{"name":"注册信息安全专业人员（CISP）题库","level":"不分级","org":"中国信息安全测评中心","count":300,"questions":[{"id":1,"type":"single","stem":"某单位按照等级保护要求对信息系统进行定级备案后，准备开展安全建设整改，在整改方案设计阶段应当优先完成的工作是","options":["依据定级结果和风险评估结论确定安全需求","采购符合相应等级要求的安全产品清单","按照最高等级标准统一加固所有信息系统","先完成等保测评再根据测评报告整改"],"answer":[0],"explanation":"知识点：安全工程中安全需求分析在方案设计阶段的优先性。正确项对：定级和风险评估结论是确定安全需求的输入，需求明确后才能设计整改方案。错误项一错在采购清单应在需求明确之后编制；错误项二错在应按各自定级等级差异化保护而非统一按最高等级；错误项三错在等保测评通常在整改完成或建设完成后进行，不能作为整改方案设计的前置。","tier":"挑战"},{"id":2,"type":"single","stem":"某信息系统的所有者将系统运维工作外包给服务商，但仍对系统安全负最终责任，这体现了信息安全保障中的哪一原则","options":["责任不因外包而转移","风险随控制措施转移","资产所有权决定责任归属","安全服务商承担主体责任"],"answer":[0],"explanation":"知识点：信息安全保障责任归属原则。正确项对：系统所有者的安全责任不因将运维外包而免除，仍负最终责任。错误项一错在风险可以部分转移但责任不能随之转移；错误项二错在资产所有权并非决定安全责任的唯一依据，运营者同样担责；错误项三错在服务商承担的是合同约定的服务责任而非主体责任。","tier":"基础"},{"id":3,"type":"single","stem":"在风险管理过程中，对识别出的风险进行评价时，通常需要综合考虑的两个维度是","options":["风险发生的可能性与影响程度","风险来源与风险处置成本","资产价值与威胁主体类型","脆弱性数量与安全措施数量"],"answer":[0],"explanation":"知识点：风险评价的基本维度。正确项对：风险评价通常综合可能性和影响程度来确定风险等级。错误项一错在处置成本是处置阶段的考量而非评价维度；错误项二错在资产价值和威胁类型是风险分析的部分输入，不能直接构成评价维度；错误项三错在数量多少不能直接代表风险大小。","tier":"基础"},{"id":4,"type":"single","stem":"某单位对重要信息系统开展风险评估，在资产识别阶段将硬件、软件、数据、服务、人员等均纳入清单，这一做法的主要目的是","options":["为后续威胁和脆弱性识别确定范围","直接计算风险值并确定处置优先级","满足监管部门对资产台账格式的要求","确定各类资产的采购价格和折旧年限"],"answer":[0],"explanation":"知识点：风险评估中资产识别的目的。正确项对：资产识别是为后续识别资产面临的威胁和脆弱性划定范围。错误项一错在风险值计算需要结合威胁和脆弱性，资产识别本身不能直接得出；错误项二错在监管要求格式不是资产识别的核心目的；错误项三错在采购和折旧属于资产管理而非风险评估目标。","tier":"进阶"},{"id":5,"type":"single","stem":"在信息安全标准体系中，用于指导组织建立信息安全管理体系的标准与用于指导具体安全控制措施实施的标准，二者关系是","options":["管理体系标准提出要求，控制措施标准提供实现支撑","控制措施标准提出要求，管理体系标准提供实现支撑","两类标准互相独立，实施时不需要相互参照","管理体系标准仅适用于测评，控制措施标准仅适用于建设"],"answer":[0],"explanation":"知识点：信息安全管理体系标准与安全控制措施标准的关系。正确项对：管理体系标准规定管理要求，控制措施标准为满足这些要求提供具体控制实现指导。错误项一错在两者关系颠倒；错误项二错在两类标准需要相互参照配合使用；错误项三错在两者适用范围划分错误，管理体系标准也指导建设。","tier":"进阶"},{"id":6,"type":"single","stem":"某系统采用双因素认证，用户输入口令后再插入USB Key完成认证，其中USB Key主要提供的认证因素是","options":["用户所拥有的物品","用户所知道的秘密","用户所具备的生物特征","用户所处的位置信息"],"answer":[0],"explanation":"知识点：认证因素分类。正确项对：USB Key属于用户拥有的物品，提供持有因素。错误项一错在口令才是所知道的秘密；错误项二错在生物特征指纹人脸等与USB Key无关；错误项三错在位置信息属于基于位置的辅助认证条件，不是USB Key提供。","tier":"基础"},{"id":7,"type":"single","stem":"某单位在安全工程中实施最小权限原则，下列做法与该原则最符合的是","options":["按岗位职责授予完成工作所必需的最小权限","为便于管理给所有管理员授予相同超级权限","员工入职时统一授予所在部门全部系统权限","权限申请无需审批由主管口头同意即可开通"],"answer":[0],"explanation":"知识点：最小权限原则。正确项对：按岗位职责授予完成工作所必需的最小权限符合最小权限原则。错误项一错在统一超级权限违反最小权限；错误项二错在按部门批量授权过宽；错误项三错在口头审批缺乏授权控制，权限授予随意。","tier":"挑战"},{"id":8,"type":"single","stem":"某信息系统发生安全事件后，运维人员首先对受影响主机进行了断网处理，这一措施在应急响应流程中属于","options":["遏制阶段限制事件影响扩散","准备阶段建立应急资源","恢复阶段将系统还原上线","总结阶段分析事件根本原因"],"answer":[0],"explanation":"知识点：应急响应阶段划分。正确项对：断网限制事件影响扩散属于遏制阶段措施。错误项一错在准备阶段在事件发生前进行；错误项二错在恢复阶段是使系统恢复正常运行；错误项三错在总结阶段在事件处置后分析原因和改进。","tier":"进阶"},{"id":9,"type":"single","stem":"某单位对核心数据库实施访问控制，要求只有数据库管理员在维护窗口内通过堡垒机访问，其他人员一律拒绝，这种访问控制策略属于","options":["基于角色的访问控制结合时间限制","自主访问控制由数据所有者自行授权","基于规则的访问控制仅按IP地址放行","强制访问控制按安全标签比较敏感级"],"answer":[0],"explanation":"知识点：访问控制模型辨析。正确项对：按管理员角色授权并限定维护窗口时间，属于基于角色的访问控制结合时间限制。错误项一错在自主访问控制由资源所有者自行决定授权，与集中策略不符；错误项二错在仅按IP放行是简单规则且本题强调角色与时间；错误项三错在强制访问控制依据安全标签和敏感级比较，本题未涉及标签。","tier":"挑战"},{"id":10,"type":"single","stem":"某单位在对新上线系统进行安全工程实施时，将安全功能测试与功能测试同步开展，并在上线前进行安全验收，这一做法的主要作用是","options":["尽早发现安全缺陷并降低上线后修复成本","替代上线后的定期安全测评工作","减少系统功能测试所需的测试用例数量","免除开发人员的安全编码培训要求"],"answer":[0],"explanation":"知识点：安全工程中安全测试左移的价值。正确项对：安全功能测试与功能测试同步可尽早发现缺陷，降低后期修复成本。错误项一错在不能替代上线后的定期测评；错误项二错在安全测试不减少功能测试用例；错误项三错在安全测试与安全编码培训是互补而非替代关系。","tier":"进阶"},{"id":11,"type":"multi","stem":"某单位制定信息安全策略时，为保障策略能够有效落地，下列做法中恰当的有","options":["策略内容与单位业务目标和风险状况相匹配","明确策略执行的责任部门和违规处理措施","定期评审策略并根据环境和风险变化更新","将策略文件加密存放仅限管理层查阅","策略发布后即固定不变以保持权威性"],"answer":[0,1,2],"explanation":"知识点：信息安全策略的制定与维护要求。正确项一对在策略应与业务目标和风险相匹配；正确项二对在应明确责任部门和违规处理以保障执行；正确项三对在应定期评审更新。错误项一错在策略需让相关人员知悉，加密仅限管理层查阅不利于落实；错误项二错在策略需随环境变化更新，固定不变不符合管理要求。","tier":"挑战"},{"id":12,"type":"single","stem":"在信息安全保障体系中，通过设置防火墙策略限制外部网络对内部服务器的非授权访问，主要体现了哪一类安全功能？","options":["访问控制","数据完整性","抗抵赖性","可用性保障"],"answer":[0],"explanation":"知识点为信息安全基本功能。访问控制用于限定主体对客体的访问行为，防火墙策略正是典型实现。数据完整性关注数据未被非授权篡改；抗抵赖性关注事后不可否认；可用性保障关注授权用户可持续使用资源。","tier":"基础"},{"id":13,"type":"single","stem":"某系统已部署入侵检测设备，但管理员发现告警日志长期无人查看，从风险管理角度看，这主要导致哪一环节失效？","options":["风险识别","风险分析","风险处置","风险监控"],"answer":[3],"explanation":"知识点为风险管理过程。日志无人查看使已部署控制措施的效果无法被持续跟踪，属于风险监控失效。风险识别是发现风险；风险分析是评估可能性和影响；风险处置是选择并实施控制措施。","tier":"进阶"},{"id":14,"type":"single","stem":"在等级保护测评中，针对“应保证系统范围内所有的操作系统、数据库、应用系统等口令具有足够复杂度并定期更换”这一要求，最直接的核查方法是？","options":["查看安全管理制度文档","抽查口令策略配置及更换记录","访谈系统管理员培训情况","检查机房出入登记表"],"answer":[1],"explanation":"知识点为等保测评核查方法。口令复杂度与更换周期需通过系统配置和记录验证。制度文档只能证明有规定；培训访谈证明意识；出入登记与口令要求无直接对应。","tier":"基础"},{"id":15,"type":"single","stem":"某企业将核心数据库的备份磁带与生产系统存放在同一机房内，从安全工程角度看，该做法最主要的问题是？","options":["备份介质未加密","备份与源数据未隔离","备份频率设置过低","未采用增量备份策略"],"answer":[1],"explanation":"知识点为备份与灾难恢复。备份介质与源系统同址存放，遇到火灾、水淹等区域性事件时可能同时损毁。介质未加密、频率、增量策略都是备份管理要点，但不是同址存放的核心缺陷。","tier":"进阶"},{"id":16,"type":"single","stem":"某管理员为方便远程维护，在防火墙上为运维终端开放了到核心服务器的任意端口访问，并长期未回收，这最违背了哪一安全原则？","options":["最小权限原则","职责分离原则","双人控制原则","默认拒绝原则"],"answer":[0],"explanation":"知识点为访问控制原则。任意端口长期开放使运维终端获得超出维护所需的最小权限。职责分离强调不同角色相互制约；双人控制强调关键操作需两人参与；默认拒绝强调未明确允许即拒绝，题干重点在权限过大。","tier":"基础"},{"id":17,"type":"single","stem":"在信息安全工程中，将安全需求融入系统开发生命周期的早期阶段，最主要的收益是？","options":["降低后期修复安全缺陷的成本","完全消除系统残余风险","替代上线前的安全测评","减少系统功能测试工作量"],"answer":[0],"explanation":"知识点为安全工程与SDL。早期融入安全需求可避免后期返工，降低修复成本。残余风险无法完全消除；安全测评仍需独立开展；安全设计不替代功能测试，也不会减少测试工作量。","tier":"进阶"},{"id":18,"type":"single","stem":"某单位发生数据泄露事件后，安全团队首先应执行的活动是？","options":["立即对外发布事件公告","对事件进行遏制并保留证据","直接删除受影响数据","重新安装所有服务器系统"],"answer":[1],"explanation":"知识点为应急响应流程。事件发生后应先遏制影响、保护现场和证据，再开展后续分析处置。对外公告需评估后按程序进行；删除数据会破坏证据；重装系统属于恢复阶段且会丢失取证线索。","tier":"进阶"},{"id":19,"type":"single","stem":"某系统采用双因素认证，用户输入密码后再通过短信验证码登录，从认证要素角度看，短信验证码属于？","options":["用户所知信息","用户所拥有物品","用户生物特征","用户所处位置"],"answer":[1],"explanation":"知识点为认证因素分类。短信验证码依托用户持有的手机接收，属于所拥有物品。所知道是密码、PIN；生物特征是指纹、人脸；位置属于基于位置的辅助判断，不是标准三因素之一。","tier":"基础"},{"id":20,"type":"single","stem":"在等级保护定级中，某信息系统受到破坏后会对社会秩序和公共利益造成一般损害，但不损害国家安全，其安全保护等级通常应为？","options":["第一级","第二级","第三级","第四级"],"answer":[1],"explanation":"知识点为等级保护定级。对社会秩序和公共利益造成一般损害对应第二级。第一级为仅损害公民法人合法权益；第三级为对社会秩序公共利益造成严重损害或损害国家安全；第四级为对社会秩序公共利益造成特别严重损害。","tier":"基础"},{"id":21,"type":"single","stem":"某运维人员准备对生产数据库执行结构变更，按变更管理要求，变更实施前最应完成的工作是？","options":["在测试环境验证变更并获批准","直接在生产库执行并观察","先备份再直接执行变更","通知业务部门后立即执行"],"answer":[0],"explanation":"知识点为变更管理。变更前应在测试环境验证影响并经过审批，以控制风险。直接在生产执行、仅备份后执行、仅通知后执行都缺少验证与授权环节。","tier":"基础"},{"id":22,"type":"multi","stem":"某单位开展业务连续性管理，以下哪些活动属于业务影响分析（BIA）阶段应完成的内容？","options":["识别关键业务功能及其依赖关系","确定关键业务功能的RTO和RPO","评估业务中断对组织造成的影响","制定系统上线前的安全测评方案","实施机房消防系统改造"],"answer":[0,1,2],"explanation":"知识点为业务影响分析。BIA聚焦关键业务识别、恢复目标确定和中断影响评估。安全测评方案属于安全测评活动；机房消防改造属于具体控制措施实施，均不在BIA阶段。","tier":"挑战"},{"id":23,"type":"single","stem":"在信息安全保障体系中，负责制定组织整体安全策略并分配安全职责的最高管理层级通常是","options":["信息安全领导小组","信息安全执行小组","信息安全审计小组","信息安全应急小组"],"answer":[0],"explanation":"知识点为信息安全组织体系层级划分。信息安全领导小组属于决策层，负责批准整体安全策略与资源分配；执行小组负责落实策略；审计小组负责独立监督检查；应急小组负责事件响应处置，均不承担最高策略制定职责。","tier":"基础"},{"id":24,"type":"single","stem":"按照信息安全等级保护要求，某三级系统完成建设整改后，在正式投入运行前必须完成的测评环节是","options":["等级测评","渗透测试","风险评估","代码审计"],"answer":[0],"explanation":"知识点为等保建设整改后的强制环节。三级系统在整改完成后、投入运行前应进行等级测评，以验证是否符合相应等级要求；渗透测试、风险评估、代码审计属于可选或补充手段，不是该阶段法定的强制环节。","tier":"基础"},{"id":25,"type":"single","stem":"在安全工程中采用“纵深防御”策略，其核心理念是","options":["部署多层异构安全控制，使单一措施失效不导致整体失陷","集中采购同一厂商的全套安全产品以统一管理","将所有安全功能集成到边界防火墙上统一实施","优先保护核心资产，非核心资产可不设控制"],"answer":[0],"explanation":"知识点为纵深防御理念。纵深防御强调多层、异构、互补的控制措施，避免单点失效；集中同一厂商产品会削弱异构性；全部集成到边界属于单点防御；只保护核心资产违背全面防护原则。","tier":"基础"},{"id":26,"type":"single","stem":"某运维人员在变更生产数据库配置前，先在测试环境验证脚本并保留回退方案，这一做法主要体现的安全工程原则是","options":["变更管理与可回退性","最小权限原则","职责分离原则","默认拒绝原则"],"answer":[0],"explanation":"知识点为安全工程中的变更管理。变更前验证并保留回退方案属于变更管理与可回退性要求；最小权限关注权限范围，职责分离关注多人分权，默认拒绝关注访问控制默认策略，均与题干描述不符。","tier":"基础"},{"id":27,"type":"single","stem":"关于定量风险评估与定性风险评估的区别，下列描述准确的是","options":["定量评估用货币价值表示损失，定性评估用等级描述风险高低","定量评估只能用于财务系统，定性评估只能用于技术系统","定性评估必须计算年度损失期望值，定量评估只需专家打分","定量评估不需要资产价值，定性评估必须精确统计威胁频率"],"answer":[0],"explanation":"知识点为定量与定性风险评估方法差异。定量评估以数值和货币度量损失与概率，定性评估以高、中、低等等级描述；定性评估不计算年度损失期望值，定量评估需要资产价值，两者均不限定系统类型。","tier":"基础"},{"id":28,"type":"single","stem":"某系统发生安全事件后，运维人员首先拔掉网线并关机，从应急响应流程看这一处置的主要问题是","options":["可能破坏内存等易失性证据并影响溯源","没有先通知媒体发布事件信息","没有立即重装操作系统恢复业务","没有先删除日志以保护隐私"],"answer":[0],"explanation":"知识点为应急响应中的证据保全顺序。关机断电会丢失内存等易失性证据，正确做法通常是隔离网络但保持运行以取证；通知媒体、重装系统、删除日志均不属于首要正确步骤，其中删除日志更是破坏证据。","tier":"进阶"},{"id":29,"type":"single","stem":"某管理员为方便远程维护，在防火墙上为运维终端开放了数据库3389端口的永久全源访问，从安全工程角度最应优先改进的是","options":["改为按需临时开放并限定源地址","将该端口改为默认端口之外的其他端口","增加一条日志记录规则后保持现状","把访问控制改由数据库自身账号口令控制"],"answer":[0],"explanation":"知识点为最小暴露面与访问控制。永久全源开放高风险，应按需临时开放并限定可信源地址；改端口属于隐蔽式防护不能替代访问控制；仅加日志不降低风险；仅靠数据库口令无法限制网络层暴露。","tier":"进阶"},{"id":30,"type":"single","stem":"在风险管理中，组织决定对某低概率高影响风险购买网络安全保险，这种风险处置方式属于","options":["风险转移","风险规避","风险降低","风险接受"],"answer":[0],"explanation":"知识点为风险处置四种方式。购买保险将财务后果转移给第三方，属风险转移；风险规避是停止相关活动；风险降低是加控制措施减小可能或影响；风险接受是不采取措施自行承担。","tier":"基础"},{"id":31,"type":"single","stem":"某单位对重要信息系统开展安全工程时，将安全需求分析提前到系统设计阶段并与业务需求同步评审，这一做法最直接的价值是","options":["降低后期因返工导致的安全成本与缺陷","替代上线前的等级测评环节","减少对运维人员的安全培训需求","免除对第三方供应商的安全管理"],"answer":[0],"explanation":"知识点为安全左移与安全工程生命周期。早期同步安全需求可减少后期返工成本；它不能替代等级测评，也不能减少培训需求或免除供应商安全管理，这些均属错误认识。","tier":"进阶"},{"id":32,"type":"multi","stem":"某三级系统运维团队在制定备份恢复策略时，下列做法中符合安全工程与业务连续性要求的有","options":["对关键数据定期做恢复演练验证备份可用性","将备份介质与生产系统放置在同一机房同一机柜","对备份数据加密并限制恢复操作权限","仅保留最近一次全量备份以节省存储空间"],"answer":[0,2],"explanation":"知识点为备份恢复的安全与可用性要求。定期恢复演练能验证备份有效性，加密和权限控制能保护备份数据，均正确；备份与生产同机房同机柜无法抵御机房级灾难；仅保留一次全量备份无法应对多点恢复需求且容错差。","tier":"挑战"},{"id":33,"type":"single","stem":"在信息安全保障体系中，针对组织内部人员违规访问敏感数据的行为，最应优先部署的防护措施是","options":["在网络边界部署入侵检测系统","对敏感数据实施加密存储与访问审计","定期开展全员信息安全意识培训","为所有终端安装防病毒软件"],"answer":[1],"explanation":"知识点为信息安全保障的纵深防御与数据安全控制。对内部人员违规访问敏感数据，加密存储与访问审计能实现数据层面的保护与行为追溯，故正确；网络边界入侵检测主要应对外部攻击，对内部合法账号的越权访问作用有限；意识培训属于管理措施，不能直接阻止违规访问；防病毒软件针对恶意代码，与访问控制无关。","tier":"基础"},{"id":34,"type":"single","stem":"某企业开展风险评估时，采用定量方法计算资产损失期望值，其核心计算要素是","options":["资产价值、威胁频率、脆弱性严重程度","资产价值、威胁频率、安全措施有效性","资产价值、威胁频率、单次损失金额","资产价值、脆弱性数量、单次损失金额","资产价值、威胁来源、安全措施成本"],"answer":[2],"explanation":"知识点为定量风险评估的ALE计算。ALE=单次损失金额(SLE)×年发生频率(ARO)，故核心要素为资产价值、威胁频率与单次损失金额，正确项对应；脆弱性严重程度、安全措施有效性、脆弱性数量、威胁来源、安全措施成本均不是ALE公式的直接要素，属于定性或管理维度，容易混淆。","tier":"挑战"},{"id":35,"type":"single","stem":"在等级保护测评中，某三级系统机房出入口未配置电子门禁记录，测评结论应判定为","options":["不适用项","符合项","基本符合项","不符合项"],"answer":[3],"explanation":"知识点为等保测评单项判定规则。三级系统要求机房出入口配置电子门禁并记录，未配置即缺失关键控制，应判不符合项，故正确；不适用需有合理理由且经论证，电子门禁对该系统适用；符合项与事实相反；基本符合项适用于部分满足但存在个别不足，完全缺失不应判基本符合。","tier":"基础"},{"id":36,"type":"single","stem":"某安全运维人员发现服务器CPU占用异常升高且外联可疑IP，在断网前首先应执行的操作是","options":["立即重启服务器以清除可疑进程","直接删除可疑文件并结束进程","保存内存镜像与网络连接记录","修改该服务器所有账户口令"],"answer":[2],"explanation":"知识点为应急响应中的证据保全与处置顺序。发现疑似入侵应先保存易失性证据（内存、网络连接），再处置，故正确；立即重启会破坏内存证据；直接删除文件会丢失样本；修改口令属于遏制措施，但应在证据保全之后，且无法解释外联行为。","tier":"进阶"},{"id":37,"type":"single","stem":"在信息安全工程中，SSE-CMM模型将工程过程能力划分为多个等级，其第二级称为","options":["已执行级","已管理级","已定义级","定量控制级"],"answer":[1],"explanation":"知识点为SSE-CMM能力级别。SSE-CMM共五级，第二级为已管理级，故正确；已执行级是第一级；已定义级是第三级；定量控制级是第四级，容易与CMMI级别混淆。","tier":"基础"},{"id":38,"type":"single","stem":"某组织拟对核心业务系统开展灾难恢复演练，要求在不影响生产的前提下验证备份数据可用性，最适宜的方式是","options":["将生产系统停机后切换至灾备中心","在生产环境直接执行数据恢复覆盖","在隔离环境用备份数据执行恢复验证","仅检查备份日志确认任务成功"],"answer":[2],"explanation":"知识点为灾难恢复演练与备份验证。隔离环境恢复验证既不影响生产又能真实检验备份可用，故正确；停机切换影响生产且风险高；生产环境覆盖会破坏数据；仅查日志无法验证数据可恢复性。","tier":"基础"},{"id":39,"type":"single","stem":"根据信息安全风险管理原则，风险处置的四种可选方式不包括","options":["风险规避","风险转移","风险接受","风险识别"],"answer":[3],"explanation":"知识点为风险处置方式。风险处置包括规避、转移、接受、降低，风险识别属于风险评估阶段的活动，不是处置方式，故正确；其余三项均为标准处置方式。","tier":"基础"},{"id":40,"type":"single","stem":"某单位安全管理制度规定，重要信息系统的变更须经审批，但运维人员为修复紧急故障先行变更后补审批，该行为主要违背了","options":["最小权限原则","职责分离原则","变更控制原则","数据完整性原则"],"answer":[2],"explanation":"知识点为变更管理控制。未审批先变更违背变更控制程序，故正确；最小权限关注权限范围；职责分离强调不相容职责分人；数据完整性关注数据未被未授权篡改，均不直接对应变更审批缺失。","tier":"进阶"},{"id":41,"type":"single","stem":"在安全工程中，将安全需求分解到设计阶段时，追踪矩阵的主要作用是","options":["记录测试用例的执行结果","建立需求与设计、测试之间的对应关系","统计安全缺陷的分布密度","描述系统运行时的性能指标"],"answer":[1],"explanation":"知识点为安全工程中的需求追踪。追踪矩阵用于建立需求到设计、实现、测试的双向对应，确保覆盖与验证，故正确；测试结果记录、缺陷统计、性能描述均不是追踪矩阵的核心用途。","tier":"基础"},{"id":42,"type":"single","stem":"某三级系统测评中，测评员发现应用系统日志仅记录登录成功事件，未记录登录失败事件，该问题最直接影响的等保控制点是","options":["身份鉴别","访问控制","安全审计","数据备份"],"answer":[2],"explanation":"知识点为等保安全审计要求。登录失败事件属于审计记录范围，缺失直接影响安全审计，故正确；身份鉴别关注认证机制本身；访问控制关注授权；数据备份与日志记录无关。","tier":"进阶"},{"id":43,"type":"multi","stem":"在信息安全保障体系中，属于运行维护阶段安全控制措施的有","options":["定期开展漏洞扫描与补丁管理","对系统变更实施审批与回退机制","在开发阶段进行安全编码培训","建立安全事件监测与响应流程","对上线前系统开展渗透测试"],"answer":[0,1,3],"explanation":"知识点为信息安全保障生命周期中运行维护阶段措施。漏洞扫描补丁管理、变更审批回退、事件监测响应均属运维阶段，故正确；安全编码培训属于开发阶段；上线前渗透测试属于测试/上线阶段，不属于运维阶段。","tier":"进阶"},{"id":44,"type":"single","stem":"某企业拟将非核心业务系统外包给云服务商，在风险管理中最应优先完成的工作是","options":["要求云服务商提供等保测评报告","对云服务商开展安全能力评估并签订安全责任协议","将系统数据全部迁移至云平台","要求云服务商购买网络安全保险"],"answer":[1],"explanation":"知识点为外包与供应链风险管理。外包前应评估服务商安全能力并明确双方安全责任，故正确；仅索取测评报告不充分；迁移数据是后续动作；要求购买保险是风险转移手段之一，但不能替代能力评估与责任界定。","tier":"进阶"},{"id":45,"type":"single","stem":"在信息安全风险管理中，组织对已识别风险完成评估后决定“接受风险”，这一处置方式成立的前提条件是该风险满足下列哪项特征","options":["风险值低于组织既定的风险接受准则且无需再投入控制成本","风险一旦发生不会影响组织核心业务连续性","风险已被现有控制措施完全消除至残余风险为零","风险涉及的信息资产不属于等级保护定级对象"],"answer":[0],"explanation":"知识点为风险处置四种方式（规避、降低、转移、接受）中“接受”的适用条件。正确项：接受风险的前提是残余风险落在组织预先设定的可接受范围内，并有明确的接受准则和责任人。错误项一：风险是否影响业务连续性是影响程度问题，不能单独作为接受依据。错误项二：接受的是残余风险，任何控制都难以做到残余风险为零。错误项三：资产是否属于定级对象由定级规则决定，与能否接受该风险无直接关系。","tier":"进阶"},{"id":46,"type":"single","stem":"某组织依据等级保护要求对信息系统进行定级，某二级系统在完成安全建设后开展测评，关于该系统测评周期的做法，下列符合要求的是","options":["二级系统建议每两年开展一次等级测评，具体按行业主管部门要求执行","二级系统必须与三级系统一样每年开展一次等级测评","二级系统在通过首次测评后即可不再开展周期性测评","二级系统由系统运营者自行决定是否测评，无周期要求"],"answer":[0],"explanation":"知识点为等级保护中不同级别系统的测评周期要求。正确项：二级系统通常建议每两年测评一次，行业有更严要求时从其规定。错误项一：每年一次是三级及以上系统的要求，套用到二级属于拔高。错误项二：通过首次测评不等于一劳永逸，仍需周期性测评。错误项三：周期并非完全由运营者随意决定，需依据标准和行业规定。","tier":"进阶"},{"id":47,"type":"single","stem":"在安全工程中实施SSE-CMM的过程能力评估时，某过程域已达到“已定义级”，下列对该等级特征描述正确的是","options":["该过程已实现量化管理并能对过程偏差进行统计控制","该过程已形成组织级标准过程并据此裁剪应用到项目","该过程仅能完成基本活动但缺乏制度化跟踪","该过程已能根据历史数据预测未来过程表现"],"answer":[1],"explanation":"知识点为SSE-CMM（后发展为ISO/IEC 21827）能力成熟度等级特征。正确项：已定义级的核心是组织级标准过程已建立，并能裁剪用于具体项目。错误项一：量化管理、统计控制属于已管理级（量化级）的特征。错误项二：仅完成基本活动缺乏制度化跟踪属于初始级或已执行级特征。错误项三：预测未来表现属于持续优化或量化级的能力，不是已定义级。","tier":"进阶"},{"id":48,"type":"single","stem":"某单位安全运维人员在巡检中发现防火墙日志出现大量来自同一外网地址对多个内网主机的同端口连接尝试，下列处置顺序中最合理的是","options":["先封禁该源地址，再核查内网主机是否已被入侵，最后上报并记录","先上报等待指示，再核查内网主机，最后视情况封禁源地址","先核查内网主机业务影响，再判断是否误报，最后决定是否封禁","先重启防火墙清除会话，再采集日志，最后联系运营商处理"],"answer":[0],"explanation":"情境案例考点为疑似扫描/攻击事件的应急处置顺序。正确项：先止损（临时封禁源地址）→再核查受影响主机是否失陷→最后上报与记录，符合“先控制、后消除、再报告”的处置逻辑。错误项一：先上报等待指示会延误止损时机。错误项二：先核查影响再判断误报，未及时控制持续探测行为。错误项三：重启防火墙会丢失会话与取证线索，属于破坏证据的做法。","tier":"挑战"},{"id":49,"type":"single","stem":"在信息安全保障体系中，关于“纵深防御”与“最小权限”两项原则的关系，下列理解正确的是","options":["纵深防御通过多层控制降低单点失效影响，最小权限限制主体可访问范围，二者可叠加使用","纵深防御要求每层都赋予管理员最高权限以便快速响应，最小权限仅适用于普通用户","最小权限是纵深防御的替代方案，实施最小权限后无需再部署多层防护","纵深防御只针对网络层，最小权限只针对应用层，二者作用域互不重叠"],"answer":[0],"explanation":"知识点为安全保障原则的辨析。正确项：纵深防御是横向多层布防降低单点失效，最小权限是纵向限定主体权限范围，两者维度不同可叠加。错误项一：给每层管理员最高权限违背最小权限，也放大单点风险。错误项二：最小权限不能替代多层防护，二者不是替代关系。错误项三：纵深防御覆盖网络、主机、应用、数据等多层，作用域并非仅网络层。","tier":"进阶"},{"id":50,"type":"multi","stem":"某三级信息系统运维团队在季度安全自查中，针对数据库服务器拟采取以下日志与审计措施，依据信息安全保障与安全工程要求，其中应当采纳的措施有哪些？","options":["对数据库管理员的操作行为单独记录审计日志并留存","将数据库审计日志与业务应用日志合并存储以节省空间","为审计日志配置只读权限并由独立账号负责查看","对数据库的慢查询日志开启记录并定期人工抽查"],"answer":[0,2],"explanation":"知识点：安全审计与日志管理要求（审计记录独立性、可追溯性、职责分离）。正确项0：管理员属高权限用户，其操作需单独审计并留存，满足可追溯与问责要求。正确项2：审计日志应防篡改，只读权限加独立查看账号体现职责分离与完整性保护。错误项1：审计日志与业务日志合并存储会削弱审计记录的独立性和防篡改能力，且易被业务操作覆盖或误删。错误项3：慢查询日志主要面向性能调优，记录内容不覆盖权限变更、数据导出等安全事件，不能替代安全审计。","tier":"进阶"},{"id":51,"type":"single","stem":"某政务云平台在完成等保三级测评后，运维团队发现一台承载内部审计日志的服务器被遗漏在测评范围之外，此时最符合安全工程要求的处置是","options":["将该服务器立即下线并暂停审计业务","把该服务器纳入等级保护定级备案并补充测评","在年度测评报告中注明该服务器不参与测评","仅对该服务器做一次漏洞扫描后继续运行"],"answer":[1],"explanation":"知识点是等级保护的定级备案与测评范围完整性。正确项：定级对象应覆盖所有承载业务的信息系统，遗漏的服务器需补定级并纳入测评。错误项：下线并停业务属于过度处置且影响业务；在报告中注明不参与属于规避测评义务；仅扫描不能替代等级测评。","tier":"挑战"},{"id":52,"type":"single","stem":"安全运维人员发现边界防火墙日志中出现大量来自同一源IP对多个端口的高频连接尝试，但目标端口均未开放，当前最恰当的下一步动作是","options":["立即封禁该源IP并留存日志进一步分析","重启防火墙清除会话表以恢复性能","调整防火墙策略放行该源IP避免误报","关闭日志告警以免影响正常监控"],"answer":[0],"explanation":"知识点是安全事件初步处置与证据留存。正确项：高频扫描属于可疑行为，应封禁并保留日志用于溯源。错误项：重启设备会丢失会话与证据；放行可疑源IP违背最小权限；关闭告警会掩盖真实攻击。","tier":"挑战"},{"id":53,"type":"single","stem":"某单位对核心业务系统开展信息安全风险评估，在识别脆弱性时把“机房未配置气体灭火系统”列入其中，该条目应归类为","options":["物理环境脆弱性","管理脆弱性","技术脆弱性","供应链脆弱性"],"answer":[0],"explanation":"知识点是脆弱性分类。正确项：机房消防设施属于物理环境层面的脆弱性。错误项：管理脆弱性指制度流程缺失；技术脆弱性指系统配置或代码缺陷；供应链脆弱性指外部供应商引入的风险。","tier":"进阶"},{"id":54,"type":"single","stem":"在安全工程中实施“纵深防御”时，某团队在应用层已部署WAF，又在网络层部署IPS，仍计划在主机层加装HIDS，这种叠加的主要安全价值在于","options":["降低单点控制被绕过后的整体失陷概率","替代应用层代码安全审计工作","减少安全设备采购与运维成本","使各层控制措施可以相互独立无需联动"],"answer":[0],"explanation":"知识点是纵深防御的核心目的。正确项：多层控制可在一层被突破后仍提供检测与阻断。错误项：HIDS不能替代代码审计；叠加设备通常增加成本；各层仍需联动运营而非彼此孤立。","tier":"基础"},{"id":55,"type":"single","stem":"某企业按ISO/IEC 27001建立ISMS，在风险处置阶段决定对一项高风险采取“风险规避”策略，下列做法中符合该策略的是","options":["停止使用引发该风险的业务功能","购买网络安全保险转移损失","部署额外控制措施降低发生概率","接受该风险并持续监控其变化"],"answer":[0],"explanation":"知识点是风险处置四种策略的区分。正确项：风险规避是通过不再开展相关活动来消除风险。错误项：保险属于风险转移；加控制属于风险降低；接受并监控属于风险接受。","tier":"挑战"},{"id":56,"type":"single","stem":"等保测评中发现某三级系统数据库审计日志仅保留30天，而业务要求审计记录至少留存六个月，测评机构应将该问题判定为","options":["安全管理制度不落实","审计记录留存不满足要求","数据库性能配置不当","备份策略设计缺陷"],"answer":[1],"explanation":"知识点是等级保护对审计记录留存的要求。正确项：日志留存周期不足属于审计记录保护不符合项。错误项：制度不落实指有制度未执行；性能配置与留存周期无关；备份策略针对数据可用性而非审计留存。","tier":"挑战"},{"id":57,"type":"single","stem":"某安全工程师在设计业务连续性方案时，先确定关键业务恢复时间目标（RTO）为2小时，随后据此选择备用数据中心模式，这一顺序体现的原则是","options":["先确定恢复目标再选择技术方案","先采购设备再测算恢复能力","先做演练再设定恢复指标","先评估成本再倒推恢复时间"],"answer":[0],"explanation":"知识点是业务连续性管理中RTO与恢复方案的关系。正确项：应先明确业务恢复目标，再据此设计技术与管理措施。错误项：先采购易造成能力与需求错配；演练应在方案确定后验证；成本是约束条件而非起点。","tier":"基础"},{"id":58,"type":"single","stem":"某单位开展信息安全保障工作，强调“保护、检测、响应、恢复”四个环节协同，其中“检测”环节的核心作用是","options":["发现安全事件与异常行为并及时告警","阻止攻击流量进入内部网络","在事件后尽快恢复业务运行","对已发生的损失进行责任认定"],"answer":[0],"explanation":"知识点是PDRR模型各环节职责。正确项：检测负责发现异常与事件。错误项：阻止攻击属于保护；恢复业务属于恢复环节；责任认定属于事后调查与问责。","tier":"进阶"},{"id":59,"type":"single","stem":"某测评项目在访谈中了解到，管理员为方便排障长期共用同一特权账号登录多台核心服务器，从安全工程角度看，该做法最直接破坏的安全原则是","options":["最小权限与可问责性","数据完整性与可用性","网络冗余与负载均衡","介质销毁与再利用"],"answer":[0],"explanation":"知识点是账户管理与审计可追溯原则。正确项：共用特权账号导致权限过大且操作无法归责到人。错误项：完整性与可用性不是该做法主要破坏对象；冗余与负载均衡属于架构层面；介质销毁针对存储介质处置。","tier":"基础"},{"id":60,"type":"single","stem":"某单位按照等级保护要求开展定级备案工作，其承载业务信息的系统遭到破坏后会对社会秩序和公共利益造成严重损害，但不会损害国家安全，该系统应定为哪一级","options":["第二级","第三级","第四级","第五级"],"answer":[1],"explanation":"知识点为等级保护定级要素。对公民、法人合法权益造成特别严重损害或对社会秩序、公共利益造成严重损害但不损害国家安全的，定为第三级；第二级对应对社会秩序和公共利益造成一般损害；第四级对应对社会秩序和公共利益造成特别严重损害或对国家安全造成损害；第五级对应对国家安全造成特别严重损害。","tier":"进阶"},{"id":61,"type":"single","stem":"信息安全风险管理中，组织在完成风险评估后决定对某高风险项采取购买网络安全保险的方式应对，这种风险处置方式属于","options":["风险规避","风险转移","风险降低","风险接受"],"answer":[1],"explanation":"知识点为风险处置策略。购买保险是把风险后果转移给第三方，属于风险转移；风险规避是停止相关业务活动；风险降低是采取控制措施减小可能性或影响；风险接受是不采取措施承担剩余风险。","tier":"基础"},{"id":62,"type":"single","stem":"某系统需要实现数据完整性保护，安全工程师选用哈希算法对存储文件生成摘要，下列做法中能真正发现文件被篡改的是","options":["将摘要与文件存放在同一目录并定期比对","将摘要用对称密钥加密后与文件同盘存储","将摘要值单独保存于受控介质并定期重新计算比对","将摘要追加写入文件末尾后整体备份"],"answer":[2],"explanation":"知识点为哈希用于完整性校验的前提。摘要必须与原始数据分离保存于受控位置，比对时重新计算才能发现篡改；同目录存放会被一并篡改；对称加密后同盘存储密钥与密文可能同时被获取并重算；摘要写入文件末尾使篡改者可同步更新摘要。","tier":"挑战"},{"id":63,"type":"single","stem":"在安全工程中采用SSE-CMM模型评估某安全工程过程能力，组织的过程已实现定量管理与持续改进，按该模型成熟度等级应属于","options":["第三级 良好定义级","第四级 定量控制级","第五级 持续改进级","第二级 计划跟踪级"],"answer":[2],"explanation":"知识点为SSE-CMM能力成熟度等级。第五级持续改进级强调过程可定量度量并持续优化；第四级定量控制级强调定量管理但尚未形成持续改进机制；第三级良好定义级强调标准过程已定义；第二级计划跟踪级强调过程可重复与跟踪。","tier":"进阶"},{"id":64,"type":"single","stem":"运维人员在防火墙策略变更后，按变更管理流程应首先完成的动作是","options":["直接在业务低峰期登录设备修改策略","提交变更申请并经审批后再实施","先修改策略再补录变更记录","通知业务部门后自行决定实施时间"],"answer":[1],"explanation":"知识点为变更管理程序。变更应先申请、评估、审批，再在批准窗口实施；低峰期直接修改属未授权变更；先改后补录使审批失去事前控制作用；仅通知业务部门不等于取得变更授权。","tier":"进阶"},{"id":65,"type":"single","stem":"某单位在等保测评中需要验证边界防护设备的访问控制策略是否按最小必要原则配置，最恰当的做法是","options":["查看设备清单确认型号是否合规","抽样提取策略并对照业务需求逐条核对","检查设备是否开启日志功能","确认设备已通过产品安全认证"],"answer":[1],"explanation":"知识点为等保测评中访问控制核查方法。最小必要原则需核验策略与实际业务开放需求的一致性，抽样逐条对照才能判断是否存在多余放通；查型号、查日志、查认证均不能证明策略粒度符合最小必要。","tier":"挑战"},{"id":66,"type":"single","stem":"安全运维中处理高危漏洞时，因业务系统无法立即停机打补丁，运维团队采取的下列措施中属于有效补偿性控制的是","options":["在边界设备上阻断该漏洞利用特征的流量","将该漏洞记录到风险台账并延后处理","关闭漏洞扫描器对该主机的扫描任务","把该主机从资产清单中暂时移除"],"answer":[0],"explanation":"知识点为补偿性控制。在无法修补时通过边界阻断利用特征可降低被利用可能性，属于补偿控制；仅记录延后处理并未降低风险；关闭扫描会掩盖风险；移除资产清单属于自欺且违反资产管理要求。","tier":"挑战"},{"id":67,"type":"single","stem":"某企业开展业务连续性管理，针对核心交易系统制定了恢复时间目标RTO为2小时，下列做法中最能验证该目标可达性的是","options":["每年组织一次桌面推演讨论恢复步骤","定期开展真实切换演练并记录实际恢复耗时","将RTO数值写入应急预案并归档","委托第三方评审应急预案文档完整性"],"answer":[1],"explanation":"知识点为业务连续性演练验证。RTO是时间指标，只有通过真实切换演练记录实际耗时才能验证可达性；桌面推演不测实际时间；写入文档和文档评审只验证形式，不能证明恢复能力。","tier":"挑战"},{"id":68,"type":"single","stem":"安全管理人员在审查日志时发现某账号在非工作时段从境外IP成功登录核心数据库，正确的首要处置动作是","options":["立即删除该账号以阻断后续访问","先隔离该会话并保全日志证据再启动调查","修改该账号密码后继续观察","将该IP加入黑名单并通知账号使用人"],"answer":[1],"explanation":"知识点为安全事件应急响应顺序。应先控制影响范围并保全证据，再调查取证；直接删账号会破坏溯源线索且可能影响业务；仅改密码未隔离会话仍可能被利用；加黑名单和通知不能替代证据保全与调查。","tier":"挑战"},{"id":69,"type":"single","stem":"在信息安全保障体系中，PDR模型与P2DR模型的主要区别在于后者增加了","options":["防护环节","检测环节","响应环节","策略环节"],"answer":[3],"explanation":"知识点为经典安全模型演进。PDR由防护、检测、响应构成，P2DR在其基础上增加了策略作为核心指导；防护、检测、响应三者PDR均已包含，不是新增内容。","tier":"基础"},{"id":70,"type":"multi","stem":"某单位开展信息安全风险评估，下列活动属于风险分析阶段工作内容的有","options":["识别信息资产及其价值","分析威胁利用脆弱性的可能性","评价风险值并确定风险等级","制定风险处置计划并落实整改","确认评估范围与边界"],"answer":[1,2],"explanation":"知识点为风险评估过程划分。风险分析阶段包括分析可能性与影响、计算并评价风险值确定等级；识别资产属于风险识别阶段；制定处置计划属于风险处置阶段；确认评估范围属于评估准备阶段。","tier":"挑战"},{"id":71,"type":"single","stem":"在信息安全风险管理中，组织对识别出的风险完成评估后，决定接受某风险并继续运行系统，最应同步完成的工作是","options":["形成风险接受记录并明确接受责任人与复核周期","将风险等级下调一级后纳入常规巡检","把该风险从风险清单中移除以保持清单整洁","为该风险单独购买一份网络安全保险"],"answer":[0],"explanation":"知识点为风险处置中的风险接受。接受风险必须留下正式的接受记录并明确责任与复核周期，才能在后续审计与复审中证明该决策是有意为之。将风险等级下调属于篡改评估结论；从清单移除会丢失风险台账，导致后续无法跟踪；购买保险属于风险转移而非接受，且不能替代接受记录。","tier":"进阶"},{"id":72,"type":"single","stem":"某单位完成等级保护测评后，测评机构出具报告指出某系统存在未修复的中危漏洞，该单位决定在业务窗口期统一修复，此时正确的做法是","options":["在修复前制定补偿性措施并记录风险处置计划","直接把该漏洞的等级从报告中改为低危后再归档","暂停该系统全部对外服务直到漏洞修复完成","要求测评机构撤回报告待修复完成后重新出具"],"answer":[0],"explanation":"知识点为风险处置与补偿性控制。在无法立即修复时，应制定补偿措施和处置计划以控制窗口期风险。修改报告等级属于篡改测评结论；暂停全部服务属于过度处置且影响业务连续性；要求撤回报告掩盖了真实风险状态，违反测评管理要求。","tier":"挑战"},{"id":73,"type":"single","stem":"信息安全保障中常说的纵深防御，其核心含义是","options":["在多个层面部署相互独立的防护措施形成叠加","把全部安全预算集中投入到边界防火墙","为每台主机安装同一厂商的全套安全产品","依靠单一高强度加密算法保护全部数据"],"answer":[0],"explanation":"知识点为纵深防御。纵深防御强调在物理、网络、主机、应用、数据等多个层面部署相互独立、可互补的控制措施，使单点失效不导致整体失陷。集中投防火墙、同厂商全套产品、单一加密算法都构成单点依赖，与纵深防御思想相反。","tier":"基础"},{"id":74,"type":"single","stem":"某运维人员在对服务器进行安全加固时，关闭了不必要的服务端口，这一措施主要对应哪类安全控制","options":["最小化攻击面","数据完整性保护","身份鉴别强化","安全审计追踪"],"answer":[0],"explanation":"知识点为攻击面最小化。关闭不必要的服务端口减少了可被利用的入口，属于缩小攻击面。数据完整性保护关注数据未被篡改；身份鉴别强化关注身份验证机制；安全审计追踪关注日志记录与追溯，均与关闭端口无直接对应。","tier":"基础"},{"id":75,"type":"single","stem":"在信息安全保障体系中，SSE-CMM 模型主要关注的是","options":["安全工程过程的成熟度与能力评估","信息安全产品的功能等级划分","信息系统等级保护的定级方法","密码算法的强度与密钥管理"],"answer":[0],"explanation":"知识点为安全工程能力成熟度模型。SSE-CMM 用于评估和改进安全工程过程的成熟度与能力。产品功能等级划分对应 CC/GB-T 18336；等保定级对应等级保护定级指南；密码算法强度与密钥管理属于密码技术范畴，均非 SSE-CMM 关注对象。","tier":"基础"},{"id":76,"type":"single","stem":"某组织在业务连续性管理中开展 BIA 分析，其首要产出应是","options":["关键业务功能及其可容忍中断时间","机房消防系统的品牌选型清单","全部员工的应急联系电话表","年度安全培训的课程安排"],"answer":[0],"explanation":"知识点为业务影响分析。BIA 的目的是识别关键业务功能并确定其对中断的容忍程度，如 RTO 与 RPO。消防选型属于设施建设；员工通讯录属于应急资源；培训安排属于意识管理，均不是 BIA 的首要产出。","tier":"基础"},{"id":77,"type":"single","stem":"某系统采用双因素认证，用户输入口令后再输入手机短信验证码，该方案中的两个因素分别是","options":["知识因素与持有因素","生物因素与知识因素","持有因素与位置因素","知识因素与行为因素"],"answer":[0],"explanation":"知识点为认证因素分类。口令属于用户知道的知识因素，手机属于用户持有的物品，构成持有因素。生物因素指指纹虹膜等；位置因素指来源地点；行为因素指打字节奏等，均未在本方案中出现。","tier":"进阶"},{"id":78,"type":"single","stem":"某单位在部署入侵检测系统后，运维人员发现大量误报，正确的优化方向是","options":["结合业务流量特征调整检测规则并持续调优","直接关闭告警功能仅保留日志记录","将检测系统切换为纯旁路监听不再告警","对所有告警一律按误报处理不再核查"],"answer":[0],"explanation":"知识点为 IDS 运行维护。误报多时应基于业务流量特征调整规则阈值并持续调优。关闭告警、纯旁路不告警、一律按误报处理都会使检测能力形同虚设，丧失发现真实攻击的机会。","tier":"挑战"},{"id":79,"type":"single","stem":"在安全工程中采用安全开发生命周期，将安全需求分析前置到设计阶段，其主要收益是","options":["降低后期修复缺陷的成本与返工量","完全消除系统上线后的所有安全风险","替代上线前的渗透测试与代码审计","减少开发团队对安全人员的依赖"],"answer":[0],"explanation":"知识点为安全开发生命周期。越早引入安全活动，缺陷修复成本越低。它不能完全消除风险，也不能替代渗透测试与代码审计，更不意味着可以弱化安全人员参与。","tier":"挑战"},{"id":80,"type":"single","stem":"某单位拟对核心数据库实施访问控制，要求不同岗位人员只能访问其职责所需的数据，最应采用的策略是","options":["基于角色的访问控制并遵循最小权限","基于时间的访问控制并限制夜间访问","基于IP地址的访问控制并限定来源网段","基于端口的访问控制并关闭多余端口"],"answer":[0],"explanation":"知识点为访问控制策略。岗位职责与数据范围的对应关系适合用基于角色的访问控制并遵循最小权限。时间、IP、端口控制属于辅助约束，无法直接表达岗位与数据的授权关系。","tier":"挑战"},{"id":81,"type":"single","stem":"依据信息安全风险管理流程，组织在完成风险分析后、选择具体控制措施之前，应当首先完成哪项工作","options":["确定风险处置的优先级并评价风险是否可接受","直接采购市场主流的边界防护设备","对全部资产重新进行一次完整识别","将风险清单提交给外部审计机构备案"],"answer":[0],"explanation":"知识点为风险管理中的风险评价环节。正确项在风险分析后先依据准则评价风险并排序，才谈处置；直接采购设备跳过评价属做法顺序错误；重新识别资产属重复前期工作，不是必经下一步；提交外部备案并非风险处置流程的必要前置。","tier":"进阶"},{"id":82,"type":"single","stem":"在等级保护测评中，某信息系统定级为三级，关于其安全区域边界的测评要求，下列理解正确的是","options":["应在关键网络节点处检测并限制从内部发起的非授权外联行为","只需在互联网出口部署防火墙即视为满足边界防护要求","边界访问控制规则应默认放行内部访问外部以保障业务","边界入侵防范只需部署在网络出口而不必覆盖核心交换区"],"answer":[0],"explanation":"知识点为三级系统边界防护的完整性要求。正确项强调对内部非授权外联的检测与限制，符合纵深防护思路；仅互联网出口部署防火墙遗漏了内部边界，覆盖不全；默认放行内部外联违背最小授权原则；入侵防范只落在出口会遗漏核心区东西向流量。","tier":"进阶"},{"id":83,"type":"single","stem":"某运维人员需要对一台生产数据库服务器进行紧急补丁安装，按变更管理要求，他最应先完成的操作是","options":["填写变更申请并说明回退方案与影响范围","登录服务器直接安装补丁后再通知主管","先在测试环境验证后直接上生产补丁","与厂商确认补丁编号后立即重启数据库"],"answer":[0],"explanation":"知识点为变更管理流程。正确项体现先申请、评估影响并准备回退；先做后报违反变更审批顺序；仅在测试验证就上生产跳过了审批环节；确认编号后立即重启既未审批也未评估业务影响。","tier":"进阶"},{"id":84,"type":"single","stem":"关于信息安全保障中“保护—检测—响应—恢复”模型，下列描述正确的一项是","options":["检测能力不足时，响应与恢复的效果会受到明显制约","保护措施到位后即可省略检测与响应环节的投入","恢复环节的目标是彻底消除所有残余风险","四个环节应各自独立建设，避免相互依赖影响效率"],"answer":[0],"explanation":"知识点为PDRR模型的协同关系。正确项指出检测薄弱会拖累响应恢复，符合模型逻辑；保护到位不能替代检测响应；恢复旨在将业务恢复到可接受水平而非消除全部残余风险；四环节需协同而非刻意独立。","tier":"进阶"},{"id":85,"type":"single","stem":"某企业拟对重要数据实施备份，要求“任何单点故障不得导致数据永久丢失”，下列备份策略中最符合该要求的是","options":["本地磁盘阵列结合异地磁带离线备份并定期恢复演练","每日全量备份到同一机房内的备份服务器","采用双机热备但主备位于同一机柜","每周一次全量备份并保存于办公区文件服务器"],"answer":[0],"explanation":"知识点为备份的容灾与可恢复性。正确项兼顾本地冗余、异地离线与恢复验证，可抵御单点及区域性故障；同机房备份无法应对机房级灾难；同机柜双机热备仍是单点；办公区文件服务器既无异地也无可靠保护。","tier":"挑战"},{"id":86,"type":"single","stem":"某员工收到一封自称来自IT部门、要求点击链接重置邮箱密码的邮件，链接域名与公司真实域名仅一个字母之差，他应当采取的处置方式是","options":["不点击链接，通过官方渠道核实后向安全部门报告","直接点击链接并按页面提示输入原密码完成重置","将邮件转发给同事提醒大家注意后自行删除","回复该邮件询问发件人身份并等待对方确认"],"answer":[0],"explanation":"知识点为钓鱼邮件识别与处置。正确项避免交互并通过独立渠道核实上报；点击并输入密码会泄露凭据；转发会扩散风险且未上报；回复发件人等于与攻击者交互，无法验证真伪。","tier":"进阶"},{"id":87,"type":"single","stem":"某单位开展安全工程，在系统上线前进行安全验收测试，下列做法符合工程安全要求的是","options":["依据安全需求与设计文档逐项验证控制措施的有效性","仅对系统功能是否正常进行测试即可通过验收","由开发人员自行测试并出具验收结论","上线后再根据运行情况补充安全测试并归档"],"answer":[0],"explanation":"知识点为安全工程中的验收测试要求。正确项强调对照需求与设计验证控制有效性；只看功能会遗漏安全属性；开发者自测缺乏独立性；上线后补测无法在交付前控制风险。","tier":"挑战"},{"id":88,"type":"single","stem":"某安全管理员发现服务器日志中出现大量来自同一IP的失败登录记录，且该IP持续尝试不同用户名，最恰当的首要处置是","options":["临时封禁该IP并核查是否存在成功登录的异常会话","立即重启服务器以清除攻击者可能留下的进程","修改所有用户密码并关闭系统远程登录服务","删除相关失败登录日志以避免影响日志分析"],"answer":[0],"explanation":"知识点为暴力破解事件的应急响应。正确项先阻断来源并排查是否已失陷；重启服务器会破坏现场且未必清除后门；全面改密并关闭远程服务影响业务且非首要；删除日志会销毁证据。","tier":"挑战"},{"id":89,"type":"single","stem":"关于信息安全策略体系中“方针、策略、规程、指南”的层次关系，下列表述正确的是","options":["方针是高层总体意图，策略与规程逐层细化其要求","规程的效力高于方针，冲突时应以规程为准","指南具有强制约束力，必须与策略同等执行","策略应独立于方针制定，以避免相互影响"],"answer":[0],"explanation":"知识点为策略体系层次。正确项说明方针为顶层意图，策略与规程逐层落地；规程不得高于方针；指南通常为推荐性而非强制；策略须与方针保持一致而非独立。","tier":"进阶"},{"id":90,"type":"single","stem":"某业务系统需处理个人敏感信息，在设计阶段提出下列措施，其中最应优先落实的是","options":["明确数据分类分级并据此实施最小化采集与访问控制","采购价格最高的数据库加密产品覆盖全部字段","将所有数据集中存储以便统一管理和快速检索","默认开放内部查询接口以提升业务开发效率"],"answer":[0],"explanation":"知识点为数据安全设计原则。正确项先分类分级并做最小化与访问控制，是后续措施的基础；盲目全字段加密增加成本且未区分敏感度；集中存储扩大影响面；默认开放接口违背最小权限。","tier":"进阶"},{"id":91,"type":"multi","stem":"某单位发生业务系统中断事件，应急响应小组在“遏制”阶段可采取的措施包括哪些","options":["隔离受影响主机以阻止影响范围扩大","保留内存与磁盘镜像等易失性证据","立即格式化受影响主机后重装系统","评估是否需暂停相关对外服务接口","关闭全部机房供电以彻底阻断攻击"],"answer":[0,1,3],"explanation":"知识点为应急响应遏制阶段的工作内容。隔离受影响主机可控制范围；保全易失性证据为后续分析所需；评估并暂停相关接口属可控的业务遏制。立即格式化会破坏证据且未完成分析；关闭全部机房供电属过度处置，会扩大业务中断。","tier":"挑战"},{"id":92,"type":"single","stem":"在信息安全保障体系中，针对信息系统生命周期开展安全工程时，下面哪项活动最适宜安排在“安全需求分析”阶段完成？","options":["依据业务场景推导出可验证的安全功能与保障要求","对上线后的系统开展渗透测试并生成整改清单","根据测评结论对系统进行安全加固与配置优化","在运行阶段持续采集日志并开展安全态势分析"],"answer":[0],"explanation":"知识点是安全工程中生命周期各阶段的安全活动定位。安全需求分析阶段的核心是把业务和合规要求转化为可验证的安全要求，因此第一项正确。渗透测试属于安全测试/评估阶段活动；安全加固与配置优化属于建设整改或运维阶段；日志采集与态势分析属于运行维护阶段活动。","tier":"进阶"},{"id":93,"type":"single","stem":"某单位在风险管理中把“资产价值高”直接等同于“风险高”，忽略了威胁与脆弱性，这种做法主要违背了风险构成的哪项基本关系？","options":["风险由资产、威胁和脆弱性共同作用形成","风险只能通过定量方法计算得出","风险接受必须由外部监管机构批准","风险处置只能采用风险规避策略"],"answer":[0],"explanation":"知识点是信息安全风险的基本构成。风险与资产、威胁、脆弱性以及安全措施相关，单看资产价值不能判定风险高低，所以第一项正确。风险可采用定性、半定量或定量方法，并非只能定量；风险接受属于组织内部决策，通常不需外部监管批准；风险处置还包括降低、转移、规避和接受等，并非只能规避。","tier":"挑战"},{"id":94,"type":"single","stem":"某系统通过等级保护测评后，运维人员认为“测评通过就等于风险已消除”，随后长期不再更新漏洞库和补丁，这种认识的主要问题是把测评结论当成了什么？","options":["某一时点的合规符合性证据","系统生命周期的持续安全保障","安全风险的唯一评价依据","安全设备采购的验收条件"],"answer":[0],"explanation":"知识点是等保测评与持续风险管理的区别。测评结论反映测评时点的符合性状况，不能替代持续的风险管理，因此第一项正确。测评不是全生命周期持续保障本身；风险评价应综合威胁、脆弱性和资产等多方面；测评结论也不是设备采购验收条件。","tier":"进阶"},{"id":95,"type":"single","stem":"在信息安全保障中，若组织把“安全策略文件已发布”作为控制措施已有效运行的证明，最可能忽略的是哪一环节？","options":["策略是否被人员理解并在流程中得到执行","策略文件是否使用了标准模板格式","策略发布是否经过文档排版校对","策略名称是否与组织简称保持一致"],"answer":[0],"explanation":"知识点是安全保障中“策略—执行—检查—改进”的闭环。策略发布只是起点，关键是落实和执行，因此第一项正确。模板格式、排版校对和名称一致性属于文档形式问题，不能证明控制措施有效运行。","tier":"进阶"},{"id":96,"type":"single","stem":"某单位开展业务影响分析时，把“系统恢复时间目标”直接设定为备份数据恢复所需时间，这一做法的主要偏差在于混淆了哪两个概念？","options":["恢复时间目标与恢复点目标","安全审计与安全监控","漏洞管理与补丁管理","访问控制与身份认证"],"answer":[0],"explanation":"知识点是业务连续性与灾难恢复中的RTO和RPO。RTO关注业务中断后可容忍的恢复时间，RPO关注可容忍的数据丢失量，备份恢复耗时只是实现RTO的一个技术因素，因此第一项正确。安全审计与监控、漏洞与补丁、访问控制与身份认证均与RTO/RPO概念辨析无关。","tier":"挑战"},{"id":97,"type":"single","stem":"某信息系统定级为第三级，在安全工程实施中，针对“安全区域边界”的访问控制要求，下列哪种做法更符合纵深防御思路？","options":["在边界部署访问控制设备并按最小必要原则配置策略","仅在主机上安装防病毒软件并依赖其拦截所有入侵","把所有内部主机置于同一广播域以便统一管理","关闭边界设备的日志功能以减少存储空间占用"],"answer":[0],"explanation":"知识点是安全区域边界与纵深防御。边界访问控制设备配合最小必要策略可在区域边界形成有效控制，因此第一项正确。仅依赖主机防病毒不能覆盖边界控制；所有主机同一广播域会扩大攻击面；关闭边界日志会削弱审计和追溯能力。","tier":"进阶"},{"id":98,"type":"single","stem":"某组织在风险处置中选择“风险转移”，下列哪项做法最符合风险转移的典型特征？","options":["通过购买网络安全保险将部分损失责任转由保险公司承担","通过加固系统把剩余风险降低到可接受水平","通过停止使用某业务系统彻底避开相关威胁","通过管理层签字确认接受风险不再处理"],"answer":[0],"explanation":"知识点是风险处置策略的辨析。风险转移是把风险及可能损失的部分责任转给第三方，网络安全保险是典型方式，因此第一项正确。加固系统属于风险降低；停止使用业务系统属于风险规避；管理层签字接受属于风险接受。","tier":"进阶"},{"id":99,"type":"single","stem":"某企业依据GB/T 22239开展等级保护建设，在完成差距分析后，决定对定级为第三级的系统进行安全物理环境整改，下列整改做法中符合标准要求的是","options":["机房出入口设置电子门禁并记录人员进出，同时安排专人7×24小时值守","机房设置防盗报警系统，报警信号接入值班室并具备声光提示","机房内铺设防静电地板并采用吊顶内走线，线缆无需标注","机房配置气体灭火系统，并同时设置自动喷水灭火系统作为备份"],"answer":[1],"explanation":"知识点：等级保护第三级安全物理环境对防盗报警的要求。正确项依据：第三级要求机房设置防盗报警系统，报警信号应接入值班室并具备声光提示，便于及时响应。错误项A：电子门禁与专人值守本身不违规，但第三级并未强制要求7×24小时专人值守，属于过度措施且与标准条款不符。错误项C：吊顶内走线必须对线缆进行标识，且第三级对布线有明确管理要求，不能省略标注。错误项D：气体灭火系统与自动喷水灭火系统同时设置会造成灭火剂冲突，且机房不宜采用水喷淋作为备份。","tier":"挑战"},{"id":100,"type":"multi","stem":"某单位安全运维人员在日常巡检中发现一台对外提供Web服务的服务器出现异常外联行为，经初步分析疑似被植入远控木马，下列处置措施中恰当的是","options":["立即将该服务器从网络中隔离，保留现场并启动应急响应流程","直接登录服务器删除可疑进程和文件，尽快恢复业务运行","对服务器进行全盘杀毒并修改所有账户口令后重新接入网络","提取服务器内存镜像和网络连接记录，用于后续溯源分析","仅封禁异常外联的目标IP，不中断服务器对外服务"],"answer":[0,3],"explanation":"知识点：信息安全事件应急响应中的隔离、取证与处置顺序。正确项依据：发现疑似木马应先隔离断网、保留现场并启动应急响应，同时提取内存镜像和网络连接记录用于溯源，符合证据保全与处置规范。错误项B：直接删除进程和文件会破坏现场证据，且未确认清除前恢复业务存在再次失陷风险。错误项C：全盘杀毒和改口令不能替代隔离与取证，且未清除持久化机制前重新接入可能再次被控。错误项E：仅封禁目标IP不中断服务，无法阻止攻击者通过其他通道继续控制，处置不彻底。","tier":"挑战"},{"id":101,"type":"single","stem":"某单位依据等级保护要求开展安全建设，在设计阶段确定安全控制措施时，最应优先参照的标准文件是","options":["信息系统安全等级保护基本要求","信息系统安全等级保护实施指南","信息系统安全管理要求","信息系统安全工程要求"],"answer":[0],"explanation":"知识点：等保建设整改阶段确定控制措施的依据。基本要求规定各等级应实现的安全控制目标和措施，是设计阶段选取控制措施的基准。实施指南侧重过程与方法，不直接给出控制项；安全管理要求仅覆盖管理维度；安全工程要求面向工程过程能力，不能替代控制项选取。"},{"id":102,"type":"single","stem":"在风险管理中，某资产价值高但威胁发生频率极低、脆弱性利用难度很大，经计算其风险值仍处于组织可接受范围内，此时最恰当的做法是","options":["接受该风险并留存评估记录","立即采购设备消除该脆弱性","将该资产移出风险评估范围","提高该资产的价值赋值以匹配风险"],"answer":[0],"explanation":"知识点：风险处置的四种方式（接受、降低、转移、规避）。风险在可接受范围内即可选择接受，并保留记录以便复评。立即采购设备属于降低措施，未考虑成本与必要性；移出评估范围属于掩盖风险；提高价值赋值是篡改评估输入，均不正确。"},{"id":103,"type":"single","stem":"安全工程中采用“纵深防御”思想部署防护措施，下列部署方式最能体现该思想的是","options":["在网络边界、主机、应用、数据层分别设置不同防护手段","在单一网络边界部署两台同型号防火墙做冗余","在主机层统一安装同一款防病毒软件并集中管理","把全部安全预算集中投入边界入侵检测设备"],"answer":[0],"explanation":"知识点：纵深防御强调多层、异构、互补。分层设置不同防护手段符合该思想。两台同型号防火墙冗余是可用性设计；单一防病毒软件集中管理只是单层防护；集中投入边界设备属于单点强化，均不体现多层互补。"},{"id":104,"type":"single","stem":"某组织完成风险评估后编制风险处置计划，对于拟通过购买网络安全保险来应对的风险，其处置方式属于","options":["风险转移","风险降低","风险规避","风险接受"],"answer":[0],"explanation":"知识点：风险处置方式辨析。保险将经济损失后果转移给第三方，属于风险转移。风险降低是通过控制措施减小可能性或影响；风险规避是停止相关活动；风险接受是不采取额外措施。保险并未消除威胁，故非降低或规避。"},{"id":105,"type":"single","stem":"在信息安全保障体系中，“保护—检测—响应—恢复”模型的运行依赖一项贯穿各环节的基础能力，该能力是","options":["持续的安全监控与信息反馈","一次性的合规差距分析","年度渗透测试报告评审","安全设备的集中采购"],"answer":[0],"explanation":"知识点：PDRR模型及各环节协同基础。持续监控与反馈使检测、响应、恢复形成闭环。合规差距分析、渗透测试报告评审是阶段性活动，无法贯穿运行；集中采购属于建设活动，与运行闭环无关。"},{"id":106,"type":"single","stem":"某测评机构在等保测评中发现，被测系统的重要业务数据在传输过程中未采取任何保护措施，该问题最直接对应的安全层面是","options":["网络和通信安全","安全计算环境","安全管理制度","安全管理机构"],"answer":[0],"explanation":"知识点：等保技术要求的层面划分。数据传输保护属于网络和通信安全层面。计算环境侧重主机与应用层数据；管理制度与机构属于管理层面，与传输保护技术措施不对应。"},{"id":107,"type":"single","stem":"某企业拟对新建信息系统开展安全工程活动，在需求分析阶段确定安全需求时，最恰当的输入是","options":["业务安全需求与已识别的安全风险","上一版本系统的源代码审计报告","安全设备厂商提供的产品白皮书","同行业其他单位的安全预算规模"],"answer":[0],"explanation":"知识点：安全工程需求阶段输入。安全需求应来源于业务安全目标与风险评估结果。源代码审计报告属于实现或测试阶段产物；厂商白皮书是产品资料；同行预算不反映本单位业务与风险，均不宜作为需求分析主要输入。"},{"id":108,"type":"single","stem":"在信息安全风险管理中，组织对某信息系统完成风险计算后决定“不采取任何额外控制措施”，这一决策成立的前提是","options":["残余风险已被明确评估并处于可接受水平","该系统的资产价值经重新赋值后降为零","威胁源在评估周期内不会发生变化","管理层尚未批准任何安全预算"],"answer":[0],"explanation":"知识点：风险接受的前提条件。接受风险必须基于对残余风险的明确评估并确认其在可接受范围内。资产价值不能随意降为零；威胁不变不是接受依据；预算未批准是资源问题，不能作为风险接受的合理性前提。"},{"id":109,"type":"single","stem":"某单位安全运维人员发现一台服务器上出现异常外联行为，经初步判断可能已被植入后门，按照应急响应流程，下一步最恰当的动作是","options":["在保持现场的同时隔离该主机并上报","立即重装操作系统后恢复业务","先删除可疑文件再继续观察","直接关闭机房总电源切断全部连接"],"answer":[0],"explanation":"知识点：应急响应处置流程。发现疑似入侵应先隔离受控主机、保护现场并上报，便于取证与止损。立即重装会破坏证据且未确认范围；删除文件再观察无法阻断外联；关闭总电源会扩大业务中断并破坏易失证据。"},{"id":110,"type":"single","stem":"某测评项目组在核查边界防护设备策略时发现，管理员为方便远程维护，在防火墙上长期开放了到核心数据库的高危端口，且未做源地址限制，正确的整改方向是","options":["关闭该端口，改为经跳板机与白名单访问","保留端口但修改为非常用端口号","保留端口并增加每日登录次数限制","保留端口并开启数据库自身的审计功能"],"answer":[0],"explanation":"知识点：边界访问控制的最小化原则。应关闭不必要的高危端口，通过跳板机加源地址白名单实现受控运维。改端口号只是隐蔽手段，不减少暴露面；限制登录次数和开启审计都不能阻止未授权访问，未解决根本问题。"},{"id":111,"type":"single","stem":"某组织拟将部分业务系统迁移至云平台，在安全责任划分上，依据共享责任模型，租户通常需要自行负责的是","options":["云主机操作系统的补丁与账号管理","云数据中心机房的物理门禁控制","云平台底层虚拟化软件的漏洞修复","云服务商骨干网络的链路冗余"],"answer":[0],"explanation":"知识点：云安全共享责任模型。租户负责云内自身可控部分，如主机操作系统补丁、账号与数据。机房物理安全、底层虚拟化、骨干网络冗余通常由云服务商负责。混淆责任边界是常见错误。"},{"id":112,"type":"single","stem":"在信息安全保障体系中，关于“保护—检测—响应—恢复”模型的描述，正确的是","options":["检测能力的作用是发现保护措施未能阻止的安全事件","保护措施可以完全消除所有信息安全风险","响应阶段的工作重点是恢复业务系统正常运行","恢复阶段需要完成对安全事件的根因分析"],"answer":[0],"explanation":"知识点为PDRR模型各阶段职责。检测的核心价值在于发现保护措施失效后仍发生的事件；保护不能消除所有风险，只能降低风险；响应重点是遏制和处置事件，恢复业务运行是恢复阶段的任务；根因分析通常属于响应或事后复盘阶段而非恢复阶段核心任务。"},{"id":113,"type":"single","stem":"某单位开展风险评估时，资产价值主要依据什么来确定","options":["资产在业务运行中所处的位置","资产购置时实际支付的价格","资产遭到破坏后对业务的影响程度","资产被访问的频繁程度"],"answer":[2],"explanation":"知识点为风险评估中资产价值的判定依据。资产价值应以资产受损对组织业务的影响程度为核心度量，而非账面价格或位置。购置价格忽略业务重要性差异；位置和访问频率都不直接决定影响程度。"},{"id":114,"type":"single","stem":"在等级保护测评中，针对“剩余信息保护”这一控制点的测评对象通常是","options":["网络设备配置文件中的口令字段","操作系统和数据库的存储空间释放机制","机房出入人员的登记记录","安全管理制度文件的发布流程"],"answer":[1],"explanation":"知识点为等保测评中剩余信息保护的指向。剩余信息保护关注系统资源（如内存、存储空间）被释放后是否仍残留敏感信息，测评对象为操作系统、数据库等机制。配置文件口令属身份鉴别，出入记录属物理访问控制，制度发布属安全管理。"},{"id":115,"type":"single","stem":"安全运维人员发现某服务器上出现异常外联流量，最恰当的第一步处置是","options":["立即断开该服务器所有网络连接","记录流量特征并保留现场证据","直接删除可疑进程并重启服务器","向所有员工通报该安全事件"],"answer":[1],"explanation":"知识点为安全事件应急处置流程。发现异常时应先记录和取证，避免破坏证据后再判断处置方式。立即断网可能影响业务且破坏在线证据；删除进程重启会丢失内存证据；全员通报应在事件确认后按流程进行。"},{"id":116,"type":"single","stem":"关于信息安全风险管理中“风险处置”的四种方式，下列属于风险转移的是","options":["对高风险系统增加访问控制措施","停止使用存在高危漏洞的旧系统","为关键数据购买网络安全保险","接受低风险项并定期复查"],"answer":[2],"explanation":"知识点为风险处置的四种方式。风险转移是通过合同或保险将风险后果转给第三方；增加控制属降低；停用系统属规避；接受并复查属接受。"},{"id":117,"type":"single","stem":"在安全工程中，将安全需求分解到系统架构设计阶段的主要目的是","options":["降低后期因设计缺陷返工的成本","替代上线前的渗透测试工作","减少对安全管理制度建设的依赖","确保系统通过等级保护测评"],"answer":[0],"explanation":"知识点为安全工程中安全需求早期介入的意义。在设计阶段分解安全需求可避免后期大规模返工。它不能替代渗透测试，也不能减少制度需求，通过测评是结果而非设计阶段目的。"},{"id":118,"type":"single","stem":"某系统进行安全功能测试时，测试人员使用错误口令连续尝试登录，观察系统是否锁定账户，这属于验证","options":["身份鉴别中的鉴别失败处理","访问控制中的最小权限原则","数据完整性中的校验机制","安全审计中的日志记录功能"],"answer":[0],"explanation":"知识点为身份鉴别控制点中的鉴别失败处理。连续错误口令后的账户锁定属于鉴别失败处理措施。最小权限关注权限分配，完整性关注数据防篡改，审计关注行为记录。"},{"id":119,"type":"single","stem":"关于信息安全策略与信息安全管理制度的关系，描述正确的是","options":["安全策略是安全管理制度的具体操作步骤","安全管理制度是安全策略在管理层面的落实","安全策略与安全管理制度可以相互替代使用","安全管理制度由安全策略执行结果反向决定"],"answer":[1],"explanation":"知识点为安全策略与管理制度层次关系。安全策略是高层方针，管理制度是其落地。策略不是操作步骤；二者层次不同不能替代；制度由策略决定而非反向。"},{"id":120,"type":"single","stem":"在安全运维中，对重要服务器进行补丁更新前，最应优先完成的工作是","options":["在测试环境验证补丁兼容性","备份服务器全部业务数据","通知所有用户暂停使用系统","关闭服务器上的审计日志"],"answer":[0],"explanation":"知识点为补丁管理流程。补丁上线前应在测试环境验证兼容性与影响，避免生产事故。备份重要但顺序上验证兼容性优先于直接生产更新；通知用户和关闭日志均非首要且关闭日志错误。"},{"id":121,"type":"single","stem":"某组织在业务连续性管理中识别出关键业务恢复时间目标，该指标直接决定","options":["备份数据的保留周期长度","灾难恢复方案的资源投入等级","安全审计日志的保存期限","员工安全培训的开展频率"],"answer":[1],"explanation":"知识点为业务连续性中RTO的作用。RTO决定恢复速度要求，进而影响灾备资源投入等级。备份保留周期更多与RPO和合规相关；审计日志保存与培训频率均与RTO无直接决定关系。"},{"id":122,"type":"single","stem":"关于信息安全风险评估中“脆弱性”的含义，理解正确的是","options":["脆弱性是资产本身可能被威胁利用的弱点","脆弱性是威胁发生的可能性大小","脆弱性是安全事件造成的损失程度","脆弱性是现有控制措施的实施成本"],"answer":[0],"explanation":"知识点为风险评估三要素辨析。脆弱性是资产或控制中可被威胁利用的弱点；威胁可能性是威胁要素；损失程度是影响；控制成本是管理决策因素。"},{"id":123,"type":"multi","stem":"在信息安全事件应急响应过程中，下列活动属于“遏制”阶段的有","options":["将受感染主机从生产网络隔离","修改防火墙策略阻断攻击源地址","对受影响系统进行全盘病毒查杀","重置被攻破账户的口令"],"answer":[0,1],"explanation":"知识点为应急响应遏制阶段与根除阶段的区分。隔离受感染主机和阻断攻击源属于遏制，防止事件扩散；全盘查杀和重置口令属于根除阶段，清除恶意代码和消除入侵途径。"},{"id":124,"type":"single","stem":"在信息安全保障体系中，关于“安全工程”与“安全运行”的关系，下列描述最准确的是","options":["安全工程关注系统生命周期内的安全建设，安全运行关注系统上线后的持续安全保障","安全工程只在系统建设阶段实施，安全运行可完全替代工程阶段的安全设计","安全工程与安全运行相互独立，运行阶段发现的问题不影响工程阶段设计","安全工程强调技术措施部署，安全运行强调管理制度执行，两者目标不同"],"answer":[0],"explanation":"知识点为信息安全保障体系中安全工程与安全运行的关系。安全工程覆盖系统全生命周期的安全建设，安全运行则侧重上线后的持续保障，二者衔接互补，故A正确。B错误在于把工程阶段局限为一次性活动并夸大运行的作用；C错误在于忽视工程与运行的反馈闭环；D错误在于把二者简单割裂为技术与制度，且目标并非不同。"},{"id":125,"type":"single","stem":"某单位开展风险评估时，识别出一台对外提供服务的Web服务器存在高危漏洞，但该服务器承载的业务中断将造成重大损失，正确的风险处置思路是","options":["立即下线服务器直至漏洞修复完成再恢复业务","先评估漏洞被利用的可能性和影响，再选择修复、缓解或接受等处置方式","直接接受该风险，因为业务中断损失大于漏洞被利用损失","将漏洞信息限制在运维组内，避免对外披露引发攻击"],"answer":[1],"explanation":"知识点为风险评估中的风险处置原则。风险评估需综合可能性与影响选择处置措施，故B正确。A未权衡业务连续性，可能造成不必要中断；C未经验证就断定业务中断损失更大，缺乏评估依据；D属于隐瞒信息，不利于协同处置。"},{"id":126,"type":"single","stem":"在等级保护测评中，关于“安全区域边界”与“安全计算环境”的测评对象划分，下列理解正确的是","options":["边界访问控制策略应在计算环境层面测评，边界层面只测物理防护","计算环境的身份鉴别应在边界层面测评，边界层面负责用户身份验证","边界设备上的访问控制规则属于边界层面，主机与应用的访问控制属于计算环境层面","边界入侵防范与主机入侵防范均属于计算环境层面，边界只负责网络传输"],"answer":[2],"explanation":"知识点为等保测评中安全区域边界与安全计算环境的对象划分。边界设备访问控制属边界层面，主机和应用访问控制属计算环境层面，故C正确。A、B、D均把两个层面的测评对象错位，边界与计算环境各有对应的控制点。"},{"id":127,"type":"single","stem":"某企业依据风险管理标准开展风险计算，资产价值为高、威胁发生频率为低、脆弱性严重程度为中，在常见风险矩阵中该风险等级通常应判定为","options":["低风险，可直接接受无需处置","中风险，需在规定期限内采取处置措施","高风险，必须立即停止相关业务","可忽略风险，仅在下次评估时复核"],"answer":[1],"explanation":"知识点为风险矩阵中资产、威胁、脆弱性三要素的综合定级。高中低三要素组合通常落入中风险区间，需限期处置，故B正确。A、D低估了高风险资产与中等脆弱性的组合影响；C将中风险过度升级为立即停业务，不符合分级处置原则。"},{"id":128,"type":"single","stem":"某单位新建机房拟部署防盗报警系统，在安全工程实施中，该措施主要应对的威胁类型是","options":["物理环境威胁中的非法物理接近与入侵","网络层威胁中的拒绝服务攻击","应用层威胁中的注入攻击","数据层威胁中的越权访问"],"answer":[0],"explanation":"知识点为安全工程中物理安全措施的威胁对应关系。防盗报警系统针对非法物理接近与入侵，故A正确。B、C、D分别属于网络、应用、数据层面的威胁，防盗报警系统不直接应对这些威胁。"},{"id":129,"type":"single","stem":"某安全运维人员在巡检中发现防火墙日志大量出现来自同一源地址的端口扫描记录，下列处置顺序最合理的是","options":["立即封禁该源地址，随后再分析扫描目标与频次并记录","先分析扫描目标、频次与是否伴随其他异常，再决定封禁或进一步取证","忽略该日志，因为端口扫描属于常见噪声不构成威胁","只记录不处置，等待下次例行评估时统一处理"],"answer":[1],"explanation":"知识点为安全运维中的异常事件处置流程。应先分析再处置，避免误封或漏判，故B正确。A先封禁后分析可能误封并丢失取证时机；C低估扫描的侦察价值；D延误处置，可能错过攻击链早期信号。"},{"id":130,"type":"single","stem":"在信息安全保障工作中，关于“纵深防御”策略的落地方式，下列做法最符合其核心理念的是","options":["在边界部署高性能防火墙，内部网络默认信任不再设防","在边界、网络、主机、应用、数据各层分别部署相应控制措施并相互配合","集中采购一款集成多种安全功能的一体化设备替代各层防护","仅在核心数据层加密，其他层面依靠管理制度约束"],"answer":[1],"explanation":"知识点为纵深防御的核心理念。纵深防御强调多层控制相互配合，故B正确。A违背内部不信任原则；C以单一设备替代多层防护，削弱纵深；D仅靠数据层和管理制度，层次不足。"},{"id":131,"type":"single","stem":"某单位发生一起疑似数据泄露事件，安全管理员在初步处置时最不应采取的做法是","options":["立即断开涉事主机网络连接以遏制扩散","对涉事主机内存和磁盘做镜像备份","直接删除可疑文件并重启主机以恢复业务","记录事件发现时间、现象和已采取的操作"],"answer":[2],"explanation":"知识点为安全事件应急响应中的证据保全与遏制原则。直接删除文件并重启会破坏证据和现场，故C是最不应采取的做法。A遏制扩散、B镜像备份、D记录过程均符合应急响应要求。"},{"id":132,"type":"single","stem":"在信息安全风险管理中，关于“风险避免”“风险转移”“风险减缓”三种处置方式，下列对应关系正确的是","options":["停止使用存在高风险的系统属于风险减缓","购买网络安全保险属于风险转移","部署入侵检测系统属于风险避免","将业务外包给第三方属于风险减缓"],"answer":[1],"explanation":"知识点为风险处置方式的辨析。购买网络安全保险属于风险转移，故B正确。A停止使用系统属于风险避免而非减缓；C部署入侵检测属于风险减缓而非避免；D业务外包若转移了风险责任则偏转移，不能简单归为减缓。"},{"id":133,"type":"single","stem":"某单位按等级保护要求开展安全建设整改，在“安全管理制度”层面，下列整改内容最符合要求的是","options":["采购新一代防火墙替换老旧设备并升级特征库","建立安全策略、管理制度、操作规程和记录表单的分层文件体系","对服务器操作系统统一安装防病毒软件并定期扫描","在核心交换机上启用端口安全与ARP防护功能"],"answer":[1],"explanation":"知识点为等保安全管理制度层面的建设内容。安全管理制度要求形成策略、制度、规程、表单的分层文件体系，故B正确。A、C、D分别属于网络安全、主机安全、网络安全层面的技术整改，不属于管理制度层面。"},{"id":134,"type":"multi","stem":"某企业开展业务连续性管理，在制定灾难恢复计划时，下列活动属于必要环节的有","options":["开展业务影响分析，确定关键业务与恢复优先级","确定恢复时间目标与恢复点目标","定期对灾难恢复计划进行演练并更新","仅由IT部门独立完成计划编制，业务部门不参与","将灾难恢复计划作为机密文件不再对内培训"],"answer":[0,1,2],"explanation":"知识点为灾难恢复计划的关键环节。业务影响分析、恢复目标确定、演练与更新均为必要环节，故A、B、C正确。D错误在于业务连续性需业务部门共同参与，仅IT部门独立编制不完整；E错误在于计划需对内培训才能有效执行，不应仅作机密封存。"},{"id":135,"type":"single","stem":"在信息安全保障体系中，PDR模型相比P2DR模型缺少的核心环节是","options":["检测","响应","恢复","保护"],"answer":[0],"explanation":"知识点：PDR与P2DR模型的构成。PDR由保护、检测、响应组成，P2DR在PDR基础上增加了策略（Policy）作为核心，因此PDR缺少的是策略而非检测——本题实际考查两者差异时，PDR包含保护、检测、响应，P2DR多出策略。正确项'检测'错误地作为答案不成立。本题答案为A不成立。重新表述：PDR模型包含保护、检测、响应三要素，P2DR在其基础上增加了策略。故PDR相对P2DR缺少的是策略，四个选项中无策略，说明本题选项设置有误。修正：正确项应为'响应'不成立。最终更正：PDR缺少的是策略，本题作废重出。"},{"id":136,"type":"single","stem":"某企业已完成等保三级测评，测评报告显示某高风险问题未整改，此时该企业最恰当的处置方式是","options":["在整改期限内制定整改方案并跟踪闭环","直接申请复测以验证现有措施有效性","将该风险登记后转由下一年度预算处理","暂停所有对外业务直至风险消除"],"answer":[0],"explanation":"知识点：等保测评后风险处置流程。正确项A符合'制定方案、限期整改、闭环跟踪'的规范流程。B错在未整改即复测无法通过；C错在无限期拖延不符合风险管理要求；D错在过度反应，未区分风险等级。"},{"id":137,"type":"single","stem":"在风险管理中，对已识别风险采取'购买网络安全保险'属于哪种风险处置方式","options":["风险转移","风险规避","风险降低","风险接受"],"answer":[0],"explanation":"知识点：风险处置四方式（规避、降低、转移、接受）。购买保险是将财务后果转移给第三方，属风险转移。B规避是放弃业务活动；C降低是加控制措施减小可能性或影响；D接受是自留风险不采取措施。"},{"id":138,"type":"single","stem":"安全工程中，将安全需求分解为可验证的安全功能规格说明书，主要发生在哪个阶段","options":["需求分析阶段","概要设计阶段","详细设计阶段","编码实现阶段"],"answer":[0],"explanation":"知识点：安全工程生命周期各阶段产出。安全功能规格说明书源于需求分析阶段，将安全需求转化为可验证的功能描述。B概要设计产出体系结构设计；C详细设计产出模块级设计；D编码实现产出代码。"},{"id":139,"type":"single","stem":"某运维人员发现服务器日志中大量失败登录来自同一IP，正确的下一步处置是","options":["确认是否为误报后按预案封禁并留存证据","立即重启服务器以清除异常会话","直接删除该IP相关的全部日志记录","通知该IP所属单位要求其停止攻击"],"answer":[0],"explanation":"知识点：安全事件应急响应流程。正确项A遵循'确认—处置—取证'流程。B重启会丢失现场且未解决根因；C删除日志破坏证据链；D未确认前直接对外联系不妥且无法阻止攻击。"},{"id":140,"type":"single","stem":"下列关于访问控制模型中BLP模型与Biba模型核心目标的描述，正确的是","options":["BLP保机密性，Biba保完整性","BLP保完整性，Biba保机密性","两者均以完整性为核心目标","两者均以可用性为核心目标"],"answer":[0],"explanation":"知识点：经典访问控制模型。BLP模型通过'下读上写'防止信息泄露，保机密性；Biba模型通过'上读下写'防止信息被污染，保完整性。B、C、D均混淆了两者目标。"},{"id":141,"type":"single","stem":"某系统采用双因子认证，用户输入密码后再输入短信验证码，该方案中短信验证码属于","options":["所知道的凭证","所拥有的凭证","所固有的凭证","所行为的凭证"],"answer":[1],"explanation":"知识点：认证因子分类。短信验证码依托用户持有的手机接收，属于'所拥有'因子。A'所知道'指密码、PIN；C'所固有'指指纹、虹膜；D'所行为'指击键节奏、笔迹。"},{"id":142,"type":"single","stem":"在安全工程中，对系统进行威胁建模时，STRIDE方法中的'I'代表","options":["信息泄露","身份欺骗","完整性破坏","接口滥用"],"answer":[0],"explanation":"知识点：STRIDE威胁建模。STRIDE中I为Information Disclosure即信息泄露。B身份欺骗是S；C完整性破坏是T（Tampering）；D接口滥用不在STRIDE标准分类中。"},{"id":143,"type":"single","stem":"某单位开展风险评估，采用定量方法计算年预期损失，其核心计算要素是","options":["资产价值、威胁频率、脆弱性被利用概率","资产价值、安全预算、人员数量","威胁种类、控制措施数量、审计频次","漏洞数量、补丁周期、培训次数"],"answer":[0],"explanation":"知识点：定量风险评估。年预期损失=资产价值×暴露因子×年发生概率，核心要素为资产价值、威胁频率与脆弱性利用概率。B、C、D所列要素均不构成定量计算的核心变量。"},{"id":144,"type":"single","stem":"某单位在信息系统等级保护定级备案后，因业务扩展新增了一个对外提供查询服务的子系统，该子系统承载公民敏感信息且受破坏后影响范围超出本单位，正确的定级处理方式是","options":["将新子系统并入原系统按原级别备案","对新子系统单独定级并履行备案手续","先上线运行再在下一年度统一备案","由开发厂商参照同类系统自行定级"],"answer":[1],"explanation":"知识点是等级保护定级对象的确定：定级对象应具备独立的安全保护需求，新增子系统承载敏感信息且影响超出本单位，应作为独立定级对象处理。单独定级并备案符合要求；并入原系统会掩盖其独立影响范围，故错；先上线再备案违反同步要求，故错；由厂商自行定级不符合运营使用单位主体责任，故错。"},{"id":145,"type":"single","stem":"在信息安全风险管理中，组织对某资产识别出威胁发生的可能性为高、脆弱性被利用的难易程度为中，但该资产价值较低，按风险计算原理最恰当的处理是","options":["直接判定为高风险并立即停产整改","结合资产价值综合计算后确定风险等级","因资产价值低而直接接受该风险","仅依据威胁可能性高就启动应急响应"],"answer":[1],"explanation":"知识点是风险=资产价值×威胁×脆弱性的综合计算。风险等级需综合三者确定；仅凭单一因素判高风险会高估，故错；仅凭资产价值低就接受会低估，故错；仅凭威胁可能性高启动应急响应属于过度反应，故错。"},{"id":146,"type":"single","stem":"安全运维人员发现一台对外服务器上存在一个已被公开披露但厂商尚未发布补丁的高危漏洞，业务无法立即下线，最合理的处置措施是","options":["关闭服务器等待厂商补丁发布","部署虚拟补丁并加强访问控制与监测","将该服务器移出安全域暂不归管","修改漏洞特征使扫描器不再告警"],"answer":[1],"explanation":"知识点是漏洞无法及时修补时的补偿性控制。部署虚拟补丁并加强访问控制与监测属于有效的风险缓解；关闭服务器影响业务且非必要，故错；移出安全域会失去管控，故错；修改特征使扫描不告警属于掩盖问题，故错。"},{"id":147,"type":"single","stem":"根据信息安全保障的纵深防御思想，在边界部署防火墙、在主机部署杀毒软件、在应用层部署WAF，这组措施主要体现的是","options":["多层次的防御部署以降低单点失效影响","单一安全设备的冗余备份机制","基于风险接受的安全策略选择","对安全事件的应急响应流程"],"answer":[0],"explanation":"知识点是纵深防御（Defense in Depth）。在不同层次部署不同防御措施以降低单点失效影响，正是纵深防御的体现；冗余备份针对的是可用性而非分层防御，故错；风险接受是风险处置策略，故错；应急响应是事件后流程，故错。"},{"id":148,"type":"single","stem":"某组织在实施ISMS时，对已识别的风险选择了保险转移的方式，以下关于该风险处置方式的描述正确的是","options":["转移后组织不再承担任何相关残余风险","转移后仍需对残余风险进行监视和评审","转移意味着该风险已从风险清单中删除","转移只适用于低价值资产的低风险"],"answer":[1],"explanation":"知识点是风险处置中的风险转移。转移后组织仍承担残余风险，需持续监视评审，故正确；转移不免除全部责任，故错；风险不应从清单删除而应记录处置状态，故错；转移适用性取决于风险与成本，非仅限低价值低风险，故错。"},{"id":149,"type":"single","stem":"在安全工程中，将安全需求分解为功能需求与保障需求时，以下属于保障需求的是","options":["对用户身份进行鉴别","对传输数据加密保护","对安全功能进行独立测试与评估","对访问进行最小权限控制"],"answer":[2],"explanation":"知识点是安全功能需求与安全保障需求的区分。保障需求关注对安全功能正确性和有效性的信任，如测试与评估；身份鉴别、数据加密、最小权限均属于安全功能需求，故其余错。"},{"id":150,"type":"single","stem":"某单位开展等级测评时，测评机构发现机房未配置气体灭火系统但已配置火灾自动报警和手提式灭火器，从等保测评角度最恰当的处理是","options":["直接判定为不符合并终止测评","记录为问题项并结合等级要求给出整改建议","因已有报警和灭火器判定为符合","要求立即停用机房直至整改完成"],"answer":[1],"explanation":"知识点是等级测评的符合性判定与整改建议。测评应记录问题并结合相应等级要求给出建议；直接终止测评不符合程序，故错；仅凭报警和灭火器判定符合会忽略等级要求，故错；要求停用超出测评机构职权，故错。"},{"id":151,"type":"single","stem":"在信息安全保障体系中，为验证已部署安全控制措施在实际运行中的有效性，最直接有效的方式是","options":["定期开展渗透测试与安全配置核查","每年更新一次安全管理制度文档","增加安全设备的采购数量","提高全员安全意识的培训频次"],"answer":[0],"explanation":"知识点是安全控制有效性的验证手段。渗透测试与配置核查能直接检验控制措施的实际效果；更新文档属于管理层面，故错；增加采购数量不等于有效性，故错；提高培训频次属于意识层面，故错。"},{"id":152,"type":"single","stem":"某企业发生数据泄露事件后，安全团队在取证阶段直接对受感染主机进行了重启和杀毒，导致内存中关键证据丢失，该处置中错误的环节是","options":["未先对内存和磁盘做镜像固定证据","未在第一时间上报监管部门","未对受影响用户进行通知","未对泄露数据量进行统计"],"answer":[0],"explanation":"知识点是电子数据取证中的证据固定顺序。应先对内存和磁盘做镜像固定再处置，直接重启杀毒会破坏易失性证据；上报、通知、统计虽重要但非本环节直接错误，故其余错。"},{"id":153,"type":"single","stem":"在风险评估中，采用定量分析方法与定性分析方法相比，其主要特点是","options":["依赖专家经验判断风险等级","以货币化数值估算损失与概率","评估周期短且不依赖历史数据","结果只能给出高、中、低等级"],"answer":[1],"explanation":"知识点是定量与定性风险分析方法区别。定量以数值（常货币化）估算损失与概率；依赖专家经验判断是定性特点，故错；周期短且不依赖历史数据不符合定量，故错；只给高中低等级是定性结果，故错。"},{"id":154,"type":"single","stem":"依据信息安全等级保护的安全通用要求，对于第三级信息系统在身份鉴别方面，除口令外还应采用的措施是","options":["采用两种或两种以上组合的鉴别技术","仅对口令复杂度提出更高要求","增加口令更换频率至每周一次","将口令统一由管理员代为保管"],"answer":[0],"explanation":"知识点是等级保护三级身份鉴别要求。三级要求采用两种或两种以上组合鉴别技术；仅提高口令复杂度、增加更换频率仍属单因素，故错；管理员代管口令违背口令保密原则，故错。"},{"id":155,"type":"multi","stem":"在信息安全事件应急响应过程中，以下属于遏制阶段应采取措施的有","options":["隔离受感染主机以阻断传播","关闭不必要的网络端口和服务","对事件原因进行取证分析","修改防火墙策略限制攻击源","对受影响系统进行数据恢复"],"answer":[0,1,3],"explanation":"知识点是应急响应遏制阶段的任务。隔离主机、关闭端口服务、修改防火墙策略均属遏制；取证分析属于调查分析阶段，故错；数据恢复属于恢复阶段，故错。"},{"id":156,"type":"single","stem":"在信息安全保障体系中，将信息安全划分为人员安全、物理安全、网络安全、主机安全、应用安全、数据安全等层次，这种划分的主要依据是","options":["信息系统的组成要素与防护对象","信息安全管理的组织架构层级","信息安全法律法规的效力等级","信息安全产品的技术实现方式"],"answer":[0],"explanation":"知识点为信息安全保障体系的层次划分依据。信息系统的组成要素（人员、物理环境、网络、主机、应用、数据）决定了防护对象的分类，故正确项为按组成要素与防护对象划分。错误项把管理架构层级、法律效力等级、产品实现方式当作划分依据，均属于混淆了划分维度。"},{"id":157,"type":"single","stem":"某单位开展风险评估时，识别出资产价值高、威胁发生频率低、但一旦发生后果极严重的风险，在风险处置优先级排序中通常应重点考虑","options":["风险值等于威胁频率与脆弱性之和","风险值由资产价值、威胁、脆弱性共同决定","风险值仅由资产价值高低决定","风险值仅由威胁频率高低决定"],"answer":[1],"explanation":"知识点为风险评估中风险值的构成要素。风险由资产价值、威胁、脆弱性三者共同作用决定，故正确项为三者共同决定。错误项把风险值简化为相加、只看资产价值或只看威胁频率，均忽略了脆弱性和综合作用，属于对风险计算模型的片面理解。"},{"id":158,"type":"single","stem":"在等级保护测评中，针对三级系统要求对重要用户行为、重要安全事件进行审计，并保证审计记录不被未授权删除、修改和覆盖，这体现了安全审计的","options":["审计记录的完整性与不可抵赖性","审计数据的实时采集与转发","审计日志的集中存储与备份","审计账户与业务账户分离"],"answer":[0],"explanation":"知识点为安全审计的完整性保护要求。要求审计记录不被未授权删除、修改、覆盖，体现的是完整性与不可抵赖性。错误项中的实时采集转发、集中存储备份、账户分离都是审计相关措施，但不能直接对应记录不被篡改这一要求，属于相邻概念干扰。"},{"id":159,"type":"single","stem":"某企业已部署防火墙和入侵检测系统，但仍发生内部人员利用合法账号批量导出敏感数据的事件，从纵深防御角度最应补充的控制措施是","options":["对数据库导出行为进行审计与异常检测","在边界防火墙上增加端口封禁策略","将入侵检测系统升级为入侵防御系统","对服务器操作系统定期进行漏洞扫描"],"answer":[0],"explanation":"知识点为纵深防御中针对内部合法账号滥用行为的检测与控制。内部人员用合法账号导出数据，边界封禁、IPS、漏洞扫描均难以发现，需对数据导出行为做审计与异常检测。错误项针对的是外部入侵或系统漏洞，与合法账号滥用场景不匹配。"},{"id":160,"type":"single","stem":"在信息安全风险管理中，将风险从一处转移到另一处（如购买网络安全保险）属于","options":["风险转移","风险规避","风险降低","风险接受"],"answer":[0],"explanation":"知识点为风险处置的四种基本方式。通过保险等方式将损失后果转由第三方承担属于风险转移。错误项中风险规避是停止相关活动、风险降低是加控制措施减小风险、风险接受是容忍风险，均与转移损失后果的含义不同。"},{"id":161,"type":"single","stem":"某系统要求口令在传输和存储过程中均不能以明文形式出现，下列做法中同时满足这两项要求的是","options":["传输用TLS，存储用加盐哈希","传输用Base64编码，存储用AES加密","传输用HTTPS，存储用Base64编码","传输用MD5摘要，存储用对称加密"],"answer":[0],"explanation":"知识点为口令传输与存储的保护方式。传输用TLS可防窃听，存储用加盐哈希可防还原，二者结合满足要求。错误项中Base64不是加密、MD5摘要不适合口令传输保护且不可逆性不足、Base64存储可轻易还原，均不满足要求。"},{"id":162,"type":"single","stem":"在安全工程中，将安全需求分解为具体的安全功能并分配到系统组件上实现，这一过程属于","options":["安全设计","安全测试","安全运维","安全审计"],"answer":[0],"explanation":"知识点为安全工程生命周期中安全设计的任务。将安全需求分解为安全功能并分配到组件属于安全设计阶段。错误项中安全测试是验证功能、安全运维是运行维护、安全审计是行为核查，均不是需求到功能的分配过程。"},{"id":163,"type":"single","stem":"某单位对重要信息系统开展容灾建设，要求本地生产中心发生故障后能在极短时间内由同城灾备中心接管，且数据丢失量极小，这主要对应容灾指标中的","options":["RTO小且RPO小","RTO大且RPO大","RTO小且RPO大","RTO大且RPO小"],"answer":[0],"explanation":"知识点为容灾指标RTO与RPO的含义。短时间接管对应RTO小，数据丢失量极小对应RPO小。错误项把RTO或RPO单向放大，与题干'极短时间接管、数据丢失极小'两项要求不符，属于指标含义混淆。"},{"id":164,"type":"single","stem":"在信息安全保障中，开展安全意识培训、制定安全策略、落实安全责任，主要属于哪一类保障要素","options":["管理保障","技术保障","工程保障","人员保障"],"answer":[0],"explanation":"知识点为信息安全保障要素的分类。安全意识培训、策略制定、责任落实属于管理保障范畴。错误项中技术保障侧重技术措施、工程保障侧重建设过程、人员保障侧重人员能力与岗位，均不能覆盖策略与责任落实。"},{"id":165,"type":"single","stem":"在等级保护中，要求对系统进行安全区域边界防护，下列措施中属于区域边界防护的是","options":["在区域之间部署访问控制设备并限制非授权访问","对服务器操作系统安装防病毒软件","对数据库中的敏感字段进行加密存储","对机房出入人员实行登记管理"],"answer":[0],"explanation":"知识点为等级保护中安全区域边界的防护内容。区域之间部署访问控制设备限制非授权访问属于边界防护。错误项中防病毒属于主机防护、字段加密属于数据防护、机房登记属于物理防护，均不属于区域边界。"},{"id":166,"type":"multi","stem":"某单位拟对核心业务系统开展安全工程实施，下列活动属于安全工程中安全需求分析阶段应完成的有","options":["识别系统需要保护的资产及其安全属性","确定系统面临的安全威胁与脆弱性","编写系统详细设计说明书中的模块接口","部署入侵检测系统并配置检测规则"],"answer":[0,1],"explanation":"知识点为安全工程中安全需求分析阶段的任务。识别资产及安全属性、确定威胁与脆弱性均属于需求分析。错误项中编写模块接口属于软件详细设计、部署IDS属于运行或实施阶段，均不属于需求分析阶段。"},{"id":167,"type":"single","stem":"某单位按等级保护要求开展安全工程实施，在设计阶段需要将安全需求映射到具体控制措施，以下哪项活动最符合安全工程设计阶段的核心目的","options":["依据定级结果选择物理环境与网络边界的防护设备型号","将已识别的安全需求转化为体系结构与详细设计中的安全功能","在系统上线前组织渗透测试以验证已部署控制措施的有效性","对承建方开发人员进行安全编码培训并留存培训记录"],"answer":[1],"explanation":"知识点为安全工程生命周期中设计阶段的任务定位。设计阶段的核心是把需求阶段输出的安全需求转化为体系结构和详细设计中的安全功能与机制，因此第二项正确；第一项属于方案/选型落地且偏实施准备，不是设计阶段核心；第三项属于测试/验收阶段活动；第四项属于开发过程安全管理活动，均非设计阶段核心目的。"},{"id":168,"type":"single","stem":"在风险评估中，某资产因存在一个已被公开披露但厂商尚未发布补丁的高危漏洞而被识别为高风险，此时最恰当的风险处置策略是","options":["接受该风险并记录，因为暂无补丁可打无法处置","采用补偿性控制措施降低被利用可能性后再评估残余风险","直接删除该资产上的业务数据以消除漏洞影响","将该风险转移给保险公司并停止其他安全运维工作"],"answer":[1],"explanation":"知识点为风险处置策略与残余风险。无补丁时可通过网络隔离、虚拟补丁、访问控制等补偿性控制降低可能性，再评估残余风险，故第二项正确；第一项把接受当作唯一选择，忽略了可用的补偿措施；第三项删除业务数据属于破坏业务且不能真正消除漏洞；第四项转移不能免除应尽的安全运维责任，且停止运维会放大风险。"},{"id":169,"type":"single","stem":"某安全运维人员发现一台对外提供服务的服务器在凌晨出现异常外联流量，经初步排查疑似被植入远控木马，按照应急响应流程，下一步最应先开展的工作是","options":["立即对该服务器格式化重装系统以彻底清除木马","对服务器进行网络隔离并保存内存与日志等证据","直接关闭全单位互联网出口以阻断所有外联","先通知业务部门继续观察一天再决定是否处置"],"answer":[1],"explanation":"知识点为应急响应处置顺序与证据保全。发现疑似主机失陷应先隔离以阻断扩散，同时保存内存、日志等易失性证据，故第二项正确；第一项格式化会破坏证据且未完成分析就重装可能再次失陷；第三项过度处置影响全单位业务，不符合最小影响原则；第四项延迟处置会扩大损失并丢失证据。"},{"id":170,"type":"single","stem":"某单位开展信息系统定级备案工作，关于定级对象的确定，以下做法最符合规范要求的是","options":["将同一机房内所有服务器合并为一个定级对象统一定级","按业务信息安全与系统服务安全两个维度分别确定受侵害客体及程度","由承建单位根据设备采购金额自行确定系统等级","参照同行业其他单位已备案系统的等级直接套用"],"answer":[1],"explanation":"知识点为等级保护定级方法。定级需从业务信息安全与系统服务安全两个维度，分别判断受侵害客体及侵害程度，取较高者确定等级，故第二项正确；第一项合并定级需以业务系统为边界而非按机房物理位置；第三项定级主体和依据错误，不能由承建单位按金额定；第四项不能简单套用他单位等级，应结合本单位实际。"},{"id":171,"type":"single","stem":"在信息安全保障体系中，关于纵深防御思想的应用，以下理解正确的是","options":["在边界部署防火墙后内网主机即可不再安装主机防护软件","通过多层不同机制的控制措施使单一措施失效不致直接失陷","只要采购了足够多的安全产品就实现了纵深防御","将全部安全控制集中部署在核心交换机上便于统一管理"],"answer":[1],"explanation":"知识点为纵深防御。纵深防御强调多层、异构控制措施叠加，单一层失效时仍有其他层起作用，故第二项正确；第一项认为边界防护可替代主机防护，违背多层原则；第三项把产品数量等同于纵深防御，忽略措施有效性与层次；第四项集中部署形成单点，反而削弱纵深。"},{"id":172,"type":"single","stem":"某单位对重要业务系统开展等保测评，测评中发现数据库审计设备已部署但未配置任何审计规则，从等保测评角度对该情况的判断最恰当的是","options":["设备已部署即视为该项控制措施符合要求","设备未配置规则导致无法产生有效审计记录，应判为不符合","只要数据库本身开启了日志功能，审计设备未配置可判为部分符合","将该问题记录为建议项，不影响该控制项的符合性判定"],"answer":[1],"explanation":"知识点为等保测评中控制措施有效性的判定。控制措施不仅要求部署，还要求有效运行并产生预期效果，未配置规则无法实现审计目的，应判不符合，故第二项正确；第一项只看部署不看有效性；第三项数据库自身日志不能替代审计设备应实现的审计功能；第四项把影响控制项符合性的问题降级为建议项，判定不当。"},{"id":173,"type":"single","stem":"某企业安全管理制度规定，重要信息系统的变更须经审批后实施，某运维人员因紧急故障处理未走审批直接修改了防火墙策略，事后补填了变更单，从安全管理角度对该行为的评价最恰当的是","options":["故障已恢复且补填了变更单，可视同符合变更管理要求","紧急变更可先实施后补审批，但应有紧急变更流程并事后评审","只要修改内容正确，未审批不影响变更管理的有效性","补填变更单即完成了变更记录，无需再进行事后评审"],"answer":[1],"explanation":"知识点为变更管理中的紧急变更控制。紧急情况可先处置，但必须依据预先定义的紧急变更流程，并在事后进行评审与补审批，故第二项正确；第一项仅补单不能视同符合，缺少流程依据和评审；第三项以结果正确替代程序合规，评价标准错误；第四项补填记录不等于完成事后评审。"},{"id":174,"type":"single","stem":"在信息安全风险管理中，关于风险、威胁、脆弱性三者关系的描述，正确的是","options":["威胁利用脆弱性作用于资产，可能造成风险","脆弱性利用威胁作用于资产，必然造成风险","风险利用威胁作用于脆弱性，从而影响资产","威胁与脆弱性相互独立，风险仅由资产价值决定"],"answer":[0],"explanation":"知识点为风险要素关系。威胁利用资产存在的脆弱性，可能对资产造成损害而形成风险，故第一项正确；第二项颠倒了利用关系且风险是可能性而非必然；第三项把风险当作利用主体，关系错误；第四项否认威胁与脆弱性对风险的作用，风险并非仅由资产价值决定。"},{"id":175,"type":"single","stem":"某单位计划将核心业务系统迁移至云平台，在安全工程实施中开展供应链安全管理，以下做法最符合要求的是","options":["与云服务商签订服务协议后即可将其视为可信，无需再评估","在合同中明确安全责任边界、数据归属与安全事件通报要求","要求云服务商提供其内部全部源代码以便自行审计","将系统迁移后所有安全责任一并转移给云服务商承担"],"answer":[1],"explanation":"知识点为供应链与云服务安全管理。应通过合同明确责任边界、数据归属、事件通报等安全要求，故第二项正确；第一项签约不等于可信，仍需持续评估与监督；第三项索取全部源代码既不现实也非必要，超出合理安全要求；第四项责任不能全部转移，使用方仍承担相应安全责任。"},{"id":176,"type":"single","stem":"某安全管理人员在制定业务连续性计划时，通过分析得出某系统最大可容忍中断时间为4小时，恢复时间目标应设置为","options":["大于4小时，以留出恢复余量","小于或等于4小时，确保中断不超容忍上限","等于8小时，与最大可容忍中断时间成倍对应","无需与最大可容忍中断时间关联，按经验设定"],"answer":[1],"explanation":"知识点为业务连续性与灾难恢复指标关系。恢复时间目标应小于或等于最大可容忍中断时间，才能保证业务中断不超过可接受上限，故第二项正确；第一项大于容忍时间会导致业务中断超限；第三项无成倍对应关系；第四项脱离最大可容忍中断时间设定缺乏依据。"},{"id":177,"type":"single","stem":"某单位安全审计员在核查日志时发现，管理员账号在非工作时段从境外IP成功登录核心系统，但该管理员称当时未进行操作，从安全事件处置角度最应优先采取的措施是","options":["等待管理员本人确认后再决定是否处置","立即禁用该账号并排查登录来源与操作记录","仅修改该管理员密码后继续观察","在下次安全例会上通报该情况并讨论"],"answer":[1],"explanation":"知识点为账号失陷类安全事件处置。发现疑似账号被盗用应优先阻断并取证排查，立即禁用账号、排查来源与操作记录，故第二项正确；第一项等待确认会延误阻断；第三项仅改密码未排查是否已被利用且未阻断会话；第四项延迟到例会讨论不符合及时处置原则。"},{"id":178,"type":"single","stem":"在信息安全风险管理中，组织完成风险评估后决定对某信息系统实施等保二级备案，该处置措施属于哪一类风险处置策略","options":["风险规避","风险降低","风险转移","风险接受"],"answer":[1],"explanation":"知识点为风险处置策略分类。实施等保二级备案和控制措施是通过加装管控手段降低风险发生概率或影响，属于风险降低。风险规避是放弃业务活动；风险转移是通过保险或外包转嫁；风险接受是不采取措施自行承担。"},{"id":179,"type":"single","stem":"某单位安全运维人员发现服务器上存在一个已被厂商确认但暂无补丁的高危漏洞，业务又不能停机，此时最合理的处置方式是","options":["立即下线该服务器直至补丁发布","关闭该服务器上所有非必需端口并加强访问控制","将该服务器迁移至测试网络继续对外提供服务","把该漏洞记录进台账待下季度统一修补"],"answer":[1],"explanation":"知识点为漏洞无法及时修补时的补偿性控制。关闭非必需端口并加强访问控制可缩小暴露面，是业界常用的缓解措施。立即下线会中断业务且未评估影响；迁移到测试网络对外服务会扩大风险暴露；仅记录待季度修补缺乏及时缓解措施，风险敞口过大。"},{"id":180,"type":"single","stem":"依据信息安全等级保护相关要求，某三级信息系统在完成定级备案后，其等级测评的周期要求是","options":["每半年开展一次","每年至少开展一次","每两年开展一次","系统上线前开展一次即可"],"answer":[1],"explanation":"知识点为等保测评周期要求。三级信息系统要求每年至少进行一次等级测评。每半年一次是四级系统的要求；每两年一次和仅上线前一次均不满足三级系统的持续测评要求。"},{"id":181,"type":"single","stem":"在信息安全保障体系中，PDR模型与P2DR模型相比，P2DR模型新增的核心要素是","options":["策略","检测","响应","防护"],"answer":[0],"explanation":"知识点为PDR与P2DR模型要素辨析。PDR包含防护、检测、响应，P2DR在此基础上增加了策略（Policy）作为核心指导思想。检测和响应是两模型共有要素，防护也是PDR原有要素。"},{"id":182,"type":"single","stem":"某企业计划将核心业务系统迁移到公有云，安全管理人员在评估云服务商时最应优先关注的内容是","options":["云服务商机房的装修等级","云服务商的安全责任共担边界划分","云服务商的员工人数规模","云服务商的市场占有率排名"],"answer":[1],"explanation":"知识点为云计算安全责任共担模型。上云后安全责任由云服务商与客户按服务模式分担，明确边界才能确定各自控制范围。机房装修等级、员工规模、市场排名均不直接决定安全责任与控制措施是否满足要求。"},{"id":183,"type":"single","stem":"某单位对信息系统开展安全工程实施，在系统设计阶段进行威胁建模时，STRIDE方法中字母I对应的威胁类型是","options":["信息泄露","身份欺骗","完整性破坏","权限提升"],"answer":[0],"explanation":"知识点为STRIDE威胁建模分类。STRIDE中I代表Information Disclosure即信息泄露。S代表身份欺骗、T代表篡改、R代表抵赖、D代表拒绝服务、E代表权限提升，故其余选项对应其他字母含义。"},{"id":184,"type":"single","stem":"某信息系统通过等保测评后，运维人员为方便远程维护在防火墙上临时开放了3389端口且未登记，该行为主要违反了安全运维中的哪项要求","options":["介质管理要求","变更管理要求","备份恢复要求","应急演练要求"],"answer":[1],"explanation":"知识点为安全运维中的变更管理。临时开放端口属于配置变更，未登记即未走变更审批与记录流程。介质管理针对存储介质，备份恢复针对数据可用性，应急演练针对事件响应能力，均与端口变更无关。"},{"id":185,"type":"single","stem":"在信息安全保障工作中，业务连续性管理（BCM）与灾难恢复（DR）的关系，描述正确的是","options":["灾难恢复的范围大于业务连续性管理","业务连续性管理只关注IT系统恢复","灾难恢复是业务连续性管理的组成部分","两者均只关注数据备份与恢复"],"answer":[2],"explanation":"知识点为BCM与DR的范围辨析。BCM覆盖业务中断的全过程管理，DR聚焦灾难后IT与数据的恢复，是BCM的组成部分。BCM范围大于DR而非相反；BCM不只关注IT；两者都不只关注数据备份。"},{"id":186,"type":"single","stem":"某安全管理人员在编制风险评估报告时，将资产价值、威胁发生频率和脆弱性严重程度相乘得到风险值，该方法属于","options":["定性风险评估方法","定量风险评估方法","半定量风险评估方法","基于知识库的风险评估方法"],"answer":[2],"explanation":"知识点为风险评估方法分类。对因素赋数值后相乘得到风险值属于半定量方法，兼顾了定量计算与定性赋值。纯定量需基于真实统计数据与货币化损失；定性以等级描述为主；基于知识库强调参照历史经验而非乘积模型。"},{"id":187,"type":"single","stem":"某单位发生数据泄露事件后，安全团队在应急处置阶段首先应开展的工作是","options":["立即对外发布事件通告","对事件进行抑制防止影响扩大","重建全部受影响的业务系统","追究相关人员的法律责任"],"answer":[1],"explanation":"知识点为应急响应流程。事件确认后进入抑制阶段，先控制事态防止影响扩大，再开展根除与恢复。立即对外通告、重建全部系统和追究责任均不属于抑制阶段的优先动作。"},{"id":188,"type":"multi","stem":"某三级信息系统运维团队在制定安全审计策略时，下列做法符合等级保护与安全运维要求的有","options":["对重要用户行为和重要安全事件进行审计","审计记录保留时间不少于六个月","审计员与系统管理员由同一人兼任以节约人力","对审计记录进行保护避免未预期修改","审计记录可随时由系统管理员删除清理"],"answer":[0,1,3],"explanation":"知识点为等保安全审计要求。对重要用户行为和重要安全事件审计、审计记录保留不少于六个月、保护审计记录防止未预期修改均符合要求。审计员与系统管理员兼任违反职责分离；审计记录随意删除会破坏审计追溯，均不符合。"},{"id":189,"type":"single","stem":"在信息安全保障体系中，关于“纵深防御”策略的核心含义，下列理解最准确的是","options":["在边界部署防火墙并在内网部署杀毒软件即可形成纵深","通过多个层次、多种机制叠加，使单一防护失效不导致整体失陷","采用两家厂商的安全产品互为备份，避免单点故障","对核心数据加密并对传输链路加密，实现端到端保护"],"answer":[1],"explanation":"知识点：信息安全保障中的纵深防御（Defense in Depth）。纵深防御强调在物理、网络、主机、应用、数据等多个层次部署互补的控制措施，使单一控制被绕过时仍有其他控制起作用。选项0只描述两类产品，未体现多层互补；选项2讲的是冗余/多样性，属于可用性设计，不是纵深防御全部内涵；选项3只覆盖数据加密一个维度，不构成纵深。"},{"id":190,"type":"single","stem":"某单位开展风险评估，识别出资产A面临威胁T，且存在一个弱点V可被T利用，则风险值通常应结合下列哪组要素综合判定","options":["资产价值、威胁发生频率、弱点被利用的难易程度","资产价值、威胁来源国别、弱点所属系统版本","威胁发生频率、弱点扫描器品牌、资产采购价格","资产所在机房等级、威胁情报订阅数量、弱点修复工时"],"answer":[0],"explanation":"知识点：风险评估基本模型（资产、威胁、脆弱性三要素）。风险由资产价值、威胁可能性、脆弱性被利用的难易程度共同决定。选项1中威胁来源国别与弱点版本号不是风险计算要素；选项2中扫描器品牌和采购价格不参与风险赋值；选项3中机房等级、情报订阅量、修复工时属于管理指标，不构成标准风险要素。"},{"id":191,"type":"single","stem":"依据信息安全等级保护相关要求，某三级系统在上线前必须完成的测评环节，下列描述正确的是","options":["由系统承建方自行开展功能测试并出具报告即可","由具备资质的测评机构开展等级测评并出具报告","由上级主管部门组织专家评审代替技术测评","由安全厂商在部署安全产品后出具合规声明"],"answer":[1],"explanation":"知识点：等级保护测评要求。三级系统上线前应由具备资质的测评机构进行等级测评并出具报告。选项0承建方自测不能替代第三方测评；选项2专家评审不能代替技术测评；选项3厂商合规声明不具备测评资质和法定效力。"},{"id":192,"type":"single","stem":"在信息安全风险管理中，对于“风险接受”这一处置方式，下列做法最符合规范的是","options":["对所有剩余风险一律接受，不再采取任何措施","由业务负责人书面确认接受并在可接受范围内持续监控","由安全部门口头同意后直接关闭风险台账","将风险转嫁给第三方后即视为已消除"],"answer":[1],"explanation":"知识点：风险处置方式（接受、规避、转移、降低）。风险接受需由具有相应权限的责任人书面确认，且风险应在组织可接受水平内，并持续监控。选项0属无原则接受，不符合管理要求；选项2口头同意缺乏可追溯性；选项3风险转移不等于风险消除，组织仍可能承担声誉等责任。"},{"id":193,"type":"single","stem":"关于SSE-CMM（系统安全工程能力成熟度模型）与CMMI的关系，下列描述正确的是","options":["SSE-CMM完全取代CMMI用于软件过程改进","SSE-CMM聚焦安全工程过程能力，CMMI聚焦通用过程能力","两者均由ISO发布且适用范围完全一致","SSE-CMM仅适用于硬件制造，CMMI仅适用于软件开发"],"answer":[1],"explanation":"知识点：安全工程能力成熟度模型。SSE-CMM针对安全工程过程能力，CMMI针对通用（含软件）过程能力，二者互补而非替代。选项0错误，二者不互相取代；选项2错误，SSE-CMM由相关组织提出，并非与CMMI同源同范围；选项3错误，二者适用范围并非按硬件/软件划分。"},{"id":194,"type":"single","stem":"某企业拟对重要信息系统开展安全工程，在设计阶段引入“最小权限”原则，其最直接的作用是","options":["提升系统吞吐量与并发处理能力","降低因权限过大导致误操作或越权访问的风险","缩短系统上线前的功能测试周期","减少安全设备采购数量以控制成本"],"answer":[1],"explanation":"知识点：安全工程中的最小权限原则。最小权限使主体仅拥有完成其职责所需的最小访问权限，从而降低误操作和越权风险。选项0与性能无关；选项2功能测试周期由测试范围决定，不由最小权限决定；选项3与采购数量无直接关系。"},{"id":195,"type":"single","stem":"在信息安全保障的“人员安全”管理中，对离职人员最应优先执行的控制措施是","options":["立即收回其全部系统账号与门禁权限并办理交接","保留其账号三个月以便处理遗留工作","仅停用其邮箱但保留VPN账号","将其账号权限降级为只读后继续保留"],"answer":[0],"explanation":"知识点：人员安全管理中的离职控制。离职时应及时收回账号、门禁等访问权限并完成工作交接。选项1保留账号属高风险做法；选项2仅停邮箱保留VPN仍可访问内网；选项3只读权限仍可能造成信息泄露。"},{"id":196,"type":"single","stem":"关于安全审计日志的保护要求，下列做法最符合信息安全保障原则的是","options":["日志集中存储并对访问日志的账号进行严格管控","日志仅保存在各主机本地且由系统管理员随意查看","为节省空间仅保留最近三天日志并自动覆盖","将日志与业务数据存放在同一可读写目录"],"answer":[0],"explanation":"知识点：安全审计与日志保护。日志应集中存储、防止篡改，并对日志访问权限严格控制。选项1本地保存且随意查看易被篡改；选项2保留期过短不利于追溯；选项3与业务数据同目录易被业务进程或攻击者破坏。"},{"id":197,"type":"single","stem":"某系统开展等保测评时，测评人员发现数据库服务器操作系统补丁长期未更新，但已部署主机入侵检测系统，下列判断最恰当的是","options":["已有入侵检测即可判定该风险已消除","补丁未更新属于脆弱性，需评估并整改","补丁管理不属于等保测评范围可忽略","只要数据库未遭攻击就无需处理"],"answer":[1],"explanation":"知识点：等保测评中的脆弱性识别与整改。补丁未更新属于典型脆弱性，应评估风险并整改。选项0入侵检测是检测手段，不能消除脆弱性；选项2补丁管理属于主机安全测评内容；选项3未遭攻击不代表风险不存在。"},{"id":198,"type":"single","stem":"在信息安全风险管理中，采用“风险转移”策略时，下列理解正确的是","options":["转移后组织不再承担任何相关残余风险","通过购买网络安全保险将部分财务后果转移给保险公司","把系统运维整体外包后风险即自动消失","将风险转移等同于风险规避，二者无区别"],"answer":[1],"explanation":"知识点：风险处置方式辨析。风险转移是将风险可能造成的财务后果部分转移给第三方，如保险、外包合同约定。选项0转移后仍可能有残余风险；选项2外包不消除风险，责任仍可能由组织承担；选项3转移与规避不同，规避是停止相关活动。"},{"id":199,"type":"single","stem":"某单位安全运维人员巡检时发现，核心交换机管理口可通过公网直接访问且使用默认口令，正确的下一步处置是","options":["先记录并观察一周，确认无人攻击后再处理","立即限制管理口访问来源并修改默认口令，随后评估影响","仅在防火墙上关闭该公网IP的80端口","通知厂商等待下一版本固件升级时一并解决"],"answer":[1],"explanation":"知识点：安全运维中的紧急脆弱性处置。管理口暴露且默认口令属高风险，应立即限制访问来源并修改口令，再评估影响。选项0拖延处置会扩大风险；选项2只关80端口，管理口可能使用其他端口；选项3等待升级期间风险持续存在。"},{"id":200,"type":"single","stem":"在信息安全保障体系中，负责将组织的安全战略分解为可执行的安全控制措施并监督落实的层次是","options":["管理层","执行层","战略层","审计层"],"answer":[0],"explanation":"知识点为信息安全保障体系的管理层职能。管理层负责将战略层目标转化为策略、制度和控制措施并监督执行，故正确；执行层负责具体技术实施与操作；战略层负责制定总体安全战略方向；审计层负责独立检查评价而非分解落实控制措施。"},{"id":201,"type":"single","stem":"某单位开展风险评估时，将资产价值、威胁发生频率和脆弱性严重程度相乘得到风险值，该计算方法体现的风险要素关系是","options":["风险由资产、威胁和脆弱性共同决定","风险仅由威胁发生频率决定","风险等于资产价值与脆弱性之和","风险由安全措施投入决定"],"answer":[0],"explanation":"知识点为风险评估三要素关系。风险通常由资产价值、威胁和脆弱性共同作用决定，故正确；威胁频率只是其中一维；资产价值与脆弱性相加不符合风险计算模型；安全措施投入影响残余风险而非风险定义本身。"},{"id":202,"type":"single","stem":"在等级保护测评中，某三级系统机房出入口未配置电子门禁记录，测评师应将该情况判定为哪类问题","options":["物理访问控制措施缺失","网络安全区域边界防护不足","主机恶意代码防范缺失","数据备份恢复策略不当"],"answer":[0],"explanation":"知识点为等保物理层面访问控制要求。机房出入口门禁记录属于物理访问控制，故正确；网络边界防护关注区域间访问控制；恶意代码防范属主机层面；备份恢复属数据层面，与门禁记录无关。"},{"id":203,"type":"single","stem":"安全运维人员发现防火墙日志中某IP在凌晨对多个端口进行扫描，但未触发入侵检测告警，最应优先核查的环节是","options":["入侵检测规则是否覆盖该扫描行为","防火墙是否已过期未续费","交换机端口是否配置了镜像","终端是否安装了防病毒软件"],"answer":[0],"explanation":"知识点为检测能力与规则覆盖。扫描未被检测到，首要核查IDS/IPS规则是否覆盖，故正确；防火墙续费影响过滤能力而非IDS告警；端口镜像影响流量采集但非告警缺失直接原因；终端防病毒与网络扫描检测无关。"},{"id":204,"type":"single","stem":"在安全工程中，将安全需求纳入系统开发生命周期早期阶段的主要目的是","options":["降低后期整改成本与返工风险","减少开发人员数量","缩短系统上线时间","替代安全测试环节"],"answer":[0],"explanation":"知识点为安全工程左移原则。早期纳入安全需求可降低后期整改成本和返工风险，故正确；减少人员并非目的；缩短上线时间不是核心目标；安全测试不能因早期设计而取消。"},{"id":205,"type":"single","stem":"在风险管理中，组织决定对某高风险项购买网络安全保险，这种风险处置方式属于","options":["风险转移","风险规避","风险降低","风险接受"],"answer":[0],"explanation":"知识点为风险处置策略。购买保险将财务损失转移给保险公司，属风险转移，故正确；风险规避是停止相关活动；风险降低是采取控制措施减少可能性或影响；风险接受是不采取措施承担后果。"},{"id":206,"type":"single","stem":"在安全工程实施中，某项目为赶进度将安全验收测试安排在系统上线后进行，该做法违反的核心原则是","options":["安全控制应与系统同步规划同步建设同步运行","安全测试必须由第三方完成","安全验收只能在开发阶段进行","上线后测试可以替代验收测试"],"answer":[0],"explanation":"知识点为三同步原则。安全控制应与系统同步规划、建设、运行，验收测试应在上线前完成，故正确；第三方并非强制；验收不限于开发阶段；上线后测试不能替代验收。"},{"id":207,"type":"single","stem":"某单位发生数据泄露事件后，安全团队首先封存受影响服务器并记录现场状态，该处置动作属于应急响应流程中的","options":["抑制与取证保护","恢复与重建","根因分析与整改","预防与加固"],"answer":[0],"explanation":"知识点为应急响应阶段划分。封存现场并记录状态属于抑制影响并保护取证，故正确；恢复重建是修复后恢复业务；根因分析在取证之后；预防加固是事后改进。"},{"id":208,"type":"single","stem":"在配置安全基线时，某管理员仅关闭了服务器上未使用的服务端口，但未修改默认管理员账户名，该配置最可能遗留的风险是","options":["默认账户易被暴力破解或猜解","未使用端口会重新开放","服务端口关闭导致系统不稳定","账户名修改会影响服务运行"],"answer":[0],"explanation":"知识点为安全基线加固要求。默认管理员账户名未改会增加被针对性攻击风险，故正确；端口关闭不会自行重开；关闭未用端口通常不影响稳定；修改账户名一般不影响服务运行。"},{"id":209,"type":"multi","stem":"某三级系统开展安全运维，以下关于日志管理与审计的做法中，符合安全控制要求的有","options":["对重要操作日志进行集中收集并防止篡改","定期审计管理员账户的异常登录行为","将日志存储周期设置为满足审计要求","由系统管理员自行删除其操作日志","仅在工作日开启日志记录以节省存储"],"answer":[0,1,2],"explanation":"知识点为日志管理与审计控制。集中收集防篡改、定期审计异常行为、满足审计存储周期均符合要求，故正确；管理员自行删除操作日志破坏审计完整性；仅工作日记录会遗漏非工作时间事件，均不符合。"},{"id":210,"type":"single","stem":"在信息安全保障体系中，为实现纵深防御，对同一业务系统采用防火墙、入侵检测与主机加固三类措施，其设计依据的核心理念是","options":["单一控制点失效不影响整体安全","多种安全产品叠加即可通过测评","安全措施越多系统性能越稳定","采购主流品牌设备可降低风险"],"answer":[0],"explanation":"知识点为纵深防御（Defense in Depth）。正确项指多层控制互为补充，单点失效不致整体失守。错误项：叠加产品不等于有效防御；措施数量与性能稳定无关；品牌采购不构成纵深逻辑。"},{"id":211,"type":"single","stem":"某单位开展风险评估时，将资产价值、威胁发生频率、脆弱性严重程度三者综合计算风险值，这一做法对应的风险要素关系是","options":["风险由威胁利用脆弱性对资产造成影响","风险仅由资产价值高低直接决定","风险等于威胁频率乘以资产数量","风险由脆弱性数量单独累加得出"],"answer":[0],"explanation":"知识点为风险评估三要素模型。正确项说明威胁通过脆弱性作用于资产形成风险。错误项：资产价值只是要素之一；威胁频率不含脆弱性；脆弱性数量不能单独决定风险。"},{"id":212,"type":"single","stem":"按照信息安全等级保护要求，某三级系统在完成安全建设后应进行的测评环节是","options":["由具备资质的测评机构开展等级测评","由建设单位自行出具合规声明","由设备厂商出具产品合格证明","由上级主管部门组织功能验收"],"answer":[0],"explanation":"知识点为等保测评主体要求。正确项强调需有资质机构测评。错误项：自评声明不等于等级测评；厂商证明只覆盖产品；功能验收不是等保测评。"},{"id":213,"type":"single","stem":"安全运维中发现服务器存在未修复的高危漏洞，但业务不允许立即停机，较合理的处置顺序是","options":["评估影响并制定补偿措施后择机修复","直接打补丁并立即重启业务主机","关闭服务器等待下次维护窗口","将漏洞记录归档待年度整改时处理"],"answer":[0],"explanation":"知识点为漏洞处置与业务连续性平衡。正确项先评估、补偿、择机修复。错误项：直接重启影响业务；关机造成中断；仅归档属拖延处置。"},{"id":214,"type":"single","stem":"某系统日志显示同一账号在短时间内从两个相距较远的城市登录成功，安全管理员首先应做的判断是","options":["排查是否存在账号共享或凭据泄露","确认两地是否在同一时区","检查服务器时间是否同步","核实该账号是否具有管理员权限"],"answer":[0],"explanation":"知识点为异常登录检测。正确项指向账号共享或凭据泄露的可能。错误项：时区、时间同步、权限高低均不能解释异地同时成功登录。"},{"id":215,"type":"single","stem":"在安全工程中，将安全需求分解为可验证的安全功能要求并映射到设计文档，这一活动属于","options":["安全需求分析与分配","安全测试与验收","安全运行监控","安全事件响应"],"answer":[0],"explanation":"知识点为安全工程生命周期中的需求阶段。正确项描述需求分解与分配。错误项：测试验收、运行监控、事件响应均属后续阶段。"},{"id":216,"type":"single","stem":"某单位拟对重要数据实施备份，要求发生灾难后业务中断时间最短，应优先选择的备份方式是","options":["异地实时同步复制","每周一次全量备份","每月一次差异备份","每季度一次磁带归档"],"answer":[0],"explanation":"知识点为备份方式与恢复目标。正确项实时同步可最小化中断。错误项：周全量、月差异、季度归档均无法满足最短中断要求。"},{"id":217,"type":"single","stem":"风险管理中，对于发生概率低但一旦发生影响极大的风险，较适宜的策略是","options":["转移风险并保留残余风险监控","直接接受且不采取任何措施","提高发生概率以摊薄成本","忽略该风险以节约安全投入"],"answer":[0],"explanation":"知识点为风险处置策略。正确项采用转移并监控残余风险。错误项：完全接受不监控不妥；提高概率违背逻辑；忽略风险不负责任。"},{"id":218,"type":"single","stem":"安全审计中发现某员工多次访问与其岗位无关的敏感数据，正确的后续处置是","options":["记录证据并按事件响应流程调查","立即删除该员工所有访问日志","口头提醒后不再跟踪该行为","直接关闭其账号并对外公布"],"answer":[0],"explanation":"知识点为安全事件响应与证据保全。正确项先留证再按流程调查。错误项：删除日志破坏证据；仅口头提醒不处置；直接公布侵犯隐私且违规。"},{"id":219,"type":"single","stem":"在信息系统安全工程中，为避免开发人员将测试数据带入生产环境，有效的控制措施是","options":["建立数据脱敏与变更审批流程","要求开发人员签署保密承诺书","在生产环境部署防病毒软件","定期对开发人员开展安全培训"],"answer":[0],"explanation":"知识点为数据安全与变更控制。正确项通过脱敏和审批阻断数据流入。错误项：承诺书、防病毒、培训均不能直接阻止测试数据进入生产。"},{"id":220,"type":"single","stem":"某单位完成等保整改后，安全管理员对整改结果进行验证，最应关注的证据是","options":["配置核查记录与复测报告","整改方案文档的页数","会议签到表的完整性","设备采购发票的金额"],"answer":[0],"explanation":"知识点为整改验证与证据有效性。正确项以配置核查和复测为证据。错误项：文档页数、签到表、发票均不能证明安全措施有效。"},{"id":221,"type":"multi","stem":"在信息安全保障工作中，下列属于风险管理活动内容的有","options":["资产识别与赋值","威胁与脆弱性分析","风险处置与残余风险监控","安全产品品牌选型比价","事件发生后直接关闭系统"],"answer":[0,1,2],"explanation":"知识点为风险管理过程。正确项覆盖识别、分析、处置与监控。错误项：品牌比价属采购活动；直接关闭系统不是规范风险处置。"},{"id":222,"type":"single","stem":"在信息安全保障体系中，针对信息系统生命周期各阶段开展的安全工程活动，其核心目标是将安全需求融入系统设计与实现，这一过程通常被称为","options":["信息安全工程","信息安全治理","信息安全运营","信息安全审计"],"answer":[0],"explanation":"知识点为信息安全保障中的安全工程概念。信息安全工程强调在系统生命周期各阶段同步开展安全活动，将安全需求融入设计与实现，故正确项为信息安全工程。信息安全治理侧重组织层面的决策与责任分配；信息安全运营侧重日常运行维护；信息安全审计侧重独立检查与评价，均不描述该生命周期融入过程。"},{"id":223,"type":"single","stem":"某单位开展风险评估时，识别出资产面临的一个威胁发生可能性为高、脆弱性严重程度为中，且该资产价值很高，按典型风险计算思路，该风险等级最可能被判定为","options":["高风险","中风险","低风险","可忽略风险"],"answer":[0],"explanation":"知识点为风险值由资产价值、威胁可能性和脆弱性严重程度综合确定。资产价值很高且威胁可能性高，即使脆弱性中等，综合风险通常仍落在高风险区间，故正确项为高风险。中风险、低风险、可忽略风险均低估了高价值资产叠加高威胁可能性带来的综合影响。"},{"id":224,"type":"single","stem":"在等级保护测评中，某三级系统已完成安全物理环境、安全通信网络和安全区域边界的测评，下一步应重点开展的测评内容是","options":["安全计算环境与安全管理中心","安全管理制度与人员安全","安全建设管理与系统运维管理","安全管理制度与安全建设管理"],"answer":[0],"explanation":"知识点为等级保护测评的技术要求层次顺序。技术层面通常按物理环境、通信网络、区域边界、计算环境、管理中心逐层测评，故下一步为安全计算环境与安全管理中心。管理制度与人员安全、建设管理与运维管理属于管理要求，不是技术层次下一步；将管理制度与建设管理并列也不符合测评推进逻辑。"},{"id":225,"type":"single","stem":"某企业拟对核心业务系统开展安全工程实施，在设计阶段引入威胁建模，其主要作用是","options":["在编码前识别设计缺陷并调整安全控制","在测试阶段发现运行时漏洞并修复","在运维阶段监控异常访问行为","在上线前完成合规性检查与备案"],"answer":[0],"explanation":"知识点为安全工程中威胁建模的定位。威胁建模在设计阶段开展，目的是在编码前识别设计层面的威胁与缺陷并调整安全控制，故正确项为第一项。测试阶段发现运行时漏洞属于测试活动；运维阶段监控异常属于运营监测；上线前合规检查属于合规与备案活动，均不是威胁建模的主要作用。"},{"id":226,"type":"single","stem":"某单位安全运维人员发现一台服务器出现异常外联，初步判断可能已被植入后门，按应急处置流程，首先应采取的处置措施是","options":["隔离该服务器并保留现场证据","立即重启服务器以清除可疑进程","直接删除可疑文件并恢复业务","断开全网出口以阻断所有外联"],"answer":[0],"explanation":"知识点为安全事件应急处置的隔离与取证优先原则。发现疑似后门时应先隔离受影响主机并保留现场证据，故正确项为隔离并保留证据。立即重启会破坏内存等易失证据；直接删除可疑文件会破坏证据且可能未根除；断开全网出口影响面过大且不符合最小影响原则。"},{"id":227,"type":"single","stem":"在信息安全风险管理中，对于无法通过技术手段消除且成本高于收益的风险，通常采用的风险处置方式是","options":["风险接受","风险规避","风险转移","风险降低"],"answer":[0],"explanation":"知识点为风险处置的四种方式选择。当风险无法消除且处置成本高于收益时，通常选择风险接受，故正确项为风险接受。风险规避是放弃相关活动；风险转移是通过保险或外包等转移后果；风险降低是采取措施减小风险，均与题干所述成本收益判断不符。"},{"id":228,"type":"single","stem":"某单位在安全工程中采用安全开发生命周期管理，在需求阶段就明确安全功能与保障要求，这一做法最直接体现的安全工程原则是","options":["安全需求前置与同步工程","安全功能最小化","默认拒绝与最小权限","安全审计与可追溯"],"answer":[0],"explanation":"知识点为安全工程中安全需求前置原则。在需求阶段明确安全功能与保障要求，体现安全需求前置与同步工程，故正确项为第一项。安全功能最小化强调只保留必要功能；默认拒绝与最小权限强调访问控制策略；安全审计与可追溯强调记录与追责，均不是题干最直接体现的原则。"},{"id":229,"type":"single","stem":"某企业开展业务连续性管理，针对核心系统制定了恢复时间目标与恢复点目标，其中恢复点目标主要衡量的是","options":["灾难发生后可容忍的数据丢失量","系统从故障到恢复的最长允许时间","备用站点接管业务的最短切换时间","备份介质异地保存的最远距离"],"answer":[0],"explanation":"知识点为业务连续性中恢复时间目标与恢复点目标的区别。恢复点目标衡量可容忍的数据丢失量，故正确项为第一项。系统恢复最长允许时间属于恢复时间目标；备用站点切换时间属于切换指标；备份介质保存距离属于存储策略，均非恢复点目标含义。"},{"id":230,"type":"single","stem":"某单位在对重要数据进行备份时，采用每周一次全量备份、每天一次差异备份的策略，若周三发生数据损坏，恢复时通常需要使用的备份集是","options":["最近一次全量备份与最近一次差异备份","最近一次全量备份与全部差异备份","最近一次差异备份与全部增量备份","最近一次全量备份与全部增量备份"],"answer":[0],"explanation":"知识点为差异备份与增量备份的恢复差异。差异备份记录自上次全量备份以来的变化，恢复时只需最近一次全量备份加最近一次差异备份，故正确项为第一项。全部差异备份、增量备份组合均不符合差异备份恢复逻辑，全部增量备份属于增量备份策略的恢复方式。"},{"id":231,"type":"multi","stem":"某单位在开展信息安全风险评估时，为准确识别资产面临的威胁，下列活动属于威胁识别环节应开展的工作有","options":["梳理针对该类资产的历史安全事件记录","分析资产所在网络环境的暴露面情况","评估资产自身存在的配置缺陷与漏洞","确定资产在业务中的重要程度与价值","统计同类组织已公开的典型攻击手法"],"answer":[0,1,4],"explanation":"知识点为风险评估中威胁识别与资产、脆弱性识别的边界。历史安全事件、网络暴露面和同类组织典型攻击手法均用于识别威胁来源与手法，故为正确项。评估资产配置缺陷与漏洞属于脆弱性识别；确定资产重要程度与价值属于资产识别，二者不是威胁识别环节的工作。"},{"id":232,"type":"single","stem":"在信息安全保障体系中，负责将组织的业务战略转化为可执行的安全目标与安全策略的环节是","options":["安全治理","安全运维","安全测评","安全审计"],"answer":[0],"explanation":"知识点为信息安全保障体系中的安全治理职责。安全治理负责将业务战略转化为安全目标与策略，故正确。安全运维负责日常运行维护，不承担战略转化职责；安全测评负责对系统进行测试评估，属于技术验证环节；安全审计负责对操作行为进行监督记录，均不负责业务战略转化。"},{"id":233,"type":"single","stem":"某组织完成风险评估后确定某资产面临的风险值为可接受水平，但仍决定采购防火墙进行加固，这一决策属于","options":["风险规避","风险转移","风险降低","风险接受"],"answer":[2],"explanation":"知识点为风险处置的四种策略。采取额外控制措施以减小风险发生可能性或影响，属于风险降低，故正确。风险规避是放弃相关业务活动；风险转移是通过保险或外包等将风险转给第三方；风险接受是不采取进一步措施而容忍风险，与题干中实际采购加固措施不符。"},{"id":234,"type":"single","stem":"等级保护测评中，判定某信息系统是否应定为第三级，主要依据是该系统受到破坏后对","options":["公民合法权益的损害程度","社会秩序和公共利益的损害程度","组织自身商业利益的损失大小","系统硬件设备的损坏数量"],"answer":[1],"explanation":"知识点为等级保护定级依据。定级主要看系统受到破坏后对国家安全、社会秩序、公共利益及公民法人合法权益的侵害程度，第三级强调对社会秩序和公共利益造成严重损害，故正确。公民合法权益受损害一般为第一、二级考虑重点；组织自身商业利益和硬件数量不属定级侵害客体判定标准。"},{"id":235,"type":"single","stem":"某单位安全运维人员发现服务器日志中出现大量来自同一境外IP的SSH登录失败记录，且失败用户名均为常见系统账户，最应优先采取的措施是","options":["立即重启服务器清除会话","对该IP进行封禁并核查账户口令强度","关闭服务器所有对外网络端口","删除相关日志避免告警扩散"],"answer":[1],"explanation":"知识点为暴力破解攻击的应急处置。大量SSH登录失败且用户名集中，符合暴力破解特征，应封禁来源并核查口令强度，故正确。重启服务器不能阻止攻击且会丢失现场；关闭所有对外端口会影响业务并属过度处置；删除日志会破坏证据，均不正确。"},{"id":236,"type":"single","stem":"在安全工程中，将安全需求分解到各子系统并明确接口安全要求的过程属于","options":["安全需求分析","安全体系设计","安全编码实现","安全验收测试"],"answer":[1],"explanation":"知识点为安全工程生命周期各阶段任务。将需求分解到子系统并定义接口安全要求属于安全体系设计阶段，故正确。安全需求分析关注需求的获取与定义；安全编码实现关注代码层面的安全编写；安全验收测试关注交付前的验证，均不负责需求到子系统的分解。"},{"id":237,"type":"single","stem":"某系统采用双因素认证，用户先输入口令再输入手机短信验证码，其中短信验证码属于","options":["所知因素","所持因素","所是因素","所位置因素"],"answer":[1],"explanation":"知识点为认证因素的分类。短信验证码依托用户持有的手机接收，属于所持因素，故正确。所知因素是用户记忆的信息如口令；所是因素是生物特征；所位置因素基于用户所处位置，短信验证码均不属于这三类。"},{"id":238,"type":"single","stem":"安全运维中配置变更管理的核心目的是","options":["确保变更经过授权、测试和记录","缩短变更实施所需的时间","减少变更申请的数量","由运维人员独立决定变更方案"],"answer":[0],"explanation":"知识点为配置变更管理要求。变更管理核心是确保变更经过授权、测试、记录并可追溯，故正确。缩短时间、减少申请数量不是变更管理的核心目的；由运维人员独立决定变更方案违背授权审批要求。"},{"id":239,"type":"single","stem":"某单位开展等保测评时，测评机构发现数据库服务器操作系统补丁长期未更新，该问题最应归类到","options":["安全物理环境","安全通信网络","安全计算环境","安全管理中心"],"answer":[2],"explanation":"知识点为等保测评的层面划分。操作系统补丁未更新属于主机层安全配置问题，应归入安全计算环境，故正确。安全物理环境关注机房物理防护；安全通信网络关注网络传输与架构；安全管理中心关注集中管控，均不直接涵盖主机补丁管理。"},{"id":240,"type":"single","stem":"在信息安全风险管理中，残余风险是指","options":["尚未被识别的潜在风险","实施控制措施后仍然存在的风险","风险处置前原始评估的风险","由第三方引入的外部风险"],"answer":[1],"explanation":"知识点为残余风险的定义。残余风险是采取控制措施后仍残留的风险，需被组织评估并决定是否接受，故正确。尚未识别的风险属于未知风险；处置前原始风险是固有风险；第三方引入的外部风险属于风险来源描述，均不是残余风险定义。"},{"id":241,"type":"single","stem":"某企业将核心业务系统迁移至云平台，要求云服务商提供其内部员工操作行为的审计记录，这主要体现的安全需求是","options":["可追溯性","可用性","完整性","保密性"],"answer":[0],"explanation":"知识点为安全属性与审计需求。要求提供操作行为审计记录，目的是事后可追溯，故正确。可用性关注服务持续可访问；完整性关注数据未被篡改；保密性关注信息不被未授权披露，均不能直接对应操作行为记录需求。"},{"id":242,"type":"single","stem":"某单位按等级保护要求开展安全建设，在完成安全需求分析后、正式设计安全方案之前，最应当先完成的工作是确定安全建设的什么内容？","options":["安全总体方针","安全保护等级","安全措施预算","安全产品品牌"],"answer":[1],"explanation":"知识点：等级保护定级是安全建设的前提。确定安全保护等级后才能有针对性地选择安全措施和投入。安全总体方针是管理层面的顶层文件，不特指建设流程顺序；安全措施预算和产品品牌都在设计阶段之后考虑。"},{"id":243,"type":"single","stem":"在风险评估中，某资产面临威胁利用脆弱性造成损失的可能性很高且影响严重，按照风险处置的一般原则，最优先采取的措施是？","options":["接受该风险并持续监控","将该风险转移给第三方","采取措施降低该风险","暂缓处置等待预算"],"answer":[2],"explanation":"知识点：风险处置策略选择。高风险应优先规避或降低。接受适用于低风险；转移是保险或外包等合同手段，不能消除内部责任；暂缓处置不符合风险处置的紧迫性原则。"},{"id":244,"type":"single","stem":"某信息系统通过防火墙限制只允许特定IP访问管理端口，这属于哪一类安全措施？","options":["物理安全措施","访问控制措施","数据加密措施","安全审计措施"],"answer":[1],"explanation":"知识点：安全措施分类。防火墙按IP限制访问属于访问控制。物理安全指机房环境与设备防护；数据加密指密码保护；安全审计指日志记录与分析。"},{"id":245,"type":"single","stem":"信息安全保障中强调\"纵深防御\"的核心理由是？","options":["单点防护被绕过时仍有其他层防护","多层防护可以完全消除所有威胁","每层防护都能独立应对高级威胁","纵深防御可替代风险管理流程"],"answer":[0],"explanation":"知识点：纵深防御理念。其核心是避免单点失效，某层被突破后还有其他层起效。多层防护不能完全消除威胁；单层防护无法独立应对高级威胁；纵深防御不能替代风险管理。"},{"id":246,"type":"single","stem":"某单位安全管理制度规定\"重要数据变更需经审批\"，但实际执行中运维人员为赶进度常直接修改，这一现象最直接反映的问题是？","options":["制度文本编写不够详细","安全策略未有效落地执行","审批流程设计过于复杂","数据备份机制不健全"],"answer":[1],"explanation":"知识点：安全管理体系运行。制度存在但未被执行，属于策略落地失效。制度详细程度、流程复杂度、备份机制均非该现象的直接症结。"},{"id":247,"type":"single","stem":"在安全工程中，将安全需求分解为可验证的安全功能要求，并据此设计安全架构，这一过程属于？","options":["安全运行管理","安全工程过程","安全测评认证","安全事件响应"],"answer":[1],"explanation":"知识点：安全工程生命周期。需求分解与架构设计属于安全工程过程。运行管理是上线后的活动；测评认证是第三方评价；事件响应是应急阶段工作。"},{"id":248,"type":"single","stem":"某系统采用双因素认证，用户先输入密码再输入手机短信验证码，其中短信验证码属于哪一类认证因素？","options":["你知道的东西","你拥有的东西","你是什么样的人","你在什么位置"],"answer":[1],"explanation":"知识点：认证因素分类。短信验证码依托用户持有的手机，属于拥有因素。密码属于知悉因素；生物特征属于特征因素；位置属于环境因素。"},{"id":249,"type":"single","stem":"某单位对核心业务系统开展等保测评，测评中发现\"未对登录用户进行身份鉴别\"，这一不符合项最应归属于哪类安全要求？","options":["安全物理环境","安全通信网络","安全计算环境","安全管理中心"],"answer":[2],"explanation":"知识点：等保安全要求分类。身份鉴别属于主机与应用层面的安全计算环境要求。物理环境关注机房；通信网络关注传输；管理中心关注集中管控。"},{"id":250,"type":"single","stem":"在风险管理中，对已识别风险进行评价时，通常用哪两个维度确定风险等级？","options":["发生概率与影响程度","资产价值与修复成本","威胁数量与漏洞数量","控制措施与预算规模"],"answer":[0],"explanation":"知识点：风险评价基本模型。风险等级通常由可能性与影响共同决定。资产价值、修复成本、威胁与漏洞数量是输入因素但不是定级维度；控制措施与预算是处置考量。"},{"id":251,"type":"single","stem":"某企业将非核心业务系统迁移至公有云，并与云服务商签订安全责任共担协议，这种做法在风险处置中属于？","options":["风险规避","风险降低","风险转移","风险接受"],"answer":[2],"explanation":"知识点：风险处置策略。通过合同将部分安全责任转移给云服务商属于风险转移。规避是停止业务；降低是加控制措施；接受是不采取措施。"},{"id":252,"type":"single","stem":"某运维人员发现服务器日志中出现大量来自同一IP的失败登录记录，按安全事件处置流程，他首先应当做的是？","options":["立即重启服务器清除记录","记录并上报该异常事件","直接封禁该IP并删除日志","等待系统自动锁定账户"],"answer":[1],"explanation":"知识点：安全事件处置流程。发现异常应先记录并上报，由流程决定后续处置。重启会破坏现场；直接删日志会丢失证据；被动等待可能延误响应。"},{"id":253,"type":"single","stem":"在信息安全保障体系中，关于“业务连续性管理”与“灾难恢复”的关系，以下理解正确的是","options":["灾难恢复是业务连续性管理的组成部分，聚焦于IT系统恢复","业务连续性管理仅关注IT系统，灾难恢复涵盖全部业务","灾难恢复是业务连续性管理的前置条件，须先恢复IT再谈业务","业务连续性与灾难恢复是并列关系，分别由不同部门独立负责"],"answer":[0],"explanation":"知识点：业务连续性管理（BCM）与灾难恢复（DR）的层次关系。BCM是整体管理过程，涵盖业务影响分析、策略制定、演练等；DR是BCM中针对IT基础设施恢复的专项计划。选项B错在把BCM窄化为IT；选项C错在颠倒了两者的层次与先后逻辑；选项D错在两者不是并列关系，DR从属于BCM。"},{"id":254,"type":"single","stem":"信息安全风险评估中，某资产价值高、威胁发生频率低但一旦发生后果极严重，确定风险等级时通常应重点关注","options":["威胁发生的频率统计值","资产价值与脆弱性被利用后造成的损失","现有控制措施的采购成本","同类组织过去三年的平均事件数"],"answer":[1],"explanation":"知识点：风险=资产价值×威胁×脆弱性×影响。选项A只看频率会低估低频高损事件；选项C关注成本与风险等级无直接关系；选项D用行业均值替代本组织实际分析，属于典型错误做法。正确项B综合了资产价值与后果损失，符合风险计算逻辑。"},{"id":255,"type":"single","stem":"某单位按等级保护要求开展定级备案，其信息系统被定为第三级，关于该系统的测评周期，正确做法是","options":["每年至少进行一次等级测评","每两年至少进行一次等级测评","每三年至少进行一次等级测评","在系统发生重大变更时才需测评"],"answer":[0],"explanation":"知识点：等级保护测评周期要求。第三级信息系统应每年至少测评一次。选项B、C为第二级、部分其他情形的周期易混点；选项D忽略了定期测评的强制要求。"},{"id":256,"type":"single","stem":"某员工收到一封声称来自IT部门的邮件，要求点击链接重置邮箱密码，链接域名为公司域名的相似拼写，该员工应采取的处置是","options":["点击链接并按提示输入旧密码验证身份","回复邮件询问发件人是否为真实IT人员","不点击链接，通过官方渠道向IT部门核实","将邮件转发给同事请其帮忙判断真假"],"answer":[2],"explanation":"知识点：钓鱼邮件识别与处置。正确做法是不点击、通过独立官方渠道核实。选项A会直接泄露凭据；选项B回复可疑邮件仍与攻击者交互且发件地址可能伪造；选项D把判断责任转移给同事，未消除风险。"},{"id":257,"type":"single","stem":"关于信息安全策略、标准、程序、指南四个层次文件的关系，描述正确的是","options":["策略是强制性的高层声明，标准与程序是其下层支撑文件","标准是最高层文件，策略由标准推导产生","指南具有强制约束力，程序仅作参考","程序规定“做什么”，策略规定“怎么做”"],"answer":[0],"explanation":"知识点：安全文件体系层次。策略为高层强制声明，标准、程序、指南依次细化。选项B颠倒了策略与标准的层次；选项C把指南的推荐性与程序的强制性弄反；选项D把策略与程序的“做什么/怎么做”分工说反。"},{"id":258,"type":"single","stem":"在信息安全风险管理中，对于“风险处置”环节，将风险转移给第三方（如购买网络安全保险）后，组织仍需承担的责任是","options":["不再承担任何剩余风险管理责任","需对转移后仍存在的剩余风险进行管理","只需在年度报告中说明投保情况即可","应将全部安全控制措施移交保险公司执行"],"answer":[1],"explanation":"知识点：风险处置中的风险转移不等于风险消除。选项A错误，转移后仍有剩余风险；选项C忽视了持续管理义务；选项D混淆了保险赔付与控制措施执行主体。正确项B指出仍需管理剩余风险。"},{"id":259,"type":"single","stem":"某运维人员在变更生产数据库配置前，按流程提交了变更申请并获批，实施后系统出现异常，回退时发现未准备回退方案，该事件暴露的主要问题是","options":["变更审批流程过于冗长","变更实施时间选择不当","变更方案缺少回退计划与验证环节","数据库配置本身不应纳入变更管理"],"answer":[2],"explanation":"知识点：变更管理要素，包括变更方案、回退计划、验证。选项A与事件根因无关；选项B未提及时间问题；选项D错误，配置变更应纳入变更管理。正确项C指出缺少回退与验证是直接原因。"},{"id":260,"type":"single","stem":"在安全审计中，为确保日志证据的可采信性，最重要的要求是","options":["日志存储容量足够大","日志记录完整且具备防篡改机制","日志格式统一为文本文件","日志由业务系统自行生成"],"answer":[1],"explanation":"知识点：日志作为证据需保证完整性与完整性保护（防篡改）。选项A只关注容量；选项C格式统一便于分析但不保证可信；选项D业务系统自生成不等于可信，仍可能被篡改。正确项B强调完整与防篡改。"},{"id":261,"type":"single","stem":"关于信息安全事件分级响应，某单位将事件划分为特别重大、重大、较大、一般四级，当发生较大事件时，正确的响应要求是","options":["启动最高级别应急响应并由最高管理者指挥","按对应级别预案响应并按规定上报","等待事件升级为重大后再启动响应","仅由一线运维人员自行处置无需上报"],"answer":[1],"explanation":"知识点：事件分级响应原则，按级别启动对应预案并履行报告义务。选项A过度响应，浪费资源；选项C延误处置；选项D违反报告与分级响应要求。正确项B符合分级响应与上报规定。"},{"id":262,"type":"multi","stem":"在信息安全工程实施过程中，以下活动属于“安全工程”而非单纯“安全运维”范畴的有","options":["在系统设计阶段开展威胁建模","对已上线系统进行日常漏洞扫描","在需求阶段定义安全功能与保障要求","对生产环境进行配置基线的日常核查"],"answer":[0,2],"explanation":"知识点：安全工程与安全运维的边界。安全工程关注需求、设计、开发、测试等建设期活动；安全运维关注上线后的日常运行维护。选项A威胁建模、选项C需求阶段安全定义属工程活动；选项B日常漏洞扫描、选项D日常配置核查属运维活动。"},{"id":263,"type":"single","stem":"组织在完成一次风险评估并选择处置措施后，形成剩余风险报告提交管理层，管理层决定接受该剩余风险，这一活动主要体现风险管理中的哪一环节","options":["风险处置","风险接受","风险计算","风险识别"],"answer":[1],"explanation":"知识点为风险管理流程中的风险接受环节；风险接受是组织在评估处置后剩余风险并决定承担它的决策活动，因此正确项是风险接受。风险处置是把风险降低或转移的执行过程，不是管理层的接受决策；风险计算是量化分析步骤，不涉及接受决定；风险识别是发现风险源的过程，发生在评估早期。"},{"id":264,"type":"single","stem":"在等级保护测评中，被测系统定级为三级，测评人员发现机房出入记录仅登记来访者姓名而未核验其身份证件，该情况最应判定为哪类不符合","options":["物理位置选择不满足","物理访问控制不满足","防盗窃和防破坏不满足","电力供应不满足"],"answer":[1],"explanation":"知识点为等级保护物理安全中物理访问控制的控制点；访问控制要求对进出机房人员身份进行识别和控制，未核验身份证件属访问控制缺陷，故正确。物理位置选择关注机房选址与建筑条件，与登记核验无关；防盗窃和防破坏关注设备固定与报警，不涉及人员核验；电力供应关注供电冗余，与出入登记无关。"},{"id":265,"type":"single","stem":"某企业拟将核心业务系统迁移至公有云，安全工程师提出应明确云服务商与企业在数据泄露事件中的响应分工，该要求主要对应云计算安全中哪一方面的责任划分","options":["安全责任共担","数据残留处置","虚拟化隔离","多租户审计"],"answer":[0],"explanation":"知识点为云计算安全的责任共担模型；事件响应分工属于云服务商与云租户之间安全职责的界定，故安全责任共担正确。数据残留处置关注合同终止后数据清除；虚拟化隔离关注不同租户资源隔离；多租户审计关注审计记录与租户边界，均不描述响应分工。"},{"id":266,"type":"single","stem":"安全运维人员在核查主机日志时发现某账户在非工作时段连续多次登录失败后成功登录，且登录源IP位于境外，下一步最合理的处置是","options":["立即封禁该源IP并核查账户活动","先记录该事件待月度审计时统一分析","通知账户所有人自行修改登录口令","调高该账户口令复杂度策略后继续观察"],"answer":[0],"explanation":"知识点为安全事件响应中的异常登录处置；可疑境外成功登录应先阻断来源并核查账户是否被滥用，故正确。待月度审计会延误止损；仅让用户改口令不处理已发生的可疑会话；调高口令复杂度属于事前加固，无法处置正在发生的可疑访问。"},{"id":267,"type":"single","stem":"信息安全保障强调纵深防御，某单位在边界部署防火墙、在主机部署杀毒软件、在应用层部署WAF，但仍遭遇针对内部人员的社工攻击导致数据外泄，该案例最能说明哪一观点","options":["技术措施无法覆盖所有攻击路径","边界防护应优先于主机防护","杀毒软件应改为统一管控平台","WAF应部署在主机侧以贴近数据"],"answer":[0],"explanation":"知识点为信息安全保障的纵深防御与人员因素；社工攻击绕过技术边界，说明技术措施不能覆盖所有路径，故正确。边界优先于主机不是本案例的结论；统一管控杀毒软件不能防社工；WAF部署位置与社工攻击无直接关系。"},{"id":268,"type":"single","stem":"某系统需实现数据完整性校验，工程师选用基于密钥的算法对报文生成固定长度校验值，接收方用同一密钥验证，该做法属于哪类机制","options":["消息摘要","消息认证码","数字签名","对称加密"],"answer":[1],"explanation":"知识点为完整性保护机制的区分；使用共享密钥对报文生成校验值并由接收方用同一密钥验证，属于消息认证码，故正确。消息摘要不使用密钥；数字签名使用非对称密钥且提供不可否认性；对称加密提供机密性而非专门的完整性校验值。"},{"id":269,"type":"single","stem":"某单位开展业务影响分析，识别出某系统中断4小时将导致订单无法处理，管理层确定该系统最大可容忍中断时间为2小时，该2小时应记录为","options":["RTO","RPO","MTBF","MTTR"],"answer":[0],"explanation":"知识点为业务连续性与灾难恢复指标；RTO是最大可容忍中断时间，故正确。RPO是可容忍的数据丢失时间窗口；MTBF是平均故障间隔时间；MTTR是平均修复时间，均不表示可容忍中断上限。"},{"id":270,"type":"single","stem":"安全管理员在配置访问控制策略时，要求用户仅能访问完成当前任务所需的最少资源，任务结束后权限自动回收，该原则属于","options":["最小特权原则","职责分离原则","双人控制原则","默认拒绝原则"],"answer":[0],"explanation":"知识点为访问控制基本原则；仅授予完成任务所需最少权限并到期回收，属于最小特权原则，故正确。职责分离强调不同职责由不同人承担；双人控制强调关键操作需两人共同完成；默认拒绝强调未明确允许即拒绝，均不描述权限最小化与回收。"},{"id":271,"type":"single","stem":"某企业发生数据泄露后，法务要求安全团队保存受影响主机内存镜像和磁盘镜像，同时保持系统在线以维持业务，安全团队应优先采取的措施是","options":["对内存和磁盘做镜像并记录操作过程","直接重启主机以清除可能存在的恶意进程","立即格式化磁盘后重装系统恢复业务","关闭主机电源等待取证人员到场"],"answer":[0],"explanation":"知识点为电子数据取证中的证据固定与业务连续性平衡；在线取证需先对易失性内存和磁盘做镜像并记录链条，故正确。重启会丢失内存证据；格式化会破坏证据；直接关机同样丢失内存证据且影响业务。"},{"id":272,"type":"single","stem":"某单位在安全工程中采用“先设计安全架构，再在开发阶段逐项落实安全需求”的流程，该做法最符合哪一原则","options":["安全内生","安全外包","安全后置","安全隔离"],"answer":[0],"explanation":"知识点为安全工程中的安全内建原则；安全需求在设计阶段融入并贯穿开发，属于安全内生，故正确。安全外包是把安全职责转移给外部；安全后置是事后补丁式加固；安全隔离是网络或系统隔离手段，均不描述该流程。"},{"id":273,"type":"single","stem":"某运维人员在对数据库进行备份时，将备份文件与数据库主机放在同一存储阵列，并每周覆盖上一份备份，该做法最突出的缺陷是","options":["备份未异地存放且保留周期过短","备份未加密且未做校验","备份未压缩且未做去重","备份未做增量且未做日志"],"answer":[0],"explanation":"知识点为备份策略中的异地存放与保留周期；同阵列存放无法应对阵列故障，每周覆盖导致历史版本不足，故正确。未加密、未压缩、未做增量虽可能是问题，但不是该做法最突出的缺陷。"},{"id":274,"type":"single","stem":"在信息安全保障体系中，为信息系统划分安全保护等级并实施监管的核心制度是","options":["信息安全等级保护制度","信息安全风险评估制度","信息安全产品认证制度","信息安全应急响应制度"],"answer":[0],"explanation":"知识点是等级保护制度定位。等级保护制度是对信息系统分等级保护、分等级监管的基本制度，故正确项为等级保护制度。风险评估制度关注风险识别与分析过程；产品认证制度针对产品合规性；应急响应制度针对事件处置，均不是分等级监管的核心制度。"},{"id":275,"type":"single","stem":"某单位开展风险评估时，识别出资产面临威胁并存在脆弱性，风险值通常由哪组要素共同决定","options":["资产价值、威胁程度、脆弱性严重程度","资产价值、安全措施、残余风险","威胁来源、攻击路径、日志数量","脆弱性数量、补丁数量、设备数量"],"answer":[0],"explanation":"知识点是风险评估基本模型。风险由资产价值、威胁程度和脆弱性严重程度共同决定，故正确项为三要素组合。安全措施影响的是风险处置和残余风险；攻击路径和日志数量是分析素材不是风险定值要素；设备数量等不能直接决定风险大小。"},{"id":276,"type":"single","stem":"在安全工程中，将安全需求转化为安全功能并验证其实现，通常遵循的工程过程是","options":["安全需求分析、安全设计、安全实现、安全验证","安全审计、安全加固、安全巡检、安全培训","安全策略、安全组织、安全运行、安全废止","安全定级、安全备案、安全测评、安全整改"],"answer":[0],"explanation":"知识点是安全工程生命周期过程。安全工程强调从需求到设计、实现、验证的逐步落实，故正确项为需求分析到验证的过程。审计加固巡检培训属于运行管理活动；策略组织运行废止不是工程转化过程；定级备案测评整改属于等级保护工作流程。"},{"id":277,"type":"single","stem":"某系统已完成等级保护测评，测评报告指出存在高风险项，运营使用单位首先应做的工作是","options":["对高风险项制定整改方案并落实整改","立即关闭该系统停止对外服务","重新开展一次系统定级备案","将测评报告归档等待下次测评"],"answer":[0],"explanation":"知识点是等级保护测评后处置。发现高风险项应制定整改方案并落实整改，故正确项为整改。立即关闭系统不是必要处置且影响业务；重新定级备案不是针对高风险项的处置；仅归档等待下次测评会放任风险。"},{"id":278,"type":"single","stem":"在风险管理中，将风险转移给第三方（如购买网络安全保险）后，组织对剩余风险的正确认识是","options":["仍存在残余风险并需持续管理","风险已完全消除无需再关注","风险自动变为可接受风险","风险责任全部由第三方承担"],"answer":[0],"explanation":"知识点是风险处置中的风险转移。转移不能消除全部风险，仍存在残余风险需持续管理，故正确。风险不会完全消除；是否可接受需重新评估；责任不能全部转移，组织仍承担主体责任。"},{"id":279,"type":"single","stem":"某单位制定安全策略时，要求对重要数据在传输和存储环节分别采取保护措施，这一要求主要体现的安全原则是","options":["数据全生命周期保护","最小权限原则","职责分离原则","默认拒绝原则"],"answer":[0],"explanation":"知识点是数据安全原则。传输和存储属于数据生命周期不同环节，统一要求体现全生命周期保护，故正确。最小权限针对访问授权范围；职责分离针对岗位制衡；默认拒绝针对访问控制初始状态。"},{"id":280,"type":"single","stem":"在安全工程的需求分析阶段，用于描述系统边界、外部接口和安全假设的文档通常是","options":["安全需求规格说明","安全测试报告","安全应急预案","安全审计日志"],"answer":[0],"explanation":"知识点是安全工程文档作用。安全需求规格说明描述系统边界、接口与安全假设及需求，故正确。测试报告记录测试结果；应急预案用于事件响应；审计日志记录操作行为。"},{"id":281,"type":"single","stem":"某等保测评项目中，测评人员发现机房出入口未设置电子门禁，仅使用普通钥匙锁，该情况最应归入的测评指标是","options":["物理访问控制","网络安全","主机安全","数据安全"],"answer":[0],"explanation":"知识点是等保测评指标分类。机房出入口门禁属于物理访问控制要求，故正确。网络安全关注网络层面；主机安全关注服务器终端；数据安全关注数据保护，均不对应门禁。"},{"id":282,"type":"single","stem":"安全运维中，对日志进行集中收集并设置关联分析规则的主要目的是","options":["发现单点难以识别的安全事件线索","减少日志存储容量占用","替代入侵检测系统功能","提高业务系统处理速度"],"answer":[0],"explanation":"知识点是日志集中管理与关联分析价值。集中关联分析可发现分散日志中难以识别的线索，故正确。减少存储不是主要目的；不能替代入侵检测；与业务处理速度无直接关系。"},{"id":283,"type":"single","stem":"某系统发生安全事件后，为保留证据并防止影响扩大，正确的处置顺序是","options":["先隔离控制再取证分析后恢复","先恢复业务再隔离控制后取证","先删除恶意文件再恢复业务后取证","先重启系统再取证分析后恢复"],"answer":[0],"explanation":"知识点是安全事件处置顺序。应优先隔离控制防止扩散，再取证分析，最后恢复，故正确。先恢复会破坏现场；先删除恶意文件会丢失证据；先重启会丢失内存等易失证据。"},{"id":284,"type":"single","stem":"某单位按等级保护要求开展安全建设，在设计阶段就同步确定安全需求并纳入建设方案，这体现了信息安全保障中的哪一项原则","options":["信息安全与信息化同步建设","信息安全独立于业务运行","安全措施在运行阶段补充","安全管理优先于安全技术"],"answer":[0],"explanation":"知识点为信息安全保障的同步建设原则。正确项强调安全需求与信息化项目同步规划、同步建设、同步运行。错误项把安全与业务割裂，与同步原则相悖；错误项主张运行阶段再补安全措施，属于事后补救而非同步建设；错误项把管理与技术对立，并非该原则的准确表述。"},{"id":285,"type":"single","stem":"在风险管理过程中，某信息系统资产价值很高但已部署多重防护，威胁发生可能性较低，此时风险大小的判定主要取决于","options":["资产价值与威胁可能性的综合","资产价值单独的高低程度","已部署安全措施的品牌","威胁种类数量的多少"],"answer":[0],"explanation":"知识点为风险的基本构成要素。风险由资产价值、威胁可能性及脆弱性等综合决定。错误项只看资产价值，忽略威胁与脆弱性；错误项以产品品牌代替风险分析，品牌不改变风险量级；错误项以威胁数量代替发生可能性，数量多不代表风险高。"},{"id":286,"type":"single","stem":"某测评机构对被测定级系统进行现场测评，发现一项高风险问题但未在报告中体现，仅口头告知被测单位，这种做法违反了测评工作的哪项要求","options":["测评结论应客观完整记录","测评过程应提前通知","测评人员应持证上岗","测评工具应经过校准"],"answer":[0],"explanation":"知识点为等保测评的客观性与可追溯性要求。正确项指出测评发现应如实完整记录在报告中。错误项与本次问题无关；错误项涉及人员资质而非记录完整性；错误项涉及工具管理，不能解释漏记高风险问题。"},{"id":287,"type":"single","stem":"某单位安全运维人员发现服务器存在高危漏洞，但业务系统正在对外提供服务，正确的处置顺序是","options":["先评估影响并制定方案再实施修复","立即停机修复漏洞保证安全","仅记录漏洞待下次停机窗口处理","先关闭全部对外端口再修复"],"answer":[0],"explanation":"知识点为漏洞修复的变更管理。正确项强调先评估业务影响、制定回退方案再实施。错误项直接停机可能造成业务中断；错误项只记录不处置会持续暴露风险；错误项关闭全部端口影响面过大，属于过度处置。"},{"id":288,"type":"single","stem":"在信息安全工程中，将系统划分为多个安全区域并部署边界访问控制设备，主要目的是","options":["实现不同安全等级区域的隔离与访问控制","提高网络设备的转发性能","简化网络拓扑的布线结构","统一各区域的安全管理口令"],"answer":[0],"explanation":"知识点为安全区域划分与边界防护。正确项说明分区是为了按等级实施隔离与访问控制。错误项把安全分区目的等同于性能优化；错误项把安全设计混同于物理布线；错误项口令统一反而降低安全性，并非分区目的。"},{"id":289,"type":"single","stem":"某系统需满足等保三级要求，在身份鉴别方面除口令外还应采取的措施是","options":["采用两种或以上组合的鉴别技术","将口令长度增加到十二位以上","要求口令每九十天更换一次","对口令进行加密后存储"],"answer":[0],"explanation":"知识点为等保三级身份鉴别要求。正确项指出应采用口令、密码技术、生物技术等两种以上组合鉴别。错误项仅增强口令强度仍是单因素；错误项口令更换周期属于口令策略，不构成双因素；错误项加密存储是口令保护措施，不是鉴别因素增强。"},{"id":290,"type":"single","stem":"某单位开展风险评估时，将以往发生过的安全事件记录作为威胁发生可能性的判断依据，这属于哪类评估方法","options":["基于历史数据的定量或半定量分析","基于专家经验的纯定性判断","基于漏洞扫描结果的自动评估","基于合规检查表的对标评估"],"answer":[0],"explanation":"知识点为风险评估方法分类。正确项说明利用历史事件数据推断可能性属于定量或半定量分析。错误项强调纯主观经验，与使用历史数据不符；错误项漏洞扫描只反映脆弱性；错误项合规对标关注符合性而非可能性推算。"},{"id":291,"type":"single","stem":"安全运维中配置变更后未及时更新网络拓扑图和资产清单，最可能导致的直接后果是","options":["后续故障排查和风险评估依据失真","网络设备转发性能下降","系统口令强度自动降低","安全设备授权数量超限"],"answer":[0],"explanation":"知识点为配置管理与资产管理。正确项指出文档与实际不一致会影响排查和评估。错误项性能变化与文档更新无直接关系；错误项口令强度不会因未更新文档而改变；错误项授权数量与拓扑资产记录是两回事。"},{"id":292,"type":"single","stem":"某单位计划将核心业务系统迁移到云平台，在安全责任划分上，采用基础设施即服务模式时，云服务客户应重点承担","options":["客户自身数据与应用的访问控制配置","云平台物理机房的出入管理","云平台底层虚拟化软件的补丁","云平台骨干网络设备的运维"],"answer":[0],"explanation":"知识点为云计算安全责任共担模型。正确项指出IaaS模式下客户负责数据、应用及自身访问控制等。错误项机房出入由云服务商负责；错误项虚拟化底层补丁通常由云服务商负责；错误项骨干网络运维由云服务商承担。"},{"id":293,"type":"single","stem":"某系统发生安全事件后，运维人员直接重启服务器清除异常进程，未保留现场，这主要破坏了应急响应中的哪项工作","options":["事件取证与原因分析","事件分级与上报","应急预案的演练","应急资源的储备"],"answer":[0],"explanation":"知识点为应急响应处置流程。正确项指出未保留现场会破坏取证和原因分析。错误项分级上报与是否保留现场无直接关系；错误项演练是事前工作；错误项资源储备属应急准备，与现场破坏无关。"},{"id":294,"type":"single","stem":"某测评项目在差距分析阶段发现系统未部署入侵防范措施，但业务高峰期无法停机整改，正确的下一步是","options":["制定分阶段整改计划并明确临时缓解措施","立即停机部署入侵检测设备","暂不整改待系统报废重建","仅口头告知风险由业务部门承担"],"answer":[0],"explanation":"知识点为安全整改的规划与风险缓解。正确项强调在不中断业务前提下分阶段整改并采取临时措施。错误项停机影响业务；错误项放弃整改使风险长期存在；错误项口头告知不能替代技术与管理措施。"},{"id":295,"type":"multi","stem":"某单位安全管理制度要求对重要信息系统的运维操作进行审计，下列做法中符合审计要求的有","options":["对运维人员的登录和操作命令进行记录","审计记录至少保存六个月并防止未授权删除","由运维人员自行决定是否开启审计功能","审计记录仅保存在被审计的主机上","定期对审计记录进行查阅和分析"],"answer":[0,1,4],"explanation":"知识点为安全审计要求。正确项对操作进行记录、审计记录保存并防删、定期查阅分析均符合要求。错误项由被审计者自行决定是否开启审计，失去独立性；错误项审计记录仅存被审计主机，一旦主机被控记录易被篡改或删除。"},{"id":296,"type":"single","stem":"在信息安全风险管理中，组织对识别出的风险进行处置时，选择“通过购买网络安全保险来转移财务损失”属于哪一种风险处置方式","options":["风险规避","风险转移","风险降低","风险接受"],"answer":[1],"explanation":"知识点为风险管理中的风险处置方式分类。购买保险是将风险可能造成的财务后果转由第三方承担，属于风险转移；风险规避是改变活动以彻底消除风险源，风险降低是采取控制措施减小可能性或影响，风险接受是不采取进一步措施而自行承担。"},{"id":297,"type":"single","stem":"某单位已完成等级保护定级备案，现准备对第三级信息系统开展等级测评，按现行网络安全等级保护要求，该系统在测评周期上应满足的是","options":["每年至少开展一次等级测评","每两年至少开展一次等级测评","每三年至少开展一次等级测评","上线前测评一次即可，后续无需定期测评"],"answer":[0],"explanation":"知识点为等级保护测评周期要求。第三级信息系统应每年至少进行一次等级测评；第二级系统一般为每两年一次，第四级系统要求更频繁；上线前测评只是首次测评，不能替代后续定期测评。"},{"id":298,"type":"single","stem":"某安全工程师在设计访问控制策略时，采用“主体仅被授予完成当前任务所必需的最小权限，且权限随任务结束而回收”的原则，这主要体现的是","options":["职责分离原则","最小权限原则","纵深防御原则","默认拒绝原则"],"answer":[1],"explanation":"知识点为访问控制基本原则。最小权限原则要求主体只获得完成任务所必需的最小权限，并在不需要时及时回收；职责分离强调关键操作由多人分担，纵深防御强调多层控制，默认拒绝强调未明确允许即禁止。"},{"id":299,"type":"multi","stem":"在信息安全保障体系中，关于安全工程与运行管理的关系，下列理解正确的有","options":["安全工程侧重于在系统生命周期中同步构建安全能力","安全运行管理侧重于对已上线系统持续监控和变更控制","安全工程完成后即可不再进行风险评估","运行阶段发现的新威胁可能需要反馈到工程阶段进行再设计","安全工程与运行管理应相互独立，避免交叉影响"],"answer":[0,1,3],"explanation":"知识点为安全工程与安全运行管理的协同关系。安全工程强调在生命周期中同步建设安全能力，运行管理强调持续监控与变更控制，运行中发现的威胁可反馈到工程阶段进行再设计；安全工程完成后仍需持续风险评估，二者也不是相互独立而应协同。"},{"id":300,"type":"multi","stem":"某企业信息系统通过三级等保测评后，安全管理员在复核测评报告时发现，测评机构对其中一台承载核心业务数据库的服务器给出的「身份鉴别」测评结论为「不适用」，理由是「该服务器不提供远程交互式登录」；但管理员实际通过堡垒机以本地控制台方式登录过该服务器，且登录时仅输入了口令。针对这一情况，下列处置措施中正确的有哪些？","options":["将该服务器重新纳入身份鉴别测评范围，核查其本地登录是否具备口令复杂度与定期更换策略","要求测评机构说明「不适用」结论的判定依据，并核查堡垒机到该服务器的登录是否真正经过身份鉴别","认可「不适用」结论，因为等保测评中身份鉴别仅针对提供远程交互式登录的设备","补充核查该服务器是否存在双因素鉴别能力，或对无法双因素鉴别的本地登录采取补偿措施","因测评结论已出具，直接沿用原报告结论并归档，待下次测评周期再纠正"],"answer":[0,1,3],"explanation":"考点为等保测评中身份鉴别适用性判定与测评结论复核。正确项0：该服务器存在本地登录且鉴别薄弱，应纳入身份鉴别范围核查口令策略；正确项1：测评机构「不适用」理由与事实不符，应要求说明依据并核查登录路径；正确项3：对无法双因素鉴别的本地登录应评估补偿措施。错误项2：身份鉴别并非仅针对远程交互式登录，本地登录同样可能纳入；错误项4：发现结论与事实不符时不应直接沿用，应复核更正后再归档。"}]}