2026年网络与信息安全类考试《信息安全评估与管理》押题密卷及答案

2026年网络与信息安全类考试《信息安全评估与管理》押题密卷及答案一、单项选择题（每题1分，共20分）1.信息安全管理体系（ISMS）的核心思想是以（）为驱动，持续改进信息安全水平。A.合规要求B.风险评估C.技术升级D.业务需求答案：B解析：ISMS基于风险管理理念，风险评估是识别安全需求、制定控制措施的核心依据，贯穿体系建设与运行全过程。2.网络安全等级保护2.0标准体系中，第三级网络的等级测评周期要求是至少（）开展一次。A.每半年B.每1年C.每2年D.每3年答案：B解析：根据《网络安全等级保护条例》要求，第三级网络运营者应当每年至少开展一次等级测评，第四级每半年至少一次。3.下列风险评估方法中，属于定量评估方法的是（）。A.德尔菲法B.因素分析法C.FAIR法D.OCTAVE法答案：C解析：FAIR（FactorAnalysisofInformationRisk，信息风险因素分析）是典型的定量风险评估方法，通过量化资产价值、威胁频率、损失幅度等指标计算风险值；其余选项均为定性或半定量方法。4.ISO27001:2022版标准采用的高阶结构共有（）个章节。A.7B.10C.14D.20答案：B解析：ISO27001:2022采用ISO统一的高阶结构（HLS），共10个章节，确保与其他管理体系标准的兼容性。5.下列选项中，不属于漏洞评估常用工具的是（）。A.NessusB.OpenVASC.WiresharkD.X-Scan答案：C解析：Wireshark是网络抓包分析工具，主要用于流量分析与故障排查，不属于漏洞扫描评估工具；其余三项均为常见的漏洞扫描工具。6.业务连续性计划（BCP）中，衡量灾难发生后信息系统恢复时间要求的核心指标是（）。A.RPOB.RTOC.MTDD.WRT答案：B解析：RTO（RecoveryTimeObjective，恢复时间目标）指灾难发生后，信息系统从停止运行到恢复正常的最长允许时间，是衡量恢复时效的核心指标。7.信息安全风险评估中，资产价值的最终决定因素是（）。A.资产的采购成本B.资产的技术含量C.资产的业务重要性D.资产的部署位置答案：C解析：资产价值由其对组织业务的重要程度决定，而非采购成本等物理属性，业务影响越大，资产价值越高。8.网络安全等级保护2.0的“一个中心、三重防护”中，“一个中心”指的是（）。A.安全管理中心B.数据安全中心C.应急指挥中心D.运维管理中心答案：A解析：等保2.0的核心技术框架为“一个中心、三重防护”，其中“一个中心”指安全管理中心，“三重防护”指安全计算环境、安全区域边界、安全通信网络。9.下列关于渗透测试的说法，错误的是（）。A.渗透测试需要获得被测单位的书面授权B.渗透测试可以模拟真实攻击者的手段C.渗透测试不会对业务系统造成任何影响D.渗透测试分为黑盒、白盒、灰盒三种模式答案：C解析：渗透测试模拟真实攻击行为，可能对系统造成一定负载或影响，因此需要提前制定应急预案并在业务低峰期开展，选项C表述过于绝对。10.ISO27001认证的有效期为（），期间需接受年度监督审核。A.1年B.2年C.3年D.5年答案：C解析：ISO27001认证证书有效期为3年，有效期内每年需进行至少1次监督审核，到期前需申请再认证。11.信息安全风险处置策略中，“购买网络安全保险”属于（）策略。A.风险规避B.风险转移C.风险缓解D.风险接受答案：B解析：风险转移是指将风险的部分或全部后果转移给第三方，购买保险是典型的风险转移方式。12.下列选项中，不属于等级保护2.0管理层面要求的是（）。A.安全管理制度B.安全管理机构C.安全区域边界D.安全运维管理答案：C解析：安全区域边界属于技术层面要求，其余选项均为等保2.0管理层面的5个要求域之一（管理类包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理）。13.风险评估中，识别脆弱性时不需要考虑的因素是（）。A.技术漏洞B.管理流程缺陷C.人员安全意识不足D.黑客攻击动机答案：D解析：脆弱性是资产自身存在的弱点，包括技术、管理、人员等层面；黑客攻击动机属于威胁层面的因素，不属于脆弱性范畴。14.根据《数据安全法》，开展数据处理活动应当按照规定开展（），识别数据安全风险，采取相应防护措施。A.数据安全风险评估B.数据备份C.数据加密D.数据脱敏答案：A15.信息系统安全审计的核心作用是（）。A.提高系统运行效率B.降低系统运维成本C.追溯安全事件责任D.优化系统架构答案：C解析：安全审计通过记录系统操作与安全事件，实现事件追溯、责任认定与违规发现，是安全管理的重要支撑手段。16.下列关于OCTAVE风险评估方法的说法，正确的是（）。A.是一种纯技术导向的评估方法B.由CarnegieMellon大学提出，侧重组织层面的风险评估C.仅适用于大型金融机构D.不需要业务人员参与答案：B解析：OCTAVE（OperationallyCriticalThreat,Asset,andVulnerabilityEvaluation）由卡内基梅隆大学提出，是一种以业务为核心、自评估为主的风险评估方法，强调业务人员与安全人员的协同。17.等级保护2.0中，云计算平台的安全保护等级（）其承载的业务系统的最高安全保护等级。A.不得低于B.不得高于C.等于D.可低于答案：A解析：根据等保2.0云计算安全扩展要求，云平台的安全保护等级不得低于其上承载的业务系统的最高等级，确保底层平台安全能力匹配业务需求。18.信息安全管理体系内部审核的执行者是（）。A.组织的内审员B.第三方认证机构C.监管部门D.外部专家答案：A解析：内部审核由组织内部具备资质的内审员实施，用于验证ISMS运行的符合性与有效性；第三方审核由认证机构实施，用于认证注册。19.下列指标中，用于衡量数据备份恢复点要求的是（）。A.RTOB.RPOC.MTBFD.MTTR答案：B解析：RPO（RecoveryPointObjective，恢复点目标）指灾难发生后，系统能够恢复到的最近备份点的时间点，衡量数据丢失的最大容忍程度。20.供应链安全评估中，下列不属于供应商安全评估内容的是（）。A.供应商的资质与信誉B.供应商的产品安全能力C.供应商的员工薪酬水平D.供应商的应急响应能力答案：C解析：供应链安全评估主要关注供应商的安全资质、产品安全能力、安全管理体系、应急响应等与安全相关的内容，员工薪酬属于企业内部管理范畴，与安全评估无关。二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.根据GB/T20984《信息安全技术信息安全风险评估规范》，下列属于信息安全风险评估核心要素的有（）。A.资产B.威胁C.脆弱性D.安全措施E.风险答案：ABCDE解析：GB/T20984明确信息安全风险评估的核心要素包括资产、威胁、脆弱性、安全措施、风险、影响、可能性，题干选项中前五项均属于核心要素。2.网络安全等级保护2.0的“三重防护”包括（）。A.安全通信网络B.安全区域边界C.安全计算环境D.安全管理中心E.安全运维体系答案：ABC解析：等保2.0核心技术框架“一个中心、三重防护”中，三重防护指安全计算环境、安全区域边界、安全通信网络，安全管理中心属于“一个中心”的内容。3.下列属于ISO27001:2022版一级控制域的有（）。A.组织类控制B.人员类控制C.物理类控制D.技术类控制E.供应链类控制答案：ABCD解析：ISO27001:2022版将控制措施划分为组织类、人员类、物理类、技术类4个一级控制域，共93项控制；供应链安全属于组织类控制域下的控制主题，不属于独立的一级控制域。4.下列属于定性风险评估方法的有（）。A.德尔菲法B.因素赋值法C.FAIR法D.专家访谈法E.风险矩阵法答案：ADE解析：定性风险评估依靠经验与主观判断，常见方法包括德尔菲法、专家访谈法、头脑风暴法、风险矩阵法等；因素赋值法属于半定量方法，FAIR法属于定量方法。5.漏洞评估的主要流程包括（）。A.信息收集B.漏洞扫描C.漏洞验证D.渗透利用E.报告输出答案：ABCE解析：漏洞评估流程通常包括信息收集、漏洞扫描、漏洞验证、风险分析、报告输出等环节；渗透利用属于渗透测试的核心环节，不属于漏洞评估的常规流程，漏洞评估一般不进行破坏性利用。6.业务连续性管理中，下列属于核心衡量指标的有（）。A.RTO（恢复时间目标）B.RPO（恢复点目标）C.MTD（最大容忍中断时间）D.WRT（工作恢复时间）E.MTBF（平均无故障时间）答案：ABCD解析：业务连续性管理的核心指标包括MTD（最大容忍中断时间）、RTO（恢复时间目标）、RPO（恢复点目标）、WRT（工作恢复时间）等；MTBF（平均无故障时间）是衡量系统可靠性的指标，不属于业务连续性指标。7.信息安全管理体系审核按实施主体可分为（）。A.第一方审核B.第二方审核C.第三方审核D.监督审核E.再认证审核答案：ABC解析：按实施主体划分，ISMS审核分为第一方审核（内部审核）、第二方审核（客户审核）、第三方审核（认证机构审核）；监督审核、再认证审核属于第三方审核的不同阶段，不属于按主体划分的类型。8.开展个人信息保护影响评估（PIA）时，法定评估内容包括（）。A.个人信息处理活动的合法性、正当性、必要性B.对个人权益的影响及安全风险C.所采取保护措施的合法性、有效性D.个人信息主体的数量E.个人信息的存储介质类型答案：ABC解析：根据《个人信息保护法》第五十五条，个人信息保护影响评估应当包括：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。9.下列关于信息安全风险评估的说法，正确的有（）。A.风险评估可以分为自评估和检查评估B.风险评估需要定期开展，系统发生重大变更时也需重新评估C.风险评估只需要技术人员参与D.风险评估的结果可以作为安全投入的决策依据E.风险评估的目标是彻底消除所有风险答案：ABD解析：风险评估需要业务、管理、技术等多方面人员参与，选项C错误；受成本、技术等因素限制，信息安全风险不可能彻底消除，只能控制在可接受范围内，选项E错误；其余选项表述均正确。10.网络安全等级保护2.0的适用范围包括（）。A.基础信息网络B.传统信息系统C.云计算平台D.大数据平台E.物联网系统答案：ABCDE解析：等保2.0扩展了适用范围，覆盖基础信息网络、信息系统、云计算、大数据、物联网、工业控制系统、移动互联网等各类网络与信息系统，实现对网络空间的全覆盖。三、判断题（每题1分，共10分）1.信息安全风险评估的最终目标是将所有风险降低为零。答案：错误解析：受成本、技术等因素限制，信息安全风险不可能完全消除，风险评估的目标是将风险控制在组织可接受的范围内。2.网络安全等级保护2.0中，第五级是最高保护等级，由国家指定的专门部门进行监管。答案：正确3.ISO27001认证证书有效期内，组织不需要开展内部审核，只需接受认证机构的监督审核即可。答案：错误解析：内部审核是ISMS持续改进的必要环节，组织需定期开展内部审核，认证机构的监督审核不能替代内部审核。4.渗透测试的黑盒测试模式是指测试人员完全不了解被测系统的内部结构与代码，仅从外部模拟攻击者开展测试。答案：正确5.资产的价值等同于其采购成本，采购价格越高的资产安全价值越高。答案：错误解析：资产价值由其对组织业务的重要性决定，而非采购成本，业务影响越大、敏感性越高的资产价值越高。6.根据《网络安全法》，关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估。答案：正确7.风险接受策略只能用于低等级风险，不能用于高等级风险。答案：错误解析：风险接受策略适用于风险处置成本高于风险损失、且风险在组织可容忍范围内的情况；若高等级风险经过评估确认无法处置且业务必须承载，经高层审批后也可采用接受策略，但需配套严格的监控措施。8.基于特征库的漏洞评估只能发现已知漏洞，无法发现零日（0day）未知漏洞。答案：正确9.信息安全管理体系的建立是信息安全部门的职责，其他业务部门不需要参与。答案：错误解析：信息安全是全员责任，ISMS建设需要业务、管理、技术等各部门协同参与，业务部门的需求与配合是体系有效落地的关键。10.等保2.0中，云租户的业务系统部署在云平台上，其等级保护责任由云服务商全部承担。答案：错误解析：等保2.0云计算环境下实行“谁运营谁负责、谁使用谁负责”的原则，云服务商与云租户按责任边界分别承担相应的等级保护责任，而非全部由云服务商承担。四、简答题（每题5分，共20分）1.简述信息安全风险评估的基本流程。答案：信息安全风险评估的基本流程包括5个核心阶段：(1)风险评估准备：确定评估范围、目标、团队，制定评估方案，收集基础资料；（1分）(2)资产识别与赋值：识别评估范围内的所有资产，根据业务重要性进行价值赋值；（1分）(3)威胁与脆弱性识别：识别资产面临的各类威胁，以及资产自身存在的技术、管理、人员层面的脆弱性；（1分）(4)风险分析与评价：结合威胁发生的可能性、脆弱性被利用的难易程度、资产损失影响，计算风险值，划分风险等级；（1分）(5)评估报告输出：总结评估结果，提出风险处置建议，形成正式评估报告。（1分）2.简述网络安全等级保护2.0“一个中心、三重防护”技术框架的内涵。答案：“一个中心、三重防护”是等保2.0的核心技术防护体系：(1)一个中心：指安全管理中心，用于统一管控系统的安全策略、安全事件、安全配置、安全审计等，实现集中安全管理；（2分）(2)三重防护：①安全通信网络：保障网络传输的机密性、完整性与可用性，防范网络链路层面的攻击；（1分）②安全区域边界：通过边界防护、访问控制、入侵防范等措施，保障不同安全区域之间的边界安全；（1分）③安全计算环境：保障服务器、终端、应用、数据等计算资源的安全，是安全防护的最终落脚点。（1分）3.简述信息安全管理体系（ISMS）PDCA循环各阶段的核心工作。答案：ISMS采用PDCA（计划-执行-检查-处置）的持续改进模型：(1)计划（Plan）：确定ISMS的范围、方针、目标，开展风险评估，制定风险处置计划与控制措施；（2分）(2)执行（Do）：实施风险处置计划，落实安全控制措施，运行ISMS并记录运行过程；（1分）(3)检查（Check）：通过内部审核、管理评审、安全监控等方式，检查ISMS的运行效果，评估安全目标的达成情况；（1分）(4)处置（Act）：针对检查发现的问题，采取纠正与预防措施，持续改进ISMS的有效性，将成功经验纳入体系标准化。（1分）4.简述漏洞评估与渗透测试的主要区别。答案：漏洞评估与渗透测试均为安全评估的重要手段，主要区别体现在5个方面：(1)目标不同：漏洞评估以全面发现系统存在的漏洞为目标，侧重于漏洞的数量与严重程度；渗透测试以验证系统的实际可入侵性为目标，侧重于漏洞的可利用性与业务影响。（1分）(2)方法不同：漏洞评估主要通过工具扫描、配置核查等自动化或半自动化方式开展；渗透测试需要结合人工分析，模拟真实攻击者的思路与手段进行漏洞利用。（1分）(3)深度不同：漏洞评估以发现已知漏洞为主，评估深度较浅；渗透测试可以深入利用漏洞，甚至获取系统权限、窃取数据，评估深度更深。（1分）(4)风险不同：漏洞评估一般不会对业务系统造成破坏性影响；渗透测试模拟真实攻击，可能对系统造成一定负载或影响，需要严格管控。（1分）(5)结果呈现不同：漏洞评估结果以漏洞列表、风险等级、修复建议为主；渗透测试结果以攻击路径、实际影响、整改建议为主。（1分）五、案例分析题（每题10分，共20分）1.某地级市政务服务平台为第三级等保网络，2025年度等级测评中发现以下4项问题：①系统管理员账号采用8位静态口令，连续9个月未更换；②网站前端未部署Web应用防火墙，仅在边界部署了传统防火墙；③近1年未组织全体员工开展信息安全培训；④核心业务数据仅在本地机房进行备份，未建立异地备份机制。请结合网络安全等级保护2.0第三级要求，回答以下问题：(1)指出上述4项问题分别对应等保2.0的哪个安全层面（技术类/管理类及具体领域）；（4分）(2)针对每项问题提出具体的整改建议。（6分）答案：(1)各问题对应的安全层面：①属于技术类-安全计算环境-身份鉴别领域；（1分）②属于技术类-安全区域边界-入侵防范领域（或安全计算环境-应用安全领域）；（1分）③属于管理类-安全管理人员-安全培训领域；（1分）④属于技术类-安全计算环境-数据备份与恢复领域。（1分）(2)整改建议：①身份鉴别整改：启用口令复杂度策略，要求口令长度不低于10位，包含大小写字母、数字、特殊字符；设置口令最长使用期限为90天，强制定期更换；启用双因素认证（如口令+短信验证码/U盾），提升管理员账号安全等级。（1.5分）②Web防护整改：部署Web应用防火墙（WAF），配置SQL注入、XSS、命令执行等常见Web攻击防护规则；定期更新WAF规则库，开展防护效果验证；结合传统防火墙的访问控制策略，形成边界到应用的多层防护。（1.5分）③安全培训整改：制定年度安全培训计划，每年至少组织1次全员信息安全培训，内容包括等保要求、岗位安全责任、常见攻击防范、应急处置流程等；针对管理员、运维人员等重点岗位开展专项技术培训；建立培训考核机制，确保培训效果。（1.5分）④数据备份整改：建立异地备份机制，选择符合安全要求的异地备份中心，定期将核心业务数据备份至异地；制定数据备份与恢复策略，明确备份频率、保留周期、恢复流程；定期开展数据恢复演练，验证备份数据的可用性。（1.5分）解析：本题考查等保2.0第三级的核心要求，需准确区分技术类与管理类要求的具体领域，整改建议需具备可操作性，符合第三级的合规要求。2.某制造企业开展年度信息安全风险评估，针对核心生产管理系统识别出以下评估数据：-资产价值：核心生产管理系统直接影响生产运营，资产价值赋值为9分（满分10分，分值越高价值越高）；-威胁：面临勒索软件攻击的威胁，威胁发生可能性赋值为8分（满分10分，分值越高可能性越大）；-脆弱性：系统存在未及时打补丁的高危漏洞，脆弱性严重程度赋值为7分（满分10分，分值越高越严重）。已知风险值计算公式为：风风险等级判定阈值：风险值≥5为高风险，3≤风险值<5为中风险，风险值<3为低风险。请回答以下问题：(1)计算该勒索软件攻击风险的风险值，并判定风险等级；（4分）(2)列举4种常见的风险处置策略，并针对该风险提出具体的处置措施建议。（6分）答案：(1)风险值计算与等级判定：将已知数值代入公式：风（计算过程2分，结果正确1分）由于5.04≥5，该风险属于高风险。（1分）(2)常见风险处置策略包括：风险规避、风险转移、风险缓解（降低）、风险接受4种。（2分，答对1种得0.5分）针对该勒索软件高风险的具体处置建议：①风险缓解：及时安装系统安全补丁，关闭不必要的端口与服务；部署终端检测与响应系统（EDR），配置勒索软件防护规则；定期开展员工安全培训，提升钓鱼邮件识别能力；建立数据备份机制，定期备份核心数据并离线存储。（2分，答出2条以上即可给分）②风险转移：购买网络安全保险，将勒索攻击造成的部分经济损失转移给保险公司。（1分）③风险规避：若非核心业务模块，可暂时下线存在高危漏洞的系统模块，待修复后再上线；若业务必须运行，需配套严格的访问控制与监控措施。（1分）解析：本题考查定量风险评估的计算方法与风险处置策略的应用，需熟练掌握风险值计算公式与风险等级判定规则，处置措施需结合勒索软件攻击的特点具备针