2026年安全开发生命周期专家考试题库（附答案和详细解析）（1008）.docxVIP

安全开发生命周期专家

一、单项选择题（共10题，每题1分，共10分）

1.在安全开发生命周期中，威胁建模活动通常应在哪个阶段开始执行？

A.在软件部署阶段对系统进行渗透测试时执行威胁建模

B.在需求分析和设计阶段开始执行威胁建模，以便尽早识别潜在安全风险

C.仅在代码全部编写完成后启动威胁建模，以避免干扰开发进度

D.在软件退役阶段执行威胁建模，用于归档安全文档

答案：B

解析：威胁建模是一种结构化方法，用于识别、分析和缓解系统面临的安全威胁。其核心价值在于早期介入，因此在需求分析和设计阶段开始最有效。选项A的错误在于渗透测试属于验证阶段，无法替代前期的威胁建模；选项C同样违背SDL“左移”原则，代码完成后发现问题会显著增加修复成本；选项D与威胁建模的目的完全无关。

2.关于安全开发生命周期中的“安全需求”定义，下列说法最准确的是？

A.安全需求仅指对加密算法和密钥长度的技术性要求

B.安全需求应来源于安全策略、合规要求、威胁建模结果以及业务风险分析

C.安全需求等同于功能需求中关于用户权限的描述

D.安全需求只需由安全团队在项目结束时一次性补充

答案：B

解析：安全需求是系统必须满足的安全属性或约束条件，其来源包括法律合规（如GDPR）、组织安全策略、威胁建模产出的缓解措施以及业务风险评估结果。选项A过于狭窄，安全需求还包括身份认证、授权、审计、隐私等方面