2026年信息安全管理与应急响应考核试题及答案

2026年信息安全管理与应急响应考核试题及答案一、单项选择题（每题1分，共20分）1.信息安全的核心基本属性（CIA三元组）不包括以下哪一项？A.保密性B.完整性C.可用性D.不可否认性答案：D解析：不可否认性是信息安全的扩展属性，核心三元组为保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。2.网络安全等级保护2.0将信息系统的安全保护等级分为几级？A.3级B.4级C.5级D.6级答案：C解析：等保2.0沿用五级分类框架，从第一级（自主保护级）到第五级（专控保护级），保护要求逐级提升。3.根据国际通用的PDCERF应急响应模型，应急响应的首个阶段是？A.检测阶段B.准备阶段C.遏制阶段D.溯源阶段答案：B解析：PDCERF模型依次为准备、检测、遏制、根除、恢复、跟踪六个阶段，准备阶段是事件发生前的前置建设环节，是应急响应的基础。4.信息安全风险评估的核心三要素不包括以下哪一项？A.资产B.威胁C.脆弱性D.安全事件答案：D解析：风险评估的核心三要素为资产（保护对象）、威胁（损害来源）、脆弱性（资产薄弱点），三者共同决定风险的大小；安全事件是风险实际发生的结果。5.根据《国家网络安全事件应急预案》，我国网络安全事件共分为几个等级？A.3级B.4级C.5级D.6级答案：B解析：国家网络安全事件分为特别重大、重大、较大、一般四个等级，对应四级响应机制。6.企业内部发现大规模勒索病毒感染事件时，应急响应的首要操作是？A.断开感染终端的网络连接B.格式化所有感染终端C.支付赎金恢复数据D.溯源攻击真实来源答案：A解析：勒索病毒事件处置的首要目标是遏制扩散，断开感染终端网络可防止病毒通过横向渗透扩大影响范围，避免造成更大损失。7.ISO/IEC27001标准的核心是指导组织建立以下哪类体系？A.信息安全技术体系B.信息安全管理体系C.应急响应体系D.数据备份体系答案：B8.电子证据取证的首要原则是？A.完整性原则B.及时性原则C.合法性原则D.保密性原则答案：C解析：电子证据需具备司法效力的前提是符合合法性要求，取证主体、程序、手段均需符合法律规定，否则证据不被采纳。9.根据《网络安全法》，网络运营者的信息安全第一责任人是？A.信息安全部门负责人B.技术总监C.法定代表人或主要负责人D.系统管理员答案：C10.以下哪种应急演练形式不涉及真实系统操作，仅通过讨论推演处置流程？A.桌面演练B.功能演练C.全面演练D.实战演练答案：A解析：桌面演练是参演人员围绕预设场景，通过流程图、沙盘等辅助工具讨论处置流程的演练形式，无需操作真实业务系统。11.根据《中华人民共和国数据安全法》，我国数据分类分级保护制度中的最高级别数据是？A.敏感数据B.重要数据C.核心数据D.涉密数据答案：C解析：《数据安全法》将数据分为一般数据、重要数据、核心数据三级，核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，实行最严格的保护制度；涉密数据属于《保密法》管辖范畴。12.企业收到高危漏洞预警后，第一步应开展的工作是？A.立即全量部署补丁B.评估漏洞影响范围与风险C.关闭所有对外服务D.溯源漏洞利用情况答案：B解析：收到漏洞预警后需先评估自身资产是否受影响、风险等级高低，再结合业务兼容性等因素制定针对性的处置方案，避免盲目操作影响业务正常运行。13.ISO/IEC27001中信息安全管理体系（ISMS）采用的持续改进模型是？A.PDCERF模型B.PDCA循环C.瀑布模型D.敏捷模型答案：B解析：ISMS采用PDCA（计划-执行-检查-处置）循环实现体系的持续优化；PDCERF是应急响应模型，瀑布模型、敏捷模型属于软件开发模型。14.以下哪项不属于PDCERF模型中根除阶段的工作内容？A.清除系统中的恶意代码B.修补系统安全漏洞C.恢复业务系统运行D.移除攻击者预留的后门答案：C解析：恢复业务系统运行属于恢复阶段的工作；根除阶段的核心是彻底消除攻击根源，防止事件反复。15.以下哪项不属于信息安全管理中的人员安全管理范畴？A.入职背景审查B.岗位安全培训C.离职权限回收D.终端病毒查杀答案：D解析：终端病毒查杀属于技术运维范畴，人员安全管理覆盖员工入职、在职、离职全生命周期的安全管控。16.应急响应结束后，用于总结事件原因、处置过程与改进措施的核心输出文档是？A.漏洞扫描报告B.安全事件调查报告C.应急演练方案D.风险评估报告答案：B17.以下哪项不属于网络安全等级保护2.0的安全管理类要求？A.安全管理制度B.人员安全管理C.应用安全管理D.系统运维管理答案：C解析：应用安全管理属于等保2.0的技术类要求，管理类要求包括安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五大层面。18.以下哪种措施对预防勒索病毒攻击的效果最不明显？A.定期备份数据并离线存储B.及时安装系统与软件补丁C.禁用不必要的端口和服务D.增加终端内存容量答案：D19.主要聚焦IT系统故障后的恢复工作，属于业务连续性体系中哪个组成部分？A.BCP（业务连续性计划）B.DRP（灾难恢复计划）C.应急预案D.风险评估答案：B解析：DRP（灾难恢复计划）聚焦IT系统的灾难恢复，是BCP（业务连续性计划）的子集；BCP覆盖全业务流程的连续性保障，范围更广。20.组织的信息安全总体策略最终应由谁审批发布？A.信息安全经理B.技术负责人C.最高管理层D.法务部门答案：C解析：信息安全策略是组织级的核心管理制度，需由最高管理层审批发布，才能具备足够的权威性，保障全组织的落地执行。二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.根据PDCERF应急响应模型，以下属于遏制阶段工作内容的有？A.断开受感染主机的网络连接B.封锁被攻击者控制的账号C.清除系统中的恶意程序D.临时关闭存在漏洞的对外服务E.溯源攻击的真实身份答案：ABD解析：遏制阶段的核心目标是阻止事件进一步扩散、降低损失，常见措施包括断开感染终端网络、封禁恶意账号/IP、临时关闭风险服务等。C选项清除恶意程序属于根除阶段工作，E选项溯源攻击身份通常属于根除或跟踪阶段工作。2.信息安全风险处置的基本方式包括以下哪些？A.风险规避B.风险转移C.风险接受D.风险缓解E.风险消除答案：ABCD解析：信息安全风险处置的四种基本方式为：风险规避（停止涉及风险的活动）、风险缓解（采取措施降低风险发生概率或影响）、风险转移（将风险转嫁给第三方，如购买保险、安全外包）、风险接受（主动承担残余风险）。信息安全风险无法被绝对消除，所有措施都只能降低风险，因此E选项错误。3.以下属于网络安全等级保护2.0安全技术要求范畴的有？A.物理和环境安全B.网络和通信安全C.安全管理制度D.应用和数据安全E.设备和计算安全答案：ABDE解析：等保2.0安全要求分为技术要求和管理要求两大类，其中技术要求包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面；安全管理制度属于管理类要求。4.电子证据具备司法效力的核心原则包括以下哪些？A.合法性原则B.客观性原则C.关联性原则D.优先性原则E.保密性原则答案：ABC解析：电子证据的三大核心采信原则为合法性（取证主体、程序、手段合法）、客观性（证据真实未被篡改）、关联性（证据与案件事实存在关联）。优先性、保密性均不属于电子证据的法定采信原则。5.网络安全应急预案通常应包含以下哪些核心内容？A.应急组织机构及职责B.事件分级与响应流程C.应急处置技术手册D.应急资源保障E.事后复盘与改进机制答案：ABCDE解析：完整的网络安全应急预案应覆盖事前准备、事中处置、事后改进全流程，上述选项均为应急预案的核心组成部分。6.勒索病毒常见的传播途径包括以下哪些？A.钓鱼邮件附件B.远程桌面弱口令爆破C.系统漏洞利用D.恶意软件捆绑下载E.U盘等移动存储介质答案：ABCDE解析：勒索病毒的传播手段多样，上述选项均为其典型传播方式，其中钓鱼邮件、漏洞利用、弱口令爆破是大规模勒索攻击的三大主要入口。7.以下属于应急响应准备阶段工作内容的有？A.制定应急预案与操作手册B.部署入侵检测与日志审计系统C.开展应急演练与技能培训D.储备应急工具与备件资源E.调查安全事件发生原因答案：ABCD解析：应急响应准备阶段是事件发生前的前置建设工作，核心是提升应急处置能力，包括制度流程建设、技术工具部署、人员培训演练、资源储备等。E选项事件原因调查属于跟踪阶段工作。8.根据《国家网络安全事件应急预案》，网络安全事件分级的核心判定维度包括？A.危害国家安全程度B.社会影响范围C.经济损失数额D.涉事单位规模E.攻击技术难度答案：ABC解析：国家网络安全事件分级以事件造成的实际危害程度为核心，主要从国家安全危害、社会影响、经济损失三个维度判定，与涉事单位规模、攻击技术难度无直接关联。9.以下关于信息安全应急响应的说法正确的有？A.应急响应的核心目标是尽可能降低事件造成的损失B.所有安全事件都必须第一时间上报监管部门C.应急处置过程中应注意保存电子证据D.事件结束后无需进行复盘总结E.业务部门无需参与应急响应工作答案：AC解析：B选项错误，只有达到相应级别的安全事件才需按规定上报监管部门；D选项错误，事后复盘是应急响应的重要环节，用于发现问题、优化体系；E选项错误，业务部门需参与影响评估、业务恢复等工作，是应急响应的重要参与方。10.数据泄露事件的应急处置措施包括以下哪些？A.立即阻断数据泄露的渠道B.评估泄露数据的敏感程度与影响范围C.及时通知受影响的用户或相关方D.彻底删除泄露的所有数据E.排查并修补导致泄露的安全漏洞答案：ABCE解析：D选项错误，数据一旦泄露，无法保证彻底删除所有外流副本，处置重点是阻断泄露渠道、评估影响、通知相关方、修补漏洞、降低后续危害。三、判断题（每题1分，共10分）1.信息安全管理的核心是技术防护，管理制度只是辅助手段。答案：错误解析：信息安全遵循"三分技术、七分管理"的原则，管理制度是技术防护有效落地的前提和保障，是信息安全管理的核心组成部分。2.应急响应中，遏制措施的优先级高于短期业务连续性，必要时可以暂时中断业务以阻止事件扩散。答案：正确解析：如果事件扩散造成的损失远大于业务暂时中断的损失，应优先采取遏制措施，避免更大范围的业务中断和数据损失。3.风险评估只需要在系统建设阶段开展一次即可，运行阶段无需重复进行。答案：错误解析：风险是动态变化的，系统运行过程中会不断出现新的威胁、新的脆弱性，需定期或在重大变化时开展风险评估。4.网络安全等级保护2.0中，第三级信息系统每年至少开展一次等级测评。答案：正确解析：根据等保2.0相关要求，第三级信息系统运营、使用单位应当每年至少开展一次等级测评，第四级每半年至少开展一次。5.电子证据取证时，为提高效率，可以直接在原始存储介质上进行分析操作。答案：错误解析：电子证据取证必须遵循"不破坏原始介质"原则，需先对原始介质进行完整镜像备份，在备份介质上开展分析，避免破坏原始证据的完整性。6.应急预案的演练应尽量贴近真实场景，因此所有演练都必须采用实战演练的形式。答案：错误解析：应急演练包括桌面演练、功能演练、实战演练等多种形式，需根据演练目标、资源情况、业务影响等选择合适的形式，并非都需要实战演练。7.勒索病毒事件中，为了尽快恢复业务，应优先选择支付赎金的方式获取解密密钥。答案：错误解析：支付赎金不仅会助长攻击者的嚣张气焰，且无法保证数据完全恢复，还可能面临法律合规风险，应优先通过备份恢复、漏洞修复等合法方式处置。8.组织的信息安全第一责任人是信息安全部门负责人。答案：错误解析：根据《网络安全法》等法律法规要求，网络运营者的法定代表人或主要负责人是网络安全第一责任人。9.应急响应的恢复阶段，应按照"先核心业务、后次要业务"的顺序逐步恢复系统运行。答案：正确解析：业务恢复需遵循优先级原则，优先恢复核心业务系统，最大程度降低事件对组织正常运营的影响。10.漏洞修复完成后，无需进行验证即可确认漏洞已彻底解决。答案：错误解析：漏洞修复后必须进行验证测试，确认漏洞确实被修补，且未引入新的安全问题或业务兼容性问题。四、简答题（每题10分，共30分）1.简述PDCERF应急响应模型的六个阶段及各阶段的核心目标。答案：（1）准备阶段（Preparation）：核心目标是建立应急响应能力，包括制度建设、工具部署、人员培训、演练开展等，为应急响应提供基础保障。（2分）（2）检测阶段（Detection）：核心目标是及时发现安全事件，判断事件类型、影响范围与严重程度，触发应急响应流程。（2分）（3）遏制阶段（Containment）：核心目标是阻止事件进一步扩散，限制攻击的影响范围，降低事件造成的损失。（1.5分）（4）根除阶段（Eradication）：核心目标是彻底清除攻击的根源，包括恶意代码、攻击者后门、漏洞修补等，防止攻击者再次入侵。（1.5分）（5）恢复阶段（Recovery）：核心目标是将受影响的系统和业务恢复到正常运行状态，按照业务优先级逐步恢复，并验证恢复后的安全性。（1.5分）（6）跟踪阶段（Follow-up）：核心目标是对事件进行复盘总结，分析事件原因，优化安全防护体系与应急响应流程，避免类似事件再次发生。（1.5分）解析：本题考察应急响应领域的核心基础模型，答题时需注意六个阶段的先后顺序，每个阶段的核心目标需对应准确，避免将遏制与根除、恢复与跟踪的内容混淆。2.简述组织建立信息安全管理体系（ISMS）的基本步骤。答案：（1）确定ISMS范围：明确体系覆盖的组织部门、业务场景、信息系统、物理区域等边界。（1分）（2）制定信息安全方针：由最高管理层批准发布组织级信息安全总体方向、目标与原则。（1分）（3）开展风险评估：识别资产、威胁、脆弱性，评估风险发生概率与影响程度，确定风险等级与可接受准则。（2分）（4）制定风险处置计划：针对不可接受的风险选择合适的处置方式，明确安全控制措施、责任部门与时间节点。（2分）（5）实施与运行：落实安全控制措施，建立体系文件，开展人员培训与日常运维管理。（1分）（6）监视与测量：定期开展内部审核、合规性检查、管理评审，验证体系运行的有效性与适宜性。（2分）（7）持续改进：根据监视测量结果、内外部环境变化，对ISMS进行优化完善，实现持续改进。（1分）解析：本题考察ISO/IEC27001中ISMS建设的核心流程，答题时需遵循PDCA循环的逻辑，从规划到实施、检查、改进依次展开，突出风险评估与风险处置的核心地位。3.简述组织开展网络安全应急演练的主要目的。答案：（1）检验应急预案的有效性：通过演练发现应急预案中流程不合理、职责不清晰、措施不可行等问题，及时优化完善。（2分）（2）提升应急人员的处置能力：让应急人员熟悉应急流程、掌握工具使用方法，锻炼跨部门协同配合能力，提升应急处置效率。（2分）（3）验证应急资源的充足性：检验应急工具、设备、备件、外部服务等资源是否满足应急处置需求，及时补充短板。（2分）（4）增强全员安全意识：通过演练让相关岗位人员了解安全事件的危害与应对要求，提升整体安全防范意识。（2分）（5）满足合规性要求：符合网络安全等级保护、关键信息基础设施保护、ISO/IEC27001等法规标准对应急演练的强制性要求。（2分）解析：本题考察应急管理中演练的核心价值，答题时可从事前检验、能力提升、资源验证、意识培养、合规要求五个维度展开，覆盖预案、人员、资源、意识、合规五个层面。五、案例分析题（共20分）1.案例背景：某制造企业是省级专精特新企业，拥有核心生产系统、ERP系统、办公系统等重要信息系统。2025年11月，该企业遭遇大规模勒索病毒攻击，具体情况如下：-攻击起因：一名财务人员收到伪装成供应商对账函的钓鱼邮件，点击附件后终端被感染勒索病毒，病毒通过SMB弱口令横向渗透，3小时内感染80余台办公终端与2台生产辅助服务器，导致部分生产排产工作中断，财务数据被加密。-应急处置情况：事件发生后，信息部门第一时间尝试自行杀毒，未断开网络，也未上报管理层，导致病毒持续扩散；12小时后才联系外部安全厂商介入，最终部分数据通过备份恢复，但仍有3天的财务数据丢失，直接经济损失约200万元。-事后调查发现：该企业从未开展过信息安全风险评估，未制定正式的网络安全应急预案，员工每年仅接受1小时的通用安全培训，核心数据虽然有备份但未定期测试恢复性，且备份服务器与生产网络未隔离，也被病毒加密。请结合上述案例，回答以下问题：（1）分析该企业在信息安全管理方面存在哪些主要问题？（8分）（2）结合PDCERF应急响应模型，指出该企业在本次事件应急处置过程中的不当之处，并说明正确的处置流程。（7分）（3）针对本次事件，该企业应从哪些方面进行整改，提升信息安全与应急响应能力？（5分）答案：（1）信息安全管理方面的主要问题（8分，每点2分，答出4点即可得满分）：①安全管理体系缺失：未开展信息安全风险评估，未建立正式的网络安全应急预案与应急响应机制，安全管理无章可循。②人员安全管理不到位：员工安全培训不足，钓鱼邮件防范意识薄弱，是事件发生的直接人为诱因。③数据安全管理存在漏洞：备份机制不完善，未定期测试备份恢复有效性，且备份服务器未与生产网络隔离，导致备份数据也被加密，无法发挥恢复作用。④技术防护体系薄弱：终端未部署有效的防病毒、终端检测响应系统，账号口令管理不规范（存在SMB弱口令），未设置有效的边界访问控制，导致病毒快速横向扩散。⑤应急组织与职责不清晰：事件发生后未按规范流程上报，信息部门自行盲目处置，导致事件影响持续扩大。（2）应急处置的不当之处与正确流程（7分）：不当之处（3分，每点1分）：①未第一时间采取遏制措施：发现感染后未断开网络，导致病毒持续横向扩散，影响范围不断扩大。②处置流程不规范：未上报管理层，未启动应急响应机制，自行盲目杀毒，错失最佳处置时机。③应急资源储备不足：自身无专业应急处置能力，未提前与外部安全厂商建立应急