算部署WAF后的年化损失期望值（ALE'）。(3)从成本效益角度分析，企业是否应该购买并部署该WAF？请说明理由。2.【案例分析题】（12分）场景描述：某大型电商公司A近期发生了一起严重的数据泄露事件。攻击者通过利用公司外包开发团队遗留的一个测试接口，未经过身份验证直接访问了用户数据库，导出了大量用户的订单信息，包括姓名、电话、地址等。事后调查发现：1.该测试接口在生产环境中未被关闭。2.外包开发人员使用的是弱口令，且拥有生产环境的数据库操作权限。3.数据库中的敏感数据（如电话号码）未进行加密存储。4.安全审计日志在事发前3个月因存储空间满而停止记录。问题：(1)请依据上述场景，分析该公司在安全管理与技术防护上存在的主要漏洞（至少列出四点）。(2)针对上述漏洞，请提出相应的整改建议。(3)此次事件违反了我国《网络安全法》或《个人信息保护法》中的哪些规定？（请简要描述法律原则，无需引用具体条款号）3.【综合应用题：安全策略与方案设计】（13分）场景描述：你是一家中型科技企业的信息安全主管。随着业务发展，公司计划允许部分员工使用个人设备（BYOD）通过VPN访问公司内部资源，同时需要确保公司数据不被泄露。要求：(1)请设计一套BYOD安全管理方案，需涵盖以下方面：设备准入控制（如何确保接入设备的安全性）网络传输安全数据隔离与保护（防止公司数据混入个人空间）(2)为了应对BYOD带来的风险，你需要制定相应的《员工BYOD使用安全规范》。请列出该规范中必须包含的三个核心禁止性条款。(3)简述当员工离职时，应如何执行BYOD设备的数据清除流程？【参考答案及解析】一、单项选择题1.B[解析]完整性是指信息在未经授权的情况下不能被篡改或破坏的特性。2.C[解析]《网络安全法》第三十七条规定，关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议。3.B[解析]SLE=AV×EF=100万×50%=50万；ALE=SLE×ARO=50万×1=50万。4.C[解析]RBAC（Role-BasedAccessControl）是基于角色的访问控制。5.A[解析]PDCA循环即Plan（计划）、Do（执行）、Check（检查）、Action（处置/改进）。6.D[解析]对称加密算法（如AES）的运算速度通常比非对称加密算法（如RSA）快得多，非对称加密计算复杂。7.A[解析]时间戳或随机数（Nonce）用于保证消息的新鲜性，防止重放攻击。8.C[解析]GB/T22239-2019《信息安全技术网络安全等级保护基本要求》将等级分为5级。9.B[解析]防火墙主要工作在网络层和传输层，控制不同安全域之间的数据流。10.B[解析]遭受勒索软件攻击后，首要任务是遏制事态发展，防止病毒横向扩散，因此应立即断网。11.D[解析]垃圾邮件虽然烦人，但本身不属于恶意代码技术范畴，尽管可能携带恶意代码。12.B[解析]数字签名使用发送方的私钥进行签名，接收方用发送方的公钥验证。13.B[解析]SQL注入的根本原因是将用户输入直接拼接到SQL语句中执行，未进行过滤或参数化查询。14.D[解析]HTTPS（HTTPSecure）通过SSL/TLS协议加密传输网页数据。15.B[解析]对日志进行加密存储并定期计算哈希值存档，可以防止日志被篡改，确保完整性。16.C[解析]数据分类分级主要依据数据的重要性和敏感程度（即危害程度），而不是存储格式。17.C[解析]虚拟机逃逸是指利用虚拟机软件漏洞，突破虚拟机隔离，控制宿主机。18.A[解析]策略层级通常为指导性策略（最高层）->规范->标准->基线（最底层）。19.D[解析]KDC（密钥分发中心）通常用于Kerberos等认证协议，不是PKI的核心组件。PKI核心包括CA、RA、证书库、CRL等。20.B[解析]权限提升是指从低权限（如普通用户）获取高权限（如系统管理员）的过程。二、多项选择题1.ABCD[解析]风险处理的四种标准方式：规避、降低（缓解）、转移（如买保险）、接受。2.ABCD[解析]BCP是一个体系，包含风险评估、BIA、DRP、沟通计划、演练等。3.ABCD[解析]均是网络钓鱼的典型特征，利用人的心理弱点诱导操作。4.ABCD[解析]加密、数字签名、访问控制、审计追踪均属于ISO7498-2定义的安全机制。5.ABC[解析]双因素认证需从不同类别中选择，例如密码+令牌，或密码+指纹。IP地址通常不作为强认证要素。6.ABCD[解析]均符合《个人信息保护法》关于收集、使用、提供、删除等环节的规定。7.AB[解析]IDS主要检测方法分为基于特征（特征库匹配）和基于异常（行为基线偏离）。8.ABCD[解析]关闭服务、打补丁、强密码、禁用Guest都是基础且重要的加固措施。9.ABCD[解析]供应链安全审查需全面考量供应商的安全能力、合规性、人员素质及商业稳定性。10.ABCD[解析]哈希函数具有固定输出长度、单向性、抗碰撞性（难找到两个不同输入有相同输出）和雪崩效应。三、填空题1.ISO/IEC270012.网络接口（或数据链路）3.渗透测试4.合法5.访问权限（或权限）6.状态检测7.SYNFlood（或SYN洪水）8.恢复（或演练）9.公钥；私钥[注：在加密场景下，发送方用接收方公钥加密，接收方用自己私钥解密]10.遏制/根除/处置[注：NIST标准为检测、分析、遏制、根除、恢复，此处填遏制或根除均可，通常指中间环节]11.后门（或远程控制木马）12.噪声（或干扰数据）13.审计日志14.理解（或分析）四、简答题1.答：主要区别：密钥数量：对称加密使用一个密钥（秘密密钥）；非对称加密使用一对密钥（公钥和私钥）。加密速度：对称加密速度快，适合大量数据；非对称加密速度慢，适合少量数据或密钥交换。用途：对称加密主要用于数据加密；非对称加密主要用于密钥交换和数字签名。优缺点：对称加密：优点是效率高；缺点是密钥分发困难，缺乏防抵赖机制。非对称加密：优点解决了密钥分发问题，支持数字签名；缺点是计算复杂，速度慢。2.答：社会工程学攻击是指利用人性的弱点（如好奇心、贪婪、恐惧、乐于助人等），通过欺骗手段获取敏感信息或访问权限的攻击方式。常见手段：网络钓鱼：发送伪造邮件诱导用户点击恶意链接或输入账号密码。预设陷阱：在公共场所（如咖啡厅）遗落含有恶意软件的U盘，利用捡到者的好奇心插入电脑感染病毒。假冒身份：通过电话或当面假冒IT管理员、高管等身份，诱导员工透露密码或执行某些操作。3.答：纵深防御是指在信息系统中设置多层重叠的安全控制措施，如果某一层防御失效，其他层仍能提供保护，从而增加攻击者的难度和成本。在Web应用系统中的实施举例：边界层：部署防火墙和WAF，过滤恶意流量。网络层：使用TLS/SSL加密传输数据，防止嗅探。应用层：对用户输入进行严格验证（防注入），实施强身份认证（如MFA）。数据层：数据库访问控制，敏感数据加密存储。主机层：服务器操作系统加固，定期补丁更新。4.答：风险评估的主要步骤包括：1.资产识别与赋值：确定需要保护的资产，并评估其价值。2.威胁识别：分析资产可能面临的潜在威胁来源和性质。3.脆弱性识别：找出资产存在的技术或管理弱点。4.风险分析：综合资产、威胁、脆弱性，计算风险值（定性或定量）。5.风险评价：将风险计算结果与既定的风险准则进行比较，确定风险等级。5.答：根据《网络安全法》，网络运营者应履行以下安全保护义务（包括但不限于）：1.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。2.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。3.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。4.采取数据分类、重要数据备份和加密等措施。5.网络安全事件应急处置与报告。五、应用题1.【参考答案】(1)单次损失期望值（SLE）=资产价值（AV）×暴露因子（EF）SLE=200万元×50%=100万元。当前年化损失期望值（ALE）=SLE×年发生率（ARO）ALE=100万元×2=200万元。(2)部署WAF后，风险降低80%，即剩余风险为20%。ALE'=ALE×(1-80%)=200万元×20%=40万元。或者：控制后SLE'=100万×20%=20万；ALE'=20万×2=40万。(3)决策：应该购买并部署WAF。理由：部署前的总成本=风险损失=200万元。部署后的总成本=WAF成本+剩余风险损失=15万元+40万元=55万元。55万元<200万元，部署WAF后总体拥有成本显著降低，且大大降低了数据泄露带来的法律和声誉风险。2.【参考答案】(1)主要漏洞：生命周期管理失控：测试接口在生产环境未关闭，属于开发运维流程严重失误。权限管理不当：外包人员权限过大，直接拥有生产库操作权限，且未实施最小权限原则。弱口令：外包人员使用弱口令，容易被暴力破解或猜测。数据缺乏保护：敏感数据明文存储，一旦泄露直接造成危害。审计失效：日志存储管理不当，导致事发无据可查，无法及时预警。(2)整改建议：网络与系统加固：严格隔离开发、测试、生