2026年7月信息安全管理体系基础真题参考答案

2026年7月信息安全管理体系基础真题参考答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。错选、多选或未选均无分。）1.在ISO/IEC27001:2022标准中，信息安全管理体系（ISMS）的过程模型基于（）。A.SDLC（软件开发生命周期）B.PDCA（计划-执行-检查-处理）C.Agile（敏捷开发）D.ITIL（信息技术基础架构库）2.信息安全的三要素（CIA）中，确保信息不被未授权的实体修改或破坏的特性是（）。A.机密性B.完整性C.可用性D.不可否认性3.根据ISO/IEC27001:2022，组织应定义信息安全风险评估的方法论。该方法论应确保风险评估产生（）。A.仅是可比较的、可重复的结果B.仅是可再现的、真实的结果C.可比较的、可重复的和可再现的结果D.符合高层管理者期望的结果4.在适用性声明（SoA）中，组织应列出（）。A.所有ISO/IEC27002中的控制措施B.所有实施的控制措施及其实施理由C.所有实施的控制措施、任何排除的控制措施以及排除的理由D.仅认为是重要的控制措施5.关于“领导力”条款（Clause5），以下哪项描述是不正确的？（）A.最高管理者应展示对信息安全管理体系承诺和领导力的证据B.最高管理者应制定信息安全方针C.最高管理者应指派一名管理者代表，并赋予其特定的角色和职责D.最高管理者必须亲自实施每一次内部审核6.风险处置的选项不包括（）。A.通过应用控制措施修改风险B.通过承担风险来保留风险C.通过避免风险源来规避风险D.通过忽略风险来消除风险7.ISO/IEC27001:2022标准中的“适用性声明”应该与（）相关联。A.信息安全方针B.风险评估结果C.业务连续性计划D.法律法规要求8.在信息安全管理中，“访问控制”的主要目的是防止（）。A.病毒感染B.未授权的访问、使用、披露、破坏、修改或检查资源C.物理设备的损坏D.数据的过度备份9.根据《中华人民共和国网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施的运营者，还应当履行（）。A.数据跨境传输安全评估义务B.每日安全检查义务C.公开源代码义务D.免费提供安全服务义务10.在ISO/IEC27002:2022的控制措施中，关于“密码技术”的控制措施主要属于（）主题。A.组织安全B.人员安全C.物理安全D.技术安全11.下列哪项不属于信息安全事件管理的阶段？（）A.发现和报告B.评估和分类C.响应和处置D.销毁和遗忘12.管理评审的输入应包括（）。A.以往管理评审的措施状态B.与信息安全管理体系相关的内外部问题变化C.风险评估和风险处置的结果D.以上所有13.关于文件的访问控制，组织应确保（）。A.所有人都可以访问所有文件B.只有发布文件的人才能访问文件C.根据分类级别限制对文件化信息的访问D.只有IT部门才能访问文件14.在供应链安全中，组织应与供应商达成协议，该协议应包括（）。A.仅包括价格和交付时间B.包括双方要实施的信息安全控制措施C.仅包括供应商的违约责任D.包括供应商的员工名单15.业务连续性管理（BCM）的主要目标是（）。A.确保IT系统永远不发生故障B.减少信息安全事件的发生频率C.在中断发生后，将信息安全和其它相关活动恢复到预定水平D.降低IT设备的采购成本16.ISO/IEC27001:2022标准中，条款8“运行”不包括（）。A.运行策划和控制B.信息安全风险评估C.事件管理D.能力建设17.关于“信息安全方针”，以下说法正确的是（）。A.必须加密存储B.应由最高管理者批准、发布并传达给所有员工C.可以只针对IT部门制定D.一旦制定，永远不能修改18.审核证据是指与审核准则有关的并且能够（）的记录、事实陈述或其他信息。A.被审核员主观想象B.被证实C.被受审核方否认D.被媒体公开19.在移动设备和远程工作中，组织应实施（）以防止设备丢失或被盗后的信息泄露。A.禁止使用移动设备B.远程擦除或锁定技术C.强制使用双卡手机D.仅允许在办公室连接设备20.记录控制的主要目的是为了提供符合要求和信息安全管理体系有效运行的（）。A.理论依据B.书面证据C.口头承诺D.猜测数据二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中有至少两个是符合题目要求的，请将其代码填在题后的括号内。错选、多选、少选或未选均无分。）21.ISO/IEC27001:2022标准中，信息安全管理体系（ISMS）的范围确定应考虑（）。A.组织内部不同的业务单元B.组织的边界、适用性以及信息安全方针C.组织感兴趣的外部方D.组织的地理位置E.员工的年龄分布22.信息安全风险管理过程包括以下哪些步骤？（）A.上下文建立B.风险评估C.风险处置D.风险接受E.风险沟通和咨询23.根据ISO/IEC27002:2022，控制措施被归类于以下哪些主题？（）A.组织（5.）B.人员（6.）C.物理（7.）D.技术（8.）E.外部方（4.）24.在处理个人信息时，依据《个人信息保护法》，处理个人信息应当具有（）等目的之一。A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件D.为公共利益实施新闻报道、舆论监督等行为E.仅为了娱乐目的25.内部信息安全审核的目的包括（）。A.确定ISMS是否符合：1)组织自身对ISMS的要求，包括本标准的要求；2)策划的安排；B.向管理者报告审核结果，以便启动必要的纠正措施C.验证外部法律法规的合规性D.惩罚违规员工E.评估控制措施的有效性26.常见的身份鉴别方法包括（）。A.口令B.持有物（如智能卡）B.生物特征D.基于位置的鉴别E.基于行为的鉴别27.关于日志记录，以下说法正确的有（）。A.应记录用户活动、异常情况、故障和信息安全事件B.日志应包含必要的上下文信息（如用户ID、时间、动作）C.日志应定期审查D.日志可以随意删除E.日志信息的存储和保护应防止篡改和未授权访问28.系统获取、开发和维护过程中的安全考虑包括（）。A.输入数据验证B.输出数据验证C.敏感信息保护D.密码控制E.开发环境的安全29.法律法规对信息安全的合规性要求通常涉及（）。A.知识产权保护B.保护组织记录C.数据保护和个人信息隐私D.密码管理措施E.防止滥用信息处理设施30.实施信息安全管理体系（ISMS）的潜在益处包括（）。A.向相关方提供信息安全已得到管理的信心B.满足法律法规和合同要求C.遵循原则，鼓励在组织内通过流程改进进行风险管理D.由于流程标准化，可能产生财务收益E.确保信息永远不会丢失三、判断题（本大题共15小题，每小题1分，共15分。请判断下列各题的正误，正确的打“√”，错误的打“×”。）31.ISO/IEC27001标准不仅适用于大型组织，也适用于中小型企业。（）32.风险评估只能由组织内部的员工完成，不能聘请外部专家。（）33.信息安全方针是一份高层级的文件，它为组织的信息安全管理提供了方向和原则。（）34.只要购买了防火墙和杀毒软件，就符合了ISO/IEC27001标准的要求。（）35.所有的信息安全风险都必须降低到零，组织才能通过认证。（）36.适用性声明（SoA）是动态的，应随着业务环境、技术或威胁的变化而更新。（）37.管理者代表必须全职负责信息安全管理体系，不能兼任其他职务。（）38.组织应建立成文的信息安全角色和职责，并将其分配给人员。（）39.备份数据的唯一目的是为了防止硬件故障。（）40.在任何情况下，组织都不应将敏感信息外包给第三方处理。（）41.审核员在审核时，如果发现受审核方有不符合项，应立即帮助受审核方制定解决方案。（）42.物理安全入口控制可以防止未授权人员进入敏感区域。（）43.防恶意软件软件只需要安装在文件服务器上，不需要安装在员工个人电脑上。（）44.信息安全事件响应计划应包括在事件发生后向相关方报告的流程。（）45.能力建设是指确保人员具备执行其任务所需的知识和技能，这可以通过培训来实现。（）四、填空题（本大题共10小题，每小题1分，共10分。请在每小题的空格中填上正确答案。）46.ISO/IEC27000系列标准中，提供概述和词汇的标准是ISO/IEC______。47.信息安全属性中，确保信息在需要时能够被授权实体使用的特性称为______。48.在PDCA循环中，“C”代表______，用于监视和测量ISMS的绩效。49.风险评估通常包括风险识别、风险分析和______三个步骤。50.组织应保留成文信息作为符合本标准要求的证据，这通常被称为______。51.《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度，对数据实行______保护。52.在访问控制中，主体对客体执行操作的权限被定义为______。53.信息安全管理体系的有效性可以通过______的减少程度来衡量。54.供应商关系中的信息安全协议应明确______的职责。55.为了防止电力中断，组织应配备______设备。五、简答题（本大题共5小题，每小题6分，共30分。）56.简述ISO/IEC27001:2022标准中“策划”阶段（Clause6）的主要内容。57.列出至少五种常见的信息安全威胁源。58.简述适用性声明（StatementofApplicability,SoA）的作用及其应包含的主要内容。59.什么是“业务连续性”？它与信息安全管理有什么关系？60.简述在人员安全方面，组织在员工终止聘用时应该采取哪些安全措施？六、综合应用题（本大题共3小题，共55分。）61.（15分）某中型软件开发公司“TechSoft”计划建立信息安全管理体系。公司拥有100名员工，包括开发人员、销售人员和管理人员。公司主要业务是为金融行业开发定制化软件，涉及大量客户敏感数据。公司目前面临的主要挑战包括：开发代码泄露风险、员工远程办公安全风险以及合规性压力（需符合ISO/IEC27001及《网络安全法》）。(1)请协助TechSoft公司确定ISMS的范围（至少列出两个关键维度）。（3分）(2)在进行风险评估时，针对“开发代码泄露”这一风险，请列出可能的资产、威胁、脆弱性以及现有的控制措施。（6分）(3)基于ISO/IEC27001:2022，TechSoft公司需要从哪些方面建立“信息安全组织架构”？请列举至少三个关键角色或机构。（6分）62.（20分）某电商平台在“双十一”促销期间遭遇了大规模的数据泄露事件。经调查，原因是由于一个未及时修补的Web应用漏洞被黑客利用，导致大量用户的姓名、手机号和地址信息被窃取。该事件引发了监管部门的介入调查和用户的集体诉讼。(1)根据信息安全事件管理流程，请描述该电商平台在事件发生后应采取的即时响应步骤。（8分）(2)针对此次事件，请依据ISO/IEC27002:2022中的控制措施，提出至少四项技术或管理上的改进建议，以防止类似事件再次发生。（8分）(3)此次事件涉及大量用户个人信息，根据《中华人民共和国个人信息保护法》，该电商平台在发生或可能发生个人信息泄露时，应当履行哪些通知义务？（4分）63.（20分）某金融机构A计划将部分非核心业务系统外包给云服务提供商B。A机构非常关注云环境下的数据安全。(1)在建立外包关系前，A机构应对B提供商进行哪些方面的尽职调查或评估？（6分）(2)双方签署的合同中，关于信息安全应包含哪些关键条款？（6分）(3)在云服务使用过程中，A机构如何确保其数据的剩余信息保护（即数据在不再需要时被安全清除）？请结合ISO/IEC27002的相关控制措施进行说明。（8分）七、参考答案及解析一、单项选择题答案：1-5BBCBD6-10DCBAA11-15DDCBC16-20DBBBB解析：1.ISO/IEC27001标准基于PDCA（Plan-Do-Check-Act）模型，这是管理体系国际通用的过程模型。2.完整性是指保护资产免受未授权的修改、破坏或确保数据的一致性。3.标准要求风险评估方法产生可比较、可重复和可再现的结果，以确保风险分析的客观性和一致性。4.适用性声明（SoA）必须包含所有选用的控制措施、任何排除的控制措施以及排除的理由。5.最高管理者负责展示领导力，但具体的审核工作通常由具备能力的审核员执行，最高管理者不必亲自进行每一次内部审核。6.风险处置选项通常包括：修改风险（应用控制）、保留风险（承担）、规避风险（停止活动）。“忽略风险”不是一种正式的风险处置策略，保留风险是基于知情决策的主动行为。7.SoA是风险评估和风险处置过程的直接输出，它连接了风险分析与控制措施的选择。8.访问控制的目的是防止未授权的访问，涵盖读取、写入、修改、删除等操作。9.《网络安全法》要求关键信息基础设施运营者履行数据跨境传输安全评估等特殊义务。10.密码技术属于技术安全控制措施。11.事件管理通常包括发现和报告、评估和决策、响应、事后学习（吸取教训）。“销毁和遗忘”不是标准阶段。12.管理评审输入应全面，包括以往评审结果、内外部变化、风险状况、审核结果等。13.文件访问控制应基于信息的分类级别，实施分级保护。14.供应链安全协议必须明确双方的信息安全责任，不仅仅是商业条款。15.BCM的目标是在中断后恢复业务能力，而不是保证系统永远不故障。16.条款8“运行”包括运行策划、风险评估、事件处置等，但“能力建设”属于条款7“支持”。17.方针必须由最高管理者批准并全员传达，它是ISMS的最高纲领。18.审核证据必须是客观的、可被证实的记录或陈述。19.远程擦除是移动设备安全管理的关键控制措施，用于应对设备丢失。20.记录是提供符合性和有效性的书面证据，是可追溯性的基础。二、多项选择题答案：21.ABCD22.ABCDE23.ABCD24.ABCD25.ABE26.ABCDE27.ABCE28.ABCDE29.ABCDE30.ABCD解析：21.ISMS范围界定需考虑业务单元、边界、外部方、地理位置等，员工年龄通常不是范围界定的直接技术因素。22.完整的风险管理过程包含上下文、评估、处置、接受及沟通。23.ISO/IEC27002:2022的四大主题是组织、人员、物理、技术。24.《个人信息保护法》规定了处理个人信息的合法性基础，包括合同必需、法定职责、公共卫生、公共利益等，单纯的娱乐目的若未取得同意可能不合规。25.内审目的是验证符合性和有效性，向管理者报告，并启动改进。验证外部合规性通常也属于内审范畴，但主要目的是验证ISMS本身。惩罚员工不是内审的直接目的。26.身份鉴别因素包括知识（口令）、拥有（卡）、特征（生物）、位置、行为等。27.日志应保护防篡改，不能随意删除。28.系统开发生命周期安全涵盖输入输出验证、敏感数据保护、加密及开发环境安全。29.知识产权、记录保护、隐私、密码、防滥用均是常见的合规领域。30.ISMS能带来信心、合规、流程改进和财务收益，但不能保证“信息永不丢失”（那是零风险，不可能）。三、判断题答案：31.√32.×33.√34.×35.×36.√37.×38.√39.×40.×41.×42.√43.×44.√45.√解析：31.ISMS适用于所有类型和规模的组织。32.风险评估可以聘请外部专家或机构协助，组织保留最终决策权。33.方针定义了目标和原则，是高层文件。34.ISO/IEC27001是管理体系标准，不仅仅是购买产品，更强调过程和管理。35.风险不可能为零，标准要求将风险降低到可接受水平。36.SoA是动态文件，需随环境变化而更新。37.管理者代表可以有其他职责，但必须确保ISMS的责任。38.明确的角色和职责是ISMS运行的基础。39.备份目的包括防硬件故障、数据逻辑错误、灾难恢复、人为误删等。40.外包是常见的业务模式，但需要管理外包带来的安全风险。41.审核员应保持独立性，不应直接为受审核方制定解决方案，以免影响公正性。42.物理入口控制是物理安全的核心部分。43.防恶意软件应覆盖所有vulnerable端点，包括个人电脑。44.向相关方报告是事件响应的重要环节。45.培训是提升能力的关键手段。四、填空题答案：46.2700047.可用性48.Check（检查）49.风险评价50.记录51.分类分级52.访问权限53.剩余风险54.供应商（或双方）55.不间断电源（UPS）五、简答题56.ISO/IEC27001:2022标准中“策划”阶段（Clause6）主要包括：(1)信息安全风险评估：组织应定义并应用信息安全风险评估过程，包括风险识别、风险分析和风险评价。(2)信息安全风险处置：组织应定义并应用信息安全风险处置过程，选择适当的风险处置选项（修改、保留、规避、分享），并确定控制措施以实现风险处置准则。(3)策划阶段要求组织保留成文信息作为风险评估和处置过程的证据。57.常见的信息安全威胁源包括：(1)内部人员（如员工疏忽、恶意内部人员）；(2)外部攻击者（如黑客、商业间谍）；(3)自然灾害（如火灾、洪水、地震）；(4)技术故障（如硬件老化、软件缺陷）；(5)第三方服务商（如供应商违约）。58.适用性声明（SoA）的作用及内容：作用：SoA是ISMS的核心文档之一，它向相关方展示了组织为应对信息安全风险而选择了哪些控制措施，以及为什么选择这些措施。它是连接风险评估结果与控制措施实施的桥梁。主要内容：(1)从ISO/IEC27001附录A（或其他控制集）中选择的所有控制措施清单；(2)针对每个选定的控制措施，说明其实施的理由（通常关联到风险评估结果）；(3)组织决定不实施的控制措施清单及其排除的理由；(4)组织可能实施的其他附加控制措施。59.业务连续性及其与信息安全管理的关系：业务连续性（BC）是指在发生中断后，组织能够将关键业务功能在预定时间内恢复到可接受水平的能力，旨在减少业务中断对组织的影响。关系：(1)依赖性：业务连续性管理高度依赖信息安全管理。如果信息系统瘫痪或数据丢失，业务连续性将无法实现。(2)共同目标：两者都旨在保护组织的资产和利益，确保组织能够持续运营。(3)整合：在ISO/IEC27001中，业务连续性的信息安全准备是重要的控制领域（如A.5.29及A.8.相关控制），ISMS为BC提供技术和管理层面的保障。60.员工终止聘用时的安全措施：(1)知识产权归还：确保员工归还所有的组织资产，包括设备、文档、软件访问令等。(2)权限撤销：立即撤销该员工对信息系统和物理区域的访问权限（如注销账号、回收门禁卡）。(3)保密义务：重申员工的保密义务（NDA），确保其在离职后仍遵守。(4)通知相关方：通知其他员工或客户该人员已离职，防止社会工程学攻击。(5)如有必要，进行离职面谈，再次强调安全责任。六、综合应用题61.解答：(1)ISMS范围确定：物理位置：公司总部办公大楼、研发中心数据中心。业务部门：核心软件开发部、IT运维部、客户服务部。资产：涉及金融行业客户数据的服务器、数据库、开发代码库、办公终端。(2)风险分析（开发代码泄露）：资产：核心源代码、客户敏感数据模型。威胁：外部黑客攻击、内部开发人员恶意泄露、第三方合作伙伴违规。脆弱性：代码库权限配置过宽、缺乏代码泄露检测工具、员工安全意识薄弱、开发环境未隔离。现有控制措施：员工签署保密协议、代码库有基本的账号密码认证。(3)信息安全组织架构关键角色/机构：信息安全委员会：由高层管理者组成，负责决策和资源分配。信息安全经理（管理者代表）：负责建立、实施、维护和改进ISMS。信息安全专员/团队：负责日常技术运维、漏洞扫描、事件响应。各部门安全联络员：负责传达安全要求，收集部门内的安全问题。风险评估小组：负责定期进行风险评估工作。62.解答：(1)即时响应步骤：1.检测与确认：确认Web应用漏洞被利用的事实，评估受影响范围。2.抑制：立即切断受影响系统的对外网络连接，或下线受损服务，防止数据继续流出。3.根除：修补漏洞（打补丁），清除系统中的后门或恶意脚本。4.恢复：从干净的备份中恢复系统和数据，并验证系统已恢复正常。5.通知：按照法律法规要求，向监管部门报告，并准备通知受影响的用户。(2)改进建议（基于ISO/IEC27002:2022）：1.漏洞管理（A.8.8）：建立定期的漏洞扫描和补丁管理流程，确保在“双十一”等大促前完成系统加固。2.安全开发（A.8.9）：在软件开发生命周期中引入安全测试（SAST/DAST），从源头减少漏洞。3.应用加固（A.8.