2026年信息安全风险评估与控制考核试卷附答案

2026年信息安全风险评估与控制考核试卷附答案一、单项选择题（每题2分，共20分）1.信息安全风险评估的核心三要素是（）。A.资产、威胁、脆弱性B.技术、管理、人员C.攻击、防护、响应D.数据、系统、网络2.以下哪种风险评估方法更适用于需要量化风险等级的场景？（）A.德尔菲法B.头脑风暴法C.故障树分析（FTA）D.定性评估矩阵3.根据ISO27005:2022，风险处理的优先顺序应基于（）。A.管理层主观判断B.风险的可能性与影响程度C.历史事件发生频率D.合规性要求4.某企业发现其生产管理系统存在未修复的SQL注入漏洞（CVSS3.1评分7.5），同时该系统存储了客户订单信息（资产价值等级高）。此时该风险的综合等级应为（）。A.低风险B.中风险C.高风险D.极高风险5.针对提供式AI（AIGC）的信息安全风险，以下哪项不属于典型威胁？（）A.伪造高可信度钓鱼邮件B.自动化漏洞挖掘与利用C.提升数据加密算法强度D.提供深度伪造的生物特征数据6.量子计算对现有信息安全体系的主要威胁是（）。A.加速对称加密算法运算B.破解基于离散对数的公钥加密（如RSA、ECC）C.增强量子密钥分发（QKD）的安全性D.提高恶意软件的潜伏能力7.零信任架构（ZTA）的核心原则是（）。A.网络边界内完全信任B.持续验证访问请求的所有要素C.仅允许已知设备接入D.依赖传统防火墙进行防护8.供应链安全风险评估中，重点关注的第三方风险不包括（）。A.云服务提供商的漏洞管理能力B.硬件供应商的固件后门风险C.员工自带设备（BYOD）的使用规范D.开源软件组件的许可证合规性9.某医疗行业机构进行风险评估时，需特别关注的合规要求是（）。A.《网络安全法》B.《个人信息保护法》C.《医疗健康信息安全管理办法》D.《数据安全法》10.以下哪项不属于残余风险的处理方式？（）A.风险接受B.风险转移C.风险规避D.风险缓解二、判断题（每题2分，共10分。正确填“√”，错误填“×”）1.风险评估的目标是消除所有信息安全风险。（）2.资产价值评估仅需考虑经济价值，无需考虑声誉、法律等非经济因素。（）3.威胁源可分为自然威胁（如地震）和人为威胁（如内部员工误操作）。（）4.渗透测试（PenetrationTesting）是漏洞扫描（VulnerabilityScanning）的一种自动化实现方式。（）5.对于已实施控制措施的风险，若剩余风险仍高于可接受水平，需重新调整控制措施。（）三、简答题（每题6分，共30分）1.简述信息安全风险评估的主要步骤。2.列举CVSS3.1评分体系中的3个关键指标，并说明其对风险等级的影响。3.分析提供式AI（AIGC）给信息安全带来的新型风险。4.说明零信任架构在风险控制中的核心应用场景。5.量子计算时代，传统公钥加密体系的替代方案有哪些？四、案例分析题（共40分）【背景】2026年3月，某头部金融科技公司（简称“F公司”）发生数据泄露事件。攻击者通过伪造的员工身份，利用F公司云办公平台（SaaS服务）的OAuth2.0授权漏洞，获取了包含50万用户的银行卡信息、交易记录及生物识别数据（指纹、人脸）的数据库访问权限。经调查发现：F公司未对第三方云服务提供商的安全控制措施进行独立评估；云办公平台的多因素认证（MFA）仅在首次登录时触发，后续会话未持续验证；敏感数据存储未采用国密SM4加密，且访问日志保留仅30天；安全团队未定期开展针对新型攻击手法（如身份仿冒、API漏洞）的风险评估。问题：1.结合风险三要素（资产、威胁、脆弱性）分析该事件中的风险点。（15分）2.若F公司需重新开展风险评估，应选择定量评估还是定性评估？说明理由，并推荐至少2种适用的评估方法。（15分）3.针对该事件暴露的问题，提出至少5项具体的风险控制措施。（10分）答案一、单项选择题1.A2.C3.B4.C5.C6.B7.B8.C9.C10.C二、判断题1.×2.×3.√4.×5.√三、简答题1.主要步骤包括：（1）评估准备：明确目标、范围、团队及依据的标准；（2）资产识别：梳理信息资产（如数据、系统、设备）并赋值；（3）威胁分析：识别可能影响资产的自然/人为威胁，评估发生可能性；（4）脆弱性评估：检测资产存在的漏洞（如技术漏洞、管理漏洞）；（5）风险计算：结合威胁可能性、脆弱性可利用性及资产价值，计算风险等级；（6）风险分析：确定不可接受风险，提出处理建议；（7）报告编制：输出评估结果及改进措施。2.CVSS3.1的关键指标包括：（1）攻击复杂度（AC）：复杂度越低（如“低”），漏洞被利用的可能性越高，风险等级越高；（2）影响范围（S）：若漏洞影响多个系统（“改变”），则影响程度更大；（3）机密性影响（C）：若导致敏感数据完全泄露（“高”），则风险等级显著提升。3.新型风险包括：（1）伪造攻击：AIGC可提供高仿真的钓鱼邮件、虚假文档或生物特征数据，绕过传统检测；（2）自动化攻击：AI驱动的漏洞挖掘工具可快速定位系统弱点，缩短攻击周期；（3）数据投毒：通过向AI训练数据注入恶意样本，导致模型输出错误结果（如人脸识别误判）；（4）知识产权窃取：AIGC可分析公开数据提供盗版内容，侵犯企业专利或版权。4.核心应用场景包括：（1）远程办公访问：对每一次云服务访问请求（如SaaS平台登录）持续验证身份、设备状态及网络环境；（2）跨域数据交互：在不同安全域（如生产网与办公网）间传输数据时，验证访问权限及数据完整性；（3）第三方系统对接：与供应商、合作伙伴系统互联时，基于最小权限原则动态授权；（4）移动设备管理：对BYOD设备接入企业内网，实施设备健康状态（如是否安装恶意软件）实时检查。5.替代方案包括：（1）后量子密码（PQC）算法：如NIST已标准化的CRYSTALS-Kyber（密钥交换）、FALCON（数字签名），基于格密码等抗量子计算数学难题；（2）量子密钥分发（QKD）：利用量子力学特性实现无条件安全的密钥传输；（3）混合加密体系：传统加密（如AES）与后量子密码结合，提升过渡阶段的安全性；（4）同态加密：允许在加密数据上直接运算，减少明文暴露风险。四、案例分析题1.风险点分析：资产：F公司的核心资产包括用户银行卡信息（高敏感）、交易记录（业务关键）、生物识别数据（个人隐私核心）及云办公平台（业务支撑系统），资产价值等级极高；威胁：人为威胁（攻击者伪造员工身份、利用OAuth2.0漏洞），属于外部有组织攻击（APT）；脆弱性：①第三方云服务安全控制未独立评估（管理脆弱性）；②MFA未持续验证（技术脆弱性）；③敏感数据未加密存储（技术脆弱性）；④日志保留周期过短（管理脆弱性）；⑤未开展新型攻击风险评估（管理脆弱性）。2.应选择定量评估为主、定性评估为辅的混合方法。理由：F公司涉及用户金融数据，风险影响需量化（如数据泄露导致的经济损失、法律赔偿、声誉损失），定量评估可提供更精确的风险数值（如ARO、ALE），支持管理层决策。推荐方法：（1）故障树分析（FTA）：通过逻辑树分解攻击路径（如“伪造身份→利用OAuth漏洞→获取数据库权限”），计算各事件发生概率及整体风险值；（2）蒙特卡洛模拟：对威胁可能性、脆弱性可利用性等变量进行随机抽样，模拟不同场景下的风险损失分布；（3）资产价值量化（如采用市场法评估用户数据的经济价值）。3.控制措施：（1）第三方风险管控：与云服务提供商签订安全协议，要求提供SOC2报告，并每季度开展独立安全审计；（2）强化身份认证：实施持续多因素认证（如登录后每30分钟重新验证，或基于行为分析的动态MFA）；（3）数据加密保护：对敏感数据（银行卡信息、生物特征）采用国密SM4/SM9加密，密钥由F公司自主管理；（4）日志与监控优化：延长日志保留周期至180天（满足金融行业监管要求），部署AI驱动的异常检测系统