2025年信息安全保障人员认证（CISAW）考试题库（附答案和详细解析）（1223）.docxVIP

信息安全保障人员认证（CISAW）考试试卷

一、单项选择题（共10题，每题1分，共10分）

信息安全的核心三要素（CIA）是指？

A.保密性、完整性、可追溯性

B.保密性、完整性、可用性

C.可控性、完整性、可用性

D.保密性、抗抵赖性、可用性

答案：B

解析：信息安全的核心三要素（CIA）是保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。选项A中的“可追溯性”属于扩展属性；选项C中的“可控性”是安全管理目标；选项D中的“抗抵赖性”是不可否认性的要求，均非核心三要素。

以下哪项是最小权限原则的正确表述？

A.用户应拥有执行任务所需的最高权限

B.用户仅拥有完成任务所需的最低权限

C.系统默认开放所有权限，按需关闭

D.权限分配与用户职位级别直接挂钩

答案：B

解析：最小权限原则要求用户仅被授予完成特定任务所必需的最小权限集合，以降低误操作或恶意滥用的风险。选项A与原则相反；选项C是“最大权限”的错误实践；选项D未体现“最小”的核心要求。

以下哪种加密算法属于非对称加密？

A.AES

B.DES

C.RSA

D.SHA-256

答案：C

解析：非对称加密使用公钥和私钥对（如RSA），而对称加密（AES、DES）使用相同密钥，SHA-256是哈希算法。因此正确选项为C。

安全事件响应流程的第一阶段是？

A.遏制（Containment）

B.准备（Preparation）

C.检测（Detection）

D.恢复（Recovery）

答案：B

解析：完整的安全事件响应流程包括准备、检测、分析、遏制、根除、恢复、总结7个阶段，其中“准备”是预先建立响应机制的阶段，是流程的起点。其他选项均为后续阶段。

以下哪项不属于访问控制模型？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于时间的访问控制（TBAC）

答案：D

解析：常见的访问控制模型包括DAC、MAC、RBAC、基于属性的访问控制（ABAC）等。“基于时间的访问控制”是访问控制的一种策略维度，而非独立模型。

网络安全等级保护（等保2.0）中，第三级系统的保护要求属于？

A.指导保护级

B.监督保护级

C.强制保护级

D.专控保护级

答案：B

解析：等保2.0分级为：第一级（自主保护）、第二级（指导保护）、第三级（监督保护）、第四级（强制保护）、第五级（专控保护）。第三级对应“监督保护级”。

以下哪项是PKI（公钥基础设施）的核心组件？

A.证书颁发机构（CA）

B.入侵检测系统（IDS）

C.虚拟专用网（VPN）

D.防火墙（Firewall）

答案：A

解析：PKI的核心组件包括CA（证书颁发机构）、RA（注册机构）、CRL（证书撤销列表）等。其他选项均为网络安全设备，与PKI无关。

漏洞扫描的主要目的是？

A.拦截网络攻击

B.发现系统脆弱性

C.加密传输数据

D.监控用户行为

答案：B

解析：漏洞扫描是通过工具检测系统中存在的已知脆弱性（如未打补丁的软件），为修复提供依据。选项A是防火墙/IDS的功能；选项C是加密技术的功能；选项D是审计系统的功能。

以下哪种攻击属于应用层攻击？

A.SYNFlood

B.SQL注入

C.ARP欺骗

D.ICMP重定向

答案：B

解析：应用层攻击针对应用程序逻辑（如SQL注入、XSS）；SYNFlood（传输层）、ARP欺骗（网络层）、ICMP重定向（网络层）属于底层协议攻击。

信息安全管理体系（ISMS）的国际标准是？

A.ISO20000

B.ISO27001

C.ISO9001

D.ISO14001

答案：B

解析：ISO27001是信息安全管理体系的国际标准；ISO20000是IT服务管理标准；ISO9001是质量管理标准；ISO14001是环境管理标准。

二、多项选择题（共10题，每题2分，共20分）

安全域划分的主要依据包括？

A.业务属性（如核心业务/非核心业务）

B.安全等级（如高敏感/低敏感）

C.网络拓扑（如内网/外网）

D.用户密码复杂度

答案：ABC

解析：安全域划分需基于业务关联性、安全需求差异和网络结构，用户密码复杂度属于访问控制策略，与域划分无关。因此正确选项为ABC。

风险评估的主要方法包括？

A.定性评估（如德尔菲法）

B.定量评估（如LEC法）

C.半定量评估（如风险矩阵）

D.动态评估（如实时监控）

答案：ABC

解析：风险评估方法分为定性（主观判断）、定量（数值计算）、半定量（结合两者）。动态评估是评估的时间维度，非独立方法，故D错误。

以下哪些属于信息安全技术措施？

A.