网络安全风险评估试题集与答案

网络安全风险评估试题集与答案一、单项选择题（共20题，每题只有1个正确选项）1.根据《信息安全技术信息安全风险评估规范》GB/T20984-2022，风险生成逻辑的核心关联要素不包含以下哪一项：A.资产B.威胁C.动态运营数据D.脆弱性2.依据GB/T20984规定的标准风险值计算模型，风险值的通用计算公式是：A.风险值=资产价值×威胁发生概率×脆弱性严重程度B.风险值=资产价值×（威胁利用脆弱性的可能性）×（脆弱性被利用后对资产的影响程度）C.风险值=威胁发生频率×防护措施缺失率×资产规模D.风险值=脆弱性数量×资产总价值×事件发生概率3.资产赋值过程中，按照保密性、完整性、可用性三个维度将资产重要性划分为5个等级，其中等级为5级的资产对应的影响程度是：A.资产遭到破坏后会对组织造成轻微经济损失，不影响业务正常运行B.资产遭到破坏后会导致局部业务中断，造成10万元以内经济损失C.资产遭到破坏后会严重损害公共利益、国家安全，引发大规模社会影响D.资产遭到破坏后会导致核心业务中断，造成千万元级经济损失4.评估主体自主发起、依托内部安全团队实施，用于掌握自身系统安全状态的评估类型属于：A.第三方委托评估B.监管检查评估C.自评估D.应急专项评估5.以下脆弱性识别方法中，属于被动识别、不会对业务系统运行产生任何干扰的是：A.远程端口漏洞扫描B.源代码安全审计C.配置文档合规核查D.工控系统协议模糊测试6.组织通过关停存在极高安全隐患、无替代防护方案的老旧核心系统，完全消除该系统相关安全风险的处置方式属于：A.风险规避B.风险转移C.风险减轻D.风险接受7.关键信息基础设施运营者购买覆盖数据泄露、勒索病毒攻击场景的网络安全责任险，属于以下哪类风险处置方式：A.风险规避B.风险转移C.风险减轻D.风险接受8.完成所有安全防护措施部署后，剩余未被完全管控、经组织管理层签字确认可承担的风险被定义为：A.固有风险B.残余风险C.潜在风险D.未知风险9.依据《网络安全法》要求，关键信息基础设施运营者应当至少多长时间开展一次全面的网络安全风险评估：A.每半年B.每1年C.每2年D.每3年10.以下关于固有风险的定义描述准确的是：A.所有安全防护措施全部失效后，系统本身存在的最高风险水平B.未采取任何安全防护措施的情况下，资产本身面临的原生风险水平C.风险评估过程中未被识别到的隐藏风险D.第三方供应链引入的外部未知风险11.脆弱性严重程度分级中，可直接获取系统最高权限、无需用户交互即可远程触发的漏洞属于哪一级脆弱性：A.一般脆弱性B.中危脆弱性C.高危脆弱性D.极高危脆弱性12.风险评估全流程中，用于明确评估范围、参与方权责、业务系统影响边界、评估约束条件的核心阶段是：A.风险识别阶段B.风险分析阶段C.评估准备阶段D.风险处置阶段13.针对承载工业控制系统的生产业务网络开展风险评估，以下操作属于严格禁止的是：A.人工核查工控机的账号口令配置情况B.对运行中的PLC设备开展深度漏洞扫描C.查阅工控系统的历史操作日志D.核验工控安全防护平台的规则配置有效性14.以下资产分类中，属于无形资产范畴的是：A.核心业务服务器B.客户个人信息数据集C.机房精密空调D.网络安全运维团队15.风险矩阵法将风险等级划分为5级，其中可导致核心业务全面中断、产生重大社会影响的风险属于哪一级：A.2级（低风险）B.3级（中风险）C.4级（高风险）D.5级（极高风险）16.依据GB/T22239《信息安全技术网络安全等级保护基本要求》，三级以上等级保护对象在重大系统版本上线前，必须开展哪类专项评估：A.性能压力评估B.功能可用性评估C.上线前风险评估D.用户体验评估17.以下威胁类型中，属于人为恶意威胁的是：A.机房地震导致服务器宕机B.运维人员误操作删除核心数据C.境外APT组织定向窃取涉密数据D.雷雨天气引发的供电中断18.风险评估报告必须纳入的核心附件材料不包含以下哪一项：A.全量资产识别清单及三维度赋值结果B.所有识别出的脆弱性验证报告及影响范围说明C.风险处置优先级排序及整改落地时间表D.业务系统的市场营销推广方案19.针对漏洞评分系统CVSS3.1的评分结果，分数处于哪一区间的漏洞属于高危漏洞：A.0.1-3.9分B.4.0-6.9分C.7.0-8.9分D.9.0-10.0分20.组织将核心业务系统托管给具备等保三级资质的第三方数据中心，将物理环境相关的安全风险转移给IDC服务商，该操作属于风险处置中的哪一类：A.风险规避B.风险转移C.风险减轻D.风险接受二、多项选择题（共15题，每题至少2个及以上正确选项，多选少选均不得分）1.依据《关键信息基础设施安全保护条例》要求，以下场景中必须启动专项风险评估的是：A.关键信息基础设施正式上线投入运营前B.发生重大网络安全事件后7个工作日内C.核心业务系统架构发生重大调整、数据覆盖规模扩大30%以上时D.监管部门发起专项安全检查要求开展评估时2.GB/T20984-2022中明确规定的风险处置四类标准方式包含：A.风险规避B.风险转移C.风险减轻D.风险接受3.完整的资产识别工作需要覆盖以下哪些资产类别：A.硬件资产（服务器、网络设备、安全设备等）B.软件资产（业务系统、操作系统、中间件等）C.数据资产（用户数据、核心业务数据、配置文件等）D.人员资产、服务资产、物理环境配套资产4.以下属于主动脆弱性识别手段的有：A.基于漏洞库的远程自动化扫描B.人工渗透测试C.配置文件离线核查D.业务系统源代码审计5.以下关于风险评估的描述符合现行国标要求的有：A.风险评估是动态持续的过程，而非一次性合规工作B.残余风险无法完全消除，不存在零风险的信息系统C.脆弱性本身不会直接产生安全损失，只有被威胁利用时才会触发风险事件D.所有极低风险项可以不经管理层审批直接无条件接受6.数据资产赋值过程中，保密性维度需重点考虑的因素有：A.数据是否属于国家秘密、商业秘密、敏感个人信息范畴B.数据泄露后可被用于精准诈骗、身份冒用等违法活动的影响范围C.数据加密存储、传输措施的落地有效性D.数据对外公开查询的接口访问控制配置情况7.以下属于评估准备阶段必须完成的工作内容有：A.划定风险评估的业务边界、系统范围、资产覆盖维度B.明确参与评估的各方人员权责，签署保密协议、安全操作承诺书C.制定评估操作应急预案，明确扫描测试业务中断后的回退机制D.输出最终版风险评估报告并提交给监管部门8.以下属于典型外部威胁源的有：A.境外敌对势力APT攻击组织B.勒索病毒运营黑产团伙C.离职违规运维人员D.自然灾害、极端天气事件9.针对个人信息处理活动开展风险评估，依据《个人信息保护法》要求必须重点覆盖的内容有：A.个人信息处理的目的、方式、范围是否合法合规B.个人信息面临泄露、篡改、丢失的风险等级C.针对未成年人等敏感群体个人信息的专项防护措施有效性D.风险处置措施的落地可行性及合规性10.风险分析阶段需要完成的核心工作包括：A.梳理威胁发生的概率、历史同类事件发生频率B.核验脆弱性的可利用性、利用门槛高低C.测算脆弱性被威胁利用后对资产造成的损失量级D.结合赋值结果计算最终风险值，划分风险等级11.风险等级判定为极高风险的安全事件，满足以下哪些特征：A.漏洞可被直接远程利用，攻击门槛极低B.可直接获取核心系统最高权限，批量窃取全量核心敏感数据C.事件发生后会引发大规模用户权益受损，损害公共利益D.100%概率会在72小时内被境外黑客利用发起攻击12.以下属于等保2.0体系下风险评估报告的法定报送要求的有：A.三级等级保护对象的年度评估报告需向属地网安部门报备B.关键信息基础设施的风险评估报告需同步报送对应行业保护工作部门C.发生重大安全事件后的专项评估报告需按照监管要求限时提交D.所有评估报告无需留存，提交监管部门后即可销毁13.针对云服务场景开展风险评估，需要额外重点覆盖的特殊评估维度有：A.云服务商侧的多租户隔离机制有效性B.云环境下的虚拟化逃逸漏洞风险C.云存储资源的跨租户数据泄露风险D.租户侧业务系统的传统安全脆弱性14.以下场景中适合采用风险接受处置方式的有：A.风险等级为极低，整改投入成本远高于风险事件发生后的损失B.风险发生概率低于万分之一，且发生后不会对核心业务造成任何影响C.经过业务管理层、安全责任方共同签字确认，明确承担风险后果D.所有涉及敏感个人信息的高风险脆弱性15.完整的风险评估文档体系需要覆盖的内容有：A.评估实施方案、操作流程规范、应急预案B.资产识别清单、威胁分析记录、脆弱性验证报告C.风险分析测算过程文档、风险矩阵图D.风险处置整改方案、残余风险确认记录三、判断题（共10题，正确打√，错误打×）1.网络安全风险评估属于一次性合规工作，完成年度评估出具报告后，12个月内无需对系统变更部分补充评估。2.信息系统的脆弱性本身不会直接造成安全损失，只有当被相应威胁源利用时，才会触发安全事件生成风险。3.残余风险可以通过部署全覆盖的安全防护措施实现完全消除，最终让系统风险值降至0。4.风险评估过程中针对生产业务系统开展漏洞扫描前，必须提前制定流量阈值、中断时间限制规则，避免扫描操作影响正常业务运行。5.自评估工作必须委托具备资质的第三方安全机构实施，组织内部团队不具备开展自评估的合规资质。6.针对工控生产系统开展风险评估，优先采用人工核查、离线审计的方式核验脆弱性，禁止随意开展深度扫描避免引发生产停滞。7.依据《数据安全法》要求，重要数据的处理者应当定期开展数据安全风险评估，将评估报告报送负责数据安全工作的部门。8.风险处置优先级按照整改投入成本从低到高排序，无需参考风险等级高低。9.未经过资产赋值环节直接启动漏洞扫描输出的评估报告，不符合GB/T20984的规范要求。10.渗透测试操作需要提前明确测试时间窗口、禁止操作的业务对象、权限边界，严禁未经授权执行破坏性测试操作。四、案例分析题（共3题，需结合风险评估国标要求和实际业务场景作答）1.某省级医疗健康平台承载全省3200万居民的电子健康档案、诊疗记录、医保结算核心数据，按照等保三级要求委托第三方机构开展年度风险评估，第三方评估团队进场后直接启动全端口漏洞扫描，扫描过程中触发平台核心数据库集群的流量清洗规则，导致面向公众的查询服务中断47分钟。请结合上述场景回答以下问题：（1）指出第三方评估团队在评估准备阶段存在哪些合规疏漏？（2）针对该医疗平台的核心数据资产，应当如何开展保密性、完整性、可用性三维度的资产赋值工作？（3）本次扫描触发服务中断事件，暴露了风险评估流程中哪类关键管控要求的缺失？2.某地级市轨道交通集团作为关键信息基础设施运营者，旗下的地铁票务系统、运行调度系统连通办公网络后多次遭到钓鱼邮件攻击，攻击者已经拿到3台运维终端的控制权限，运营管理层要求内部安全团队快速完成专项风险评估，请回答：（1）该评估项目的评估范围应当覆盖哪些核心资产？（2）评估过程中针对工控调度系统的脆弱性识别应当采取哪些特殊防护措施避免影响正常地铁运行？（3）本次专项风险评估完成后，判定票务系统用户数据泄露的风险等级为高风险，应当优先采用哪几类风险处置方式组合管控风险？3.某跨境电商平台存储超过2000万境内用户的支付账号、身份证、银行卡敏感数据，近期被黑产团伙攻击窃取120万条用户敏感数据，被监管部门要求完成事后专项风险评估，请回答：（1）本次风险评估的工作流程应当做哪些针对性调整满足事件溯源、影响判定的需求？（2）如何通过风险评估明确本次事件的风险扩散范围、后续潜在衍生风险？（3）评估完成后输出的风险处置方案需要包含哪些核心要素满足《网络安全法》《个人信息保护法》的合规要求？参考答案一、单项选择题答案1.C，根据GB/T20984-2022，风险评估核心三要素为资产、威胁、脆弱性，动态运营数据属于资产的子范畴，不属于核心独立要素。2.B，国标规定标准风险值计算逻辑为资产重要性赋值乘以威胁利用脆弱性的可能性，乘以脆弱性被利用后对资产的影响程度，其余选项均不符合国标规范。3.C，5级资产是最高等级资产，破坏后会损害公共利益、国家安全，引发大规模社会影响。4.C，自评估的定义就是运营者自主发起依托内部团队开展的评估类型。5.C，配置文档合规核查属于被动操作，不与运行中的业务系统产生交互，不会产生任何干扰。6.A，关停存在风险的系统完全消除对应风险属于风险规避。7.B，购买安全责任险将风险损失转移给保险公司属于风险转移。8.B，残余风险的定义就是采取防护措施后剩余的经确认可接受的风险。9.B，《网络安全法》明确要求关键信息基础设施运营者每年至少开展一次全面风险评估。10.B，固有风险指未采取任何防护措施的情况下资产本身的原生风险水平。11.D，可直接远程获取系统权限、无需交互的漏洞属于极高危脆弱性。12.C，评估准备阶段核心目标就是明确评估范围、权责、约束条件。13.B，对运行中的PLC设备开展深度扫描极易导致工控设备宕机，引发生产停滞，属于严格禁止操作。14.B，客户个人信息数据集属于无形资产，其余选项均属于有形资产。15.D，风险矩阵中5级为极高风险，可导致核心业务全面中断产生重大影响。16.C，等保三级以上系统重大版本上线前必须开展上线前风险评估。17.C，境外APT组织定向攻击属于人为恶意威胁，其余选项属于非恶意或自然威胁。18.D，市场营销推广方案不属于风险评估报告的必备附件。19.C，CVSS3.1标准中7.0-8.9分属于高危漏洞区间。20.B，将物理环境风险转移给IDC服务商属于风险转移处置方式。二、多项选择题答案1.ABCD，四类场景均符合《关键信息基础设施安全保护条例》要求，必须启动专项风险评估。2.ABCD，国标规定四类标准风险处置方式分别是规避、转移、减轻、接受。3.ABCD，完整资产识别必须覆盖硬件、软件、数据、人员、服务、物理环境六大类资产。4.ABD，远程扫描、渗透测试、源代码审计都属于主动脆弱性识别手段，配置文件离线核查属于被动手段。5.ABC，极低风险项接受也需要经过管理层审批确认，D选项描述错误。6.ABCD，四个选项均属于数据资产保密性维度赋值的核心参考因素。7.ABC，输出评估报告属于评估收尾阶段工作，不属于准备阶段内容。8.ABCD，四类主体均属于典型威胁源范畴。9.ABCD，四个选项均属于《个人信息保护法》要求个人信息安全风险评估必须覆盖的内容。10.ABCD，四个选项均属于风险分析阶段的核心工作内容。11.ABC，风险等级判定无需满足100%72小时内被攻击的条件，D选项描述错误。12.ABC，评估报告需要至少留存6个月以上满足监管溯源要求，D选项错误。13.ABCD，云场景风险评估除了传统维度还要额外覆盖多租户隔离、虚拟化逃逸、跨租户泄露等特殊维度。14.ABC，涉及敏感个人信息的高风险脆弱性严禁采用风险接受处置方式，D选项错误。15.ABCD，四类文档均属于完整风险评估文档体系的必备组成部分。三、判断题答案1.×，风险评估是动态持续过程，系统发生重大变更后必须补充评估。2.√，脆弱性本身不会产生损失，必须被威胁利用才会触发风险事件。3.×，不存在绝对安全的系统，残余风险无法完全消除。4.√，生产系统扫描前必须制定业务保障规则，避免影响正常运行。5.×，自评估可由运营者内部安全团队自主实施，无需第三方介入。6.√，工控系统风险评估严禁随意扫描，避免引发生产安全事故。7.√，《数据安全法》明确要求重要数据处理者定期开展数据安全风险评估并报送监管部门。8.×，风险处置优先级首先按照风险等级高低排序，其次参考整改投入成本。9.√，资产识别赋值是风险评估的前置必要环节，未完成该环节输出的报告不符合国标要求。10.√，渗透测试操作必须提前明确边界，严禁未经授权的破坏性操作。四、案例分析题参考答案1.（1）评估准备阶段的疏漏包括：未提前划定扫描的流量阈值、服务中断最大允许时间、业务保护白名单范围；未制定扫描操作对应的应急预案，未提前告知平台运维人员做好监控值守；未签署安全操作承诺协议，明确评估引发业务中断的追责机制。（2）资产赋值方面：保密性维度赋值为5级，该数据包含大量居民敏感个人信息，泄露后会严重损害公众利益，威胁群众隐私安全；完整性维度赋值为5级，诊疗记录、医保结算数据被篡改后会直接影响医保基金安全、居民正常就医