2026年信息安全专家资格考试试卷及答案

2026年信息安全专家资格考试试卷及答案一、单项选择题（每题1分，共20分）1.依据《中华人民共和国数据安全法》，下列哪项属于国家核心数据范畴？A.大型互联网企业的用户行为数据B.关系国民经济命脉的重要行业数据C.上市公司的公开财务数据D.社会团体的内部管理数据2.零信任架构的核心默认原则是？A.默认信任内部网络主体B.仅验证用户身份即可授权C.永不信任，始终验证D.边界内所有操作均可信3.商用密码应用安全性评估（密评）的法定依据是下列哪部法律法规？A.《网络安全法》B.《数据安全法》C.《密码法》D.《个人信息保护法》4.下列哪种攻击属于生成式人工智能服务的prompt注入攻击？A.通过构造特殊输入引导模型输出违规内容B.窃取模型训练用的原始数据集C.消耗模型算力导致服务不可用D.篡改模型参数降低输出准确率5.软件物料清单（SBOM）的核心作用是？A.提升软件的运行效率B.实现软件供应链组件的透明化管理C.自动修复软件漏洞D.加密软件的核心代码6.依据《网络安全等级保护条例》（2025年修订版），第三级网络安全等级保护对象的等级测评周期至少为？A.半年一次B.一年一次C.两年一次D.三年一次7.下列哪项不属于个人信息处理活动中的“单独同意”适用场景？A.处理敏感个人信息B.向第三方提供个人信息C.公开个人信息D.处理一般个人信息用于内部运营8.云安全责任共担模型中，下列哪项属于SaaS模式下客户的责任？A.底层基础设施的物理安全B.Hypervisor层的安全配置C.客户数据的访问控制D.应用程序的代码安全维护9.工业控制系统安全中，下列哪项是等保2.0工控扩展要求的核心控制点？A.边界防火墙的端口映射B.工业主机的白名单执行机制C.办公网的统一身份认证D.数据中心的容灾备份10.风险评估中，下列哪种方法属于定量风险评估方法？A.专家访谈法B.故障树分析法（FTA）C.风险矩阵法D.德尔菲法11.关键信息基础设施安全保护工作中，负责统筹协调全国关键信息基础设施安全保护工作的部门是？A.公安部B.国家网信部门C.工业和信息化部D.国家保密局12.下列哪种密码算法属于后量子密码算法范畴？A.SM2椭圆曲线密码算法B.RSA2048位算法C.CRYSTALS-Kyber算法D.SM3哈希算法13.安全编排自动化与响应（SOAR）的核心价值是？A.替代所有安全运营人员B.提升安全事件响应的效率与一致性C.自动发现所有未知漏洞D.实现网络的边界防护14.数据脱敏技术中，下列哪种方法属于不可逆脱敏？A.替换B.遮蔽C.哈希加盐D.Shuffling（洗牌）15.下列哪项是OWASPTop102025版新增的安全风险类别？A.注入攻击B.失效的身份认证C.生成式AI安全风险D.安全配置错误16.应急响应生命周期（PDCERF模型）中，“遏制”阶段的核心目标是？A.彻底清除攻击残留B.防止攻击扩散造成更大损失C.恢复系统的正常运行D.总结经验完善防护体系17.下列哪项不属于零信任架构的核心组件？A.策略决策点（PDP）B.策略执行点（PEP）C.边界防火墙D.身份提供商（IdP）18.依据《生成式人工智能服务管理暂行办法》（2026年修订版），面向公众提供生成式AI服务的，应当按照国家有关规定开展什么评估？A.安全评估B.性能评估C.效率评估D.成本评估19.企业信息安全战略制定的首要依据是？A.行业最佳实践B.业务发展战略C.监管合规要求D.技术发展趋势20.下列哪种体系是全球通用的漏洞严重程度量化评估标准？A.CVSSB.CVEC.CWED.CAPEC二、多项选择题（每题2分，共20分）1.依据《中华人民共和国个人信息保护法》，下列属于敏感个人信息的有？A.生物识别信息B.宗教信仰信息C.医疗健康信息D.行踪轨迹信息E.公开的姓名与手机号2.零信任架构的核心原则包括？A.身份是访问的核心基础B.最小权限原则C.持续信任评估D.边界默认可信E.动态访问控制3.软件供应链安全管理的关键控制措施包括？A.建立软件物料清单（SBOM）管理机制B.对第三方组件开展漏洞检测与风险评估C.实施代码签名验证机制D.禁止使用任何开源软件E.开展软件供应链安全审计4.依据《数据出境安全评估办法》，下列哪些情形下应当向国家网信部门申报数据出境安全评估？A.关键信息基础设施运营者向境外提供重要数据B.处理100万人以上个人信息的个人信息处理者向境外提供个人信息C.累计向境外提供10万人以上个人信息D.累计向境外提供1万人以上敏感个人信息E.一般企业向境外提供内部运营数据5.商用密码应用安全性评估（密评）的核心评估维度包括？A.密码算法合规性B.密码技术应用正确性C.密码产品合规性D.密码管理规范性E.密码运算性能6.工业控制系统应急响应与传统IT系统应急响应的核心差异包括？A.工控系统优先保障可用性B.工控系统的补丁部署需更谨慎C.工控系统无需进行取证工作D.工控系统的遏制措施可能影响生产连续性E.工控系统的攻击路径更单一7.云环境下的责任共担模型中，属于IaaS模式下云服务商责任的有？A.物理数据中心的安全B.服务器硬件的安全C.操作系统的安全配置D.客户数据的加密保护E.网络虚拟化层的安全8.信息风险处置的基本策略包括？A.风险规避B.风险转移C.风险降低D.风险接受E.风险忽略9.生成式人工智能服务的安全治理要求包括？A.训练数据的合法性审核B.生成内容的标识与溯源C.防止生成违法违规内容D.无需保护用户的输入数据E.建立安全事件应急处置机制10.关键信息基础设施运营者的法定安全保护义务包括？A.设置专门安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份D.制定网络安全事件应急预案并定期演练E.自行决定是否开展安全评估三、案例分析题（每题15分，共45分）1.案例场景：某跨境电商平台A公司注册地在上海，主营面向东南亚市场的服装销售业务，平台注册用户约1200万人，其中中国境内用户约800万人。为提升运营效率，A公司采取了以下措施：（1）将所有中国用户的个人信息（包括姓名、手机号、收货地址、支付记录、生物识别登录信息）存储在新加坡的云服务器上，未向监管部门申报任何数据出境相关手续；（2）与第三方AI服务商B公司合作，将用户的浏览记录、购买记录提供给B公司用于训练用户偏好预测模型，未告知用户该数据使用用途；（3）为方便客服处理纠纷，允许东南亚地区的客服人员直接访问所有中国用户的完整个人信息。请结合场景回答以下问题：（1）请指出A公司在数据安全与个人信息保护方面存在的至少4项违规行为，并说明对应的法规依据。（8分）（2）若A公司需合法开展数据出境活动，可采取的合法路径有哪些？（4分）（3）针对A公司与第三方AI服务商的合作，应当采取哪些安全管控措施？（3分）2.案例场景：某大型汽车制造企业C公司拥有多条自动化生产线，采用工业控制系统（ICS）进行生产管控，办公网与工控网之间仅部署了一台普通防火墙进行隔离。2026年3月，该企业遭遇勒索病毒攻击，病毒通过办公网的钓鱼邮件入侵，最终扩散至工控网，导致三条生产线停产，部分工业主机的控制程序被加密，直接经济损失约2000万元。企业应急响应团队在处置过程中，首先直接断开了工控网与办公网的所有连接，随后尝试对所有工业主机安装杀毒软件并进行全盘查杀，导致部分生产线的控制程序损坏，恢复时间进一步延长。3.案例场景：某城市商业银行D银行现有传统的边界安全架构，以防火墙、入侵检测系统为核心，内部网络默认可信。随着数字化转型的推进，D银行推出了手机银行、线上贷款等多项互联网业务，同时大量员工采用远程办公模式，传统边界安全架构已无法满足安全需求。银行高层决定启动零信任架构建设项目，由信息安全部牵头推进。四、论述题（共15分）1.结合《数字中国建设整体布局规划》的要求，论述企业在数字化转型过程中，信息安全体系建设如何与业务发展战略对齐，说明核心建设方向与关键保障措施。（要求：观点明确，逻辑清晰，不少于300字）参考答案与解析一、单项选择题1.答案：B解析：核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据，B选项符合法定定义。2.答案：C3.答案：C解析：《中华人民共和国密码法》第二十七条明确要求，关键信息基础设施运营者应当使用商用密码进行保护，并定期开展商用密码应用安全性评估。4.答案：A解析：prompt注入是指通过构造精心设计的输入提示，绕过模型的安全对齐机制，诱导模型输出违反安全规则的内容，属于AI应用层的典型攻击方式。5.答案：B6.答案：B解析：等保2.0及修订版条例明确，第三级及以上等级保护对象应当每年至少开展一次等级测评。7.答案：D解析：根据《个人信息保护法》，处理敏感个人信息、向第三方提供、公开个人信息、数据出境等场景均需取得个人单独同意，一般内部运营场景无需单独同意。8.答案：C解析：SaaS模式下，云服务商负责基础设施、平台、应用的全栈安全，客户仅需负责自身数据、账户权限、访问控制等内容的管理。9.答案：B解析：工控系统以可用性为首要目标，白名单机制是工控环境下防范恶意代码、未授权程序运行的核心控制措施，属于等保2.0工控扩展要求的关键项。10.答案：B解析：故障树分析法通过量化故障发生概率、影响程度计算风险值，属于定量评估方法；其余三项均为定性或半定量方法。11.答案：B解析：《关键信息基础设施安全保护条例》明确，国家网信部门负责统筹协调关键信息基础设施安全保护工作，公安部负责指导监督，行业主管部门负责本行业本领域的具体保护工作。12.答案：C解析：CRYSTALS-Kyber是NIST选定的后量子公钥加密标准算法，可抵抗量子计算攻击；其余均为传统密码算法，无法抵御量子计算的破解威胁。13.答案：B14.答案：C解析：哈希加盐是单向变换，无法还原原始数据，属于不可逆脱敏；其余方法均可通过对应规则还原原始数据，属于可逆脱敏。15.答案：C解析：2025版OWASPTop10针对生成式AI的广泛应用，新增了生成式AI相关的安全风险类别，其余三项均为传统Top10的已有类别。16.答案：B解析：PDCERF模型分为准备、检测、遏制、根除、恢复、跟踪六个阶段，遏制阶段的核心是快速限制攻击影响范围，防止损失进一步扩大。17.答案：C解析：零信任架构打破传统边界防护模式，核心组件包括身份提供商、策略决策点、策略执行点等，边界防火墙是传统边界安全的核心设备。18.答案：A19.答案：B解析：信息安全的核心目标是为业务发展保驾护航，信息安全战略必须与业务战略对齐，因此首要依据是企业的业务发展战略。20.答案：A解析：CVSS（通用漏洞评分系统）是全球通用的漏洞严重程度量化评估标准；CVE是漏洞编号体系，CWE是弱点分类体系，CAPEC是攻击模式分类体系。二、多项选择题1.答案：ABCD解析：根据《个人信息保护法》第二十八条，敏感个人信息是一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。已公开的一般个人信息不属于敏感范畴。2.答案：ABCE解析：零信任的核心原则包括永不信任始终验证、身份为核心、最小权限、持续评估、动态授权等；D选项是传统边界安全的核心假设，不符合零信任理念。3.答案：ABCE解析：软件供应链安全的核心是透明化、可追溯、可验证，ABCE均为关键控制措施；D选项过于绝对，开源软件是软件产业的重要组成部分，应当规范使用而非完全禁止。4.答案：ABCD解析：《数据出境安全评估办法》明确了需要申报安全评估的四种法定情形，对应ABCD选项；E选项不属于法定需申报的情形。5.答案：ABCD解析：密评的核心维度包括算法合规性、技术应用正确性、产品合规性、管理规范性四个方面，性能不属于密评的核心评估维度。6.答案：ABD解析：工控系统的核心目标是保障生产连续性，可用性优先，因此补丁部署、遏制措施均需谨慎评估对生产的影响；C选项错误，工控系统攻击也需开展取证工作；E选项错误，工控系统的攻击路径包括IT层、运维通道、边缘设备等，并不单一。7.答案：ABE解析：IaaS模式下，云服务商负责物理基础设施、硬件、虚拟化层的安全，客户负责操作系统、中间件、应用、数据的安全管理；因此CD属于客户责任。8.答案：ABCD解析：风险处置的四种基本策略为规避、转移、降低、接受；风险忽略不属于正式的风险处置策略，未经过评估的风险忽略属于违规行为。9.答案：ABCE解析：根据《生成式人工智能服务管理暂行办法》，生成式AI服务提供者需对训练数据合法性负责、对生成内容进行管理、保护用户个人信息、建立应急机制等；D选项错误，用户输入数据属于个人信息范畴，需依法保护。10.答案：ABCD解析：《关键信息基础设施安全保护条例》明确了关基运营者的多项法定义务，ABCD均在其列；E选项错误，关基运营者应当定期开展安全评估，并按规定报送监管部门，并非自行决定。三、案例分析题1.答案：（1）违规行为及依据：①未按规定申报数据出境安全评估：A公司作为处理超过100万人个人信息的个人信息处理者，向境外提供个人信息未申报安全评估，违反《数据安全法》《个人信息保护法》及《数据出境安全评估办法》相关规定。（2分）②超出告知用途处理个人信息：将用户数据提供给第三方用于AI模型训练未告知用户，违反《个人信息保护法》中“个人信息处理应当遵循合法、正当、必要、诚信原则，公开处理规则，明示处理的目的、方式、范围”的规定。（2分）③敏感个人信息出境未取得单独同意：生物识别信息属于敏感个人信息，将其存储至境外未取得个人单独同意，违反《个人信息保护法》关于敏感个人信息处理的相关规定。（2分）④未落实最小必要原则：允许境外客服访问所有中国用户的完整个人信息，超出处理纠纷的必要范围，违反《个人信息保护法》中“个人信息处理应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式”的要求。（2分）（答出任意4项即可，每项2分，最高8分）（2）合法数据出境路径：①通过国家网信部门组织的数据出境安全评估；（1分）②按照国家网信部门的规定经专业机构进行个人信息保护认证；（1分）③与境外接收方订立国家网信部门制定的标准合同，约定双方的权利和义务；（1分）④法律、行政法规或者国家网信部门规定的其他条件。（1分）（3）第三方合作管控措施：①开展第三方安全评估，明确双方的安全责任义务；（1分）②对提供给第三方的数据进行脱敏、去标识化处理，降低数据泄露风险；（1分）③签订数据处理协议，明确数据使用范围、存储期限、安全保护要求等，定期开展安全审计。（1分）解析：本题核心考察数据安全、个人信息保护、数据出境相关法规的实战应用，是信息安全专家必须掌握的合规核心能力。答题时需结合场景精准对应法条，避免泛泛而谈。2.请结合场景回答以下问题：（1）请指出C公司在安全防护与应急响应过程中存在的至少5项问题。（5分）（2）针对工业控制系统勒索病毒攻击，正确的应急响应遏制阶段应当采取哪些核心措施？（5分）（3）为提升工控系统的整体安全防护能力，C公司应当采取哪些技术与管理改进措施？（5分）2.答案：（1）存在的问题：①工控网与办公网隔离措施不足，仅用普通防火墙无法防范针对工控协议的攻击；（1分）②工控系统未建立白名单机制，恶意程序可在工业主机上运行；（1分）③缺乏针对工控系统的专项应急预案，应急响应措施照搬IT系统处置流程；（1分）④工控主机随意安装杀毒软件，导致控制程序被误杀、系统崩溃；（1分）⑤未建立工控系统关键配置与程序的离线备份机制，被加密后无法快速恢复；（1分）⑥员工安全意识不足，钓鱼邮件攻击成功入侵办公网。（1分）（答出任意5项即可，每项1分，最高5分）（2）遏制阶段核心措施：①优先保障核心生产设备的可用性，在不影响生产安全的前提下，分步骤隔离受感染的工控设备与网段，避免一刀切断开所有连接；（1分）②切断工控网与办公网、互联网的所有非必要连接，关闭不必要的工控协议端口；（1分）③禁止在受感染的工业主机上安装杀毒软件或执行全盘查杀操作，防止控制程序被误删；（1分）④对未感染的工控设备进行临时保护，比如启用白名单、限制USB设备使用等；（1分）⑤排查攻击入口，封堵钓鱼邮件、漏洞利用等初始入侵路径，防止攻击再次进入。（1分）（3）改进措施：技术层面：①采用工控防火墙、网闸等专业设备进行工控网与办公网的深度隔离，按业务线划分工控子网；（1分）②在工业主机部署白名单防护系统，禁止未授权程序运行；（1分）③建立工控系统的离线备份机制，定期备份关键控制程序与配置。（1分）管理层面：①制定工控系统专项应急预案，定期开展工控应急演练；（1分）②加强员工安全意识培训，提升钓鱼邮件识别能力，建立完善的邮件安全防护体系。（1分）（技术与管理维度均需覆盖，合计5分，合理即可酌情给分）解析：本题考察工业控制系统安全与应急响应的核心知识点，关键在于理解工控系统与传统IT系统的差异：工控系统以可用性为首要目标，不能直接照搬IT系统的应急处置流程，这是工控安全的核心原则。3.请结合场景回答以下问题：（1）与传统边界安全架构相比，零信任架构的核心优势有哪些？（4分）（2）D银行落地零信任架构应当遵循哪些核心原则？（5分）（3）请简述D银行零信任架构建设的分阶段实施路径。（6分）3.答案：（1）核心优势：①打破边界信任限制，适用于远程办公、云服务、移动办公等无边界访问场景；（1分）②以身份为核心，实现细粒度的动态访问控制，降低内部越权风险；（1分）③持续信任评估，可实时根据风险动态调整权限，提升防护的动态性；（1分）④落实最小权限原则，默认仅授予完成工作所需的最小权限，有效缩小攻击面。（1分）（2）核心原则：①永不信任，始终验证：对所有访问主体（用户、设备、应用）均进行持续验证，不因处于内部网络而默认信任；（1分）②身份为核心：将身份作为访问控制的核心基础，建立统一的全量身份管理体系；（1分）③最小权限：按照最小必要原则授予访问权限，权限随需求动态调整、到期自动回收；（1分）④持续评估：对访问主体的身份、设备状态、行为风险等进行持续监测与评估；（1分）⑤动态授权：根据实时风险评估结果动态调整访问权限，风险升高时自动降级或终止访问。（1分）（3）分阶段实施路径：①第一阶段：现状梳理与试点验证（2分）全面梳理现有资产、身份体系、访问关系，选择远程办公、运维访问等非核心业务场景开展零信任试点，验证技术方案的可行性与业务适配性。②第二阶段：核心场景推广（2分）建设统一身份管理平台、策略决策平台与多类策略执行点，逐步将业务系统访问、数据访问、运维操作等核心场景纳入零信任架构，替换传统边界访问控制模式。③第三阶段：全面优化与常态化运营（2分）实现全业务场景的零信任覆盖，建立持续的风险评估与动态授权机制，完善安全运营体系，实现零信任架构的常态化迭代与优化。（阶段划分合理、内容贴合银行实际即可，每阶段2分，共6分）解析：本题考察零信任架构的核心知识与落地实践，属于当前企业安全架构转型的核心考点。答题时需结合