2026年网络安全测评师考试试题及答案

2026年网络安全测评师考试试题及答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.依据GB/T28448-2025《信息安全技术网络安全等级保护测评要求》（2025年修订版），第三级网络安全测评中，身份鉴别控制点的“多因素鉴别”要求适用于哪类访问场景？A.普通终端用户登录内部办公系统B.运维人员通过堡垒机访问核心服务器C.外部访客接入公共无线网络D.内部员工访问公开信息门户网站答案：B解析：2025版等保2.0修订条款明确要求，第三级及以上系统的特权账户（运维、管理员）远程访问核心资源时，必须采用两种或两种以上鉴别技术组合，且至少一种鉴别技术为非口令类；普通用户日常办公、访客接入、公开信息访问场景无强制多因素要求。2.针对生成式人工智能服务的安全测评中，依据《生成式人工智能服务安全基本要求》（TC260-003），下列哪项属于“内容安全”维度的必测项？A.模型训练数据的个人信息脱敏率B.生成内容的违法有害信息拒答率C.模型推理接口的访问并发阈值D.训练数据集的知识产权溯源能力答案：B解析：生成式AI安全测评框架中，内容安全维度核心测评项包括违法有害信息拒答率、价值观一致性、虚假信息生成拦截率等；A属于数据安全维度，C属于服务可用性维度，D属于知识产权合规维度。3.下列哪项漏洞属于CVSS3.1评分标准中定义的“Critical（严重）”级别，且2025-2026年国家级攻防演练中作为最高优先级排查项？A.CVE-2025-21377WindowsServer远程代码执行漏洞（CVSS评分9.8）B.CVE-2024-3400某防火墙全局保护文件读取漏洞（CVSS评分7.8）C.CVE-2025-1234某OA系统存储型XSS漏洞（CVSS评分5.4）D.CVE-2023-23397MicrosoftOutlook权限提升漏洞（CVSS评分8.1）答案：A解析：CVSS3.1中评分9.0-10.0为严重级别，7.0-8.9为高危，4.0-6.9为中危，0.1-3.9为低危；CVE-2025-21377为2025年底披露的Windows核心服务无认证RCE，属于2026年护网行动必查的核心漏洞，其余选项评分均未达到严重级。4.在零信任架构测评中，依据GB/T41479-2022《信息安全技术网络安全等级保护安全设计技术要求》的零信任扩展要求，“持续信任评估”模块的核心测评证据不包括下列哪项？A.用户行为基线数据库更新记录B.终端安全状态实时校验日志C.静态网络区域访问控制列表D.访问会话风险动态调整策略答案：C解析：零信任架构的核心是“永不信任、始终验证”，持续信任评估基于用户、终端、环境的动态风险进行权限调整，静态ACL属于传统边界防护的控制措施，不属于零信任持续评估的核心证据。5.数据安全测评中，依据《数据出境安全评估办法》要求，处理100万人以上个人信息的处理者向境外提供个人信息时，应当履行哪项合规义务？A.仅需签订标准合同即可出境B.必须通过国家网信部门组织的数据出境安全评估C.完成个人信息保护认证即可出境D.仅需告知个人信息主体并取得单独同意答案：B解析：《数据出境安全评估办法》第四条明确，处理100万人以上个人信息的处理者向境外提供个人信息，或累计向境外提供10万人个人信息、1万人敏感个人信息的，必须申报数据出境安全评估；标准合同、个人信息保护认证适用于非强制申报场景。6.工业控制系统安全测评中，针对SCADA系统的测评，下列哪项操作属于测评过程中的禁止性行为？A.在停机维护窗口对PLC控制器进行漏洞扫描B.直接在生产运行时段对工控网络发起渗透测试C.核查工控操作员站的USB端口管控策略D.验证工控防火墙的工业协议白名单规则答案：B解析：工控系统测评必须遵循“生产优先、安全不影响业务”原则，运行时段严禁开展可能导致系统中断的渗透测试、漏洞扫描操作，所有可能影响生产的测评操作必须在停机窗口、经业务方确认后方可实施。7.移动互联网应用（App）安全测评中，依据《App违法违规收集使用个人信息行为认定方法》，下列哪项行为属于“未公开收集使用规则”？A.App首次运行时通过弹窗提示隐私政策，用户需主动点击同意后方可使用B.App隐私政策链接放置在“关于我们”页面三级子目录下，无明显指引C.App收集位置信息前单独弹出授权申请，说明收集目的与使用场景D.App为注册用户提供个人信息查询、更正、删除的操作入口答案：B解析：未公开收集使用规则的情形包括隐私政策难以访问（如放置在3级以上目录、无明显入口）、未在首次运行时提示规则、规则内容不完整等；其余选项均符合合规要求。8.密码应用安全性评估（密评）中，第三级信息系统的“网络和通信安全”层面，下列哪项密码算法属于不符合GM/T0024-2023《SSLVPN技术规范》要求的禁用算法？A.SM2椭圆曲线公钥密码算法B.SM4分组密码算法C.SHA-1哈希算法D.SM3密码杂凑算法答案：C解析：密评要求第三级及以上系统必须采用商用密码算法进行保护，SHA-1、MD5、RSA（1024位及以下）、DES等均属于已被破解、存在安全风险的非合规算法，严禁在密码应用场景中使用。9.云服务安全测评中，依据GB/T31167-2014《信息安全技术云计算服务安全指南》，IaaS模式下云租户的安全责任不包括下列哪项？A.虚拟机操作系统的安全补丁更新B.租户部署在云上的应用系统身份鉴别控制C.云平台物理服务器的磁盘冗余备份D.租户上传到云存储的数据加密答案：C解析：IaaS模式下云服务商负责物理基础设施、虚拟化层的安全，云租户负责操作系统以上（含操作系统）的安全，包括系统补丁、应用安全、数据安全等；物理服务器的硬件安全属于云服务商责任范畴。10.下列哪项工具属于网络安全测评中常用的开源漏洞扫描工具，且符合等保测评工具使用的合规要求？A.OpenVAS（Greenbone）B.暗网渗透工具包（含未授权攻击模块）C.破解版商业漏扫系统D.木马远控程序答案：A解析：测评过程中使用的工具必须具备合法授权，开源漏扫OpenVAS为合规测评工具；破解版工具、恶意攻击程序、暗网非法工具严禁用于正式测评场景，否则将违反《网络安全法》相关要求。11.渗透测试测评中，“提权”操作属于渗透测试哪个阶段的核心动作？A.信息收集阶段B.内网横向移动阶段C.后渗透阶段D.报告输出阶段答案：C解析：渗透测试流程为信息收集、漏洞探测、漏洞利用、后渗透（提权、权限维持、内网漫游）、报告输出，提权是在获取初始低权限访问权限后，通过系统漏洞或配置缺陷获取管理员/系统权限的操作，属于后渗透阶段核心内容。12.依据《网络安全漏洞管理规定》，测评机构发现测评对象存在可能引发重大网络安全事件的高危漏洞时，应当在多长时间内向属地网信部门和公安机关报告？A.24小时B.48小时C.72小时D.7个工作日答案：A解析：《网络安全漏洞管理规定》明确，测评机构、网络运营者发现危害关键信息基础设施的高危、严重漏洞，应当在24小时内上报主管部门，不得隐瞒漏洞信息，不得擅自发布未公开的零日漏洞细节。13.安全配置核查测评中，Linux服务器的口令复杂度策略要求，下列哪项配置符合第三级系统的基线要求？A.口令长度至少6位，仅包含数字B.口令长度至少8位，包含大写字母、小写字母、数字、特殊字符中的3类及以上C.口令长度至少12位，包含4类字符且90天强制更换D.口令无有效期要求，可永久使用答案：B解析：第三级系统Linux基线要求口令长度不低于8位，字符复杂度满足4类字符中至少3类，口令更换周期不超过90天；第四级系统要求长度不低于12位、4类字符全包含，因此B为第三级系统的合规要求。14.物联网安全测评中，针对智能感知节点（如摄像头、传感器）的安全测评，下列哪项属于必测的高危风险点？A.设备默认口令未修改B.设备外壳无防拆标识C.设备固件版本未更新到最新但无公开漏洞D.设备数据传输采用明文HTTP但无敏感信息答案：A解析：物联网设备默认弱口令是2025-2026年物联网攻击的核心入口，大量Mirai变种botnet通过默认口令批量控制摄像头、路由器等设备，属于必测高危项；其余选项为中低风险项。15.日志审计测评中，第三级系统的审计日志留存时间应当符合下列哪项要求？A.不少于1个月B.不少于3个月C.不少于6个月D.不少于12个月答案：C解析：《网络安全等级保护基本要求》明确，第三级系统审计日志留存时间不少于6个月，关键信息基础设施运营者的日志留存时间不少于12个月，互联网服务提供者的日志留存按《网络安全法》要求不少于6个月。16.供应链安全测评中，针对软件供应商的安全测评，下列哪项不属于供应链安全的必测内容？A.软件开源组件的漏洞台账B.软件交付包的完整性校验机制C.供应商员工的个人薪资水平D.软件更新包的签名验证机制答案：C解析：软件供应链安全测评核心包括组件漏洞、交付完整性、更新签名、开发过程安全等，供应商员工薪资属于企业内部经营信息，不属于网络安全测评范畴。17.关键信息基础设施安全测评中，依据《关键信息基础设施安全保护条例》，测评机构应当具备下列哪项资质方可开展关基测评工作？A.国家网络安全等级保护测评机构推荐证书，且为专门从事网络安全服务的企业B.软件著作权登记证书C.质量管理体系认证证书D.营业执照经营范围包含“网络安全服务”即可答案：A解析：《关键信息基础设施安全保护条例》要求，承担关基安全测评的机构必须是等保测评推荐目录内的机构，具备相应等级测评能力，且不得与被测评单位存在股权关联或利益关系；其余资质为通用资质，不是关基测评的准入要求。18.个人信息保护影响评估（PIA）测评中，下列哪类场景必须开展PIA？A.处理敏感个人信息达到国家网信部门规定数量B.企业内部员工通讯录更新C.官网发布企业公开新闻D.公开的企业联系电话更新答案：A解析：《个人信息保护法》明确，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向境外提供个人信息、公开个人信息等场景必须开展个人信息保护影响评估；其余场景为常规信息处理，无需开展PIA。19.无线网络安全测评中，针对企业办公Wi-Fi的安全配置，下列哪项配置属于高危风险？A.采用WPA3-Enterprise加密方式，结合802.1X身份认证B.采用WPA2-PSK加密，密码为12345678C.关闭SSID广播，采用MAC地址白名单准入D.开启无线入侵检测功能，监测非法AP接入答案：B解析：WPA2-PSK模式下弱密码（如连续数字、常见组合）可被暴力破解，攻击者可直接接入企业内网，属于高危风险；WPA3+802.1X为目前最高安全等级的无线配置，其余选项为安全加固措施。20.应急响应测评中，下列哪项不属于网络安全应急预案必须包含的核心内容？A.应急响应组织架构与职责分工B.不同等级安全事件的处置流程C.企业年度营收增长目标D.事件上报流程与联系方式答案：C解析：应急预案核心内容包括组织架构、事件分级、处置流程、上报机制、应急资源保障、演练计划等，企业营收目标属于经营管理内容，与网络安全应急无关。二、多项选择题（共10题，每题2分，每题有2-4个正确答案，多选、少选、错选均不得分）1.网络安全等级保护测评工作的基本流程包括下列哪些环节？A.测评准备B.方案编制C.现场测评D.报告编制与出具答案：ABCD解析：依据GB/T28449-2025《信息安全技术网络安全等级保护测评过程指南》，等保测评完整流程包括测评准备、方案编制、现场测评（含技术测评、管理测评）、分析与报告编制、测评质量控制等核心环节。2.下列哪些漏洞属于2026年网络安全测评中必须排查的高风险“通用产品漏洞”？A.2025年披露的某国产OA系统远程代码执行漏洞（未公开补丁）B.某开源组件Log4j2历史漏洞（已发布补丁但用户未修复）C.某路由器默认口令漏洞（存在公开利用工具）D.某测试环境存在的SQL注入漏洞（测试环境与物理网络完全隔离）答案：ABC解析：高风险漏洞需同时满足“可被利用、存在攻击路径、可能造成实际危害”三个条件，完全物理隔离的测试环境漏洞无外部攻击路径，不属于必须立即整改的高风险项；其余选项均存在现实攻击风险，属于必查高风险漏洞。3.数据安全测评中，依据《数据安全法》对数据分类分级的要求，下列哪些数据属于“重要数据”范畴？A.省级以上人口健康、医疗保障领域的批量敏感数据B.关键信息基础设施运营者收集的核心业务运行数据C.企业公开的产品宣传资料D.地理信息领域达到涉密精度以下、但泄露可能危害国家安全的测绘数据答案：ABD解析：重要数据是指一旦泄露可能危害国家安全、公共利益的数据，公开宣传资料属于公开信息，不属于重要数据范畴；其余选项均符合各行业重要数据目录的定义。4.网络安全管理测评中，第三级系统的安全管理机构要求包括下列哪些内容？A.设立专门的网络安全管理岗位，配备专职安全管理员B.建立网络安全领导小组，由单位主要负责人担任组长C.定期开展网络安全培训和考核D.与安全管理员、运维人员签订岗位安全保密协议答案：ABCD解析：等保管理测评中，安全管理机构控制点包括岗位设置、人员配备、授权审批、沟通合作、审核检查等要求，四个选项均为第三级系统的强制管理要求。5.渗透测试过程中，下列哪些操作必须获得被测评单位的书面授权后方可实施？A.对目标系统进行拒绝服务攻击测试B.对目标系统的敏感数据进行导出验证C.对生产环境的核心业务系统进行漏洞利用测试D.通过公开渠道收集目标系统的公开域名信息答案：ABC解析：公开渠道的信息收集（如WHOIS查询、公开搜索引擎信息检索）无需专门授权；可能影响业务运行、涉及敏感数据访问、可能造成服务中断的操作，必须获得被测评单位的书面明确授权，且需在可控范围内实施。6.密评工作中，下列哪些场景属于“密码应用正确性”的测评内容？A.密码算法是否为国家密码管理部门认可的商用密码算法B.密码协议实现是否存在逻辑漏洞（如密钥明文传输）C.密钥管理流程是否符合安全要求（如密钥定期更换、专人保管）D.系统是否采购了硬件密码机答案：ABC解析：密码应用正确性测评包括算法合规、协议实现安全、密钥管理合规三个核心维度，采购密码机属于密码产品部署要求，若密码机未正确配置使用，仍不符合密评要求，因此D不属于正确性测评的核心内容。7.云平台安全测评中，下列哪些属于多租户隔离的测评要点？A.不同租户的虚拟机之间是否存在虚拟机逃逸漏洞B.不同租户的云存储数据是否存在越权访问风险C.不同租户的网络流量是否通过VPC实现逻辑隔离D.云平台的物理机房是否设置了门禁系统答案：ABC解析：多租户隔离是云计算安全的核心要求，包括计算隔离（防逃逸）、存储隔离（防越权）、网络隔离（VPC）等；物理机房门禁属于物理安全测评范畴，与多租户逻辑隔离无直接关联。8.下列哪些情形属于网络安全测评中的“高风险判定”情形，可能导致等保测评结论为“不符合”？A.核心业务系统存在未修复的严重远程代码执行漏洞，且无任何防护措施B.特权账户全部使用默认弱口令，且未配置访问控制策略C.核心数据未做任何备份，无灾备机制D.安全管理制度文档未标注版本号答案：ABC解析：高风险判定遵循“可能造成核心业务中断、大面积数据泄露、系统被完全控制”的原则，前三个选项均可能引发重大安全事件，属于高风险；文档版本号问题属于一般管理缺陷，不构成高风险。9.API安全测评中，下列哪些属于常见的API安全风险点？A.API接口未做身份认证，可直接访问敏感数据B.API接口未做速率限制，可被暴力破解或爬虫批量获取数据C.API接口存在越权访问漏洞，可查看其他用户的个人信息D.API接口采用HTTPS加密传输答案：ABC解析：OWASPAPITop102023中，未授权访问、速率限制缺失、越权访问均属于排名靠前的API安全风险；HTTPS加密是安全传输措施，不属于风险点。10.工业控制系统测评中，下列哪些安全措施属于工控系统常见的有效防护手段？A.部署工业防火墙，配置工业协议白名单B.关闭工控操作员站的不必要USB端口，禁用移动存储介质自动运行C.在工控网络中直接部署互联网侧的漏洞扫描器，定期全量扫描D.对工控控制设备的固件进行完整性校验，防止恶意固件篡改答案：ABD解析：工控系统防护需兼顾可用性，直接部署互联网侧漏扫可能发送异常报文导致PLC、DCS设备宕机，属于错误操作；其余选项均为工控场景合规有效的防护措施。三、判断题（共10题，每题1分，对打√，错打×）1.网络安全测评过程中，测评人员可以将测评中获取的被测单位敏感数据私自留存用于技术研究。（×）解析：测评人员对测评过程中获取的所有业务数据、个人信息、配置信息负有保密义务，严禁私自留存、泄露或向第三方提供，涉密数据需按照保密规定处理。2.等保测评结论为“基本符合”的系统，不需要对存在的问题进行整改。（×）解析：等保测评结论为基本符合的系统，需对测评发现的高风险项限期整改，中低风险项制定整改计划，整改完成后需向测评机构提交整改证明材料。3.生成式AI服务提供者应当对生成的内容承担安全管理责任，建立内容生成审核机制。（√）解析：依据《生成式人工智能服务管理暂行办法》，生成式AI服务提供者对生成内容的合法性、安全性承担主体责任，必须建立内容审核、违法内容处置机制。4.数据安全测评中，只要对数据进行了加密存储，就完全满足数据安全保护要求。（×）解析：数据安全覆盖数据全生命周期，包括采集、传输、存储、使用、加工、传输、提供、公开、销毁等环节，加密存储仅为存储环节的保护措施，不能替代其他环节的安全控制。5.零信任架构下，内部网络的用户访问核心资源不需要进行身份验证，因为用户已经在可信网络内。（×）解析：零信任架构的核心是“永不信任、始终验证”，无论用户位于内网还是外网，每次访问核心资源都需要进行身份验证、终端校验和权限评估，不存在默认可信的网络区域。6.开展渗透测试时，只要获得被测单位的口头同意即可开展测试，不需要签署书面授权书。（×）解析：渗透测试属于可能影响业务、涉及数据访问的高风险测评活动，必须签署书面授权文件，明确测试范围、测试时间、测试边界、责任划分，口头授权不具备法律效力，且存在法律风险。7.关键信息基础设施运营者应当每年至少开展一次网络安全检测评估，评估结果报送相关主管部门。（√）解析：依据《关键信息基础设施安全保护条例》，关基运营者应当每年至少开展一次网络安全风险检测评估，每三年至少开展一次等级测评，评估结果报送公安、网信等行业主管部门。8.个人信息处理者可以在用户不知情的情况下，收集与业务功能无关的个人信息用于精准营销。（×）解析：《个人信息保护法》明确，个人信息收集需遵循“最小必要、知情同意”原则，不得收集与业务功能无关的个人信息，精准营销需获得用户单独同意，且提供拒绝个性化推荐的选项。9.无线网络采用MAC地址白名单准入就可以完全阻止非法用户接入。（×）解析：MAC地址可以被攻击者伪造，仅靠MAC白名单无法阻止非法接入，需结合强加密算法、身份认证机制实现无线安全防护。10.测评机构出具的网络安全测评报告可以作为被测单位网络安全合规的证明材料，具有法律效力。（√）解析：具备合法资质的测评机构按照国家标准开展测评出具的正式报告，是网络运营者满足等保合规、数据安全合规要求的有效证明材料，可作为监管检查、事件处置的参考依据。四、简答题（共4题，每题5分）1.简述网络安全等级保护第三级系统测评中，技术层面的5个测评控制点类别，并分别列举1个核心测评要求。答案：（1）物理和环境安全：核心要求包括机房门禁、防火、防水、防雷、电力供应保障、电磁防护等，例如机房需配置电子门禁系统，记录人员进出日志。（2）网络和通信安全：核心要求包括网络架构、访问控制、入侵防范、通信传输加密、边界防护等，例如网络边界需部署防火墙，配置端口级访问控制策略。（3）设备和计算安全：核心要求包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制等，例如服务器需配置安全审计策略，记录特权用户操作日志。（4）应用和数据安全：核心要求包括身份鉴别、访问控制、安全审计、数据完整性、数据保密性、数据备份恢复、个人信息保护等，例如应用系统需对敏感数据传输采用加密措施，防止数据窃听。（5）安全管理中心：核心要求包括系统管理、审计管理、安全管理、集中管控等，例如需部署统一安全管理平台，集中收集全网安全日志与告警。（每点1分，共5分）2.简述高风险漏洞的判定标准，以及测评中发现高风险漏洞后的处置流程。答案：高风险漏洞判定标准：①漏洞可被未授权远程利用，无需用户交互即可触发（1分）；②漏洞利用可导致系统被完全控制、核心数据泄露、业务大面积中断，且无有效临时防护措施（1分）。处置流程：①发现后立即停止相关测试，第一时间以书面形式通报被测单位安全负责人，说明漏洞危害、影响范围和临时缓解措施（1分）；②协助被测单位制定修复方案，在测试环境验证补丁有效性后，在业务低峰期部署补丁（1分）；③补丁部署完成后开展复测，确认漏洞修复完成，不存在修复引入的业务故障，将漏洞修复情况纳入测评报告（1分）。3.简述数据出境安全评估的核心测评要点。答案：数据出境安全评估核心要点包括：①数据出境的合法性基础：是否取得个人信息主体单独同意，是否符合法律法规要求，是否存在违规出境的情形（1分）；②出境数据的范围与规模：出境数据的类型、敏感程度、数量是否符合申报要求，是否属于禁止出境的核心数据（1分）；③数据接收方的安全保障能力：境外接收方的安全管理水平、所在国家/地区的数据保护法律环境，是否存在数据被境外政府机构调取的风险（1分）；④出境后的数据安全保护责任：双方签订的法律文件是否明确数据安全责任，是否对数据出境后的访问、使用、加工、再传输等环节作出约束（1分）；⑤风险防控措施：是否制定数据出境安全事件应急预案，是否存在数据泄露后的补救机制（1分）。4.简述2026年网络安全测评的新趋势，以及测评人员需要掌握的新增技能要求。答案：2026年测评新趋势：①覆盖场景从传统信息系统扩展到生成式AI、工业互联网、物联网、车联网、卫星互联网等新场景，测评标准体系进一步完善（1分）；②测评模式从静态配置核查向动态攻防验证、持续评估转变，零信任、数据安全、供应链安全成为测评核心内容（1分）。新增技能要求：①掌握生成式AI、大模型应用的安全测评方法，熟悉AI内容安全、数据安全、算法安全的测评指标（1分）；②掌握零信任架构、SASE、云原生安全的测评技术，熟悉云平台、容器、微服务的安全核查方法（1分）；③熟悉数据分类分级、数据出境、个人信息保护的合规要求，具备数据全生命周期安全测评能力（1分）。五、综合分析题（共2题，每题15分）1.某省级三甲医院2026年开展等保三级测评，被测系统为医院HIS核心诊疗系统，承载患者诊疗记录、电子病历、医保结算数据，系统部署在医院本地机房，对外提供互联网预约挂号服务，运维人员通过堡垒机访问服务器。现场测评发现以下问题：①核心HIS服务器存在CVE-2025-21377未授权远程代码执行漏洞，未安装补丁，也未在服务器前端部署虚拟补丁防护；②医生工作站终端未安装终端安全管理软件，部分医生使用个人U盘拷贝病历资料，终端USB端口无管控；③系统管理员账户口令为“Hos12345”，无口令复杂度策略，未配置多因素鉴别；④电子病历数据存储在服务器本地磁盘，未做加密，数据备份仅保存在机房本地服务器，无异地备份；⑤安全审计日志仅留存30天，未部署集中日志审计系统，特权用户操作日志无法追溯。请结合上述问题，回答以下问题：（1）请判定上述5个问题中哪些属于高风险问题，并说明理由。（9分）（2）请针对每个问题提出具体的整改建议。（6分）答案：（1）高风险问题判定及理由：①问题1属于高风险（1分）：理由：该漏洞为CVSS9.8分的严重级未授权RCE漏洞，攻击者可在无任何权限的情况下通过互联网直接攻击HIS服务器，获取服务器控制权限，导致核心诊疗系统中断、患者病历数据泄露，且无任何防护措施，可直接被利用，符合高风险判定标准（2分）。②问题2属于高风险（1分）：理由：终端无安全管控、USB端口未限制，攻击者可通过U盘摆渡植入恶意软件，横向移动到核心业务服务器，导致内网被攻陷；同时无管控的U盘拷贝会造成患者敏感病历数据泄露，违反《个人信息保护法》《医疗卫生机构网络安全管理办法》要求，可能引发重大数据泄露事件（1分）。③问题3属于高风险（1分）：理由：管理员账户使用弱口令，且未配置多因素鉴别，攻击者可通过暴力破解直接获取系统最高权限，控制整个HIS系统，属于身份鉴别层面的严重缺陷，可直接导致系统被完全接管（1分）。④问题4属于高风险（1分）：理由：核心电子病历数据无加密存储、无异地备份，若发生服务器硬件故障、勒索病毒攻击，将导致全部诊疗数据丢失，影响医院正常诊疗秩序，甚至引发医疗事故；数据未加密可导致泄露后被直接读取，违反数据安全保护要求（1分）。问题5不属于高风险，属于中风险（0分，说明不占分）：日志留存时间不足会导致安全事件无法追溯，但不会直接引发系统被攻击、数据泄露等重大事件，属于中风险问题。（2）整改建议：①针对漏洞问题：立即在核心服务器前端部署入侵防御系统（IPS），配置临时虚拟补丁规则阻断漏洞利用路径，在非诊疗时段（如凌晨停机窗口）测试并安装官方补丁，补丁安装完成后开展业务功能验证，避免补丁导致HIS系统故障（1.5分）。②针对终端问题：为所有医生工作站部署终端检测与响应（EDR）系统，开启病毒查杀、外设管控功能，禁用非授权USB存储设备，建立移动存储介质登记管理制度，严禁个人U盘接入诊疗网络（1.5分）。③针对账户问题：立即修改管理员默认弱口令，配置口令复杂度策略（长度8位以上、包含3类以上字符、90天更换），为所有特权账户部署多因素鉴别（如USBKey+口令），定期开展弱口令扫描（1.5分）。④针对数据问题：对存储的电子病历数据采用国密算法进行加密存储，建立“本地备份+异地灾备”的备份机制，异地备份点距离机房不小于100公里，定期开展备份数据恢复演练，确保数据可恢复（1.5分）。2.某市属国企2026年开展数据安全测评，该企业为城市供水关键信息基础设施运营者，业务系统存储1200万市民的供水缴费信息、个人身份信息，同时承担城市供水管网调度核心职能。测评发现：①企业未开展数据分类分级工作，所有数据存储在同一数据库中，未对敏感个人信息、重要调度数据做特殊权限控制；②存在开发人员直接将生产环境的市民个人信息拷贝到测试环境用于开发调试，测试环境无任何访问控制措施的情况；③企业计划将1200万市民的缴费信息传输给境外某数据分析公司用于用户行为分析，未开展数据出境安全评估；④企业未建立数据安全事件应急预案，2025年曾发生过内部员工倒卖10万条用户信息的事件，未对相关责任人进行追责，也未采取补救措施。请结合《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》要求，回答以下问题：（1）指出该企业存在的违法违规行为，并说明对应的法律责任。（8分）（2）请为该企业提出针