2026年信息安全管理(中级)模拟考试题与答案

2026年信息安全管理(中级)模拟考试题与答案一、单项选择题（每题2分，共30分）1.某企业计划通过ISO27001认证，其信息安全管理体系（ISMS）建设的关键步骤中，正确的顺序是？A.风险评估→建立方针→实施控制→内部审核→管理评审B.建立方针→风险评估→实施控制→内部审核→管理评审C.风险评估→实施控制→建立方针→管理评审→内部审核D.建立方针→实施控制→风险评估→管理评审→内部审核答案：B2.以下哪项不属于《数据安全法》中规定的重要数据处理者应履行的义务？A.定期开展数据安全影响评估并向有关部门报告B.对数据实行分类分级保护C.制定数据安全事件应急预案D.向社会公开所有数据处理活动的详细流程答案：D3.在风险管理中，“残余风险”是指？A.未被识别的风险B.采取控制措施后仍存在的风险C.已发生且造成损失的风险D.因外部环境变化新产生的风险答案：B4.某系统采用基于角色的访问控制（RBAC），管理员为“财务主管”角色分配了“查看财务报表”和“审批报销”权限。若新入职的财务人员需要临时行使财务主管职责，最合理的操作是？A.直接为该人员分配“查看财务报表”和“审批报销”权限B.将该人员添加到“财务主管”角色中C.为该人员创建临时角色并分配相同权限D.提升该人员账户权限至系统管理员级别答案：B5.以下哪种加密算法属于非对称加密？A.AES-256B.RSAC.DESD.SHA-256答案：B6.根据《个人信息保护法》，处理敏感个人信息时，除“取得个人单独同意”外，还需满足的条件是？A.公开处理规则B.明确处理目的、方式和范围C.具有特定的目的和充分的必要性D.向个人告知处理的必要性以及对个人权益的影响答案：C7.某企业发现员工通过私人邮箱外发公司设计图纸，最有效的技术控制措施是？A.加强员工安全意识培训B.部署数据防泄漏（DLP）系统，监控并阻断敏感数据外发C.限制员工使用私人邮箱D.定期审计员工邮件记录答案：B8.信息安全管理体系（ISMS）的核心是？A.技术防护手段的全面部署B.符合法律法规要求C.通过风险评估识别并控制风险D.获得第三方认证答案：C9.以下哪项不属于网络安全等级保护2.0中的“安全通信网络”层面要求？A.网络设备支持访问控制列表（ACL）B.重要通信链路具备冗余备份C.网络边界部署入侵检测系统（IDS）D.终端设备安装杀毒软件答案：D10.在数字签名过程中，发送方使用（）对数据摘要进行加密，接收方使用（）验证签名。A.接收方公钥；接收方私钥B.发送方私钥；发送方公钥C.发送方公钥；发送方私钥D.接收方私钥；接收方公钥答案：B11.某企业拟开展云服务采购，在选择云服务商时，最需关注的安全条款是？A.服务可用性保证（SLA）B.数据存储位置及跨境流动规则C.服务器硬件配置参数D.服务价格折扣方案答案：B12.以下哪项是信息安全事件分级的主要依据？A.事件发生的时间B.事件涉及的人员数量C.事件对业务连续性和数据安全的影响程度D.事件源IP地址的地理位置答案：C13.根据ISO27005《信息安全风险管理指南》，风险处理的方式不包括？A.风险规避B.风险转移C.风险保留D.风险忽略答案：D14.某系统登录验证采用“用户名+密码+动态令牌”方式，这属于（）控制措施。A.管理类B.技术类C.操作类D.物理类答案：B15.《关键信息基础设施安全保护条例》中规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对网络安全风险进行检测评估，频率至少为？A.每季度一次B.每半年一次C.每年一次D.每两年一次答案：C二、多项选择题（每题3分，共30分，多选、错选不得分，少选得1分）1.以下属于ISO27001标准中“信息安全控制目标”的有？A.安全策略B.人力资源安全C.资产管理D.系统开发与维护答案：ABCD2.数据分类分级的作用包括？A.明确不同数据的保护优先级B.降低数据存储成本C.指导访问控制策略制定D.简化数据备份流程答案：AC3.以下哪些属于物理安全控制措施？A.机房门禁系统B.服务器防火墙C.监控摄像头D.设备接地保护答案：ACD4.根据《网络安全法》，网络运营者应当履行的安全义务包括？A.制定内部安全管理制度和操作规程B.采取技术措施防范计算机病毒和网络攻击C.为公安机关提供技术支持协助网络安全监管D.定期对用户身份信息进行公开披露答案：ABC5.访问控制的常见模型包括？A.强制访问控制（MAC）B.自主访问控制（DAC）C.基于属性的访问控制（ABAC）D.基于角色的访问控制（RBAC）答案：ABCD6.信息安全事件应急响应的主要阶段包括？A.准备阶段B.检测与分析阶段C.抑制阶段D.恢复与总结阶段答案：ABCD7.以下哪些是云计算环境下特有的安全风险？A.多租户隔离失效B.云服务商内部人员滥用权限C.物理服务器硬件故障D.数据迁移时的泄露风险答案：ABD8.数字证书的作用包括？A.验证通信双方身份B.保证数据传输的完整性C.实现数据加密传输D.防止抵赖行为答案：ABCD9.以下属于管理类安全控制措施的有？A.制定信息安全方针B.开展员工安全培训C.实施访问控制策略D.定期进行安全审计答案：ABD10.《个人信息保护法》规定的“最小必要原则”要求？A.处理个人信息的种类应限于实现处理目的的最小范围B.处理个人信息的数量应限于实现处理目的的最小范围C.处理个人信息的时间应限于实现处理目的的必要期限D.处理个人信息的技术应采用最低成本方案答案：ABC三、判断题（每题1分，共10分）1.信息安全的“CIA三元组”指的是机密性、完整性和可用性。（）答案：√2.风险评估的主要目的是消除所有安全风险。（）答案：×（解析：风险评估旨在识别、分析风险，为风险处理提供依据，无法消除所有风险）3.对称加密算法的优点是加密速度快，缺点是密钥管理复杂。（）答案：√4.员工离职时，只需删除其系统账号即可，无需回收物理访问卡。（）答案：×（解析：需同时回收所有物理和逻辑访问权限）5.数据脱敏技术可用于保护个人信息，常见方法包括替换、掩码、泛化等。（）答案：√6.网络安全等级保护的“三重防护”指的是技术、管理、物理防护。（）答案：×（解析：三重防护为安全通信网络、安全区域边界、安全计算环境）7.信息安全事件发生后，应优先修复系统漏洞，再进行事件记录和报告。（）答案：×（解析：应先控制事件影响，再记录报告）8.基于生物特征的认证（如指纹、人脸）属于“基于拥有物”的认证方式。（）答案：×（解析：属于“基于特征”的认证方式）9.云服务模式中，SaaS（软件即服务）的用户需自行管理操作系统。（）答案：×（解析：SaaS用户仅使用应用程序，无需管理底层系统）10.《数据安全法》规定，数据处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。（）答案：√四、简答题（每题6分，共30分）1.简述ISO27001与ISO27005的关系。答案：ISO27001是信息安全管理体系（ISMS）的要求标准，规定了建立、实施、保持和改进ISMS的要求；ISO27005是信息安全风险管理指南，为ISO27001中的风险管理过程提供具体实施方法和技术指导。两者相辅相成，ISO27001明确管理体系框架，ISO27005指导风险评估与处理的具体操作。2.列举并说明访问控制的“三元组”要素。答案：访问控制三元组包括主体（Subject）、客体（Object）和控制策略（Policy）。主体是提出访问请求的实体（如用户、进程）；客体是被访问的资源（如文件、数据库）；控制策略是决定主体能否访问客体的规则（如“财务人员可访问工资表”）。3.简述数据泄露事件的应急处理流程。答案：（1）检测与确认：通过监控系统或报告发现异常数据流出，验证泄露的真实性和范围；（2）抑制扩散：关闭受影响系统、隔离网络、暂停相关账号权限；（3）评估影响：确定泄露数据类型（如个人信息、商业秘密）、涉及用户数量、可能造成的损失；（4）通知与响应：按法规要求（如《个人信息保护法》）向监管部门和受影响用户报告；（5）修复与改进：修补系统漏洞、加强访问控制、开展员工培训；（6）总结复盘：分析事件原因，更新应急预案。4.说明“零信任架构”的核心原则。答案：零信任架构的核心原则是“永不信任，始终验证”。具体包括：（1）持续验证访问请求的身份、设备、环境等上下文信息；（2）最小权限访问，仅授予完成任务所需的临时权限；（3）默认不信任内部和外部网络，所有流量均需加密并经过安全检查；（4）动态调整访问策略，根据实时风险评估结果自动收紧或放宽控制。5.列举《关键信息基础设施安全保护条例》中运营者需履行的三项特殊安全义务。答案：（1）设置专门安全管理机构，配备安全管理负责人和关键岗位人员；（2）对关键信息基础设施每年至少进行一次网络安全检测评估；（3）制定网络安全事件应急预案，并定期组织演练；（4）优先采购安全可信的网络产品和服务（任选三项）。五、案例分析题（共20分）案例背景：某电商平台近日发生用户数据泄露事件，泄露数据包括10万条用户姓名、手机号、收货地址及部分支付交易记录。经调查，事件原因为：（1）平台数据库未启用访问审计功能，某运维工程师通过默认弱密码登录数据库管理系统，导出用户数据并出售；（2）用户支付交易记录存储时仅使用MD5单向哈希，未加盐值；（3）事件发生后，平台未及时向用户和监管部门报告，导致部分用户因信息泄露遭遇电信诈骗。问题1：分析该平台在信息安全管理中存在的主要漏洞（8分）。问题2：提出针对性的改进措施（12分）。答案：问题1主要漏洞：（1）访问控制缺陷：数据库管理系统使用弱密码，未实施多因素认证；未启用访问审计功能，无法追踪异常操作；（2）数据保护不足：支付交易记录仅使用MD5哈希且未加盐，易被彩虹表破解，未采用更安全的加密方式（如AES加密或加盐哈希）；（3）安全管理缺失：运维人员权限管理不严，未遵循最小权限原则；（4）事件响应失效：未及时启动应急预案，未按《个人信息保护法》要求在72小时内向监管部门和用户报告；（5）安全意识薄弱：运维人员存在违规操作（出售数据），反映内部安全培训不足。问题2改进措施：（1）技术层面：加强访问控制：数据库管理系统启用多因素认证（如密码+动态令牌），禁用默认弱密码，定期轮换管理员账号；部署审计系统：对数据库访问行为进行全流量记录，监控异常操作（如批量数据导出）并触发警报；强化数据加密：支付交易记录采用“哈希+盐值”存储（如SHA-256加盐），敏感字段（如手机号）使用AES加密存储；网络防护：在数据库前端部署Web应用防火墙（WAF）和入侵检测系