2025年信息系统安全专家｜网络安全法与密码应用安全评估专题试卷（含答案解析）

2025年信息系统安全专家｜网络安全法与密码应用安全评估专题试卷（含答案解析）适用考试：信息系统安全工程师、网络安全等级保护测评师、商用密码应用安全性评估人员、网络安全专项考核考核范围：《网络安全法》《密码法》《商用密码管理条例》、密评规范、等保密评联动、关键信息基础设施密码安全、密码应用合规评估试卷结构：单选20题、多选10题、判断10题、案例分析2题（满分100分）一、单项选择题（每题2分，共40分）1.根据《网络安全法》，关键信息基础设施运营者开展网络安全定期评估的最长周期为（）A.1年B.2年C.3年D.4年答案：C解析：关键信息基础设施运营者应当在等级保护基础上，每三年至少开展一次网络安全检测评估，及时排查安全风险隐患。2.《中华人民共和国密码法》正式施行时间为（）A.2019年10月1日B.2020年1月1日C.2021年1月1日D.2022年1月1日答案：B解析：《密码法》由十三届全国人大常委会第十四次会议通过，2020年1月1日起正式施行，是我国密码领域首部基础性、综合性法律。3.根据2025年《关键信息基础设施商用密码使用管理规定》，关键信息基础设施运行后，开展商用密码应用安全性评估的最低频次为（）A.每半年1次B.每年1次C.每两年1次D.每三年1次答案：B解析：关键信息基础设施建成运行后，运营者应当自行或委托第三方机构每年至少开展1次商用密码应用安全性评估，保障密码系统有效运行。4.商用密码应用安全性评估的核心依据国家标准是（）A.GB/T22239B.GB/T39786C.GB/T25070D.GB/T33561答案：B解析：GB/T39786-2021《信息安全技术信息系统密码应用基本要求》是商用密码应用安全评估的核心判定标准，明确四级密码应用安全要求。5.以下不属于我国商用密码对称加密算法的是（）A.SM1B.SM4C.AESD.SM7答案：C解析：SM1、SM4、SM7为我国自主可控商用对称密码算法；AES为国外通用对称加密算法，不属于国密算法体系。6.我国商用密码非对称加密算法为（）A.SM2B.SM3C.SM4D.SM9答案：A解析：SM2为椭圆曲线非对称加密/签名算法；SM3为哈希摘要算法，SM4为对称加密算法，SM9为标识密码算法。7.密码法规定，国家对密码实行分类管理，不包括以下哪类（）A.核心密码B.普通密码C.商用密码D.民用密码答案：D解析：我国密码分为核心密码、普通密码、商用密码三类，无民用密码分类，核心、普通密码用于涉密场景，商用密码用于非涉密公共场景。8.关键信息基础设施上线运行前，必须完成的密码安全工作是（）A.密码设备采购备案B.商用密码应用安全性评估C.密码算法自主替换D.密码人员持证上岗答案：B解析：关键信息基础设施运行前，必须完成商用密码应用安全性评估，未通过评估不得投入运行，属于法定强制性要求。9.SM3算法的主要功能是（）A.数据对称加密B.数据哈希摘要、完整性校验C.身份签名认证D.密钥协商答案：B解析：SM3是国产密码哈希算法，主要用于数据完整性校验、数字摘要、防篡改，广泛应用于电子签章、数据校验场景。10.根据《网络安全法》，网络运营者未履行网络安全保护义务，情节严重的，最高罚款金额为（）A.50万元B.100万元C.200万元D.500万元答案：B解析：网络运营者未落实安全保护义务，拒不整改或情节严重的，处二十万元以上一百万元以下罚款。11.商用密码应用安全性评估等级共分为（）A.2级B.3级C.4级D.5级答案：C解析：依据GB/T39786，信息系统密码应用安全等级分为一级、二级、三级、四级，等级越高，密码安全防护要求越严格。12.以下哪种技术可同时实现数据真实性与完整性保护（）A.MAC消息认证码B.单纯加密算法C.数据脱敏D.日志审计答案：A解析：MAC消息认证码可通过密钥运算生成校验值，同时校验数据完整性、验证发送方真实性，是密码应用基础防护技术。13.密码评估中，不属于密码应用安全五大评估维度的是（）A.物理和环境安全B.网络和通信安全C.人员行为安全D.应用和数据安全答案：C解析：密评五大维度：物理环境、网络通信、设备计算、应用数据、管理制度，无人员行为安全独立评估维度。14.电子政务电子认证服务机构的认定对象包括（）A.仅经营性企业B.仅事业单位C.经营性企业和公共服务事业单位D.政府机关答案：C解析：根据密码法配套规定，电子政务电子认证服务认定覆盖经营性企业、提供公共服务的事业单位两类主体。15.密钥协商、身份认证的核心协议类型是（）A.握手协议B.密码规格变更协议C.报警协议D.记录层协议答案：A解析：密码安全通信中，握手协议主要完成身份认证、密钥协商、算法协商，是安全通信建立的核心环节。16.信息系统重要数据传输环节，优先采用的防护方式是（）A.明文传输+日志记录B.国密算法加密传输C.普通加密传输D.仅访问控制防护答案：B解析：关键信息基础设施、重要数据系统，必须优先采用国产商用密码算法实现传输加密，禁止依赖不安全通用算法。17.《商用密码管理条例》最新修订施行时间为（）A.2020年B.2022年C.2023年D.2024年答案：C解析：新版《商用密码管理条例》2023年7月1日起施行，强化商用密码合规应用、安全评估、监督管理要求。18.密码应用安全评估中，三级系统相较于二级系统，新增的核心要求是（）A.基础加密防护B.密码动态监测与应急处置C.简单身份认证D.基础日志审计答案：B解析：三级密码应用系统要求建立密码安全动态监测、风险预警、应急处置机制，二级系统仅需基础防护与定期核查。19.未经许可擅自从事商用密码检测活动的，监管部门首要处罚措施是（）A.警告整改B.没收违法所得、罚款C.吊销营业执照D.刑事拘留答案：B解析：无证开展商用密码检测、认证活动的，由密码管理部门没收违法所得，并处相应罚款，情节严重的追责问责。20.数据存储环节，国密算法主要用于防范的核心风险是（）A.网络卡顿B.数据泄露、篡改C.系统宕机D.访问超时答案：B解析：国密加密存储可有效防范数据静态泄露，SM3哈希校验可防范数据篡改，是数据静态安全的核心防护手段。二、多项选择题（每题3分，共30分，多选、少选、错选不得分）1.我国商用密码核心算法体系包含（）A.SM1/SM4/SM7对称加密算法B.SM2非对称签名加密算法C.SM3哈希摘要算法D.SM9标识密码算法答案：ABCD解析：国产商用密码基础算法体系涵盖对称加密、非对称加密、哈希摘要、标识密码四大类，全面覆盖加密、认证、校验场景。2.商用密码应用安全性评估的五大评估维度包括（）A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全、管理制度安全答案：ABCD解析：密评全覆盖五大维度，从硬件环境、网络传输、设备运行、数据应用、制度管理全方位核查密码应用合规性与安全性。3.根据《网络安全法》，网络运营者的核心安全义务包括（）A.落实等级保护制度B.留存网络日志不少于6个月C.及时处置安全风险D.保护用户个人信息安全答案：ABCD解析：网络运营者需全面落实等保、日志留存、风险处置、用户信息保护等法定安全义务，违规需承担行政处罚。4.关键信息基础设施密码安全禁止性行为包括（）A.未通过密评擅自上线运行B.违规使用未经认可的密码算法C.密码密钥随意存储、泄露D.定期开展密码安全自查答案：ABC解析：定期自查是合规义务，其余三项均为密码安全违规行为，会导致系统不合规、存在重大安全隐患。5.密码应用中，常见的数据安全防护场景包括（）A.传输加密B.存储加密C.数据完整性校验D.身份密码认证答案：ABCD解析：商用密码全面覆盖数据传输、静态存储、完整性防篡改、用户身份认证四大核心数据安全场景。6.商用密码应用安全性评估的适用对象包括（）A.关键信息基础设施B.等级保护三级及以上信息系统C.政务涉密信息系统D.普通个人办公设备答案：ABC解析：个人普通办公设备无强制密评要求，关键设施、高等级保系统、政务涉密系统需强制开展密评。7.密码法规定的密码监督管理主体包括（）A.国家密码管理部门B.网信部门C.公安部门D.市场监管部门答案：ABCD解析：多部门协同监管，密码管理部门主管，网信、公安、市场监管部门依据职责开展联合监督执法。8.以下属于密码应用安全风险的有（）A.算法选用不合规B.密钥管理不规范C.密码设备过期未检测D.无密码安全管理制度答案：ABCD解析：算法违规、密钥泄露、设备失效、制度缺失，均为密码应用高频安全风险，是密评核心核查项。9.国密算法可实现的安全能力包括（）A.数据机密性B.数据完整性C.身份真实性D.行为不可否认性答案：ABCD解析：完整国密应用体系可同时实现机密性、完整性、真实性、不可否认性四大网络安全核心能力。10.密评整改闭环流程包含（）A.风险排查识别B.问题整改优化C.复测验证D.资料归档留存答案：ABCD解析：密评实行PDCA闭环管理，排查、整改、复测、归档全流程闭环，确保密码安全隐患彻底清零。三、判断题（每题1分，共10分）1.商用密码应用安全性评估仅需在系统上线前开展，运行后无需重复评估。（）答案：错误解析：关键信息基础设施运行后每年至少1次常态化密评，系统重大变更、升级后需追加专项评估。2.SM2、SM3、SM4均为我国自主可控的商用密码算法，属于合规优先选用算法。（）答案：正确3.《网络安全法》规定，所有网络系统均需开展商用密码应用安全性评估。（）答案：错误解析：仅关键信息基础设施、高等级保系统、重要数据系统实行强制密评，普通小型系统无强制要求。4.密码密钥可以随意明文存储、随意传输，无需专项防护。（）答案：错误解析：密钥是密码安全核心，必须加密存储、加密传输、专人管控、定期轮换，严禁明文暴露。5.数据完整性校验可以有效防范数据被恶意篡改、非法伪造。（）答案：正确6.已经通过等级保护测评的系统，可免除商用密码应用安全性评估。（）答案：错误解析：等保测评与密评是两套独立合规体系，不可相互替代，高等级系统需同时完成两项测评。7.商用密码检测机构必须取得国家法定资质，方可开展密评服务。（）答案：正确8.密码法核心原则是：总体国家安全观、统一领导、分类管理、依法监管、自主可控。（）答案：正确9.系统仅使用国外加密算法，只要加密强度高，即可通过密评。（）答案：错误解析：关键信息基础设施、政务系统必须优先使用国产商用密码算法，单纯国外算法不符合密评合规要求。10.日志留存、访问控制属于密码应用管理制度安全维度的核查内容。（）答案：正确四、案例分析题（每题10分，共20分）案例一某市级政务服务平台（三级等保、关键信息基础设施），系统上线前未开展商用密码应用安全性评估，直接投入运行；平台用户数据传输采用AES国外算法加密，用户密码明文存储，无密钥管理制度，未开展年度密码安全复测。问题：请指出该平台存在的密码安全违规问题，并说明合规整改要求。参考答案：1.核心违规问题（1）上线前未开展强制商用密码应用安全性评估，违反关键信息基础设施密评准入规定；（2）重要政务数据传输使用国外AES算法，未采用国产合规国密算法，不符合自主可控要求；（3）用户核心密码明文存储，无加密防护，存在重大数据泄露风险；（4）无密钥管理制度，密钥管控缺失，存在密钥泄露、滥用风险；（5）未按要求开展年度密评复测，常态化安全监管缺失。2.合规整改要求（1）立即暂停系统违规运行，委托资质机构开展专项密评，完成隐患整改后方可合规运行；（2）替换SM4国产对称算法实现数据传输、存储加密，实现密码算法自主可控；（3）对用户密码、敏感数据进行加密存储，启用SM3算法实现数据完整性校验；（4）建立密钥生成、存储、传输、轮换、销毁全流程管理制度，落实专人专管；（5）建立常态化评估机制，每年至少开展1次密评，系统变更升级后追加专项评估。案例二某企业自建业务系统，已通过三级等级保护测评，但未开展密码应用安全评估；系统存在身份认证单一、无数字签名、数据篡改无追溯、密码设备超期未检测等问题。企业认为等保已通过，无需开展密评工作。问题：该企业认知是否正确？结合法规说明理由，并给出完整整改方案。参考答案：1.企业认知错误等级保护测评与商用密码应用安全性评估是相互独立、不可替代的两项法定合规要求。等保侧重整体网络安全防护，密评侧重密码算法、密码设备、密钥管理、密码应用合规性，高等级信息系统必须双测评合规。2.现存安全隐患身份认证强度不足、无数字签名导致行为不可否认、数据篡改无追溯、密码设备失效引发加密风险。3.整改方案（1）立即委托合规资质机构开展商用