2025年信息系统安全专家社会工程学防护的成本效益与风险评估专题试卷及解析.pdfVIP

2025年信息系统安全专家社会工程学防护的成本效益与风险评估专题试卷及解析1

2025年信息系统安全专家社会工程学防护的成本效益与风

险评估专题试卷及解析

2025年信息系统安全专家社会工程学防护的成本效益与风险评估专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在社会工程学防护中，以下哪项措施的成本效益最高？

A、部署昂贵的生物识别系统

B、定期开展全员安全意识培训

C、购买最新的防火墙设备

D、雇佣24小时安全监控团队

【答案】B

【解析】正确答案是B。安全意识培训投入成本相对较低，但能有效提升员工对钓

鱼邮件、电话诈骗等社会工程学攻击的识别能力，预防效果显著，因此成本效益最高。

A、C、D选项虽然能提升安全性，但投入成本极高，且主要针对技术层面攻击，对社

会工程学防护效果有限。知识点：社会工程学防护的成本效益分析。易错点：容易忽视

人员培训在安全防护中的核心作用。

2、在进行社会工程学风险评估时，最应优先考虑的因素是？

A、攻击者的技术水平

B、组织员工的安全意识水平

C、网络设备的物理位置

D、软件系统的版本号

【答案】B

【解析】正确答案是B。社会工程学攻击主要利用人的心理弱点，因此员工的安全

意识水平是决定风险高低的关键因素。A、C、D虽然也是安全评估的要素，但对社会

工程学攻击的影响相对较小。知识点：社会工程学风险评估的核心要素。易错点：容易

过度关注技术因素而忽略人为因素。

3、以下哪种社会工程学攻击形式最难通过技术手段完全防御？

A、钓鱼邮件

B、恶意软件

C、冒充权威人士的电话诈骗

D、网络钓鱼

【答案】C

【解析】正确答案是C。电话诈骗利用人际沟通和心理操控，技术手段难以有效识

别和阻止，主要依赖人的判断力。A、B、D可以通过邮件过滤、杀毒软件等技术手段

2025年信息系统安全专家社会工程学防护的成本效益与风险评估专题试卷及解析2

部分防御。知识点：社会工程学攻击的防御难点。易错点：可能误认为所有攻击都能通

过技术手段解决。

4、在评估社会工程学防护措施的效果时，最直接的指标是？

A、安全设备日志分析

B、员工安全培训参与率

C、模拟攻击测试的成功率

D、安全预算使用情况

【答案】C

【解析】正确答案是C。模拟攻击测试能直接反映防护措施的实际效果，是评估员

工应对能力的有效方法。A、B、D是辅助指标，不能直接衡量防护效果。知识点：社

会工程学防护效果评估方法。易错点：可能混淆过程指标与结果指标。

5、以下哪项不属于社会工程学防护的直接成本？

A、培训讲师费用

B、员工培训时间成本

C、安全宣传材料制作费

D、因攻击导致的数据泄露损失

【答案】D

【解析】正确答案是D。数据泄露损失是攻击发生后的间接成本，而非防护措施的

投入。A、B、C均为实施防护措施时产生的直接成本。知识点：社会工程学防护的成

本分类。易错点：容易混淆防护成本与攻击损失。

6、在制定社会工程学防护策略时，应优先考虑？

A、最大化技术防护投入

B、最小化安全预算支出

C、平衡成本与风险承受能力

D、完全消除所有风险

【答案】C

【解析】正确答案是C。防护策略需在成本与风险之间找到平衡点，过度投入或投

入不足都不可取。A、B、D都过于极端，不符合实际管理需求。知识点：社会工程学

防护策略制定原则。易错点：可能追求绝对安全而忽视成本限制。

7、以下哪种员工行为最容易导致社会工程学攻击成功？

A、定期更改密码

B、随意点击未知链接

C、使用复杂密码

D、及时报告可疑活动

【答案】B

2025年信息系统安全专家社会工程学防护的成本效益与风险评估专题试卷及解析3

【解析】正确答案是B。随意点击未知链接是钓鱼攻击等社会工程学手段的常见突

破口。A、C、D是良好的安全行为。知识点：员工安全行为风险分析。易错点：可能

低估日常操作中的安全风险。

8、在进行社会工程学风险评估时，“攻击面”主要指？

A、组织的外部网络接口数量

B、可能被攻击者利用的人员和流程弱点