2026年云计算安全合规人员业务考试题库（含答案）

2026年云计算安全合规人员业务考试题库（含答案）一、单项选择题（每题1分，共30分）1.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在何处存储？A.运营者自行选择的任意境外数据中心B.境内C.运营者总部所在地国家D.任意云计算服务商提供的境外节点答案：B解析：《网络安全法》第三十七条规定，关键信息基础设施的运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。2.等保2.0核心标准《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）中，针对云计算安全扩展要求，以下哪项属于一级系统也应满足的要求？A.应确保云计算基础设施位于中国境内B.应提供虚拟化网络与物理网络隔离能力C.应划分不同网络区域，并按照方便管理和控制的原则为各网络区域分配地址D.应具有云服务方与云租户方责任共担的能力答案：C解析：GB/T22239-2019中云计算安全扩展要求从一级到五级逐级增强。一级要求相对基础，如网络区域划分与地址分配；而"境内部署""虚拟化隔离""责任共担"等属于二级及以上或特定级别要求。3.根据《数据安全法》，国家建立数据分类分级保护制度。以下关于数据分类分级的说法，正确的是？A.所有数据一律按照同一标准进行分级B.各地区、各部门可以制定本地区、本部门以及相关行业、领域的重要数据具体目录C.数据分类分级只需要考虑数据重要性，不需要考虑危害程度D.数据分类分级工作仅由数据处理者自行完成，不受监管答案：B解析：《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。各地区、各部门可以确定本地区、本部门以及相关行业、领域的重要数据具体目录。4.云安全联盟（CSA）发布的《云计算关键领域安全指南》将云计算安全治理划分为多个领域。以下哪个领域主要关注云服务商的尽职调查与服务能力评估？A.数据中心运营B.云治理与企业管理C.加密与密钥管理D.应用安全答案：B5.以下哪项不属于IAM（身份与访问管理）的核心功能？A.身份全生命周期管理B.认证与授权C.网络流量清洗D.访问行为审计答案：C解析：网络流量清洗属于DDoS防护范畴。IAM的核心功能涵盖身份生命周期、认证、授权、访问审计等。6.在共享责任模型中，当企业使用IaaS服务时，以下哪项安全责任由云服务商（CSP）承担？A.虚拟机的操作系统补丁管理B.客户应用系统的代码安全C.物理宿主机的安全D.客户虚拟私有云（VPC）内的网络访问控制策略配置答案：C解析：IaaS模式下，CSP负责物理基础设施（物理机、网络设备、存储设备）以及虚拟化层的安全；客户负责从操作系统到应用层的一切安全配置与管控。7.以下哪项不是《个人信息保护法》中规定的个人信息处理的合法性基础？A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为提升企业盈利能力，进行用户画像与精准营销D.为履行法定职责或者法定义务所必需答案：C8.根据GB/T22239-2019，二级及以上等级的云计算平台，其剩余信息保护要求中，下列说法正确的是？A.仅需对存储介质进行格式化B.应保证存储空间被释放或重新分配前得到完全清除C.不需要关注虚拟机内存中的残留信息D.仅需对磁盘进行物理销毁答案：B解析：剩余信息保护要求对存储介质中的信息进行清除，确保释放或重新分配前被完全清除，既包括磁盘等存储介质，也涉及内存等易失存储。9.以下哪种数据加密方式可以实现在密文状态下对加密数据进行检索？A.可搜索加密B.静态数据加密（EncryptionatRest）C.SSL/TLS传输加密D.全盘加密答案：A10.根据美国NISTSP800-145，云计算的五种基本特征不包括以下哪一项？A.按需自助服务B.广泛网络接入C.资源池化D.私有化部署答案：D解析：NIST定义的五种基本特征为：按需自助服务、广泛网络接入、资源池化、快速弹性、可计量服务。私有化部署属于部署模型特征。11.在云环境中，以下哪一种日志类型最有助于溯源一起容器逃逸攻击？A.对象存储访问日志B.容器运行时审计日志与宿主机内核日志C.云管理控制台登录日志D.CDN回源日志答案：B解析：容器逃逸攻击涉及容器运行时行为与宿主机内核交互，需要结合容器运行时审计日志（如k8saudit）与宿主机内核日志（如syscall记录）进行关联分析与溯源。12.我国实行的网络安全审查制度中，以下哪种情形需要申报网络安全审查？A.所有云服务采购项目B.关键信息基础设施运营者采购网络产品和服务，影响或者可能影响国家安全的C.个人购买云主机D.企业采购普通办公软件答案：B13.在云上运行GDPR（《通用数据保护条例》）管辖范围内的业务时，关于数据传输，以下说法错误的是？A.可以向欧盟委员会认定具有充分保护水平的国家传输个人数据B.可以使用标准合同条款（SCC）作为传输机制C.只要获得数据主体同意，即可向任何国家任意传输D.绑定公司规则（BCR）可以作为跨国企业内部传输的合法依据答案：C解析：GDPR对向第三国传输个人数据有严格限制，数据主体同意仅是多种合法性基础之一，且仍需满足第五章的传输条件，不能因此任意传输。14.以下哪项技术最适合用于保护云环境中虚拟化层免受"侧信道"攻击？A.配置强密码策略B.及时修补虚拟化软件漏洞并启用CPU安全特性C.启用双因素认证D.增加对象存储的版本控制答案：B15.云安全合规中，等保测评结果分为哪几个等级？A.合格、不合格B.优、良、中、差C.符合、基本符合、不符合D.通过、不通过答案：C16.关于云上密钥管理服务（KMS），以下说法正确的是？A.云服务商可以随时导出用户的根密钥明文B.用户主密钥（CMK）的明文永远不会离开硬件安全模块（HSM）C.所有数据加解密操作都必须通过网络调用远程KMS完成，无法在本地进行D.关闭KMS服务不影响已加密数据的解密答案：B解析：KMS的核心安全设计是根密钥明文永不离开HSM，数据加密密钥（DEK）的加解密操作通过HSM内部完成。部分KMS支持本地缓存DEK用于高性能场景，但CMK明文始终受HSM保护。17.以下关于《网络安全等级保护基本要求》中"安全通信网络"层面的要求，哪项是针对云计算环境的特有要求？A.通信线路应采用专用通道或加密方式B.应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址C.应提供通信线路、关键网络设备的硬件冗余D.应能发现可能存在的已知漏洞答案：B18.根据《商用密码应用安全性评估管理办法》，以下关于密评的说法错误的是？A.重要网络与信息系统建成运行后，其密码应用安全性评估原则上每年至少一次B.密评主要评估密码应用合规性、正确性和有效性C.密评只涉及密码算法，不涉及密码管理制度D.关键信息基础设施必须开展密评答案：C解析：密评内容包括密码应用技术要求和密钥管理要求，涵盖管理制度、人员管理、密钥全生命周期管理等，并非只涉及算法。19.云环境中，以下哪一项最佳实践有助于满足审计合规中"防止日志被篡改"的要求？A.将日志存储在对象存储中，不设置任何访问控制B.使用WORM（WriteOnceReadMany）存储保存日志C.允许开发人员直接修改生产环境日志D.定期删除旧的日志文件答案：B解析：WORM存储保证数据写入后不可修改、不可删除，在指定保留期内仅可读取，能有效满足日志完整性、防篡改的合规要求。20.在Kubernetes环境中，以下哪项配置能最有效地限制工作负载的网络攻击面？A.为所有Pod配置hostNetwork:trueB.使用KubernetesNetworkPolicy实现微隔离C.关闭所有节点的防火墙D.使用默认的flannel网络插件答案：B21.以下哪个标准/框架是专门针对云服务信息安全管理体系认证的国际标准？A.ISO27001B.ISO27017C.ISO22301D.ISO20000答案：B解析：ISO27017《基于ISO/IEC27002的云服务信息安全控制实用规则》专门为云服务提供者和云客户提供云特有的信息安全控制指引与实施指南。ISO27001是通用信息安全管理体系标准。22.当云租户需要满足等级保护三级要求时，以下哪项技术措施属于"安全区域边界"层面的必备要求？A.启用虚拟化防护软件B.在云租户边界部署访问控制机制，依据安全策略控制进出网络的访问C.对重要数据进行加密存储D.部署安全管理中心答案：B23.以下关于多云与混合云安全的说法，错误的是？A.统一身份管理是多云安全的基础B.多云环境中每个云平台的安全策略应当完全独立、互不关联C.云安全态势管理（CSPM）可以用于多云环境的风险可视化D.应建立统一的日志管理与监控体系覆盖多云环境答案：B24.关于《云计算服务安全评估办法》，下列说法错误的是？A.云服务安全评估重点评估云服务商的征信、经营状况等B.评估内容包括云服务商的供应链安全C.党政机关采购云计算服务时，应当优先采购通过安全评估的云服务D.该评估不涉及云平台技术安全能力答案：D解析：《云计算服务安全评估办法》的评估内容包括云服务商的征信与经营状况、技术能力、供应链安全、安全管理能力等多方面，其中技术安全能力是重要评估维度。25.在云环境中，以下哪一项密钥管理做法最不符合安全合规要求？A.定期轮换密钥B.将密钥硬编码在应用程序源码中C.使用云KMS托管密钥D.对密钥的访问进行审计答案：B26.根据《网络安全法》，网络运营者应当制定网络安全事件应急预案。发生网络安全事件时，以下做法错误的是？A.立即启动应急预案B.及时告知可能受到影响的用户C.为控制影响范围，隐瞒不报D.按照规定向有关主管部门报告答案：C27.云工作负载保护平台的关键目标是？A.保护物理服务器的硬件健康，防止硬盘故障B.对云服务器、容器和无服务器等负载提供统一的安全防护C.保护云管理控制台的账号安全，防止凭证泄露D.保护云租户在办公室终端设备上的安全答案：B28.以下关于DevSecOps的实践，说法错误的是？A.将安全测试左移到开发阶段B.借助自动化工具开展持续安全验证C.安全人员应独立于开发、运维团队开展工作，确保权威D.在CI/CD流水线中集成SAST、DAST等安全工具答案：C解析：DevSecOps强调安全团队与开发、运维团队的紧密协作与融合，将安全嵌入全流程，而非独立孤立工作。29.以下关于云审计的描述，不正确的是？A.云审计包括对云服务商的第三方审计和云租户自身的内部审计B.云服务商提供的合规报告（如SOC2报告）可以部分满足租户的审计需求C.云租户可以要求云服务商提供其全部内部安全日志D.云审计需要关注数据残留、数据出境等云特有风险答案：C解析：云服务商通常不会直接提供全部内部安全日志，而是通过第三方审计报告（如SOC1/2/3、ISO认证等）以及约定的方式向租户展示其安全控制有效性。30.《数据安全法》规定，开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度。以下哪项不属于数据处理活动？A.数据的收集B.数据的使用C.数据的加工D.数据的物理销毁后灰烬处理答案：D二、多项选择题（每题2分，共30分）1.根据等保2.0，云计算平台安全扩展要求覆盖的管理层面包括以下哪些选项？A.安全管理制度B.安全管理机构C.安全管理人员D.安全建设管理E.安全运维管理答案：ABCDE2.以下哪些属于《个人信息保护法》中规定的个人信息处理规则？A.处理个人信息应当遵循合法、正当、必要和诚信原则B.收集个人信息应当限于实现处理目的的最小范围C.处理个人信息应当遵循公开、透明原则D.个人信息处理者可以对所有个人信息进行无限制的跨境提供E.处理敏感个人信息需取得个人的单独同意答案：ABCE解析：D明显错误。个人信息跨境提供有严格条件，如通过安全评估、取得个人单独同意、签订标准合同等，并非无限制。3.在云计算共享责任模型中，以下哪些安全责任通常由云租户承担？A.虚拟机操作系统补丁与加固B.云上业务应用的安全配置C.物理数据中心的门禁与安保D.租户侧数据的加密与访问控制E.租户IAM体系的设计与运维答案：ABDE4.以下关于容器安全的说法，正确的有哪些？A.应使用具有数字签名的可信基础镜像B.容器运行时默认以root用户运行是安全的C.应对容器镜像进行漏洞扫描D.应限制容器对Linux内核能力（Capabilities）的调用E.应启用Seccomp、AppArmor等内核安全机制答案：ACDE5.云安全态势管理（CSPM）通常能够提供哪些能力？A.自动识别云资源配置错误B.检测不合规的存储桶权限配置C.持续监控云环境中的安全态势D.对云上流量进行深度包检测并实时阻断攻击E.提供合规性报告（如等保、CISBenchmark）答案：ABCE解析：CSPM是态势管理与合规检测工具，主要聚焦配置核查、风险可视与合规报告，一般不具备实时流量阻断能力（那是云防火墙或WAF的能力范畴）。6.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当履行的安全保护义务包括？A.设置专门安全管理机构和安全管理负责人B.对重要系统和数据库进行容灾备份C.定期组织开展网络安全应急演练D.采购网络产品和服务时与提供者签订安全保密协议E.将收集的所有个人信息全部存储于境外答案：ABCD7.下列哪些密码算法属于我国商用密码算法？A.SM2B.SM3C.SM4D.AESE.SM9答案：ABCE8.在云环境中实施微隔离技术，以下哪些描述是正确的？A.微隔离聚焦东西向流量管控B.微隔离策略可以基于工作负载身份而非单纯IP地址C.微隔离仅适用于Kubernetes环境，不适用于虚拟机D.微隔离有助于缩小横向移动攻击面E.微隔离可以完全替代传统的南北向防火墙答案：ABD9.以下关于云审计日志管理的合规要求，正确的有哪些？A.日志应至少保存6个月以上（视等保级别而定）B.日志应防止未授权删除、修改C.日志存储可不对时间同步做要求D.应对日志进行集中收集与分析E.日志访问行为本身也应被记录答案：ABDE10.云服务商提供的信任保证与合规证明通常包括？A.ISO27001认证证书B.SOC1/SOC2/SOC3报告C.等保备案证明与测评报告D.CSASTAR认证E.仅靠云服务商官网的宣传材料答案：ABCD11.在设计云上密钥管理体系时，以下哪些做法有助于满足合规审计要求？A.对密钥的创建、轮换、销毁等操作进行审计B.将密钥托管在云KMS中以避免明文暴露C.同一把密钥长期使用、不轮换D.不同业务系统使用独立密钥E.建立密钥丢失与恢复机制答案：ABDE12.以下关于数据出境安全评估的说法，正确的有哪些？A.数据处理者向境外提供重要数据，应当通过安全评估B.关键信息基础设施运营者向境外提供个人信息，应当通过安全评估C.自2022年9月1日起施行的《数据出境安全评估办法》是重要依据D.所有数据出境行为均需经过安全评估E.安全评估重点评估数据出境可能对国家安全、公共利益、个人或组织合法权益带来的风险答案：ABCE解析：并非所有数据出境都需要申报安全评估，达到规定条件（如处理个人信息达到一定数量）才需申报。13.在Kubernetes安全加固中，以下哪些属于Pod安全层面的推荐配置？A.设置privileged:true以便容器访问宿主机设备B.配置SecurityContext限制容器以非root用户运行C.设置readOnlyRootFilesystem:trueD.禁止容器挂载宿主机的敏感目录E.将所有容器网络模式设置为hostNetwork答案：BCD14.根据ISO27017云服务安全控制指引，以下哪些控制措施与云租户相关？A.云服务客户应明确其在使用云服务过程中的安全责任B.云服务客户应管理其虚拟机的访问权限C.云服务商应完全负责租户数据分类D.云服务客户应妥善管理其云账号凭证E.云服务商与客户应就安全事件通知义务达成一致答案：ABDE15.以下关于云上数据安全技术的对应关系，正确的有哪些？A.传输中的数据——TLS/SSL、IPsecB.静态数据——透明数据加密（TDE）C.使用中的数据——可信执行环境（TEE）、同态加密D.数据备份——仅使用RAID1即可完全防数据丢失E.数据销毁——密码学销毁是一种有效的销毁方式答案：ABCE三、判断题（每题1分，共20分）1.在等保2.0标准中，云计算平台安全扩展要求仅适用于云服务商，与云租户无关。答案：错误2.云租户可以通过云服务商提供的C5、SOC2等第三方审计报告来佐证其采购的云服务安全可控。答案：正确3.根据《网络安全法》，网络运营者不得收集与其提供的服务无关的个人信息。答案：正确4.只要云服务商通过了ISO27001认证，其所有客户的业务就自动满足等保合规要求。答案：错误5.商密算法SM4是一种非对称密码算法。答案：错误6.在共享责任模型中，"安全责任"的边界划分是固定的，不因服务模式（IaaS、PaaS、SaaS）的不同而改变。答案：错误解析：服务模式不同，安全责任分界线也不同。IaaS下客户承担从操作系统向上的责任，SaaS下大部分安全责任由云服务商承担。7.云上密钥的轮换周期越长，被破解的风险越高，频繁轮换是降低风险的有效手段。答案：正确8.根据GDPR，被遗忘权意味着数据控制者在任何情况下都必须立即删除所有个人数据。答案：错误9.云防火墙的部署模式一般是软件形态，但也能实现类似物理防火墙的访问控制功能。答案：正确10.《数据安全法》于2021年9月1日正式施行。答案：正确11.云服务商提供的对象存储服务只需要配置桶策略即可确保数据安全，无需考虑服务端加密。答案：错误12.一切网络安全审查均由国家网信办独立实施，其他部门不参与。答案：错误13.云环境中，可以通过将敏感数据所在的子网设置为"不可路由"来彻底防止数据泄露。答案：错误14.云安全合规工作只需要关注技术层面的安全措施，不需要考虑管理制度的落实。答案：错误15.在容器环境中，所有镜像都来自公共仓库时，无需对镜像进行安全扫描。答案：错误16.云上日志审计中，日志数据也应当进行访问控制与加密保护。答案：正确17.根据等保2.0要求，三级及以上云平台应具有异地数据备份功能。答案：正确解析：三级要求提供本地数据备份与恢复外，还应提供异地实时备份功能，利用通信网络将数据实时备份至备份场地。18.云上部署WAF后，源站服务器可以完全忽略系统漏洞修补。答案：错误19.混合云架构中，私有云与公有云之间的安全策略应统一管理、协同联动。答案：正确20.数据加密后，即使加密密钥丢失，也可以通过暴力破解手段轻易恢复原文。答案：错误四、简答题（每题6分，共30分）1.简述等保2.0中云计算安全扩展要求的"责任共担"模型的基本内涵。答案：等保2.0明确了云服务方与云租户方的安全责任边界。云服务方负责云计算平台自身（含虚拟化层、物理设施等）的安全保护，云租户方负责其业务系统（含虚拟机、容器、应用、数据等）的安全保护。双方各自承担相应安全责任，配合完成等级保护工作；责任共担模型要求云服务商与租户间建立安全责任协议，明确双方义务，防止责任真空。解析：回答时应指出责任分界线的具体位置（一般以虚拟化层为界），以及双方各自承担的主要责任，并提及"协同配合"与"协议明确"。2.何谓云端数据残留？规避数据残留风险的措施主要有哪些？答案：数据残留是指存储在存储介质（磁盘、内存、SSD等）中的敏感数据在释放、重新分配或回收后仍留有可被重建的痕迹。规避措施包括：对虚拟机磁盘执行安全擦除；调用云服务商的存储清零机制；使用加密存储并将密钥安全销毁（密码学销毁）；对退役/故障存储介质采取消磁或物理销毁；在合规要求高时选择支持全部清零特性的云硬盘类型。3.云租户进行等级保护测评时，需要向测评机构提供哪些材料？答案：(1)等级保护备案证明；(2)系统定级报告与专家评审意见；(3)系统详细描述文档（网络拓扑、资产清单等）；(4)安全管理制度与流程文档；(5)与云服务商签订的安全责任协议；(6)云服务商的等保测评报告或安全评估报告；(7)近期的漏洞扫描报告、渗透测试报告等。解析：核心逻辑是"定级—备案—建设整改—测评"，材料需完整证明系统安全保护状况及云服务商的基础安全能力。4.简述云上日志审计系统中，保障日志"完整性"的技术手段。答案：(1)使用WORM存储或对象存储的不可变策略；(2)对日志文件计算哈希值并定期固化（如区块链存证或发布到公开日志服务）；(3)设置日志文件权限，限制删除和修改权限；(4)日志服务器与业务系统分离，独立账号管理；(5)通过安全信息与事件管理平台集中收集并建立关联审计。5.结合GDPR，云计算场景下数据控制者与数据处理者的区别是什么？云租户与云服务商通常分别扮演什么角色？答案：数据控制者决定个人数据的处理目的与方式，对数据处理承担首要合规责任；数据处理者按照控制者的指示处理数据。云租户通常控制其业务数据的处理目的与方式，因此属于数据控制者；云服务商按租户指示提供存储、计算等处理服务，一般属于数据处理者。双方需要签订数据处理协议（DPA），明确处理范围、安全措施、跨境传输、子处理者管理及违约条款等。五、综合分析题（每题20分，共40分）1.某大型互联网企业将其核心业务系统迁移至某公有云平台，系统涉及大量用户个人信息与重要业务数据，拟定为等级保护三级系统。请结合等保2.0要求与云计算安全扩展要求，回答以下问题：(1)该企业作为云租户，在"安全计算环境"层面应重点落实哪些安全措施？至少列出5项。(2)该企业与云服务商之间的安全责任边界应如何划分？(3)若该企业后续还需要通过商用密码应用安全性评估（密评），其应重点关注哪些方面？答案：(1)安全计算环境层面重点措施：•身份鉴别：对登录用户采用双因素认证，配置密码复杂度策略与登录失败处理；•访问控制：基于角色的访问控制，实现权限最小化，严格限制管理员的默认权限；•安全审计：启用全面的审计日志功能，对重要用户行为和重要安全事件进行审计，审计记录保护至少6个月；•入侵防范：在虚拟化平台和云租户侧部署入侵检测与防护措施，及时修补系统漏洞，关闭不需要的系统服务与默认共享；•恶意代码防范：在租户侧虚拟机中安装防恶意代码软件，并及时更新；•数据完整性、保密性：采用密码技术保证数据传输与存储的完整性和保密性，使用KMS管理数据加密密钥；•数据备份恢复：提供本地数据备份与恢复功能，三级系统还需异地实时备份。(2)安全责任划分：•云服务商（IaaS服务）负责物理基础设施（机房、服务器、网络设备、存储设备）、虚拟化层（Hypervisor）的安全，以及云平台管理平面的安全；•企业（云租户）负责其虚拟机（操作系统、数据库、中间件、应用系统）、数据以及租户侧网络访问控制策略的安全；•双方应签署安全责任协议，明确各自落实等保要求的边界与配合机制；•云服务商应向租户提供其平台通过等保测评的相关证明。(3)密评关注重点：•网络与通信安全：是否使用符合国密标准的VPN或TLS协议实现传输加密；•设备和计算安全：远程管理是否使用基于国密算法的身份鉴别机制；•应用和数据安全：重要数据是否采用SM4等商用密码算法加密存储，关键业务是否使用数字签名（如SM2/SM3）保证完整性；•密钥管理：密钥全生命周期（生成、分发、存储、使用、更新、销毁）是否符合GM/T0054等密码相关标准；•安全管理：密码管理制度、人员与应急管理是否到位。解析：本题综合考察等保2.0三级系统在云计算场景下安全技术与管理要求的落地能力。答题时需要把"通用要求"与"云计算扩展要求"结合，并正确理解责任共担