2026年医院等保测评业务试题库(附答案)

2026年医院等保测评业务试题库(附答案)一、单项选择题（每题1分，共20分）1.根据《网络安全法》和《网络安全等级保护条例（征求意见稿）》，医疗卫生行业属于等级保护对象的哪一类？A.一般系统B.重要系统C.关键信息基础设施D.核心系统2.医院门户网站遭到攻击后，应首先完成等级保护工作的哪个环节？A.安全建设整改B.等级测评C.定级备案D.安全监测3.下列哪类医院信息系统一般建议定为第三级？A.医院门户网站B.内部办公自动化系统C.门诊挂号系统D.电子病历系统4.等级保护第三级系统要求每年至少开展几次测评？A.一次B.两次C.三次D.四次5.GB/T22239-2019《信息安全技术网络安全等级保护基本要求》将安全要求分为几大类？A.五类B.六类C.七类D.八类6.医院信息系统中存储的患者病历数据在分类上属于？A.一般业务数据B.重要数据C.个人信息和重要数据D.国家秘密7.在等级保护定级中，受侵害的客体不包括下列哪项？A.公民、法人和其他组织的合法权益B.社会秩序、公共利益C.公司商业利益D.国家安全8.等级测评报告的有效期为？A.一年B.两年C.三年D.没有明确规定9.医院核心业务系统使用无线网络进行业务传输，下列哪种做法符合等级保护要求？A.不采用无线网络B.无线网络与有线网络逻辑隔离C.全部业务通过无线传输D.只需设置简单密码10.在安全计算环境中，对登录操作系统和数据库的用户进行身份鉴别，要求采用哪种方式最符合三级要求？A.仅用户名和口令B.用户名加动态口令或生物识别等两种以上组合C.仅U盾D.免登录11.下列哪项属于安全管理中心的安全审计要求？A.对审计记录进行保护B.对安全设备进行统一管理C.对系统管理员、安全管理员、审计管理员进行身份鉴别D.对网络链路进行冗余12.医院HIS（医院信息系统）运维人员远程维护系统时，最安全的做法是？A.直接开放3389端口B.通过VPN接入并采用双因素认证C.使用默认口令D.仅在内网维护，禁止远程13.等级保护测评中，“控制点”和“要求项”的关系是？A.一个控制点对应一个要求项B.一个控制点包括多个要求项C.一个要求项包括多个控制点D.两者无关14.关于医院信息系统的灾难备份，下列描述正确的是？A.第三级系统应建立异地灾备中心B.第二级系统必须每天备份数据C.第三级系统应提供重要数据处理系统的热冗余，保证系统的高可用性D.灾备仅针对于数据库15.在医院等保测评中，“高风险判定指引”的作用是？A.确定系统等级B.对测评结果中的高风险项进行研判，指导整改C.替代测评报告D.用于备案16.下列哪项不属于安全物理环境中机房管理的要求？A.机房应设置电子门禁B.机房应安装温湿度控制设备C.机房应有防静电措施D.机房应配备灭火器材17.医院进行等保备案时，应向哪个部门提交备案材料？A.国家网信办B.公安机关C.卫生健康委员会D.工业和信息化部门18.等级保护测评过程中，测评人员发现医院信息系统存在SQL注入漏洞，该漏洞最可能发生在哪个层面？A.物理层B.网络层C.应用层D.数据链路层19.在《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）中，测评方式不包括下列哪项？A.访谈B.检查C.测试D.渗透20.医院云上部署的HIS系统，在等级保护中应遵循什么原则？A.云服务商负责全部安全B.医院只需关注自身业务安全C.采用“谁运营谁负责、谁使用谁负责”的原则D.不需要测评二、多项选择题（每题2分，共20分）1.根据GB/T22239-2019，等级保护第三级安全计算环境中身份鉴别的要求包括？A.对登录的用户进行身份标识和鉴别B.采用两种或两种以上组合鉴别技术C.启用登录失败处理功能D.对用户行为进行安全审计2.医院核心业务系统定级为第三级时，下列哪些是必须采取的测评项？A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心F.安全管理制度3.在安全区域边界中，恶意代码防范措施包括？A.在网络边界处检测与清除恶意代码B.在主机上安装防恶意代码软件C.对恶意代码防范措施进行统一管理D.开启入侵防护功能4.关于医院等级保护测评流程，下列哪些环节是正确的？A.测评准备活动B.方案编制活动C.现场测评活动D.分析与报告编制活动5.下列哪些属于安全管理中心“集中管控”的要求？A.划分特定管理区域B.对网络链路、安全设备、网络设备和服务器的运行状况进行集中监测C.对分散在各设备上的审计数据进行收集汇总和分析D.对管理数据、审计数据等进行异地备份6.医院信息系统中常见的无线网络安全隐患包括？A.弱口令或被破解的加密协议B.接入终端不受控C.无线网络与内网直接相连D.无线信号覆盖不足7.关于第三级系统的数据备份要求，正确的有？A.应提供本地数据备份功能B.应每天做增量备份C.应提供异地数据备份功能D.应提供重要数据处理系统的热冗余8.在等级保护现场测评中，“访谈”的对象通常包括？A.系统管理员B.安全管理员C.审计管理员D.医院领导9.医院门户网站发生网页篡改事件后，下列应急措施合理的包括？A.立即断开网站服务器网络B.发布声明并报警C.保存日志和现场证据D.删除被篡改页面后不做任何分析直接恢复10.下列哪些属于等级保护第三级安全通信网络中“通信传输”的要求？A.通信过程采用密码技术保证完整性B.通信过程采用密码技术保证保密性C.对通信设备进行冗余配置D.通信线路应有足够带宽三、判断题（每题1分，共15分）1.等级保护对象可以反复定级，每次测评时可以修改级别。2.医院信息系统的安全保护等级由业务信息和系统服务受到破坏时所侵害的客体及侵害程度决定。3.第三级系统的测评结果若存在高风险项，测评结论为“不符合”，必须整改后重新测评。4.等保测评报告中应包含测评对象、测评方法、测评内容和测评结论。5.医院可以通过购买安全服务的方式替代自身安全管理制度建设。6.安全通信网络中要求通信线路应具备冗余备份，防止单点故障。7.在云计算环境中，云租户和云服务商各自负责安全责任，云租户可以将安全责任全部转移给云服务商。8.医院移动医疗App可以不在等级保护定级范围内。9.安全区域边界的“边界防护”要求应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。10.医院信息系统的密码应用应符合国家密码管理相关标准，使用合规的密码产品。11.等级保护测评过程中，测评人员可以进行不影响系统正常运行的漏洞扫描，无需获得授权。12.通用要求适用于所有等级保护对象，行业特定要求优先于通用要求。13.测评人员发现系统存在严重漏洞时，可以自行利用漏洞获取系统权限以验证风险。14.安全管理制度中“应制定网络安全工作的总体方针和安全策略”属于安全管理制度类要求。15.医院HIS系统的审计记录应至少保存半年以上，以满足溯源要求。四、简答题（每题5分，共25分）1.简述医院信息系统等级保护定级的一般流程。2.列出GB/T22239-2019中安全区域边界的主要控制点（至少5个）。3.医院网络安全等级保护测评中，“高风险”通常包括哪些典型情形？请至少列举3类。4.简述医院在等级测评前应完成的准备工作。5.为什么医院信息系统需要同时满足等级保护和数据安全法的要求？五、综合分析题（每题20分，共20分）1.某三甲医院正在开展核心业务系统（HIS、电子病历、LIS、PACS）的等级保护测评工作。经初步检查，发现以下情况：•HIS系统部署在医院机房，机房未安装电子门禁，只有钥匙管理；•内网与互联网之间部署了防火墙，但未启用入侵检测功能；•服务器操作系统登录口令为“Admin@123”，未启用登录失败锁定；•系统后台存在一条SQL注入漏洞，可查看全部患者病历数据；•医院未制定数据备份策略，数据库仅依赖服务器自带本地备份；•网络安全管理员岗位由信息科人员兼任。请回答以下问题：1.根据GB/T22239-2019，上述现象分别违反了哪些安全要求控制点？（至少列出5条）2.若HIS系统定级为第三级，请判断是否存在高风险项，并说明理由。3.请针对发现的问题，提出整改建议。参考答案与解析一、单项选择题1.答案：C解析：医疗卫生行业被明确列入关键信息基础设施重要行业领域，医院核心业务系统通常应按照关键信息基础设施进行重点保护。2.答案：C解析：等级保护工作流程为“定级、备案、建设整改、等级测评、监督检查”，发现系统遭受攻击说明已上线运行，应检查是否完成定级备案。3.答案：D解析：电子病历系统涉及患者隐私和医疗数据，一旦遭到破坏或泄露会对公民权益和社会秩序造成严重损害，通常定级为第三级。4.答案：A解析：《网络安全等级保护条例》要求第三级系统每年至少测评一次，第四级每半年至少一次。5.答案：B解析：2019版基本要求将安全要求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度六类。6.答案：C解析：电子病历包含大量个人信息和医疗健康数据，属于个人信息和重要数据范畴，应实施重点保护。7.答案：C解析：定级要素包括受侵害的客体和侵害程度，客体针对公民权益、社会秩序公共利益、国家安全，不包括特定公司商业利益。8.答案：A解析：等级保护测评报告作为监督检查和整改依据，通常有效期为一年，与测评周期保持一致。9.答案：B解析：无线网络应通过安全措施与有线网络隔离，采用身份鉴别、加密传输等手段，而不能直接混用。10.答案：B解析：三级系统要求采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术，且其中一种鉴别技术至少使用密码技术。11.答案：C解析：安全管理中心要求对“三个管理员”进行身份鉴别，并对操作行为进行审计；A属安全计算环境，B属集中管控，D属通信网络。12.答案：B解析：远程维护应通过安全通道（如VPN）接入，并实施多因素身份鉴别，同时做好访问控制与审计。13.答案：B解析：GB/T22239-2019的安全要求采用“类—控制点—要求项”三层结构，一个控制点包含若干具体要求项。14.答案：C解析：三级要求提供重要数据处理系统的热冗余，保证系统的高可用性；并未强制要求异地灾备中心（四级才要求异地灾备）。15.答案：B解析：《网络安全等级保护高风险判定指引》用于对测评中发现的高风险问题进行综合研判，为整改提供依据。16.答案：A解析：电子门禁属于访问控制，不在GB/T22239-2019安全物理环境要求项中，安全物理环境主要关注物理位置选择、物理访问控制、防盗窃防破坏、防雷击、防火、防水防潮等。注意：物理访问控制要求“机房出入口应安排专人值守或配置电子门禁”，因此A其实是要求项之一，故本题需要调整。我们修改选项。（修正）下列哪项不属于安全物理环境中机房管理的要求？A.机房应设置电子门禁B.机房应安装温湿度控制设备C.机房应选在电力供给可靠的地点D.机房应配备UPS不间断电源答案：BGB/T22239-2019安全物理环境对温湿度控制的要求是“应设置温湿度自动调节设施”，但属于机房温湿度控制；B表述为“安装温湿度控制设备”，实际上也是要求项。此题有问题，换一个更清晰的。重新出题：下列哪项属于安全物理环境中的“防盗窃和防破坏”要求？A.应设门禁系统B.应将主要设备放置在机房内部C.应安装防盗报警系统D.应设置灭火装置答案：C安全物理环境的“防盗窃和防破坏”控制点要求机房应设置防盗报警系统或设置专人值守。本题较明确。但题干与选项需要一致，我们按上述替代即可。17.答案：B解析：定级备案对象为第二级及以上信息系统，备案单位向所在地设区的市级以上公安机关提交备案材料。18.答案：C解析：SQL注入是由应用程序未对用户输入进行有效过滤导致，属于应用层安全漏洞。19.答案：D解析：GB/T28448-2019规定测评方法包括访谈、检查、测试三种基本方式。渗透测试属于测试方式中的一种具体方法，不是独立的测评方式。20.答案：C解析：云计算环境下，等级保护对象的安全责任由云服务商和云租户共同承担，遵循“谁运营谁负责、谁使用谁负责”的原则。二、多项选择题1.答案：ABC解析：D“对用户行为进行安全审计”属于安全审计控制点的内容，虽然同属安全计算环境，但不是身份鉴别控制点的要求。2.答案：ABCDEF解析：等级保护第三级安全要求覆盖上述六个大类，测评时必须逐项检测。3.答案：AC解析：安全区域边界的“恶意代码防范”控制点要求边界处部署恶意代码检测与清除设备，并统一管理恶意代码库；B属于安全计算环境；D属于入侵防范。4.答案：ABCD解析：等级测评活动分为测评准备、方案编制、现场测评、分析与报告编制四个主要阶段。5.答案：ABC解析：D属于安全计算环境中数据备份恢复的要求项，不属于安全管理中心的集中管控要求。6.答案：ABC解析：D是信号覆盖问题，不属于安全范畴；A、B、C均可能导致未授权访问、数据泄露等风险。7.答案：ACD解析：三级要求提供本地数据备份与恢复功能，每天或每周备份；提供异地数据备份功能；提供重要数据处理系统的热冗余以保障高可用性。B不是强制要求的备份频率。8.答案：ABC解析：访谈对象主要为网络安全相关人员，包括三类管理员及其他技术人员；医院领导一般不作为技术访谈对象。9.答案：ABC解析：D错误，应先取证分析再恢复，避免破坏证据和遗漏漏洞。10.答案：AB解析：安全通信网络的“通信传输”控制点要求采用密码技术保证通信过程中数据的完整性和保密性；C属于“网络架构”中设备冗余要求。三、判断题1.答案：错误解析：系统定级后原则上不再变更，确需变更的应重新定级并备案。2.答案：正确3.答案：正确解析：高风险项直接影响系统安全，依据测评要求判定为不符合，需整改复测。4.答案：正确5.答案：错误解析：安全管理制度是等级保护基本要求中的独立大类，必须建立并落实相关制度，外部服务不能替代。6.答案：正确解析：三级系统网络架构要求主要网络设备、通信线路应冗余配置，提供高可用性。7.答案：错误解析：双方责任按“责任共担”模式划分，云租户仍应负责自身应用和数据层面的安全。8.答案：错误解析：移动应用承载的业务系统属于等级保护对象，应纳入定级测评范围。9.答案：正确10.答案：正确11.答案：错误解析：等保测评属于检测活动，必须获得被测单位书面授权，并在约定的时间、范围、方式下进行。12.答案：正确13.答案：错误解析：测评行为不得超出授权范围，禁止利用漏洞进行提权或破坏，避免造成业务影响。14.答案：正确15.答案：错误解析：GB/T22239-2019要求审计记录保存时间不少于6个月，但医院等行业出于医疗纠纷追溯需要，通常建议保存更长时间。本题题干“至少半年”本身符合基本要求下限，但表述不够严谨，真题容易设置陷阱。这里我们可修改为“医院HIS系统的审计记录应保存不少于1年”作为错误，但依据不确定。我们调整为：15.等级保护测评中，对于第三级系统，所有要求项都必须满足才能通过测评。答案：错误测评结论基于综合研判，若存在整改项或一般不符合项但无高风险，可出具“基本符合”结论；并非所有要求项百分之百满足才算通过。四、简答题1.答案：(1)确定定级对象，识别业务信息和服务类型；(2)确定业务信息安全受到破坏时所侵害的客体及侵害程度；(3)确定系统服务安全受到破坏时所侵害的客体及侵害程度；(4)由专家评审委员会对定级结果进行评审；(5)行业主管部门审核；(6)公安机关备案。解析：定级流程应依据《网络安全等级保护定级指南》（GB/T22240-2020）和行业定级指引，医院还需结合卫生健康行业要求。2.答案：(1)边界防护；(2)访问控制；(3)入侵防范；(4)恶意代码防范；(5)安全审计；(6)可信验证（三级及以上）。解析：不同等级要求有差异，三级系统上述控制点均需测评。3.答案：(1)系统无边界防护，直接暴露在互联网上；(2)存在SQL注入、远程命令执行等可导致系统被入侵的高危漏洞；(3)无法开展日志审计或审计记录为零；(4)身份鉴别措施缺失，存在弱口令、默认口令；(5)重要数据未加密传输或存储且影响范围大。解析：依据《网络安全等级保护高风险判定指引》，高风险情形一般涉及系统被入侵、数据泄露、审计缺失等严重影响。4.答案：(1)完成系统定级和备案；(2)对照基本要求开展安全自查和整改；(3)指定配合测评的团队和接口人；(4)准备网络拓扑图、设备清单、管理制度文档、等保档案等资料；(5)授权测评机构开展测评，明确测评范围和计划。5.答案：等级保护重点保障网络和信息系统安全，通过定级、备案、建设整改、测评来提升安全防护能力；数据安全法重点关注数据分类分级、全生命周期保护和安全