2026年信息安全风险评估与控制实战演练题库.docxVIP

2026年信息安全风险评估与控制实战演练题库.docx

2026年信息安全风险评估与控制实战演练题库

一、单项选择题（本大题共10小题，每小题2分，共20分）

1.在信息安全风险评估过程中，确定资产价值时，通常需要考虑哪些因素？以下选项中哪项不属于主要考虑因素？

A.资产对组织业务连续性的影响程度

B.资产所包含的敏感信息类型

C.资产的物理维护成本

D.资产的市场二手交易价值

参考答案：D

解析：在信息安全风险评估中，资产价值主要从业务影响、信息敏感性和维护成本等角度评估。选项A、B、C均属于典型资产价值评估因素，而资产的市场交易价值与风险评估的业务相关性较弱，通常不作为核心评估指标。评估重点在于资产对组织运营的潜在影响，而非其市场变现能力。

2.根据NISTSP800-30风险评估框架，以下哪个阶段属于风险识别的子步骤？

A.风险分析与评估

B.风险接受性判定

C.资产识别与分类

D.风险处理计划制定

参考答案：C

解析：NISTSP800-30标准将风险识别过程分为资产识别与分类、威胁识别、脆弱性识别三个子步骤。选项C正确对应资产识别环节，而A、B、D分别属于风险评估与处理阶段。资产分类是后续威胁和脆弱性识别的基础，因此属于风险识别范畴。

3.在进行风险量化评估时，以下哪种方法最适合评估具有高度不确定性的IT系统风险？