2025年计算机等级考试(三级信息安全技术与管理)试卷(附答案)

2025年计算机等级考试(三级信息安全技术与管理)试卷(附答案)2025年全国计算机等级考试三级信息安全技术与管理试卷（考试时间120分钟，满分100分）一、单项选择题（共40题，每题1分，共40分。每题只有一个正确答案，多选、错选、不选均不得分）1.下列信息安全属性中，不属于保密性实现范畴的是（）A.传输层加密B.最小权限访问控制C.数字签名D.静态数据脱敏2.依据《网络安全等级保护2.0基本要求》，要求核心节点全冗余、灾难恢复能力达到RTO≤4小时、RPO≤30分钟的保护等级是（）A.第二级B.第三级C.第四级D.第五级3.《数据安全法》规定，数据分类分级的核心判定依据是（）A.数据存储规模B.数据商业价值C.数据遭到破坏后的危害程度D.数据采集来源4.下列攻击类型中，属于分布式拒绝服务攻击的是（）A.SQL注入B.DDoSC.CSRFD.水坑攻击5.《个人信息保护法》规定，处理不满（）周岁未成年人个人信息的，应当取得未成年人的监护人单独同意A.10B.14C.16D.186.防火墙的核心基础功能是（）A.恶意代码查杀B.访问控制规则匹配C.入侵行为溯源D.系统漏洞扫描7.信息安全风险评估中，风险值的标准计算逻辑是（）A.风险值=资产价值×威胁发生频率×脆弱性严重程度B.风险值=资产价值+威胁发生频率+脆弱性严重程度C.风险值=威胁发生频率×脆弱性数量D.风险值=资产价值×漏洞修复成本8.下列国密算法中，属于对称加密算法的是（）A.SM2B.SM3C.SM4D.ZUC9.下列关于数字签名的描述，错误的是（）A.可验证数据完整性B.可实现发送方抗抵赖C.可保证数据传输保密性D.可确认发送方身份合法性10.等保2.0“一个中心、三重防护”框架中，安全管理中心不包含的模块是（）A.系统管理B.审计管理C.安全管理D.业务流程管理11.零信任架构的核心基本原则是（）A.永不信任，始终验证B.默认信任内部网络访问请求C.基于物理边界划分信任域D.单点登录后授予全资源访问权限12.下列安全技术中，属于应用层安全防护手段的是（）A.防火墙ACL规则配置B.WAF（Web应用防火墙）C.主机入侵检测系统D.物理机房门禁13.《网络安全法》规定，关键信息基础设施运营者对自身系统安全性和风险的检测评估频率要求是（）A.每半年至少1次B.每年至少1次C.每两年至少1次D.每三年至少1次14.下列安全控制措施中，属于预防性控制的是（）A.安全审计B.入侵检测C.访问控制D.应急响应15.灾难恢复指标中，RPO指的是（）A.恢复时间目标B.恢复点目标C.最大容忍中断时间D.最小恢复带宽要求16.下列开发环节中，属于SDL（安全开发生命周期）首个阶段的是（）A.安全需求分析B.安全架构设计C.安全代码审计D.上线安全评审17.下列风险处置方式中，属于风险转移的是（）A.部署防火墙封堵高危端口B.购买网络安全责任险C.关停非必要业务系统D.定期开展漏洞扫描18.下列身份认证方式中，属于多因素认证的是（）A.用户名+密码登录B.动态令牌验证码登录C.指纹+人脸登录D.密码+短信验证码登录19.工业控制系统安全中，负责执行生产控制指令的层级是（）A.现场设备层B.过程控制层C.生产管理层D.企业资源层20.大数据安全防护中，可在不改变原始数据结构的前提下，降低数据敏感度的技术是（）A.数据脱敏B.数据加密C.数据销毁D.数据备份21.下列协议中，属于安全远程管理协议的是（）A.TelnetB.FTPC.SSHD.HTTP22.入侵防御系统的英文缩写是（）A.IDSB.IPSC.WAFD.SIEM23.安全管理PDCA循环的正确顺序是（）A.计划-执行-检查-处置B.执行-计划-检查-处置C.计划-检查-执行-处置D.检查-计划-执行-处置24.下列属于个人敏感信息的是（）A.公开的企业联系方式B.个人姓名+手机号C.个人医疗健康记录D.公开的职务信息25.漏洞危险等级划分中，可直接获取系统最高权限、无需用户交互的漏洞属于（）A.低危B.中危C.高危D.Critical（严重）26.应急响应流程的正确顺序是（）A.准备-检测-遏制-根除-恢复-跟踪B.检测-准备-遏制-恢复-根除-跟踪C.准备-遏制-检测-根除-恢复-跟踪D.检测-遏制-准备-恢复-根除-跟踪27.下列关于等保2.0测评的说法，错误的是（）A.第三级系统每两年至少开展1次等级测评B.测评机构需具备国家认可的等级测评资质C.云平台、大数据系统无需开展等级保护测评D.测评结果分为优、良、中、差四个等级28.数字证书的法定签发机构是（）A.工信部B.CA认证中心C.公安机关网安部门D.运营企业自身29.下列攻击手段中，属于社会工程学攻击的是（）A.暴力破解密码B.钓鱼邮件诱导用户输入账号密码C.缓冲区溢出攻击D.端口扫描30.零信任架构的三大核心支柱不包含（）A.身份B.设备C.环境D.业务流程31.下列加密方式中，加密密钥和解密密钥相同的是（）A.非对称加密B.对称加密C.哈希算法D.数字签名32.网络安全审计日志的留存期限至少不得少于（）A.3个月B.6个月C.12个月D.3年33.下列关于数据出境的说法，符合法规要求的是（）A.所有数据均可自由出境B.关键信息基础设施运营者在境内运营中收集的核心数据一律不得出境C.个人信息出境无需取得个人同意D.数据出境需通过国家网信部门组织的安全评估34.下列属于主机安全防护措施的是（）A.操作系统补丁定期更新B.交换机端口隔离C.域名解析防护D.DDoS清洗35.信息安全管理体系的国际标准是（）A.ISO27001B.ISO9001C.ISO20000D.ISO1400136.下列攻击类型中，可篡改用户浏览器访问目标网站内容的是（）A.DNS劫持B.ARP欺骗C.SQL注入D.XSS跨站脚本攻击37.最小权限原则的核心是（）A.授予用户尽可能多的权限，避免业务受阻B.仅授予用户完成当前工作所需的最小必要权限C.所有用户权限保持一致D.权限一旦授予永不收回38.云计算安全中，SaaS模式下用户需要负责的安全内容是（）A.硬件基础设施安全B.云平台操作系统安全C.自身业务数据安全D.云网络架构安全39.下列属于完整性校验技术的是（）A.AES加密B.MD5哈希值比对C.RSA加密D.访问控制列表40.网络安全三同步原则指的是网络安全设施与信息系统主体（）A.同步规划、同步建设、同步使用B.同步规划、同步测试、同步上线C.同步设计、同步测试、同步运维D.同步设计、同步建设、同步验收单项选择题参考答案：1-5：CCCBB6-10：BACCD11-15：ABBCB16-20：ABDBA21-25：CBACD26-30：ACBBD31-35：BCDAA36-40：ABCBA二、填空题（共15空，每空2分，共30分）1.等保2.0“一个中心、三重防护”框架中，三重防护分别指计算环境安全、区域边界安全、______安全。2.国密哈希算法SM3的输出长度为______比特。3.信息安全风险评估的三大核心要素是资产、______、脆弱性。4.负责统一收集、存储、分析全维度安全日志的平台缩写为______（安全信息与事件管理系统）。5.《个人信息保护法》规定，个人信息处理者应当在处理敏感个人信息前取得个人的______同意。6.包过滤防火墙工作在OSI七层模型的______层。7.数据安全治理的三大核心要素是______、流程、技术。8.灾难恢复指标中，______（填英文缩写）指的是灾难发生后系统恢复正常运行的最长可容忍时间。9.我国负责统筹协调网络安全工作和相关监督管理工作的主管部门是______。10.用于检测系统中存在的已知安全漏洞的技术手段是______。11.公钥基础设施的英文缩写是______。12.软件供应链安全中，用于检测开源组件漏洞的典型技术是______（软件成分分析）。13.等保2.0将信息系统分为______个保护等级。14.防止用户否认自身操作行为的安全属性是______。15.能够自动对入侵行为进行拦截阻断的安全设备是______（填英文缩写）。填空题参考答案：1.通信网络2.2563.威胁4.SIEM5.单独6.网络7.人8.RTO9.国家网信部门10.漏洞扫描11.PKI12.SCA13.514.抗抵赖15.IPS三、简答题（共3题，每题6分，共18分）1.简述等级保护2.0与等级保护1.0的核心区别。2.简述数据分类分级的完整实施流程。3.简述零信任架构在企业远程办公场景中的应用价值。简答题参考答案：1.等级保护2.0与1.0的核心区别如下：①覆盖范围拓展：1.0仅覆盖传统计算机信息系统，2.0将云计算、大数据、物联网、工业控制系统、移动互联网等新型信息系统全部纳入监管范畴；②防护思路升级：从1.0的静态边界防护升级为“一个中心、三重防护”的动态纵深防护体系，适配无边界办公、分布式部署等新型场景；③要求体系完善：新增云计算、大数据、工业控制等领域的专项扩展要求，细化技术与管理维度的管控指标；④法律层级提升：等保2.0要求纳入《网络安全法》强制要求，违反等保规定的运营者需承担行政、民事甚至刑事责任；⑤全生命周期管控：从1.0侧重定级、测评环节，升级为包含定级、备案、建设整改、等级测评、监督检查的全流程闭环管理。（答出任意5点即可得满分）2.数据分类分级实施流程：①资产梳理：全面盘点组织所有数据的来源、存储位置、流转路径、关联方、访问权限等信息，形成完整的数据资产清单；②规则制定：结合《数据安全法》《网络数据安全管理条例》等法规要求及行业规范，制定符合组织业务特性的分类维度、分级判定标准；③数据标记：依据分类分级规则对所有数据进行标签化标记，明确数据类别、级别、对应管控要求；④措施落地：针对不同级别的数据制定适配的加密、访问控制、脱敏、审计、泄露溯源等管控措施，嵌入数据全生命周期流转节点；⑤定期复核：结合业务调整、数据场景变化、法规更新等情况，每半年至1年对分类分级结果进行复核更新，确保规则与实际适配。（答出任意5点即可得满分）3.零信任架构在远程办公场景的应用价值：①消除内部信任边界：解决传统VPN接入后可无限制访问内网资源的风险，所有访问请求均需经过身份、设备、环境的多维度校验；②适配跨场景访问需求：支持多终端、跨网络的安全接入，无需部署复杂的边界硬件设备，降低远程办公的部署与运维成本；③最小权限管控：基于用户角色、业务场景实现细粒度权限分配，仅授予用户完成当前工作所需的最小访问权限，降低权限滥用风险；④持续动态评估：对访问行为进行全程监控，发现设备风险、异常操作等情况时即时回收访问权限，实现动态信任管控；⑤缩小攻击面：隐藏内部核心资源的网络地址，攻击者无法直接探测到核心系统资产，有效减少攻击入口。（答出任意5点即可得满分）四、综合应用题（共1题，12分）某省属市属重点高校拟上线智慧校园平台，涵盖学生教务管理、校园缴费、人脸门禁、在线教学四个核心模块，存储有3.2万名在校师生的身份信息、生物特征信息、学籍档案、缴费记录等数据，按照法规要求需完成等保2.0第三级建设。结合场景回答以下问题：1.请对该平台存储的数据进行分类分级划分，并说明每级数据的核心防护要求（6分）2.该平台正式上线前需完成的等保合规流程有哪些（6分）综合应用题参考答案：1.数据分类分级及防护要求：①核心级数据：包括师生生物特征信息、学籍档案、身份证号、家庭住址等敏感个人信息，防护要求：全生命周期加密存储与传输，访问需双人审批，仅授权特定岗位工作人员按需访问，禁止对外共享，确需共享的需进行不可逆脱敏并留存完整审计日志，日志留存期限不低于5年，定期开展数据泄露风险监测；②重要级数据：包括教务成绩、缴费记录、门禁访问日志、系统运维日志等数据，防护要求：传输与存储加密，访问控制粒度细化到单条数据项，禁止未授权批量导出，定期开展数据完整性校验；③一般级数据：包括公开的教务通知、课程信息、校园公告等公开数据，防护要求：建立内容审核机制，确保数据完整性，避免被篡改发布虚假信息，定期进行内容巡检。（每级划分与对应要求各2分，共6分）2.等保合规流程：①定级备案：组织行业专家、信息安全专家开展定级评审，确定为等保三级后10个工作日内向属地公安机关网安部门提交备案材料，取得备案证明；②建设整改：按照等保2.0三级基本要求完成技术体系与管理体系建设，覆盖物理安全、网络