2025年密码管理工作人员业务考试真题及参考答案

2025年密码管理工作人员业务考试真题及参考答案一、单项选择题（每题1.5分，共30分）1.《中华人民共和国密码法》正式施行的时间是（）A.2019年10月26日B.2020年1月1日C.2021年1月1日D.2020年7月1日答案B解析《中华人民共和国密码法》于2019年10月26日由第十三届全国人民代表大会常务委员会第十四次会议通过，自2020年1月1日起施行。2.根据《密码法》，密码分为（）A.对称密码、非对称密码和哈希算法B.核心密码、普通密码和商用密码C.序列密码、分组密码和公钥密码D.基础密码、应用密码和管理密码答案B解析《密码法》第七条规定，密码分为核心密码、普通密码和商用密码。核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。3.下列哪项不属于商用密码检测认证体系中检测认证机构应当具备的条件？（）A.具有法人资格B.具有与从事商用密码检测认证活动相适应的资金、场所和设施C.具有不少于30名专职商用密码检测认证人员D.具有与从事商用密码检测认证活动相适应的专业技术人员和管理人员答案C解析《密码法》第二十五条规定了商用密码检测认证机构应当具备的条件，包括法人资格、相适应的资金场所设施、专业技术人员和管理人员、质量管理体系等，未对人员数量作统一规定。4.根据《商用密码应用安全性评估管理办法》，以下哪类信息系统在投入运行前应当进行商用密码应用安全性评估？（）A.所有使用商用密码技术的信息系统B.法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施C.所有政务信息系统D.所有涉及个人信息的信息系统答案B解析《商用密码应用安全性评估管理办法》第六条规定，法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，并在投入运行前进行商用密码应用安全性评估。5.《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）中将信息系统密码应用要求分为（）个安全等级。A.三B.四C.五D.六答案C解析GB/T39786-2021将信息系统密码应用要求按照信息系统安全等级保护级别划分为五个等级，从第一级到第五级逐级增强。6.商用密码应用安全性评估中，物理和环境安全层面不包括下列哪项？（）A.身份鉴别B.电子门禁系统数据完整性C.视频监控记录数据完整性D.日志记录数据完整性答案D解析物理和环境安全层面包括身份鉴别、电子门禁系统数据完整性、视频监控记录数据完整性三个测评单元。日志记录数据完整性属于网络和通信安全层面的测评内容。7.下列算法中，属于我国自主设计的商用对称密码算法是（）A.AESB.RSAC.SM4D.SHA-256答案C解析SM4是我国自主设计的分组对称密码算法，于2012年由国家密码管理局发布。AES为国际对称算法，RSA为非对称算法，SHA-256为哈希算法。8.SM2算法属于（）A.对称密码算法B.基于椭圆曲线的公钥密码算法C.基于大整数分解难题的公钥密码算法D.序列密码算法答案B解析SM2是基于椭圆曲线密码（ECC）的公钥密码算法，其安全性基于椭圆曲线离散对数问题，包括数字签名、密钥交换和公钥加密三类功能。9.在密码应用安全性评估中，对于使用密码模块的信息系统，密码模块应通過的检测级别为（）A.第一级或第二级B.第二级或第三级C.第三级或第四级D.任意级别均可答案B解析根据GB/T39786-2021要求，信息系统使用的密码模块应通過商用密码产品认证，密码模块安全等级不低于第二级；对于三级及以上信息系统，密码模块安全等级要求为第二级或第三级。10.以下关于密钥管理的说法，错误的是（）A.密钥应按照不同业务和应用场景进行隔离B.密钥可以明文形式存储在数据库中方便调用C.密钥应具备完善的生成、分发、使用、更新、备份、销毁等全生命周期管理机制D.密钥应进行分级分类管理答案B解析密钥管理要求密钥不以明文形式存储于数据库中，应通过密码机、密码卡等硬件密码模块或加密存储方式保护密钥的机密性。11.根据《密码法》，国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的（）体系。A.商用密码产品认证B.商用密码市场C.商用密码检测D.商用密码监管答案B解析《密码法》第二十一条规定，国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的商用密码市场体系。12.密码应用方案中，"应用层安全"通常涉及以下哪个方面的密码技术？（）A.传输链路加密B.数据库存储加密C.用户身份认证与访问控制D.网络边界防护答案C解析应用层安全主要关注用户身份鉴别、访问控制、数据抗抵赖等，通过数字签名、身份认证等技术实现。链路加密属于网络和通信安全层面，数据库加密属于数据和存储安全层面。13.商用密码应用安全性评估的周期为（）A.每年至少一次B.每两年至少一次C.每三年至少一次D.仅在系统发生重大变更时答案A解析《商用密码应用安全性评估管理办法》第十五条规定，商用密码应用安全性评估应当每年至少进行一次。关键信息基础设施发生重大变化时也应及时开展评估。14.在密码应用安全性评估中，"高风险判定"是指当某个测评对象存在高风险问题时，下列说法正确的是（）A.该测评对象全部测评项均为不符合B.该测评对象的整体测评结论直接判定为不符合C.该测评对象的测评结论需结合其他对象综合判定D.该测评对象需重新进行测评答案B解析根据《商用密码应用安全性评估量化评估规则》，若测评对象存在高风险问题，则该测评对象的测评结论直接判定为不符合，无需再进行量化计算。15.下列哪项不属于《密码法》规定的商用密码检测认证机构的法律责任？（）A.出具虚假的检测认证结论B.泄露在检测认证过程中知悉的国家秘密C.未经批准擅自对外开展商用密码产品检测D.未按规定对检测认证过程进行记录答案C解析未经批准擅自对外开展商用密码产品检测属于违反市场准入规定的行为，对检测认证机构的违法行为主要规定在《密码法》第三十九条、第四十条，包括出具虚假结论、泄露知悉的秘密、未按规定记录等。16.商用密码应用安全性评估中，网络和通信安全层面要求通信实体身份鉴别采用的密码技术应满足（）A.至少使用口令鉴别方式B.使用密码技术保证通信实体身份的真实性C.仅需对服务器端进行鉴别D.可使用明文传输身份标识实现鉴别答案B解析GB/T39786-2021中网络和通信安全层面要求通信实体双方或多方使用密码技术进行身份鉴别，保证通信实体身份的真实性，且鉴别信息不以明文形式传输。17.以下关于SM3算法的描述，正确的是（）A.SM3是分组密码算法，分组长度为128位B.SM3是密码杂凑算法，输出长度为256位C.SM3是公钥密码算法，密钥长度为256位D.SM3是序列密码算法，输出长度为128位答案B解析SM3是我国自主设计的密码杂凑（哈希）算法，对消息进行填充和迭代压缩，输出256位（32字节）杂凑值，适用于数字签名和验证等场景。18.商用密码产品认证目录由（）制定并公布。A.国务院公安部门B.国家密码管理部门C.国务院市场监管部门会同国家密码管理部门D.国务院工业和信息化部门答案C解析《密码法》第二十六条规定，商用密码产品目录由国家密码管理部门会同国务院市场监督管理部门制定并公布。19.在密码应用安全性评估中，关于"数据存储保密性"的测评，下列说法正确的是（）A.仅需要关注数据库中的敏感字段B.应关注重要数据在存储介质上的机密性保护，包括数据库、文件系统等C.仅对备份数据进行加密即可D.数据存储保密性只需在三级以上系统中要求答案B解析数据和存储安全层面中，数据存储保密性要求使用密码技术保护重要数据在存储介质上的机密性，包括数据库存储、文件存储、备份数据等，不限于敏感字段，也不仅限于备份数据。20.下列哪项不是密码应用安全性评估中"安全管理"层面的测评内容？（）A.密钥管理制度B.密码应用方案制度C.密码设备安全管理制度D.网络安全等级保护定级报告答案D解析安全管理层面主要包含管理制度、人员管理、建设运行、应急处置等测评单元，如密钥管理制度、密码应用方案制度、密码设备安全管理制度等。网络安全等级保护定级报告不属于密码应用安全性评估中安全管理层面的内容。二、多项选择题（每题2分，共20分）1.根据《密码法》，下列属于国家密码管理部门职责的有（）A.负责密码工作的规划、建设和管理B.对密码工作进行监督和检查C.组织密码科学技术研究D.对密码产品的销售实行备案管理E.制定密码技术标准和密码行业标准答案ABCDE解析《密码法》第八条至第十二条明确了国家密码管理部门的职责，包括规划建设管理、监督检查、组织科研、标准制定、密码产品备案管理等。2.GB/T39786-2021中规定的密码应用基本要求包括以下哪些层面？（）A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全E.安全管理答案ABCDE解析GB/T39786-2021从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理五个层面规定了信息系统的密码应用基本要求。3.商用密码应用安全性评估中，量化评估遵循的原则包括（）A.高风险判定原则B.合格判定原则C.短板原则D.叠加原则E.加权平均原则答案ACE解析商用密码应用安全性评估量化评估遵循三项原则：高风险判定原则（存在高风险直接判定不符合）、短板原则（各测评单元权重以短板项计算）、叠加原则（多个安全层面短板叠加计算综合得分）。4.下列关于核心密码和普通密码的说法，正确的有（）A.核心密码、普通密码用于保护国家秘密信息B.核心密码保护信息的最高密级为绝密级C.普通密码保护信息的最高密级为机密级D.核心密码、普通密码属于国家秘密E.密码管理部门及其工作人员在履行保密义务时涉嫌犯罪的，依法追究刑事责任答案ABCDE解析《密码法》第七条规定核心密码、普通密码用于保护国家秘密信息，核心密码保护信息最高密级为绝密级，普通密码保护信息最高密级为机密级。核心密码和普通密码本身属于国家秘密，相关违法行为构成犯罪的依法追究刑事责任。5.商用密码产品认证制度中，以下说法正确的有（）A.商用密码产品认证实行自愿性认证制度B.涉及国家安全的产品列入强制性认证目录C.商用密码检测认证机构应当取得相应资质D.商用密码产品认证证书由认证机构颁发E.所有商用密码产品均需实行强制性认证答案ABC解析《密码法》第二十五条、第二十六条规定，商用密码产品实行自愿性认证制度，但涉及国家安全的产品列入强制性认证目录，实行强制性认证。认证证书由认证机构颁发，检测认证机构需取得相应资质。6.密码应用安全性评估中，对于密钥全生命周期管理，应包括以下哪些环节？（）A.密钥生成与分发B.密钥存储与使用C.密钥更新与备份D.密钥销毁E.密钥审计答案ABCDE解析密钥全生命周期管理包括生成、分发、存储、使用、更新、备份、销毁和审计等全部环节，各环节均应有相应的安全管控措施。7.商用密码应用安全性评估的基本流程包括（）A.确定测评对象和测评范围B.编制测评方案C.现场测评D.综合分析并形成测评报告E.出具整改建议并跟踪复测答案ABCDE解析商用密码应用安全性评估的基本流程包括评估准备（确定评估对象和范围）、编制评估方案、现场评估实施、综合分析评估、形成评估报告及提出整改建议等阶段。8.以下关于SM9算法的说法，正确的有（）A.SM9是基于标识的密码算法B.SM9可用于数字签名C.SM9可用于密钥交换D.SM9可用于密钥封装E.SM9属于对称密码算法答案ABCD解析SM9是我国自主设计的基于标识的密码算法（IBE），包含数字签名、密钥交换和密钥封装三类功能，属于公钥密码算法而非对称密码算法。9.商用密码应用安全性评估中，设备和计算安全层面的测评内容包括（）A.身份鉴别B.远程管理通道安全C.系统资源访问控制D.日志记录数据完整性E.外部设备接入安全答案ACD解析设备和计算安全层面包括身份鉴别、系统资源访问控制、日志记录数据完整性等测评内容。远程管理通道安全属于网络和通信安全层面，外部设备接入安全属于物理和环境安全层面。10.下列哪些属于违反《密码法》应当承担法律责任的行为？（）A.窃取他人加密信息B.非法侵入他人密码保障系统C.利用密码从事危害国家安全的活动D.未按照要求使用核心密码保护国家秘密信息E.商用密码检测认证机构出具虚假检测认证结论答案ABCDE解析《密码法》第三十二条规定任何组织或者个人不得窃取他人加密保护的信息或者非法侵入他人的密码保障系统，第三十三条规定任何组织或者个人不得利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动，第三十五条规定了未按要求使用核心密码、普通密码的法律责任，第四十条明确了检测认证机构出具虚假结论的法律责任。三、判断题（每题1分，共20分）1.商用密码用于保护不属于国家秘密的信息。答案正确2.《密码法》规定，国家推动密码科技进步，鼓励和支持密码科学技术研究与应用。答案正确3.核心密码、普通密码和商用密码的管理要求完全一致。答案错误解析核心密码、普通密码属于国家秘密，管理要求最为严格；商用密码实行市场化管理，三者管理要求不同。4.商用密码应用安全性评估只需要在系统投入运行前开展一次即可。答案错误解析商用密码应用安全性评估不仅需要在投入运行前开展，且每年至少进行一次。5.SM4算法的分组长度为128位，密钥长度也为128位。答案正确6.密码应用安全性评估中，所有测评对象的合格判定标准完全相同。答案错误解析不同安全等级的信息系统测评要求不同，测评结果判定标准也不同，等级越高要求越严。7.商用密码产品只有取得强制性认证证书后方可销售。答案错误解析只有列入强制性认证目录的商用密码产品须取得强制性认证证书后方可销售，其他商用密码产品实行自愿性认证。8.密码管理部门实施监督检查时，可以进入有关场所进行检查。答案正确9.所有使用密码技术的信息系统都必须进行商用密码应用安全性评估。答案错误解析法律、行政法规和国家有关规定要求使用商用密码进行保护的信息系统才需要进行商用密码应用安全性评估，并非所有使用密码技术的信息系统都必须评估。10.GB/T39786-2021适用于指导信息系统规划、建设、运行各阶段的密码应用与安全管理。答案正确11.在密码应用安全性评估中，"不符合"是指测评对象存在不符合项，但经综合分析后仍可通过评估。答案错误解析测评结论分为"符合""不符合"两种，"不符合"即未通过评估，需整改后重新评估。12.密码应用方案应当由使用单位自行编制，不得委托第三方机构。答案错误解析密码应用方案可由使用单位自行编制，也可委托具有相应能力的第三方机构协助编制，但方案的责任主体仍是使用单位。13.商用密码检测认证机构应当对其检测认证结论负责，并对检测认证过程中知悉的国家秘密和商业秘密承担保密义务。答案正确14.密码应用安全性评估中，数据备份恢复只需要保证数据的可用性，不需要考虑机密性。答案错误解析根据GB/T39786-2021要求，重要数据备份恢复时应使用密码技术保证备份数据的机密性和完整性。15.在密码应用安全性评估中，如果测评对象存在高风险问题，则该测评对象直接判定为不符合。答案正确16.SM9算法属于基于标识的密码算法，使用用户的标识信息（如邮箱、手机号）作为公钥。答案正确17.商用密码应用安全性评估的测评人员可以同时承担被评估单位的密码应用方案设计工作。答案错误解析为保证评估的独立性、客观性，评估机构与测评人员不得与被评估单位存在影响评估公正性的利益关系，不得同时承担被评估单位的密码应用方案设计、建设实施等工作。18.商用密码的科研、生产、销售、服务、进出口等活动不得危害国家安全和社会公共利益。答案正确19.密码应用安全性评估中，安全管理层面的测评仅需查看制度文件，不需要进行实地核查。答案错误解析安全管理层面的测评不仅需要查阅制度文件，还应核查制度落实情况，包括人员培训记录、设备维护记录、应急处置演练记录等。20.商用密码应用安全性评估报告的有效期为一年，超过有效期需重新进行评估。答案正确四、简答题（每题5分，共15分）1.简述《密码法》的立法目的。答案(1)规范密码应用和管理；(2)促进密码事业发展；(3)保障网络与信息安全；(4)维护国家安全和社会公共利益；(5)保护公民、法人和其他组织的合法权益。2.简述商用密码应用安全性评估的基本内容。答案(1)对信息系统使用的密码技术、密码产品和密码服务的合规性、正确性、有效性进行评估；(2)评估内容包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理五个层面；(3)评估信息系统密码应用的合规性（是否符合法律法规和标准要求）、正确性（密码技术使用是否正确）和有效性（密码保护措施是否有效发挥作用）。3.简述密钥管理中"密钥隔离"的含义及其重要性。答案(1)密钥隔离是指不同业务系统、不同安全域、不同敏感级别的数据应使用不同的密钥进行保护，密钥之间相互独立、互不影响。(2)重要性：一是缩小单点泄露的影响范围，避免一条密钥泄露导致多类数据全部暴露；二是满足分级保护要求，不同级别数据使用不同强度密钥；三是便于密钥的独立更新与销毁，降低管理复杂度。五、案例分析题（每题15分，共15分）1.某省政务云平台承载了多个政务信息系统，其中甲系统为面向公众的政务服务网站（等保定级为第三级），乙系统为内部办公系统（等保定级为第二级）。该平台近期开展了商用密码应用安全性评估，发现以下问题：（1）甲系统Web服务器与用户浏览器之间的HTTPS连接使用的国密SSL证书已过期两个月，部分用户回退到明文HTTP访问；（2）乙系统内部数据库中的敏感业务数据以明文形式存储，未采用密码技术进行加密保护；（3）该平台统一使用同一台服务器密码机为甲、乙两个系统提供密钥管理和加解密服务，且两个系统的密钥存储于同一密钥分区中；（4）平台运维人员可以直接使用个人手机拍照记录设备巡检信息，部分照片中包含密码设备序列号和管理终端界面信息；（5）平台未建立密码应用安全应急处置预案，未定期开展密码应用安全应急演练。请回答：（1）请逐条分析上述问题分别违反了密码应用安全性评估中哪个层面的要求，并简要说明理由。（2）根据GB/T39786-2021，甲系统（第三级）和乙系