2026年信息安全保障人员认证（CISAW）考试题库（附答案和详细解析）（0128）.docxVIP

信息安全保障人员认证（CISAW）考试试卷

一、单项选择题（共10题，每题1分，共10分）

以下哪项是信息安全管理体系（ISMS）的国际标准？

A.ISO27032（网络安全指南）

B.ISO27001（信息安全管理体系要求）

C.ISO22301（业务连续性管理体系）

D.ISO20000（IT服务管理体系）

答案：B

解析：ISO27001是专门针对信息安全管理体系的国际标准，规定了ISMS的建立、实施、维护和改进要求；A为网络安全指南，C为业务连续性标准，D为IT服务管理标准，均不符合ISMS核心定义。

以下哪项属于访问控制的“最小权限原则”实践？

A.系统管理员拥有所有功能的操作权限

B.财务人员仅获得查看本部门报销数据的权限

C.新入职员工默认获得所有系统的访问权限

D.测试人员可修改生产环境的核心配置

答案：B

解析：最小权限原则要求用户仅获得完成任务所需的最低权限。B选项中财务人员仅能查看本部门数据，符合该原则；A、C、D均授予了超出必要的权限，违反原则。

以下哪种访问控制模型基于角色分配权限？

A.自主访问控制（DAC）

B.强制访问控制（MAC）

C.基于角色的访问控制（RBAC）

D.基于属性的访问控制（ABAC）

答案：C

解析：RBAC（基于角色的访问控制）通过定义角色（如“管理员”“普通用户”）并为角色分配权限，再将用户分配到角色中实现权限管理；DAC由用户自主控制权限，MAC由系统强制分级，ABAC基于用户属性动态授权，均不符合题意。

信息系统安全域划分的核心依据是？

A.设备物理位置

B.业务功能和安全需求

C.网络带宽大小

D.设备采购时间

答案：B

解析：安全域划分需基于业务功能（如办公区、生产区）和安全需求（如敏感数据区需更高防护），确保同一域内资产面临相同风险并采取一致防护措施；物理位置、带宽、采购时间与安全需求无直接关联。

零信任架构（ZeroTrust）的核心假设是？

A.内部网络绝对安全

B.所有访问请求不可信

C.终端设备无需验证

D.数据传输无需加密

答案：B

解析：零信任的核心是“永不信任，始终验证”，假设网络内外的所有访问请求（包括内部用户）均不可信，需通过持续验证身份、设备状态、访问环境等动态授权；A、C、D均与零信任理念相悖。

以下哪种技术属于数据脱敏的常用方法？

A.哈希算法（如SHA-256）

B.防火墙规则配置

C.漏洞扫描

D.数据库审计

答案：A

解析：数据脱敏通过技术手段将敏感数据（如身份证号）转换为非敏感形式，哈希算法可将原始数据转换为不可逆的哈希值，属于脱敏技术；B为网络防护，C为安全检测，D为操作监控，均非脱敏方法。

漏洞生命周期的最后阶段是？

A.漏洞发现

B.漏洞验证

C.漏洞修复

D.漏洞利用

答案：C

解析：漏洞生命周期包括发现、验证、通告、修复、后评估等阶段，修复是最终目标；D（利用）是攻击者的行为，非生命周期的标准阶段。

安全审计的核心目的是？

A.提高网络传输速度

B.记录和分析系统操作行为

C.增强终端设备性能

D.减少服务器硬件成本

答案：B

解析：安全审计通过记录用户操作、系统事件等日志，用于追溯安全事件、验证合规性及发现潜在威胁；A、C、D与审计无关。

以下哪项是APT（高级持续性威胁）的典型特征？

A.攻击目标随机

B.攻击手段简单（如病毒）

C.持续监控与长期渗透

D.仅针对个人用户

答案：C

解析：APT的核心是针对特定目标（如关键基础设施）进行长期（数月至数年）的持续渗透、监控和数据窃取；A、B、D均为普通攻击的特征。

以下哪种密码算法属于对称加密？

A.RSA

B.ECC（椭圆曲线加密）

C.AES（高级加密标准）

D.哈希算法（如MD5）

答案：C

解析：对称加密使用相同密钥加密和解密，AES是典型对称算法；RSA、ECC为非对称加密，哈希算法是摘要算法，均不属于对称加密。

二、多项选择题（共10题，每题2分，共20分）

信息安全的核心三要素包括（）。

A.机密性（Confidentiality）

B.完整性（Integrity）

C.可用性（Availability）

D.可控性（Controllability）

答案：ABC

解析：信息安全三要素是机密性（防止非授权泄露）、完整性（防止篡改）、可用性（确保可被授权访问）；可控性是扩展要素，非核心三要素。

根据《中华人民共和国网络安全法》，关键信息基础设施运营者需履行的义务包括（）。

A.定期进行网络安全检测和风险评估

B.对重要系统和数据库进行容灾备份

C.向社会公开所有用户个人信息

D.制定网络安全事件应急预案

答案：ABD

解析：网络安全法要求关键信息基