2026年信息安全工程师职业资格笔试试题

2026年信息安全工程师职业资格笔试试题一、单项选择题（每题1分，共30分）1.信息安全的核心三元组（CIA）不包括以下哪项？A.保密性B.完整性C.可用性D.可追溯性答案：D2.以下密码算法中，属于NIST选定的抗量子计算攻击的公钥密钥封装标准是？A.RSA-2048B.ECC-256C.CRYSTALS-KyberD.AES-256答案：C解析：RSA与ECC属于传统公钥密码，可被量子计算机通过Shor算法高效破解；AES是对称密码算法，不属于公钥范畴；CRYSTALS-Kyber是基于格密码的后量子公钥算法，已被NIST选定为后量子密码标准。3.零信任架构的核心原则是？A.默认信任内部网络用户B.仅验证外部访问请求C.永不信任，始终验证D.基于边界划分信任域答案：C4.以下哪项属于生成式人工智能（AIGC）服务的典型内容安全风险？A.服务响应延迟过高B.生成虚假有害信息与幻觉内容C.服务器硬件故障率高D.接口调用成本过高答案：B5.根据《网络安全等级保护条例》（2025年实施），第三级网络运营者应当至少多久开展一次等级测评？A.半年B.一年C.两年D.三年答案：B6.下列哪种攻击方式属于社会工程学攻击范畴？A.SQL注入B.钓鱼邮件C.DDoS攻击D.缓冲区溢出答案：B7.TLS1.3协议相比TLS1.2的主要改进不包括？A.简化握手流程，降低通信延迟B.移除RC4、3DES等不安全加密套件C.强制要求客户端证书认证D.支持0-RTT会话恢复答案：C解析：TLS1.3并未强制要求客户端证书认证，客户端证书仍为可选配置。8.数据安全治理的核心目标是？A.完全禁止数据跨域流动B.平衡数据安全保护与数据要素利用C.仅保护个人信息权益D.仅保障重要数据安全答案：B9.以下哪种安全控制措施属于物理安全范畴？A.防火墙规则配置B.机房门禁与视频监控C.入侵检测系统部署D.数据加密存储答案：B10.某电商网站存在SQL注入漏洞，攻击者最直接利用该漏洞可获取的资源是？A.服务器操作系统root权限B.网站后台数据库敏感数据C.用户浏览器本地CookieD.服务器物理位置信息答案：B11.公钥基础设施（PKI）的核心信任根组件是？A.注册机构RAB.证书认证机构CAC.证书吊销列表CRLD.数字证书库答案：B12.以下哪项不属于网络安全应急响应的标准阶段？A.准备阶段B.检测与分析阶段C.遏制与根除阶段D.系统废弃阶段答案：D13.以下哪种漏洞属于Web应用层漏洞？A.操作系统内核漏洞B.路由器固件漏洞C.跨站脚本（XSS）漏洞D.内存缓冲区溢出漏洞答案：C14.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者无需履行以下哪项义务？A.对生成内容进行AI标识B.保障训练数据来源合法C.公开模型的全部训练参数D.建立内容审核机制答案：C15.以下哪种安全技术可实现对网络流量的应用层深度检测与主动拦截？A.包过滤防火墙B.入侵防御系统（IPS）C.虚拟专用网络（VPN）D.负载均衡设备答案：B16.密码哈希算法的核心特性不包括？A.单向不可逆B.抗碰撞性C.定长输出D.可解密还原原始数据答案：D17.以下哪项属于《个人信息保护法》定义的敏感个人信息？A.公开的用户昵称B.用户头像C.生物识别信息D.公开的办公电话答案：C18.某企业部署零信任架构，以下哪种做法不符合零信任要求？A.对所有访问请求进行身份认证B.对所有访问权限进行动态校验C.默认信任企业内网用户的所有访问D.对所有访问行为进行全链路审计答案：C19.以下哪种攻击属于典型的应用层分布式拒绝服务攻击？A.SYNFlood攻击B.UDPFlood攻击C.HTTP洪水（CC）攻击D.ICMPFlood攻击答案：C20.数据分类分级的核心依据不包括？A.数据的重要程度B.数据遭到破坏后的危害程度C.数据的存储位置D.数据的敏感程度答案：C21.以下哪种安全模型主要用于保护信息的保密性？A.BLP模型B.Biba模型C.Clark-Wilson模型D.中国墙模型答案：A解析：BLP模型基于强制访问控制，核心目标是保护信息保密性；Biba与Clark-Wilson模型主要保护完整性；中国墙模型用于解决利益冲突问题。22.根据《网络安全法》，网络运营者的安全义务不包括？A.制定内部安全管理制度与操作规程B.采取防范网络攻击的技术措施C.定期开展员工绩效考核D.对重要数据进行备份与加密答案：C23.以下哪种密码工作模式仅用于消息认证，不能用于数据加密？A.ECB模式B.CBC模式C.GCM模式D.HMAC模式答案：D24.工业控制系统（ICS）的首要安全需求是？A.保密性B.可用性C.完整性D.可追溯性答案：B解析：工业控制系统的核心目标是保障生产连续稳定运行，停机可能造成重大经济损失甚至安全事故，因此可用性优先级高于保密性与完整性。25.以下哪项属于云原生安全的核心防护范畴？A.机房物理门禁B.容器镜像安全C.服务器硬件加固D.传统边界防火墙答案：B26.根据《数据安全法》，我国对数据实行的核心保护制度是？A.分类分级保护制度B.统一集中保护制度C.仅重要数据保护制度D.仅国家秘密保护制度答案：A27.跨站请求伪造（CSRF）攻击利用的核心缺陷是？A.Web应用仅依赖Cookie验证用户身份，未校验请求来源合法性B.Web应用未对用户输入进行特殊字符过滤C.Web应用存在SQL注入漏洞D.Web应用使用了不安全的对称加密算法答案：A28.以下哪项不属于信息安全管理体系（ISMS）的核心组成要素？A.安全方针B.安全组织C.技术防护D.市场营销答案：D29.后量子密码算法主要应对的安全威胁是？A.传统计算机的暴力破解B.量子计算机的密码破解能力C.社会工程学攻击D.物理渗透攻击答案：B30.某企业采用SASE（安全访问服务边缘）架构，该架构的核心特点是？A.将安全能力集中部署在总部数据中心B.将安全能力与网络能力融合，分布式部署在边缘节点C.仅保护内网用户的访问安全D.仅适用于物理边界清晰的传统网络答案：B二、多项选择题（每题2分，共20分）说明：每题的备选项中，有2个或2个以上符合题意，错选、少选均不得分。1.以下属于后量子密码算法主要类别的有？A.格密码B.哈希基密码C.椭圆曲线密码D.多元二次方程密码答案：ABD解析：后量子密码算法主要分为格密码、哈希基密码、编码基密码、多元二次方程密码、同源密码等类别；椭圆曲线密码属于传统公钥密码，可被量子计算机高效破解。2.零信任架构的核心技术组件包括？A.统一身份与访问管理（IAM）B.微隔离C.持续信任评估D.传统边界防火墙答案：ABC解析：零信任架构以身份为核心，打破传统边界信任模式，核心组件包括统一身份管理、微隔离、持续信任评估、动态权限调整等；传统边界防火墙是基于边界信任的安全组件，不属于零信任核心组件。3.生成式人工智能服务的典型安全风险包括？A.训练数据泄露与隐私侵权B.生成内容虚假有害C.模型被越狱滥用D.算力运营成本过高答案：ABC解析：生成式AI的安全风险涵盖隐私安全、内容安全、滥用风险、知识产权风险等；算力运营成本属于商业成本范畴，不属于安全风险。4.根据《个人信息保护法》，处理个人信息应当遵循的原则包括？A.合法、正当、必要原则B.诚信原则C.公开透明原则D.最小必要原则答案：ABCD解析：《个人信息保护法》明确规定，处理个人信息应当遵循合法、正当、必要和诚信原则，公开处理规则，采取对个人权益影响最小的方式，不得过度收集个人信息。5.以下属于网络安全应急响应核心阶段的有？A.准备阶段B.检测与分析阶段C.遏制与根除阶段D.长期废弃阶段答案：ABC解析：参考PDCERF应急响应模型，应急响应分为准备、检测、遏制、根除、恢复、跟踪六个阶段，废弃不属于应急响应阶段。6.云原生安全的核心防护对象包括？A.容器镜像与运行时B.微服务APIC.DevOps流水线D.物理服务器硬件答案：ABC解析：云原生安全覆盖容器安全、微服务安全、DevSecOps等领域，核心防护对象为云原生应用相关的组件与流程；物理服务器硬件属于IaaS层物理安全范畴。7.工业控制系统（ICS）的典型攻击面包括？A.可编程逻辑控制器（PLC）B.工业以太网交换机C.操作员站D.办公OA系统答案：ABC解析：工业控制系统的核心组件包括现场设备（PLC、RTU等）、工业网络设备、操作员站、工程师站、SCADA服务器等，均属于ICS攻击面；办公OA系统属于企业IT系统，不属于ICS本身的组件。8.数据安全治理的核心措施包括？A.数据分类分级B.数据全生命周期安全管理C.数据安全风险评估D.数据安全监测与预警答案：ABCD解析：数据安全治理是覆盖数据全生命周期的系统性工作，涵盖分类分级、风险评估、全生命周期防护、监测预警、应急处置、合规审计等多项措施。9.安全开发生命周期（SDL）验证阶段的核心工作包括？A.静态代码审计B.模糊测试C.渗透测试D.安全需求分析答案：ABC解析：SDL验证阶段的核心目标是检测软件的安全缺陷，包括静态代码审计、动态安全测试、模糊测试、渗透测试等；安全需求分析属于需求阶段的工作。10.以下属于网络安全等级保护第三级基本要求的有？A.每年至少开展一次等级测评B.建立统一的安全管理机构C.对重要数据进行异地备份D.无需开展安全培训答案：ABC解析：等级保护第三级要求包括定期等级测评、安全管理机构建设、数据备份恢复、安全培训等多项内容；安全培训是各级等保的通用要求，第三级明确要求定期开展全员安全培训。三、判断题（每题1分，共10分）1.零信任架构要求对所有访问请求进行身份认证与权限校验，无论访问来源是内网还是外网。答案：正确2.AES-256对称密码算法可有效抵抗量子计算机的暴力破解攻击。答案：正确解析：量子计算机的Grover算法可将对称密码的暴力破解复杂度从O(2n)降低到3.根据网络安全等级保护制度，第五级网络运营者仅需每两年开展一次等级测评。答案：错误解析：第五级为最高安全等级，实行国家特别保护，其测评与监管按照国家专项规定执行，并非每两年一次。4.跨站脚本（XSS）攻击仅能窃取用户Cookie，无法执行其他恶意操作。答案：错误解析：XSS攻击除窃取Cookie外，还可篡改页面内容实施钓鱼、诱导下载恶意文件、以用户身份执行敏感操作、窃取浏览器存储的其他敏感信息等。5.数字证书的核心作用是证明用户身份与公钥的绑定关系，由可信第三方CA签发。答案：正确6.生成式人工智能服务提供者仅需对生成内容的合法性负责，无需对训练数据的来源合法性负责。答案：错误解析：根据相关法规，生成式人工智能服务提供者应当对训练数据的合法性负责，不得侵害他人知识产权，不得非法收集、使用个人信息。7.工业控制系统的安全防护应当优先保障保密性，其次考虑可用性。答案：错误解析：工业控制系统的核心目标是保障生产连续稳定运行，因此可用性优先级最高，保密性次之，与传统IT系统的安全优先级存在差异。8.数据安全治理是信息安全部门的独立职责，无需业务部门与其他职能部门参与。答案：错误解析：数据安全治理是跨部门的系统性工作，需要管理层、业务部门、技术部门、法务合规部门、人力资源部门等多方协同参与。9.入侵检测系统（IDS）仅能被动检测攻击并告警，无法主动阻断攻击流量。答案：正确10.后量子密码算法的研究目标是设计能够抵抗量子计算机攻击的新型密码算法。答案：正确四、案例分析题（每题10分，共20分）1.某电商企业在2026年"6·18"大促期间，安全监测系统发现以下异常情况：（1）核心应用服务器CPU使用率持续飙升至95%以上，正常用户访问延迟从200ms上升至3s以上；（2）请求来源IP分散在全国30多个省份，且80%以上为动态住宅IP；（3）90%以上的异常请求目标为商品搜索接口，请求参数包含大量随机生成的关键词；（4）所有异常请求均携带有效的用户Cookie，其中60%对应的账号为近7天新注册账号。请回答以下问题：（1）判断该企业遭遇的网络攻击类型，并说明核心判断依据。（4分）（2）请列出至少3种针对该攻击的有效防护措施。（6分）答案：（1）攻击类型：应用层分布式拒绝服务攻击（HTTP洪水/CC攻击）。（1分）判断依据：①攻击目标为应用层业务接口（商品搜索接口），而非网络层或传输层；（1分）②攻击源IP高度分散，符合DDoS分布式攻击的特征；（1分）③请求携带有效Cookie、参数看似合法，难以通过传统网络层防护规则识别，属于应用层DDoS典型特征。（1分）（2）防护措施：①部署Web应用防火墙（WAF），配置基于访问频率、行为特征的CC防护规则，对异常请求触发人机验证或直接拦截；（2分）②引入行为式人机识别机制（如滑块验证、键鼠行为分析），对搜索接口等高频接口的访问请求进行人机校验，拦截自动化脚本请求；（2分）③建立用户行为分析模型，识别异常注册、异常访问的恶意账号，采取限制访问速率、临时封禁等处置措施；（2分）（补充答案合理即可，如：使用CDN与流量清洗服务分散攻击流量、优化接口缓存策略提升承载能力、基于IP信誉库拦截恶意IP段等，每点2分，最多6分）解析：本题考查应用层DDoS攻击的识别与防护。应用层DDoS攻击通过模拟真实用户的合法请求耗尽服务器资源，具有攻击源分散、行为隐蔽、绕过传统网络层防护等特点，防护需从流量识别、人机校验、账号治理、资源扩容等多维度构建纵深防御体系。2.某互联网公司推出AI智能健身App，核心功能包括：用户上传人脸视频进行AI体态评估、记录运动与健康数据、生成个性化健身计划。2026年3月，该App被监管部门通报存在以下合规问题：（1）用户首次打开App时仅弹出一个笼统的隐私政策弹窗，点击"同意"后即授权所有个人信息处理权限；（2）用户人脸视频与健康数据存储在公共云存储桶中，未加密且未设置严格的访问权限，存在泄露风险；（3）公司未经用户单独授权，将用户健康数据与运动数据提供给第三方保险公司用于精准营销。请结合《个人信息保护法》相关规定，回答以下问题：（1）该公司的做法存在哪些违法违规问题？（5分）（2）请针对上述问题提出具体整改建议。（5分）答案：（1）违法违规问题：①未履行告知同意义务，采用"一揽子授权"方式，未区分不同处理场景取得用户明确同意，违反了知情、自愿、明确的同意原则；（2分）②未对敏感个人信息（人脸生物识别信息、健康信息）采取严格的安全保护措施，违反了敏感个人信息的安全保护义务；（2分）③未经用户单独同意向第三方提供个人信息用于商业营销，违反了个人信息对外提供的合规要求。（1分）（2）整改建议：①优化授权流程，拆分隐私政策授权选项，对人脸信息、健康信息等敏感个人信息的处理单独取得用户明确同意，提供独立的授权开关与撤回路径；（2分）②对敏感个人信息实施全链路加密保护，包括传输加密、存储加密，云存储桶关闭公网公开访问，配置最小权限的访问控制策略，建立敏感数据访问审计机制；（2分）③梳理第三方数据共享场景，对向保险公司提供数据的场景单独征求用户同意，与第三方签订数据处理协议明确安全责任，定期审计第三方数据使用情况。（1分）（补充答案合理即可，如：开展个人信息保护影响评估、设置个人信息保护负责人、建立内部数据安全管理制度等，最多5分）解析：本题考查《个人信息保护法》中个人信息处理的合规要求，核心考点包括告知同意原则、敏感个人信息特殊保护、个人信息对外提供规则。根据法律规定，处理敏感个人信息应当取得个人单独同意，且应当采取比一般个人信息更严格的安全保护措施；向第三方提供个人信息的，应当向个人告知接收方相关信息并取得单独同意。五、综合应用题（共20分）某中型制造企业计划2026年启动数字化转型，建设工业互联网平台，实现生产设备联网、数据采集与远程运维。该企业现有生产网络与办公网络物理隔离，生产网络包含PLC、数控机床、SCADA系统、MES系统等工业组件。企业要求：既要保障生产系统安全稳定运行，又要满足网络安全等级保护第三级要求，同时符合工业控制系统安全相关标准。请你作为信息安全工程师，为该企业设计一套工业互联网安全防护方案，需包含以下内容：（1）网络边界安全防护设计；（6分）（2）工业主机与设备安全防护设计；（6分）（3）安全管理与运营体系设计。（8分）答案：（1）网络边界安全防护设计（6分）①生产网与办公网边界：将原物理隔离调整为逻辑隔离，部署工业级防火墙，配置白名单访问控制规则，仅允许必要的业务流量（如MES与ERP系统的数据交互）通过，禁止所有非必要跨网访问；（2分）②生产网内部区域边界：按照"分层分域"原则，将生产网络划分为现场设备层、过程监控层、生产管理层等安全域，域间部署工业防火墙或隔离网关，实现微隔离，防止攻击横向扩散；（2分）③工业互联网平台对外边界：部署下一