2025年计算机等级考试(三级信息安全评估)试卷含答案

2025年计算机等级考试(三级信息安全评估)试卷含答案2025年全国计算机等级考试（三级信息安全评估）试卷考试时间：120分钟满分：100分一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。1.信息安全的核心三要素不包含以下哪项（）A.保密性B.完整性C.可用性D.可追溯性2.根据《网络安全等级保护条例》，网络运营者应当按照网络安全等级保护制度要求，对第三级网络/信息系统至少（）开展一次等级测评A.每半年B.每年C.每两年D.每三年3.信息安全风险评估的核心逻辑链条是（）A.资产-威胁-脆弱性-风险B.威胁-脆弱性-资产-风险C.资产-脆弱性-威胁-风险D.脆弱性-资产-威胁-风险4.《数据安全法》将数据分为三个层级，其中不包含（）A.核心数据B.重要数据C.敏感数据D.一般数据5.根据《数据出境安全评估办法》，处理个人信息达到（）的个人信息处理者，需要向国家网信部门申报数据出境安全评估A.50万人B.100万人C.200万人D.500万人6.通用漏洞评分系统CVSS3.1的基础评分维度不包含（）A.攻击向量B.可用性影响C.漏洞修复成本D.权限要求7.零信任架构的核心原则是（）A.默认信任内网主体B.永不信任，始终验证C.基于网络位置做访问控制D.一次性验证终身有效8.渗透测试流程中，获取目标系统最高控制权后，用于留存访问通道的环节是（）A.信息收集B.漏洞利用C.权限维持D.痕迹清理9.应急响应标准流程PDCERF模型中，第二个环节是（）A.准备B.检测C.遏制D.根除10.我国对信息系统密码应用合规性开展的专项评估简称为（）A.等保测评B.密评C.风评D.数评11.ISO/IEC27001标准的核心内容是（）A.信息安全管理体系建设要求B.密码算法技术标准C.个人信息保护规范D.云安全评估标准12.我国网络安全等级保护工作的监管主体是（）A.国家网信部门B.公安机关C.工业和信息化部门D.国家安全部门13.以下不属于分布式拒绝服务攻击（DDoS）防护手段的是（）A.流量清洗B.黑洞路由C.入侵检测系统（IDS）D.内容分发网络（CDN）14.数据脱敏技术最适合应用于以下哪个场景（）A.生产环境核心业务数据存储B.测试环境数据导出C.核心数据跨部门传输D.敏感数据归档存储15.数字签名技术无法实现以下哪项功能（）A.数据完整性校验B.发送方身份认证C.数据保密性D.行为不可否认16.信息安全风险评估中，资产价值的评估维度不包含（）A.市场价值B.业务影响价值C.安全属性价值D.处置成本价值17.云服务模式中，SaaS模式下安全责任由云服务商和用户共担，其中用户侧主要负责的安全内容是（）A.基础设施物理安全B.hypervisor层安全C.应用系统代码安全D.业务数据安全与访问权限管理18.工业控制系统（ICS）安全评估与传统信息系统评估的核心差异是（）A.优先保障业务连续性B.优先保障数据保密性C.优先保障系统可扩展性D.优先保障远程访问可用性19.人工智能模型安全评估中，对抗样本攻击的核心防范目标是（）A.防止模型参数泄露B.防止模型输出结果被恶意篡改C.防止训练数据被污染D.防止模型推理效率下降20.我国《国家网络安全事件应急预案》将网络安全事件分为四个等级，其中最高等级是（）A.较大B.重大C.特别重大D.一般【选择题参考答案】1.D2.B3.A4.C5.B6.C7.B8.C9.B10.B11.A12.B13.C14.B15.C16.D17.D18.A19.B20.C二、填空题（本大题共10空，每空2分，共20分）请在每小题的空格中填上正确答案，错填、不填均无分。1.信息安全风险处置的四种基本策略包括风险规避、风险转移、风险缓解、______。2.等保2.0核心技术要求框架包含安全物理环境、安全通信网络、安全区域边界、安全计算环境、______五个层级。3.《个人信息保护法》规定，处理不满______周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的单独同意。4.密码应用的核心安全目标包括保密性、完整性、______。5.漏洞全生命周期管理流程包括漏洞发现、漏洞验证、______、漏洞修复、漏洞复测五个核心环节。6.数据安全评估中，数据全生命周期覆盖采集、存储、传输、______、使用、提供、销毁七个环节。7.零信任架构中，访问控制决策的核心依据是______而非网络位置。8.信息安全事件应急演练的类型可分为桌面演练、______、实战演练三类。9.等保三级系统要求安全审计日志的留存时长不少于______个月。10.个人信息保护影响评估报告的留存时长不少于______年。【填空题参考答案】1.风险接受2.安全管理中心3.144.不可否认性5.漏洞评估（或漏洞定级）6.处理7.身份（或主体可信状态）8.模拟演练9.610.3三、简答题（本大题共4小题，每小题10分，共40分）1.简述信息安全风险评估的完整流程及各环节核心工作内容。【参考答案】信息安全风险评估共分为7个核心环节，各环节工作内容如下：（1）评估准备阶段（1分）：核心工作包括明确评估目标、评估范围，组建由安全技术、安全管理、业务人员组成的评估团队，编制评估实施方案，准备评估工具与相关资源，召开评估启动会并获得被评估方授权。（2）资产识别与赋值阶段（1.5分）：核心工作是梳理评估范围内的所有资产，包括硬件、软件、数据、服务、人员、文档等维度，按照资产的保密性价值、完整性价值、可用性价值、业务影响价值完成资产赋值，资产赋值通常采用1-5分的五级制，分值越高代表资产重要性越高。（3）威胁识别与赋值阶段（1.5分）：核心工作是识别资产面临的所有潜在威胁，包括自然威胁、人为恶意威胁、人为误操作、软硬件故障等类型，结合历史安全事件数据、行业威胁情报完成威胁发生频率赋值，同样采用1-5分五级制，分值越高代表威胁发生概率越高。（4）脆弱性识别与赋值阶段（1.5分）：核心工作是识别资产存在的技术脆弱性与管理脆弱性，技术脆弱性包括网络架构缺陷、系统漏洞、配置不当等，管理脆弱性包括制度缺失、流程不完善、人员安全意识不足等，结合脆弱性被利用后造成的影响程度完成脆弱性严重程度赋值，采用1-5分五级制，分值越高代表脆弱性危害越大。（5）已有安全措施确认阶段（1分）：核心工作是核查被评估方已部署的技术安全措施与管理安全措施，验证各项措施的有效性，评估措施对脆弱性的抵消程度，有效性得分采用0-1区间赋值，1代表措施完全有效，0代表措施完全无效。（6）风险分析与定级阶段（1.5分）：核心工作是采用定性或定量方法计算风险值，常用量化公式为：风险值=资产价值×威胁发生频率×脆弱性严重程度×（1-已有安全措施有效性），根据风险值高低将风险划分为低风险、中风险、高风险、极高风险四个等级。（7）评估报告编制阶段（2分）：核心工作是汇总评估过程中所有数据，明确各等级风险的分布情况，针对不同等级风险给出可落地的处置建议，编制正式评估报告，经内部评审后交付被评估方，必要时配合被评估方向监管部门报备评估结果。2.简述网络安全等级保护2.0与1.0的核心差异，以及三级信息系统的核心测评要求。【参考答案】（1）等保2.0与1.0的核心差异（6分）：①覆盖范围差异：等保1.0仅覆盖传统计算机信息系统，等保2.0将云计算、大数据、物联网、移动互联网、工业控制系统、人工智能等新技术新应用场景全部纳入保护范围，实现了保护对象的全覆盖。②防护理念差异：等保1.0以被动防御为核心，侧重静态防护；等保2.0提出“主动防御、动态防御、纵深防护、精准防护、整体防控”的新型防护理念，要求实现事前预防、事中监测、事后响应的全流程防护。③要求体系差异：等保1.0仅包含技术要求和管理要求两类要求，等保2.0新增了安全通用要求、新技术场景扩展要求、密码应用专项要求、数据安全专项要求，要求体系更完善。④责任边界差异：等保1.0仅明确了运营者的安全责任，等保2.0明确了运营者主体责任、监管部门监管责任、测评机构技术责任的三方责任体系，责任边界更清晰。⑤合规衔接差异：等保1.0未与法律法规直接衔接，等保2.0对接《网络安全法》《数据安全法》《个人信息保护法》等上位法，违反等保要求可直接触发行政处罚，合规约束性更强。⑥测评流程差异：等保1.0测评仅包含符合性测评，等保2.0测评新增了风险验证、渗透测试、攻防演练等验证环节，测评结果的真实性更高。（2）三级信息系统核心测评要求（4分）：①测评频次要求：每年至少开展一次等级测评，测评结果需向属地公安机关备案。②技术核心要求：需部署入侵防范、恶意代码防范、访问控制、安全审计、数据备份恢复等核心技术措施，安全审计日志留存不少于6个月，重要数据需实现异地备份，核心业务系统需具备7*24小时不间断运行能力。③管理核心要求：需建立完善的安全管理制度，设立专门的安全管理岗位，每年至少开展2次应急演练，关键岗位人员需通过安全培训考核。④专项合规要求：需完成密码应用安全性评估，重要数据处理活动需同步开展数据安全评估，涉及个人信息处理的需完成个人信息保护影响评估。3.简述数据安全评估的核心内容，以及重要数据出境的法定流程。【参考答案】（1）数据安全评估核心内容（5分）：①数据分类分级评估：核查被评估方的数据分类分级制度建设情况，验证重要数据、核心数据、敏感个人信息的识别与标注准确率，确认分类分级结果是否符合行业监管要求。②数据全生命周期安全评估：覆盖数据采集、存储、传输、处理、使用、提供、销毁全流程，评估各环节的安全措施有效性，比如采集环节是否符合最小必要原则、存储环节是否采用加密措施、销毁环节是否实现不可恢复等。③数据安全管理体系评估：评估数据安全管理组织架构、制度体系、人员权限管理、安全培训、应急处置机制的完备性与有效性。④数据安全技术措施评估：评估数据加密、数据脱敏、数据水印、访问控制、数据泄露防护、数据安全审计等技术措施的部署情况与有效性。⑤数据安全事件应急能力评估：核查数据安全事件应急预案的完备性，验证应急演练的开展情况，评估数据安全事件发生后的处置能力与溯源能力。（2）重要数据出境法定流程（5分）：①自评估环节：数据处理者在开展重要数据/个人信息出境活动前，需自行或委托第三方机构开展数据出境风险自评估，重点评估出境数据的重要程度、境外接收方的安全保障能力、出境后数据被泄露、篡改、滥用的风险等，形成自评估报告。②申报环节：若数据出境活动符合《数据出境安全评估办法》规定的申报阈值，包括处理100万人以上个人信息的数据处理者出境数据、累计出境10万人以上个人信息、累计出境1万人以上敏感个人信息等情形，需在出境活动开展前向省级以上网信部门提交数据出境安全评估申请。③评估环节：网信部门收到申请后开展合规性核查，必要时联合行业主管部门开展联合评估，评估周期一般为45个工作日，情况复杂的可延长30个工作日，评估通过后出具数据出境安全评估通过意见书，有效期为2年。④实施环节：数据处理者获得评估通过意见书后，与境外接收方签订符合法律要求的数据出境合同，明确双方的安全责任、数据使用范围、数据保护措施等内容，按照申报的范围开展数据出境活动。⑤报备环节：数据处理者每年需向属地网信部门报备当年的数据出境情况，若出境活动的范围、规模、接收方等发生变化，需重新开展安全评估。4.简述零信任架构下的安全评估核心指标。【参考答案】零信任架构安全评估核心指标分为5个维度，共15项核心指标，具体如下：（1）身份治理维度（2分）：核心指标包括身份标识覆盖率（要求所有访问主体包括人员、设备、应用都需具备唯一身份标识，覆盖率需达到100%）、权限最小化覆盖率（要求所有主体的访问权限符合最小必要原则，覆盖率不低于95%）、多因素认证启用率（要求访问核心资产的主体100%启用多因素认证）、身份生命周期管理完备性（要求身份的创建、变更、注销全流程可追溯，无僵尸账号）。（2）动态访问控制维度（2分）：核心指标包括细粒度访问控制策略覆盖率（要求核心资产的访问控制粒度细化到接口/字段级，覆盖率不低于90%）、上下文感知准确率（要求访问控制策略可结合访问时间、访问地点、设备安全状态、行为特征等上下文信息做决策，上下文信息识别准确率不低于98%）、异常访问识别率（要求异常访问行为的识别准确率不低于95%）。（3）持续验证维度（2分）：核心指标包括访问过程核验频率（要求访问核心资产的主体每30分钟内至少完成一次身份与环境核验）、风险响应时长（要求识别到访问风险后，阻断异常访问的响应时长不超过1秒）、异常访问阻断率（要求识别到的高风险访问行为100%被阻断）。（4）数据保护维度（2分）：核心指标包括全链路数据加密率（要求访问路径中的数据传输、存储加密率达到100%）、敏感数据访问审计留存时长（要求敏感数据的访问日志留存不少于12个月）、敏感数据越权访问事件发生率（要求年度越权访问事件发生率为0）。（5）安全运营维度（2分）：核心指标包括策略变更审批流程完备性（要求零信任访问控制策略的变更100%经过审批并留存日志）、异常事件处置完成率（要求安全事件的处置完成率达到100%）、策略有效性验证频率（要求每年至少开展1次零信任策略有效性验证，验证通过率不低于95%）。四、综合应用题（本大题共1小题，20分）【场景】某省级政务服务平台属于网络安全等级保护三级系统，部署在省级政务云平台上，承载1200万自然人的个人信息、30万市场主体的经营相关重要数据，现有注册用户870万，日均访问量120万次。近期该平台拟上线跨区域数据共享模块，拟与邻省政务服务平台共享15万市场主体的登记类重要数据，为跨省通办业务提供数据支撑。现需对该平台开展全面信息安全评估。请根据上述场景回答以下问题：1.请梳理本次评估需要覆盖的核心评估领域（8分）2.请设计该平台的风险评估量化计算模型，明确各维度的赋值规则（7分）3.针对跨区域数据共享场景，列出3类核心安全风险并给出对应的处置措施（5分）【参考答案】1.本次评估需覆盖8个核心领域，每个领域1分，共8分：（1）网络安全等级保护合规评估：对照等保2.0三级要求，核查平台的技术措施与管理措施的符合性，验证现有等保测评整改要求的落地情况。（2）密码应用安全性评估：对照《密码应用安全性评估规范》，核查平台国密算法的应用情况，验证密码技术在身份认证、数据加密、完整性校验等场景的应用有效性。（3）云安全评估：对照政务云安全要求，评估云服务商提供的基础设施安全能力，明确云服务商与平台运营方的安全责任边界，验证云侧安全措施的有效性。（4）数据安全评估：核查平台的数据分类分级落地情况，评估数据全生命周期各环节的安全措施有效性，重点验证重要数据与个人信息的保护能力。（5）个人信息保护影响评估：针对平台的个人信息处理活动，评估其合法性、正当性、必要性，验证个人权益保障措施的有效性，形成个人信息保护影响评估报告。（6）业务应用安全评估：针对新上线的跨区域数据共享模块，开展源代码审计、渗透测试、接口安全测试，验证模块的安全性，避免存在业务逻辑漏洞。（7）供应链安全评估：评估平台使用的软硬件产品、第三方服务的供应链安全风险，核查是否存在未授权的后门、漏洞，验证供应链厂商的安全保障能力。（8）应急能力评估：核查平台的网络安全事件应急预案完备性，重点验证数据泄露事件、系统瘫痪事件的处置流程，评估应急队伍的处置能力。2.风险评估量化计算模型及赋值规则（7分）：（1）量化模型（2分）：采用多因素加权量化模型，风险值计算公式为：风险值=资产价值×威胁发生频率×脆弱性严重程度×（1-已有安全措施有效性）根据风险值将风险划分为四个等级：0-5分为低风险、6-15分为中风险、16-25分为高风险、25分以上为极高风险。（2）各维度赋值规则（5分）：①资产价值（1分）：采用1-5分五级赋值，1分代表低价值资产，比如公开的政策文件；2分代表一般价值资产，比如普通运维文档；3分代表中等价值资产，比如非敏感的业务统计数据；4分代表高价值资产，比如非核心的个人信息、普通业务数据；5分代表极高价值资产，比如敏感个人信息、市场主体重要数据、核心业务系统权限。②威胁发生频率（1分）：采用1-5分五级赋值，1分代表几乎不会发生，年发生概率低于0.1次；2分代表很少发生，年发生概率0.1-1次；3分代表偶尔发生，年发生概率1-5次；4分代表经常发生，年发生概率5-10次；5分代