2026年安全合规管理考试题库及答案

2026年安全合规管理考试题库及答案第一部分：单项选择题（共50题，每题1分）1.在网络安全等级保护制度（等保2.0）中，被破坏后对公民、法人和其他组织的合法权益造成一般损害，但不损害国家安全、社会秩序和公共利益，这属于哪一级安全保护能力？A.第一级B.第二级C.第三级D.第四级2.《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度。根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益的危害程度，将数据从高到低分为几个级别？A.二级B.三级C.四级D.五级3.在GB/T22239-2019《信息安全技术网络安全等级保护基本要求》中，关于安全计算环境的身份鉴别要求，第三级系统要求应对登录失败进行处理，包括：A.仅记录失败次数B.仅结束会话C.记录失败次数、结束会话、限制非法登录次数，当登录失败次数达到规定值后自动锁定账户或延长时间D.仅向管理员报警4.ISO/IEC27001标准中，PDCA循环中的“A”代表什么？A.Plan（计划）B.Do（执行）C.Check（检查）D.Act（改进）5.风险评估中，计算年损失expectancy（ALE）的公式是？A.SLE×AROB.SLE/AROC.AV×EFD.(AV×EF)×ARO6.《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为：A.目的限制原则B.最小必要原则C.知情同意原则D.公开透明原则7.在访问控制模型中，基于“标签”来控制信息流向，防止信息从高安全级别流向低安全级别的模型是：A.DAC（自主访问控制）B.MAC（强制访问控制）C.RBAC（基于角色的访问控制）D.ABAC（基于属性的访问控制）8.关于密码技术，下列哪种算法属于非对称加密算法？A.AESB.DESC.RSAD.RC49.网络安全态势感知中，通常不包含以下哪个要素？A.态势评估B.态势预测C.态势响应D.态势制造10.在应急响应中，PDCERF模型不包括以下哪个阶段？A.准备B.检测C.抑制D.销毁11.某企业系统发生数据泄露事件，根据《网络安全法》，应当向谁报告？A.仅向公安机关报告B.仅向行业主管部门报告C.向网信部门、公安机关、行业主管部门等报告D.仅向网信部门报告12.下列哪项不属于ISO/IEC27001:2022标准中的四大主题（Themes）？A.组织B.人员C.技术D.领导力13.在进行合规性审计时，用于检查系统配置是否符合安全基线的工具通常被称为：A.漏洞扫描器B.配置核查工具C.防火墙D.入侵检测系统14.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当进行：A.数据脱敏B.安全评估C.数据备份D.加密传输15.关于云计算服务的安全责任模型，下列说法正确的是：A.云服务商负责所有安全责任B.客户负责所有安全责任C.责任共担模型，具体取决于服务模式D.操作系统以上由客户负责，以下由云服务商负责16.下列哪种攻击属于中间人攻击（MITM）？A.SQL注入B.XSS跨站脚本C.ARP欺骗D.暴力破解17.容器安全中，为了保证镜像安全，最重要的措施是：A.使用最小化镜像B.增加镜像层数C.使用root用户运行容器D.关闭防火墙18.《关键信息基础设施安全保护条例》规定，关键信息基础设施的运营者应当履行下列安全保护义务，除了：A.设置专门安全管理机构B.对主要负责人进行安全教育C.采购网络产品和服务必须通过国家网信部门组织的审查D.定期进行网络安全检测和风险评估19.在隐私保护技术中，k-匿名化主要用于解决：A.数据加密问题B.数据访问控制问题C.数据重标识风险D.数据完整性问题20.供应链安全中，针对开源软件组件的安全风险，通常使用什么文件来管理依赖？A.package.json/pom.xml/requirements.txtB.config.iniC.setup.batD.readme.md21.以下哪种情况属于“个人信息处理者无需取得个人同意”的法定情形？A.为订立、履行个人作为一方当事人的合同所必需B.为企业内部培训目的C.为提升产品用户体验进行测试D.为市场营销推广22.等保2.0中，安全管理中心包括哪三个部分？A.系统管理、审计管理、用户管理B.系统管理、审计管理、身份鉴别C.网络管理、系统管理、应用管理D.集中管控、统一审计、统一身份23.在进行渗透测试时，获得目标系统最高权限后，为了证明危害，通常会尝试：A.留下后门B.读取敏感文件（如/etc/passwd）C.删除系统日志D.安装挖矿软件24.关于DLP（数据防泄漏）系统，其部署方式不包括：A.网络DLPB.终端DLPC.云DLPD.物理DLP25.零信任架构的核心原则是：A.信任内部网络，不信任外部网络B.从不信任，始终验证C.仅验证用户身份D.仅检查设备状态26.下列哪个协议用于在IP网络上建立安全的远程登录连接？A.TelnetB.SSHC.FTPD.HTTP27.在安全合规管理中，差距分析的目的是：A.发现系统漏洞B.识别当前状态与合规要求之间的差异C.评估员工安全意识D.监控网络流量28.2026年展望：随着AI技术的普及，针对模型本身的攻击（如模型窃取、对抗样本）属于哪一类安全问题？A.数据安全B.算法与模型安全C.网络通信安全D.物理环境安全29.工业控制系统（ICS）安全中，Modbus协议默认缺乏什么安全机制？A.认证和加密B.地址校验C.功能码检查D.CRC校验30.下列哪项不是GB/T25069-2022《信息安全技术术语》中定义的“网络安全”属性？A.保密性B.完整性C.可用性D.可追溯性（注：可追溯性通常作为保障安全的机制，而非CIA三大属性之一，但在广义安全中常被提及，此处考察核心三属性）31.关于安全事件响应，遏制阶段的主要目标是：A.找出攻击源头B.限制事件扩散范围C.恢复系统正常运行D.修补漏洞，防止复发32.在进行合规性证据收集时，具有最高法律效力的电子证据是：A.截图B.系统日志C.经过公证的电子数据D.管理员口述33.下列哪种技术属于同态加密的应用场景？A.在不解密的情况下对加密数据进行计算B.数据压缩C.数据脱敏D.数字签名34.根据《网络安全法》，网络运营者不履行网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，最高可处多少罚款？A.十万元B.五十万元C.一百万元D.五千万元35.代码审计中，重点检查的漏洞类型不包括：A.缓冲区溢出B.命令注入C.硬盘故障D.业务逻辑错误36.在数据库安全中，SQL注入攻击防御的最有效手段之一是：A.使用参数化查询B.过滤空格C.使用HTTPSD.隐藏数据库表名37.双因素认证（2FA）的主要目的是解决：A.单纯密码认证的强度不足问题B.网络传输加密问题C.数据存储加密问题D.物理访问控制问题38.关于安全开发生命周期（SDL），在哪个阶段引入安全活动成本最低？A.需求分析B.设计C.编码D.测试E.部署39.下列哪项属于“重要数据”的特征（依据《数据出境安全评估办法》）？A.仅包含个人姓名B.一旦泄露可能影响国家安全C.企业内部食堂菜单D.公开可查的新闻报道40.在安全合规管理体系中，管理评审的主要目的是：A.审查具体技术漏洞B.评价信息安全管理体系的持续适宜性、充分性和有效性C.处理员工违纪D.采购安全设备41.下列哪种加密模式适合对长消息进行加密，且不需要填充？A.ECBB.CBCC.CTRD.OFB42.网络审计中，对于异常流量分析，通常关注“基线”的建立。基线的建立方法不包括：A.统计分析B.机器学习C.随机猜测D.基于规则43.关于Web应用防火墙（WAF），它主要工作在OSI模型的哪一层？A.网络层B.传输层C.应用层D.数据链路层44.《个人信息保护法》规定，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及：A.电子邮箱B.电话号码C.不满十四周岁未成年人的个人信息D.住址45.在合规建设中，针对供应商的安全管理，通常要求在合同中明确：A.供应商的股权结构B.双方的安全责任和义务C.供应商的员工数量D.供应商的办公地点46.下列哪种技术可以防止重放攻击？A.使用时间戳或随机数B.使用强密码C.使用防火墙D.使用杀毒软件47.在等级保护测评中，测评结论分为“优、良、中、差”四个等级。当得分为多少分以上（含）时，结论为“优”？A.90B.85C.80D.7548.关于业务连续性管理（BCM），RTO（RecoveryTimeObjective）是指：A.数据丢失可接受的时间B.业务恢复所需的目标时间C.灾难发生的概率D.备份的频率49.下列哪项不属于SOC2（ServiceOrganizationControl2）审计的信任原则？A.安全性B.可用性C.隐私性D.高效性50.在进行合规整改时，如果技术控制措施无法在短期内实施，应优先考虑：A.忽略该风险B.实施补偿性控制措施C.辞退安全管理人员D.停止业务第二部分：多项选择题（共30题，每题2分）51.网络安全等级保护2.0标准体系中，包含的主要标准有：A.GB/T22239（基本要求）B.GB/T28448（测评要求）C.GB/T28449（测评过程指南）D.GB/T25070（设计要求）52.下列哪些属于《网络安全法》定义的关键信息基础设施行业领域？A.公共通信和信息服务B.能源C.金融D.交通53.ISO/IEC27001:2022标准引入了93个控制措施，这些控制措施分为哪些主题？A.组织控制B.人员控制C.技术控制D.物理控制54.风险评估的主要步骤包括：A.风险识别B.风险分析C.风险评价D.风险处理55.关于个人信息处理者的义务，下列说法正确的有：A.制定内部管理制度和操作规程B.对个人信息实行分类管理C.采取相应的加密、去标识化等安全技术措施D.合规记录保存期限不少于3年56.下列哪些技术属于数据去标识化技术？A.泛化B.抑制C.扰动D.哈希57.防火墙的主要功能包括：A.访问控制B.网络地址转换（NAT）C.流量审计D.病毒查杀（注：部分UTM防火墙具备，但传统防火墙核心是前三项，此处选基础功能）58.常见的Web安全漏洞包括：A.SQL注入B.跨站脚本攻击（XSS）C.跨站请求伪造（CSRF）D.文件包含59.在应急响应准备阶段，应做好的工作包括：A.组建应急响应团队B.制定应急响应预案C.准备应急工具箱D.进行应急演练60.下列哪些属于合规管理的“三道防线”模型中的组成部分？A.业务部门（第一道防线）B.风险管理与合规部门（第二道防线）C.内部审计部门（第三道防线）D.外部监管机构61.关于密码应用安全性评估（密评），下列说法正确的有：A.是网络安全等级保护测评的重要组成部分B.主要测评信息系统中密码技术的合规性、正确性和有效性C.涉及密钥生成、存储、管理、销毁等全生命周期D.仅测评硬件密码机62.下列哪些情况需要进行数据出境安全评估？A.处理100万人以上个人信息的数据处理者向境外提供个人信息B.累计向境外提供10万人以上个人信息C.关键信息基础设施运营者向境外提供数据D.自费旅游携带个人笔记本电脑出境63.供应链安全风险可能来源于：A.供应商产品存在后门B.开源组件包含已知漏洞C.供应商发生数据泄露D.物流运输过程中的物理损坏64.下列哪些属于身份鉴别中的因素？A.你知道什么（口令）B.你拥有什么（令牌）C.你是什么（生物特征）D.你在哪里（位置）65.日志审计中，应重点关注的日志类型包括：A.系统登录日志B.权限变更日志C.数据库操作日志D.防火墙流量日志66.关于安全加固，下列措施正确的有：A.关闭不必要的服务和端口B.及时安装系统补丁C.禁用默认账户D.设置复杂的密码策略67.下列哪些协议属于安全协议？A.TLSB.IPsecC.SSHD.SNMPv1/v2c68.隐私设计包含哪些核心原则？A.默认隐私保护B.嵌入式隐私保护C.端到端安全D.正面透明69.在进行渗透测试授权时，授权书应包含哪些内容？A.测试目标范围B.测试时间窗口C.测试方法限制D.渗透测试人员签名70.下列哪些属于物理安全防护措施？A.门禁系统B.视频监控C.防盗报警D.机房防火防水71.关于恶意代码防范，下列说法正确的有：A.应在主机和网络边界处部署防恶意代码软件B.应及时更新恶意代码库C.应支持对恶意代码检测和清除D.所有未知文件都必须隔离72.下列哪些属于大数据安全面临的技术挑战？A.数据加密带来的性能损耗B.细粒度访问控制的实现难度C.隐私保护与数据挖掘的平衡D.数据多副本一致性73.有效的安全意识培训内容应包括：A.社会工程学防范B.密码安全策略C.办公环境安全（清洁桌面）D.法律法规要求74.下列哪些是网络安全态势感知的数据来源？A.NIDS日志B.HIDS日志C.应用日志D.威胁情报数据75.关于移动应用安全，下列风险点包括：A.代码反编译B.数据存储未加密C.组件暴露D.不安全的通信76.等保2.0中，安全物理环境的安全控制点包括：A.物理位置选择B.物理访问控制C.防盗窃和防破坏D.防电磁干扰77.下列哪些属于GDPR（通用数据保护条例）中定义的数据主体权利？A.访问权B.被遗忘权（删除权）C.数据可携带权D.反对权78.在安全事件调查中，电子证据的保全要求包括：A.及时性B.完整性C.真实性D.合法性79.下列哪些技术可用于实现网络隔离？A.防火墙B.网闸C.VLAND.ACL80.2026年合规趋势预测，企业可能面临的新增合规压力领域包括：A.生成式人工智能（AIGC）监管B.碳排放与环境数据合规C.跨境数据传输更严格的审查D.量子计算加密标准迁移第三部分：判断题（共30题，每题1分）81.等保2.0要求，第三级及以上系统应采用密码技术保证通信过程中数据的完整性和保密性。82.《数据安全法》规定，只有中央国家安全领导机构才负责国家数据安全工作的决策和议事协调。83.只要使用了HTTPS协议，网站就绝对安全，不会存在任何Web漏洞。84.个人信息处理者可以在未经个人同意的情况下，公开其处理的个人信息。85.风险评估中的风险值=威胁发生的可能性×脆弱性被利用的难度×资产价值。86.ISO27001认证证书有效期为3年，期间需要进行监督审核。87.零信任架构意味着内部网络是完全可信的，不需要进行身份验证。88.在我国，关键信息基础设施的认定工作由行业主管（监管）部门负责。89.数据备份是容灾的基础，只要做了数据备份就能实现业务连续性。90.社会工程学攻击通常利用人性的弱点（如好奇、恐惧、贪婪）进行渗透。91.对于涉密网络，禁止使用无线网络设备。92.审计日志本身不需要保护，因为它是用来记录安全事件的。93.等保2.0中，安全管理中心要求对系统管理员、审计管理员和安全管理员进行身份鉴别和权限分离。94.企业可以将员工的个人信息随意出售给第三方，只要获利后分给员工一部分。95.所有的网络安全事件都需要向公安机关报告。96.对称加密算法的运算速度通常比非对称加密算法快。97.漏洞扫描器可以发现系统中所有的逻辑漏洞。98.DLP（数据防泄漏）系统可以根据文件内容特征（如身份证号、银行卡号）进行识别和拦截。99.在云安全中，IaaS模式下，客户负责操作系统及以上部分的安全。100.同态加密允许在加密数据上直接进行计算，计算结果解密后与明文计算结果一致。101.《个人信息保护法》规定，处理个人信息应当告知个人处理目的、处理方式、处理信息的种类等，除非法律、行政法规规定应当保密。102.应急响应预案制定完成后就不需要修改了。103.跨站脚本攻击（XSS）的主要危害是窃取用户Cookie或会话令牌。104.只有政府机构才需要进行网络安全等级保护测评。105.数据库视图可以作为实现列级数据访问控制的一种手段。106.RBAC（基于角色的访问控制）中，权限直接赋予用户。107.安全基线是指系统必须达到的最低安全配置标准。108.在进行合规整改时，技术措施优于管理措施，应优先全部采用技术手段。109.数字签名主要用于验证数据的完整性和来源的不可否认性。110.2026年，随着AI的发展，企业将不再需要人类安全分析师，AI可以完全自动化处理所有安全事件。第四部分：填空题（共20题，每题1分）111.信息安全基本三要素（CIA）指的是：机密性、完整性和\_\_\_\_\_\_\_\_。112.在风险评估公式中，ALE代表\_\_\_\_\_\_\_\_。113.《中华人民共和国网络安全法》于\_\_\_\_\_\_\_\_年6月1日起施行。114.网络安全等级保护制度中，等级对象遭到破坏后，会对国家安全造成特别严重损害的，属于第\_\_\_\_\_\_\_\_级。115.在访问控制中，DAC的全称是\_\_\_\_\_\_\_\_。116.数字证书中包含公钥、持有者信息、颁发者信息以及\_\_\_\_\_\_\_\_的签名。117.ISO/IEC27000系列标准中，\_\_\_\_\_\_\_\_是具体实施信息安全管理体系的标准。118.常见的对称加密算法AES的全称是\_\_\_\_\_\_\_\_。119.在TCP/IP模型中，ARP协议工作在\_\_\_\_\_\_\_\_层。120.应急响应PDCERF模型中，R代表\_\_\_\_\_\_\_\_。121.为了防止SQL注入，应避免使用字符串拼接的方式构造SQL语句，推荐使用\_\_\_\_\_\_\_\_。122.我国实行网络安全等级保护制度，等级保护对象分为\_\_\_\_\_\_\_\_个级别。123.个人信息保护的核心原则之一是\_\_\_\_\_\_\_\_同意。124.在Linux系统中，设置文件权限的命令是\_\_\_\_\_\_\_\_。125.网络攻击中，DDoS的全称是\_\_\_\_\_\_\_\_。126.数据库中，\_\_\_\_\_\_\_\_是一种特殊的预编译SQL语句，可以提高性能并防止SQL注入。127.密钥管理系统中，KMS代表\_\_\_\_\_\_\_\_。128.等保2.0中，第三级系统要求网络审计记录应保存不少于\_\_\_\_\_\_\_\_个月。129.Web安全中，CSRF攻击的全称是\_\_\_\_\_\_\_\_。130.安全开发生命周期（SDL）强调在软件开发的\_\_\_\_\_\_\_\_阶段就引入安全措施。第五部分：简答题（共8题，每题5分）131.请简述《中华人民共和国数据安全法》中定义的“数据安全”含义。132.请列出网络安全等级保护2.0（GB/T22239-2019）中，第三级安全通用要求包含的十大安全层面。133.简述风险评估的基本流程。134.请解释对称加密和非对称加密的区别，并各举一例常见算法。135.什么是“最小权限原则”？在系统管理中如何落实？136.简述个人信息处理者在发生个人信息泄露、篡改、丢失等安全事件时的应急处置义务。137.请列举五种常见的Web应用安全漏洞，并简要说明其中一种的防御措施。138.什么是零信任架构？请简述其核心原则。第六部分：综合案例分析题（共3题，每题10分）139.案例一：数据泄露合规分析某大型电商平台A公司，在未经用户明确同意的情况下，收集了用户的通话记录和通讯录信息，用于用户画像和精准营销。同时，A公司由于数据库未配置访问控制且未加密，导致一名离职员工通过未回收的账号下载了包含100万用户信息的数据库（包含姓名、身份证号、地址、订单详情），并在暗网出售。请根据《网络安全法》、《数据安全法》及《个人信息保护法》分析：(1)A公司在数据收集环节存在哪些违规行为？（3分）(2)A公司在数据存储与访问控制环节存在哪些安全技术与管理漏洞？（3分）(3)事件发生后，A公司应履行哪些法定义务？（4分）140.案例二：等级保护与风险管理计算某企业核心业务系统被定级为等保三级。在风险评估过程中，识别出该系统Web服务器存在一个高危漏洞（CVE-202X-XXXX）。已知该资产价值为500万元，该漏洞被利用的可能性为0.2（每年），一旦利用成功，资产价值损失比例为50%（即SLE中的EF为0.5）。(1)请计算该风险的单次损失expectancy（SLE）。（2分）(2)请计算该风险的年损失expectancy（ALE）。（2分）(3)针对该高危漏洞，企业采取了修补措施，修补成本为10万元，修补后漏洞被利用的可能性降为0。请计算修补后的ALE，并从风险处置成本效益角度分析是否值得修补。（3分）(4)除了技术修补，企业还可以采取哪些风险处置策略？（3分）141.案例三：供应链安全与应急响应某金融机构B行引入了一款第三方开源日志分析组件Log4j（假设存在Log4Shell漏洞）。攻击者利用该漏洞在B行内网横向移动，控制了核心交易服务器，并尝试通过加密货币挖矿程序占用计算资源，同时勒索软件开始加密部分数据库文件。(1)请分析该事件暴露了B行在供应链安全管理方面的哪些问题？（4分）(2)请按照PDCERF模型，描述B行应急响应团队应采取的关键步骤。（3分）(3)为了防止此类供应链攻击再次发生，B行应建立哪些长效机制？（3分）参考答案及解析第一部分：单项选择题1.B2.C3.C4.D5.A6.B7.B8.C9.D10.D11.C12.C13.B14.B15.C16.C17.A18.C19.C20.A21.A22.B23.B24.D25.B26.B27.B28.B29.A30.D31.B32.C33.A34.C35.C36.A37.A38.A39.B40.B41.C42.C43.CC44.C45.B46.A47.A48.B49.D50.B第二部分：多项选择题51.ABCD52.ABCD53.ABCD54.ABCD55.ABCD56.ABCD57.ABC58.ABCD59.ABCD60.ABC61.ABC62.ABC63.ABC64.ABCD65.ABCD66.ABCD67.ABC68.ABD69.ABCD70.ABCD71.ABC72.ABCD73.ABCD74.ABCD75.ABCD76.ABCD77.ABCD78.ABCD79.ABCD80.ABCD第三部分：判断题81.正确82.错误（国家数据安全工作决策机制是中央国家安全领导机构，但各监管部门各司其职）83.错误84.错误85.正确86.正确87.错误88.正确89.错误（还需要应用系统、网络等恢复）90.正确91.正确92.错误93.正确94.错误95.错误96.正确97.错误98.正确99.正确100.正确101.正确102.错误103.正确104.错误105.正确106.错误107.正确108.错误109.正确110.错误第四部分：填空题111.可用性112.AnnualLossExpectancy（年损失expectancy）113.2017114.四115.DiscretionaryAccessControl（自主访问控制）116.CA（证书颁发机构）117.ISO/IEC27001118.AdvancedEncryptionStandard119.网络接口（或数据链路层）120.Recovery（恢复）121.参数化查询（或预编译语句）122.五123.知情124.chmod125.DistributedDenialofService（分布式拒绝服务）126.存储过程127.KeyManagementService（密钥管理服务）128.6129.Cross-SiteRequestForgery（跨站请求伪造）130.早期（或需求/设计）第五部分：简答题131.《数据安全法》中的数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安全可控的状态。132.十大安全层面包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。133.风险评估基本流程：(1)风险评估准备（确定目标、范围、团队）；(2)资产识别与赋值；(3)威胁识别；(4)脆弱性识别；(5)风险分析（计算风险值）；(6)风险评价（判定风险等级）；(7)输出风险评估报告。134.对称加