2026年信息安全保障人员认证（CISAW）考试题库（附答案和详细解析）（0109）.docxVIP

信息安全保障人员认证（CISAW）考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是ISO27001信息安全管理体系的核心要素？

A.技术漏洞修复

B.风险评估与处理

C.硬件设备采购

D.员工绩效考核

答案：B

解析：ISO27001的核心是通过PDCA循环建立、实施、监控和改进信息安全管理体系，其中风险评估与处理（A.11）是体系运行的基础，贯穿整个生命周期。其他选项中，A是技术措施的一部分，C是运维活动，D是人力资源管理的内容，均非核心要素。

信息安全“最小权限原则”的核心要求是？

A.所有用户仅获得完成任务所需的最低权限

B.管理员拥有系统所有权限

C.权限分配应定期扩大以适应需求

D.普通用户无需权限限制

答案：A

解析：最小权限原则要求主体（用户/进程）仅获得完成其任务所需的最小必要权限，以降低误操作或恶意行为的影响范围。B违反原则（管理员也需分权限），C错误（权限应最小化而非扩大），D明显错误（需明确权限边界）。

以下哪种访问控制模型最适用于组织结构稳定的企业？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：C

解析：RBAC通过预定义角色（如“财务主管”“工程师”）分配权限，适用于组织结构稳定、角色职责明确的场景。DAC依赖用户自主控制（易导致权限混乱），MAC适用于高安全等级（如军事），ABAC适用于动态属性场景（如云环境）。

APT（高级持续性威胁）的典型特征不包括？

A.长期潜伏

B.针对性攻击特定目标

C.使用未知漏洞（零日攻击）

D.随机扫描互联网主机

答案：D

解析：APT攻击具有明确目标（如政府、关键基础设施），通过长期潜伏（数月至数年）和定制化工具（含零日漏洞）渗透，而非随机扫描（D是普通网络攻击特征）。

以下哪种技术属于数据脱敏的“静态脱敏”？

A.数据库实时查询时替换敏感字段

B.生产环境数据复制到测试环境前加密

C.日志文件中动态模糊手机号

D.接口传输时对身份证号进行掩码

答案：B

解析：静态脱敏是对非实时数据（如备份、测试数据）进行一次性处理（如加密、替换）；动态脱敏是在数据访问时实时处理（A、C、D均为动态场景）。

信息系统安全基线的主要作用是？

A.定义系统最高安全等级

B.提供可复用的最低安全配置标准

C.记录系统漏洞修复进度

D.评估系统安全防护能力等级

答案：B

解析：安全基线是为保障系统基本安全而设定的最低配置标准（如账户策略、补丁状态），确保不同系统达到一致的基础防护水平。A错误（基线是最低而非最高），C是漏洞管理内容，D是等保测评的目标。

纵深防御体系的核心思想是？

A.集中所有资源强化单点防护

B.分层构建多重防护机制

C.依赖单一技术（如防火墙）实现安全

D.仅关注网络边界安全

答案：B

解析：纵深防御（DefenseinDepth）要求在物理层、网络层、系统层、应用层等多维度部署防护措施（如防火墙+入侵检测+访问控制），形成冗余防护。A、C、D均违背分层冗余原则。

安全审计的关键功能不包括？

A.记录用户操作行为

B.检测并阻断违规操作

C.追踪事件发生过程

D.提供合规性证据

答案：B

解析：安全审计的核心是记录、分析和存储事件日志（A、C、D），而阻断违规操作属于访问控制或入侵防御系统（IPS）的功能（B）。

零信任架构（ZeroTrust）的核心理念是？

A.信任内部网络所有设备

B.永不信任，持续验证

C.仅信任已知白名单IP

D.依赖传统边界防火墙

答案：B

解析：零信任的核心是“永不信任，持续验证”（NeverTrust,AlwaysVerify），要求对所有访问请求（无论内外）进行身份、设备、环境等多因素验证。A、C、D均基于传统“边界信任”模型，与零信任相悖。

隐私计算技术的主要目标是？

A.完全公开数据内容

B.在不泄露原始数据的前提下实现联合计算

C.仅保护个人隐私信息

D.替代加密技术

答案：B

解析：隐私计算（如联邦学习、安全多方计算）允许不同参与方在不共享原始数据的情况下协同计算（如联合建模），平衡数据利用与隐私保护。A、D明显错误，C不全面（还保护企业数据）。

二、多项选择题（共10题，每题2分，共20分）

根据《网络安全法》，网络运营者的安全义务包括？

A.制定内部安全管理制度和操作规程

B.采取数据分类、重要数据备份和加密措施

C.向社会公开所有用户个人信息

D.保障网络免受干扰、破坏或未经授权的访问

答案：ABD

解析：《网络安全法》第二十一条明确要求网络运营者需制定制度（A）、采取数据保护措施（B）、保障网络安全（D）。