第五章 信息安全及信息科技风险管理

第五章 信息安全及信息科技风险管理

一、本章考情与知识地图

1.1 近八年真题题量与分值估计

专业科目 100 分中，计算机专业知识占 80 分（60 道单选×1 分 + 20 道多选×1 分）。信息安全及信息科技风险管理是除软件工程之外的第二大命题来源，而且命题重心近年明显从"纯技术"偏向"监管语境"：不再只问算法位数，而是问"哪份文件、哪条原则、哪个部门负责"。

说明：上表按可获取真题页面逐题归类统计，2019 年页面未纳入本次抽取，取邻近两年均值估计；标注"估计"不影响下面的命题规律结论。

1.2 命题规律

1.3 本章知识地图

• 信息安全基础
  　· CIA 三要素；扩展属性：可控性、不可否认性、真实性
  　· 威胁、脆弱性、风险、安全事件的逻辑关系
  　· P2DR / PDRR / 纵深防御 / 零信任
  　· 物理—网络—系统—应用—数据—管理 六层体系
• 密码学（高频）
  　· 对称：DES、3DES、AES、IDEA、SM4、RC4
  　· 非对称：RSA、ECC、SM2、Diffie-Hellman、SM9
  　· 哈希：MD5、SHA-1、SHA-256、SHA-3、SM3
  　· 数字签名：私钥签、公钥验、不提供机密性
  　· 数字信封：对称加密数据 + 非对称加密会话密钥
  　· PKI/CA：CA、RA、证书库、CRL、证书链、X.509
  　· 密钥管理生命周期
• 身份认证与访问控制
  　· 三因子、双因素、SSO、OAuth 2.0、Kerberos
  　· DAC / MAC（BLP、Biba）/ RBAC / ABAC
  　· 最小权限、职责分离、特权账号、堡垒机
• 网络与系统安全
  　· 防火墙四代形态、IDS/IPS、WAF、网闸、蜜罐
  　· VPN：IPSec（AH/ESP、传输/隧道）、SSL VPN
  　· 主机加固、漏洞管理、CVSS、SOC/SIEM
• 应用安全与恶意代码
  　· OWASP Top 10、SQL 注入、XSS、CSRF、越权、缓冲区溢出
  　· SDL、安全编码、渗透测试、代码审计
  　· 病毒/蠕虫/木马/勒索/僵尸网络；DDoS、APT、社会工程
  　· 应急响应 PDCERF 六阶段
• 安全管理与等级保护
  　· 等保 2.0：五级、五环节、十类安全通用要求
  　· 测评周期、日志留存 6 个月
  　· 涉密信息系统分级保护：秘密、机密、绝密
  　· ISO/IEC 27001（PDCA）、COBIT、ITIL、IT 治理与 IT 管理
• 信息科技风险管理（监管重点）
  　· 定义、分类、四类来源
  　· 治理架构与三道防线职责
  　· 识别—评估—监测—报告—处置；四种应对策略
  　· 监管文件表（2009 风险管理指引、2021 外包办法、连续性指引等）
  　· 外包风险：准入、合同、监控、集中度、退出
  　· BCM/BIA/BCP/DRP、RTO/RPO、演练、GB/T 20988 六级
  　· 数据安全：分类分级、脱敏、DLP、出境、个人信息保护
  　· 供应链与开源组件风险、投产变更"对业务影响最小"

二、考点精讲

2.1 信息安全三要素与扩展属性

信息安全的目标是保障信息的机密性、完整性、可用性，合称 CIA 三要素。

四个扩展属性（多选题必须列全）：

【易错】"纵火造成存储设备毁坏"破坏的是可用性，不是机密性（2025 年真题原题）。判别口诀：数据"被别人看到了"是机密性，"被改了"是完整性，"拿不到、用不了"是可用性。

2.2 威胁、脆弱性、风险与安全事件

• 威胁：可能对资产造成损害的因素，分为人为（黑客、内部人员、恶意代码）和非人为（火灾、水灾、断电、地震）。
• 脆弱性（漏洞）：资产自身存在的弱点，如未打补丁、弱口令、默认配置、配置错误、权限过大。
• 风险：威胁利用脆弱性造成损失的可能性及其影响。
• 安全事件：风险已经真实发生。

常用表达：风险 = 威胁 × 脆弱性 × 影响（部分教材再加"可能性"，本质一致）。

【注意】只有威胁没有脆弱性，风险很低（攻击不进来）；只有脆弱性没有威胁，风险也低（没人利用）。二者同时存在才构成可利用的风险。这是判断"某场景风险高低"的底层逻辑。

2.3 安全模型与安全体系层次

安全体系六个层次（由底层到高层）：

安全策略文件的四级体系（问题常问"某一层属于哪一类"）：

安全目标必须与业务目标一致：金融信息安全的落地表达是"保障业务连续性、保护客户资金与数据、满足监管合规"三者统一，而不是单纯追求"绝对安全"。安全投入要与风险程度相适应，这就是"适度安全"原则。

2.4 密码学：算法—类型—位数—用途总表

先记六个基本术语：明文（原始信息）、密文（加密后信息）、加密（明文变密文）、解密（密文变明文）、密钥（控制加解密过程的参数）、密码算法（加解密所依据的规则）。密码体制按密钥特点分为对称密码体制（加解密同一密钥）和非对称密码体制（一对公私钥）。

三个必须分清的概念：

这是本章最稳的得分点，一张表同时吃下单选与多选。密码算法分三类：对称加密、非对称加密、哈希（散列）函数。

必背三条对应关系：

【口诀】对称加数据、非对称加密钥和签名、哈希验完整。位数记"两个 128（AES 分组、MD5 输出）、一个 160（SHA-1）、三个 256（AES 密钥、SHA-256、SM3）、一个 56/64（DES）"。

分组密码的常见工作模式（AES、SM4、DES 都适用，易被忽略的冷门考点）：

国密算法体系（一套四件，多选题常考"属于国密算法的有哪些"）：

国内金融行业常见做法是"国密改造"：传输层用 SM2 做密钥交换与签名、SM3 做摘要、SM4 做数据加密，形成完整的国产密码应用链条。

2.5 哈希函数与消息摘要

哈希（散列）函数把任意长度的输入映射为固定长度的输出（摘要），是"单向"的。

四个核心特性：

【易错】MySQL、网站后台保存用户口令时用哈希而非加密，因为管理员也不应能还原用户口令。2020 年真题即考"MD5 只是消息摘要算法，不适宜于密码的加密保护"，正确答案就是这一项。为防彩虹表，实际做法是"加盐哈希 + 慢哈希（如 PBKDF2、bcrypt）"。

2.6 数字签名（必须写透）

数字签名的完整流程：

数字签名提供的三项保证：

数字签名不提供的两项：

【真题】2025 年：张三收到李四发来的有数字签名的消息，应用李四的公钥验证（答案 C）。2021 年：A 给 B 发邮件，要让 B 验证邮件确实由 A 发出，A 应选用 A 的私钥对邮件加密（答案 B，本质就是签名）。

法律依据补一句：《电子签名法》（2005 年 4 月 1 日施行）规定，可靠的电子签名与手写签名或者盖章具有同等法律效力。可靠电子签名的四个条件：签名制作数据专属于签名人、签署时由签名人控制、签署后对签名的任何改动可被发现、签署后对数据电文内容和形式的任何改动可被发现。银行电子合同、电子回单之所以能作为证据，正是依靠"非对称算法 + 数字证书 + 可信时间戳"这条链。

数字签名与加密的方向对照（最容易错，务必成对记）：

【口诀】密钥总是"成对反向"：谁的公钥加密，就用谁的私钥解；谁的私钥签名，就用谁的公钥验。

2.7 数字信封与混合加密

数字信封解决的是"对称算法效率高但密钥难分发、非对称算法安全但太慢"的矛盾。

发送流程：

接收流程：接收方先用自己的私钥解出 K，再用 K 解出数据。

数字信封提供的保证：机密性 + 高效。它本身不提供不可否认性（因为用的是接收方的公钥，任何拿到接收方公钥的人都能发）。

数字签名与数字信封的对照表（本章第一辨析题）：

【真题】2024 年：A 向 B 发送信息 M，既要保密又要让 B 确认来自 A。做法是先签名后加密——内层用 A 的私钥处理（签名），外层用 B 的公钥加密，即 KBpub(KAPri()) 的形式；B 收到后先用自己的私钥解开外层，再用 A 的公钥解开内层验签，故选 KApub(KBpri(M’)) 对应的选项。

2.8 PKI 与数字证书

PKI（公钥基础设施）是围绕公钥证书的一整套体系，目的是把"公钥"和"身份"可靠地绑定起来。

X.509 证书的关键字段：版本、序列号、签名算法、颁发者、有效期（起止时间）、主体（持有者）、主体公钥信息、扩展项、CA 的数字签名。

【易错】证书里只有公钥，没有私钥；私钥永远不出本地（存放在 UKey 或密码机中）。证书解决"这个公钥属于谁"，不解决"如何保密"。

一次完整的证书验证过程（考试常把顺序打乱来考）：

证书生命周期：申请→审核（RA）→签发（CA）→发布→使用→更新→吊销（进入 CRL）。证书到期属于自然失效，吊销属于提前作废，两者概念不同。

2.9 密钥管理生命周期

密钥管理贯穿密钥的一生，多选常考"包括哪些环节"：

密钥分类的常见分法：按用途分加密密钥、签名密钥、认证密钥；按层级分主密钥（KEK）和数据密钥（DEK）。原则是"一钥一用、分级保护"，主密钥保护数据密钥，绝不混用。

2.10 密码学考法的三种固定套路

三个典型错项模板（单选里的干扰项几乎都从这里出）：

2.11 身份认证：三因子与多因素

身份认证回答"你是谁"，是整个安全体系的入口。认证因子只有三类，多选题常考"下列属于哪种因子"。

三者的组合规则：

【真题】2021 年多选题：关于身份鉴别叙述正确的有——身份鉴别是授权控制的基础（对）、数字签名可以实现身份鉴别（对）；"身份鉴别没有双向认证"错（存在双向认证），"一般采用基于对称密钥加密的方法"错（公钥体系才是主流）。答案 AC。

认证与授权是两件事，必须分清：

2025 年真题还考了一个"最不安全的身份鉴别技术"：统一制发的初始口令（答案 C），因为初始口令普遍存在默认值、弱口令、长期不修改、多人共用等问题，属于典型的"默认配置风险"。同年真题中还出现了智能摄像头被入侵的案例，根因同样是"利用默认配置"（答案 D）。

【注意】账户锁定策略（连续输错 N 次锁定一段时间）防的是暴力破解/口令猜测，不是木马、IP 欺骗或缓冲区溢出。2023 年真题即考此点，答案 B。

统一身份认证的三种常见方案（了解层次，多选可能考"属于统一认证技术的有"）：

【易错】OAuth 2.0 是授权协议，不是认证协议；把 OAuth 说成"身份认证协议"是常见错误选项。

2.12 访问控制模型：DAC、MAC、RBAC、ABAC

访问控制回答"你能对某个客体做什么"，是主体、客体与操作三者关系的规则集合。

两个经典安全模型必须成对记清（考的正是"哪个管机密性、哪个管完整性"）：

【易错】RBAC 不等于"按资源所有者意愿授权"（那是 DAC）；MAC 不等于"按角色授权"（那是 RBAC）；BLP 是机密性模型、Biba 是完整性模型，这两个最容易被对调。

金融行业实践中最常用的是 RBAC 加 ABAC 的混合：基本权限用角色固化（便于审计与复核），敏感操作叠加属性条件（时间、地点、设备、金额区间）做动态控制。

2.13 权限管理流程、最小权限与职责分离

权限管理是一个闭环流程，多选题常考"包括哪些环节"：

三条基本原则：

【真题】2023 年：职责分离原则下，程序开发员访问安全系统软件会违背职责分离（答案 C），因为开发人员掌握源码，再持有生产安全系统权限就具备植入后门的完整条件。2020 年：审计发现"用户安全组没有指定所有者"，这属于审批用户访问权限的控制缺陷（答案 B），因为没有所有者就没人对授权结果负责。

堡垒机（运维安全审计系统）是落实上述原则的核心工具，四项功能：

【真题】2020 年：堡垒机服务保留哪些做法是错误的——"应保留 Telnet、FTP 等明文服务"是错的（答案 D）。Telnet 和 FTP 明文传输账号口令，任何一台堡垒机都不应保留。

2.14 网络边界安全设备

2023 年真题：“仅设立防火墙系统，而没有安全策略，防火墙就形同虚设”（答案 D）——防火墙的能力完全来自策略规则，默认策略应当是"拒绝所有、按需放行"。

2020 年真题：“生产系统服务器网络配置中最具安全风险的是网络访问端口没有被限制”（答案 A）。端口暴露面是最大的攻击面，这是"最小服务原则"的直接体现。

【易错】IDS 与 IPS 的区别不是"检测方式"，而是部署位置与处置动作：IDS 旁路、只告警；IPS 串联、可阻断。WAF 也不是 IDS 的替代品，WAF 只针对 HTTP/HTTPS 应用层攻击。

蜜罐的价值要记牢：它是诱饵，用来检测和延缓主动式攻击，本身不提供防护能力。蜜罐不能放在生产网内与真实业务混部，一旦被攻陷可能成为跳板。

2.15 VPN 与远程接入

IPSec 的两个核心协议与两种模式：

【易错】AH 不提供机密性（不加密），ESP 提供机密性；"IPSec 一定是隧道模式"是错的。2024 年真题考过"IPSec 具有身份认证功能，可以拒绝 DoS 攻击"这一表述（作为正确选项出现），注意 DoS 主要靠流量清洗与限速，IPSec 只是辅助。

SSL/TLS 的两个关键点：默认端口 HTTPS 443、HTTP 80（2021 年真题答案 B）；会话密钥由客户机产生随机数并加密后通知服务器（2023 年真题答案 C）。

2.16 主机安全、漏洞管理与安全运营

主机加固的六件事（多选常考"应包括哪些"）：

【真题】2025 年：操作系统安全部署中不利于提高运行环境安全的是"为了方便备份，只使用一个分区，所有数据和操作系统都放在该分区"（答案 B）。理由：单分区无法实现系统与数据隔离，一旦系统盘故障或重装，业务数据同时损毁。

漏洞管理四步闭环：发现（扫描、众测、漏洞情报）→ 评估（定级，看可利用性与影响）→ 修复（打补丁、配置加固、虚拟补丁）→ 验证（复测确认关闭）。

漏洞分级常用 CVSS，分值 0 至 10：0 为无风险；0.1 至 3.9 低危；4.0 至 6.9 中危；7.0 至 8.9 高危；9.0 至 10.0 严重。实务上按"严重、高危"限期整改，中低危纳入版本计划。

【真题】2020 年：漏洞检查与渗透测试的区别——漏洞检查是通过分析 IT 基础架构来检测漏洞，渗透测试则是利用漏洞来分析可能对信息系统造成的破坏（答案 B）。一句话：扫描器找"有没有洞"，渗透测试证明"洞能造成多大破坏"。

安全运营中心（SOC）与 SIEM：SIEM 负责日志集中采集、关联分析与告警（安全信息与事件管理），SOC 是"人 + 流程 + 技术"的运营组织。二者关系是"平台"与"团队"。

安全测评的四种手段（多选题常问"包括哪些"）：

【真题】2025 年：测试系统是否存在 SQL 注入漏洞，最合适的是Web 漏洞扫描器（答案 D），而不是端口扫描器（只发现开放端口）、网络漏洞扫描器（偏系统层）、网络发现扫描器（只探测存活主机）。

2.17 应用安全：OWASP Top 10 与三大 Web 漏洞

OWASP Top 10（2021 版，按风险排序，多选题要把十项列全）：

【注意】2017 版与 2021 版有差异：2017 版把"XSS"“XXE”“不安全的反序列化"单列，2021 版把 XSS 并入注入、把 XXE 并入安全配置错误、把反序列化并入完整性故障、把"敏感数据泄露"改称"加密机制失效”。答题时看清题干问的是哪一版；没写版本时以"注入、失效访问控制、加密机制失效、安全配置错误、XSS、组件漏洞、日志监控不足"这些稳定项为准。

SQL 注入：

【真题】2022 年：注入语句 abc.asp?p=YY and user>0 除判断后台是否为 SQL Server 外，还能得到当前连接数据库的用户名（答案 B），因为 user 是取当前用户名的函数。同年第 74 题"SQL 注入不能做到"选弹出 XSS 窗（答案 C）——XSS 是另一种攻击，SQL 注入能做的是读数据、写文件、命令执行。

XSS 跨站脚本：

XSS 防御四件套：输出编码（按 HTML/JS/URL 上下文编码）、输入校验、CSP 内容安全策略、Cookie 加 HttpOnly 防脚本读取。

【真题】2023 年："XSS 攻击的主要目标是服务器"是错误表述（答案 C）——XSS 攻击的是访问页面的用户浏览器，窃取的是用户的 Cookie 与身份。2024 年、2022 年也重复考过同一定义。

CSRF 跨站请求伪造：诱骗已登录用户在不知情下发出请求。防御：请求携带一次性 Token、Cookie 设置 SameSite、校验 Referer/Origin、关键操作二次确认。

越权：分为水平越权（同权限等级用户互相访问数据，如改 URL 里的订单号看他人订单）与垂直越权（低权限用户访问高权限功能，如普通用户调用管理员接口）。防御核心是服务端对每个请求都做权限校验，不能只靠前端隐藏按钮。

文件上传漏洞：未校验上传文件的类型与内容，攻击者上传 WebShell 获得服务器控制权。防御：白名单校验扩展名、校验文件头与真实类型、上传目录禁止执行脚本、文件重命名、隔离存储。逻辑漏洞：业务流程本身被绕过（如金额篡改、优惠券重复使用、验证码可爆破），无法靠通用扫描器发现，只能靠业务测试与人工审计。

【真题】2025 年：应用程序设计中"执行受约束或受限制的接口"的目的是限制授权用户和未经授权人员的行动（答案 A），而不是身份认证、行为跟踪或内存交换。

缓冲区溢出：程序向固定长度的缓冲区写入超长数据，覆盖相邻内存（返回地址、指针），从而劫持执行流程。

• 成因（2022 年多选答案 BCD）：某些语言没有缓冲区边界检查、开发人员缺乏安全意识、软件测试不严格。注意"用户输入数据太长，超出系统负荷"是干扰项，溢出的本质不是"负荷"。
• 防御（2023 年真题答案：程序指针完整性检测与数组边界检查，即 II 和 III）：在程序编写层面可用的是数组边界检查与指针完整性检测；而"使用应用程序保护软件"属于运行环境加固，不属于"编写上"的方法。
• 补充技术：栈保护（StackGuard）、地址随机化 ASLR、数据执行保护 DEP、安全函数替换（strncpy 替代 strcpy）。

【真题】2020 年："向有限的空间输入超长的字符串"属于缓冲区溢出攻击（答案 C），不是拒绝服务、监听或 IP 欺骗。

2.18 恶意代码与典型攻击

三条必记的辨析：

宏病毒与文件型病毒的判别：病毒名形如 Macro.Melissa 的"Macro"前缀表示宏病毒，感染目标是 Word 或 Excel 文档（2024 年真题答案 C）；文件型病毒感染 .exe、.com、.dll 等可执行文件。

木马的关键技术点：木马采用反向连接技术，不仅可以解决内网 IP 与动态 IP 带来的连接问题，还能绕过防火墙对入站连接的限制（2023 年真题答案 A）。原理是内网主机主动向控制端发起外连，而防火墙通常只限制入站。

DDoS 攻击按层次分三类：

【真题】2024 年：不能被攻击者用来进行 DoS 攻击的协议是 IPSec（答案 D）。原因是 IPSec 具有身份认证与加密功能，伪造源地址困难；TCP、ICMP、UDP 都可能被用于洪泛攻击。

APT 高级持续性威胁的四个特点：目标明确、持续性强、手段多样、长期潜伏。2021 年真题把"攻击少见"列为错项（答案 D）——APT 恰恰近年来并不少见。

其他攻击：社会工程（伪装身份套取信息）、钓鱼邮件、水坑攻击（攻陷目标常访问的网站）、IP 欺骗、中间人攻击、会话劫持。防御共同点是"技术 + 人"双管齐下，因为社会工程攻击绕过了一切技术控制。

2.19 应急响应六阶段 PDCERF

【易错】"抑制"是控制影响面（隔离、断网、限流），"根除"是消除根因（杀毒、打补丁、删后门）。考试常把两者对调。顺序也不能颠倒：先抑制后根除，否则边清边扩散。

2025 年真题（多选）：主机入侵检测系统已确认被入侵，接下来应当做的是——把计算机与网络隔离、查看邻近计算机的日志、分析系统查明感染途径（答案 ABD）；"重启计算机"是错的，重启可能破坏现场证据且无法清除后门。

突发事件应急预案的组成部分：事件场景描述、应急处置流程、应急联系人/电话表、资源清单、恢复步骤。不包括"应急演练结果"（2022 年真题答案 D）——演练结果是预案的验证产物，不是预案的组成内容。

2.20 安全管理标准与治理框架

IT 治理与 IT 管理的关系（2024 年真题）：

【真题】2024 年："IT 治理是在 IT 管理既定模式下采取的行动"是错误表述（答案 D）。正确说法是治理关注宏观战略与政策、管理关注日常运营，二者是不同层次，“不存在比较大小的问题”（解析原文）。

2.21 安全审计与日志管理

安全审计的四个要素：审计对象（谁）、审计内容（做了什么）、审计记录（日志）、审计分析（是否违规）。

日志管理的硬性要求：

【真题】2024 年：管理员查看日志时发现服务器本身的日志已被删除，同时后台存在管理员登录失败记录，之后有成功登录并执行操作、上传 webshell 的痕迹，说明攻击者最终获得了管理员权限（答案 C）。日志被删本身就是入侵信号。

2.22 网络安全法律法规体系（监管必背）

金融监管考试的法律法规题，只考"哪部法、立了什么制度、哪个数字"。

网络安全法第 21 条要求网络运营者履行的义务（多选常考）：

网络安全法第 34 条规定关键信息基础设施运营者的五项额外义务（2021 年多选真题全部命中的正是这五项）：

【真题】2025 年：《网络安全法》要求网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险（答案 B）。注意与"应急演练方案"“补救措施”"应急处置措施"区分——法律规定制定的是预案，演练是预案的要求之一。

2.23 等级保护 2.0：五级、五环节、十类要求

等级保护是我国网络安全领域的基本制度，2.0 的标准依据是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。

第一，五个级别与监管强度（必须背成对）：

【易错】两套"五级"要分清：GB 17859-1999（我国第一个信息安全等级保护国家标准，2022 年真题考过）规定的是"用户自主保护、系统审计保护、安全标记保护、结构化保护、访问验证保护"五级；日常说的"一级自主、二级指导、三级监督、四级强制、五级专控"是监管强度的表述。两套都是 5 个等级，问"分几个等级"一律答 5。

第二，五个规定动作（多选题高频，缺一不可）：

测评周期：第三级系统每年至少一次，第四级系统每半年至少一次，第二级一般每两年一次。这是数值题，必须记牢。

第三，十类安全通用要求（多选题最典型的"列全"考点）：

记忆口诀：物理、通信、边界、计算、中心是技术五类；制度、机构、人员、建设、运维是管理五类。技术五项里"中心"（安全管理中心）是 2.0 新增的独立要求，一级不设。

等保 2.0 相对 1.0 的四个变化：名称由"信息安全"改为"网络安全"；保护对象扩展到云、移动互联、物联网、工业控制和大数据；新增"安全管理中心"与"可信验证"；核心思想是"一个中心、三重防护"。

【易错】等保是持续合规而非"测评通过即一劳永逸"，测评只是手段，整改与常态化运维才是目的。

2.24 涉密信息系统分级保护

涉密信息系统按所处理信息的最高密级，由低到高分为秘密、机密、绝密三个等级（2024 年真题答案 C，依据《信息安全等级保护管理办法》第二十五条）。

【易错】"涉密系统分五级"是错的，涉密只分三级；"等保五级对应绝密级"也是错的，两套体系不能一一映射。

2.25 信息科技风险：定义、分类与来源

定义：信息科技风险是指金融机构在运用信息科技的过程中，由于自然因素、人为因素、技术漏洞和管理缺陷等，导致信息系统运行中断、数据丢失或泄露、业务无法正常开展，从而造成经济损失、客户权益受损或声誉受损的风险。

归属：按巴塞尔资本协议的风险分类，信息科技风险属于操作风险的重要组成部分；在我国监管实践中，信息科技风险既是操作风险的子类，又因影响面广而单列管理。

分类（多选题常考"包括哪些"）：

【真题】2025 年多选：属于金融机构信息科技风险的有——信息科技外包风险（对）、应用云计算、人工智能等新技术过程中的相关风险（对）；“现金流中断风险”"挤兑风险"属于流动性风险，不是信息科技风险。答案 AC。这说明外包风险与新技术风险是监管明确纳入信息科技风险范畴的。

四类来源（多选常考"风险来源包括哪些"）：

新技术的风险（监管近年反复强调）：云计算（数据驻留与集中度）、人工智能（模型不可解释、算法歧视、数据投毒）、开源组件（供应链投毒）。核心态度是"技术可以外包，责任不能外包"。

2.26 治理架构与三道防线

治理架构三层：

【真题】2024 年：商业银行董事会职责中不准确的是"审核信息科技员工的道德品行"（答案 C）。董事会管战略、管风险偏好、管资源、管报告，不介入员工个人品行审核这类执行层事项。

【真题】2021 年：本机构信息科技风险管理的第一责任人是法定代表人（答案 C）。配合记忆：董事会承担最终责任，法定代表人是第一责任人，高管层与信息科技部门负责具体执行，三道防线各司其职（不同年份文件表述侧重不同，考试按题干所引文件作答）。

三道防线职责对照表（本章最核心的监管考点）：

三条禁忌（多选题的干扰项常从这里出）：

2.27 风险管理流程与四种应对策略

五步闭环流程：

四种应对策略（多选题必考，必须四个都写全）：

【易错】外包是"转移"策略，但转移的只是部分损失，不是管理责任与网络安全主体责任。2022 年真题："在外包合同中约定风险责任和风险转移条款，要求外包商承担风险管理责任"是不正确的做法（答案 A），违反了"不得将信息科技管理责任、网络安全主体责任外包"这一首要原则。

风险应对措施的正确组合（2021 年多选真题）：通过数据备份、双机热备等冗余手段提升可靠性（对）；建立安全制度并部署技术手段防范攻击（对）；通过业务外包"转嫁所有安全风险"（错）；通过良好系统设计、及时更新补丁降低缺陷（对）。答案 ABD。

【注意】COSO-ERM（2004）框架是"四类目标、八大要素、四个层面"：四类目标是战略、经营、报告与合规；八大要素是内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息沟通和监控；四个层面是主体层次、分布、业务单位、子公司。2023 年真题考过此处，答案 ACD。

2.28 监管文件表（文件名—年份—核心考点）

这张表是本章"监管语境"的骨架，务必按"文件—年份—要点"三列记住。

《商业银行信息科技风险管理指引》第十五条列举的七领域全面风险管理策略（2022 年多选真题，答案 ABCD）：

这七项是"全面"二字的注脚，多选题只要问"信息科技风险管理策略包括"，就从这七项里选。

2.29 信息科技外包风险

外包六项基本原则（2022 年真题解析原文，多选与单选都能用）：

外包全生命周期五个环节：

三个必须分清的概念：

重要外包的识别标准：涉及重要业务系统、核心数据、关键信息基础设施、影响范围广或替代成本高的外包。

集中度风险：单一服务商或同一集团内多家服务商提供的外包服务在同类外包中占比过高，导致丧失议价能力、退出困难、风险集中。监管要求设置集中度限额并定期评估。

【注意】金融监管对"外包"的态度是"可外包业务，不可外包责任"。凡出现"由外包商承担全部风险""通过外包转嫁所有风险"的表述，一律判错。

2.30 业务连续性管理：BCM、BIA、BCP、DRP、RTO/RPO

四层概念的关系（最容易混淆，必须按包含关系记）：

RTO 与 RPO（数值题高频，绝不能写反）：

【真题】2020 年：“为了满足企业业务持续运作的要求，对数据的备份时间间隔不能超过在灾难情形下业务所要求的恢复点目标 RPO”（答案 A）。逻辑是：备份间隔决定最多丢多少数据，所以备份间隔必须小于等于 RPO。

三条推论：RTO 越小，成本越高；RPO 越小，备份越频繁、成本越高；两个指标都由 BIA 确定，不能由技术部门单方面拍定。

【真题】2023 年：业务影响分析（BIA）的主要好处是"对业务系统的恢复目标优先级顺序做出正确决策"（答案 A）。BIA 的产出是优先级与恢复目标，不是直接"减少损失"或"保证有序恢复"。

恢复策略的四类手段（2021 年多选真题，答案 ABCD）：

演练要求：每年至少开展一次业务连续性计划与应急预案的演练，重要业务系统应开展灾备切换演练；演练后必须评估并修订预案，形成"演练—评估—改进"闭环。

灾难恢复能力等级 GB/T 20988（1 至 6 级，数字越大能力越强）：

灾备中心的三种模式：同城灾备（RTO 短但抗区域性灾害弱）、异地灾备（抗大范围灾害但 RTO 较长）、两地三中心（金融业主流方案）。

【注意】本章与第 01 章的分工：第 01 章讲容灾的技术架构与性能指标，本章讲业务连续性管理的流程、组织、演练与监管要求。考"双活/主备架构怎么设计"归第 01 章，考"BIA 是什么、BCP 第一步是什么、RTO/RPO 谁定"归本章。

2.31 数据安全与个人信息保护

数据分类分级：按数据遭到篡改、破坏、泄露或非法获取、非法利用后对国家安全、公共利益、个人与组织合法权益造成的危害程度，把数据分为不同级别并差异化保护。这是《数据安全法》确立的基本制度（2023 年真题：国家建立数据分类分级保护制度，答案 D）。

金融数据常见分法（了解层次）：按敏感程度分为公开数据、内部数据、敏感数据、核心数据；按业务分为客户信息、账户信息、交易信息、经营管理信息。

数据生命周期六阶段与对应措施：

数据脱敏的两种形态：静态脱敏（测试、开发环境用脱敏后的副本）、动态脱敏（查询时按权限实时遮蔽，如身份证中间位打星）。

数据防泄漏 DLP：通过内容识别与策略匹配，监控并阻断敏感数据的外发（邮件、U 盘、打印、网盘、即时通讯）。

【真题】2025 年："可为敏感数据的保密性提供最佳保护"的是数据分类（答案 B）。因为没有分类就不知道哪些数据需要保护、保护到什么程度，分类是一切保护措施的前提。

个人信息保护法要点（多选高频）：

【易错】"告知同意"不是万能钥匙：法律、行政法规规定应当保密或无需告知的情形除外，且同意必须是自愿、明确的，捆绑授权、默认勾选、以拒绝提供服务相要挟均属无效同意。

三、高频考点速查表

本章数值与并列项分散在四个方向（密码学、等保、风险管理、监管文件），适合考前集中速览。建议先过 3.1 与 3.4 两张表，再用 3.2 的流程线把零散环节串起来，最后用 3.3 对监管文件做"文件名—年份—关键词"的三点记忆。

3.1 必背数值与结论速查

3.2 流程与环节速查

3.3 监管文件速查

3.4 多选题"并列项"专项速查

多选题少选、多选、错选均不得分，所以凡是"包括/属于/分为"的考点，必须能默写全。下表把本章所有并列项集中列全。

【口诀】并列项一律编号背，答题时先默写编号再对选项：凡是选项里出现"某几项加起来少了一项"，宁可多背一项也不要赌。特别注意几个容易被漏掉的项——安全属性里的"可控性"、十类要求里的"安全管理中心"、外包原则里的"持续改进外包策略"、关基义务里的"容灾备份"。

四、易混辨析

4.1 概念对辨析（多选与单选的挖坑集中区）

五、真题精练

【单选】2020 年

为了满足企业业务持续运作的要求，对数据的备份时间间隔不能超过在灾难情形下业务所要求的（ ）。

A. 恢复点目标（RPO）
B. 恢复时间目标（RTO）
C. 服务水平目标（SLO）
D. 系统年平均无故障时间

【答案】A

【解析】RPO 衡量的是灾难发生时允许丢失的数据量，用时间表示。备份间隔越长，最坏情况下丢失的数据越多，因此"备份时间间隔必须小于等于 RPO"。RTO 衡量的是从灾难发生到系统恢复可用所允许的最长时间，与备份频率无关；SLO 是服务水平目标；D 是无故障时间指标。三者不能混用。

【单选】2021 年

若 A 给 B 发送一封邮件，并想让 B 能验证邮件是由 A 发出的，则 A 应该选用（ ）对邮件加密。

A. A 的公钥
B. A 的私钥
C. B 的公钥
D. B 的私钥

【答案】B

【解析】"让 B 能验证邮件来自 A"是典型的身份认证需求，即数字签名。发送方用自己的私钥对摘要签名，接收方用发送方公钥验证。若用 B 的公钥加密则只能保证机密性，B 无法据此确认发送者身份（任何拿到 B 公钥的人都能发）。故用 A 的私钥，答案 B。

【单选】2022 年

关于商业银行实施信息科技外包活动应当遵循的要求，以下说法不正确的是（ ）。

A. 在外包合同中约定风险责任和风险转移条款，要求外包商承担风险管理责任
B. 应建立与自身规模、市场地位相适应的供应商关系管理策略
C. 应建立外包立项、尽职调查、供应商选择、合同签署、日常管理和后评价管理流程
D. 对于重要的非驻场外包服务，要加强对其安全性、业务连续性的指标考核，每年开展实地检查，加强风险评估

【答案】A

【解析】银行保险机构实施信息科技外包应坚持的原则中，第一条就是"不得将信息科技管理责任、网络安全主体责任外包"。A 项通过合同条款要求外包商承担风险管理责任，实质是把管理责任与主体责任外包，违反该原则。B、C、D 分别对应供应商关系管理、全流程管理与非驻场重点外包的强化管理要求，均为正确做法。

【单选】2023 年

根据《中华人民共和国网络安全法》规定，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，其中要求：采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于（ ）。

A. 1 个月
B. 3 个月
C. 6 个月
D. 1 年

【答案】C

【解析】《网络安全法》第二十一条明确网络日志留存不少于六个月。这一数值是本章最稳的数字题之一，常与"等保测评周期""应急响应六阶段"一同出现在多选中。注意区分：六个月是网络日志留存的下限，不是数据备份周期，也不是等保测评周期。

【单选】2025 年

保密性、完整性和可用性通常被视为安全基础设施的主要目标。下列（ ）不是对保密性的破坏。

A. 使用键盘输入记录工具窃取密码
B. 窃听无线网络通信
C. 纵火造成存储设备毁坏
D. 欺骗用户向虚假网站提供个人信息

【答案】C

【解析】窃取密码、窃听通信、钓鱼骗取信息都是让未授权者获知信息，属破坏机密性；纵火毁坏存储设备导致数据不可用，破坏的是可用性。判别口诀：被看到是机密性，被改了是完整性，用不了是可用性。

【单选】2024 年

制订业务连续性计划（BCP）的第一步是（ ）。

A. 执行模拟演练
B. 执行业务影响分析（BIA）
C. 识别备份方案
D. 制订业务恢复计划

【答案】B

【解析】BCP 的编制顺序是先做业务影响分析：识别关键业务流程与资源，评估中断造成的影响与风险，从而确定恢复优先级和 RTO/RPO，为后续编制计划提供依据。演练属于计划完成后的验证环节，顺序在最后而不是最前。

【多选】2021 年

为降低信息科技风险，可采取的措施包括哪些？（ ）

A. 通过数据备份、双机热备等冗余手段来提升信息系统的可靠性
B. 建立必要安全制度和部署必要的技术手段，防范黑客和恶意软件的攻击
C. 通过业务外包的方式，转嫁所有的安全风险
D. 通过良好的系统设计、及时更新系统补丁，降低或减少信息系统自身的缺陷

【答案】ABD

【解析】A 属于"降低"策略中的冗余与可用性提升，D 属于降低系统自身缺陷，B 属于管理与技术双重防护，均为有效措施。C 项错误在于外包只能转移部分损失，不能"转嫁所有风险"，更不能转移信息科技管理责任和网络安全主体责任——这与 2022 年外包原则真题考的是同一个考点。

【多选】2022 年

商业银行应制定全面的信息科技风险管理策略，包括（ ）。

A. 信息分级与保护
B. 信息系统开发、测试和维护
C. 信息科技运行和维护
D. 访问控制

【答案】ABCD

【解析】依据《商业银行信息科技风险管理指引》第十五条，全面的信息科技风险管理策略包括但不限于七个领域：信息分级与保护；信息系统开发、测试和维护；信息科技运行和维护；访问控制；物理安全；人员安全；业务连续性计划与应急处置。选项 A 至 D 均在其中，故全选。备考时应把七项全部背下，多选题只会从中抽取四项组合。

六、自测清单

【提醒】以上 48 条能全部不假思索地说出来，本章的选择题安全线约在 85% 以上。若有个别条目卡壳，回到第二节对应小节再读一遍那张表，不要整章重读——本章的分数全在"并列项 + 数值 + 密钥方向"三件事上。