2026年信息安全管理课程试题及答案

2026年信息安全管理课程试题及答案一、单项选择题（每题1分，共20分）1.信息安全的三大核心属性（CIA三元组）不包括以下哪一项？A.保密性B.完整性C.可用性D.可追溯性答案：D解析：信息安全的核心属性为保密性（Confidentiality）、完整性（Integrity）、可用性（Availability），即CIA三元组；可追溯性属于信息安全的扩展属性，不属于核心范畴。2.下列哪项标准是信息安全管理体系（ISMS）的认证依据？A.ISO/IEC27002B.ISO/IEC27001C.ISO/IEC27005D.ISO/IEC27018答案：B解析：ISO/IEC27001是信息安全管理体系的规范要求，可用于第三方认证；ISO/IEC27002是控制措施实践指南，ISO/IEC27005是风险管理标准，ISO/IEC27018是云隐私保护标准。3.信息安全管理体系PDCA循环中，"策划（Plan）"阶段的核心工作是？A.落实安全控制措施B.建立安全方针、目标与风险处置计划C.开展内部审核D.采取纠正措施改进体系答案：B4.信息安全风险评估的三大核心要素不包括以下哪一项？A.资产B.威胁C.脆弱性D.组织架构答案：D5.残余风险的定义是？A.未采取任何控制措施时存在的原始风险B.采取控制措施后仍然剩余的风险C.完全无法被降低的风险D.由人员误操作导致的风险答案：B解析：未采取控制措施的原始风险为固有风险；残余风险是实施风险处置措施后，仍然存在的未被完全消除的风险。6.访问控制的最小权限原则是指？A.给用户分配尽可能多的权限以提升工作效率B.用户仅拥有完成其工作职责所需的最小权限C.所有用户权限保持一致D.权限一旦分配不得调整答案：B7.下列哪项属于物理安全控制措施？A.防火墙B.数据加密C.机房门禁系统D.安全审计答案：C8.人员安全管理中，离职员工管控的核心安全措施是？A.进行离职面谈B.立即回收所有系统与物理访问权限C.结算工资D.收回办公设备答案：B9.数据分类分级的主要依据是？A.数据的存储位置B.数据的大小与格式C.数据的重要程度与敏感级别D.数据的创建时间答案：C10.针对已发生的安全不符合项的根本原因采取措施，防止其再次发生，属于？A.纠正B.纠正措施C.预防措施D.持续改进答案：B解析：纠正是直接整改不符合项本身；纠正措施是针对不符合的根本原因采取行动，防止再发生；预防措施是针对潜在的尚未发生的不符合采取行动。11.根据《中华人民共和国网络安全法》，国家实行网络安全（）保护制度。A.等级B.分级C.分类D.分层答案：A12.一般企事业单位的核心业务系统通常应满足网络安全等级保护的第几级要求？A.第二级B.第三级C.第四级D.第五级答案：B解析：等级保护共分五级，第三级适用于受到破坏后会对社会秩序、公共利益造成严重损害的系统，是多数企业核心业务系统的合规等级。13.下列属于预防性安全控制的是？A.入侵检测系统B.防火墙C.数据备份D.安全审计答案：B解析：预防性控制用于阻止安全事件发生，防火墙通过过滤未授权访问阻止攻击，属于预防性控制；入侵检测系统、安全审计属于检测性控制；数据备份属于纠正性控制。14.信息安全管理体系管理评审的组织者是？A.信息安全部门负责人B.IT部门经理C.最高管理者D.内部审核员答案：C15.下列关于信息安全策略的说法，错误的是？A.应由最高管理者批准发布B.应定期评审与更新C.只需覆盖技术层面的安全要求D.是信息安全管理的纲领性文件答案：C16.漏洞管理的核心闭环流程是？A.漏洞扫描→修复→验证B.资产识别→漏洞检测→风险评估→修复处置→验证闭环C.漏洞通报→修复→归档D.渗透测试→漏洞修复→复盘答案：B17.下列哪种攻击属于社会工程学攻击范畴？A.SQL注入B.钓鱼邮件C.DDoS攻击D.缓冲区溢出答案：B解析：社会工程学利用人的心理弱点获取信息或权限，钓鱼邮件通过伪装身份诱骗用户点击或泄露信息，属于典型的社会工程学攻击；其余选项均为技术类漏洞攻击。18.关于业务连续性计划（BCP）与灾难恢复计划（DRP）的关系，说法正确的是？A.BCP是DRP的子集B.DRP是BCP的子集C.二者完全独立D.二者完全相同答案：B解析：业务连续性计划（BCP）是覆盖全业务的持续运行保障体系，灾难恢复计划（DRP）是针对灾难场景的技术恢复方案，是BCP的组成部分。19.以下哪种风险属于不可接受风险？A.风险值低于组织设定的可接受阈值B.残余风险在可接受范围内C.风险发生概率高且影响程度大，超过组织承受能力D.采取控制措施后风险显著降低答案：C20.信息安全管理体系内部审核的核心目的是？A.评价体系的符合性与运行有效性B.获得第三方认证证书C.满足监管部门的检查要求D.提高员工的安全意识答案：A二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.下列属于信息安全核心属性的有？A.保密性B.完整性C.可用性D.可追溯性答案：ABC2.ISO/IEC27001:2022版信息安全管理体系附录A包含的控制组有哪些？A.组织控制B.人员控制C.物理控制D.技术控制答案：ABCD解析：ISO/IEC27001:2022版将原14个控制域调整为4大控制组，共93项控制措施，分别为组织控制、人员控制、物理控制、技术控制。3.信息安全风险评估的核心步骤包括？A.资产识别与赋值B.威胁识别与分析C.脆弱性识别与评估D.风险值计算与等级判定答案：ABCD4.常见的访问控制模型包括？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案：ABCD5.下列属于人员安全管理范畴的有？A.入职背景调查B.常态化安全意识培训C.离职权限回收D.机房门禁管理答案：ABC解析：人员安全管理覆盖员工入职、在职、离职全周期的安全管控；机房门禁属于物理安全控制措施。6.数据安全全生命周期包括以下哪些阶段？A.数据采集B.数据存储C.数据传输D.数据销毁答案：ABCD7.网络安全等级保护2.0的核心工作环节包括？A.定级备案B.建设整改C.等级测评D.监督检查答案：ABCD8.下列属于检测性安全控制的有？A.安全审计系统B.入侵检测系统（IDS）C.防火墙D.视频监控系统答案：ABD解析：检测性控制用于发现已发生的安全异常或事件，安全审计、入侵检测、视频监控均属于此类；防火墙用于阻止未授权访问，属于预防性控制。9.业务连续性管理（BCM）的核心目标包括？A.保障关键业务持续运行B.降低业务中断造成的损失C.完全杜绝安全事件的发生D.提升组织的应急响应能力答案：ABD解析：业务连续性管理无法完全杜绝安全事件，而是通过提前规划降低事件对业务的影响，保障核心业务持续运行。10.信息安全管理体系文件通常包含的层级有？A.一级文件：安全方针与总体策略B.二级文件：安全管理制度与规范C.三级文件：操作流程与实施指南D.四级文件：记录与表单答案：ABCD三、判断题（每题1分，共10分）1.信息安全管理的核心是风险管理。答案：正确2.ISO/IEC27002是信息安全管理体系的认证标准，可直接用于第三方审核认证。答案：错误解析：ISO/IEC27001是信息安全管理体系的认证要求；ISO/IEC27002是控制措施实践指南，不用于认证。3.残余风险是指组织未采取任何控制措施时存在的原始风险。答案：错误解析：未采取控制措施的原始风险为固有风险；残余风险是实施控制措施后剩余的风险。4.最小权限原则要求用户仅拥有完成其工作职责所需的最小权限范围。答案：正确5.物理安全只需关注机房的防火、防盗，不需要考虑温湿度、供电等环境因素。答案：错误6.信息安全策略一经发布便不可修改，需长期保持稳定。答案：错误解析：安全策略需定期评审，当业务、技术、威胁环境发生重大变化时应及时更新。7.社会工程学攻击属于技术类攻击，只能通过技术手段防范。答案：错误解析：社会工程学主要利用人的心理弱点与管理漏洞，防范需结合安全意识培训、流程管控与技术辅助，并非仅靠技术手段。8.网络安全等级保护第三级系统要求每年至少开展一次等级测评。答案：正确解析：根据等级保护相关规定，第三级系统每年至少进行一次等级测评，第二级系统每两年至少进行一次。9.内部审核和管理评审的内容与目的一致，均由信息安全部门负责实施。答案：错误解析：内部审核由审核组开展，侧重验证体系的符合性与执行有效性；管理评审由最高管理者组织，侧重从战略层面评价体系的适宜性、充分性、有效性，二者定位与组织者均不同。10.数据脱敏是指对敏感数据进行变形处理，使其在非生产场景下可安全使用，同时保留数据的格式与业务逻辑。答案：正确四、简答题（每题5分，共20分）1.简述信息安全管理体系（ISMS）基于PDCA循环的四个阶段核心工作。答案：(1)策划（Plan）阶段：明确体系范围与边界，制定安全方针与目标，开展风险评估，确定风险处置计划与控制措施要求；(2)实施（Do）阶段：落实风险处置措施，运行各项安全控制，开展人员培训、应急演练、安全运营等实施活动；(3)检查（Check）阶段：通过内部审核、安全监控、事件分析、绩效测量等方式，验证体系运行情况，识别不符合项与改进机会；(4)处置（Act）阶段：针对检查发现的问题采取纠正或预防措施，持续改进体系的适宜性、充分性与有效性。解析：需对应PDCA四个阶段的核心定位，答出关键工作内容即可得分，每个阶段1-2分，总分5分。2.简述信息安全风险评估的主要流程。答案：(1)评估准备：明确评估目标、范围与团队，制定评估方案，收集基础资料；(2)资产识别与赋值：梳理评估范围内的信息资产，根据保密性、完整性、可用性要求对资产进行价值赋值；(3)威胁识别：识别可能对资产造成损害的威胁来源与类型，评估威胁发生的概率；(4)脆弱性识别：识别资产存在的可被威胁利用的管理、技术、物理等层面的弱点，评估脆弱性的严重程度；(5)风险分析与评价：结合资产价值、威胁概率、脆弱性严重程度计算风险值，判定风险等级，明确可接受与不可接受风险清单。解析：答出5个核心步骤即可得满分，步骤顺序合理、内容完整即可，表述可灵活调整。3.简述网络安全等级保护制度的核心内涵与主要工作环节。答案：核心内涵：国家对网络（含系统、数据、应用等）实行分级分类保护，对不同级别的网络提出差异化的安全防护要求，保障网络安全稳定运行，维护国家安全、社会公共利益与公民合法权益（2分）。主要工作环节包括：(1)定级：根据系统重要性与受破坏后的影响程度确定保护等级；(2)备案：向公安机关提交定级材料完成备案手续；(3)建设整改：按照对应等级的标准要求建设安全防护体系；(4)等级测评：定期委托具备资质的第三方机构开展等级测评，验证合规性；(5)监督检查：接受公安机关、网信部门等监管主体的监督检查（3分，答出3个及以上环节得3分）。4.简述数据分类分级的意义与基本原则。答案：意义：数据分类分级是数据安全管理的基础，通过明确数据的重要程度与敏感级别，为差异化的安全防护策略提供依据，降低数据安全风险，提升数据安全管理效率，满足监管合规要求（2分）。基本原则包括：(1)合法合规原则：符合法律法规与行业监管的相关要求；(2)就高从严原则：同一数据涉及多个分类或分级时，按较高等级进行保护；(3)动态调整原则：根据业务变化、数据用途与威胁场景定期更新分类分级结果；(4)业务适配原则：结合组织业务实际开展，避免脱离业务场景设计规则（3分，答出3个及以上原则得3分）。五、案例分析题（共30分）案例背景某中型汽车零部件制造企业（以下简称甲公司）主要为国内头部车企提供核心零部件，核心业务系统为ERP系统与生产制造执行系统（MES），存储有大量客户订单、核心工艺数据与员工个人信息。2025年12月，甲公司发生一起重大网络安全事件：攻击者通过钓鱼邮件诱导财务人员点击恶意链接，获取了财务系统权限，随后横向移动至ERP与MES系统，加密了大量核心业务数据，并索要200万元比特币赎金。事件发生后，甲公司业务全面中断3天，造成直接经济损失超1000万元，且部分客户数据存在泄露风险。经事后调查，甲公司存在以下管理与技术问题：①未建立正式的信息安全管理体系，安全要求仅为零散的IT部门内部规定；②未定期开展全员安全意识培训，财务人员从未接受过钓鱼邮件防范专项培训；③未开展过系统的信息安全风险评估，核心系统存在大量未修复的高危漏洞；④核心业务数据仅做本地磁盘备份，未建立异地备份与灾难恢复机制；⑤未制定应急响应预案，事件发生后各部门职责不清，处置混乱；⑥不同业务系统之间未做网络隔离，账号权限存在交叉复用情况。###问题1.结合ISO/IEC27001信息安全管理体系的要求，从人员安全、技术安全、管理体系建设三个维度，分析甲公司存在的主要安全问题。（10分）答案：(1)人员安全维度（3分）：①未建立常态化的安全意识培训机制，员工尤其是财务等重点岗位人员缺乏社会工程学攻击防范能力；②未明确各岗位的安全职责，员工安全责任边界不清；③未针对重点岗位开展专项安全培训与考核，人员安全能力无法匹配岗位需求。(2)技术安全维度（3分）：①漏洞管理缺失，核心系统高危漏洞未及时修复，为攻击者横向移动提供了可乘之机；②数据备份与恢复机制不完善，仅采用本地备份，无法应对勒索加密等重大安全事件；③访问控制与边界防护不足，不同业务系统未做网络隔离，权限交叉复用，攻击者可轻易横向渗透。(3)管理体系建设维度（4分）：①未建立系统化的信息安全管理体系，缺乏统一的安全方针与策略，安全管理零散无序；②未建立风险评估机制，无法识别核心资产面临的风险并提前处置；③未建立应急响应机制，缺乏应急预案与演练，事件发生后处置混乱；④未建立持续改进机制，安全管理无法根据业务变化与威胁演变动态优化。解析：需结合ISO/IEC27001的控制要求对应分析，每个维度答出3个及以上核心问题即可得对应分数，言之有理可酌情给分。2.针对本次勒索病毒事件，简述甲公司应采取的应急响应核心流程与关键措施。（10分）答案：应急响应遵循"准备-检测-遏制-根除-恢复-总结"的闭环流程，针对本次勒索事件的关键措施如下：(1)检测与研判阶段（2分）：第一时间确认事件性质、感染范围与影响程度，排查被加密的系统与数据，评估事件等级，按规定向公安机关、网信部门等监管机构上报。(2)遏制阶段（2分）：立即断开受感染系统的网络连接，阻止勒索病毒进一步扩散；完整保留攻击现场的日志、恶意样本、屏幕截图等证据，禁止随意重启或格式化系统，避免破坏证据。(3)根除阶段（2分）：全面排查并清除攻击者留下的后门、恶意程序、异常账号等风险点；修复系统高危漏洞，加固访问控制与边界防护配置，彻底消除攻击入口。(4)恢复阶段（3分）：使用未被感染的离线/异地备份数据逐步恢复核心业务系统，优先恢复MES、ERP等关键生产系统；验证系统安全性与数据完整性后，逐步恢复网络连接，持续72小时以上监控运行状态。(5)总结改进阶段（1分）：事件处置完成后开展复盘分析，总结事件原因与处置中的不足，完善安全防护体系，避免同类事件再次发生。解析：需覆盖应急响应核心环节，结合勒索病毒事件"优先保证据、谨慎支付赎金、优先恢复核心业务"的特点作答，答出核心流程与对应措施即可得分。3.结合网络安全等级保护2.0与数据安全相关要求，为甲公司提出信息安全管理体系的改进建议（至少5条）。（10分）答案：改进建议需结合案例暴露的