2025年信息系统安全专家访问控制策略合规性检查专题试卷及解析.docxVIP

2025年信息系统安全专家访问控制策略合规性检查专题试卷及解析

2025年信息系统安全专家访问控制策略合规性检查专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在访问控制策略合规性检查中，以下哪项是“最小权限原则”的核心要求？

A、用户应拥有所有系统资源的访问权限

B、用户仅被授予完成其工作所必需的最小权限

C、用户权限应定期自动提升

D、用户权限应由部门经理直接分配

【答案】B

【解析】正确答案是B。最小权限原则（PrincipleofLeastPrivilege,PoLP）是信息安全的基本原则，要求用户只被授予完成其工作所必需的最小权限，以减少潜在的安全风险。选项A违反了最小权限原则；选项C可能导致权限滥用；选项D忽略了权限分配的合规性审查流程。知识点：访问控制基本原则。易错点：将最小权限原则与权限定期审查混淆。

2、以下哪种访问控制模型主要基于用户身份和资源属性进行动态决策？

A、自主访问控制（DAC）

B、强制访问控制（MAC）

C、基于角色的访问控制（RBAC）

D、基于属性的访问控制（ABAC）

【答案】D

【解析】正确答案是D。ABAC通过用户属性、资源属性和环境条件动态计算访问权限，灵活性高。DAC依赖资源所有者授权；MAC基于安全标签；RBAC基于角色分配权限。知识点：访问控制模型。易错点：混淆ABAC与RBAC的区别。

3、在合规性检查中，以下哪项是“职责分离”原则的直接体现？

A、同一用户可同时申请和审批资源访问

B、关键操作需多人协作完成

C、所有用户共享管理员账户

D、权限分配无需记录

【答案】B

【解析】正确答案是B。职责分离要求关键操作由不同角色分担，防止单点滥用。选项A违反职责分离；选项C增加安全风险；选项D违反审计要求。知识点：访问控制策略设计。易错点：将职责分离与权限最小化混淆。

4、以下哪项是访问控制策略合规性检查的关键审计内容？

A、用户密码复杂度

B、权限分配与业务需求的匹配性

C、系统硬件配置

D、网络带宽使用情况

【答案】B

【解析】正确答案是B。合规性检查核心是验证权限分配是否符合业务需求和策略。选项A虽重要但非访问控制核心；选项C、D与访问控制无关。知识点：合规性审计要点。易错点：忽略业务需求与权限的关联性。

5、在RBAC模型中，以下哪项是“角色继承”的主要作用？

A、简化权限管理

B、增加用户数量

C、提高系统性能

D、减少日志记录

【答案】A

【解析】正确答案是A。角色继承允许子角色继承父角色权限，减少重复配置。选项B、C、D与角色继承无关。知识点：RBAC模型特性。易错点：混淆角色继承与权限最小化。

6、以下哪项是访问控制策略合规性检查中“权限审查”的典型频率？

A、每日一次

B、每周一次

C、每季度一次

D、每年一次

【答案】C

【解析】正确答案是C。行业标准（如ISO27001）建议每季度或每半年审查权限。选项A、B频率过高；选项D间隔过长。知识点：权限审查周期。易错点：忽略行业最佳实践。

7、以下哪项是“强制访问控制（MAC）”的主要特点？

A、用户可自由分配权限

B、权限由系统根据安全标签强制分配

C、权限基于用户角色

D、权限无需审计

【答案】B

【解析】正确答案是B。MAC通过安全标签（如机密等级）强制控制访问。选项A是DAC特点；选项C是RBAC特点；选项D违反审计要求。知识点：MAC模型。易错点：混淆MAC与DAC。

8、在合规性检查中，以下哪项是“临时权限”管理的最佳实践？

A、永久分配临时权限

B、临时权限无需审批

C、临时权限需自动过期

D、临时权限可共享

【答案】C

【解析】正确答案是C。临时权限应设置自动过期时间，防止长期滥用。选项A、B、D均增加安全风险。知识点：临时权限管理。易错点：忽略临时权限的生命周期管理。

9、以下哪项是访问控制策略合规性检查中“异常访问”的典型特征？

A、用户在非工作时间访问敏感数据

B、用户使用弱密码

C、系统日志未记录访问行为

D、权限分配文档缺失

【答案】A

【解析】正确答案是A。异常访问通常指时间、地点或行为模式偏离常规。选项B是密码策略问题；选项C是日志管理问题；选项D是文档管理问题。知识点：异常访问检测。易错点：混淆异常访问与策略违规。

10、以下哪项是“访问控制策略合规性检查”的最终目标？

A、提高系统性能

B、确保访问控制策略符合法规和标准

C、减少用户数量

D、简化系统架构

【答案】B

【解析】正确答案是B。合规性检查的核心是验证策略是否符合法规（如GDPR）和标准（如ISO27001）。选项A、C、D与合规性无关。知识点：合规性检查目标。易错点：忽略法规与标准的约束。

第二部分：多项选择题（共10题，每题2分）

1、以下哪些是访问控制策略合规性检查的关键要素？

A、权限