2026年全国职业院校技能大赛“信息安全管理与评估”测试题及答案

2026年全国职业院校技能大赛“信息安全管理与评估”测试题及答案一、单项选择题（每题2分，共30分）1.根据《中华人民共和国网络安全法》及《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019，即等保2.0），三级信息系统的运营使用单位应当至少多久开展一次等级保护测评工作？A.每半年B.每1年C.每2年D.每3年答案：B解析：等保2.0规范明确要求，三级信息系统需每年开展一次正式测评，四级信息系统每半年开展一次测评，二级信息系统每两年开展一次测评，因此本题选B。2.信息安全风险评估流程中，资产识别环节计算资产最终价值的核心依据是？A.资产的账面购置成本B.资产对业务的重要性及CIA三元组赋值结果C.资产的折旧后残值D.资产的使用时长答案：B解析：风险评估中的资产价值不同于财务会计中的资产价值，其核心是资产在保密性、完整性、可用性三个安全属性上对业务的影响程度，因此基于CIA三元组的赋值及业务重要性判定是计算资产价值的核心依据，本题选B。3.下列不属于零信任安全架构核心设计原则的是？A.从不信任，始终验证B.默认内部网络可信任，仅验证外部访问C.基于最小权限的动态授权D.持续安全状态评估答案：B解析：零信任的核心逻辑推翻了传统“内部可信、外部不可信”的架构假设，默认任何访问主体都不可信，无论访问来自内部还是外部都需要验证授权，因此B选项不属于零信任核心原则，本题选B。4.根据《个人信息保护法》，处理敏感个人信息需要满足的核心条件不包括？A.取得个人的单独同意B.具有特定的目的和充分的必要性C.采取严格的保护措施D.仅用于内部数据分析，不对外提供即可不履行告知义务答案：D解析：《个人信息保护法》明确规定，敏感个人信息处理必须取得个人单独同意，具备特定目的和充分必要性，采取严格保护措施，即使不对外提供，也需要履行法定告知义务，因此D选项错误，本题选D。5.某单位Web系统发现存在SQL注入漏洞，该漏洞属于下列哪一类风险？A.配置错误类漏洞B.设计缺陷类漏洞C.代码实现类漏洞D.第三方组件漏洞答案：C解析：SQL注入漏洞的产生原因是开发人员在编写代码时未对用户输入的SQL语句参数做严格过滤转义，属于代码实现阶段产生的漏洞，因此本题选C。6.信息安全管理体系（ISO/IEC27001:2022）新版标准中，下列哪项是新增的针对数字化转型的核心控制域？A.访问控制B.物理安全C.生成式人工智能服务安全D.业务连续性管理答案：C解析：ISO/IEC27001:2022版标准针对人工智能普及、数字化转型新增了生成式AI服务安全、供应链安全延伸等控制要求，因此本题选C。7.在风险评估的风险处置环节，对于发生概率低、潜在影响小的风险，通常采用下列哪一种处置方式？A.风险规避B.风险转移C.风险降低D.风险接受答案：D解析：风险处置的四种方式中，风险接受适用于低概率低影响、且处置成本远高于风险潜在损失的场景，因此本题选D。8.下列哪一项属于信息安全管理中的预防性控制措施？A.入侵检测B.漏洞修复C.安全审计D.渗透测试答案：B解析：预防性控制是在安全事件发生前采取的阻断风险的措施，漏洞修复提前消除了潜在威胁，属于预防性控制；入侵检测、安全审计属于检测性控制，渗透测试属于评估性活动，因此本题选B。9.根据《数据安全法》，国家对数据实行分类分级保护，下列哪一类数据属于核心数据？A.遭受破坏后会对国家安全、利益造成特别严重危害的数据B.遭受破坏后会对公共利益造成严重危害，但不危害国家安全的数据C.公开可查询的政务数据D.企业内部一般经营数据答案：A解析：我国数据分类分级规则中，核心数据是指一旦泄露、篡改、破坏会对国家安全、国家利益造成特别严重损害的数据，重要数据是会对公共利益、国家安全造成一般或严重损害的数据，因此本题选A。10.分布式拒绝服务攻击（DDoS）破坏了信息安全的哪一个核心属性？A.保密性B.完整性C.可用性D.不可否认性答案：C解析：DDoS攻击通过大量无效请求耗尽目标系统的网络、计算资源，导致合法用户无法正常访问服务，破坏的是信息系统的可用性，因此本题选C。11.下列哪个选项属于完整性校验的常用技术？A.AES加密B.MD5哈希C.RSA签名D.防火墙访问控制答案：B解析：哈希算法可以通过生成信息摘要校验数据的完整性，AES用于对称加密，RSA用于非对称加密签名，防火墙用于访问控制，因此本题选B。12.下列哪项不属于信息安全应急响应预案必须包含的核心内容？A.应急组织架构及职责划分B.不同类型安全事件的处置流程C.应急物资与资源储备清单D.单位年度财务预算明细答案：D解析：单位财务预算和应急响应预案无关，不属于预案必须包含的内容，因此本题选D。13.根据OWASPTop102021版，排名第一的Web应用安全风险是？A.SQL注入B.跨站脚本XSSC.失效的访问控制D.安全配置错误答案：C解析：OWASPTop102021版将失效的访问控制列为第一大Web应用安全风险，因此本题选C。14.业务连续性管理中，恢复时间目标（RTO）指的是？A.灾难发生后，业务恢复到正常运行水平可接受的最长时间B.灾难发生后，恢复后可接受的最大数据丢失量对应的时间范围C.灾难发生后开展应急响应的准备时间D.两次灾难恢复演练的间隔时间答案：A解析：RTO是恢复时间目标，指业务中断后可接受的最长恢复时间，RPO是恢复点目标，指可接受的最大数据丢失量对应的时间范围，因此本题选A。15.对于已经公开披露的、厂商还未发布官方补丁的漏洞，通常称为？A.零日漏洞B.逻辑漏洞C.配置漏洞D.第三方漏洞答案：A解析：零日漏洞指已经被发现但厂商未发布补丁、没有官方修复方案的漏洞，因此本题选A。二、多项选择题（每题3分，共30分，多选、少选、错选均不得分）1.等保2.0相比于等保1.0，新增的保护对象包括下列哪些？A.云计算平台/系统B.大数据平台/系统C.工业控制系统D.物联网E.移动互联网系统答案：ABCDE解析：等保1.0仅覆盖传统信息系统，等保2.0将云计算、大数据、工业控制、物联网、移动互联网全部纳入保护范围，形成“一个标准、多个场景”的规范体系，因此全选。2.信息安全风险评估中，常见的风险识别方法包括下列哪些？A.漏洞扫描技术B.渗透测试C.资产盘点梳理D.威胁情报分析E.业务影响分析答案：ABCDE解析：风险识别流程包含资产识别、威胁识别、脆弱性识别，资产盘点梳理属于资产识别环节，漏洞扫描、渗透测试属于脆弱性识别，威胁情报分析属于威胁识别，业务影响分析用于判断风险发生后的影响程度，都属于风险识别的常用方法，因此全选。3.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当履行的安全保护义务包括下列哪些？A.设置专门的安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据进行容灾备份D.至少每年开展一次安全检测评估，并将评估报告报送相关部门E.落实网络安全等级保护制度答案：ABCDE解析：《关键信息基础设施安全保护条例》明确要求，关键信息基础设施运营者需要设置专门安全管理机构，开展人员培训，落实等保制度，定期开展安全测评，对重要数据容灾备份，因此全选。4.生成式人工智能服务常见的信息安全风险包括下列哪些？A.训练数据泄露敏感个人信息B.生成内容侵权C.生成虚假信息引发社会风险D.Prompt注入窃取模型数据E.模型被篡改后投毒生成有害内容答案：ABCDE解析：生成式AI的安全风险覆盖数据层、模型层、应用层，训练数据泄露、内容侵权、虚假信息、prompt注入、模型投毒都是当前公认的常见安全风险，因此全选。5.下列属于信息安全应急响应流程核心环节的有？A.准备阶段B.检测与分析阶段C.遏制与清除阶段D.恢复阶段E.总结改进阶段答案：ABCDE解析：国家标准《信息安全技术信息安全事件应急响应规范》中明确将应急响应流程分为准备、检测分析、遏制清除、恢复、总结改进五个核心阶段，因此全选。6.访问控制机制按照实现原理可以分为下列哪几类？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）E.基于身份的访问控制（IBAC）答案：ABCDE解析：当前主流的访问控制机制包含上述五类，分别适配不同场景的授权需求，其中ABAC是零信任架构中常用的动态授权机制，因此全选。7.信息安全合规评估中，需要核查的核心合规依据包括下列哪些？A.国家相关法律法规B.行业监管规范C.单位内部安全管理制度D.国际通用安全标准E.上游供应商的要求答案：ABCD解析：合规评估的核心依据是国家法律法规、行业规范、内部制度、通用安全标准，供应商要求不属于合规评估的法定依据，因此不选E，本题答案ABCD。8.下列关于渗透测试的说法正确的有？A.黑盒渗透测试不需要提前获取目标系统的内部信息B.白盒渗透测试需要测试方获取目标系统的完整源码、架构等信息C.灰盒渗透测试一般仅获取部分目标系统信息，模拟内部攻击场景D.渗透测试结束后需要输出包含修复建议的测试报告E.渗透测试不需要提前获得目标单位授权，可自行开展测试答案：ABCD解析：任何渗透测试都必须提前获得目标运营方的合法授权，未经授权的渗透测试属于违法行为，因此E错误，本题选ABCD。9.数据安全治理的核心目标包括下列哪些？A.保障数据的保密性、完整性、可用性B.满足合规要求C.支撑数据安全流通利用D.防范数据泄露、滥用风险E.完全消除所有数据安全风险答案：ABCD解析：数据安全治理无法完全消除所有数据安全风险，只能将风险控制在可接受范围内，E表述错误，因此本题选ABCD。10.安全漏洞分级通常依据下列哪些因素判定危害等级？A.漏洞利用难度B.漏洞影响范围C.漏洞触发后对CIA属性的影响程度D.漏洞是否存在公开利用POCE.资产的重要程度答案：ABCDE解析：当前通用漏洞评分系统（CVSSv3.1）在评分时会结合攻击复杂度、攻击路径、影响范围、影响程度、是否有公开POC等，同时结合受影响资产的重要程度调整最终危害等级，因此全选。三、判断题（正确打√，错误打×，每题1分，共10分）1.等保2.0中，安全管理要求和安全技术要求同等重要，都需要测评。（）答案：√解析：等保2.0测评覆盖安全管理和安全技术两个维度，二者缺一不可，因此表述正确。2.信息安全风险评估只能由第三方测评机构开展，单位自身无法开展内部评估。（）答案：×解析：风险评估分为自评估和第三方评估两种形式，单位可以定期开展自评估，因此表述错误。3.只要对系统打了最新的安全补丁，就不存在任何安全漏洞了。（）答案：×解析：补丁只能修复已知公开漏洞，零日漏洞、业务逻辑漏洞无法通过系统补丁修复，因此表述错误。4.根据《网络安全法》，关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当存储在境内。（）答案：√解析：《网络安全法》第三十七条明确规定了关键信息基础设施的数据境内存储要求，因此表述正确。5.物理安全不属于信息安全管理与评估的范围，仅需要做好网络和系统安全即可。（）答案：×解析：物理安全是信息安全的基础，涵盖机房安全、设备物理防护、人员物理出入管理等，是信息安全管理与评估的必要组成部分，因此表述错误。6.零信任架构仅适用于大型企业，中小单位不需要部署零信任相关措施。（）答案：×解析：零信任是一种安全设计理念，中小单位可以根据自身规模逐步落地基于零信任的访问控制措施，不存在仅适用于大型单位的说法，因此表述错误。7.业务影响分析（BIA）是业务连续性管理的核心前置环节，用于识别核心业务中断后的影响，确定恢复时间目标（RTO）和恢复点目标（RPO）。（）答案：√解析：业务连续性管理流程中，首先需要通过业务影响分析明确核心业务的优先级、RTO和RPO指标，后续才能开展容灾预案设计，因此表述正确。8.SQL注入漏洞属于逻辑漏洞，无法通过自动化工具扫描发现。（）答案：×解析：常规SQL注入漏洞可以通过Nessus、AWVS等自动化漏洞扫描工具有效识别，仅部分复杂场景下的SQL注入需要人工验证，因此表述错误。9.数据脱敏的核心作用是在不保留原始敏感信息的前提下，保留数据的可用性，满足开发、测试、数据共享场景的需求。（）答案：√解析：数据脱敏通过对敏感数据做替换、掩码、加密等处理，消除敏感属性，同时保留数据的格式和业务属性，支撑非生产场景和数据流通场景的使用，因此表述正确。10.安全配置错误是当前信息系统排名前三位的常见漏洞类型之一，比如弱口令、开放不必要的端口、错误配置访问权限都属于安全配置错误。（）答案：√解析：根据OWASP发布的Top10漏洞排行，安全配置错误长期位列常见高危漏洞，题干描述符合定义，因此表述正确。四、综合案例分析题（共30分）案例背景：某地方职业院校于2025年完成智慧校园升级改造，新建了包含招生系统、学生管理系统、教务系统、校园一卡通系统、财务系统在内的一体化智慧校园平台，所有核心业务系统部署在校内私有云平台，共存储1.2万名师生的个人信息，其中包含学生身份证号、家庭住址、银行卡号等敏感个人信息，财务系统涉及学校年度经费、收费数据等重要财务信息。该院校按照监管要求，需要对该智慧校园平台开展等级保护测评和信息安全风险评估，已知该智慧校园平台被定为三级等保对象。请结合上述背景回答下列问题：问题1（10分）：请列出三级等保对该智慧校园平台在安全技术层面的核心要求，至少列出5个控制域，并说明每个控制域的核心测评要点。问题2（10分）：请结合该院校场景，列出本次风险评估需要识别的核心资产，至少分为5类，并说明每类资产的风险评估要点。问题3（10分）：评估过程中发现以下3个风险：①招生系统首页存在未授权访问漏洞，攻击者可以直接下载所有考生的报名信息；②云平台管理员密码为弱口令“123456”，未开启多因素认证；③核心交换机开放了不必要的Telnet管理端口，未禁用Telnet启用SSH。请对三个风险分别进行等级判定（高、中、低），并说明对应的风险处置建议。参考答案：问题1参考答案：三级等保安全技术层面共包含多个核心控制域，本次场景下核心要求如下：（1）安全物理环境：核心要点为机房物理访问控制、防火防潮防盗防雷、供配电冗余、监控覆盖，三级要求机房需具备专人值守、出入登记、监控存储不少于6个月，核心设备具备冗余供电。（2）安全通信网络：核心要点为网络分区划分、访问控制规则、网络带宽冗余、通信加密，三级要求必须划分为不同安全域，核心业务域与办公域、互联网之间部署防火墙做访问控制，重要通信过程采用加密传输。（3）安全区域边界：核心要点为边界访问控制、入侵防范、恶意代码防范、安全审计，三级要求边界防火墙必须禁用不必要的端口和服务，开启入侵防御规则，对所有跨区域访问行为留存审计日志，审计日志存储不少于6个月。（4）安全计算环境：核心要点为身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性保密性，三级要求所有特权账户必须开启多因素身份鉴别，遵循最小权限授权原则，所有操作留存审计日志，定期更新病毒库和系统补丁，核心敏感数据存储加密。（5）安全管理中心：核心要点为集中安全管理、态势监测、日志汇总分析，三级要求对所有安全设备、网络设备、服务器的日志进行集中汇总存储，开展常态化安全态势监测，能够发现异常访问行为并告警。（6）云计算安全扩展要求：针对本次场景核心系统部署在私有云，三级等保要求云服务商需要落实数据隔离、权限分离、云平台安全审计等要求，院校需要对云服务商的安全能力进行定期核查。问题2参考答案：本次风险评估需要识别的核心资产分类及评估要点如下：（1）业务数据类资产：包含考生报名信息、师生个人敏感信息、教务成绩数据、财务收支数据等核心业务数据。风险评估要点：核查数据分类分级是否符合国家规范要求，敏感数据是否采用加密存储，数据访问权限是否遵循最小权限原则，是否建立了定期数据备份机制，备份数据是否可恢复，是否存在违规对外提供数据的风险。（2）硬件基础设施类资产：包含核心交换机、路由器、防火墙、入侵防御系统、云服务器、存储设备、机房动力环境设备等物理硬件。风险评估要点：核查物理安全防护是否到位，设备固件是否存在已知高危漏洞，核心设备冗余配置是否满足业务连续性要求，是否有未纳入统一安全管理的闲置硬件设备。（3）软件应用类资产：包含各个业务应用系统、操作系统、数据库、中间件、安全设备操作系统等。风险评估要点：核查是否存在已知可利用高危漏洞，是否使用停止官方维护的老旧版本，开源组件是否存在已知漏洞，安全配置是否符合合规要求，授权许可是否合规。（4）人员与服务类资产：包含系统管理员、业务运维人员、第三方运维服务商、网络接入服务商等。风