第五章 信息安全及信息科技风险管理

第五章 信息安全及信息科技风险管理

一、本章考情与知识地图

1.1 近八年真题题量与分值估计

专业科目 100 分中，计算机专业知识占 80 分（60 道单选×1 分 + 20 道多选×1 分）。信息安全及信息科技风险管理是除软件工程之外的第二大命题来源，而且命题重心近年明显从"纯技术"偏向"监管语境"：不再只问算法位数，而是问"哪份文件、哪条原则、哪个部门负责"。

年份	本章题量估计	本章分值估计	主要落点
2018	10	10	网络监听防御、安全编程原则、银行终端安全
2019	11	11	加密算法归类、访问控制、口令管理
2020	13	13	蜜罐、漏洞检查与渗透测试、MD5 与 AES、RPO
2021	16	16	非对称算法、数字签名、第一责任人、降低科技风险措施
2022	12	12	恶意代码归类、SQL 注入、外包原则、等保国标
2023	14	14	XSS、木马反向连接、日志留存 6 个月、BIA
2024	13	13	涉密分级、PKI 加解密顺序、BCP 第一步、董事会职责
2025	15	15	网络安全法应急预案、数字签名验证、数据分类、科技风险

说明：上表按可获取真题页面逐题归类统计，2019 年页面未纳入本次抽取，取邻近两年均值估计；标注"估计"不影响下面的命题规律结论。

1.2 命题规律

1. 单选偏"判别"、多选偏"列举"。单选多给一个场景或做法让你判断对错（如"哪项设置不利于提高运行环境安全"）；多选几乎都是"属于/包括/有哪几种"，因此凡是"分成几类、包含哪几项"的考点必须背全、编号列全。
2. 密码学只考对应关系。哪类算法、多少位、干什么用，是唯一考法；从不考数学原理，也不考算法内部轮函数。
3. 数字签名与数字信封是必考母题。2021 年考"用什么密钥加密邮件才能让对方验证发送者"，2024 年考"先签名后加密的表达顺序"，本质都是"私钥签、公钥验；公钥加、私钥解"。
4. 监管文件题逐年加重。外包风险、董事会职责、第一责任人、业务连续性、关键信息基础设施、数据分类分级，全是"文件名称 + 硬性原则"的直接对应，靠临场推理做不出来。
5. 数值只有固定几个。DES 56/64、AES 分组 128、MD5 输出 128、SHA-1 输出 160、SM3 输出 256、等保 5 级、日志留存 6 个月、测评周期三级每年/四级每半年、应急响应 6 阶段、风险应对 4 策略。数值题是本章最稳的得分点。

1.3 本章知识地图

• 信息安全基础
  　· CIA 三要素；扩展属性：可控性、不可否认性、真实性
  　· 威胁、脆弱性、风险、安全事件的逻辑关系
  　· P2DR / PDRR / 纵深防御 / 零信任
  　· 物理---网络---系统---应用---数据---管理 六层体系
• 密码学（高频）
  　· 对称：DES、3DES、AES、IDEA、SM4、RC4
  　· 非对称：RSA、ECC、SM2、Diffie-Hellman、SM9
  　· 哈希：MD5、SHA-1、SHA-256、SHA-3、SM3
  　· 数字签名：私钥签、公钥验、不提供机密性
  　· 数字信封：对称加密数据 + 非对称加密会话密钥
  　· PKI/CA：CA、RA、证书库、CRL、证书链、X.509
  　· 密钥管理生命周期
• 身份认证与访问控制
  　· 三因子、双因素、SSO、OAuth 2.0、Kerberos
  　· DAC / MAC（BLP、Biba）/ RBAC / ABAC
  　· 最小权限、职责分离、特权账号、堡垒机
• 网络与系统安全
  　· 防火墙四代形态、IDS/IPS、WAF、网闸、蜜罐
  　· VPN：IPSec（AH/ESP、传输/隧道）、SSL VPN
  　· 主机加固、漏洞管理、CVSS、SOC/SIEM
• 应用安全与恶意代码
  　· OWASP Top 10、SQL 注入、XSS、CSRF、越权、缓冲区溢出
  　· SDL、安全编码、渗透测试、代码审计
  　· 病毒/蠕虫/木马/勒索/僵尸网络；DDoS、APT、社会工程
  　· 应急响应 PDCERF 六阶段
• 安全管理与等级保护
  　· 等保 2.0：五级、五环节、十类安全通用要求
  　· 测评周期、日志留存 6 个月
  　· 涉密信息系统分级保护：秘密、机密、绝密
  　· ISO/IEC 27001（PDCA）、COBIT、ITIL、IT 治理与 IT 管理
• 信息科技风险管理（监管重点）
  　· 定义、分类、四类来源
  　· 治理架构与三道防线职责
  　· 识别---评估---监测---报告---处置；四种应对策略
  　· 监管文件表（2009 风险管理指引、2021 外包办法、连续性指引等）
  　· 外包风险：准入、合同、监控、集中度、退出
  　· BCM/BIA/BCP/DRP、RTO/RPO、演练、GB/T 20988 六级
  　· 数据安全：分类分级、脱敏、DLP、出境、个人信息保护
  　· 供应链与开源组件风险、投产变更"对业务影响最小"

二、考点精讲

2.1 信息安全三要素与扩展属性

信息安全的目标是保障信息的机密性、完整性、可用性，合称 CIA 三要素。

属性	含义	被破坏的典型情形	主要保障手段
机密性 Confidentiality	信息只被授权者获取	网络窃听、口令被窃、越权查询、数据泄露	加密、访问控制、脱敏、分类分级
完整性 Integrity	信息未被未授权篡改，完整准确	数据被篡改、传输被改、日志被删改	哈希、数字签名、校验码、防篡改
可用性 Availability	授权者在需要时可正常使用	DDoS 攻击、设备烧毁、勒索加密、断电	冗余、备份、容灾、清洗防护

四个扩展属性（多选题必须列全）：

1. 可控性：对信息的传播范围与内容具有控制能力。
2. 不可否认性（不可抵赖性）：行为双方事后不能否认已发生的操作，靠数字签名实现。
3. 真实性：信息内容与主体身份真实可信，靠身份认证和数字证书实现。
4. 可审计性：所有行为可追溯、可核查，靠日志与审计实现。

【易错】"纵火造成存储设备毁坏"破坏的是可用性，不是机密性（2025 年真题原题）。判别口诀：数据"被别人看到了"是机密性，"被改了"是完整性，"拿不到、用不了"是可用性。

2.2 威胁、脆弱性、风险与安全事件

• 威胁：可能对资产造成损害的因素，分为人为（黑客、内部人员、恶意代码）和非人为（火灾、水灾、断电、地震）。
• 脆弱性（漏洞）：资产自身存在的弱点，如未打补丁、弱口令、默认配置、配置错误、权限过大。
• 风险：威胁利用脆弱性造成损失的可能性及其影响。
• 安全事件：风险已经真实发生。

常用表达：风险 = 威胁 × 脆弱性 × 影响（部分教材再加"可能性"，本质一致）。

【注意】只有威胁没有脆弱性，风险很低（攻击不进来）；只有脆弱性没有威胁，风险也低（没人利用）。二者同时存在才构成可利用的风险。这是判断"某场景风险高低"的底层逻辑。

2.3 安全模型与安全体系层次

模型或理念	构成	常考角度
P2DR	Policy 策略、Protection 防护、Detection 检测、Response 响应	以策略为核心、动态循环，四要素缺一不可
PDRR	Protection、Detection、Response、Recovery	比 P2DR 多了恢复，强调灾后恢复能力
纵深防御	多层设防，单层被突破不导致整体失守	与"单点防护"对立
零信任	永不信任、始终验证；最小权限、动态授权	不以网络位置作为信任依据，默认不信任内网

安全体系六个层次（由底层到高层）：

1. 物理安全：机房环境、门禁、监控、消防、防水、双路供电。
2. 网络安全：边界防护、安全域划分、VPN、入侵检测、流量清洗。
3. 系统安全：操作系统加固、补丁管理、账号口令策略、日志审计。
4. 应用安全：身份认证、访问控制、输入校验、安全编码。
5. 数据安全：分类分级、加密存储、脱敏、备份、安全销毁。
6. 管理安全：安全方针与制度、人员管理、流程控制、审计与应急。

安全策略文件的四级体系（问题常问"某一层属于哪一类"）：

层级	名称	内容	举例
第一级	安全方针	总纲，声明目标、原则、责任	《信息安全管理办法》总则
第二级	安全制度	分领域的具体规定	《口令管理办法》《日志审计管理规定》
第三级	规范与流程	可操作的步骤与模板	《变更操作流程》《应急处置手册》
第四级	记录与表单	执行留痕	审批单、巡检表、演练记录

安全目标必须与业务目标一致：金融信息安全的落地表达是"保障业务连续性、保护客户资金与数据、满足监管合规"三者统一，而不是单纯追求"绝对安全"。安全投入要与风险程度相适应，这就是"适度安全"原则。

2.4 密码学：算法---类型---位数---用途总表

先记六个基本术语：明文 （原始信息）、密文 （加密后信息）、加密 （明文变密文）、解密 （密文变明文）、密钥 （控制加解密过程的参数）、密码算法（加解密所依据的规则）。密码体制按密钥特点分为对称密码体制（加解密同一密钥）和非对称密码体制（一对公私钥）。

三个必须分清的概念：

1. 密码算法本身是公开的，安全性完全依赖密钥保密，这叫"密码体制的柯克霍夫原则"。
2. 密钥空间越大、越长，穷举越困难；但密钥越长运算越慢。
3. "加密"只解决机密性；"哈希"解决完整性；"数字签名"解决认证与不可否认。

这是本章最稳的得分点，一张表同时吃下单选与多选。密码算法分三类：对称加密、非对称加密、哈希（散列）函数。

算法	类型	密钥/分组/输出位数	典型用途	常考错误项
DES	对称分组	有效密钥 56 位，分组 64 位	早期数据加密，已不安全	错说密钥 64 位（64 位含 8 位校验）；错说 DES 能做数字签名
3DES	对称分组	密钥 112 位（两密钥）或 168 位（三密钥），分组 64 位	兼容老系统的过渡方案	错说分组 192 位；错说有效密钥 192 位
AES	对称分组	密钥 128/192/256 位，分组固定 128 位	通用数据加密、存储加密、无线	错说分组随密钥长度变化；错说 AES 是非对称算法
IDEA	对称分组	密钥 128 位，分组 64 位	PGP 邮件加密	与 AES 的位数混淆
SM4	对称分组	密钥 128 位，分组 128 位	国密无线、数据加密	错说 SM4 是非对称算法；错说分组 64 位
RC4	对称流密码	密钥可变，常见 40 至 2048 位	早期 WEP、SSL	错说 RC4 是分组密码
RSA	非对称	常用 2048 位（指模数长度）	加密、数字签名、密钥交换	错说 RSA 基于离散对数（实为大整数分解）；错说 RSA 比对称算法快
ECC	非对称	常用 256 位	移动端、物联网、签名	错说 ECC 基于大数分解（实为椭圆曲线离散对数）
SM2	非对称	256 位	国密签名、加密、密钥交换	错说 SM2 是哈希算法
DH	密钥交换	不直接产生密文	双方协商会话密钥	错说 DH 可单独加密数据；错说 DH 提供身份认证（易受中间人攻击）
SM9	标识密码（非对称）	---	基于标识的认证加密	与 SM2 混淆
MD5	哈希	输出 128 位	完整性校验，已不安全	错说 MD5 可逆、可解密
SHA-1	哈希	输出 160 位	已不推荐使用	错说分组 160 位
SHA-256	哈希	输出 256 位	证书、完整性校验、区块链	与 SM3 等输出 256 位的算法混淆
SHA-3	哈希	输出长度可变	新一代哈希标准	与 SHA-2 混淆
SM3	哈希	输出 256 位	国密完整性校验	错说 SM3 是加密算法

必背三条对应关系：

1. 速度：对称算法比非对称算法快约 2 至 3 个数量级，适合加密大批量数据；非对称适合加密短数据（会话密钥、摘要）。
2. 密钥分发：对称算法的最大难题是密钥分发（n 个用户需 n(n-1)/2 个密钥）；非对称算法用公钥公开分发解决了这个问题。
3. 功能：数字签名只能由非对称算法实现，因为只有非对称算法才能提供"不可否认性"（私钥唯一持有）。

【口诀】对称加数据、非对称加密钥和签名、哈希验完整。位数记"两个 128（AES 分组、MD5 输出）、一个 160（SHA-1）、三个 256（AES 密钥、SHA-256、SM3）、一个 56/64（DES）"。

分组密码的常见工作模式（AES、SM4、DES 都适用，易被忽略的冷门考点）：

模式	名称	特点	典型问题
ECB	电子密码本	相同明文块产生相同密文块，可并行	图案泄露、不推荐用于大数据
CBC	密码分组链接	前一块密文参与下一块加密，需初始向量 IV	不能并行加密，IV 需随机
CFB	密码反馈	把分组密码当流密码用	适合逐字符传输
OFB	输出反馈	生成密钥流与明文异或	错误不易扩散
CTR	计数器	用计数器生成密钥流，可并行	计数器绝不能重复使用

国密算法体系（一套四件，多选题常考"属于国密算法的有哪些"）：

1. SM2：非对称算法，256 位，用于签名、加密、密钥交换。
2. SM3：哈希算法，输出 256 位，用于完整性校验。
3. SM4：对称分组算法，密钥 128 位、分组 128 位。
4. SM9：标识密码算法，用身份标识作为公钥，无需证书体系。

国内金融行业常见做法是"国密改造"：传输层用 SM2 做密钥交换与签名、SM3 做摘要、SM4 做数据加密，形成完整的国产密码应用链条。

2.5 哈希函数与消息摘要

哈希（散列）函数把任意长度的输入映射为固定长度的输出（摘要），是"单向"的。

四个核心特性：

1. 单向性（抗原像）：由摘要无法反推原文，因此哈希不是加密，不可解密。
2. 定长输出：无论输入多长，输出长度固定（MD5 恒为 128 位）。
3. 抗碰撞性：找到两个不同输入产生相同摘要在计算上不可行。
4. 雪崩效应：输入改一位，输出约一半位发生变化。

对比项	哈希函数	加密算法
是否可逆	不可逆，无密钥	可逆，解密需密钥
是否用于保密	不用于保密（但可用于口令加盐存储）	用于保密
典型用途	完整性校验、口令存储、数字签名中的摘要	数据加密传输与存储

【易错】MySQL、网站后台保存用户口令时用哈希而非加密，因为管理员也不应能还原用户口令。2020 年真题即考"MD5 只是消息摘要算法，不适宜于密码的加密保护"，正确答案就是这一项。为防彩虹表，实际做法是"加盐哈希 + 慢哈希（如 PBKDF2、bcrypt）"。

2.6 数字签名（必须写透）

数字签名的完整流程：

1. 发送方对原文计算哈希摘要 H(M)。
2. 发送方用自己的私钥对摘要加密，所得即签名值 S。
3. 原文 M 与签名值 S 一起发送。
4. 接收方用发送方的公钥解开 S 得到摘要，同时对收到的 M 重新计算摘要，两者一致则验签通过。

数字签名提供的三项保证：

1. 完整性：原文改动一位，摘要就对不上。
2. 身份认证：只有持有该私钥的一方能生成可验证的签名。
3. 不可否认性：签名由私钥生成，发送方事后不能抵赖。

数字签名不提供的两项：

1. 不提供机密性：原文仍以明文传输，任何截获者都能读到内容。要保密必须另行加密。
2. 不提供可用性。

【真题】2025 年：张三收到李四发来的有数字签名的消息，应用李四的公钥 验证（答案 C）。2021 年：A 给 B 发邮件，要让 B 验证邮件确实由 A 发出，A 应选用 A 的私钥对邮件加密（答案 B，本质就是签名）。

法律依据补一句：《电子签名法》（2005 年 4 月 1 日施行）规定，可靠的电子签名与手写签名或者盖章具有同等法律效力。可靠电子签名的四个条件：签名制作数据专属于签名人、签署时由签名人控制、签署后对签名的任何改动可被发现、签署后对数据电文内容和形式的任何改动可被发现。银行电子合同、电子回单之所以能作为证据，正是依靠"非对称算法 + 数字证书 + 可信时间戳"这条链。

数字签名与加密的方向对照（最容易错，务必成对记）：

目的	发送方使用	接收方使用
只保密（加密）	接收方的公钥	接收方的私钥
只认证（签名）	发送方的私钥	发送方的公钥
既保密又认证	先用自己的私钥签名，再用对方公钥加密	先用自己的私钥解密，再用对方公钥验签

【口诀】密钥总是"成对反向"：谁的公钥加密，就用谁的私钥解；谁的私钥签名，就用谁的公钥验。

2.7 数字信封与混合加密

数字信封解决的是"对称算法效率高但密钥难分发、非对称算法安全但太慢"的矛盾。

发送流程：

1. 随机生成一次性对称会话密钥 K。
2. 用 K 加密数据本体（大数据交给对称算法）。
3. 用接收方的公钥加密 K（短数据交给非对称算法）。
4. 发出"对称密文 + 加密后的 K"，合称数字信封。

接收流程：接收方先用自己的私钥解出 K，再用 K 解出数据。

数字信封提供的保证：机密性 + 高效 。它本身不提供不可否认性（因为用的是接收方的公钥，任何拿到接收方公钥的人都能发）。

数字签名与数字信封的对照表（本章第一辨析题）：

对比项	数字签名	数字信封
核心操作	用发送方私钥加密摘要	用对称密钥加密数据，再用接收方公钥加密该密钥
使用谁的密钥	发送方私钥签、发送方公钥验	接收方公钥加、接收方私钥解
解决的问题	身份认证与不可否认	密钥分发与加密效率
提供机密性	不提供	提供
提供不可否认性	提供	不提供
典型场景	电子合同、电子印章、交易指令防抵赖	HTTPS 握手后的数据传输、邮件加密

【真题】2024 年：A 向 B 发送信息 M，既要保密又要让 B 确认来自 A。做法是先签名后加密------内层用 A 的私钥处理（签名），外层用 B 的公钥加密，即 KBpub(KAPri()) 的形式；B 收到后先用自己的私钥解开外层，再用 A 的公钥解开内层验签，故选 KApub(KBpri(M')) 对应的选项。

2.8 PKI 与数字证书

PKI（公钥基础设施）是围绕公钥证书的一整套体系，目的是把"公钥"和"身份"可靠地绑定起来。

组成	职责	常考要点
CA 认证中心	签发、管理、吊销证书	是 PKI 的信任根，用 CA 私钥对证书签名
RA 注册审核机构	受理申请、审核申请人身份	只审核不签发，签发权在 CA
证书库/目录服务	存放与发布证书	供查询公钥与证书状态
CRL 证书吊销列表	列出已吊销但尚未过期的证书	与"证书到期"是两回事
证书链	终端证书→中间 CA→根 CA 逐级验签	根 CA 自签名，浏览器和系统预置根证书

X.509 证书的关键字段：版本、序列号、签名算法、颁发者、有效期（起止时间）、主体（持有者）、主体公钥信息、扩展项、CA 的数字签名。

【易错】证书里只有公钥，没有私钥；私钥永远不出本地（存放在 UKey 或密码机中）。证书解决"这个公钥属于谁"，不解决"如何保密"。

一次完整的证书验证过程（考试常把顺序打乱来考）：

1. 客户端拿到服务器证书，先检查有效期是否在起止时间内。
2. 用证书链逐级验签，直到预置在系统中的根 CA 证书。
3. 检查证书主体（域名）是否与访问目标一致。
4. 查询 CRL 或 OCSP 确认证书未被吊销。
5. 三项全部通过才建立信任，再用证书中的公钥完成后续的密钥协商或验签。

证书生命周期：申请→审核（RA）→签发（CA）→发布→使用→更新→吊销（进入 CRL）。证书到期属于自然失效，吊销属于提前作废，两者概念不同。

2.9 密钥管理生命周期

密钥管理贯穿密钥的一生，多选常考"包括哪些环节"：

1. 生成：在安全的密码设备中生成，保证随机性。
2. 分发：通过数字信封、密钥交换协议或离线方式安全传递。
3. 存储：加密存储于 UKey、密码机（HSM），分片保管。
4. 使用：在受控环境中使用，记录使用日志。
5. 更新（轮换）：定期更换，按密钥类型设定周期。
6. 归档与备份：用于解密历史数据。
7. 销毁：介质消磁、物理粉碎，并留存销毁记录。

密钥分类的常见分法：按用途分加密密钥、签名密钥、认证密钥；按层级分主密钥（KEK）和数据密钥（DEK）。原则是"一钥一用、分级保护"，主密钥保护数据密钥，绝不混用。

2.10 密码学考法的三种固定套路

题干特征	判断路径	结论示例
给出算法名问"属于哪类/多少位"	查总表定位类型与位数	DES 是对称分组，56 位有效密钥、64 位分组
给出场景问"用什么密钥"	先判目的是保密还是认证，再定收发方向	要让对方确认是我发的，用我的私钥加密
给出做法问"是否安全/是否可行"	看是否依赖密码学的基本性质	用 MD5 保存口令、用对称算法做不可否认的签名，均不成立

三个典型错项模板（单选里的干扰项几乎都从这里出）：

1. 把机密性、完整性、可用性错配（"用哈希保证机密性"）。
2. 把公私钥方向反过来（"用接收方私钥加密"）。
3. 把"快速"与"安全"对调（"非对称算法效率优于对称算法"）。

2.11 身份认证：三因子与多因素

身份认证回答"你是谁"，是整个安全体系的入口。认证因子只有三类，多选题常考"下列属于哪种因子"。

因子类别	含义	典型形式	安全性评价
所知	你知道的东西	口令、PIN、密码、密保问题	便宜但易被窃取、猜测、撞库
所有	你拥有的东西	UKey、IC 卡、动态令牌、短信验证码	较强，可防重放
所是	你本身的特征	指纹、人脸、虹膜、声纹、静脉	强，但不可更换、涉隐私

三者的组合规则：

1. 双因素认证必须来自两个不同类别，例如"口令 + UKey"、"口令 + 指纹"。
2. 同一类别的两个因子不算双因素，例如"口令 + 密保问题"仍然只是所知因子。
3. 多因素认证（MFA）安全性最高，金融远程开户、大额转账普遍要求双因子以上。

【真题】2021 年多选题：关于身份鉴别叙述正确的有------身份鉴别是授权控制的基础（对）、数字签名可以实现身份鉴别（对）；"身份鉴别没有双向认证"错（存在双向认证），"一般采用基于对称密钥加密的方法"错（公钥体系才是主流）。答案 AC。

认证与授权是两件事，必须分清：

对比项	身份认证 Authentication	授权 Authorization
回答的问题	你是谁	你能做什么
发生时机	先发生	认证通过后才发生
典型手段	口令、令牌、生物特征、证书	访问控制模型、权限矩阵、ACL
失败后果	无法登录，攻击者被挡在门外	越权访问，已登录用户造成内部破坏

2025 年真题还考了一个"最不安全的身份鉴别技术"：统一制发的初始口令（答案 C），因为初始口令普遍存在默认值、弱口令、长期不修改、多人共用等问题，属于典型的"默认配置风险"。同年真题中还出现了智能摄像头被入侵的案例，根因同样是"利用默认配置"（答案 D）。

【注意】账户锁定策略（连续输错 N 次锁定一段时间）防的是暴力破解/口令猜测，不是木马、IP 欺骗或缓冲区溢出。2023 年真题即考此点，答案 B。

统一身份认证的三种常见方案（了解层次，多选可能考"属于统一认证技术的有"）：

1. 单点登录 SSO：一次登录可访问多个互信系统，核心是票据或断言（如 CAS、SAML）。
2. OAuth 2.0：授权框架，解决"第三方应用在不需要用户交出密码的前提下获取有限授权"，常被误认为认证协议；真正的身份认证层通常是 OpenID Connect。
3. Kerberos：基于对称密钥与票据（TGT、ST）的网络认证协议，适合内网域环境，特点是"口令不在网络上传输"。

【易错】OAuth 2.0 是授权协议，不是认证协议；把 OAuth 说成"身份认证协议"是常见错误选项。

2.12 访问控制模型：DAC、MAC、RBAC、ABAC

访问控制回答"你能对某个客体做什么"，是主体、客体与操作三者关系的规则集合。

模型	全称	授权主体	核心特点	典型实现
DAC	自主访问控制	资源所有者自行决定	灵活，但权限会扩散，难以集中管控	UNIX 文件 rwx、Windows ACL
MAC	强制访问控制	系统按安全标签强制判定	严格，用户不能自主改变权限	BLP、Biba；军用与涉密系统
RBAC	基于角色的访问控制	管理员按角色授权	权限赋给角色、角色赋给用户；天然支持最小权限与职责分离	银行核心系统、柜面系统
ABAC	基于属性的访问控制	策略引擎按属性计算	属性含主体、客体、环境，动态细粒度	云平台、零信任架构

两个经典安全模型必须成对记清（考的正是"哪个管机密性、哪个管完整性"）：

模型	保护目标	两条规则	白话记忆
BLP	机密性	不下读、不上写（no read up, no write down）	低密级不能看高密级，也不能把高密级内容写到低密级
Biba	完整性	不下写、不上读（no write up, no read down）	低完整级不能污染高完整级，也不能读低完整级数据

【易错】RBAC 不等于"按资源所有者意愿授权"（那是 DAC）；MAC 不等于"按角色授权"（那是 RBAC）；BLP 是机密性模型、Biba 是完整性模型，这两个最容易被对调。

金融行业实践中最常用的是 RBAC 加 ABAC 的混合：基本权限用角色固化（便于审计与复核），敏感操作叠加属性条件（时间、地点、设备、金额区间）做动态控制。

2.13 权限管理流程、最小权限与职责分离

权限管理是一个闭环流程，多选题常考"包括哪些环节"：

1. 申请：由用人部门提出，明确角色、范围、期限。
2. 审批：按授权矩阵逐级审批，重要权限需双人复核。
3. 授予：由系统管理员在系统中配置，禁止一人既审批又授予。
4. 复核：定期（至少每年）对全量权限做再认证，清理冗余权限。
5. 回收：人员调岗、离职、项目结束时立即回收。

三条基本原则：

1. 最小权限：只授予完成工作所必需的最小权限，且按需、按期限授予。
2. 职责分离：不相容职责不得由同一人承担，如开发与生产运维分离、审批与执行分离、记账与对账分离。
3. 特权账号管理：特权账号（root、DBA、系统管理员）必须登记、审批、集中管控、操作留痕。

【真题】2023 年：职责分离原则下，程序开发员 访问安全系统软件会违背职责分离（答案 C），因为开发人员掌握源码，再持有生产安全系统权限就具备植入后门的完整条件。2020 年：审计发现"用户安全组没有指定所有者"，这属于审批用户访问权限的控制缺陷（答案 B），因为没有所有者就没人对授权结果负责。

堡垒机（运维安全审计系统）是落实上述原则的核心工具，四项功能：

1. 集中管控：所有运维通过堡垒机跳转，不直接连生产设备。
2. 身份代填：运维人员不知道设备真实口令，由堡垒机代填。
3. 操作审计：全程录像、命令留痕，可回放追溯。
4. 权限细控：按人员、时间、资产、命令授权，危险命令阻断。

【真题】2020 年：堡垒机服务保留哪些做法是错误的------"应保留 Telnet、FTP 等明文服务"是错的（答案 D）。Telnet 和 FTP 明文传输账号口令，任何一台堡垒机都不应保留。

2.14 网络边界安全设备

设备	工作层次	核心能力	部署方式	常考要点
包过滤防火墙	网络层、传输层	按五元组（源/目的 IP、源/目的端口、协议）过滤	边界串联	速度快、无状态、不识别应用内容
状态检测防火墙	传输层及以上	维护会话状态表，只放行合法会话的回包	边界串联	比包过滤更安全，仍不查内容
应用层代理防火墙	应用层	代理连接、深度解析应用协议	边界串联	安全性高但性能开销大
下一代防火墙 NGFW	应用层	应用识别 + 入侵防御 + URL 过滤 + 病毒检测	边界串联	当前主流形态
IDS 入侵检测	旁路	特征匹配与异常检测，只告警不阻断	镜像流量旁路	不影响业务，但无法实时阻断
IPS 入侵防御	串联	检测到攻击直接阻断	链路串联	能阻断，但可能误拦正常流量
WAF Web 应用防火墙	应用层	防 SQL 注入、XSS、CC 攻击、爬虫	Web 服务器前串联或云接入	只保护 Web 应用，工作在应用层
网闸	物理隔离	单向或受控摆渡，断开 TCP/IP 连接	内外网之间	用于物理隔离场景，非普通防火墙
蜜罐	诱饵	伪装成易攻击目标，记录攻击行为	与业务网隔离	用于检测主动攻击、研究攻击手法

2023 年真题："仅设立防火墙系统，而没有安全策略，防火墙就形同虚设"（答案 D）------防火墙的能力完全来自策略规则，默认策略应当是"拒绝所有、按需放行"。

2020 年真题："生产系统服务器网络配置中最具安全风险的是网络访问端口没有被限制"（答案 A）。端口暴露面是最大的攻击面，这是"最小服务原则"的直接体现。

【易错】IDS 与 IPS 的区别不是"检测方式"，而是部署位置与处置动作：IDS 旁路、只告警；IPS 串联、可阻断。WAF 也不是 IDS 的替代品，WAF 只针对 HTTP/HTTPS 应用层攻击。

蜜罐的价值要记牢：它是诱饵，用来检测和延缓主动式攻击，本身不提供防护能力。蜜罐不能放在生产网内与真实业务混部，一旦被攻陷可能成为跳板。

2.15 VPN 与远程接入

类型	工作层次	特点	典型场景
IPSec VPN	网络层	对 IP 包加密认证，站点到站点	分支机构互联、外联单位专线替代
SSL VPN	应用层（传输层之上）	基于浏览器即可接入，无需装客户端	移动办公、居家办公
MPLS VPN	网络层（运营商）	运营商提供标签转发，隔离性好但本身不加密	多分支组网
L2TP/PPTP	数据链路层	常与 IPSec 组合	老式拨号 VPN

IPSec 的两个核心协议与两种模式：

维度	选项	说明
协议	AH 认证头	只做认证与完整性，不加密
协议	ESP 封装安全载荷	既认证又加密，实际部署基本都用 ESP
模式	传输模式	只封装上层数据，主机到主机
模式	隧道模式	整个 IP 包封装，网关到网关

【易错】AH 不提供机密性（不加密），ESP 提供机密性；"IPSec 一定是隧道模式"是错的。2024 年真题考过"IPSec 具有身份认证功能，可以拒绝 DoS 攻击"这一表述（作为正确选项出现），注意 DoS 主要靠流量清洗与限速，IPSec 只是辅助。

SSL/TLS 的两个关键点：默认端口 HTTPS 443 、HTTP 80（2021 年真题答案 B）；会话密钥由客户机产生随机数并加密后通知服务器（2023 年真题答案 C）。

2.16 主机安全、漏洞管理与安全运营

主机加固的六件事（多选常考"应包括哪些"）：

1. 最小化安装：关闭不需要的服务、端口、共享。
2. 补丁管理：及时安装安全补丁，重大漏洞限期修复。
3. 账号口令策略：复杂度、有效期、锁定策略、禁用默认账号。
4. 日志审计：开启关键日志，集中收集，防篡改，留存不少于 6 个月。
5. 恶意代码防护：安装防病毒软件并及时更新病毒库。
6. 基线核查：按安全配置基线定期核查，偏离即整改。

【真题】2025 年：操作系统安全部署中不利于提高运行环境安全的是"为了方便备份，只使用一个分区，所有数据和操作系统都放在该分区"（答案 B）。理由：单分区无法实现系统与数据隔离，一旦系统盘故障或重装，业务数据同时损毁。

漏洞管理四步闭环：发现（扫描、众测、漏洞情报）→ 评估（定级，看可利用性与影响）→ 修复（打补丁、配置加固、虚拟补丁）→ 验证（复测确认关闭）。

漏洞分级常用 CVSS，分值 0 至 10：0 为无风险；0.1 至 3.9 低危；4.0 至 6.9 中危；7.0 至 8.9 高危；9.0 至 10.0 严重。实务上按"严重、高危"限期整改，中低危纳入版本计划。

【真题】2020 年：漏洞检查与渗透测试的区别------漏洞检查是通过分析 IT 基础架构来检测漏洞，渗透测试则是利用漏洞来分析可能对信息系统造成的破坏（答案 B）。一句话：扫描器找"有没有洞"，渗透测试证明"洞能造成多大破坏"。

安全运营中心（SOC）与 SIEM：SIEM 负责日志集中采集、关联分析与告警（安全信息与事件管理），SOC 是"人 + 流程 + 技术"的运营组织。二者关系是"平台"与"团队"。

安全测评的四种手段（多选题常问"包括哪些"）：

手段	视角	主要产出	局限
漏洞扫描	已知漏洞特征匹配	漏洞清单与级别	只能发现已知问题，误报漏报并存
渗透测试	模拟黑客攻击	可被实际利用的攻击路径	覆盖面有限，有业务风险
代码审计	白盒检查源码	代码级缺陷与后门	依赖源码可得性
安全配置核查	比对安全基线	配置偏离项	只覆盖配置层面

【真题】2025 年：测试系统是否存在 SQL 注入漏洞，最合适的是Web 漏洞扫描器（答案 D），而不是端口扫描器（只发现开放端口）、网络漏洞扫描器（偏系统层）、网络发现扫描器（只探测存活主机）。

2.17 应用安全：OWASP Top 10 与三大 Web 漏洞

OWASP Top 10（2021 版，按风险排序，多选题要把十项列全）：

1. A01 访问控制失效（越权是其中最常见形态）。
2. A02 加密机制失效（原"敏感数据泄露"）。
3. A03 注入（含 SQL 注入、命令注入，XSS 也归入此类）。
4. A04 不安全设计。
5. A05 安全配置错误。
6. A06 自带缺陷和过时的组件。
7. A07 身份识别和身份验证错误。
8. A08 软件和数据完整性故障（含不安全的反序列化）。
9. A09 安全日志和监控故障。
10. A10 服务端请求伪造 SSRF。

【注意】2017 版与 2021 版有差异：2017 版把"XSS""XXE""不安全的反序列化"单列，2021 版把 XSS 并入注入、把 XXE 并入安全配置错误、把反序列化并入完整性故障、把"敏感数据泄露"改称"加密机制失效"。答题时看清题干问的是哪一版；没写版本时以"注入、失效访问控制、加密机制失效、安全配置错误、XSS、组件漏洞、日志监控不足"这些稳定项为准。

SQL 注入：

维度	内容
原理	用户输入被拼接进 SQL 语句，输入中的引号、逻辑运算改变了原语句语义
危害	读敏感数据、绕过登录、写文件、执行系统命令、拖库
防御	预编译（参数化查询）为首选；其次存储过程、白名单校验、最小权限、关闭详细报错、部署 WAF

【真题】2022 年：注入语句 abc.asp?p=YY and user>0 除判断后台是否为 SQL Server 外，还能得到当前连接数据库的用户名 （答案 B），因为 user 是取当前用户名的函数。同年第 74 题"SQL 注入不能做到"选弹出 XSS 窗（答案 C）------XSS 是另一种攻击，SQL 注入能做的是读数据、写文件、命令执行。

XSS 跨站脚本：

类型	触发方式	特点
存储型	恶意脚本存入数据库，其他用户访问页面时执行	危害最大，可批量影响用户
反射型	恶意脚本作为参数，服务端原样返回并执行	需诱导点击链接
DOM 型	前端 JavaScript 直接取不可信数据写入页面	不经服务端，传统扫描器难发现

XSS 防御四件套：输出编码（按 HTML/JS/URL 上下文编码）、输入校验、CSP 内容安全策略、Cookie 加 HttpOnly 防脚本读取。

【真题】2023 年："XSS 攻击的主要目标是服务器"是错误表述（答案 C）------XSS 攻击的是访问页面的用户浏览器，窃取的是用户的 Cookie 与身份。2024 年、2022 年也重复考过同一定义。

CSRF 跨站请求伪造：诱骗已登录用户在不知情下发出请求。防御：请求携带一次性 Token、Cookie 设置 SameSite、校验 Referer/Origin、关键操作二次确认。

越权：分为水平越权（同权限等级用户互相访问数据，如改 URL 里的订单号看他人订单）与垂直越权（低权限用户访问高权限功能，如普通用户调用管理员接口）。防御核心是服务端对每个请求都做权限校验，不能只靠前端隐藏按钮。

文件上传漏洞：未校验上传文件的类型与内容，攻击者上传 WebShell 获得服务器控制权。防御：白名单校验扩展名、校验文件头与真实类型、上传目录禁止执行脚本、文件重命名、隔离存储。逻辑漏洞：业务流程本身被绕过（如金额篡改、优惠券重复使用、验证码可爆破），无法靠通用扫描器发现，只能靠业务测试与人工审计。

【真题】2025 年：应用程序设计中"执行受约束或受限制的接口"的目的是限制授权用户和未经授权人员的行动（答案 A），而不是身份认证、行为跟踪或内存交换。

缓冲区溢出：程序向固定长度的缓冲区写入超长数据，覆盖相邻内存（返回地址、指针），从而劫持执行流程。

• 成因（2022 年多选答案 BCD）：某些语言没有缓冲区边界检查、开发人员缺乏安全意识、软件测试不严格。注意"用户输入数据太长，超出系统负荷"是干扰项，溢出的本质不是"负荷"。
• 防御（2023 年真题答案：程序指针完整性检测与数组边界检查，即 II 和 III）：在程序编写层面可用的是数组边界检查与指针完整性检测；而"使用应用程序保护软件"属于运行环境加固，不属于"编写上"的方法。
• 补充技术：栈保护（StackGuard）、地址随机化 ASLR、数据执行保护 DEP、安全函数替换（strncpy 替代 strcpy）。

【真题】2020 年："向有限的空间输入超长的字符串"属于缓冲区溢出攻击（答案 C），不是拒绝服务、监听或 IP 欺骗。

2.18 恶意代码与典型攻击

类型	是否自我复制	是否依附宿主	传播方式	典型代表
病毒	是（需宿主运行）	是	感染可执行文件、宏文档、引导区	文件型、引导型、宏病毒
蠕虫	是（独立传播）	否	利用系统漏洞在网络上主动扩散	WannaCry、冲击波
木马	否	伪装成正常程序	诱骗安装、捆绑下载	远控木马、窃密木马
勒索软件	视实现而定	视实现而定	钓鱼附件、漏洞利用	WannaCry 属"蠕虫式"勒索
逻辑炸弹	否	嵌入程序内	满足条件触发	离职人员预置
Rootkit	否	是	隐藏自身与其他恶意程序	内核级后门
僵尸程序	是（受控扩散）	否	组成僵尸网络接受指令	用于 DDoS、发垃圾邮件

三条必记的辨析：

1. 病毒需要宿主 ，蠕虫不需要宿主，这是两者最本质的区别。
2. 木马不自我复制 ，靠欺骗让用户自己安装------所以"利用社会工程伎俩诱骗受害者安装"的答案是木马（2025 年真题答案 C）。
3. WannaCry 既加密文件又是自我传播的，官方定性为"蠕虫式的勒索病毒"，考试归类到蠕虫（2022 年真题答案 B）。

宏病毒与文件型病毒的判别：病毒名形如 Macro.Melissa 的"Macro"前缀表示宏病毒 ，感染目标是 Word 或 Excel 文档（2024 年真题答案 C）；文件型病毒感染 .exe、.com、.dll 等可执行文件。

木马的关键技术点：木马采用反向连接技术，不仅可以解决内网 IP 与动态 IP 带来的连接问题，还能绕过防火墙对入站连接的限制（2023 年真题答案 A）。原理是内网主机主动向控制端发起外连，而防火墙通常只限制入站。

DDoS 攻击按层次分三类：

1. 流量型：UDP Flood、ICMP Flood，靠大流量占满带宽。
2. 连接型：SYN Flood，利用 TCP 三次握手只完成前两步，耗尽服务端半连接队列；即"TCP SYN 拒绝服务攻击利用了 TCP 三次握手过程"（2023 年真题答案 A）。
3. 应用层：CC 攻击，模拟正常请求耗尽应用处理能力，流量小但杀伤大。

【真题】2024 年：不能被攻击者用来进行 DoS 攻击的协议是 IPSec（答案 D）。原因是 IPSec 具有身份认证与加密功能，伪造源地址困难；TCP、ICMP、UDP 都可能被用于洪泛攻击。

APT 高级持续性威胁的四个特点：目标明确、持续性强、手段多样、长期潜伏。2021 年真题把"攻击少见"列为错项（答案 D）------APT 恰恰近年来并不少见。

其他攻击：社会工程（伪装身份套取信息）、钓鱼邮件、水坑攻击（攻陷目标常访问的网站）、IP 欺骗、中间人攻击、会话劫持。防御共同点是"技术 + 人"双管齐下，因为社会工程攻击绕过了一切技术控制。

2.19 应急响应六阶段 PDCERF

阶段	英文	核心工作	常考要点
准备	Preparation	预案、队伍、工具、演练、联络机制	预案是前提
检测	Detection	发现与确认事件、定级、上报	监控告警、日志分析
抑制	Containment	隔离受感染主机、切断传播路径	先止血，防止扩散
根除	Eradication	清除恶意代码、修补漏洞、删除后门	治本，消除根因
恢复	Recovery	恢复系统与数据、验证业务、加固	分批恢复、持续监控
总结	Follow-up	复盘、定责、改进预案与措施	形成闭环

【易错】"抑制"是控制影响面 （隔离、断网、限流），"根除"是消除根因（杀毒、打补丁、删后门）。考试常把两者对调。顺序也不能颠倒：先抑制后根除，否则边清边扩散。

2025 年真题（多选）：主机入侵检测系统已确认被入侵，接下来应当做的是------把计算机与网络隔离、查看邻近计算机的日志、分析系统查明感染途径（答案 ABD）；"重启计算机"是错的，重启可能破坏现场证据且无法清除后门。

突发事件应急预案的组成部分：事件场景描述、应急处置流程、应急联系人/电话表、资源清单、恢复步骤。不包括"应急演练结果"（2022 年真题答案 D）------演练结果是预案的验证产物，不是预案的组成内容。

2.20 安全管理标准与治理框架

框架	定位	核心内容	常考角度
ISO/IEC 27001	信息安全管理体系 ISMS	采用 PDCA 循环（策划---实施---检查---改进），风险管理是核心	问"ISMS 用什么循环"答 PDCA
ISO/IEC 27002	控制措施实践指南	27001 的配套实施细则	与 27001 区分：一个是要求，一个是指南
COBIT	IT 治理框架	面向董事会与管理层，强调 IT 与业务目标对齐、价值交付、风险与资源	问"IT 治理用什么框架"答 COBIT
ITIL	IT 服务管理最佳实践	服务战略、设计、转换、运营、持续改进；事件、问题、变更、配置管理	问"IT 服务管理"答 ITIL
COSO-ERM	全面风险管理框架	四类目标、八大要素、四个层面	详见 2.27

IT 治理与 IT 管理的关系（2024 年真题）：

对比项	IT 治理	IT 管理
关注层面	宏观、战略与政策层面	日常运营与执行层面
核心问题	谁决策、决策什么、如何监督	如何把决策落地执行
主体	董事会、高管层、治理委员会	信息科技部门与运维团队
关系	治理是管理的基石，二者相辅相成	管理在治理框架下运行

【真题】2024 年："IT 治理是在 IT 管理既定模式下采取的行动"是错误表述（答案 D）。正确说法是治理关注宏观战略与政策、管理关注日常运营，二者是不同层次，"不存在比较大小的问题"（解析原文）。

2.21 安全审计与日志管理

安全审计的四个要素：审计对象（谁）、审计内容（做了什么）、审计记录（日志）、审计分析（是否违规）。

日志管理的硬性要求：

1. 留存期限：网络日志不少于 6 个月（网络安全法第 21 条）。
2. 完整性：日志不能被普通管理员删除或修改，需集中存储、写保护或哈希校验。
3. 集中性：分散在各设备的日志必须集中采集到日志服务器/SIEM。
4. 可追溯：审计记录应包含事件日期时间、用户、事件类型、是否成功等要素。
5. 审计独立性：审计人员不得审计自己的工作，审计部门独立于被审计部门。

【真题】2024 年：管理员查看日志时发现服务器本身的日志已被删除，同时后台存在管理员登录失败记录，之后有成功登录并执行操作、上传 webshell 的痕迹，说明攻击者最终获得了管理员权限（答案 C）。日志被删本身就是入侵信号。

2.22 网络安全法律法规体系（监管必背）

金融监管考试的法律法规题，只考"哪部法、立了什么制度、哪个数字"。

法律法规	通过/施行	核心考点
网络安全法	2016 年 11 月通过，2017 年 6 月 1 日施行	确立网络安全等级保护制度 ；网络日志留存不少于 6 个月；关键信息基础设施专门保护；网络运营者安全义务
数据安全法	2021 年 6 月通过，2021 年 9 月 1 日施行	建立数据分类分级保护制度；重要数据目录；数据出境安全管理
个人信息保护法	2021 年 8 月通过，2021 年 11 月 1 日施行	告知---同意；最小必要；敏感个人信息单独同意；个人权利
关键信息基础设施安全保护条例	2021 年 9 月 1 日施行	运营者每年至少进行一次网络安全检测和风险评估，并向国家网信部门、国务院电信主管部门、国务院公安部门、国家保密行政管理部门报送
密码法	2020 年 1 月 1 日施行	密码分为核心密码、普通密码、商用密码；商用密码用于保护非国家秘密信息
电子签名法	2005 年 4 月 1 日施行	可靠电子签名与手写签名、盖章具有同等法律效力

网络安全法第 21 条要求网络运营者履行的义务（多选常考）：

1. 按照网络安全等级保护制度的要求，履行安全保护义务。
2. 制定内部安全管理制度和操作规程，确定网络安全负责人。
3. 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。
4. 采取监测、记录网络运行状态、网络安全事件的技术措施，并按规定留存网络日志不少于六个月。
5. 采取数据分类、重要数据备份和加密等措施。

网络安全法第 34 条规定关键信息基础设施运营者的五项额外义务（2021 年多选真题全部命中的正是这五项）：

1. 设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查。
2. 定期对从业人员进行网络安全教育、技术培训和技能考核。
3. 对重要系统和数据库进行容灾备份。
4. 制定网络安全事件应急预案，并定期进行演练。
5. 法律、行政法规规定的其他义务。

【真题】2025 年：《网络安全法》要求网络运营者应当制定网络安全事件应急预案 ，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险（答案 B）。注意与"应急演练方案""补救措施""应急处置措施"区分------法律规定制定的是预案，演练是预案的要求之一。

2.23 等级保护 2.0：五级、五环节、十类要求

等级保护是我国网络安全领域的基本制度，2.0 的标准依据是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。

第一，五个级别与监管强度（必须背成对）：

级别	名称	监管强度	备案要求
第一级	用户自主保护级	自主保护	不需备案
第二级	系统审计保护级	指导保护	需备案
第三级	安全标记保护级	监督保护	备案 + 每年测评
第四级	结构化保护级	强制保护	备案 + 每半年测评
第五级	访问验证保护级	专控保护	国家专门管控

【易错】两套"五级"要分清：GB 17859-1999 （我国第一个信息安全等级保护国家标准，2022 年真题考过）规定的是"用户自主保护、系统审计保护、安全标记保护、结构化保护、访问验证保护"五级；日常说的"一级自主、二级指导、三级监督、四级强制、五级专控"是监管强度的表述。两套都是 5 个等级，问"分几个等级"一律答 5。

第二，五个规定动作（多选题高频，缺一不可）：

1. 定级：确定系统等级，由专家评审、主管部门核准。
2. 备案：到公安机关备案（二级及以上）。
3. 建设整改：按对应等级的基本要求建设与整改。
4. 等级测评：由具备资质的测评机构测评。
5. 监督检查：公安机关与行业主管部门监督检查。

测评周期 ：第三级系统每年至少一次 ，第四级系统每半年至少一次，第二级一般每两年一次。这是数值题，必须记牢。

第三，十类安全通用要求（多选题最典型的"列全"考点）：

序号	类别	一句话内容
1	安全物理环境	机房位置、门禁、防盗防破坏、防火防水、温湿度、供电
2	安全通信网络	网络架构、通信传输、可信验证
3	安全区域边界	边界防护、访问控制、入侵防范、恶意代码防范
4	安全计算环境	身份鉴别、访问控制、安全审计、入侵防范、数据完整性/保密性
5	安全管理中心	系统管理、审计管理、安全管理、集中管控
6	安全管理制度	安全策略、管理制度、制定与发布、评审与修订
7	安全管理机构	岗位设置、人员配备、授权与审批、沟通合作、审核检查
8	安全管理人员	人员录用、离岗、考核、教育培训、外部人员访问管理
9	安全建设管理	定级备案、方案设计、产品采购、自行开发、外包开发、测试验收、交付、等级测评
10	安全运维管理	环境管理、资产管理、介质管理、设备维护、漏洞与风险管理、配置管理、变更管理、备份与恢复、应急预案、外包运维管理

记忆口诀：物理、通信、边界、计算、中心 是技术五类；制度、机构、人员、建设、运维是管理五类。技术五项里"中心"（安全管理中心）是 2.0 新增的独立要求，一级不设。

等保 2.0 相对 1.0 的四个变化：名称由"信息安全"改为"网络安全"；保护对象扩展到云、移动互联、物联网、工业控制和大数据；新增"安全管理中心"与"可信验证"；核心思想是"一个中心、三重防护"。

【易错】等保是持续合规而非"测评通过即一劳永逸"，测评只是手段，整改与常态化运维才是目的。

2.24 涉密信息系统分级保护

涉密信息系统按所处理信息的最高密级 ，由低到高分为秘密、机密、绝密三个等级（2024 年真题答案 C，依据《信息安全等级保护管理办法》第二十五条）。

对比项	等级保护	分级保护
对象	非涉密网络与信息系统	涉密信息系统
分级依据	受破坏后对国家安全、社会秩序、公共利益的危害程度	所处理信息的最高密级
等级数量	五级	三级（秘密、机密、绝密）
主管部门	公安机关、行业主管部门	保密行政管理部门
标准	GB/T 22239-2019	BMB 系列国家保密标准

【易错】"涉密系统分五级"是错的，涉密只分三级；"等保五级对应绝密级"也是错的，两套体系不能一一映射。

2.25 信息科技风险：定义、分类与来源

定义：信息科技风险是指金融机构在运用信息科技的过程中，由于自然因素、人为因素、技术漏洞和管理缺陷等，导致信息系统运行中断、数据丢失或泄露、业务无法正常开展，从而造成经济损失、客户权益受损或声誉受损的风险。

归属 ：按巴塞尔资本协议的风险分类，信息科技风险属于操作风险的重要组成部分；在我国监管实践中，信息科技风险既是操作风险的子类，又因影响面广而单列管理。

分类（多选题常考"包括哪些"）：

分类	含义	举例
操作风险	系统故障、操作失误、流程缺陷导致的损失	系统宕机、误删数据、配置错误
战略风险	科技战略与业务战略不匹配、技术选型失误	投入方向错误、技术路线被淘汰
声誉风险	科技事件引发客户与公众负面评价	大面积服务中断、数据泄露被曝光
法律合规风险	违反法律法规与监管要求	违反个人信息保护法、未按要求测评

【真题】2025 年多选：属于金融机构信息科技风险的有------信息科技外包风险（对）、应用云计算、人工智能等新技术过程中的相关风险（对）；"现金流中断风险""挤兑风险"属于流动性风险，不是信息科技风险。答案 AC。这说明外包风险与新技术风险是监管明确纳入信息科技风险范畴的。

四类来源（多选常考"风险来源包括哪些"）：

1. 系统与技术：架构缺陷、单点故障、容量不足、漏洞未修、老旧系统。
2. 人员与操作：操作失误、权限滥用、内部欺诈、人员流失、能力不足。
3. 流程与制度：流程缺失、审批不严、变更失控、测试不充分、外包管理不到位。
4. 外部与事件：网络攻击、自然灾害、电力通信中断、外部服务商故障、政策变化。

新技术的风险 （监管近年反复强调）：云计算（数据驻留与集中度）、人工智能（模型不可解释、算法歧视、数据投毒）、开源组件（供应链投毒）。核心态度是"技术可以外包，责任不能外包"。

2.26 治理架构与三道防线

治理架构三层：

1. 董事会：承担信息科技风险管理的最终责任。职责包括：贯彻国家信息科技法律法规与监管要求；审查批准信息科技战略，确保与业务战略一致；掌握主要信息科技风险，确定可接受的风险级别；确保风险能够被识别、计量、监测和控制；确保信息科技风险管理所需资金与人力；每年审阅并向监管机构报送信息科技风险年度报告。
2. 高级管理层：负责执行董事会决策，建立并实施风险管理体系，设立首席信息官（CIO）/信息科技风险管理部门。
3. 监事会与内部审计：监督评价。

【真题】2024 年：商业银行董事会职责中不准确的是"审核信息科技员工的道德品行"（答案 C）。董事会管战略、管风险偏好、管资源、管报告，不介入员工个人品行审核这类执行层事项。
【真题】2021 年：本机构信息科技风险管理的第一责任人 是法定代表人（答案 C）。配合记忆：董事会承担最终责任，法定代表人是第一责任人，高管层与信息科技部门负责具体执行，三道防线各司其职（不同年份文件表述侧重不同，考试按题干所引文件作答）。

三道防线职责对照表（本章最核心的监管考点）：

防线	组成部门	定位	具体职责	常考关键词
第一道	业务部门、信息科技部门	风险的第一所有者，自我管理	在业务流程与系统开发运维中识别、评估、控制风险；执行制度与技术措施；及时上报风险事件	直接责任、自我控制、第一责任人
第二道	风险管理部门、合规部门、信息安全管理部门	独立监督与制衡	制定风险管理制度与标准；组织风险评估与监测；独立检查与报告；统筹外包风险与业务连续性管理	监督管理、独立于业务、制度建设
第三道	内部审计部门	独立评价	对前两道防线的有效性进行独立、客观的审计与评价；直接向董事会/审计委员会报告；跟踪整改	独立评价、不参与业务、向董事会报告

三条禁忌（多选题的干扰项常从这里出）：

1. 第二道防线不能既制定规则又执行业务，否则失去独立性。
2. 第三道防线不能承担风险管理职责，只能评价，否则"自己审自己"。
3. 信息科技部门不能自认为"只管技术不管风险"，第一道防线同样要承担风险管理首要责任。

2.27 风险管理流程与四种应对策略

五步闭环流程：

1. 风险识别：梳理资产、威胁、脆弱性，形成风险清单。方法有流程梳理、访谈、检查表、历史事件分析。
2. 风险评估：按"可能性 × 影响"确定风险等级，形成风险矩阵（高、中、低）。评估要区分固有风险与剩余风险。
3. 风险监测：建立指标（KRI）持续监控，如系统可用率、故障次数、漏洞修复及时率、外包集中度。
4. 风险报告：按层级报告，重大风险及时上报董事会与监管机构。
5. 风险处置：选择应对策略并落实整改，跟踪至关闭。

四种应对策略（多选题必考，必须四个都写全）：

策略	含义	举例
规避（回避）	放弃或改变引发风险的业务/方案	不上线高风险功能、不进入某地区
降低（减轻）	采取措施减小可能性或影响	冗余部署、补丁管理、加密、培训
转移（分担）	通过合同、保险把损失部分转给第三方	购买保险、外包非核心业务
接受（承受）	风险在可接受范围内，保留并监控	低风险项纳入观察清单

【易错】外包是"转移"策略，但转移的只是部分损失，不是管理责任与网络安全主体责任 。2022 年真题："在外包合同中约定风险责任和风险转移条款，要求外包商承担风险管理责任"是不正确的做法（答案 A），违反了"不得将信息科技管理责任、网络安全主体责任外包"这一首要原则。

风险应对措施的正确组合（2021 年多选真题）：通过数据备份、双机热备等冗余手段提升可靠性（对）；建立安全制度并部署技术手段防范攻击（对）；通过业务外包"转嫁所有安全风险"（错）；通过良好系统设计、及时更新补丁降低缺陷（对）。答案 ABD。

【注意】COSO-ERM（2004）框架是"四类目标、八大要素、四个层面"：四类目标是战略、经营、报告与合规；八大要素是内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息沟通和监控；四个层面是主体层次、分布、业务单位、子公司。2023 年真题考过此处，答案 ACD。

2.28 监管文件表（文件名---年份---核心考点）

这张表是本章"监管语境"的骨架，务必按"文件---年份---要点"三列记住。

监管文件	发布年份	核心考点
《商业银行信息科技风险管理指引》	2009	董事会最终责任与高管层职责；三道防线；全面的信息科技风险管理策略七领域；信息科技风险监测与报告；外包与应急要求
《商业银行业务连续性监管指引》	2011	业务连续性管理组织架构；业务影响分析 BIA；RTO/RPO；业务连续性计划与应急预案；演练与评估
《银行业金融机构信息科技外包风险监管指引》	2013	外包定义与分类；准入与尽职调查；合同要求；非驻场外包；集中度风险；退出管理
《银行保险机构信息科技外包风险监管办法》	2021	外包六项基本原则；不得外包的事项；重点外包服务商管理；集中度与供应链风险；退出机制
《金融科技发展规划》	2019、2022 两轮	数字驱动、智慧为民、绿色低碳、公平普惠；科技能力建设四方面
《银行业金融机构信息科技非驻场集中式外包监管评估》	2014	非驻场集中式外包的监管评估要点
网络安全法、数据安全法、个人信息保护法、关基条例	2017---2021	见 2.22

《商业银行信息科技风险管理指引》第十五条列举的七领域全面风险管理策略（2022 年多选真题，答案 ABCD）：

1. 信息分级与保护。
2. 信息系统开发、测试和维护。
3. 信息科技运行和维护。
4. 访问控制。
5. 物理安全。
6. 人员安全。
7. 业务连续性计划与应急处置。

这七项是"全面"二字的注脚，多选题只要问"信息科技风险管理策略包括"，就从这七项里选。

2.29 信息科技外包风险

外包六项基本原则（2022 年真题解析原文，多选与单选都能用）：

1. 不得将信息科技管理责任、网络安全主体责任外包。
2. 以不妨碍核心能力建设、积极掌握关键技术为导向。
3. 保持外包风险、成本和效益的平衡。
4. 保障网络和信息安全，加强重要数据和个人信息保护。
5. 强调事前控制和事中监督。
6. 持续改进外包策略和风险管理措施。

外包全生命周期五个环节：

环节	关键动作	风险点
准入与立项	外包立项审批、服务商准入、尽职调查、供应商选择	尽调不充分、低价中标、资质造假
合同管理	明确服务范围、SLA、数据安全与保密、审计权、违约责任、退出条款	责任边界模糊、无审计权
日常监控	驻场与非驻场分类管理、服务质量考核、安全检查、事件报告	监控缺位、服务商"黑箱"
集中度管理	统计单一服务商及同集团服务商占比、识别重要外包	过度依赖单一服务商
退出管理	制定退出计划与过渡方案、数据与文档回收、权限回收、数据销毁	退出不畅、数据残留

三个必须分清的概念：

1. 驻场外包：服务商人员在机构场所内提供服务，需纳入机构内部管理（门禁、终端、行为审计）。
2. 非驻场外包：人员在服务商场所远程提供服务，风险更高（数据可见性差、监管难度大），需加强远程接入控制与数据脱敏。
3. 非驻场集中式外包：多家机构共用同一服务商同一平台（如云服务、呼叫中心），风险具有传导性------一家出事波及多家，是监管重点。

重要外包的识别标准：涉及重要业务系统、核心数据、关键信息基础设施、影响范围广或替代成本高的外包。

集中度风险：单一服务商或同一集团内多家服务商提供的外包服务在同类外包中占比过高，导致丧失议价能力、退出困难、风险集中。监管要求设置集中度限额并定期评估。

【注意】金融监管对"外包"的态度是"可外包业务，不可外包责任"。凡出现"由外包商承担全部风险""通过外包转嫁所有风险"的表述，一律判错。

2.30 业务连续性管理：BCM、BIA、BCP、DRP、RTO/RPO

四层概念的关系（最容易混淆，必须按包含关系记）：

1. BCM 业务连续性管理：最高层的管理过程，识别威胁、评估影响、建立恢复能力，形成制度、组织、资源、文化。
2. BIA 业务影响分析：BCM 的分析工具，确定关键业务、中断影响、恢复优先级、RTO/RPO。BIA 是制定 BCP 的前提和第一步（2024 年真题答案 B）。
3. BCP 业务连续性计划：面向业务，覆盖人员、场所、流程、系统、供应商，规定中断后如何维持与恢复关键业务。
4. DRP 灾难恢复计划：BCP 的技术子集，面向 IT 基础设施与数据，规定系统与数据如何恢复。

对比项	BCP	DRP
范围	全业务、全组织	IT 系统与数据
关注点	业务如何持续与恢复	技术如何重建与恢复
编制牵头	业务连续性管理部门	信息科技部门
关系	上层，DRP 是 BCP 的组成部分	下层，支撑 BCP

RTO 与 RPO（数值题高频，绝不能写反）：

指标	含义	记忆
RTO 恢复时间目标	从灾难发生到业务/系统恢复可用所允许的最长时间	时间轴上的"多久能恢复"
RPO 恢复点目标	灾难发生时允许丢失的数据量（用时间表示）	时间轴上的"能丢多久的数据"

【真题】2020 年："为了满足企业业务持续运作的要求，对数据的备份时间间隔 不能超过在灾难情形下业务所要求的恢复点目标 RPO"（答案 A）。逻辑是：备份间隔决定最多丢多少数据，所以备份间隔必须小于等于 RPO。

三条推论：RTO 越小，成本越高；RPO 越小，备份越频繁、成本越高；两个指标都由 BIA 确定，不能由技术部门单方面拍定。

【真题】2023 年：业务影响分析（BIA）的主要好处是"对业务系统的恢复目标优先级顺序做出正确决策"（答案 A）。BIA 的产出是优先级与恢复目标，不是直接"减少损失"或"保证有序恢复"。

恢复策略的四类手段（2021 年多选真题，答案 ABCD）：

1. 关键资源恢复：设备、场地、网络、人员的恢复安排。
2. 业务替代手段：手工处理、备用渠道、他行代理、异地受理。
3. 数据追补：事后补录中断期间的数据。
4. 恢复优先级：按业务重要性排序，分批恢复。

演练要求：每年至少开展一次业务连续性计划与应急预案的演练，重要业务系统应开展灾备切换演练；演练后必须评估并修订预案，形成"演练---评估---改进"闭环。

灾难恢复能力等级 GB/T 20988（1 至 6 级，数字越大能力越强）：

等级	名称	关键特征
1 级	基本支持	数据定期备份并异地存放，无备用场地，RTO/RPO 最大
2 级	备用场地支持	有备用场地，介质异地存放，仍需较长恢复时间
3 级	电子传输和部分设备支持	数据可电子传输，配备部分设备
4 级	电子传输和完整设备支持	有完整备用设备，可较快接管
5 级	实时数据传输及完整设备支持	数据实时复制，RTO 显著缩短
6 级	数据零丢失和远程集群支持	RPO 接近零，应用集群自动切换

灾备中心的三种模式：同城灾备（RTO 短但抗区域性灾害弱）、异地灾备（抗大范围灾害但 RTO 较长）、两地三中心（金融业主流方案）。

【注意】本章与第 01 章的分工：第 01 章讲容灾的技术架构与性能指标，本章讲业务连续性管理的流程、组织、演练与监管要求。考"双活/主备架构怎么设计"归第 01 章，考"BIA 是什么、BCP 第一步是什么、RTO/RPO 谁定"归本章。

2.31 数据安全与个人信息保护

数据分类分级 ：按数据遭到篡改、破坏、泄露或非法获取、非法利用后对国家安全、公共利益、个人与组织合法权益造成的危害程度，把数据分为不同级别并差异化保护。这是《数据安全法》确立的基本制度（2023 年真题：国家建立数据分类分级保护制度，答案 D）。

金融数据常见分法（了解层次）：按敏感程度分为公开数据、内部数据、敏感数据、核心数据；按业务分为客户信息、账户信息、交易信息、经营管理信息。

数据生命周期六阶段与对应措施：

阶段	主要风险	控制措施
采集	超范围采集、未授权采集	最小必要、告知同意、来源合法性审核
传输	被窃听、被篡改	传输加密（TLS/国密）、完整性校验
存储	泄露、被拖库、介质丢失	加密存储、分级存放、访问控制、备份
使用	越权查看、批量导出、内部泄露	脱敏、水印、行为审计、导出审批、DLP
共享与出境	违规提供、跨境违规	共享审批、去标识化、出境安全评估
销毁	数据残留	介质消磁、物理粉碎、销毁记录

数据脱敏的两种形态：静态脱敏（测试、开发环境用脱敏后的副本）、动态脱敏（查询时按权限实时遮蔽，如身份证中间位打星）。

数据防泄漏 DLP：通过内容识别与策略匹配，监控并阻断敏感数据的外发（邮件、U 盘、打印、网盘、即时通讯）。

【真题】2025 年："可为敏感数据的保密性提供最佳保护"的是数据分类（答案 B）。因为没有分类就不知道哪些数据需要保护、保护到什么程度，分类是一切保护措施的前提。

个人信息保护法要点（多选高频）：

1. 处理原则：合法、正当、必要、诚信；目的明确、最小必要。
2. 告知同意：处理前应以显著方式、清晰易懂的语言告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、安全保护措施与注销渠道等（2024 年真题答案 ABD，注意"个人信息主体的身份信息、通信方式、住址"也属于应告知内容）。
3. 敏感个人信息：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息；处理需单独同意并具备特定目的与充分必要性。
4. 个人权利：知情、决定、查阅复制、更正补充、删除、可携带、解释说明。
5. 跨境提供：需通过安全评估、认证或标准合同等途径。

【易错】"告知同意"不是万能钥匙：法律、行政法规规定应当保密或无需告知的情形除外，且同意必须是自愿、明确的，捆绑授权、默认勾选、以拒绝提供服务相要挟均属无效同意。

三、高频考点速查表

本章数值与并列项分散在四个方向（密码学、等保、风险管理、监管文件），适合考前集中速览。建议先过 3.1 与 3.4 两张表，再用 3.2 的流程线把零散环节串起来，最后用 3.3 对监管文件做"文件名---年份---关键词"的三点记忆。

3.1 必背数值与结论速查

考点	一句话结论
DES 密钥与分组	有效密钥 56 位，分组 64 位（密钥含校验位时为 64 位）
3DES 有效密钥	112 位（两密钥）或 168 位（三密钥），分组仍 64 位
AES 密钥与分组	密钥 128/192/256 位，分组固定 128 位
IDEA 与 SM4	IDEA 密钥 128 位、分组 64 位；SM4 密钥 128 位、分组 128 位
RSA 常用长度	2048 位（指模数长度），安全性基于大整数分解
ECC 与 SM2	均为 256 位，安全性基于椭圆曲线离散对数
哈希输出位数	MD5 128 位、SHA-1 160 位、SHA-256 256 位、SM3 256 位
数字签名密钥方向	发送方私钥签、接收方用发送方公钥验
数字信封加密顺序	对称密钥加密数据，接收方公钥加密该对称密钥
PKI 角色	CA 签发证书，RA 审核身份，CRL 记录吊销
认证因子	所知、所有、所是，共 3 类
访问控制模型	DAC、MAC、RBAC、ABAC，共 4 种
BLP 与 Biba	BLP 保机密性（不下读不上写），Biba 保完整性
等保等级数量	5 级（自主、指导、监督、强制、专控）
等保规定动作	定级、备案、建设整改、等级测评、监督检查，共 5 个
等保十类要求	技术五类（物理、通信、边界、计算、中心）+ 管理五类（制度、机构、人员、建设、运维）
等保测评周期	三级每年至少一次，四级每半年至少一次，二级一般每两年一次
网络日志留存	不少于 6 个月
涉密分级	秘密、机密、绝密，共 3 级（按最高密级确定）
CVSS 分值	0 至 10；高危 7.0 至 8.9，严重 9.0 至 10.0
应急响应阶段	准备、检测、抑制、根除、恢复、总结，共 6 阶段
风险应对策略	规避、降低、转移、接受，共 4 种
三道防线	业务与科技部门、风险合规与信息安全、内部审计，共 3 道
风险管理策略七领域	信息分级与保护、系统开发测试维护、运行维护、访问控制、物理安全、人员安全、业务连续性
外包基本原则	6 项（首条：不得将信息科技管理责任、网络安全主体责任外包）
灾难恢复能力等级	GB/T 20988 分 1 至 6 级，数字越大能力越强
关基检测评估频次	每年至少进行一次
HTTPS 端口	443（HTTP 为 80，SQL Server 为 1433，RDP 为 3389）
网络安全法	2017 年 6 月 1 日施行，确立网络安全等级保护制度
数据安全法	2021 年 9 月 1 日施行，确立数据分类分级保护制度
个人信息保护法	2021 年 11 月 1 日施行，确立告知同意与最小必要原则
电子签名法	2005 年 4 月 1 日施行，可靠电子签名与手写签名同效

3.2 流程与环节速查

主题	环节序列
等保五个规定动作	定级 → 备案 → 建设整改 → 等级测评 → 监督检查
应急响应六阶段	准备 → 检测 → 抑制 → 根除 → 恢复 → 总结
风险管理五步	识别 → 评估 → 监测 → 报告 → 处置
权限管理五步	申请 → 审批 → 授予 → 复核 → 回收
漏洞管理四步	发现 → 评估 → 修复 → 验证
数字签名四步	算摘要 → 私钥签 → 传输 → 公钥验并对摘要
数字信封流程	生成会话密钥 → 对称加密数据 → 公钥加密密钥 → 私钥解密钥再解数据
证书验证流程	查有效期 → 验证书链 → 核域名 → 查 CRL/OCSP → 建立信任
密钥管理生命周期	生成 → 分发 → 存储 → 使用 → 更新 → 归档 → 销毁
外包全生命周期	准入立项 → 合同管理 → 日常监控 → 集中度管理 → 退出管理
业务连续性逻辑	BIA 定目标 → 编制 BCP → DRP 支撑 → 演练 → 评估改进
灾备中心模式	同城灾备、异地灾备、两地三中心
变更管理闭环	申请 → 评审 → 测试 → 审批 → 实施 → 验证 → 回滚预案
事件分级响应	特别重大 → 重大 → 较大 → 一般，逐级上报

3.3 监管文件速查

文件	年份	关键词
商业银行信息科技风险管理指引	2009	董事会最终责任、三道防线、七领域策略
商业银行业务连续性监管指引	2011	BIA、RTO/RPO、演练、年度评估
银行业金融机构信息科技外包风险监管指引	2013	准入、尽调、非驻场、集中度、退出
银行保险机构信息科技外包风险监管办法	2021	六项原则、不得外包事项、重点外包、退出
金融科技发展规划	2019、2022	数字驱动、智慧为民、绿色低碳、公平普惠
网络安全法	2017 施行	等保制度、日志 6 个月、关基保护
数据安全法	2021 施行	分类分级、重要数据、出境管理
个人信息保护法	2021 施行	告知同意、最小必要、敏感信息单独同意
关键信息基础设施安全保护条例	2021 施行	每年至少一次检测评估并报送
网络安全等级保护基本要求	2019	GB/T 22239-2019，五级五环节十类

3.4 多选题"并列项"专项速查

多选题少选、多选、错选均不得分，所以凡是"包括/属于/分为"的考点，必须能默写全。下表把本章所有并列项集中列全。

题目问法	必须写全的并列项	项数
信息安全属性包括	机密性、完整性、可用性、可控性、不可否认性、真实性	6
等保规定动作包括	定级、备案、建设整改、等级测评、监督检查	5
等保十类通用要求	安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理	10
应急响应阶段包括	准备、检测、抑制、根除、恢复、总结	6
风险应对策略包括	规避、降低、转移、接受	4
三道防线包括	业务与信息科技部门、风险管理与合规及信息安全部门、内部审计部门	3
外包基本原则包括	不得外包管理责任与网络安全主体责任、不妨碍核心能力建设、风险成本效益平衡、保障网络与信息安全及数据保护、强调事前控制与事中监督、持续改进外包策略	6
信息科技风险管理策略包括	信息分级与保护、系统开发测试维护、运行维护、访问控制、物理安全、人员安全、业务连续性计划与应急处置	7
认证因子包括	所知（口令）、所有（令牌）、所是（生物特征）	3
关基运营者额外义务包括	设置专门机构与安全负责人并做背景审查、从业人员教育培训与考核、重要系统和数据库容灾备份、制定应急预案并定期演练、其他法定义务	5
数据生命周期包括	采集、传输、存储、使用、共享、销毁	6
密钥管理环节包括	生成、分发、存储、使用、更新、归档、销毁	7
网络安全三性被破坏的对应	窃听→机密性、篡改→完整性、毁坏与攻击→可用性	3
数据安全分级保护对象	秘密、机密、绝密	3
灾难恢复能力等级	GB/T 20988 第 1 级至第 6 级	6
权限管理流程包括	申请、审批、授予、复核、回收	5
外包全生命周期包括	准入立项、合同管理、日常监控、集中度管理、退出管理	5

【口诀】并列项一律编号背，答题时先默写编号再对选项：凡是选项里出现"某几项加起来少了一项"，宁可多背一项也不要赌。特别注意几个容易被漏掉的项------安全属性里的"可控性"、十类要求里的"安全管理中心"、外包原则里的"持续改进外包策略"、关基义务里的"容灾备份"。

四、易混辨析

4.1 概念对辨析（多选与单选的挖坑集中区）

易混概念对	核心区别（前者 / 后者）	一句话记忆
对称加密 vs 非对称加密	加解密同一密钥、速度快 / 一对公私钥、速度慢但可签名	对称加数据，非对称加密钥
加密 vs 哈希	可逆、有密钥、保机密性 / 不可逆、无密钥、保完整性	加密能还原，哈希不能还原
数字签名 vs 数字信封	私钥签公钥验，保认证不保机密 / 公钥加密钥私钥解，保机密不保不可否认	签名管"是谁发的"，信封管"别人看不懂"
数字签名 vs 加密	用自己私钥、给对方验 / 用对方公钥、给自己解	签名用私钥，加密用公钥
证书 vs 密钥	公开的、含公钥与 CA 签名 / 私钥保密、不出本地	证书里没有私钥
CA vs RA	签发与吊销证书、是信任根 / 只受理与审核身份	RA 审、CA 签
DAC vs MAC	所有者自主授权、灵活 / 系统按标签强制、严格	DAC 自己定，MAC 系统定
BLP vs Biba	保机密性、不下读不上写 / 保完整性、不下写不上读	BLP 防泄密，Biba 防污染
RBAC vs ABAC	按角色授权、静态 / 按属性动态判定、细粒度	角色固化，属性动态
身份认证 vs 访问控制	回答"你是谁"、先发生 / 回答"你能做什么"、后发生	先认证，后授权
防火墙 vs IDS	串联、按策略放行阻断 / 旁路、只检测告警	防火墙拦，IDS 看
IDS vs IPS	旁路、只告警不阻断 / 串联、可实时阻断	IDS 看，IPS 拦
误报 vs 漏报	把正常当攻击（虚警）/ 把攻击当正常（漏检）	误报扰民，漏报致命
VPN vs 网闸	加密隧道贯通、逻辑隔离 / 断开 TCP/IP、物理隔离	VPN 通，网闸断
病毒 vs 蠕虫	需依附宿主文件 / 独立自我复制、利用漏洞传播	病毒要宿主，蠕虫不用
蠕虫 vs 木马	主动复制传播 / 伪装诱骗安装、不自我复制	蠕虫自己跑，木马骗你装
DoS vs DDoS	单一来源耗尽资源 / 分布式大量主机同时攻击	DDoS 是 DoS 的分布式版本
等保 vs 分级保护	非涉密、5 级、公安主管 / 涉密、3 级、保密部门主管	等保管五级，涉密管三级
定级 vs 备案	确定系统等级、专家评审 / 到公安机关登记	先定级，后备案
BCP vs DRP	面向全业务与组织 / 面向 IT 系统与数据，是 BCP 子集	BCP 管业务，DRP 管技术
RTO vs RPO	恢复可用的最长时间 / 可容忍的数据丢失量	RTO 管"多久恢复"，RPO 管"丢多少数据"
风险规避 vs 风险转移	放弃或改变业务 / 通过合同保险把损失转给第三方	规避是不做，转移是别人担
第二道 vs 第三道防线	制定制度并独立监督 / 独立审计评价、向董事会报告	二道监督，三道评价
漏洞 vs 后门	无意的设计或实现缺陷 / 有意留下的绕过认证的通道	漏洞无意，后门有意
抑制 vs 根除	隔离断网控制影响面 / 杀毒打补丁消除根因	先止血，后治本
驻场 vs 非驻场外包	在本机构场所内、纳入内部管理 / 远程提供服务、风险更高	驻场可控，非驻场难管
IT 治理 vs IT 管理	宏观战略与政策、谁决策 / 日常运营执行、怎么做	治理定方向，管理抓落实
静态脱敏 vs 动态脱敏	生成脱敏副本用于测试 / 查询时按权限实时遮蔽	静态做副本，动态改显示
漏洞扫描 vs 渗透测试	找"有没有洞" / 证明"洞能造成多大破坏"	扫描发现，渗透验证
业务连续性 vs 灾难恢复	管理体系与业务恢复能力 / 灾难后的技术重建	连续性管全局，灾难恢复管系统

五、真题精练

【单选】2020 年

为了满足企业业务持续运作的要求，对数据的备份时间间隔不能超过在灾难情形下业务所要求的（ ）。

A. 恢复点目标（RPO）

B. 恢复时间目标（RTO）

C. 服务水平目标（SLO）

D. 系统年平均无故障时间

【答案】A
【解析】RPO 衡量的是灾难发生时允许丢失的数据量，用时间表示。备份间隔越长，最坏情况下丢失的数据越多，因此"备份时间间隔必须小于等于 RPO"。RTO 衡量的是从灾难发生到系统恢复可用所允许的最长时间，与备份频率无关；SLO 是服务水平目标；D 是无故障时间指标。三者不能混用。

【单选】2021 年

若 A 给 B 发送一封邮件，并想让 B 能验证邮件是由 A 发出的，则 A 应该选用（ ）对邮件加密。

A. A 的公钥

B. A 的私钥

C. B 的公钥

D. B 的私钥

【答案】B
【解析】"让 B 能验证邮件来自 A"是典型的身份认证需求，即数字签名。发送方用自己的私钥对摘要签名，接收方用发送方公钥验证。若用 B 的公钥加密则只能保证机密性，B 无法据此确认发送者身份（任何拿到 B 公钥的人都能发）。故用 A 的私钥，答案 B。

【单选】2022 年

关于商业银行实施信息科技外包活动应当遵循的要求，以下说法不正确的是（ ）。

A. 在外包合同中约定风险责任和风险转移条款，要求外包商承担风险管理责任

B. 应建立与自身规模、市场地位相适应的供应商关系管理策略

C. 应建立外包立项、尽职调查、供应商选择、合同签署、日常管理和后评价管理流程

D. 对于重要的非驻场外包服务，要加强对其安全性、业务连续性的指标考核，每年开展实地检查，加强风险评估

【答案】A
【解析】银行保险机构实施信息科技外包应坚持的原则中，第一条就是"不得将信息科技管理责任、网络安全主体责任外包"。A 项通过合同条款要求外包商承担风险管理责任，实质是把管理责任与主体责任外包，违反该原则。B、C、D 分别对应供应商关系管理、全流程管理与非驻场重点外包的强化管理要求，均为正确做法。

【单选】2023 年

根据《中华人民共和国网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，其中要求：采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于（ ）。

A. 1 个月

B. 3 个月

C. 6 个月

D. 1 年

【答案】C
【解析】《网络安全法》第二十一条明确网络日志留存不少于六个月。这一数值是本章最稳的数字题之一，常与"等保测评周期""应急响应六阶段"一同出现在多选中。注意区分：六个月是网络日志留存的下限，不是数据备份周期，也不是等保测评周期。

【单选】2025 年

保密性、完整性和可用性通常被视为安全基础设施的主要目标。下列（ ）不是对保密性的破坏。

A. 使用键盘输入记录工具窃取密码

B. 窃听无线网络通信

C. 纵火造成存储设备毁坏

D. 欺骗用户向虚假网站提供个人信息

【答案】C
【解析】窃取密码、窃听通信、钓鱼骗取信息都是让未授权者获知信息，属破坏机密性；纵火毁坏存储设备导致数据不可用，破坏的是可用性。判别口诀：被看到是机密性，被改了是完整性，用不了是可用性。

【单选】2024 年

制订业务连续性计划（BCP）的第一步是（ ）。

A. 执行模拟演练

B. 执行业务影响分析（BIA）

C. 识别备份方案

D. 制订业务恢复计划

【答案】B
【解析】BCP 的编制顺序是先做业务影响分析：识别关键业务流程与资源，评估中断造成的影响与风险，从而确定恢复优先级和 RTO/RPO，为后续编制计划提供依据。演练属于计划完成后的验证环节，顺序在最后而不是最前。

【多选】2021 年

为降低信息科技风险，可采取的措施包括哪些？（ ）

A. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性

B. 建立必要安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击

C. 通过业务外包的方式，转嫁所有的安全风险

D. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷

【答案】ABD
【解析】A 属于"降低"策略中的冗余与可用性提升，D 属于降低系统自身缺陷，B 属于管理与技术双重防护，均为有效措施。C 项错误在于外包只能转移部分损失，不能"转嫁所有风险"，更不能转移信息科技管理责任和网络安全主体责任------这与 2022 年外包原则真题考的是同一个考点。

【多选】2022 年

商业银行应制定全面的信息科技风险管理策略，包括（ ）。

A. 信息分级与保护

B. 信息系统开发、测试和维护

C. 信息科技运行和维护

D. 访问控制

【答案】ABCD
【解析】依据《商业银行信息科技风险管理指引》第十五条，全面的信息科技风险管理策略包括但不限于七个领域：信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问控制；物理安全；人员安全；业务连续性计划与应急处置。选项 A 至 D 均在其中，故全选。备考时应把七项全部背下，多选题只会从中抽取四项组合。

六、自测清单

1. 信息安全三要素是机密性、完整性和（），合称 CIA。
2. 数据"被别人看到了"破坏的是（），"被改了"破坏的是（），"用不了"破坏的是（）。
3. 信息安全的四个扩展属性是可控性、不可否认性、真实性和（）性。
4. 风险的计算关系可表达为风险等于威胁乘以脆弱性乘以（）。
5. P2DR 的四个字母分别代表策略、防护、检测和（）。
6. PDRR 比 P2DR 多出的一个环节是（）。
7. 零信任的三个关键词是永不信任、始终验证和（）权限。
8. 安全体系六个层次由底层到高层为物理、网络、系统、应用、数据和（）安全。
9. DES 的有效密钥长度是（）位，分组长度是（）位。
10. AES 的密钥长度可以是 128、192 或（）位，分组长度固定为（）位。
11. SM4 是（）算法，密钥 128 位、分组（）位。
12. RSA 的安全性基于大整数分解难题，其常用密钥长度为（）位。
13. ECC 与 SM2 的安全性基于（）离散对数难题，常用长度为 256 位。
14. MD5 的输出长度是（）位，SHA-1 是（）位，SM3 是（）位。
15. 哈希函数的四个特性是单向性、定长输出、抗碰撞性和（）效应。
16. 数字签名用发送方的（）对摘要签名，接收方用发送方的（）验证。
17. 数字签名提供完整性、身份认证和不可否认性，但不提供（）性。
18. 数字信封先用（）密钥加密数据，再用接收方的（）加密该密钥。
19. 证书中只包含公钥，私钥保存在（）或密码机中，绝不出本地。
20. PKI 中负责签发与吊销证书的是（），负责审核身份的是（）。
21. 身份认证的三类因子是所知、所有和（）。
22. RBAC 是权限赋给（）、再赋给用户；MAC 中 BLP 模型保护的是（）性。
23. 最小权限原则要求只授予完成工作所必需的（）权限。
24. 防火墙的策略原则应当是默认拒绝、按需（）；IDS 采用（）部署方式。
25. WAF 工作在网络体系结构的（）层，专门防护 SQL 注入与 XSS。
26. 网闸用于实现（）隔离，VPN 用于实现加密隧道贯通。
27. SQL 注入的首选防御措施是（）查询，XSS 的核心防御是输出（）。
28. 缓冲区溢出的主要原因之一是程序缺少数组（）检查。
29. 病毒与蠕虫的本质区别是病毒需要（），蠕虫不需要。
30. 木马采用（）连接技术可以绕过防火墙对入站连接的限制。
31. 应急响应的六个阶段是准备、检测、抑制、根除、恢复和（）。
32. 等级保护共分（）个级别，其规定动作共（）个环节。
33. 等保十类安全通用要求中，技术部分为物理环境、通信网络、区域边界、计算环境和（）中心。
34. 第三级系统等级测评周期为每年至少（）次，第四级为每半年至少一次。
35. 网络日志的留存期限不少于（）个月。
36. 涉密信息系统按最高密级分为秘密、机密和（）三个等级。
37. ISO/IEC 27001 建立的 ISMS 采用（）循环；IT 治理常用（）框架。
38. 信息科技风险的分类包括操作风险、战略风险、声誉风险和（）风险。
39. 三道防线依次是业务与科技部门、（）部门、内部审计部门。
40. 风险应对的四种策略是规避、降低、转移和（）。
41. 业务连续性计划的前提和第一步是业务影响分析（），它确定恢复目标（）与（）。
42. 灾难恢复能力等级标准 GB/T 20988 共分（）级，数字越大恢复能力越强。
43. 数据安全法确立的基本制度是数据（）保护制度。
44. 外包管理的五个环节是准入立项、合同管理、日常监控、（）管理和退出管理。
45. 关键信息基础设施运营者每年至少进行（）次网络安全检测和风险评估。
46. 数据脱敏的两种形态是（）脱敏与（）脱敏。
47. 灾难备份中心的三种模式是同城灾备、异地灾备和（）。
48. 网络安全事件应急预案的组成不包括（）结果，它是预案的验证产物。

【提醒】以上 48 条能全部不假思索地说出来，本章的选择题安全线约在 85% 以上。若有个别条目卡壳，回到第二节对应小节再读一遍那张表，不要整章重读------本章的分数全在"并列项 + 数值 + 密钥方向"三件事上。