2026年信息安全保障人员认证（CISAW）考试题库（附答案和详细解析）（0110）.docxVIP

信息安全保障人员认证（CISAW）考试试卷

一、单项选择题（共10题，每题1分，共10分）

信息安全管理体系（ISMS）的核心标准是以下哪项？

A.ISO9001（质量管理体系）

B.ISO/IEC27001（信息安全管理体系）

C.ISO14001（环境管理体系）

D.ISO20000（IT服务管理体系）

答案：B

解析：ISO/IEC27001是国际通用的信息安全管理体系标准，规定了ISMS的要求和实施指南；其他选项分别对应质量管理、环境管理和IT服务管理领域，与信息安全管理无直接关联。

以下风险评估方法中，属于定性评估的是？

A.故障树分析（FTA）

B.德尔菲法（Delphi）

C.损失期望值法（LEC）

D.蒙特卡洛模拟

答案：B

解析：德尔菲法通过专家匿名评估和多轮反馈得出风险等级，属于定性方法；其他选项均通过量化数值（如概率、损失值）计算风险，属于定量评估。

以下属于对称加密算法的是？

A.RSA

B.AES

C.SHA-256

D.ECC

答案：B

解析：AES（高级加密标准）是典型的对称加密算法，加密和解密使用同一密钥；RSA和ECC是非对称加密算法，SHA-256是哈希算法，用于数据完整性验证。

入侵检测系统（IDS）的典型部署方式是？

A.串接在网络链路中

B.旁路监听网络流量

C.部署在终端设备中

D.集成于防火墙内部

答案：B

解析：IDS通过镜像或旁路监听网络流量实现检测，不影响网络链路正常通信；串接部署是防火墙的典型方式，终端部署属于主机入侵检测（HIDS），但非典型。

以下数据安全技术中，用于防止敏感信息在非授权场景下暴露的是？

A.数据加密

B.数据备份

C.数据脱敏

D.数据容灾

答案：C

解析：数据脱敏通过替换、掩码等方式将敏感信息转换为非敏感形式（如将“138****1234”替换真实手机号），适用于测试、分析等非授权场景；加密是保护数据机密性，备份和容灾是保障数据可用性。

根据《通用数据保护条例》（GDPR），以下哪类场景适用？

A.中国境内企业处理中国公民数据

B.欧盟境内企业处理欧盟公民数据

C.美国企业处理日本公民数据

D.中国企业处理非欧盟公民数据

答案：B

解析：GDPR适用于欧盟境内的组织处理欧盟公民个人数据，或欧盟境外组织处理欧盟公民数据（如通过欧盟境内网站提供服务）；其他选项未涉及欧盟公民或欧盟境内主体。

访问控制的“最小权限原则”要求？

A.用户仅拥有完成任务所需的最低权限

B.用户初始权限为零，按需动态分配

C.所有用户权限由系统自动统一管理

D.管理员拥有最高权限且不可限制

答案：A

解析：最小权限原则指用户/进程仅被授予完成当前任务所需的最小权限集合，以降低越权操作风险；“初始权限为零”是零信任的要求，非最小权限的核心。

安全事件响应的正确阶段顺序是？

A.检测→准备→抑制→根除→恢复→总结

B.准备→检测→抑制→根除→恢复→总结

C.准备→抑制→检测→根除→恢复→总结

D.检测→抑制→准备→恢复→根除→总结

答案：B

解析：标准事件响应流程为：准备（预案制定）→检测（发现事件）→抑制（阻止扩散）→根除（消除隐患）→恢复（系统重建）→总结（改进优化）。

云环境下“共享责任模型”中，云服务用户（CSP）的主要责任是？

A.物理服务器的安全防护

B.虚拟化层的漏洞修复

C.客户数据的加密存储

D.数据中心的电力保障

答案：C

解析：共享责任模型中，云服务商（如AWS）负责基础设施（物理服务器、虚拟化层、数据中心）安全，用户负责自身数据、应用和账户的安全（如加密、权限管理）。

物联网（IoT）设备的核心安全挑战是？

A.网络带宽不足

B.资源受限设备的安全防护

C.用户隐私意识薄弱

D.5G网络延迟过高

答案：B

解析：物联网设备（如传感器、摄像头）通常计算/存储资源有限，难以部署复杂安全措施（如高强度加密、定期补丁），是主要安全瓶颈；带宽、延迟和用户意识是次要问题。

二、多项选择题（共10题，每题2分，共20分）

信息安全的核心三要素包括？（）

A.机密性（Confidentiality）

B.完整性（Integrity）

C.可用性（Availability）

D.可追溯性（Accountability）

答案：ABC

解析：机密性（数据不泄露）、完整性（数据未篡改）、可用性（数据可访问）是信息安全的三大核心目标；可追溯性属于安全管理要求，非核心要素。

风险评估的主要输入包括？（）

A.资产清单

B.威胁库

C.脆弱性数据库

D.员工绩效表

答案：ABC

解析：风险评估需基于资产（评估对象）、威胁（可能的攻击源）、脆弱性（资产弱点）的信息；员工绩效表与风险