2026年计算机信息安全工程师资格考试信息安全防护技术标准模拟试卷(含答案)

2026年计算机信息安全工程师资格考试信息安全防护技术标准模拟试卷(含答案)一、单项选择题（共30题，每题1分，共30分。每题的备选项中，只有1个最符合题意）1.依据GB/T22239-2025《信息安全技术网络安全等级保护基本要求》，第三级以上网络远程运维访问的身份鉴别要求，以下说法正确的是（）A.可仅采用静态口令鉴别B.应采用两种或两种以上组合的鉴别技术，且至少一种鉴别技术为动态产生或具有密码学安全强度C.可采用短信验证码作为唯一鉴别方式D.运维账号可在运维团队内共享使用，无需单独溯源2.按照GB/T43697-2024《信息安全技术数据安全技术数据分类分级规则》，涉及公民个人生物识别信息、金融账户精准信息的个人敏感数据，其安全保护等级不应低于（）A.1级B.2级C.3级D.4级3.依据GB/T44764-2025《信息安全技术零信任参考体系架构》，零信任架构的核心安全原则不包含以下哪项（）A.永不信任、始终验证B.最小权限按需访问C.默认信任内网区域已注册终端D.持续信任评估与动态授权4.按照GB/T39477-2020《信息安全技术政务信息共享数据安全技术要求》，政务数据共享交换过程中，针对敏感字段的脱敏处理，以下哪种脱敏方式属于可逆脱敏（）A.哈希加盐处理B.格式保留加密C.固定掩码替换D.字段值泛化处理5.依据GB/T20281-2020《信息安全技术防火墙安全技术要求和测试评价方法》，下一代防火墙（NGFW）与传统包过滤防火墙的核心差异是（）A.具备基于五元组的访问控制能力B.具备应用层协议识别与深度包检测能力C.支持NAT地址转换D.支持静态路由、动态路由配置6.按照GB/T20275-2021《信息安全技术网络入侵检测系统技术要求和测试评价方法》，符合三级系统使用要求的网络入侵检测系统（NIDS），其已知攻击漏报率应不高于（）A.1%B.5%C.10%D.15%7.依据GB/T35273-2025《信息安全技术个人信息安全规范》，个人信息处理者在收集个人生物识别信息时，以下做法不符合要求的是（）A.仅收集实现业务功能所必需的最少信息B.优先将原始生物识别信息存储于用户本地终端，非必要不上传云端C.在未获得个人单独同意的情况下，将人脸特征默认用于商业营销场景的用户身份核验D.建立生物识别信息的全生命周期访问审计机制8.按照GB/T39204-2022《信息安全技术关键信息基础设施安全保护要求》，关键信息基础设施运营者采购网络产品和服务时，应与供应商签订安全保密协议，明确供应商的网络安全责任，其中供应商无需向运营者强制提供的材料是（）A.产品网络安全认证或检测证书B.产品全部核心源代码及完整开发文档C.产品漏洞响应及限期修复承诺D.产品无预置后门的风险检测报告9.依据GB/T44477-2025《信息安全技术生成式人工智能服务安全基本要求》，生成式人工智能服务提供者开展模型训练时，以下哪类数据可在履行合法程序后用于训练（）A.非法获取的未公开个人隐私信息B.著作权保护期内未获得授权的原创文学作品C.已进入公共领域的官方公开公告、政策文件信息D.通过非法爬取获取的企业商业秘密信息10.按照GB/T39786-2021《信息安全技术信息系统密码应用基本要求》，第三级信息系统在应用和数据安全层面，用于身份鉴别的密码算法应采用（）A.MD5哈希算法B.SHA-1哈希算法C.国家密码管理部门认可的商用密码算法D.企业自主研发的非公开加密算法11.依据GB/T20279-2025《信息安全技术网络和终端隔离产品安全技术要求和测试评价方法》，以下关于单向光闸的功能描述正确的是（）A.支持双向实时数据传输，无传输方向限制B.仅允许数据从低安全级别区域单向流向高安全级别区域，无反向协议反馈通道C.可替代防火墙实现公网双向访问控制D.主要用于普通办公用户访问互联网资源12.按照GB/T22239-2025要求，第四级网络系统的安全审计日志留存时间不应少于（）A.3个月B.6个月C.12个月D.24个月13.依据GB/T30276-2020《信息安全技术网络安全漏洞管理规范》，运营者发现自身系统存在高危漏洞时，应在多长时间内完成漏洞修复或部署有效防护措施（）A.24小时B.72小时C.7天D.30天14.按照GB/T20988-2024《信息安全技术信息系统灾难恢复规范》，某单位灾备系统可实现远程数据实时备份，具备完整的备用处理设备，RPO≤30分钟、RTO≤2小时，其灾难恢复能力等级为（）A.3级B.4级C.5级D.6级15.依据GB/T37973-2025《信息安全技术Web应用防火墙技术要求和测试评价方法》，以下哪项攻击不属于WAF的核心防护范畴（）A.SQL注入攻击B.跨站脚本（XSS）攻击C.大规模SYN洪水型DDoS攻击D.未授权文件上传漏洞攻击16.按照GB/T43769-2024《信息安全技术终端检测与响应（EDR）系统技术要求》，EDR与传统终端杀毒软件的核心差异是（）A.具备已知病毒的特征码查杀能力B.具备终端行为持续监测、未知威胁溯源和主动响应能力C.支持本地文件实时扫描监控D.支持病毒库在线升级17.依据GB/T31168-2023《信息安全技术云计算服务安全能力要求》，在云计算服务责任共担模型中，以下哪项安全责任属于云服务客户（租户）的责任范围（）A.云平台物理机房的安全防护B.云平台虚拟化层的漏洞修复C.租户部署在云主机上的业务应用的安全配置与补丁更新D.云平台核心网络设备的安全运维18.按照GB/T33009-2024《信息安全技术工业控制系统安全防护指南》，工业控制生产区与企业办公管理区之间的边界防护，应优先采用的设备是（）A.普通商用防火墙B.工业专用单向隔离网闸C.家用级路由器D.主机端软件防火墙19.依据GB/T35273-2025《信息安全技术个人信息安全规范》，以下哪项不属于敏感个人信息范畴（）A.个人已公开的工作单位、职务信息B.个人人脸、指纹等生物识别信息C.个人金融账户余额、交易流水信息D.个人医疗记录、实时行踪轨迹信息20.按照GB/T42317-2023《信息安全技术渗透测试实施指南》，授权渗透测试过程中，以下哪种行为是明确禁止的（）A.获得客户书面授权后，在约定时间和测试范围内开展测试B.对测试过程中发现的可能影响核心业务运行的高危漏洞第一时间向客户通报C.未经客户同意，对核心业务系统发起饱和式拒绝服务攻击导致业务长时间中断D.测试完成后向客户提交完整测试报告，并永久删除测试过程中获取的所有客户数据21.依据GB/T32420-2024《信息安全技术无线局域网测试规范》，党政机关、关键信息基础设施运营单位的重要办公场所部署无线局域网时，应优先采用的安全认证机制是（）A.WEP认证B.WPA2-PSK认证C.WAPI认证D.无密码开放认证22.按照《中华人民共和国网络安全法》要求，普通网络运营者应当留存相关网络日志不少于（）A.1个月B.3个月C.6个月D.12个月23.在经典访问控制模型中，主要用于保障数据保密性，严格遵循“不上读、不下写”访问规则的模型是（）A.BLP模型B.Biba模型C.Clark-Wilson模型D.ChineseWall模型24.依据GB/T32922-2024《信息安全技术SSLVPN技术要求》，SSLVPN的协议工作层级位于OSI模型的（）A.网络层B.传输层与应用层之间C.数据链路层D.物理层25.按照GB/T32915-2024《信息安全技术分布式拒绝服务攻击（DDoS）防护设备技术要求》，符合三级系统部署要求的DDoS防护设备，其攻击流量清洗准确率应不低于（）A.80%B.90%C.99%D.50%26.依据GB/T39412-2020《信息安全技术代码安全审计规范》，以下哪类问题不属于代码安全审计的重点排查范畴（）A.代码中存在硬编码的数据库管理员口令B.代码中存在未做合法性校验的输入参数，可能引发缓冲区溢出C.代码注释格式不规范、局部变量命名不统一D.代码中调用了已被证明不安全的弱加密函数27.按照GB/T42431-2023《信息安全技术数据防泄漏（DLP）产品技术要求》，DLP产品的核心功能不包含（）A.基于特征和语义的敏感数据识别B.终端违规数据拷贝、外发操作阻断C.网络传输中的敏感数据外发检测拦截D.服务器硬件故障实时告警28.依据《中华人民共和国电子签名法》，可靠的电子签名与手写签名、盖章具有同等法律效力，以下哪项不符合可靠电子签名的法定要求（）A.电子签名制作数据用于签名时，属于电子签名人专有B.签署时电子签名制作数据仅由电子签名人控制C.签署后对电子签名、数据电文内容和形式的任何改动能够被发现D.将手写签名的扫描图片贴在电子文档上即可视为可靠电子签名29.依据GB/T40646-2021《信息安全技术互联网内容安全检测产品技术要求》，内容安全检测产品的核心能力不包含（）A.文本、图片、音视频中的违法有害信息智能识别B.网络链路吞吐率、丢包率等性能参数统计C.违法有害内容实时告警与处置联动D.违规信息传播路径溯源30.按照GB/T41389-2022《信息安全技术高级可持续威胁（APT）攻击检测产品技术要求》，APT攻击检测的核心技术不包含（）A.基于威胁情报的IOC（失陷标识）匹配B.基于全流量留存的异常行为关联分析C.基于沙箱环境的未知文件动态行为检测D.基于静态特征码的普通已知病毒查杀二、多项选择题（共10题，每题2分，共20分。每题的备选项中有2个或2个以上符合题意，多选、少选、错选均不得分）1.依据GB/T22239-2025《信息安全技术网络安全等级保护基本要求》，第三级网络安全通用要求覆盖以下哪些核心层面（）A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心2.按照GB/T43697-2024《信息安全技术数据安全技术数据分类分级规则》，数据全生命周期安全防护覆盖以下哪些阶段（）A.数据采集B.数据传输C.数据存储D.数据使用与加工E.数据提供、公开与销毁3.依据GB/T44764-2025《信息安全技术零信任参考体系架构》，零信任架构的核心组件包含（）A.身份管理与权限管理组件B.持续信任评估引擎C.动态访问控制引擎D.安全代理与访问网关E.安全日志与审计组件4.按照GB/T39786-2021《信息安全技术信息系统密码应用基本要求》，第三级信息系统应在以下哪些场景采用商用密码技术实现安全防护（）A.网络通信实体身份鉴别与传输数据保密性、完整性保护B.设备登录身份鉴别与系统日志完整性校验C.应用用户身份鉴别与交易行为不可否认性保护D.重要业务数据存储的保密性与完整性保护E.物理环境进出记录、视频监控数据的完整性保护5.依据GB/T30276-2020《信息安全技术网络安全漏洞管理规范》，网络漏洞全生命周期管理流程包含以下哪些环节（）A.漏洞发现与验证B.漏洞风险评估与分级C.漏洞修复与补丁有效性验证D.漏洞披露与行业通报E.漏洞闭环管理与持续跟踪6.按照GB/T39204-2022《信息安全技术关键信息基础设施安全保护要求》，关键信息基础设施运营者应履行以下哪些安全责任（）A.每年至少开展一次全面的网络安全检测和风险评估B.建立网络安全监测预警和应急响应机制，定期开展应急演练C.对重要系统和核心数据建立同城、异地容灾备份机制D.优先采购安全可信的网络产品和服务，落实供应链全流程安全管理要求E.按照要求向监管部门报送网络安全事件、风险评估报告等材料7.依据GB/T35273-2025《信息安全技术个人信息安全规范》，处理个人信息时应严格遵循以下哪些基本原则（）A.权责一致原则B.目的明确原则C.选择同意原则D.最少够用原则E.公开透明与个人信息主体参与原则8.按照GB/T20988-2024《信息安全技术信息系统灾难恢复规范》，关于灾难恢复能力等级划分，以下说法正确的有（）A.第1级为基本支持，无固定备用场地，RTO≥72小时B.第3级为电子传输和部分设备支持，配备部分备用处理设备，RPO≤24小时C.第5级为实时数据传输及完整设备支持，配备与生产环境一致的完整备用系统，RPO≤30分钟D.第6级为数据零丢失和远程集群支持，实现远程实时数据镜像与集群高可用，RPO趋近于0E.第2级为备用场地支持，配备实时切换的完整备用系统，RTO≤30分钟9.依据GB/T44477-2025《信息安全技术生成式人工智能服务安全基本要求》，生成式人工智能服务提供者应落实以下哪些安全措施（）A.开展训练数据来源合法性审核，不得使用侵权、违法的数据集训练模型B.对生成的内容添加可识别的数字水印或显性/隐性内容标识C.建立违法有害内容拦截机制，对用户输入提示词和模型输出内容进行双重审核D.落实未成年人网络保护要求，防止生成危害未成年人身心健康的内容E.建立用户个人信息保护机制，不得非法收集、泄露、滥用用户输入的个人信息10.按照GB/T42317-2023《信息安全技术渗透测试实施指南》，规范的授权渗透测试流程包含以下哪些阶段（）A.前期交互与书面授权确认B.信息收集与漏洞探测C.漏洞验证与有限范围内的利用测试D.受控范围内的后渗透测试（不得植入持久化后门、不得破坏业务数据）E.报告提交与漏洞修复后的复测验证三、案例分析题（共3题，每题10分，共30分）1.【场景】某地市政务服务平台为第三级等级保护对象，2026年1月日常安全监测中发现，平台对外服务的办事咨询模块存在高危SQL注入漏洞，攻击者可利用该漏洞获取平台存储的办事群众身份证号、手机号、家庭住址等个人敏感信息。经安全核查：平台网络边界仅部署了传统包过滤防火墙，未部署应用层防护设备；业务数据库未开启审计日志功能；数据库管理员账号长期使用“admin/123456”的弱口令；服务器远程运维端口（3389、22）直接映射至公网，未启用双因子认证。问题：（1）结合GB/T22239-2025第三级安全要求，指出该平台存在的核心安全防护不符合项。（6分）（2）针对上述不符合项，提出可落地的整改措施。（4分）2.【场景】某全国性股份制商业银行按照GB/T39786-2021要求开展商用密码应用安全性评估（密评），经测评发现：该行手机银行APP用户登录环节使用MD5算法对用户口令做哈希处理后传输；客户交易数据传输过程中采用技术团队自研的对称加密算法；客户交易日志存储未做完整性校验；核心业务系统管理员身份鉴别仅采用“静态口令+短信验证码”方式，未使用合规密码模块开展身份核验；对外服务的互联网网站数字证书由境外CA机构颁发。问题：（1）指出该行在密码应用方面存在的不符合GB/T39786-2021第三级要求的问题。（5分）（2）简述第三级信息系统商用密码应用的核心技术要求。（5分）3.【场景】某新能源汽车企业搭建了车联网服务平台，实时收集车辆运行数据、车主个人信息、车辆地理位置轨迹等数据。2025年12月平台发生数据泄露事件，经查：第三方运维人员开展测试工作时，将包含10万条车主精确轨迹信息的生产数据拷贝至测试环境，后上传至公开代码仓库导致数据扩散；平台未对数据导出操作设置审批流程和审计规则，测试环境使用生产数据时未做脱敏处理；此外核查发现，平台智能驾驶辅助功能的AI模型训练时，默认采集车主车内音视频数据，未在隐私政策中明确告知用户、未获得用户单独同意。问题：（1）结合GB/T35273-2025、GB/T43697-2024相关要求，指出该企业存在的数据安全与个人信息保护违规问题。（6分）（2）针对车联网场景数据安全防护，简述需落实的核心技术措施。（4分）四、综合应用题（共1题，共20分）某省级电力调度核心系统属于第四级等级保护对象，同时被认定为关键信息基础设施，承载全省电网实时调度、负荷监控、故障处置等核心业务，业务中断将直接影响全省生产生活用电秩序，涉及国家安全和国计民生。请结合GB/T22239-2025、GB/T39204-2022、GB/T39786-2021等国家网络安全防护标准，从技术防护体系、管理防护体系两个维度，设计覆盖物理、网络、边界、主机、应用、数据、供应链、应急响应全层面的安全防护方案，要求方案符合标准要求、具备可落地性。参考答案一、单项选择题1.B2.C3.C4.B5.B6.C7.C8.B9.C10.C11.B12.C13.B14.C15.C16.B17.C18.B19.A20.C21.C22.C23.A24.B25.C26.C27.D28.D29.B30.D二、多项选择题1.ABCDE2.ABCDE3.ABCDE4.ABCDE5.ABCDE6.ABCDE7.ABCDE8.ABCD9.ABCDE10.ABCDE三、案例分析题1.（1）核心不符合项：①边界防护能力不足，传统包过滤防火墙无法识别、阻断SQL注入等应用层攻击，未满足等保三级边界入侵防范要求；②身份鉴别机制不达标，管理员账号使用弱口令，远程运维未采用两种以上组合鉴别技术，直接将运维端口暴露于公网，违反访问控制最小权限要求；③安全审计机制缺失，数据库未开启审计日志，无法对数据访问、操作行为进行溯源，不符合等保三级审计记录留存6个月以上的要求；④数据安全防护不足，存储的个人敏感信息未采取加密、脱敏等防护措施，存在大规模泄露风险。（每点1.5分，共6分）（2）整改措施：①在网络边界部署下一代防火墙、Web应用防火墙（WAF），配置应用层攻击防护规则，阻断SQL注入、XSS等常见Web攻击；②落实强口令策略，管理员远程运维通过零信任网关或IPsecVPN接入，启用“口令+硬件USBKey”双因子认证，关闭公网直接映射的运维端口；③开启数据库审计、系统日志审计功能，日志集中存储至安全审计平台，留存时间不少于6个月，配置异常操作告警规则；④对数据库存储的个人敏感信息采用国密算法加密，前端展示的敏感字段做掩码脱敏处理，定期开展漏洞扫描和渗透测试，高危漏洞72小时内完成修复。（每点1分，共4分）2.（1）存在问题：①使用非合规密码算法，MD5哈希算法、自研加密算法不属于国家密码管理部门认可的商用密码算法，存在被破解、篡改的风险；②密码技术应用覆盖不全，未采用密码技术对交易日志做完整性校验，无法防范日志被篡改的风险；③身份鉴别不达标，短信验证码不属于商用密码技术范畴，未采用基于密码技术的身份鉴别机制；④密码模块不合规，密码运算未在经认证的商用密码模块中开展；⑤数字证书来源不合规，使用境外CA颁发的证书存在供应链安全和数据主权风险。（每点1分，共5分）（2）核心技术要求：①网络和通信安全层面，采用国密算法实现通信两端身份鉴别、传输数据的保密性和完整性保护；②设备和计算安全层面，采用密码技术实现设备登录用户身份鉴别、系统日志完整性校验、重要配置文件/程序的完整性保护；③应用和数据安全层面，采用密码技术实现应用用户身份鉴别、重要数据传输和存储的保密性与完整性、关键交易行为的不可否认性；④密钥管理层面，建立覆盖密钥生成、存储、分发、使用、更新、销毁全生命周期的管理机制，使用经国家密码管理局认证的硬件密码模块承载密码运算；⑤物理和环境安全层面，采用密码技术对物理区域门禁记录、视频监控数据进行完整性保护。（每点1分，共5分）3.（1）违规问题：①个人信息收集不合规，未明确告知用户即收集车内音视频敏感个人信息，未获得用户单独同意，违反告知同意和最小必要原则；②数据权限管控缺失，未对运维人员的数据导出、拷贝操作设置审批流程和访问控制规则，存在越权访问风险；③数据脱敏措施缺失，测试环境使用包含车主轨迹信息的真实生产数据时未做脱敏处理，导致敏感数据扩散；④供应链安全管理不到位，未与第三方运维机构签订数据安全协议，未约束供应商的数据访问、使用行为，未对供应商操作行为进行全程审计；⑤测试数据管理不规范，未建立生产数据用于测试环境的审批、脱密流程，存在数据泄露隐患。（答出6点中任意6分，共6分）（2）核心技术措施：①按照数据分类分级要求对车联网采集的车主信息、车辆数据、轨迹数据进行分级标识，按照3级以上敏感数据要求落实防护措施；②采用零信任访问架构，对运维人员、第三方供应商的访问行为进行持续身份核验，遵循最小权限原则分配数据访问权限；③建立敏感数据全生命周期防护机制，传输、存储过程采用国密算法加密，测试环境使用数据必须经过不可逆脱敏，严禁直接使用生产数据；④部署数据防泄漏（DLP）系统，对数据拷贝、导出、外发操作进行实时检测和审批，全流程操作日志留存不少于6个月，配置异常外发告警；⑤建立数据安全应急响应机制，定期开展数据安全风险评估，发生数据泄露事件第一时间处置并向监管部门报备。（每点1分，共4分）四、综合应用题（一）技术防护体系（14分）1.物理安全层面：按照等保四级要求建设独立核心机房，配置双路供配电、UPS、精密空调、消防系统、电磁屏蔽设施，部署国密算法支持的门禁系统、视频监控系统，进出记录和监控数据完整性采用SM3算法保护，核心区域实行双人双锁值守，机房出入全程留痕。（2分）2.网络安全层面：采用纵深防御分区分域架构，将生产调度区、管理信息区、测试区、第三方接入区做物理或逻辑强隔离，核心调度区与其他区域采用单向工业隔离网闸连接，网络设备全部选用经安全认证的国产可信设备，配置冗余链路避免单点故障，跨节点通信采用国密SM2/SM3/SM4算法的IPsecVPN实现加密传输。（2分）3.边界防护层面：各区域边界部署下一代防火墙、T级抗DDoS设备、工业入侵防御系统（IPS）、零信任访问网关，所有跨边界访问