2026年7月信息安全管理体系基础真题及答案

2026年7月信息安全管理体系基础真题及答案一、单项选择题（本大题共20小题，每小题1.5分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。错选、多选或未选均无分。）1.在ISO/IEC27001:2022标准中，信息安全管理体系（ISMS）的PDCA循环模型中，“Check（检查）”阶段主要对应的活动是（）。A.确定信息安全方针、目标、控制措施B.实施信息安全方针、控制措施、过程和程序C.对照方针、目标和实践经验进行监视和测量，并报告结果D.采取纠正和预防措施，以实现持续改进2.根据ISO/IEC27000系列标准的定义，信息是指在任何形式（如电子、纸质、口头等）中被组织所持有、处理或存储的（）。A.硬件资产B.知识产权C.数据或知识D.软件程序3.在风险评估过程中，风险值通常是通过计算资产的（）与威胁利用脆弱性造成的影响的乘积得出的。A.物理价值B.购置成本C.市场价格D.相对价值4.ISO/IEC27001:2022标准将控制措施归纳为（）个主题。A.4B.6C.14D.935.以下哪项不属于信息安全的三要素（CIA）？（）A.机密性B.完整性C.可用性D.可追溯性6.在ISMS内部审核中，审核员不应审核自己的工作，这遵循了（）原则。A.独立性B.基于证据的方法C.公正性D.保密性7.组织在处理信息安全事件时，首先应进行的活动是（）。A.消除事件根源B.评估和确定事件等级C.记录并报告事件D.恢复业务连续性8.关于适用性声明，以下描述正确的是（）。A.SoC是必须对外公开发布的法律文件B.SoC列出了组织认为适用的所有控制措施，包括未实施的理由C.SoC一旦签署，在任何情况下都不得修改D.SoC只包含ISO/IEC27001附录A中的控制措施，不包含自定义控制措施9.访问控制策略中，基于“需要知道”原则分配访问权限，这主要体现了信息安全的（）属性。A.可用性B.机密性C.完整性D.可问责性10.业务连续性计划（BCP）中，用于确保关键业务功能在中断后能够在预定时间内恢复的目标被称为（）。A.RTO（恢复时间目标）B.RPO（恢复点目标）C.MTD（最大容忍中断时间）D.WRT（工作恢复时间）11.在供应商关系中，组织应通过（）来降低第三方服务带来的信息安全风险。A.签订详细的保密协议（NDA）B.完全依赖供应商的合规声明C.定期进行供应商风险评估和审计D.仅选择价格最低的供应商12.密码策略是ISMS的重要组成部分，以下关于密码管理的做法中，不符合最佳实践的是（）。A.强制要求首次登录时修改默认密码B.允许用户重复使用最近5次使用过的密码C.设置密码最小长度为8位，并包含大小写字母、数字和特殊字符D.在系统后台存储密码的哈希值而非明文13.管理评审是ISMS最高管理层的重要职责，管理评审的输入应包括（）。A.仅包括内部审核结果B.仅包括客户反馈C.包括以往管理评审的跟踪措施、变更情况、风险评估结果等D.仅包括财务预算14.根据ISO/IEC27002:2022，关于“信息安全意识、教育和培训”的控制措施，以下说法错误的是（）。A.所有员工和相关方在访问信息之前，应接受适当的安全意识培训B.培训应定期进行，且在相关程序或技术发生重大变化时进行C.只有IT部门的人员需要接受技术性的安全培训D.应保留培训记录作为证据15.资产清单是信息安全管理的基础，资产清单中通常不需要包含的信息是（）。A.资产的所有者B.资产的分类分级C.资产的生产厂商联系电话D.资产的物理位置16.风险处理的方法不包括（）。A.规避风险B.降低风险C.接受风险D.忽略风险17.在变更管理中，为了防止未经授权的修改导致系统故障或安全漏洞，所有变更都应经过（）。A.自动化脚本直接部署B.紧急变更流程C.测试、审批和记录D.开发人员口头同意18.关于日志记录和监控，以下做法正确的是（）。A.为了节省存储空间，仅记录系统登录失败的日志B.日志文件应存储在本地服务器，且不设置任何访问保护C.关键系统的日志应实时同步到独立的安全日志服务器D.日志保留时间可以随意设定，无需考虑法规要求19.物理安全是ISMS的重要组成部分，以下哪项不属于物理安全控制措施？（）A.机房门禁系统B.防火墙配置C.视频监控D.机房防雷接地20.在移动设备远程擦除策略中，触发擦除操作的条件通常不包括（）。A.设备丢失或被盗报告B.设备连续多次解锁失败C.用户正常的软件升级D.合同终止或人员离职二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在题后的括号内。错选、多选、少选或未选均无分。）21.ISO/IEC27001:2022标准中，领导层的职责包括（）。A.承诺建立、实施、维护和持续改进ISMSB.制定信息安全方针C.确保分配了ISMS所需的资源D.指派一名管理者代表E.亲自编写所有程序文件22.信息安全事件管理的生命周期通常包括（）。A.发现和报告B.评估和分类C.响应D.经验教训总结E.彻底删除所有日志23.建立ISMS的范围和边界时，组织需要考虑的因素包括（）。A.组织的业务目标、战略和风险B.组织的结构、位置、资产和技术C.法律法规和合同要求D.外部利益相关方的观点E.仅考虑IT部门的意见24.风险评估的方法论应包括（）。A.确定风险评估的范围和边界B.识别资产、威胁和脆弱性C.识别现有的控制措施D.分析和评价风险E.风险处理决策25.以下哪些属于ISO/IEC27002:2022中“组织控制措施”主题下的控制措施？（）A.信息安全策略B.信息安全角色和职责C.分离职责D.管理层承诺E.密码学控制26.为了保障信息的完整性，可以采取的技术手段包括（）。A.使用数字签名B.使用校验和或哈希函数C.使用版本控制系统D.使用防病毒软件E.使用加密技术保护传输数据27.在网络安全方面，防火墙的主要功能包括（）。A.访问控制B.网络地址转换（NAT）C.流量监控和日志记录D.防止内部攻击E.修复操作系统漏洞28.符合性是ISMS的重要组成部分，组织应确保其符合（）。A.相关的法律和法规要求B.合同义务C.知识产权保护要求D.员工行为准则E.供应商的市场价格要求29.人力资源安全在员工离职阶段应采取的措施包括（）。A.收回发布的物理资产B.撤销访问权限C.通知相关人员离职信息D.保留离职员工的账号以备查询E.进行离职面谈以回顾安全职责30.关于备份策略，正确的描述包括（）。A.应定期测试备份的恢复有效性B.备份介质应存放在安全的地点，最好是异地C.备份频率应基于RPO（恢复点目标）确定D.只需要备份电子数据，无需备份纸质文档E.应对备份数据进行加密保护三、判断题（本大题共10小题，每小题1分，共10分。请判断下列说法的正误，正确的选“A”，错误的选“B”，并将代码填在题后的括号内。）31.ISO/IEC27001标准不仅关注IT安全，还涵盖了物理安全、人员安全以及法律合规等多个方面。（）32.风险评估是一个一次性的活动，只要在ISMS建立初期做一次即可。（）33.资产所有者负责资产的分类分级，并确定相应的保护要求。（）34.只要使用了最先进的防火墙和入侵检测系统，组织就不需要再制定信息安全方针了。（）35.适用性声明必须包含ISO/IEC27001附录A中的所有93项控制措施。（）36.管理者代表必须是全职的信息安全经理，不能由其他高管兼任。（）37.拒绝服务攻击主要破坏的是信息的可用性。（）38.组织在实施控制措施时，必须严格按照ISO/IEC27002的顺序进行，不得调整。（）39.所有的信息安全事件都必须向执法机关报告。（）40.文件化信息是指组织需要控制和维护的信息及其承载介质。（）四、填空题（本大题共10小题，每小题1.5分，共15分。请将答案写在题中的横线上。）41.信息安全管理体系（ISMS）是基于______________（PDCA）模型进行过程管理的。42.在风险评估公式中，风险=威胁发生的可能性×______________×资产价值。43.ISO/IEC27001:2022标准中，控制措施被分为4个主题：组织、人员、物理和______________。44.______________是指确保信息仅能被被授权的个人、实体或进程访问，且仅能以被授权的方式进行。45.当组织决定接受风险时，必须获得______________的批准。46.为了防止未授权访问，系统在登录失败达到一定次数后应采取______________措施。47.信息安全方针应由______________批准发布。48.______________是指一种系统性的、独立的并形成文件的过程，用于获取审核证据并对其进行客观评价。49.在供应链安全中，组织应与供应商建立______________协议，明确双方的安全责任。50.业务连续性管理（BCM）旨在通过预防和恢复控制措施，将信息安全事件对业务的影响降至______________。五、简答题（本大题共5小题，每小题6分，共30分。）51.请简述信息安全的三个基本属性（CIA）及其含义。52.在ISO/IEC27001:2022中，PDCA循环的四个阶段分别包含哪些主要活动？53.请列举风险处理的四种主要策略，并简要说明其含义。54.简述ISMS内部审核的目的和依据。55.什么是适用性声明？它在ISMS中的作用是什么？六、综合案例分析题（本大题共2小题，每小题27.5分，共55分。）56.案例背景：某大型电子商务公司A（以下简称A公司）近期通过了ISO/IEC27001信息安全管理体系认证。为了提升业务处理能力，A公司决定将部分客户数据处理业务外包给数据处理公司B（以下简称B公司）。A公司与B公司签订了合同，并在合同中规定了服务级别协议（SLA）和赔偿条款，但未详细涉及信息安全责任和审计权利。在合作期间，A公司未对B公司的信息安全状况进行详细的背景调查和现场审计。半年后，A公司发现部分客户的信用卡信息出现在暗网交易平台上。经调查，是由于B公司员工为了方便工作，私自将包含客户信息的数据库导出并上传至个人的云存储空间，且该云存储账号使用了弱密码，导致数据泄露。请根据上述案例，回答以下问题：(1)请指出A公司在供应商关系管理中存在的至少3个主要失误。（9分）(2)针对上述失误，结合ISO/IEC27001标准，A公司应采取哪些改进措施？（9分）(3)B公司员工的行为违反了哪些基本的信息安全原则？请说明理由。（9.5分）57.案例背景：某金融机构C建立了完善的信息安全管理体系。该机构规定，所有员工必须使用强密码，且每90天更换一次。系统管理员李某为了方便记忆，将自己的密码写在便签纸上并贴在显示器旁边。此外，该机构最近开发了一套新的网上银行系统。为了赶进度，开发团队在未经过完整的安全测试和代码审计的情况下，直接将系统上线。上线后第三天，黑客利用SQL注入漏洞获取了数据库管理员权限，并篡改了部分用户的账户余额。事件发生后，应急响应团队立即切断了系统网络连接，但发现由于备份服务器配置错误，最近一次的完整备份是两周前的，且备份恢复流程文档已经过时，导致恢复工作进展缓慢。请根据上述案例，回答以下问题：(1)请分析该机构在“人员安全”和“开发安全”方面存在的违规或不当行为。（10分）(2)针对黑客攻击事件，请描述正确的应急响应流程应包含哪些关键步骤？（8.5分）(3)结合案例，说明备份和恢复策略的重要性，并指出该机构在备份管理上的具体漏洞。（8.5分）参考答案及解析一、单项选择题1.【答案】C【解析】PDCA循环中，Check（检查）阶段主要活动包括：监视和测量（针对方针、目标、控制措施及过程）和内部审核，以对照方针、目标和实践经验进行评价，并将结果报告给管理者以供评审。2.【答案】C【解析】根据ISO/IEC27000，信息是指在各种形式（如电子、纸质、口头、视频等）中被持有或处理的数据或知识。3.【答案】D【解析】在风险评估中，风险通常被计算为：风险=威胁发生的可能性×威胁利用脆弱性造成的影响×资产价值。这里的资产价值通常指资产的相对价值或重要性，而非单纯的购置成本。4.【答案】A【解析】ISO/IEC27001:2022标准将控制措施归纳为4个主题：组织、人员、物理和技术。5.【答案】D【解析】信息安全的三要素（CIA）是指机密性、完整性和可用性。可追溯性是额外的安全属性，不属于核心三要素。6.【答案】A【解析】审核员不应审核自己的工作，这体现了审核的独立性原则，以确保审核结果的客观和公正。7.【答案】C【解析】信息安全事件管理的第一步是发现并记录事件，然后进行报告。评估和分级在报告之后进行。8.【答案】B【解析】适用性声明是组织选择的适用控制措施的清单。它必须包含所有适用的控制措施，对于不适用的控制措施需说明理由。SoC不需要对外公开发布，除非是为了商业认证展示；它可以包含自定义控制措施。9.【答案】B【解析】“需要知道”原则限制用户只能访问其工作所需的最小权限，这主要是为了防止信息泄露，保障机密性。10.【答案】A【解析】RTO（RecoveryTimeObjective）是指关键业务功能在灾难或中断发生后，必须在规定时间内恢复的目标时间。RPO是指数据丢失的可接受最大量。11.【答案】C【解析】仅靠NDA不足以控制风险，组织必须通过定期的风险评估和审计来监控供应商的安全绩效。12.【答案】B【解析】允许用户重复使用最近使用过的密码会降低密码的安全性，容易被猜测或攻击，不符合密码策略的最佳实践。13.【答案】C【解析】管理评审的输入应全面，包括审核结果、反馈、变更、风险状况、资源需求等，以确保决策的正确性。14.【答案】C【解析】信息安全意识教育是针对全体员工的，不仅仅是IT人员。所有处理信息的人员都需要接受培训。15.【答案】C【解析】资产清单主要关注资产的管理属性，如所有者、位置、分类等。厂商联系电话属于资产详细信息，通常在采购或维护记录中，而非核心资产清单必须项，但包含也不算错，相比之下C是相对最不需要的。注：此题在严谨考试中可能会考察“必须包含”的强逻辑，资产清单必须包含资产所有者、分类、位置等。厂商联系方式属于非核心元数据。16.【答案】D【解析】风险处理方法包括：规避（通过终止活动来消除风险）、降低（实施控制措施）、转移（通过保险或外包）、接受（在明确风险的前提下接受）。忽略风险是被动且不负责任的行为，不属于正式的风险处理策略。17.【答案】C【解析】变更管理要求所有变更必须经过测试、审批和记录，以确保变更不会引入新的安全漏洞或导致系统故障。18.【答案】C【解析】关键日志应实时同步到独立的安全日志服务器，以防攻击者入侵后篡改本地日志。仅记录失败日志是不够的，日志需要保护。19.【答案】B【解析】防火墙属于逻辑/技术安全控制措施，不属于物理安全。20.【答案】C【解析】用户正常的软件升级不应触发远程擦除，擦除通常与设备丢失、被盗或违规操作相关。二、多项选择题21.【答案】ABCD【解析】领导层负责战略方向、方针制定、资源分配和代表任命，编写程序文件通常是执行层的职责。22.【答案】ABCD【解析】事件管理生命周期包括发现报告、评估分类、响应处置、学习总结。彻底删除日志是违规行为，不属于标准流程。23.【答案】ABCD【解析】确定ISMS范围需考虑业务、结构、法律、外部因素等，不能仅考虑IT部门。24.【答案】ABCDE【解析】完整的风险评估方法论应涵盖从确定范围到风险处理决策的全过程。25.【答案】ABCD【解析】密码学控制属于“技术控制措施”主题，不属于“组织控制措施”。A、B、C、D均属于组织层面的控制。26.【答案】ABC【解析】数字签名、校验和、版本控制都能直接保障完整性。防病毒主要保障可用性（防止病毒破坏）或机密性（防止间谍软件），加密主要保障机密性。27.【答案】ABC【解析】防火墙主要功能包括访问控制、NAT、日志监控。它不能完全防止内部攻击（需要内网IDS/IPS配合），也不能修复OS漏洞。28.【答案】ABCD【解析】合规性涵盖法律、合同、知识产权及内部规则。供应商价格不属于安全合规范畴。29.【答案】ABCE【解析】离职时应收回资产、撤销权限、通知他人、进行面谈。保留离职账号是严重的安全隐患。30.【答案】ABCE【解析】备份策略需考虑测试、异地存放、频率（基于RPO）和加密。纸质文档同样需要备份。三、判断题31.【答案】A【解析】正确。ISMS是全面的管理体系，涵盖技术、物理、人员、法律等各个方面。32.【答案】B【解析】错误。风险评估应是持续的活动，特别是在环境变化、新业务上线或发生重大事件后必须重新评估。33.【答案】A【解析】正确。资产所有者对资产的安全负主要责任，包括分类分级。34.【答案】B【解析】错误。技术手段只是控制措施的一部分，管理手段（如方针、流程）同样不可或缺。35.【答案】B【解析】错误。SoC只包含组织选择实施的控制措施，对于不适用的控制措施，需说明理由，不必包含所有93项。36.【答案】B【解析】错误。管理者代表可以由管理层中的任何成员担任，不一定是全职经理，只要能承担相应职责。37.【答案】A【解析】正确。DoS攻击通过耗尽资源使服务不可用，破坏的是可用性。38.【答案】B【解析】错误。组织可以根据自身情况调整控制措施的实施顺序和方式。39.【答案】B【解析】错误。只有严重且涉及法律犯罪的事件才需要向执法机关报告，一般内部事件按内部流程处理。40.【答案】A【解析】正确。文件化信息包括方针、程序、记录等及其载体。四、填空题41.【答案】策划-实施-检查-改进42.【答案】脆弱性被利用的影响（或影响程度）43.【答案】技术44.【答案】机密性45.【答案】风险责任人（或管理者代表/最高管理者）46.【答案】账户锁定（或拒绝登录）47.【答案】最高管理者48.【答案】审核49.【答案】信息安全（或保密/服务）50.【答案】最低（或可接受水平）五、简答题51.【答案】信息安全的三个基本属性（CIA）包括：(1)机密性：确保信息仅能被被授权的个人、实体或进程访问，且仅能以被授权的方式进行，防止信息泄露给未授权方。(2)完整性：保护信息及其处理方法的准确性和完整性，防止信息被未授权地篡改、破坏或丢失。(3)可用性：确保已授权用户在需要时可以访问信息和相关资产，保障信息系统和服务的持续运行。52.【答案】PDCA循环的四个阶段主要活动如下：(1)策划：建立信息安全方针、目标、控制措施、过程和程序，以处理风险并改进信息安全。(2)实施：实施和运行信息安全方针、控制措施、过程和程序。(3)检查：对照方针、目标和行业实践，监视和测量控制措施、过程和程序的绩效，并进行审核。(4)改进：采取纠正和预防措施，以实现ISMS的持续改进。53.【答案】风险处理的四种主要策略：(1)规避：通过决定不从事或停止产生风险的活动，来消除风险源。(2)降低：通过实施控制措施，降低风险发生的可能性或影响，将风险控制在可接受范围内。(3)转移：通过合同、保险或外包等方式，将风险的部分或全部财务责任转移给第三方。(4)接受：在明确风险的情况下，经过管理层批准，主动接受风险，通常用于低风险或控制成本高于风险损失的情况。54.【答案】ISMS内部审核的目的：(1)确定ISMS是否符合：a)组织自身对ISMS的要求，包括符合ISO/IEC27001标准的要求；b)本标准的要求。(2)确定ISMS是否得到有效实施和保持。(3)识别改进ISMS的机会。审核依据通常包括：ISO/IEC27001标准、组织内部的ISMS文件（方针、程序、适用性声明等）、法律法规要求及合同义务。55.【答案】适用性声明是组织用来陈述其选择的、适用于其信息安全管理体系控制措施的正式文件。它在ISMS中的作用包括：(1)明确范围：清晰地列出组织为了处理已识别的风险而选择实施的具体控制措施。(2)合规证明：作为向认证机构或客户证明组织符合ISO/IEC27001标准要求的证据之一。(3)实施指导：作为组织内部实施安全控制的基准清单。(4)变更管理：当环境变化时，作为评估控制措施增减的依据。六、综合案例分析题56.【答案】(1)A公司存在的失误：a)签订合同时未详细涉及信息安全责任和审计权利，导致缺乏法律约束和监管手段。b)未对B公司进行详细的背景调查（尽职调查），未评估其信息安全能力。c)合作期间未对B公司进行定期的信息安全审计或监控，未能及时发现违规行为。d)未明确数据在第三方存储和传输的具体安全要求（如对敏感数据的加密要求）。(2)改进措施：a)在合同中补充详细的信息安全条款，明确双方的安全责任、违约处罚以及A公司拥有对B公司的审计权。b)在外包前对B公司进行全面的信息安全风险评估和资质审核。c)建立供应商监控机制，定期对B公司进行现场审计或要求其提供第三方安全审计报告。d)对传输给B公司的敏感数据进行加密