信息安全管理体系基础考试真题及答案2026

信息安全管理体系基础考试真题及答案2026一、单项选择题（本大题共20小题，每小题1.5分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。错选、多选或未选均无分。）1.在ISO/IEC27001:2022标准中，信息安全管理体系（ISMS）的PDCA循环模型中，“A（Act）”阶段的主要活动是（）。A.确定信息安全范围和方针B.实施风险评估和风险处置C.实施信息安全控制措施D.采取纠正和预防措施，以持续改进过程2.根据GB/T22080-2022/ISO/IEC27001:2022，组织应建立（），以提供对信息安全管理体系满足标准要求以及组织自身信息安全要求的证据。A.适用性声明（SoA）B.预防措施记录C.文件化的信息D.风险评估报告3.信息安全属性中，确保信息仅能被被授权的个人、实体或进程访问，且仅能被授权方使用的方式访问的特性被称为（）。A.完整性B.可用性C.机密性D.可抵赖性4.在风险评估过程中，资产价值、威胁程度和脆弱性程度是决定风险大小的关键因素。通常，风险值可以表示为（）。A.风险=资产价值+威胁+脆弱性B.风险=资产价值×威胁×脆弱性C.风险=(资产价值+威胁)×脆弱性D.风险=威胁×脆弱性/资产价值5.ISO/IEC27001标准中，关于“访问控制”的控制措施主要归类于（）。A.组织类控制措施B.人员类控制措施C.物理类控制措施D.技术类控制措施6.某公司为了符合《网络安全法》及ISO/IEC27001的要求，决定实施ISMS。在确定ISMS范围时，以下哪项因素不是必须重点考虑的？（）A.组织的业务目标、战略和风险B.组织的合同、法律或监管义务C.组织的外部环境D.员工的个人喜好7.关于“适用性声明”，下列说法正确的是（）。A.它是标准要求的强制性文件，必须包含所有114个控制措施B.它仅包含组织选择实施的控制措施，无需说明选择理由C.它应包含所有相关控制措施的实施现状，以及排除任何控制措施的理由D.它只在认证审核时需要，日常管理中不需要维护8.在管理评审过程中，最高管理者应确保（）。A.仅审核财务记录B.评估信息安全管理体系的有效性、效率和充分性C.仅检查防火墙日志D.仅处理客户投诉9.针对离职员工的信息安全处理，以下做法不符合ISMS要求的是（）。A.立即回收其访问权限和账号B.要求其归还公司所有的资产C.在离职后继续保留其邮箱账号以便接收工作邮件D.若签署了保密协议，在离职后仍需遵守保密规定10.在业务连续性管理中，RTO（RecoveryTimeObjective）指的是（）。A.数据丢失可接受的最大时间B.业务中断后必须恢复业务功能的目标时间C.备份系统的最大运行时间D.灾难恢复演练的频率11.ISO/IEC27002:2022将控制措施归纳为四大主题。其中，“组织”主题主要涵盖的内容是（）。A.访问控制、密码学、操作安全C.物理安全、系统安全B.人力资源安全、供应链安全D.治理、策略、合规、风险管理12.下列哪项属于“技术类控制措施”？（）A.信息安全策略B.安全意识培训C.恶意软件防护D.物理入口控制13.关于“全员责任制”，在ISMS中（）。A.只有IT部门需要负责信息安全B.只有安全部门需要负责信息安全C.所有管理层和员工都应承担与其角色相关的信息安全职责D.只有外部承包商需要负责信息安全14.密码学中，用于验证数据完整性和来源真实性的机制是（）。A.对称加密B.哈希函数与数字签名C.访问控制列表D.隐写术15.在供应商关系中，若供应商需访问组织的信息资产，组织应（）。A.无需任何措施，相信供应商B.通过合同形式规定信息安全要求C.仅通过口头约定D.只要供应商通过了ISO27001认证即可，无需额外协议16.某企业发现其服务器被入侵，数据被加密勒索。这属于信息安全事件中的（）。A.违反策略B.系统故障C.恶意软件攻击D.物理破坏17.为了防止“社会工程学”攻击，最有效的控制措施是（）。A.安装最强的防火墙B.定期进行安全意识教育和培训C.关闭所有服务器D.使用复杂的密码18.根据ISO/IEC27001，内部审核的目的是（）。A.为了获得认证证书B.为了解雇不合格员工C.为了确定信息安全管理体系是否符合：1）组织自身ISMS标准的要求；2）ISO/IEC27001标准的要求D.为了增加预算19.在物理环境安全中，为了防止火灾蔓延，以下做法不恰当的是（）。A.安装烟雾探测器B.存放易燃物品在机房内C.使用阻燃材料装修D.配备灭火器20.关于日志记录，以下说法错误的是（）。A.应记录用户活动、异常情况和安全事件B.日志应保护不被篡改C.日志可以随意删除以节省空间D.日志应定期审查和分析二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填在题后的括号内。错选、多选、少选或未选均无分。）21.ISO/IEC27001:2022标准中，引入了“组织环境”的概念，这要求组织考虑（）。A.组织的目的B.组织所处的外部环境C.组织的内部环境D.利益相关方的需求和期望E.员工的年龄结构22.信息安全风险处置的常用方式包括（）。A.规避风险B.降低风险C.接受风险D.转移风险E.忽略风险23.在ISO/IEC27002:2022的“人员类控制措施”主题中，典型的控制措施包括（）。A.筛选B.保密协议C.远程办公D.管理层职责E.信息安全意识、教育和培训24.下列哪些属于信息安全事件的响应阶段？（）A.准备B.检测与分析C.遏制、根除与恢复D.事后活动E.风险评估25.访问控制策略通常基于以下哪些原则建立？（）A.最小权限原则B.职责分离原则C.需要知道原则D.最大权限原则E.随意访问原则26.在进行ISMS内部审核时，审核员应关注（）。A.文件化的信息是否完备B.控制措施是否有效实施C.记录是否真实可信D.员工是否理解信息安全策略E.办公室装修是否美观27.关于密码策略，以下要求合理的包括（）。A.强制要求定期更换密码B.设置最小密码长度（如8位以上）C.要求包含大小写字母、数字和特殊字符D.允许使用默认密码E.首次登录必须强制修改密码28.操作系统安全加固的措施包括（）。A.关闭不必要的服务和端口B.及时安装安全补丁C.禁用Guest账号D.设置屏幕保护密码E.开放所有端口以便远程管理29.在备份策略中，需要考虑的关键要素有（）。A.备份的类型（全量、增量、差异）B.备份的频率C.备份的存储位置（异地、离线）D.备份的加密E.备份的恢复测试30.法律法规对信息安全的合规性要求通常涉及（）。A.个人信息保护B.知识产权保护C.密码管理D.网络安全等级保护E.员工的着装规范三、判断题（本大题共15小题，每小题1分，共15分。请判断下列各题的正误，正确的打“√”，错误的打“×”。）31.ISO/IEC27001标准不仅关注技术安全，更强调通过管理体系流程来保障信息安全。（）32.只要实施了防火墙和杀毒软件，就完全符合了ISO/IEC27001的要求。（）33.风险评估应该是一次性的活动，只要在体系建立初期做一次即可。（）34.适用性声明中必须包含所有ISO/IEC27001附录A中的控制措施，不能有任何删减。（）35.信息安全方针应由最高管理者批准、发布并传达给所有员工。（）36.只有外部攻击才属于安全事件，内部员工的误操作不属于安全事件。（）37.数字签名主要用于保证数据的机密性，防止被窃听。（）38.组织应建立并维护供应商评估和批准的流程。（）39.物理安全边界的建立主要是为了防止未授权的物理访问、损坏和干扰。（）40.业务连续性计划（BCP）的主要目的是在灾难发生后完全避免业务中断。（）41.管理评审的输入必须包括内部审核结果、纠正措施、风险评估结果等。（）42.在信息安全中，“职责分离”意味着一个人不能独自完成一个关键业务流程的所有步骤，以防止欺诈。（）43.所有的信息资产都必须进行同等力度的保护。（）44.移动设备（如笔记本电脑、手机）离开公司场所时，必须采取物理保护措施，并加密存储敏感数据。（）45.知识产权主要指软件代码，不包括文档和客户信息。（）四、填空题（本大题共10小题，每小题1.5分，共15分。请在每小题的空格中填上正确答案。）46.信息安全管理体系（ISMS）基于________循环模型，用于建立、实施、运行、监视、评审、保持和改进信息安全。47.在风险评估公式中，风险是________、威胁和脆弱性的函数。48.ISO/IEC27001:2022标准将控制措施归为4个主题：组织、人员、物理和________。49.________是指在发生故障或灾难时，将业务功能恢复到指定服务水平所需的时间。50.为了防止电力中断，机房应配备________设备，如UPS和备用发电机。51.访问控制通常包含三个主要过程：身份识别、身份验证和________。52.________是指通过法律、保险或合同安排，将风险的全部或部分财务责任转移给第三方。53.组织应建立并维护一个________，以确保在信息安全事件发生时能够及时响应。54.在密码技术中，非对称加密算法使用一对密钥：公钥和________。55.ISO/IEC27001标准要求组织保留________信息，作为符合标准要求和体系有效运行的证据。五、简答题（本大题共5小题，每小题6分，共30分。）56.请简述PDCA（Plan-Do-Check-Act）循环在信息安全管理体系中各阶段的具体含义。57.什么是风险评估？请列出风险评估的主要步骤。58.请列举ISO/IEC27001:2022中“人员类控制措施”主题下的至少三个关键控制措施，并简要说明其目的。59.简述“业务连续性”与“灾难恢复”之间的联系与区别。60.在信息安全管理体系中，为什么需要定期进行管理评审？管理评审的主要输入有哪些？六、综合应用题（本大题共2小题，每小题20分，共40分。）61.案例分析：某中型金融科技公司“信安通”决定依据ISO/IEC27001:2022标准建立信息安全管理体系。公司目前拥有员工200人，核心业务是移动支付与网贷平台。在初步调研中，发现存在以下情况：(1)公司有明确的信息安全方针，但仅存在于IT总监的电脑中，未公开传达。(2)员工入职时未签署保密协议，离职时账号也未及时回收。(3)代码库曾发生由于权限配置错误导致的误删事件。(4)公司依赖云服务商托管核心数据库，但合同中未明确安全责任划分。(5)近期收到多起针对员工的钓鱼邮件，部分员工点击链接导致凭证泄露。请结合ISMS标准要求，分析该公司在“组织”、“人员”、“技术”和“供应商关系”方面存在的主要风险，并针对每个方面提出至少两条具体的改进建议。62.风险评估计算与应用：某企业对其核心客户数据库进行了风险评估。该数据库存储了100万条用户个人信息。已知：(1)资产价值（A）：评估为5分（满分5分，极高价值）。(2)威胁（T）：近期黑客针对该类数据库的攻击活动频繁，且攻击手段成熟，评估威胁发生的可能性为4分（满分5分）。(3)脆弱性（V）：经扫描发现数据库存在未修补的高危SQL注入漏洞，且缺乏有效的入侵检测系统，评估脆弱性严重程度为5分（满分5分）。风险计算公式设定为：风险值R=资产价值A×威胁T×脆弱性V。风险等级划分标准：0-20：低风险21-50：中风险51-80：高风险81-125：极高风险请回答以下问题：(1)计算该资产面临的风险值，并判定风险等级。(2)针对计算出的风险等级，依据ISO/IEC27001的风险处置原则，列举至少三种可行的风险处置选项，并针对此案例选择最合适的处置方式，说明理由。(3)如果选择“降低风险”作为处置方式，请从技术控制和管理控制两个维度，分别提出具体的控制措施建议。分割线-----------------------------------参考答案及解析一、单项选择题1.【答案】D【解析】PDCA循环中，Act（处置）阶段：处理不符合项，采取纠正措施，确保持续改进。2.【答案】C【解析】ISO/IEC27001:2022强调“文件化的信息”，这是指体系所需的文件和记录。3.【答案】C【解析】机密性是指确保信息不被泄露给未授权的实体。4.【答案】B【解析】通常风险由资产、威胁、脆弱性三者决定，函数关系常表示为乘积关系（具体模型可能不同，但B是通用考试标准答案）。5.【答案】D【解析】访问控制（如账号管理、权限控制、认证机制）属于技术类控制措施。6.【答案】D【解析】确定范围需考虑业务目标、法律要求、环境等，员工个人喜好不是决定性因素。7.【答案】C【解析】SoA包含适用控制措施及其选择/排除的理由，是体系的核心文件之一。8.【答案】B【解析】管理评审的目的是评价体系的有效性、效率和充分性，以寻求改进机会。9.【答案】C【解析】离职员工账号必须立即回收，保留账号存在安全风险。10.【答案】B【解析】RTO是恢复时间目标，指业务中断后恢复业务功能的时间要求。11.【答案】D【解析】ISO/IEC27002:2022四大主题中，“组织”涵盖治理、策略、合规、风险管理等。12.【答案】C【解析】恶意软件防护属于技术类控制措施。13.【答案】C【解析】信息安全是全员责任，需根据角色分配职责。14.【答案】B【解析】哈希函数验证完整性，数字签名验证完整性和不可抵赖性。15.【答案】B【解析】必须通过法律文件（合同）明确双方的安全责任。16.【答案】C【解析】数据被加密勒索属于典型的恶意软件攻击（勒索软件）。17.【答案】B【解析】社会工程学攻击利用人的心理弱点，最有效的防御是安全意识培训。18.【答案】C【解析】内部审核是为了验证体系符合标准要求和组织自身要求。19.【答案】B【解析】机房内严禁存放易燃物品。20.【答案】C【解析】日志不能随意删除，需按规定保留一定期限。二、多项选择题21.【答案】ABCD【解析】确定组织环境需考虑目的、外部环境、内部环境、利益相关方。22.【答案】ABCD【解析】风险处置方式包括规避、降低、接受、转移。忽略不是主动的管理方式。23.【答案】ABE【解析】筛选、保密协议、安全教育培训属于人员类控制措施。远程办公在2022版中归为技术类（或特定场景），管理层职责属于组织类。24.【答案】ABCD【解析】PDCERF模型（准备、检测、遏制、根除、恢复、跟踪）或类似生命周期。风险评估是前置活动。25.【答案】ABC【解析】访问控制原则包括最小权限、职责分离、按需知密。26.【答案】ABCD【解析】审核关注文件、实施、记录、意识。装修美观与安全无关。27.【答案】BCE【解析】合理的密码策略包括长度、复杂度、强制修改首次登录。强制定期更换现在有争议，但传统考试中常选A，不过根据最新NIST建议，A不再是必须。但在此基础题库中，BCE是绝对正确。注：若为传统考试，A可能入选，但BCE最核心。依据通用题库，选BCE。28.【答案】ABCD【解析】关闭服务、打补丁、禁用Guest、设置屏保都是加固措施。开放所有端口是错误的。29.【答案】ABCDE【解析】备份策略需考虑类型、频率、位置、加密、恢复测试。30.【答案】ABCD【解析】合规涉及个人信息、知识产权、密码、等级保护等。着装规范通常不属于信息安全合规。三、判断题31.【答案】√【解析】ISMS是管理体系，强调流程和管理，而非单纯技术。32.【答案】×【解析】技术只是手段，必须配合管理流程、制度、人员等才能符合标准。33.【答案】×【解析】风险评估是持续的活动，特别是在环境变化时。34.【答案】×【解析】SoA中可以排除不适用的控制措施，但必须说明理由。35.【答案】√【解析】方针必须由最高管理者批准并传达。36.【答案】×【解析】内部误操作也是重要的事件来源。37.【答案】×【解析】数字签名用于完整性和抗抵赖，加密用于机密性。38.【答案】√【解析】供应商管理是ISMS重要部分，需有评估流程。39.【答案】√【解析】物理边界的目的。41.【答案】√【解析】管理评审输入要求。42.【答案】√【解析】职责分离是防欺诈的重要控制。43.【答案】×【解析】应根据资产价值进行分级保护。44.【答案】√【解析】移动设备风险高，需物理保护和加密。45.【答案】×【解析】知识产权包括文档、客户名单、商业秘密等多种形式。四、填空题46.【答案】PDCA47.【答案】资产48.【答案】技术49.【答案】恢复时间目标（或RTO）50.【答案】不间断电源（或UPS/备用电源）51.【答案】授权（或授权决策）52.【答案】风险转移53.【答案】信息安全事件响应程序（或计划）54.【答案】私钥55.【答案】文件化（或成文）五、简答题56.【答案】PDCA循环在ISMS中的含义：(1)Plan（计划）：根据组织业务目标、风险和法律法规要求，确定ISMS的范围、方针、目标，进行风险评估，选择控制措施，形成适用性声明。(2)Do（实施）：实施选定的控制措施，编写管理体系文件，培训员工，运行管理体系。(3)Check（检查）：进行监视和测量，实施内部审核和管理评审，评估控制措施的有效性，检查是否达到方针和目标。(4)Act（处置）：针对检查中发现的不符合项采取纠正措施，吸取教训，以持续改进ISMS的有效性。57.【答案】风险评估是指识别风险、分析风险和评价风险的过程。主要步骤：(1)风险识别：识别资产、威胁、脆弱性以及现有的控制措施。(2)风险分析：分析威胁发生的可能性、脆弱性被利用的难易程度，以及一旦发生造成的后果（影响），从而计算风险值。(3)风险评价：将分析出的风险值与组织给定的风险准则进行对比，判定风险等级，确定优先处理顺序。58.【答案】人员类控制措施包括：(1)筛选：目的在于确保所有人员胜任其安全角色，包括进行背景调查等。(2)保密协议：目的在于告知员工其信息安全的职责，并在雇佣前签署法律协议。(3)信息安全意识、教育和培训：目的在于确保所有员工和承包商意识到并履行其信息安全职责。(4)管理层职责：目的在于确保管理层承担信息安全责任，起到表率作用。59.【答案】联系：业务连续性（BC）是一个宏观的管理体系，包含灾难恢复（DR）。BC的目标是确保业务在中断后能持续运行，而DR是BC的技术支撑部分，侧重于IT系统的恢复。区别：(1)关注点不同：BC关注整个业务流程（包括人员、办公场所、供应链等）；DR主要关注数据中心、应用系统和数据的恢复。(2)时间维度不同：BC关注业务中断期间的应急响应和人工处理流程；DR侧重于IT系统恢复到正常运行状态的技术指标（如RTO、RPO）。60.【答案】原因：管理评审是最高管理者对体系进行战略层面的审视，目的是确保体系持续的适宜性、充分性和有效性，并调配资源进行改进。主要输入包括：(1)以往管理评审的跟踪措施；(2)与信息安全管理体系相关的内外部因素的变化；(3)有关信息安全绩效的反馈，包括趋势；(4)相关方反馈；(5)资源有效性；(6)风险评估和风险处置的结果；(7)内部审核结果；(8)合规性义务的履行情况；(9)纠正措施的状态；(10)持续改进的机会。六、综合应用题61.【答案】风险分析及改进建议：(1)组织方面：风险：方针未传达，导致员工无安全意识指导；缺乏整体治理。建议：将信息安全方针通过全员大会、邮件、内网公告等形式发布，并要求员工确认知悉。建立明确的信息安全组织架构，成立信息安全委员会，指定各部门安全