2026年信息安全管理（中级）模考试题与参考答案

2026年信息安全管理（中级）模考试题与参考答案一、单项选择题（共25题，每题2分，共50分）1.根据GB/T22080-2022《信息安全技术信息安全管理体系要求》，ISMS范围定义时必须考虑的核心输入是（）A.组织年度信息化预算B.内外部环境分析结果、相关方需求及业务活动边界C.上级单位安全检查要求D.历史安全事件台账参考答案：B解析：GB/T22080-2022第4.3条款明确要求，确定ISMS范围时需充分考虑4.1识别的内外部议题、4.2识别的相关方要求，以及组织的活动、产品、服务边界，预算、检查要求、事件台账仅为参考输入，非法定必需项。2.在数据分类分级管理中，按照《信息安全技术网络数据分类分级要求》（征求意见稿），一旦泄露可能直接影响国家安全的数据属于（）A.核心数据B.重要数据C.一般数据D.公开数据参考答案：A解析：核心数据定义为关系国家安全、国民经济命脉、重要民生、重大公共利益等，一旦泄露、篡改、损毁、非法利用或非法获取，将直接危害国家安全的数据；重要数据对应危害公共利益或个人权益层级。3.某企业部署Web应用防火墙（WAF）拦截SQL注入攻击，该措施在信息安全风险处置中属于（）A.风险规避B.风险转移C.风险缓解D.风险接受参考答案：C解析：风险缓解是通过实施安全控制降低风险发生概率或影响，WAF通过拦截攻击路径降低SQL注入风险发生概率，属于典型缓解措施；规避为停止相关业务，转移为通过保险等手段转移风险损失。4.下列访问控制模型中，以“数据安全属性、主体访问权限的强制匹配规则”为核心，适用于涉密信息系统的是（）A.DAC（自主访问控制）B.MAC（强制访问控制）C.RBAC（基于角色的访问控制）D.ABAC（基于属性的访问控制）参考答案：B解析：MAC由系统强制按照主体、客体的安全标签匹配访问权限，用户无权自主修改权限，是涉密系统法定要求的访问控制模型；DAC允许资源所有者自主分配权限，RBAC、ABAC为商用场景常用模型。5.根据《网络安全事件报告管理办法（征求意见稿）》，重要安全事件的报告时限为事件发生后（）小时内A.1B.2C.8D.24参考答案：C解析：该办法明确，发生特别重大网络安全事件应当1小时内报告，重大事件2小时内报告，重要事件8小时内报告，一般事件24小时内报告。6.在业务连续性管理（BCMS）中，RPO（恢复点目标）的定义是（）A.系统发生故障后必须恢复运行的最长时间B.系统恢复可接受的最大数据丢失量对应的时间点C.业务恢复到最低服务水平所需的时间D.灾难备份中心切换到生产状态的时间参考答案：B解析：RPO是指故障发生后，系统和数据必须恢复到的时间点，对应可容忍的最大数据丢失量；A选项为RTO（恢复时间目标）的定义。7.下列密码算法中，属于非对称加密算法且符合我国密码管理要求的是（）A.SM2B.SM3C.SM4D.AES参考答案：A解析：SM2为我国商用非对称密码算法；SM3为哈希算法、SM4为对称加密算法，AES为国外对称算法。8.安全开发生命周期（SDL）中，“威胁建模”环节最适宜开展的阶段是（）A.需求分析阶段B.设计阶段C.编码阶段D.上线运维阶段参考答案：B解析：威胁建模针对系统设计架构识别潜在攻击面和威胁路径，在设计阶段开展可最低成本修正架构缺陷，需求阶段输出功能需求、无设计架构作为建模输入。9.根据ISO/IEC27001:2022，以下不属于ISMS内部审核必须满足的要求是（）A.审核员不应审核自身工作B.审核方案需结合过程重要性、以往审核结果策划C.审核必须每季度开展1次D.需保留审核实施及结果的成文信息参考答案：C解析：标准仅要求组织按策划时间间隔开展内部审核，未强制要求季度频次；其余三项均为9.2内部审核条款的明确要求。10.某单位员工点击钓鱼邮件附件导致终端感染勒索病毒，该事件中脆弱性是（）A.员工安全意识不足、未校验邮件来源真实性B.勒索病毒加密本地及共享文件C.攻击者发送钓鱼邮件D.终端未部署网络准入系统参考答案：A解析：风险三要素中，脆弱性是资产本身存在的可被威胁利用的弱点，员工意识不足是被钓鱼攻击利用的核心弱点；C为威胁源，B为安全影响，D为控制缺失但非本次攻击直接利用的弱点。11.下列安全控制措施中，属于技术性控制的是（）A.制定《数据备份管理制度》B.对新入职员工开展背景调查C.部署终端数据防泄漏（DLP）系统管控外发文件D.每年组织全员信息安全培训参考答案：C解析：DLP为技术工具实现的控制；A为制度类管理控制，B、D为人员类管理控制。12.根据《信息安全技术个人信息安全规范》，处理敏感个人信息时必须取得个人信息主体的（）A.默示同意B.单独同意C.概括同意D.事后追认参考答案：B解析：规范明确要求，处理敏感个人信息、向第三方提供个人信息、公开个人信息等场景需取得个人单独同意，不得通过概括授权、一揽子同意方式获取许可。13.漏洞管理流程中，“漏洞修复验证”环节的责任主体通常是（）A.安全运营团队B.业务系统所属运维/开发团队C.内部审计团队D.合规管理团队参考答案：A解析：漏洞管理流程中，安全团队负责漏洞监测、分发修复通知、修复完成后验证修复有效性；业务团队负责实施漏洞修复操作。14.以下关于零信任架构的核心原则，描述错误的是（）A.永不信任，始终验证B.默认所有访问主体均处于可信内网区域C.基于最小权限分配访问权限D.持续评估访问主体的安全状态参考答案：B解析：零信任打破传统网络边界信任假设，不默认内网区域可信，所有访问请求无论来源位置均需经过验证和授权。15.根据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第三级系统应满足的测评周期要求是（）A.每半年至少1次B.每年至少1次C.每两年至少1次D.每三年至少1次参考答案：B解析：等保2.0要求，第三级网络运营者应当每年至少开展一次等级测评，第四级系统每半年一次。16.某企业发生数据泄露事件后，第一时间切断攻击路径、隔离受感染主机，该措施属于应急响应（）阶段的工作A.准备B.检测与分析C.遏制、根除和恢复D.事后总结参考答案：C解析：应急响应PDCERF模型中，遏制阶段核心目标是阻止攻击扩散，隔离受感染主机、切断攻击路径是典型遏制动作。17.下列关于日志留存的要求，符合《网络安全法》规定的是（）A.网络日志留存时间不少于3个月B.网络日志留存时间不少于6个月C.网络日志留存时间不少于12个月D.网络日志留存时间不少于24个月参考答案：B解析：《网络安全法》第二十一条明确要求，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。18.风险评估过程中，计算风险值的核心要素不包括（）A.资产价值B.威胁发生频率C.脆弱性严重程度D.安全设备采购成本参考答案：D解析：经典风险计算模型为风险值=资产价值×威胁可能性×脆弱性被利用后的影响，采购成本属于控制措施投入成本，不纳入风险值计算。19.供应商安全管理中，针对提供云存储服务的第三方供应商，最应重点审查的合规资质是（）A.ISO9001质量管理体系认证B.等保三级及以上测评备案证明C.营业执照经营范围D.软件著作权登记证书参考答案：B解析：云存储服务涉及数据存储安全，属于关键信息服务场景，需满足等保三级及以上要求；其余资质均非核心安全相关资质。20.以下不属于社会工程学攻击手段的是（）A.冒充IT运维人员致电员工索要系统账号密码B.伪造办公系统登录页面窃取员工账号C.通过SQL注入获取后台数据库中的用户明文密码D.在办公区丢弃带有恶意程序的U盘诱导员工点击参考答案：C解析：SQL注入为技术类攻击手段，利用系统输入校验缺陷实施攻击；其余选项均为利用人员心理弱点的社会工程学攻击。21.密码学中，哈希算法的核心特性不包括（）A.单向性，无法从哈希值逆推原始数据B.抗碰撞性，难以找到两个不同数据生成相同哈希值C.可逆解密性，可通过私钥解密哈希值得到原始数据D.定长输出，无论原始数据长度多少均输出固定长度值参考答案：C解析：哈希算法为单向摘要算法，无解密过程，不存在私钥解密的特性。22.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者（CIIO）的第一责任人是（）A.运营者主要负责人B.首席信息安全官（CISO）C.信息安全部门负责人D.运维团队负责人参考答案：A解析：条例明确规定，运营者主要负责人对本单位关键信息基础设施安全负总责，是第一责任人。23.变更管理流程中，为降低生产系统故障风险，核心业务系统的重大变更必须满足的要求是（）A.变更前开展充分测试，并经过变更审批委员会（CAB）审批B.变更时间安排在工作日业务高峰时段C.无需制定回滚方案，出现故障临时排查D.变更完成后无需通知业务部门参考答案：A解析：IT服务管理变更流程要求，重大变更必须经过测试、审批，制定回滚方案，选择业务低峰期实施，变更后及时告知相关方。24.下列数据备份策略中，备份速度最快、恢复时间最长的是（）A.全量备份B.增量备份C.差量备份D.实时备份参考答案：B解析：增量备份仅备份上次任意类型备份后变化的数据，备份速度最快；恢复时需要依次恢复全量备份+所有后续增量备份，恢复时间最长。25.ISMS管理评审的组织者是（）A.信息安全管理部门负责人B.组织的最高管理者C.内部审核组组长D.外部认证机构审核员参考答案：B解析：GB/T22080-2022第9.3条款明确，管理评审由最高管理者按策划时间间隔组织开展，确保ISMS的持续适宜性、充分性和有效性。二、多项选择题（共10题，每题3分，共30分，多选、少选、错选均不得分）1.根据GB/T22080-2022，信息安全的核心属性包括（）A.保密性B.完整性C.可用性D.可追溯性参考答案：ABC解析：信息安全CIA三元组为保密性、完整性、可用性，是标准定义的核心安全属性，可追溯性为支撑属性而非核心属性。2.下列属于个人敏感信息的有（）A.身份证号码B.银行账户交易记录C.公开的政务信息中的公务员职务信息D.医疗健康记录参考答案：ABD解析：个人敏感信息指一旦泄露、非法提供或滥用可能危害人身和财产安全，导致个人名誉、身心健康受损或歧视性待遇的个人信息，身份证、金融交易记录、医疗记录均属此类；已合法公开的职务信息不属于敏感信息。3.网络安全等级保护2.0规定的核心工作流程环节包括（）A.定级备案B.建设整改C.等级测评D.监督检查参考答案：ABCD解析：等保2.0全流程为定级、备案、建设整改、等级测评、运营维护、监督检查，四个选项均为法定核心环节。4.以下属于技术类脆弱性的有（）A.服务器操作系统存在未修复的高危远程代码执行漏洞B.防火墙访问控制规则配置错误导致公网开放高危端口C.员工未定期更换系统账号密码D.数据库未启用操作审计日志功能参考答案：ABD解析：员工未定期更换密码属于人员管理类脆弱性，其余均为系统、设备、配置层面的技术类脆弱性。5.应急响应预案应当包含的核心要素有（）A.应急组织架构及职责分工B.不同级别安全事件的处置流程C.应急联系通讯录D.事件处置后的复盘改进机制参考答案：ABCD解析：完整的应急预案需明确组织职责、处置流程、资源保障、联络方式、事后改进要求，覆盖应急全生命周期管理要求。6.以下符合最小权限原则的做法有（）A.财务系统普通操作人员仅分配账务录入权限，不分配系统配置、数据删除权限B.测试环境运维人员不默认拥有生产系统访问权限C.新员工入职时直接授予系统管理员权限方便后续工作D.员工岗位调整后及时收回原岗位所需的访问权限参考答案：ABD解析：最小权限原则要求仅分配主体完成工作所需的最小权限，禁止超出职责范围授权，直接给新员工管理员权限违反最小权限要求。7.数据安全治理的核心域包括（）A.数据分类分级B.数据全生命周期安全防护C.数据安全审计与监控D.数据安全风险评估与事件处置参考答案：ABCD解析：数据安全治理覆盖数据从采集、传输、存储、处理、交换到销毁的全生命周期，包含分类分级、防护、监控、风险处置等核心域。8.下列属于物理安全控制措施的有（）A.数据中心机房部署指纹门禁系统B.机房核心区域安装视频监控系统C.服务器配置双路冗余电源D.机房部署火灾自动报警及气体灭火系统参考答案：ABCD解析：物理安全包含机房访问控制、环境监控、电力保障、消防防灾、防盗窃等内容，四个选项均为典型物理安全控制。9.ISMS文件体系通常包含的层级有（）A.一级文件：信息安全管理手册B.二级文件：管理制度、程序文件C.三级文件：操作指南、记录表单D.四级文件：网络流量原始日志参考答案：ABC解析：ISMS文件体系通常分为三个层级，管理手册为顶层纲领性文件，程序文件为二级流程文件，操作指南、记录表单为三级落地执行文件；原始日志属于运行记录，不属于独立的文件层级。10.供应链安全管理中，针对IT产品供应商应当开展的安全管理动作有（）A.采购前开展供应商安全资质审查B.合同签订时明确安全责任和数据保护要求C.产品上线前开展安全检测，排查后门、恶意代码D.服务过程中定期开展供应商安全绩效评估参考答案：ABCD解析：供应商全生命周期安全管理覆盖准入评估、合同约定、上线检测、持续评估、退出管理全流程，四个选项均为必需的管理动作。三、判断题（共10题，每题1分，共10分，对打√，错打×）1.信息安全管理体系建设是一劳永逸的工作，完成认证后无需持续改进。（×）解析：ISMS遵循PDCA持续改进模型，需要通过内部审核、管理评审、事件复盘等机制持续优化，适应内外部环境和风险变化。2.风险评估中，资产价值越高，对应的安全风险等级一定越高。（×）解析：风险值由资产价值、威胁可能性、脆弱性严重程度共同决定，高价值资产如果无对应威胁、不存在可被利用的脆弱性，风险等级可能很低。3.多因子认证（MFA）可以显著降低账号被盗用的风险，因此核心业务系统应当强制启用多因子认证。（√）解析：多因子认证结合至少两种不同类型的认证要素（如密码+短信验证码、密码+硬件令牌），可有效避免单因子密码泄露导致的账号被盗风险，属于等保、数据安全法规明确推荐的控制措施。4.只要部署了防火墙、入侵检测系统等安全设备，就可以完全避免网络攻击事件发生。（×）解析：安全设备仅能降低攻击成功概率，无法完全杜绝0day漏洞攻击、内部人员攻击、社会工程学攻击等风险，需要结合管理、人员、技术多维度控制构建防御体系。5.根据《个人信息保护法》，为订立、履行个人作为一方当事人的合同所必需处理个人信息，无需取得个人同意。（√）解析：《个人信息保护法》第十三条明确了合法处理个人信息的情形，其中包括为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，该情形下无需取得个人单独同意。6.业务连续性计划演练仅需要在项目建设完成时开展一次，后续无需定期演练。（×）解析：业务连续性计划需要定期开展桌面推演、实战演练，结合业务变化、演练结果更新预案内容，确保预案在实际灾难发生时可有效落地。7.内部审核发现的不符合项，责任部门只需完成表面整改即可，不需要分析根本原因。（×）解析：不符合项整改需要排查问题根本原因，制定系统性纠正措施避免同类问题重复发生，整改完成后需验证措施有效性。8.加密技术可以同时实现数据的保密性保护和完整性校验。（√）解析：对称、非对称加密可实现数据保密性，基于加密技术的消息认证码（MAC）、数字签名可同时实现数据完整性校验、身份认证功能。9.安全培训仅需要面向信息安全部门员工开展，业务部门员工不需要参加。（×）解析：人员是安全防御的最薄弱环节，全员安全意识提升是安全管理的核心内容，所有部门员工均需定期参加对应岗位的安全培训。10.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。（√）解析：《网络安全审查办法》明确要求，关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，必须申报网络安全审查。四、案例分析题（共1题，10分）某市级三甲医院2025年上线互联网医疗服务平台，提供在线挂号、电子病历查询、在线缴费、检验报告查询等服务，系统存储了近300万条患者身份证号、就诊记录、医保信息、联系方式等数据，该平台定级为等保三级。2026年3月，医院安全监测发现，平台存在未授权访问漏洞，攻击者可通过遍历接口参数批量查询患者电子病历数据，初步排查已造成约12万条患者敏感数据泄露，被泄露数据在境外论坛售卖。问题1：结合上述案例，分析本次事件的主要安全管理薄弱点（4分）问题2：结合信息安全管理要求，提出针对性的整改措施（6分）参考答案：问题1：主要管理薄弱点包括：（1）系统上线前安全管控缺失：未开展