2026信息安全风险评估与治理习题集.docxVIP

2026信息安全风险评估与治理习题集

一、单项选择题（本大题共10小题，每小题2分，共20分）

1.在信息安全风险评估中，定性评估方法通常适用于（）

A.需要精确量化资产价值的场景

B.评估对象具有高度复杂性和不确定性的环境

C.企业预算有限且无法进行全面定量分析的情况

D.需要满足监管机构严格合规要求的场景

解析：定性评估方法适用于资产价值难以精确量化、威胁和脆弱性存在高度不确定性或企业预算有限无法进行全面定量分析的场景。选项A描述的是定量评估的适用场景；选项B虽然定性评估能处理复杂性，但更典型的是在数据不足时使用；选项D通常需要定量评估支持合规证明。定性评估通过专家判断和经验分析，适用于资源有限但需快速评估风险优先级的场景。

2.根据NISTSP800-30风险评估框架，风险矩阵中确定风险等级的主要依据是（）

A.资产价值与威胁发生概率的乘积

B.脆弱性严重程度与资产重要性的加总

C.影响程度与威胁发生频率的几何平均数

D.资产敏感性乘以脆弱性暴露面

解析：NISTSP800-30采用风险矩阵确定风险等级，核心是评估影响程度和发生可能性两个维度。选项A描述的是风险值计算公式（Risk=Impact×Likelihood）；选项B错误地将脆弱性和资产重要性作为直接加和项；选项C的几