注册信息安全专业人员（CISP） 练习卷

1某单位按照等级保护要求对信息系统进行定级备案后，准备开展安全建设整改，在整改方案设计阶段应当优先完成的工作是

1. A. 依据定级结果和风险评估结论确定安全需求
2. B. 采购符合相应等级要求的安全产品清单
3. C. 按照最高等级标准统一加固所有信息系统
4. D. 先完成等保测评再根据测评报告整改

2某单位对重要信息系统开展风险评估，在资产识别阶段将硬件、软件、数据、服务、人员等均纳入清单，这一做法的主要目的是

1. A. 为后续威胁和脆弱性识别确定范围
2. B. 直接计算风险值并确定处置优先级
3. C. 满足监管部门对资产台账格式的要求
4. D. 确定各类资产的采购价格和折旧年限

3某单位在安全工程中实施最小权限原则，下列做法与该原则最符合的是

1. A. 按岗位职责授予完成工作所必需的最小权限
2. B. 为便于管理给所有管理员授予相同超级权限
3. C. 员工入职时统一授予所在部门全部系统权限
4. D. 权限申请无需审批由主管口头同意即可开通

4某单位在对新上线系统进行安全工程实施时，将安全功能测试与功能测试同步开展，并在上线前进行安全验收，这一做法的主要作用是

1. A. 尽早发现安全缺陷并降低上线后修复成本
2. B. 替代上线后的定期安全测评工作
3. C. 减少系统功能测试所需的测试用例数量
4. D. 免除开发人员的安全编码培训要求

5某系统已部署入侵检测设备，但管理员发现告警日志长期无人查看，从风险管理角度看，这主要导致哪一环节失效？

1. A. 风险识别
2. B. 风险分析
3. C. 风险处置
4. D. 风险监控

6某管理员为方便远程维护，在防火墙上为运维终端开放了到核心服务器的任意端口访问，并长期未回收，这最违背了哪一安全原则？

1. A. 最小权限原则
2. B. 职责分离原则
3. C. 双人控制原则
4. D. 默认拒绝原则

7某系统采用双因素认证，用户输入密码后再通过短信验证码登录，从认证要素角度看，短信验证码属于？

1. A. 用户所知信息
2. B. 用户所拥有物品
3. C. 用户生物特征
4. D. 用户所处位置

8某单位开展业务连续性管理，以下哪些活动属于业务影响分析（BIA）阶段应完成的内容？（多选）

1. A. 识别关键业务功能及其依赖关系
2. B. 确定关键业务功能的RTO和RPO
3. C. 评估业务中断对组织造成的影响
4. D. 制定系统上线前的安全测评方案
5. E. 实施机房消防系统改造

9在安全工程中采用“纵深防御”策略，其核心理念是

1. A. 部署多层异构安全控制，使单一措施失效不导致整体失陷
2. B. 集中采购同一厂商的全套安全产品以统一管理
3. C. 将所有安全功能集成到边界防火墙上统一实施
4. D. 优先保护核心资产，非核心资产可不设控制

10某系统发生安全事件后，运维人员首先拔掉网线并关机，从应急响应流程看这一处置的主要问题是

1. A. 可能破坏内存等易失性证据并影响溯源
2. B. 没有先通知媒体发布事件信息
3. C. 没有立即重装操作系统恢复业务
4. D. 没有先删除日志以保护隐私

11某单位对重要信息系统开展安全工程时，将安全需求分析提前到系统设计阶段并与业务需求同步评审，这一做法最直接的价值是

1. A. 降低后期因返工导致的安全成本与缺陷
2. B. 替代上线前的等级测评环节
3. C. 减少对运维人员的安全培训需求
4. D. 免除对第三方供应商的安全管理

12某企业开展风险评估时，采用定量方法计算资产损失期望值，其核心计算要素是

1. A. 资产价值、威胁频率、脆弱性严重程度
2. B. 资产价值、威胁频率、安全措施有效性
3. C. 资产价值、威胁频率、单次损失金额
4. D. 资产价值、脆弱性数量、单次损失金额
5. E. 资产价值、威胁来源、安全措施成本

13在信息安全工程中，SSE-CMM模型将工程过程能力划分为多个等级，其第二级称为

1. A. 已执行级
2. B. 已管理级
3. C. 已定义级
4. D. 定量控制级

14某单位安全管理制度规定，重要信息系统的变更须经审批，但运维人员为修复紧急故障先行变更后补审批，该行为主要违背了

1. A. 最小权限原则
2. B. 职责分离原则
3. C. 变更控制原则
4. D. 数据完整性原则

15在信息安全保障体系中，属于运行维护阶段安全控制措施的有（多选）

1. A. 定期开展漏洞扫描与补丁管理
2. B. 对系统变更实施审批与回退机制
3. C. 在开发阶段进行安全编码培训
4. D. 建立安全事件监测与响应流程
5. E. 对上线前系统开展渗透测试

16某组织依据等级保护要求对信息系统进行定级，某二级系统在完成安全建设后开展测评，关于该系统测评周期的做法，下列符合要求的是

1. A. 二级系统建议每两年开展一次等级测评，具体按行业主管部门要求执行
2. B. 二级系统必须与三级系统一样每年开展一次等级测评
3. C. 二级系统在通过首次测评后即可不再开展周期性测评
4. D. 二级系统由系统运营者自行决定是否测评，无周期要求

17在信息安全保障体系中，关于“纵深防御”与“最小权限”两项原则的关系，下列理解正确的是

1. A. 纵深防御通过多层控制降低单点失效影响，最小权限限制主体可访问范围，二者可叠加使用
2. B. 纵深防御要求每层都赋予管理员最高权限以便快速响应，最小权限仅适用于普通用户
3. C. 最小权限是纵深防御的替代方案，实施最小权限后无需再部署多层防护
4. D. 纵深防御只针对网络层，最小权限只针对应用层，二者作用域互不重叠

18安全运维人员发现边界防火墙日志中出现大量来自同一源IP对多个端口的高频连接尝试，但目标端口均未开放，当前最恰当的下一步动作是

1. A. 立即封禁该源IP并留存日志进一步分析
2. B. 重启防火墙清除会话表以恢复性能
3. C. 调整防火墙策略放行该源IP避免误报
4. D. 关闭日志告警以免影响正常监控

19某企业按ISO/IEC 27001建立ISMS，在风险处置阶段决定对一项高风险采取“风险规避”策略，下列做法中符合该策略的是

1. A. 停止使用引发该风险的业务功能
2. B. 购买网络安全保险转移损失
3. C. 部署额外控制措施降低发生概率
4. D. 接受该风险并持续监控其变化

20某单位开展信息安全保障工作，强调“保护、检测、响应、恢复”四个环节协同，其中“检测”环节的核心作用是

1. A. 发现安全事件与异常行为并及时告警
2. B. 阻止攻击流量进入内部网络
3. C. 在事件后尽快恢复业务运行
4. D. 对已发生的损失进行责任认定

21信息安全风险管理中，组织在完成风险评估后决定对某高风险项采取购买网络安全保险的方式应对，这种风险处置方式属于

1. A. 风险规避
2. B. 风险转移
3. C. 风险降低
4. D. 风险接受

22运维人员在防火墙策略变更后，按变更管理流程应首先完成的动作是

1. A. 直接在业务低峰期登录设备修改策略
2. B. 提交变更申请并经审批后再实施
3. C. 先修改策略再补录变更记录
4. D. 通知业务部门后自行决定实施时间

23某企业开展业务连续性管理，针对核心交易系统制定了恢复时间目标RTO为2小时，下列做法中最能验证该目标可达性的是

1. A. 每年组织一次桌面推演讨论恢复步骤
2. B. 定期开展真实切换演练并记录实际恢复耗时
3. C. 将RTO数值写入应急预案并归档
4. D. 委托第三方评审应急预案文档完整性

24某单位开展信息安全风险评估，下列活动属于风险分析阶段工作内容的有（多选）

1. A. 识别信息资产及其价值
2. B. 分析威胁利用脆弱性的可能性
3. C. 评价风险值并确定风险等级
4. D. 制定风险处置计划并落实整改
5. E. 确认评估范围与边界

25信息安全保障中常说的纵深防御，其核心含义是

1. A. 在多个层面部署相互独立的防护措施形成叠加
2. B. 把全部安全预算集中投入到边界防火墙
3. C. 为每台主机安装同一厂商的全套安全产品
4. D. 依靠单一高强度加密算法保护全部数据

26某组织在业务连续性管理中开展 BIA 分析，其首要产出应是

1. A. 关键业务功能及其可容忍中断时间
2. B. 机房消防系统的品牌选型清单
3. C. 全部员工的应急联系电话表
4. D. 年度安全培训的课程安排

27在安全工程中采用安全开发生命周期，将安全需求分析前置到设计阶段，其主要收益是

1. A. 降低后期修复缺陷的成本与返工量
2. B. 完全消除系统上线后的所有安全风险
3. C. 替代上线前的渗透测试与代码审计
4. D. 减少开发团队对安全人员的依赖

28在等级保护测评中，某信息系统定级为三级，关于其安全区域边界的测评要求，下列理解正确的是

1. A. 应在关键网络节点处检测并限制从内部发起的非授权外联行为
2. B. 只需在互联网出口部署防火墙即视为满足边界防护要求
3. C. 边界访问控制规则应默认放行内部访问外部以保障业务
4. D. 边界入侵防范只需部署在网络出口而不必覆盖核心交换区

29某企业拟对重要数据实施备份，要求“任何单点故障不得导致数据永久丢失”，下列备份策略中最符合该要求的是

1. A. 本地磁盘阵列结合异地磁带离线备份并定期恢复演练
2. B. 每日全量备份到同一机房内的备份服务器
3. C. 采用双机热备但主备位于同一机柜
4. D. 每周一次全量备份并保存于办公区文件服务器

30某安全管理员发现服务器日志中出现大量来自同一IP的失败登录记录，且该IP持续尝试不同用户名，最恰当的首要处置是

1. A. 临时封禁该IP并核查是否存在成功登录的异常会话
2. B. 立即重启服务器以清除攻击者可能留下的进程
3. C. 修改所有用户密码并关闭系统远程登录服务
4. D. 删除相关失败登录日志以避免影响日志分析

31某单位发生业务系统中断事件，应急响应小组在“遏制”阶段可采取的措施包括哪些（多选）

1. A. 隔离受影响主机以阻止影响范围扩大
2. B. 保留内存与磁盘镜像等易失性证据
3. C. 立即格式化受影响主机后重装系统
4. D. 评估是否需暂停相关对外服务接口
5. E. 关闭全部机房供电以彻底阻断攻击

32某系统通过等级保护测评后，运维人员认为“测评通过就等于风险已消除”，随后长期不再更新漏洞库和补丁，这种认识的主要问题是把测评结论当成了什么？

1. A. 某一时点的合规符合性证据
2. B. 系统生命周期的持续安全保障
3. C. 安全风险的唯一评价依据
4. D. 安全设备采购的验收条件

33某信息系统定级为第三级，在安全工程实施中，针对“安全区域边界”的访问控制要求，下列哪种做法更符合纵深防御思路？

1. A. 在边界部署访问控制设备并按最小必要原则配置策略
2. B. 仅在主机上安装防病毒软件并依赖其拦截所有入侵
3. C. 把所有内部主机置于同一广播域以便统一管理
4. D. 关闭边界设备的日志功能以减少存储空间占用

34某单位安全运维人员在日常巡检中发现一台对外提供Web服务的服务器出现异常外联行为，经初步分析疑似被植入远控木马，下列处置措施中恰当的是（多选）

1. A. 立即将该服务器从网络中隔离，保留现场并启动应急响应流程
2. B. 直接登录服务器删除可疑进程和文件，尽快恢复业务运行
3. C. 对服务器进行全盘杀毒并修改所有账户口令后重新接入网络
4. D. 提取服务器内存镜像和网络连接记录，用于后续溯源分析
5. E. 仅封禁异常外联的目标IP，不中断服务器对外服务

35安全工程中采用“纵深防御”思想部署防护措施，下列部署方式最能体现该思想的是

1. A. 在网络边界、主机、应用、数据层分别设置不同防护手段
2. B. 在单一网络边界部署两台同型号防火墙做冗余
3. C. 在主机层统一安装同一款防病毒软件并集中管理
4. D. 把全部安全预算集中投入边界入侵检测设备

36某测评机构在等保测评中发现，被测系统的重要业务数据在传输过程中未采取任何保护措施，该问题最直接对应的安全层面是

1. A. 网络和通信安全
2. B. 安全计算环境
3. C. 安全管理制度
4. D. 安全管理机构

37某单位安全运维人员发现一台服务器上出现异常外联行为，经初步判断可能已被植入后门，按照应急响应流程，下一步最恰当的动作是

1. A. 在保持现场的同时隔离该主机并上报
2. B. 立即重装操作系统后恢复业务
3. C. 先删除可疑文件再继续观察
4. D. 直接关闭机房总电源切断全部连接

38在信息安全保障体系中，关于“保护—检测—响应—恢复”模型的描述，正确的是

1. A. 检测能力的作用是发现保护措施未能阻止的安全事件
2. B. 保护措施可以完全消除所有信息安全风险
3. C. 响应阶段的工作重点是恢复业务系统正常运行
4. D. 恢复阶段需要完成对安全事件的根因分析

39安全运维人员发现某服务器上出现异常外联流量，最恰当的第一步处置是

1. A. 立即断开该服务器所有网络连接
2. B. 记录流量特征并保留现场证据
3. C. 直接删除可疑进程并重启服务器
4. D. 向所有员工通报该安全事件

40某系统进行安全功能测试时，测试人员使用错误口令连续尝试登录，观察系统是否锁定账户，这属于验证

1. A. 身份鉴别中的鉴别失败处理
2. B. 访问控制中的最小权限原则
3. C. 数据完整性中的校验机制
4. D. 安全审计中的日志记录功能

41某组织在业务连续性管理中识别出关键业务恢复时间目标，该指标直接决定

1. A. 备份数据的保留周期长度
2. B. 灾难恢复方案的资源投入等级
3. C. 安全审计日志的保存期限
4. D. 员工安全培训的开展频率

42在信息安全保障体系中，关于“安全工程”与“安全运行”的关系，下列描述最准确的是

1. A. 安全工程关注系统生命周期内的安全建设，安全运行关注系统上线后的持续安全保障
2. B. 安全工程只在系统建设阶段实施，安全运行可完全替代工程阶段的安全设计
3. C. 安全工程与安全运行相互独立，运行阶段发现的问题不影响工程阶段设计
4. D. 安全工程强调技术措施部署，安全运行强调管理制度执行，两者目标不同

43某企业依据风险管理标准开展风险计算，资产价值为高、威胁发生频率为低、脆弱性严重程度为中，在常见风险矩阵中该风险等级通常应判定为

1. A. 低风险，可直接接受无需处置
2. B. 中风险，需在规定期限内采取处置措施
3. C. 高风险，必须立即停止相关业务
4. D. 可忽略风险，仅在下次评估时复核

44在信息安全保障工作中，关于“纵深防御”策略的落地方式，下列做法最符合其核心理念的是

1. A. 在边界部署高性能防火墙，内部网络默认信任不再设防
2. B. 在边界、网络、主机、应用、数据各层分别部署相应控制措施并相互配合
3. C. 集中采购一款集成多种安全功能的一体化设备替代各层防护
4. D. 仅在核心数据层加密，其他层面依靠管理制度约束

45某单位按等级保护要求开展安全建设整改，在“安全管理制度”层面，下列整改内容最符合要求的是

1. A. 采购新一代防火墙替换老旧设备并升级特征库
2. B. 建立安全策略、管理制度、操作规程和记录表单的分层文件体系
3. C. 对服务器操作系统统一安装防病毒软件并定期扫描
4. D. 在核心交换机上启用端口安全与ARP防护功能

46某企业已完成等保三级测评，测评报告显示某高风险问题未整改，此时该企业最恰当的处置方式是

1. A. 在整改期限内制定整改方案并跟踪闭环
2. B. 直接申请复测以验证现有措施有效性
3. C. 将该风险登记后转由下一年度预算处理
4. D. 暂停所有对外业务直至风险消除

47某运维人员发现服务器日志中大量失败登录来自同一IP，正确的下一步处置是

1. A. 确认是否为误报后按预案封禁并留存证据
2. B. 立即重启服务器以清除异常会话
3. C. 直接删除该IP相关的全部日志记录
4. D. 通知该IP所属单位要求其停止攻击

48在安全工程中，对系统进行威胁建模时，STRIDE方法中的'I'代表

1. A. 信息泄露
2. B. 身份欺骗
3. C. 完整性破坏
4. D. 接口滥用

49在信息安全风险管理中，组织对某资产识别出威胁发生的可能性为高、脆弱性被利用的难易程度为中，但该资产价值较低，按风险计算原理最恰当的处理是

1. A. 直接判定为高风险并立即停产整改
2. B. 结合资产价值综合计算后确定风险等级
3. C. 因资产价值低而直接接受该风险
4. D. 仅依据威胁可能性高就启动应急响应

50某组织在实施ISMS时，对已识别的风险选择了保险转移的方式，以下关于该风险处置方式的描述正确的是

1. A. 转移后组织不再承担任何相关残余风险
2. B. 转移后仍需对残余风险进行监视和评审
3. C. 转移意味着该风险已从风险清单中删除
4. D. 转移只适用于低价值资产的低风险

51在信息安全保障体系中，为验证已部署安全控制措施在实际运行中的有效性，最直接有效的方式是

1. A. 定期开展渗透测试与安全配置核查
2. B. 每年更新一次安全管理制度文档
3. C. 增加安全设备的采购数量
4. D. 提高全员安全意识的培训频次

52依据信息安全等级保护的安全通用要求，对于第三级信息系统在身份鉴别方面，除口令外还应采用的措施是

1. A. 采用两种或两种以上组合的鉴别技术
2. B. 仅对口令复杂度提出更高要求
3. C. 增加口令更换频率至每周一次
4. D. 将口令统一由管理员代为保管

53某单位开展风险评估时，识别出资产价值高、威胁发生频率低、但一旦发生后果极严重的风险，在风险处置优先级排序中通常应重点考虑

1. A. 风险值等于威胁频率与脆弱性之和
2. B. 风险值由资产价值、威胁、脆弱性共同决定
3. C. 风险值仅由资产价值高低决定
4. D. 风险值仅由威胁频率高低决定

54在信息安全风险管理中，将风险从一处转移到另一处（如购买网络安全保险）属于

1. A. 风险转移
2. B. 风险规避
3. C. 风险降低
4. D. 风险接受

55某单位对重要信息系统开展容灾建设，要求本地生产中心发生故障后能在极短时间内由同城灾备中心接管，且数据丢失量极小，这主要对应容灾指标中的

1. A. RTO小且RPO小
2. B. RTO大且RPO大
3. C. RTO小且RPO大
4. D. RTO大且RPO小

56某单位拟对核心业务系统开展安全工程实施，下列活动属于安全工程中安全需求分析阶段应完成的有（多选）

1. A. 识别系统需要保护的资产及其安全属性
2. B. 确定系统面临的安全威胁与脆弱性
3. C. 编写系统详细设计说明书中的模块接口
4. D. 部署入侵检测系统并配置检测规则

57某安全运维人员发现一台对外提供服务的服务器在凌晨出现异常外联流量，经初步排查疑似被植入远控木马，按照应急响应流程，下一步最应先开展的工作是

1. A. 立即对该服务器格式化重装系统以彻底清除木马
2. B. 对服务器进行网络隔离并保存内存与日志等证据
3. C. 直接关闭全单位互联网出口以阻断所有外联
4. D. 先通知业务部门继续观察一天再决定是否处置

58某单位对重要业务系统开展等保测评，测评中发现数据库审计设备已部署但未配置任何审计规则，从等保测评角度对该情况的判断最恰当的是

1. A. 设备已部署即视为该项控制措施符合要求
2. B. 设备未配置规则导致无法产生有效审计记录，应判为不符合
3. C. 只要数据库本身开启了日志功能，审计设备未配置可判为部分符合
4. D. 将该问题记录为建议项，不影响该控制项的符合性判定

59某单位计划将核心业务系统迁移至云平台，在安全工程实施中开展供应链安全管理，以下做法最符合要求的是

1. A. 与云服务商签订服务协议后即可将其视为可信，无需再评估
2. B. 在合同中明确安全责任边界、数据归属与安全事件通报要求
3. C. 要求云服务商提供其内部全部源代码以便自行审计
4. D. 将系统迁移后所有安全责任一并转移给云服务商承担

60在信息安全风险管理中，组织完成风险评估后决定对某信息系统实施等保二级备案，该处置措施属于哪一类风险处置策略

1. A. 风险规避
2. B. 风险降低
3. C. 风险转移
4. D. 风险接受

61在信息安全保障体系中，PDR模型与P2DR模型相比，P2DR模型新增的核心要素是

1. A. 策略
2. B. 检测
3. C. 响应
4. D. 防护

62某信息系统通过等保测评后，运维人员为方便远程维护在防火墙上临时开放了3389端口且未登记，该行为主要违反了安全运维中的哪项要求

1. A. 介质管理要求
2. B. 变更管理要求
3. C. 备份恢复要求
4. D. 应急演练要求

63某单位发生数据泄露事件后，安全团队在应急处置阶段首先应开展的工作是

1. A. 立即对外发布事件通告
2. B. 对事件进行抑制防止影响扩大
3. C. 重建全部受影响的业务系统
4. D. 追究相关人员的法律责任

64某单位开展风险评估，识别出资产A面临威胁T，且存在一个弱点V可被T利用，则风险值通常应结合下列哪组要素综合判定

1. A. 资产价值、威胁发生频率、弱点被利用的难易程度
2. B. 资产价值、威胁来源国别、弱点所属系统版本
3. C. 威胁发生频率、弱点扫描器品牌、资产采购价格
4. D. 资产所在机房等级、威胁情报订阅数量、弱点修复工时

65关于SSE-CMM（系统安全工程能力成熟度模型）与CMMI的关系，下列描述正确的是

1. A. SSE-CMM完全取代CMMI用于软件过程改进
2. B. SSE-CMM聚焦安全工程过程能力，CMMI聚焦通用过程能力
3. C. 两者均由ISO发布且适用范围完全一致
4. D. SSE-CMM仅适用于硬件制造，CMMI仅适用于软件开发

66关于安全审计日志的保护要求，下列做法最符合信息安全保障原则的是

1. A. 日志集中存储并对访问日志的账号进行严格管控
2. B. 日志仅保存在各主机本地且由系统管理员随意查看
3. C. 为节省空间仅保留最近三天日志并自动覆盖
4. D. 将日志与业务数据存放在同一可读写目录

67某单位安全运维人员巡检时发现，核心交换机管理口可通过公网直接访问且使用默认口令，正确的下一步处置是

1. A. 先记录并观察一周，确认无人攻击后再处理
2. B. 立即限制管理口访问来源并修改默认口令，随后评估影响
3. C. 仅在防火墙上关闭该公网IP的80端口
4. D. 通知厂商等待下一版本固件升级时一并解决

68在等级保护测评中，某三级系统机房出入口未配置电子门禁记录，测评师应将该情况判定为哪类问题

1. A. 物理访问控制措施缺失
2. B. 网络安全区域边界防护不足
3. C. 主机恶意代码防范缺失
4. D. 数据备份恢复策略不当

69在风险管理中，组织决定对某高风险项购买网络安全保险，这种风险处置方式属于

1. A. 风险转移
2. B. 风险规避
3. C. 风险降低
4. D. 风险接受

70在配置安全基线时，某管理员仅关闭了服务器上未使用的服务端口，但未修改默认管理员账户名，该配置最可能遗留的风险是

1. A. 默认账户易被暴力破解或猜解
2. B. 未使用端口会重新开放
3. C. 服务端口关闭导致系统不稳定
4. D. 账户名修改会影响服务运行

71某单位开展风险评估时，将资产价值、威胁发生频率、脆弱性严重程度三者综合计算风险值，这一做法对应的风险要素关系是

1. A. 风险由威胁利用脆弱性对资产造成影响
2. B. 风险仅由资产价值高低直接决定
3. C. 风险等于威胁频率乘以资产数量
4. D. 风险由脆弱性数量单独累加得出

72某系统日志显示同一账号在短时间内从两个相距较远的城市登录成功，安全管理员首先应做的判断是

1. A. 排查是否存在账号共享或凭据泄露
2. B. 确认两地是否在同一时区
3. C. 检查服务器时间是否同步
4. D. 核实该账号是否具有管理员权限

73风险管理中，对于发生概率低但一旦发生影响极大的风险，较适宜的策略是

1. A. 转移风险并保留残余风险监控
2. B. 直接接受且不采取任何措施
3. C. 提高发生概率以摊薄成本
4. D. 忽略该风险以节约安全投入

74某单位完成等保整改后，安全管理员对整改结果进行验证，最应关注的证据是

1. A. 配置核查记录与复测报告
2. B. 整改方案文档的页数
3. C. 会议签到表的完整性
4. D. 设备采购发票的金额

75某单位开展风险评估时，识别出资产面临的一个威胁发生可能性为高、脆弱性严重程度为中，且该资产价值很高，按典型风险计算思路，该风险等级最可能被判定为

1. A. 高风险
2. B. 中风险
3. C. 低风险
4. D. 可忽略风险

76某单位安全运维人员发现一台服务器出现异常外联，初步判断可能已被植入后门，按应急处置流程，首先应采取的处置措施是

1. A. 隔离该服务器并保留现场证据
2. B. 立即重启服务器以清除可疑进程
3. C. 直接删除可疑文件并恢复业务
4. D. 断开全网出口以阻断所有外联

77某企业开展业务连续性管理，针对核心系统制定了恢复时间目标与恢复点目标，其中恢复点目标主要衡量的是

1. A. 灾难发生后可容忍的数据丢失量
2. B. 系统从故障到恢复的最长允许时间
3. C. 备用站点接管业务的最短切换时间
4. D. 备份介质异地保存的最远距离

78在信息安全保障体系中，负责将组织的业务战略转化为可执行的安全目标与安全策略的环节是

1. A. 安全治理
2. B. 安全运维
3. C. 安全测评
4. D. 安全审计

79某单位安全运维人员发现服务器日志中出现大量来自同一境外IP的SSH登录失败记录，且失败用户名均为常见系统账户，最应优先采取的措施是

1. A. 立即重启服务器清除会话
2. B. 对该IP进行封禁并核查账户口令强度
3. C. 关闭服务器所有对外网络端口
4. D. 删除相关日志避免告警扩散

80安全运维中配置变更管理的核心目的是

1. A. 确保变更经过授权、测试和记录
2. B. 缩短变更实施所需的时间
3. C. 减少变更申请的数量
4. D. 由运维人员独立决定变更方案

81某企业将核心业务系统迁移至云平台，要求云服务商提供其内部员工操作行为的审计记录，这主要体现的安全需求是

1. A. 可追溯性
2. B. 可用性
3. C. 完整性
4. D. 保密性

82某信息系统通过防火墙限制只允许特定IP访问管理端口，这属于哪一类安全措施？

1. A. 物理安全措施
2. B. 访问控制措施
3. C. 数据加密措施
4. D. 安全审计措施

83在安全工程中，将安全需求分解为可验证的安全功能要求，并据此设计安全架构，这一过程属于？

1. A. 安全运行管理
2. B. 安全工程过程
3. C. 安全测评认证
4. D. 安全事件响应

84在风险管理中，对已识别风险进行评价时，通常用哪两个维度确定风险等级？

1. A. 发生概率与影响程度
2. B. 资产价值与修复成本
3. C. 威胁数量与漏洞数量
4. D. 控制措施与预算规模

85在信息安全保障体系中，关于“业务连续性管理”与“灾难恢复”的关系，以下理解正确的是

1. A. 灾难恢复是业务连续性管理的组成部分，聚焦于IT系统恢复
2. B. 业务连续性管理仅关注IT系统，灾难恢复涵盖全部业务
3. C. 灾难恢复是业务连续性管理的前置条件，须先恢复IT再谈业务
4. D. 业务连续性与灾难恢复是并列关系，分别由不同部门独立负责

86某员工收到一封声称来自IT部门的邮件，要求点击链接重置邮箱密码，链接域名为公司域名的相似拼写，该员工应采取的处置是

1. A. 点击链接并按提示输入旧密码验证身份
2. B. 回复邮件询问发件人是否为真实IT人员
3. C. 不点击链接，通过官方渠道向IT部门核实
4. D. 将邮件转发给同事请其帮忙判断真假

87某运维人员在变更生产数据库配置前，按流程提交了变更申请并获批，实施后系统出现异常，回退时发现未准备回退方案，该事件暴露的主要问题是

1. A. 变更审批流程过于冗长
2. B. 变更实施时间选择不当
3. C. 变更方案缺少回退计划与验证环节
4. D. 数据库配置本身不应纳入变更管理

88在信息安全工程实施过程中，以下活动属于“安全工程”而非单纯“安全运维”范畴的有（多选）

1. A. 在系统设计阶段开展威胁建模
2. B. 对已上线系统进行日常漏洞扫描
3. C. 在需求阶段定义安全功能与保障要求
4. D. 对生产环境进行配置基线的日常核查

89某企业拟将核心业务系统迁移至公有云，安全工程师提出应明确云服务商与企业在数据泄露事件中的响应分工，该要求主要对应云计算安全中哪一方面的责任划分

1. A. 安全责任共担
2. B. 数据残留处置
3. C. 虚拟化隔离
4. D. 多租户审计

90某系统需实现数据完整性校验，工程师选用基于密钥的算法对报文生成固定长度校验值，接收方用同一密钥验证，该做法属于哪类机制

1. A. 消息摘要
2. B. 消息认证码
3. C. 数字签名
4. D. 对称加密

91某企业发生数据泄露后，法务要求安全团队保存受影响主机内存镜像和磁盘镜像，同时保持系统在线以维持业务，安全团队应优先采取的措施是

1. A. 对内存和磁盘做镜像并记录操作过程
2. B. 直接重启主机以清除可能存在的恶意进程
3. C. 立即格式化磁盘后重装系统恢复业务
4. D. 关闭主机电源等待取证人员到场

92在信息安全保障体系中，为信息系统划分安全保护等级并实施监管的核心制度是

1. A. 信息安全等级保护制度
2. B. 信息安全风险评估制度
3. C. 信息安全产品认证制度
4. D. 信息安全应急响应制度

93某系统已完成等级保护测评，测评报告指出存在高风险项，运营使用单位首先应做的工作是

1. A. 对高风险项制定整改方案并落实整改
2. B. 立即关闭该系统停止对外服务
3. C. 重新开展一次系统定级备案
4. D. 将测评报告归档等待下次测评

94在安全工程的需求分析阶段，用于描述系统边界、外部接口和安全假设的文档通常是

1. A. 安全需求规格说明
2. B. 安全测试报告
3. C. 安全应急预案
4. D. 安全审计日志

95某系统发生安全事件后，为保留证据并防止影响扩大，正确的处置顺序是

1. A. 先隔离控制再取证分析后恢复
2. B. 先恢复业务再隔离控制后取证
3. C. 先删除恶意文件再恢复业务后取证
4. D. 先重启系统再取证分析后恢复

96某测评机构对被测定级系统进行现场测评，发现一项高风险问题但未在报告中体现，仅口头告知被测单位，这种做法违反了测评工作的哪项要求

1. A. 测评结论应客观完整记录
2. B. 测评过程应提前通知
3. C. 测评人员应持证上岗
4. D. 测评工具应经过校准

97某系统需满足等保三级要求，在身份鉴别方面除口令外还应采取的措施是

1. A. 采用两种或以上组合的鉴别技术
2. B. 将口令长度增加到十二位以上
3. C. 要求口令每九十天更换一次
4. D. 对口令进行加密后存储

98某单位计划将核心业务系统迁移到云平台，在安全责任划分上，采用基础设施即服务模式时，云服务客户应重点承担

1. A. 客户自身数据与应用的访问控制配置
2. B. 云平台物理机房的出入管理
3. C. 云平台底层虚拟化软件的补丁
4. D. 云平台骨干网络设备的运维

99某单位安全管理制度要求对重要信息系统的运维操作进行审计，下列做法中符合审计要求的有（多选）

1. A. 对运维人员的登录和操作命令进行记录
2. B. 审计记录至少保存六个月并防止未授权删除
3. C. 由运维人员自行决定是否开启审计功能
4. D. 审计记录仅保存在被审计的主机上
5. E. 定期对审计记录进行查阅和分析

100某安全工程师在设计访问控制策略时，采用“主体仅被授予完成当前任务所必需的最小权限，且权限随任务结束而回收”的原则，这主要体现的是

1. A. 职责分离原则
2. B. 最小权限原则
3. C. 纵深防御原则
4. D. 默认拒绝原则