2025年信息系统安全供应商与第三方风险管理专题试卷及解析.docxVIP

2025年信息系统安全供应商与第三方风险管理专题试卷及解析

2025年信息系统安全供应商与第三方风险管理专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在第三方风险管理中，以下哪项是供应商尽职调查的首要目标？

A、降低采购成本

B、评估供应商的安全控制措施是否符合组织要求

C、缩短供应商选择周期

D、确保供应商提供的技术最先进

【答案】B

【解析】正确答案是B。供应商尽职调查的核心是评估其安全能力，确保其安全控制措施能够满足组织的安全要求和合规标准，从而降低第三方带来的安全风险。A选项关注成本，C选项关注效率，D选项关注技术先进性，虽然也是考虑因素，但不是安全风险管理的首要目标。知识点：供应商尽职调查的核心目标。易错点：容易将采购或技术目标与安全目标混淆。

2、根据NISTSP800161框架，第三方风险管理的生命周期不包括以下哪个阶段？

A、规划

B、供应商选择

C、持续监控

D、合同终止

【答案】D

【解析】正确答案是D。NISTSP800161描述的第三方风险管理生命周期通常包括规划、供应商选择、合同签订、持续监控和供应商关系终止后的处理。合同终止本身是一个事件，而不是一个独立的管理阶段，其相关活动属于“供应商关系终止后的处理”阶段。知识点：NIST第三方风险管理框架。易错点：容易将“合同终止”视为一个独立阶段，而忽略了它属于终止后处理的一部分。

3、在与云服务提供商签订合同时，以下哪个条款对于明确安全责任最为关键？

A、服务水平协议（SLA）

B、数据所有权条款

C、责任共担模型

D、数据驻留条款

【答案】C

【解析】正确答案是C。责任共担模型明确划分了云服务商和客户各自的安全责任，是避免责任不清、安全漏洞的关键。SLA（A）定义了服务性能，数据所有权（B）定义数据归属，数据驻留（D）定义数据存储位置，虽然都重要，但责任共担模型是安全责任划分的基础。知识点：云服务安全责任划分。易错点：可能认为SLA是核心，但SLA更多关注可用性和性能，而非安全责任边界。

4、在进行供应商风险评估时，以下哪种方法最适合量化潜在财务损失？

A、定性风险评估

B、故障树分析

C、定量风险评估

D、德尔菲法

【答案】C

【解析】正确答案是C。定量风险评估通过货币化方式（如ALE）来评估风险，能够直接量化潜在的财务损失，为决策提供数据支持。定性评估（A）使用高、中、低等描述性等级，故障树分析（B）主要用于分析系统故障原因，德尔菲法（D）是一种专家预测方法。知识点：风险评估方法。易错点：容易混淆定性与定量评估的应用场景。

5、当发现关键供应商存在严重安全漏洞时，组织应采取的第一步措施是什么？

A、立即终止合同

B、要求供应商在规定时间内修复漏洞

C、启动应急预案，评估对自身业务的影响

D、公开披露该漏洞

【答案】C

【解析】正确答案是C。发现严重安全漏洞后，首要任务是保护自身业务安全，因此应立即启动应急预案，评估漏洞可能带来的影响，并采取临时缓解措施。直接终止合同（A）可能造成业务中断，要求修复（B）是后续步骤，公开披露（D）需谨慎评估。知识点：安全事件响应流程。易错点：容易跳过影响评估，直接采取惩罚性或修复性措施。

6、以下哪项不属于供应商关系管理（SRM）的范畴？

A、定期与供应商进行安全绩效评估

B、仅在与供应商初次合作时进行安全审查

C、与供应商建立联合安全事件响应机制

D、将供应商安全表现纳入合同续约考量

【答案】B

【解析】正确答案是B。SRM强调对供应商的持续、动态管理，而不仅仅是初次合作时的审查。A、C、D都是SRM的持续管理活动。知识点：供应商关系管理的持续性。易错点：将供应商管理等同于一次性的准入审查。

7、GDPR（通用数据保护条例）对处理个人数据的第三方供应商的主要要求是什么？

A、供应商必须位于欧盟境内

B、数据处理协议（DPA）必须明确规定双方责任

C、供应商必须通过ISO27001认证

D、数据主体有权直接向供应商索赔

【答案】B

【解析】正确答案是B。GDPR要求数据控制者与数据处理者（即供应商）必须签订数据处理协议（DPA），明确数据处理的范围、目的、安全措施和责任。供应商不一定在欧盟（A），ISO27001（C）不是强制要求，数据主体通常向控制者索赔（D）。知识点：GDPR对第三方供应商的要求。易错点：可能误认为地理位置或特定认证是核心要求。

8、在软件供应链安全中，“软件物料清单”（SBOM）的主要作用是什么？

A、列出软件的所有功能特性

B、详细记录软件中包含的所有组件及其版本信息

C、评估软件的性能指标

D、提供软件的用户手册

【答案】B

【解析】正确答案是B。SBOM的核心作用是提供软件组件的透明度，详细列出其包含的开源和商业组件、库及版本，以便在发现漏洞时快速定位和修复。A