2026年信息安全风险评估与控制习题

2026年信息安全风险评估与控制习题一、单项选择题（本大题共10小题，每小题2分，共20分）1.在信息安全风险评估过程中，确定资产价值时，通常需要考虑哪些因素？以下选项中哪项不属于主要考虑因素？A.资产对组织业务连续性的影响程度B.资产所包含的敏感信息类型C.资产的物理维护成本D.资产的市场二手交易价格参考答案：D解析：在信息安全风险评估中，资产价值主要从业务影响、信息敏感度、法律合规要求等方面确定。选项A和B直接关系到业务运营和信息保护的核心需求，属于关键评估因素。选项C虽然涉及维护成本，但更多是运营考量而非资产价值本身。选项D的二手交易价格与资产在组织内的实际价值无关，属于无关干扰项。该题考查风险评估中资产价值评估的核心要素，干扰项设计为与业务无关的经济指标，迷惑性较强。2.根据NISTSP800-30风险评估框架，以下哪个阶段属于风险识别的子步骤？A.风险分析与评估B.风险接受性判定C.资产识别与分类D.风险处理计划制定参考答案：C解析：NISTSP800-30标准将风险识别分为资产识别、威胁识别、脆弱性识别三个子步骤。选项C属于资产识别的具体内容，是风险识别阶段的核心组成部分。选项A和B属于风险评估与处理阶段，选项D属于风险处理阶段。该题考查对NIST标准流程结构的掌握，干扰项通过混淆阶段顺序设计迷惑性。3.在进行风险计算时，如果某资产的价值为80万元，面临的威胁发生的可能性为0.15，资产脆弱性被利用的概率为0.2，那么该资产的损失期望值（LE）是多少？A.24万元B.12万元C.4.8万元D.6万元参考答案：C解析：根据风险计算公式LE=AssetValue×ThreatLikelihood×Exploitability，代入数据LE=80万×0.15×0.2=4.8万元。该题考查风险量化计算的基本公式应用，干扰项通过改变计算参数设计难度。4.某企业采用风险矩阵法评估风险，将可能性分为"高（90%）""中（50%）""低（10%）"三个等级，损失程度分为"严重（1000分）""中等（500分）""轻微（100分）"三个等级。当评估某风险时，可能性为"中"，损失程度为"严重"，则该风险的风险等级属于？A.严重B.高危C.中等D.低风险参考答案：B解析：根据风险矩阵计算，"中可能性（50%）×严重损失（1000分）=500分"，对照标准风险等级划分（通常400-600分为高危），该风险属于高危等级。该题考查风险矩阵评估方法的具体应用，干扰项通过混淆等级划分标准设计迷惑性。5.在风险控制措施的选择中，以下哪项原则不属于成本效益分析应考虑的因素？A.控制措施的实施成本B.控制措施对威胁的缓解程度C.组织的合规要求D.控制措施的实施周期参考答案：C解析：成本效益分析主要考虑控制措施的经济效益，包括实施成本、风险降低程度、实施周期等量化因素。选项C的合规要求属于定性考量，虽然重要但非成本效益分析的核心要素。该题考查风险控制措施选择中的量化评估方法，干扰项通过引入合规性这一定性因素设计迷惑性。6.某银行IT系统面临黑客攻击威胁，当前脆弱性被利用可能导致系统瘫痪。银行拟采用两种控制措施：①部署入侵检测系统，成本50万元，可降低威胁发生概率至0.05；②建立灾备中心，成本200万元，可完全避免系统瘫痪损失。若系统价值为1000万元，则哪种控制措施更经济有效？A.部署入侵检测系统B.建立灾备中心C.两种措施效果相同D.需要更多数据才能判断参考答案：A解析：计算两种措施的风险降低效果：-入侵检测系统：LE降低前=1000万×0.1×0.2=20万；LE降低后=1000万×0.05×0.2=10万；效益=20-10=10万；成本效益比=10/50=0.2-灾备中心：LE降低前=1000万×0.1×0.2=20万；LE降低后=0；效益=20-0=20万；成本效益比=20/200=0.1虽然灾备中心效益更高，但成本效益比更低，因此入侵检测系统更经济。该题考查风险控制措施的成本效益比较方法，干扰项通过设置看似更全面的灾备方案设计迷惑性。7.在风险评估报告中，以下哪项内容不属于风险处理建议的组成部分？A.推荐采用的控制措施类型B.控制措施的实施优先级C.控制措施的实施时间表D.控制措施的法律合规要求参考答案：D解析：风险处理建议应包括控制措施类型、实施优先级、时间表等操作性内容，但法律合规要求属于风险评估前的背景信息，而非处理建议本身。该题考查风险评估报告的专业结构，干扰项通过混淆评估前准备与评估后建议设计迷惑性。8.某制造企业评估发现，生产线控制系统存在SQL注入漏洞，可能导致生产中断。企业决定采用"限制访问权限+输入验证"的双重控制措施。这种风险处理策略属于？A.风险规避B.风险转移C.风险减轻D.风险接受参考答案：C解析：通过实施控制措施降低风险发生的可能性或影响程度，属于风险减轻策略。该题考查风险处理策略的分类，干扰项通过设置看似需要转移责任的控制措施设计迷惑性。9.在进行风险自评估时，以下哪项做法不符合ISO27005风险评估标准？A.由业务部门负责人主导评估过程B.使用标准化的风险评估问卷C.对评估结果进行独立验证D.仅依赖技术部门提供脆弱性数据参考答案：D解析：ISO27005要求风险评估应综合考虑业务和技术因素，由跨部门团队完成，不能仅依赖单一部门数据。该题考查国际标准在风险评估实践中的应用，干扰项通过设置看似合理的单一部门依赖设计迷惑性。10.某医疗机构评估发现，患者电子病历系统存在未授权访问风险。医院决定采用"强制访问控制+审计日志"的措施。这种控制措施组合主要针对的风险类型是？A.数据泄露风险B.系统可用性风险C.操作配置风险D.物理安全风险参考答案：A解析：强制访问控制限制非授权访问，审计日志可追溯访问行为，共同防范数据泄露风险。该题考查控制措施与风险类型的对应关系，干扰项通过设置其他类型风险设计迷惑性。二、填空题（本大题共10小题，每小题2分，共20分）1.风险评估的基本流程通常包括风险______、风险______、风险______和风险处理四个主要阶段。参考答案：识别、分析、评估2.根据NISTSP800-53标准，组织应建立______机制，定期审查风险评估结果的有效性。参考答案：风险复审3.风险损失期望值（LE）的计算公式为______。参考答案：资产价值×威胁可能性×脆弱性可利用性4.风险矩阵法中，风险等级通常由______和______两个维度决定。参考答案：可能性、损失程度5.在风险控制措施的成本效益分析中，效益通常指______的减少量。参考答案：风险损失6.风险接受性判定应考虑组织的______、______和______三个维度。参考答案：风险容忍度、业务需求、合规要求7.根据ISO27005标准，风险评估应采用______或______两种主要方法。参考答案：定性与定量8.风险识别阶段的核心任务是识别组织面临的______、______和______。参考答案：威胁、脆弱性、资产9.风险处理措施的选择应遵循______、______和______三个基本原则。参考答案：有效性、经济性、可操作性10.风险评估报告应包含______、______和______三个主要部分。参考答案：风险评估方法、评估结果、处理建议三、判断题（本大题共10小题，每小题2分，共20分）1.风险评估中的资产价值仅指资产的原购买价格。（×）解析：资产价值包括市场价值、替换成本、业务影响等多个维度，不仅限于购买价格。2.风险可能性评估通常使用高（90%）、中（50%）、低（10%）三个等级。（√）解析：这是常见的风险可能性分级标准，符合NIST和ISO等标准要求。3.风险控制措施的实施成本越高，其风险降低效果必然越好。（×）解析：成本效益分析要求在合理成本范围内实现最大风险降低，并非成本越高效果越好。4.风险接受性判定仅由组织管理层决定。（×）解析：应结合业务部门、安全部门等多方意见，并考虑合规要求。5.风险识别阶段只需要识别技术脆弱性。（×）解析：应同时识别业务流程、管理机制等非技术风险因素。6.风险矩阵法中，风险等级仅由损失程度决定。（×）解析：风险等级由可能性和损失程度两个维度共同决定。7.风险减轻措施可以完全消除所有安全风险。（×）解析：风险减轻只能降低风险可能性或影响，无法完全消除。8.风险自评估可以完全替代专业风险评估。（×）解析：自评估存在主观性，对于复杂系统仍需专业评估补充。9.风险评估报告只需要包含定量的评估结果。（×）解析：应同时包含定性分析、评估方法和处理建议等内容。10.风险复审的频率由组织风险等级决定，高风险领域需要更频繁复审。（√）解析：ISO27005要求高风险领域应增加复审频率。四、简答题（本大题共8小题，每小题2分，共16分）1.简述信息安全风险评估的基本流程及其各阶段的主要任务。答案要点：（1）风险识别：识别组织面临的资产、威胁、脆弱性，建立风险清单（2）风险分析：分析资产价值、威胁可能性、脆弱性可利用性，计算风险损失期望值（3）风险评估：使用风险矩阵等方法确定风险等级，进行风险排序（4）风险处理：根据风险接受性判定，选择规避、转移、减轻或接受等处理策略，制定实施计划2.风险评估中的资产分类应考虑哪些维度？答案要点：（1）业务重要性：核心业务系统vs一般系统（2）信息敏感度：公开信息vs机密信息（3）法律合规要求：监管强制要求vs非强制（4）经济价值：直接经济效益vs间接价值（5）物理形态：硬件设备vs软件系统3.风险控制措施选择时应考虑哪些因素？答案要点：（1）风险降低效果：能降低多少可能性或影响（2）实施成本：直接成本和间接成本（3）可操作性：技术可行性、管理可行性（4）兼容性：与现有系统的适配性（5）法律合规：是否满足监管要求（6）维护成本：长期运营成本4.简述风险接受性判定的基本原则。答案要点：（1）风险容忍度：组织可接受的风险水平（2）业务影响：风险发生对业务的实际影响程度（3）成本效益：控制措施的成本与收益平衡（4）合规要求：法律法规的强制规定（5）行业基准：同行业普遍接受的风险水平5.风险评估报告中应包含哪些关键内容？答案要点：（1）评估方法：采用的标准、方法、工具（2）评估范围：覆盖的业务领域、系统范围（3）评估结果：风险清单、风险等级分布、关键风险点（4）处理建议：针对各风险的处置方案（5）附录：数据来源、术语表、计算过程等6.风险复审的主要目的和触发条件是什么？答案要点：（1）主要目的：验证风险评估结果的时效性、准确性，确保持续有效（2）触发条件：-定期复审（如每年）-组织环境重大变化（如并购、技术升级）-风险处理措施实施后-发生重大安全事件后-合规要求变更后7.风险转移与风险减轻的主要区别是什么？答案要点：（1）风险转移：将风险部分或全部转移给第三方（如保险、外包）（2）风险减轻：通过控制措施降低风险可能性或影响（3）责任主体：转移后风险仍可能影响组织（如保险理赔纠纷）（4）控制程度：转移通常无法完全消除风险，减轻可更彻底8.风险评估中的定性评估方法有哪些？答案要点：（1）专家调查法：通过专家访谈获取风险信息（2）德尔菲法：多轮匿名专家咨询达成共识（3）风险概率分布：使用概率语言描述可能性（4）风险矩阵：将可能性和损失程度量化为风险等级五、应用题（本大题共8小题，每小题4分，共24分）1.某电商平台评估发现，其用户数据库存在SQL注入漏洞，可能导致用户密码泄露。当前风险参数为：资产价值1000万元，威胁可能性0.2，脆弱性可利用性0.3。若部署WAF可降低威胁可能性至0.1，成本50万元；修复漏洞可完全消除脆弱性，成本200万元。请计算两种控制措施的风险降低效果，并选择更优方案。解析：（1）未采取措施时：LE=1000万×0.2×0.3=60万-WAF方案：LE=1000万×0.1×0.3=30万；效益=60-30=30万；成本效益比=30/50=0.6-修复方案：LE=1000万×0.2×0=0；效益=60-0=60万；成本效益比=60/200=0.3（2）选择：修复方案效益更高，但成本效益比更低。若预算充足应选择修复，否则选择WAF2.某制造企业评估发现，生产线控制系统存在未授权访问风险，可能导致生产事故。当前风险参数为：资产价值500万元，威胁可能性0.1，脆弱性可利用性0.4。企业决定采用"部署门禁系统+加强巡检"的双重控制措施。若部署门禁系统可降低脆弱性可利用性至0.1，成本80万元；加强巡检可降低威胁可能性至0.05，成本30万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=500万×0.1×0.4=20万（2）双重控制后：LE=500万×0.05×0.1=2.5万；效益=20-2.5=17.5万；总成本=80+30=110万（3）成本效益比=17.5/110≈0.16，表明该方案经济有效3.某医疗机构评估发现，患者电子病历系统存在XSS攻击风险。当前风险参数为：资产价值2000万元，威胁可能性0.15，脆弱性可利用性0.25。医院拟采用"部署XSS防护+安全培训"的措施。若部署防护可降低脆弱性可利用性至0.1，成本100万元；安全培训可降低威胁可能性至0.08，成本20万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=2000万×0.15×0.25=75万（2）双重控制后：LE=2000万×0.08×0.1=16万；效益=75-16=59万；总成本=100+20=120万（3）成本效益比=59/120≈0.49，表明该方案经济有效4.某零售企业评估发现，其POS系统存在数据泄露风险。当前风险参数为：资产价值300万元，威胁可能性0.2，脆弱性可利用性0.3。企业拟采用"部署加密传输+数据脱敏"的措施。若部署加密传输可降低脆弱性可利用性至0.15，成本60万元；数据脱敏可降低威胁可能性至0.1，成本40万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=300万×0.2×0.3=18万（2）双重控制后：LE=300万×0.1×0.15=4.5万；效益=18-4.5=13.5万；总成本=60+40=100万（3）成本效益比=13.5/100=0.135，表明该方案经济有效5.某金融机构评估发现，其核心业务系统存在拒绝服务攻击风险。当前风险参数为：资产价值5000万元，威胁可能性0.1，脆弱性可利用性0.2。银行拟采用"部署DDoS防护+流量清洗"的措施。若部署DDoS防护可降低脆弱性可利用性至0.1，成本200万元；流量清洗可降低威胁可能性至0.05，成本150万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=5000万×0.1×0.2=100万（2）双重控制后：LE=5000万×0.05×0.1=25万；效益=100-25=75万；总成本=200+150=350万（3）成本效益比=75/350≈0.21，表明该方案经济有效6.某电商平台评估发现，其支付系统存在中间人攻击风险。当前风险参数为：资产价值1000万元，威胁可能性0.15，脆弱性可利用性0.25。平台拟采用"部署TLS加密+证书管理"的措施。若部署TLS加密可降低脆弱性可利用性至0.1，成本80万元；证书管理可降低威胁可能性至0.08，成本50万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=1000万×0.15×0.25=37.5万（2）双重控制后：LE=1000万×0.08×0.1=8万；效益=37.5-8=29.5万；总成本=80+50=130万（3）成本效益比=29.5/130≈0.23，表明该方案经济有效7.某制造企业评估发现，其ERP系统存在未授权访问风险。当前风险参数为：资产价值800万元，威胁可能性0.1，脆弱性可利用性0.3。企业拟采用"部署RBAC+审计日志"的措施。若部署RBAC可降低脆弱性可利用性至0.15，成本100万元；审计日志可降低威胁可能性至0.05，成本60万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=800万×0.1×0.3=24万（2）双重控制后：LE=800万×0.05×0.15=6万；效益=24-6=18万；总成本=100+60=160万（3）成本效益比=18/160=0.1125，表明该方案经济有效8.某医疗机构评估发现，其医疗影像系统存在数据篡改风险。当前风险参数为：资产价值1500万元，威胁可能性0.08，脆弱性可利用性0.2。医院拟采用"部署数字签名+完整性校验"的措施。若部署数字签名可降低脆弱性可利用性至0.1，成本120万元；完整性校验可降低威胁可能性至0.05，成本90万元。请计算双重控制措施的风险降低效果。解析：（1）未采取措施时：LE=1500万×0.08×0.2=24万（2）双重控制后：LE=1500万×0.05×0.1=7.5万；效益=24-7.5=16.5万；总成本=120+90=210万（3）成本效益比=16.5/210≈0.0786，表明该方案经济有效【标准答案及解析】一、单项选择题答案1.D2.C3.C4.B5.C6.A7.C8.C9.D10.A二、填空题答案1.识别、分析、评估2.风险复审3.资产价值×威胁可能性×脆弱性可利用性4.可能性、损失程度5.风险损失6.风险容忍度、业务需求、合规要求7.定性、定量8.威胁、脆弱性、资产9.有效性、经济性、可操作性10.