2026年安全开发生命周期专家考试题库（附答案和详细解析）（0528）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

在安全开发生命周期（SDLC）中，哪一阶段的主要产出是需求规格说明书和安全需求基线？A.架构设计阶段B.需求分析阶段C.代码实现阶段D.部署与维护阶段答案：B解析：需求分析阶段的核心任务是将业务需求转化为具体的功能性和非功能性需求，并初步识别安全需求，为后续设计和开发提供明确的目标和依据。架构设计阶段侧重于系统结构，代码实现侧重于具体逻辑，部署维护侧重于运行保障。

以下哪种安全控制措施通常被认为是SDLC中成本最低且最有效的控制方式？A.安全审计日志B.强制访问控制（MAC）C.安全需求分析D.物理隔离答案：C解析：安全需求分析在需求阶段介入，能够从源头消除大部分安全隐患，避免在后期发现问题时进行昂贵的返工，因此被公认为SDLC中成本最低、效益最高的安全控制手段。

在DevSecOps实践中，为了保证代码质量，通常在哪个阶段引入自动化安全测试？A.编码阶段B.测试阶段C.部署阶段D.运维阶段答案：B解析：虽然静态应用安全测试（SAST）可以在编码阶段进行，但动态应用安全测试（DAST）和交互式应用安全测试（IAST）通常在测试阶段进行，能够更准确地发现运行时漏洞。自动化安全测试集成在测试环节是DevSecOps的最佳实践。

以下关于威胁建模的描述，