2026年信息安全保障人员认证(CISAW)考试题库(附答案和详细解析)

2026年信息安全保障人员认证(CISAW)考试题库(附答案和详细解析)一、单项选择题（共20题，每题2分，总计40分）1.依据GB/T20274《信息安全技术信息系统安全保障框架》，信息安全保障体系的核心构成要素不包含以下哪一项（）A.人员B.技术C.管理（流程）D.资本【答案】D【解析】GB/T20274系列标准明确，信息安全保障体系以人员、技术、管理三大要素为核心，构建覆盖保护、检测、响应、恢复动态闭环的防护能力，强调安全是持续过程而非一次性项目。其中人员是安全保障的核心主体，技术是安全防护的工具支撑，管理（流程）是技术和人员发挥效能的制度保障，资本属于安全保障落地的支撑性资源，并非框架定义的核心构成要素。2025年该标准修订版中进一步明确了数据作为核心保护对象的定位，将数据安全管控要求融入三大要素的全流程，该知识点在2026年CISAW考试中占比约8%，重点考察考生对信息安全保障基础框架的理解。2.根据《关键信息基础设施安全保护条例》要求，关键信息基础设施运营者应当自行或委托符合资质的网络安全服务机构，对其网络安全性和潜在风险至少每（）开展一次全面检测评估，评估结果和整改情况需报送对应行业保护工作部门。A.半年B.1年C.2年D.3年【答案】B【解析】《关键信息基础设施安全保护条例》第十七条明确规定，关键信息基础设施运营者应当每年至少开展一次网络安全检测评估，评估内容需覆盖网络安全防护措施有效性、供应链安全风险、数据安全管控能力、应急响应能力等维度，检测评估需符合国家网络安全等级保护制度的基础要求。考生需注意区分：网络安全等级保护三级系统要求每年至少开展一次等级测评，四级系统要求每半年开展一次等级测评，关键信息基础设施需在等保测评基础上叠加更高要求的年度安全检测评估，该考点属于法律法规和关基保护模块，在2026年考试中占比约10%。3.以下设计原则中，不属于零信任安全架构核心要求的是（）A.永不信任，始终验证B.默认内网可信，边界防护优先C.最小权限按需分配D.持续信任评估，动态调整权限【答案】B【解析】零信任架构打破传统边界安全“内网默认可信”的逻辑缺陷，核心原则包括以身份为访问控制基础、永不信任始终验证、最小权限分配、持续信任评估、动态访问授权、全链路加密审计等，选项B是传统边界防火墙的核心设计思路，已无法适配云环境、远程办公、跨域数据访问等新场景下的安全需求。2025年发布的《零信任安全技术参考框架》行业标准明确将零信任应用场景覆盖远程办公、数据跨域访问、云原生环境、关基系统访问等，是2026年CISAW考纲新增的核心技术考点。4.依据GB/T20984-2022《信息安全技术信息安全风险评估方法》，信息安全风险值计算的核心逻辑是（）A.风险=资产价值×脆弱性严重程度×威胁发生概率B.风险=资产价值+安全投入成本+威胁损失C.风险=威胁发生概率×安全措施防护效率D.风险=脆弱性数量×漏洞修复成本【答案】A【解析】GB/T20984-2022明确，信息安全风险是指威胁利用资产存在的脆弱性导致安全事件发生、及事件发生后造成的损失，风险值与资产价值、脆弱性严重程度、威胁发生概率呈正相关，风险评估流程需覆盖资产识别、威胁识别、脆弱性识别、已有安全措施确认、风险分析、风险处置六个核心环节。风险评估是CISAW考试占比15%的核心知识域，要求考生能够独立完成中小型组织的风险评估实施、风险等级判定、处置方案制定工作。5.根据《中华人民共和国数据安全法》确立的法定数据分类分级保护框架，数据按照危害程度分为三个核心保护层级，其中最高保护层级为（）A.重要数据B.核心数据C.敏感数据D.一般数据【答案】B【解析】《数据安全法》第二十一条明确，国家建立数据分类分级保护制度，按照数据一旦遭到篡改、破坏、泄露、非法获取或利用后对国家安全、公共利益、个人及组织合法权益的危害程度，将数据分为一般数据、重要数据、核心数据三个层级，其中核心数据是关系国家安全、国民经济命脉、重要民生、重大公共利益的最高保护等级数据，实行最严格的管控措施。GB/T43697-2024《数据安全技术数据分类分级规则》为支撑法定分级要求，将危害程度从低到高划分为1-5级，其中危害程度为“特别严重”的对应核心数据，“严重危害”对应重要数据，“轻微/一般危害”对应一般数据，数据安全模块在2026年CISAW考试中占比提升至20%，重点考察分类分级实施、重要数据识别、全生命周期管控能力。6.根据《中华人民共和国密码法》，用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法依规自由使用的密码类型是（）A.核心密码B.普通密码C.商用密码D.专用密码【答案】C【解析】《密码法》将密码分为三类：核心密码、普通密码用于保护国家秘密信息，核心密码保护最高密级为绝密级，普通密码保护最高密级为机密级，二者属于国家秘密，由密码管理部门依法严格管理；商用密码用于保护不属于国家秘密的信息，公民、法人可依法使用商用密码保护网络与信息安全。2026年考纲新增商用密码应用安全性评估（密评）的实施流程、判定准则考点，要求考生掌握三级以上网络、关基系统密评的核心要求。7.依据GB/Z20986-2023《信息安全技术信息安全事件分类分级指南》，造成跨省级范围业务中断、关基系统核心功能瘫痪、100万条以上个人敏感信息泄露、对国家安全或公共利益造成特别严重损害的安全事件属于（）A.Ⅰ级（特别重大事件）B.Ⅱ级（重大事件）C.Ⅲ级（较大事件）D.Ⅳ级（一般事件）【答案】A【解析】该标准将信息安全事件根据影响范围、损害程度分为四级，Ⅰ级为特别重大事件，通常涉及大范围公共服务中断、核心数据大规模泄露、关基系统瘫痪超过4小时等场景；Ⅱ级为重大事件，通常涉及省级范围内影响、10万条以上敏感信息泄露、业务中断超过2小时等场景。应急响应处置需遵循“统一指挥、分级负责、快速响应、协同联动”原则，CISAW考试要求考生熟练掌握准备、检测、遏制、根除、恢复、总结六个应急响应核心阶段的工作要点。8.以下攻击方式中，不属于社会工程学攻击范畴的是（）A.发送仿冒官方邮箱的钓鱼邮件诱导用户输入账号密码B.尾随刷卡员工进入受控办公区域C.利用Web应用SQL注入漏洞直接获取数据库权限D.冒充运维人员通过电话索要系统管理员权限【答案】C【解析】社会工程学攻击核心是利用人的心理弱点，通过欺骗、诱导、伪装等方式获取敏感信息或访问权限，常见形式包括钓鱼攻击、尾随进入、身份假冒、话术诱导等，SQL注入属于技术层面的Web应用漏洞攻击，不涉及对人的心理诱导。定期开展全员安全意识培训是防范社会工程学攻击的核心措施，也是CISAW人员保障要素中的重点考核内容。9.根据GB/T22239-2019《网络安全等级保护基本要求》，第三级网络安全要求中的“安全管理中心”模块不包含以下哪项管控要求（）A.系统管理B.审计管理C.集中管控D.供应链采购管理【答案】D【解析】等保2.0三级要求的安全管理中心模块包含系统管理、审计管理、安全管理、集中管控四个技术管控维度，要求实现对全网安全设备、安全策略、审计日志的统一管理；供应链采购管理属于“安全建设管理”模块的管理类要求，未纳入安全管理中心技术管控范畴。2025年等保2.0修订征求意见稿中新增生成式AI服务安全、数据出境管控、供应链安全检测等要求，已纳入2026年CISAW考试命题范围。10.根据《中华人民共和国个人信息保护法》，处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息时，应当取得个人的（）A.单独同意B.概括同意C.默示同意D.无需同意【答案】A【解析】《个人信息保护法》第二十九条明确，处理敏感个人信息应当取得个人的单独同意，法律、行政法规要求取得书面同意的从其规定；处理前需明确告知个人处理敏感信息的必要性、对个人权益的影响，不得通过捆绑服务、一揽子授权等方式强制获取敏感个人信息处理权限。11.根据《生成式人工智能服务管理暂行办法》，以下关于生成式AI服务提供者安全义务的描述，错误的是（）A.对生成内容进行审核，防范生成违法有害信息B.依法留存用户输入信息和服务日志，留存期限不少于6个月C.无需对用户利用AI生成内容的侵权行为承担责任D.落实训练数据安全管控，不得非法收集个人信息用于模型训练【答案】C【解析】《生成式人工智能服务管理暂行办法》明确，生成式AI服务提供者需承担网络信息内容生产者责任，履行内容审核、数据安全、个人信息保护、算法备案等义务，用户利用服务从事侵权行为的，服务提供者需依据民法典、著作权法等规定承担相应过错责任，建立健全投诉举报响应机制。生成式AI安全是2026年CISAW考纲新增重点场景考点，覆盖训练数据安全、内容安全、算法安全、个人信息保护等维度。12.组织开展漏洞管理工作时，高危漏洞修复优先级的核心判定依据不包括（）A.漏洞的CVSS严重程度评分B.漏洞对应资产的业务价值C.漏洞利用POC/EXP的公开可用性D.漏洞披露厂商的行业知名度【答案】D【解析】漏洞修复优先级以风险等级为核心判定依据，主要参考资产重要程度、漏洞严重程度、漏洞利用难度、是否存在公开利用代码、漏洞被利用后的潜在损失等因素，与漏洞披露厂商的行业知名度无直接关联。CISAW要求安全保障人员能够建立组织级漏洞闭环管理流程，实现漏洞从发现、研判、修复、验证到复盘的全流程管控。13.在访问控制模型中，通过将权限分配给角色、用户根据所属角色获得对应权限，实现用户与权限逻辑分离、降低大规模组织权限管理复杂度的模型是（）A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）【答案】C【解析】RBAC模型是目前企业应用最广泛的访问控制模型，通过角色作为中间层实现权限的批量分配和调整；DAC由资源所有者自主分配权限，安全性较低适合小型场景；MAC基于安全标签实现强制管控，多用于军工、政务等高安全等级场景；ABAC基于主体、客体、环境属性动态分配权限，是零信任架构下的主流访问控制技术。14.根据《网络安全漏洞管理规定》，网络产品和服务提供者发现自身产品存在高危漏洞后，应当在（）内向工业和信息化部网络安全威胁和漏洞信息共享平台报送漏洞信息，并及时向用户发布修复补丁。A.24小时B.48小时C.72小时D.7日【答案】B【解析】《网络安全漏洞管理规定》第七条明确，网络产品和服务提供者需在发现或获知高危、严重漏洞后48小时内报送漏洞信息，不得在补丁发布前公开漏洞利用细节，不得隐瞒已知漏洞；针对0day漏洞的披露需遵循“及时处置、最小必要”原则，防范漏洞被恶意利用。15.以下关于入侵检测系统（IDS）和入侵防御系统（IPS）的描述，正确的是（）A.IDS采用串联部署模式，可直接阻断攻击流量B.IPS采用旁路部署模式，仅产生攻击告警不阻断流量C.IDS侧重全流量威胁检测和告警溯源，IPS侧重攻击实时阻断D.IDS与IPS功能完全一致，仅部署位置存在差异【答案】C【解析】IDS一般采用旁路镜像部署模式，通过分析镜像流量识别攻击行为，产生告警、支撑溯源分析，但不直接阻断流量；IPS采用串联部署模式，可实时识别并阻断经过链路的攻击流量，二者是协同防护关系，不存在完全替代关系。16.数据备份“3-2-1”原则是核心业务系统数据容灾的最佳实践，以下关于该原则的描述错误的是（）A.至少保存3份数据副本（含生产数据）B.使用2种以上不同类型的存储介质C.至少1份备份存储在异地离线环境D.所有备份需集中存放在同机房存储阵列中【答案】D【解析】“3-2-1”备份原则要求防范机房级灾难、勒索病毒加密等极端场景下的数据丢失，同机房集中存储存在单点故障风险，一旦发生火灾、水灾或ransomware横向感染，所有备份将同时失效。17.根据《商用密码应用安全性评估管理办法》，关键信息基础设施、网络安全等级保护第三级以上网络，应当自正式运行之日起每（）开展一次密评，评估结果报送密码管理部门。A.半年B.1年C.2年D.3年【答案】B【解析】密评重点覆盖物理环境、网络通信、设备计算、应用数据四个层面的密码应用合规性，要求密码算法符合国家标准，满足真实性、机密性、完整性、不可否认性防护要求，未按要求开展密评或密评不合格的系统不得正式投入运行。18.根据《网络安全事件报告管理办法》，发生重大、特别重大网络安全事件时，网络运营者应当在事件发生后（）内完成初报，向属地网信部门和行业主管部门报告事件基本情况。A.1小时B.8小时C.24小时D.48小时【答案】A【解析】重大及以上事件初报应包含事件发生时间、影响范围、初步原因、已采取的处置措施等内容，处置过程中需及时续报进展，处置完成后10个工作日内上报终报总结，不得迟报、瞒报、谎报事件信息。19.云计算场景下，SaaS（软件即服务）模式的安全责任分担边界描述正确的是（）A.云厂商负责所有层面的安全，客户无需承担任何安全责任B.云厂商负责云平台基础设施、应用系统的安全，客户负责自身账号、数据、访问权限的安全C.客户负责所有层面的安全，云厂商仅提供硬件资源D.安全责任全部由第三方安全服务商承担【答案】B【解析】云安全责任分担模型中，IaaS模式下云厂商负责机房、物理硬件、虚拟化层安全，客户负责操作系统、应用、数据安全；PaaS模式下云厂商负责基础设施、运行环境安全，客户负责应用、数据安全；SaaS模式下云厂商负责基础设施、应用系统安全，客户负责账号、数据、访问授权的安全，不存在某一方承担全部责任的情况。20.以下关于防火墙功能局限性的描述，正确的是（）A.防火墙可以拦截所有网络攻击，无需配合其他安全设备B.防火墙无法拦截加密流量中隐藏的攻击、无法防御内部网络发起的攻击C.防火墙规则一旦配置完成就无需更新D.防火墙可以检测并阻断所有0day漏洞攻击【答案】B【解析】防火墙基于预设规则执行访问控制，无法识别规则覆盖外的攻击，对于SSL加密流量中的恶意内容、内网终端发起的横向攻击、0day漏洞攻击缺乏有效检测能力，需要定期更新规则、搭配IDS/IPS、EDR、流量分析等设备形成协同防护体系。二、多项选择题（共10题，每题3分，总计30分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.基于PDCA循环构建信息安全管理体系时，以下属于计划（Plan）阶段的工作内容有（）A.制定信息安全方针、目标和管理制度B.开展全面风险评估，识别组织面临的安全风险C.运行安全管控措施，开展日常安全运维D.制定风险处置计划，明确管控责任E.开展内部审核和管理评审，持续改进体系【答案】ABD【解析】PDCA模型中，计划阶段完成顶层设计、风险识别、处置方案制定；选项C属于执行（Do）阶段工作；选项E属于检查（Check）和处置（Act）阶段工作。2.根据《个人信息保护法》，以下属于敏感个人信息的有（）A.人脸、指纹等生物识别信息B.病历、体检报告等医疗健康信息C.银行卡号、支付密码等金融账户信息D.实时定位、出行轨迹等行踪轨迹信息E.公开可查询的企业工商注册信息【答案】ABCD【解析】敏感个人信息是泄露后易导致人格尊严受损或人身、财产安全受到危害的自然人信息，企业工商信息属于法人公开信息，不属于个人信息范畴。3.零信任架构的核心组件包括以下哪些内容（）A.统一身份认证与访问管理（IAM）系统B.软件定义边界（SDP）C.微隔离系统D.持续信任评估引擎E.传统边界硬件防火墙【答案】ABCD【解析】零信任以身份为核心，传统边界防火墙基于网络位置构建信任关系，不属于零信任核心组件。4.常见的Web应用层安全漏洞包括以下哪些类型（）A.SQL注入漏洞B.跨站脚本（XSS）漏洞C.跨站请求伪造（CSRF）漏洞D.任意文件上传漏洞E.操作系统内核缓冲区溢出漏洞【答案】ABCD【解析】缓冲区溢出属于系统底层二进制漏洞，不属于Web应用层常见漏洞。5.根据《网络安全法》，网络运营者应当履行的法定安全义务包括（）A.制定内部安全管理制度，明确网络安全负责人B.部署防病毒、入侵防范等技术措施防范网络攻击C.留存网络日志不少于6个月D.落实数据分类、重要数据备份和加密措施E.所有软硬件产品必须采购国产设备【答案】ABCD【解析】网络安全法要求关基运营者采购网络产品服务需安全可控，但并未强制要求所有场景必须采购国产产品，不得设置歧视性采购条款。6.信息安全应急响应流程中，遏制阶段的核心工作包括（）A.隔离受感染主机，阻断攻击横向扩散路径B.断开异常外联链路，防止数据泄露C.第一时间重装所有受影响系统D.临时关闭存在漏洞的对外服务端口E.直接删除所有被篡改的文件【答案】ABD【解析】遏制阶段的核心目标是防止事态扩大，需保留证据支撑后续溯源，不得在未取证的情况下直接重装系统或删除文件，避免影响事件溯源和责任认定。7.以下属于数据全生命周期安全管控环节的有（）A.数据采集安全B.数据传输安全C.数据存储安全D.数据处理与使用安全E.数据销毁安全【答案】ABCDE【解析】数据全生命周期覆盖采集、传输、存储、处理、交换、销毁六个核心环节，每个环节需匹配对应的加密、访问控制、审计、脱敏等管控措施。8.防范社会工程学攻击的有效措施包括（）A.定期开展全员安全意识培训B.建立严格的身份核验机制，外部人员进入办公区需全程陪同C.教育员工不随意点击陌生邮件链接、不泄露个人账号密码D.部署邮件安全网关，识别拦截钓鱼邮件E.部署下一代防火墙即可完全防范社会工程学攻击【答案】ABCD【解析】社会工程学攻击针对人的弱点，防火墙是网络层防护设备，无法有效防范针对人的欺骗攻击。9.根据《网络安全审查办法》，关键信息基础设施运营者采购以下哪些产品和服务时，若可能影响国家安全应当申报网络安全审查（）A.核心网络设备B.重要通信产品C.高性能计算服务器D.云服务E.办公用纸质文具【答案】ABCD【解析】网络安全审查重点关注采购产品服务被非法控制、干扰、中断运行的风险，以及供应链安全风险、数据泄露风险，普通办公用品不属于审查范围。10.商用密码应用安全性评估的核心目标包括（）A.验证密码算法、密码产品使用的合规性B.验证密码措施对数据机密性、完整性的保护效果C.验证身份认证、不可否认性等密码功能的有效性D.排查密码应用存在的安全风险E.强制要求所有系统全部使用国产硬件设备【答案】ABCD【解析】密评聚焦密码应用的合规性、正确性、有效性，不涉及硬件采购的强制国产化要求。三、判断题（共10题，每题1分，总计10分）1.信息安全防护的目标是实现零风险，只要部署足够多的安全设备就可以彻底消除所有安全风险。（）【答案】×【解析】信息安全不存在绝对安全，无法实现零风险，安全防护的本质是将风险降低到组织可接受范围，设备只是技术手段，需要配合人员能力、管理制度形成协同防护体系。2.数据交易中介机构提供服务时，应当要求数据提供方说明数据来源，审核交易双方身份，留存审核和交易记录。（）【答案】√【解析】该要求是《数据安全法》第三十三条明确的法定义务，是规范数据要素交易、防范非法数据买卖的核心管控措施。3.弱口令是最容易被利用的脆弱性之一，大量网络入侵事件都是通过破解弱口令获得初始访问权限。（）【答案】√【解析】根据国家网络安全监测数据，超过40%的网络入侵事件与弱口令、默认口令有关，落实多因素认证、定期更换强口令是基础安全管控要求。4.入侵防御系统可以防御所有未知0day攻击，规则库不需要定期更新。（）【答案】×【解析】IPS基于已知攻击特征检测拦截攻击，无法有效防御未知0day攻击，需要定期更新规则库提升检测能力。5.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门组织的国家安全审查。（）【答案】√【解析】该要求是《关键信息基础设施安全保护条例》《网络安全审查办法》明确的法定责任，目的是保障关基供应链安全。6.对数据进行加密后就可以彻底解决所有数据安全问题，不需要其他防护措施。（）【答案】×【解析】加密只是数据保护的技术手段之一，还需要配合访问控制、审计、脱敏、备份等措施形成全流程防护，且密钥管理不当会导致加密措施失效。7.安全意识培训是防范社会工程学攻击最有效的措施之一，应当定期面向全体员工开展。（）【答案】√【解析】人是安全链条中最薄弱的环节，持续的安全意识培训可以有效降低钓鱼、假冒身份等社会工程学攻击的成功率。8.根据《个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当取得未成年人父母或其他监护人的单独同意。（）【答案】√【解析】未成年人个人信息属于敏感个人信息，需实行特殊保护，制定专门的个人信息处理规则。9.等保测评是网络运营者履行等级保护义务的唯一要求，测评通过后不需要再开展其他安全工作。（）【答案】×【解析】等保测评是验证防护能力的手段，不是最终目标，测评通过后仍需持续开展漏洞修复、应急演练、人员培训等日常安全工作，保障防护能力持续有效。10.勒索病毒攻击的主要传播方式包括钓鱼邮件、漏洞利用、弱口令爆破、移动存储介质传播等。（）【答案】√【解析】勒索病毒是目前企业面临的主要恶意软件威胁，落实离线备份、及时修复漏洞、提升员工安全意识是防范勒索攻击的核心措施。四、案例分析题（共2题，每题10分，总计20分）1.某省属三甲医院被认定为卫生领域关键信息基础设施运营者，部署有HIS、LIS、PACS等核心业务系统，存储有300余万条患者诊疗记录、敏感个人信息。2026年2月，该院运维团队监测到核心HIS服务器出现异常外联行为，部分业务文件被加密，疑似遭受勒索病毒攻击，已导致门诊挂号、缴费业务中断1小时。请结合CISAW知识体系回答以下问题：（1）根据事件分级标准，该事件可能达到的等级是什么？判定依据是什么？（2）针对该勒索攻击事件，正确的应急处置流程包含哪些核心步骤？（3）作为医院信息安全保障人员，应当从哪些方面构建长期的勒索病毒防护体系？【参考答案】（1）该事件若持续发展导致核心业务中断超过2小时、10万条以上患者敏感信息泄露，将达到Ⅱ级（重大）网络安全事件标准；若业务中断超过4小时、影响大范围公共医疗服务秩序，将升级为Ⅰ级（特别重大）事件（3分）。判定依据为GB/Z20986-2023中医疗卫生领域事件分级标准：关基系统业务中断超过2小时、10万条以上敏感个人信息泄露即构成重大事件，中断超过4小时、影响跨区域医疗服务即构成特别重大事件（1分）。（2）应急处置流程：一是遏制阶段，第一时间隔离受感染服务器，断开异常外联链路，关闭高危端口，防止病毒横向扩散，注意保留现场证据；二是检测阶段，研判病毒变种类型、感染范围、入侵入口（钓鱼邮件/漏洞/弱口令）、文件加密情况，评估数据恢复可能性；三是根除阶段，清除主机和终端中的病毒后门，修复被利用的漏洞和弱口令，彻底清除攻