2026年信息安全保障人员认证（CISAW）考试题库（附答案和详细解析）（0106）.docxVIP

信息安全保障人员认证（CISAW）考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是信息安全管理体系（ISMS）的核心框架标准？

A.ISO20000

B.ISO27001

C.ISO9001

D.ISO14001

答案：B

解析：ISO27001是国际标准化组织发布的信息安全管理体系（ISMS）标准，规定了ISMS的建立、实施、运行、监控、评审、保持和改进的要求；ISO20000是IT服务管理标准，ISO9001是质量管理标准，ISO14001是环境管理标准，因此选B。

最小权限原则的核心要求是？

A.用户获得完成任务所需的最高权限

B.用户仅获得完成任务所需的必要权限

C.所有用户权限保持一致

D.管理员拥有所有权限

答案：B

解析：最小权限原则要求主体（用户或进程）仅获得完成任务所需的最小必要权限，以降低误操作或恶意行为的影响范围；A选项描述相反，C、D均不符合最小权限的定义，因此选B。

零信任架构（ZeroTrust）的核心假设是？

A.内部网络绝对安全

B.所有访问请求默认不可信

C.仅信任已知终端设备

D.仅验证用户身份不验证设备

答案：B

解析：零信任架构的核心是“从不信任，始终验证”，默认所有访问请求（无论来自内部或外部）不可信，需通过持续验证（身份、设备、环境等）后再授权；A、C、D均违背零信任的“不信任默认”原则，因此选B。

以下哪种访问控制模型中，客体的访问权限由系统强制分配，用户无法修改？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：B

解析：强制访问控制（MAC）中，系统根据安全标签（如密级）强制分配客体访问权限，用户无法修改；DAC允许用户自主设置权限，RBAC基于角色分配，ABAC基于属性动态判断，因此选B。

数据脱敏技术的主要目的是？

A.保证数据加密传输

B.防止数据泄露后敏感信息被识别

C.提升数据存储效率

D.增强数据完整性校验

答案：B

解析：数据脱敏（DataMasking）通过变形（如替换、模糊）敏感信息（如身份证号），使脱敏后的数据无法还原真实信息，防止泄露后被利用；A是加密的目的，C是压缩的目的，D是哈希的目的，因此选B。

网络钓鱼（Phishing）攻击的主要手段是？

A.发送恶意文件破坏系统

B.通过伪冒身份诱导用户泄露信息

C.利用系统漏洞植入木马

D.发起大规模DDoS攻击

答案：B

解析：网络钓鱼通过伪造可信来源（如邮件、网站）诱导用户点击链接或泄露账号密码等敏感信息；A是文件植入攻击，C是漏洞利用攻击，D是拒绝服务攻击，因此选B。

网络安全等级保护2.0标准中，“扩展要求”主要针对以下哪类信息系统？

A.小型企业办公系统

B.涉及国计民生的关键信息基础设施

C.个人用户手机应用

D.校园内局域网

答案：B

解析：等级保护2.0的“扩展要求”是对关键信息基础设施（如能源、金融、交通等）的额外安全要求，以应对更高安全风险；其他选项属于基本要求覆盖范围，因此选B。

安全基线（SecurityBaseline）是指？

A.系统的最高安全配置标准

B.系统必须满足的最低安全要求

C.网络带宽的最低保障值

D.数据备份的最大时间间隔

答案：B

解析：安全基线是为确保系统基本安全，所有同类系统必须满足的最低安全配置要求（如补丁安装、账户权限、日志启用等）；A描述相反，C、D与安全无关，因此选B。

数字签名的主要作用是？

A.保证数据加密传输

B.验证数据发送者身份和数据完整性

C.防止数据被篡改但无法验证身份

D.提升数据传输速度

答案：B

解析：数字签名通过私钥签名、公钥验证，可同时验证数据发送者身份（防抵赖）和数据完整性（防篡改）；A是加密的作用，C仅部分正确，D与签名无关，因此选B。

APT（高级持续性威胁）攻击的典型特征是？

A.攻击目标随机，持续时间短

B.利用已知漏洞快速获利

C.长期针对特定目标，隐蔽性强

D.仅通过网络钓鱼实施

答案：C

解析：APT攻击通常由有组织的威胁行为者发起，长期（数月至数年）针对特定目标（如政府、企业），采用定制化工具和隐蔽手段渗透；A、B是普通攻击特征，D是攻击手段之一但非典型特征，因此选C。

二、多项选择题（共10题，每题2分，共20分）

信息安全的三要素（CIA）包括？

A.机密性（Confidentiality）

B.完整性（Integrity）

C.可用性（Availability）

D.可追溯性（Traceability）

答案：ABC

解析：CIA三要素是信息安全的核心目标：机密性（防止非授权泄露）、完整性（防止