信息系统第三方测评岗位考试题库含答案

信息系统第三方测评岗位考试题库含答案一、判断题（每题1分，共10分）信息系统第三方测评机构应当保持独立性，不得与被测评单位存在影响测评结果公正性的利益关系。答案：正确根据网络安全等级保护制度要求，第三级以上信息系统应当每年至少进行一次等级测评。答案：正确信息系统第三方测评过程中，渗透测试可以在未获得被测评单位书面授权的情况下开展，以发现真实的安全漏洞。答案：错误测评人员在现场测评时发现被测评系统存在高危漏洞，可以直接对漏洞进行修复，帮助被测评单位提升安全能力。答案：错误信息系统第三方测评报告无需经过审核，由现场测评人员签字后即可交付委托方。答案：错误漏洞扫描过程中，为了避免影响被测评系统的正常运行，应当优先选择被动扫描方式，必要时经授权后再使用主动扫描。答案：正确开展软件性能第三方测试时，测试环境不需要和生产环境保持一致，只要测试工具统一即可保证结果准确。答案：错误第三方测评机构对测评过程中获知的被测评单位的敏感信息和业务数据负有保密义务，不得擅自泄露、向第三方提供。答案：正确信息系统第三方测评方案不需要征求被测评单位意见，由测评机构自行编制后直接执行即可。答案：错误对信息系统开展功能符合性测评时，应当严格对照需求规格说明书、合同约定的功能要求逐一验证，不得随意增减测试项。答案：正确二、单项选择题（每题2分，共30分）信息系统第三方测评的核心原则不包括以下哪一项？A.独立性B.客观性C.公正性D.盈利性答案：D根据《中华人民共和国网络安全法》规定，关键信息基础设施运营者应当（）至少开展一次网络安全检测和风险评估。A.每半年B.每年C.每两年D.每三年答案：B按照网络安全等级保护制度要求，测评机构对第三级信息系统开展等级测评时，测评对象覆盖比例要求描述正确的是（）。A.所有核心设备、关键链路必须全覆盖，其他设备可抽样，抽样比例不低于30%B.所有设备、链路、应用都必须100%全覆盖，不得抽样C.只需测评核心交换机和服务器，其他对象无需覆盖D.抽样比例不低于10%即可，无强制覆盖要求答案：A下列测评工具中，通常用于测试信息系统并发承载能力、响应时间、吞吐量等性能指标的是（）。A.NmapB.WiresharkC.JMeterD.Nessus答案：C信息系统第三方测评流程的正确顺序是（）。A.测评准备→方案编制→现场测评→分析与报告编制B.方案编制→测评准备→现场测评→分析与报告编制C.现场测评→测评准备→方案编制→分析与报告编制D.测评准备→现场测评→方案编制→分析与报告编制答案：A在等级测评过程中，发现被测评系统存在“互联网边界未部署访问控制设备，核心业务端口直接暴露在公网且无任何防护措施”的问题，该风险等级应当判定为（）。A.低危B.中危C.高危D.信息类答案：C根据GB/T25000.51-2016《系统与软件工程系统与软件质量要求和评价（SQuaRE）》，以下不属于软件产品质量特性的是（）。A.功能性B.性能效率C.兼容性D.盈利性答案：D第三方测评机构在开展渗透测试时，以下哪种做法是合规的？A.未获得书面授权就对目标系统开展渗透测试B.测试过程中发现系统存在弱口令，直接登录服务器查看敏感数据C.测试前制定详细的测试方案和应急预案，获得委托方书面授权后，在约定时间范围内开展测试D.为了测试系统的抗毁能力，直接对目标系统发起DDoS攻击导致业务中断答案：C以下关于第三方测评报告的描述，错误的是（）。A.测评报告应当客观、真实反映测评过程和发现的问题，不得隐瞒风险B.测评报告应当明确测评范围、测评依据、测评方法、测评结论C.测评报告可以根据被测评单位的要求，修改不符合实际的测评结果以帮助其通过合规检查D.测评报告应当经过编制、审核、批准三级质控流程后方可正式发布答案：C在物理安全测评中，以下哪项不属于机房物理访问控制的测评要点（）。A.机房出入口是否配置门禁系统，对进出人员进行身份鉴别和记录B.机房是否配备火灾自动消防系统C.重要区域（如主机房、配电室）是否配置第二道访问控制措施D.是否有外来人员进出机房的审批和登记流程答案：B对应用系统开展身份鉴别功能测评时，以下哪种情况属于不符合安全要求的（）。A.系统对连续多次登录失败的账号采取锁定措施B.系统用户的初始密码在首次登录时强制修改C.系统管理员账号使用固定的弱口令“admin@123”且长期不更换D.系统采用双因素鉴别方式对管理员用户进行身份验证答案：C漏洞扫描工作完成后，下列哪种做法是正确的（）。A.直接将扫描结果作为最终测评结论，不需要人工验证B.对扫描发现的漏洞逐一进行人工验证，排除误报，结合业务实际判定风险等级C.为了体现系统安全状况良好，删除所有高危漏洞的扫描记录D.扫描结果不告知被测评单位，直接上报监管部门答案：B数据安全测评中，对于存储敏感个人信息的系统，以下哪项措施是不必要的（）。A.对敏感个人信息采取加密存储措施B.对敏感个人信息的访问操作进行日志记录C.定期对敏感个人信息进行备份D.将所有敏感个人信息公开在互联网上供用户查询答案：D第三方测评项目实施过程中，以下哪种情况测评人员不需要回避（）。A.测评人员与被测评单位主要负责人是近亲属关系B.测评人员持有被测评单位的股份，存在经济利益关系C.测评人员3年前曾在被测评单位担任过普通技术人员，现已离职且无利益关联D.测评人员同时承接了被测评单位的安全整改咨询业务，可能影响测评公正性答案：C以下哪项不属于信息安全管理方面的测评内容（）。A.安全管理制度体系建设情况B.服务器操作系统的补丁安装情况C.人员安全培训和考核情况D.应急响应预案的制定和演练情况答案：B三、多项选择题（每题3分，共30分）（每题有2个及以上正确答案，多选、少选、错选均不得分）信息系统第三方测评的常见服务领域包括以下哪些选项（）。A.网络安全等级保护测评B.信息系统工程验收测评C.软件产品质量第三方测试D.数据安全合规评估答案：ABCD信息系统等级测评过程中，管理测评主要包括哪些方面的内容（）。A.安全管理制度B.安全管理机构C.安全管理人员D.安全建设管理E.安全运维管理答案：ABCDE以下关于测评质量控制的说法，正确的有（）。A.测评机构应当建立测评项目全流程质量管控机制B.测评原始记录应当妥善留存，保证可追溯C.测评人员不需要定期参加培训，只要具备基础技术能力即可上岗D.测评过程中使用的工具应当经过校准或验证，保证测试结果准确答案：ABD开展现场测评前，测评机构需要完成的准备工作包括（）。A.组建测评项目组，明确人员分工B.收集被测评系统的相关资料，如网络拓扑、资产清单、管理制度等C.编制测评方案，明确测评范围、内容、方法、时间安排及风险防控措施D.提前告知被测评单位测评过程中可能产生的业务影响，约定测评配合人员答案：ABCD以下属于信息系统安全测评常用技术工具的有（）。A.漏洞扫描器B.网络协议分析仪C.数据库安全审计系统D.渗透测试工具集答案：ABD测评人员在现场实施测评时，应当遵守的现场工作纪律包括（）。A.严格按照约定的测评方案开展工作，不得擅自扩大测评范围B.不得擅自操作被测评单位的生产系统，所有测试操作需经被测评单位人员确认C.不得复制、留存、泄露被测评单位的敏感数据和业务信息D.测评过程中如发现可能导致业务中断的重大风险，应当立即停止测试并告知被测评单位现场配合人员答案：ABCD软件产品第三方测试通常包含的测试类型有（）。A.功能测试B.性能测试C.安全性测试D.兼容性测试E.文档测试答案：ABCDE以下关于测评风险防控的说法，正确的有（）。A.开展可能影响业务运行的测试（如压力测试、漏洞扫描、渗透测试）前，必须制定回退预案B.高风险测试操作应当安排在业务低峰期开展C.测试过程中一旦出现业务异常，应当立即终止测试，配合被测评单位开展恢复工作D.为了发现更多漏洞，测试过程中不需要考虑业务影响，可以随意开展测试答案：ABC一份完整的第三方测评报告应当包含的核心内容有（）。A.测评项目概述、测评范围、测评依据B.测评过程和测评方法说明C.测评发现的问题清单、风险等级判定D.明确的测评结论和整改建议答案：ABCD第三方测评机构不得从事以下哪些活动（）。A.同时承接被测评单位的信息系统建设和安全整改业务，影响测评公正性B.伪造测评数据、出具虚假测评报告C.泄露测评过程中获知的国家秘密、商业秘密和个人信息D.强制或诱导被测评单位购买指定品牌的安全产品或安全服务答案：ABCD四、简答题（每题5分，共10分）请简述信息系统第三方测评与甲方自测、乙方测试相比，核心特点有哪些。答案：（1）独立性：第三方测评机构独立于信息系统的建设方（乙方）和使用方（甲方），与测评对象无直接利益关联，从机制上保障测评过程不受利益相关方干扰；（2）公正性：第三方测评严格遵循国家/行业标准、合同约定开展工作，测评结果不受单方诉求影响，客观反映系统真实状况；（3）权威性：具备合法资质的第三方测评机构出具的测评报告具备法定证明效力，可作为合规验收、监管检查、纠纷处理的客观依据；（4）专业性：第三方测评机构配备经过资质认定的专业测评人员、经过校准验证的测评工具、规范的全流程质量控制体系，测评方法和结果具备专业可信度。请列出信息系统等级测评的三种基本测评方法，并分别简要说明其内涵。答案：等级测评的三种基本方法为访谈、检查、测试：（1）访谈：测评人员通过与被测评单位的相关岗位人员（如管理人员、运维人员、业务操作人员）进行有针对性的交流，获取安全措施建设、落地、执行情况的相关信息；（2）检查：测评人员通过对各类文档（如管理制度、配置文件、操作日志、记录表单）、设备设施的外观、配置、运行状态进行查看、核对，验证安全措施的实际配置和执行情况；（3）测试：测评人员使用技术工具或人工操作的方式，对信息系统的安全机制、功能、性能进行实际验证，判断安全措施是否真实有效，常用测试手段包括漏洞扫描、渗透测试、性能压测、协议分析、基线核查等。五、案例分析题（每题10分，共20分）某第三方测评机构承接了某企业三级信息系统的等级测评项目，项目实施过程中出现以下行为：（1）项目组进场前未编制正式测评方案，仅凭项目负责人的个人经验就进场开展测评；（2）为了加快测评进度，测评人员在未告知企业现场配合人员的情况下，对核心业务服务器进行了高强度漏洞扫描，导致业务系统中断2小时，造成了直接经济损失；（3）测评完成后，项目组直接根据扫描工具输出的结果形成测评报告，未对发现的漏洞进行人工验证，报告中存在5个误报的高危漏洞，导致企业产生不必要的整改投入；（4）报告交付前，企业相关负责人找到项目组，称近期要迎接监管检查，希望项目组删除报告中2个真实的高危漏洞，保证报告结论为“优”，并承诺给项目组支付额外的咨询费，项目组同意了该要求，修改了报告内容。请结合第三方测评的规范要求，逐一指出以上4种行为存在的问题，并说明正确做法。答案：上述行为均违反第三方测评的规范要求，存在的问题及正确做法如下：（1）行为（1）问题：未按规范流程编制正式测评方案即进场测评，违反测评实施的流程要求，易导致测评范围偏差、内容缺失、测试风险不可控。正确做法：现场测评前应当根据前期收集的系统基础资料编制正式测评方案，明确测评范围、对象、内容、方法、时间节点、风险防控措施、应急回退方案，方案经内部质量审核通过并征得被测评单位书面确认后，方可进场实施。（2）行为（2）问题：未提前告知测试风险、未获得被测评单位现场确认即开展高风险测试操作，违反现场测评工作纪律，造成业务中断，属于测评实施严重不当。正确做法：开展漏洞扫描、压力测试、渗透测试等可能影响业务稳定运行的高风险测试前，应当明确测试范围和影响边界，制定回退预案，提前向被测评单位告知测试风险，获得对方确认后选择业务低峰期开展，测试过程中需有被测评单位运维人员在场配合，一旦监测到业务异常立即终止测试，配合对方开展业务恢复。（3）行为（3）问题：未对自动化工具输出的结果进行人工验证，直接形成测评结论，未落实测评质量控制要求，导致结果失实，增加被测评单位不必要的负担。正确做法：对工具扫描发现的漏洞和问题，应当逐一结合系统实际配置、业务场景开展人工验证，排除误报、漏报情况，准确判定风险等级后，方可将问题纳入测评报告，保证测评结果的准确性和客观性。（4）行为（4）问题：接受被测评单位的不当利益，隐瞒真实安全问题、出具虚假测评报告，严重违反测评公正性、客观性要求，属于违规违法行为，将承担相应的法律责任。正确做法：测评机构及人员应当严格遵守职业道德和法规要求，客观、真实记录测评过程中发现的所有问题，如实反映系统安全状况，不得接受被测评单位的利益输送，不得篡改测评结果、不得出具虚假或失实的测评报告。解析：本题覆盖测评方案编制、现场操作、质量控制、职业操守等全流程合规要求，核心考察测评人员对第三方测评“独立、客观、公正、科学”基本原则的落地应用能力。某政务服务信息系统被定为第三级网络安全等级保护对象，某测评机构在现场测评中发现以下问题：（1）系统互联网边界仅部署了一台接入路由器，未部署防火墙、入侵防御等访问控制和攻击防护设备，所有业务端口直接暴露在公网；（2）系统管理员账户使用弱口令“123456”，未配置登录失败处理功能，任何人员都可以尝试暴力破解登录；（3）系统数据库中存储的大量公民个人信息（身份证号、手机号、家庭住址）采用明文存储，未采取任何加密措施，且数据库服务端口直接映射到公网；（4）系统近3年未开展过应急演练，未制定数据备份策略，所有数据仅单份存储在服务器本地硬盘上。请结合等级保护基本要求，判定以上4个问题的风险等级，并简要说明原因，同时给出对应的整改方向。答案：以上4个问题均属于高危风险，具体判定原因及整改方向如下：（1）问题（1）风险等级：高危。判定原因：互联网边界无访问控制和攻击防护措施，核心业务直接暴露在公网，攻击者可无阻碍地访问内部系统，极易遭到非法入侵、网络攻击，可直接导致业务中断、数据泄露等严重后果。整改方向：在互联网边界部署防火墙、入侵防御系统（IPS）等边界安全防护设备，配置最小化的访问控制策略，仅开放业务必需的服务端口，阻断非法访问和常见网络攻击。（2）问题（2）风险等级：高危。判定原因：管理员账号使用弱口令且无登录失败锁定机制，攻击