商用密码应用安全性评估从业人员考核题库及答案（第801-1000题）

商用密码应用安全性评估从业人员考核题库及答案（第801-1000题）
801、整体量化评估结果低于阈值，或经风险评估发现存在高风险，根据《商用密码应用安全性评估量化评估规则（2021版）》，则判定被测信息系统不符合GB/T39786相应等级要求。
A、正确
B、错误
正确答案：A
802、根据《商用密码应用安全性评估量化评估规则（2021版）》，经认证合格的密码产品，在应用和数据层面测评过程中可直接对DAK中的K直接判定为“符合”。
A、正确
B、错误
正确答案：B
803、根据《商用密码应用安全性评估量化评估规则（2021版）》，若一个测评对象，涉及多个密码算法/产品/服务/密钥，D/A/K按照平均值给分。
A、正确
B、错误
正确答案：B
804、某个三级系统在网络和通信安全层面测评中，某个测评单元存在4个测评对象，分别得分为1、1、0.5、0.5，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该测评单元得分为0.75分。
A、正确
B、错误
正确答案：A
805、某个三级系统在网络和通信安全层面测评中，某个测评单元存在3个测评对象，分别得分为1、0.5、0.5，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该测评单元得分为0.5分。
A、正确
B、错误
正确答案：B
806、已知某系统管理制度的6项测评指标得分分别为0.5、0.5、0.5、0.5、0.5、0.5，对应权重为1、0.7、0.7、0.7、0.7、0.7，根据《商用密码应用安全性评估量化评估规则（2021版）》，则该安全层面得分为0.5000。
A、正确
B、错误
正确答案：A
807、《商用密码应用安全性评估量化评估规则（2021版）》中某层面的不适用项数量不会影响其他安全层面得分。
A、正确
B、错误
正确答案：A
808、《商用密码应用安全性评估量化评估规则（2021版）》中不适用项对应的权重指标在计算过程中不计入分值。
A、正确
B、错误
正确答案：A
809、《商用密码应用安全性评估量化评估规则（2021版）》中对于不同的等级同一测评项的指标权重总是相同。
A、正确
B、错误
正确答案：B
810、《商用密码应用安全性评估量化评估规则（2021版）》中不同的安全层面权重分值相同。
A、正确
B、错误
正确答案：B
811、根据《商用密码应用安全性评估量化评估规则（2021版）》，在测评过程中，重要数据传输机密性与传输完整性两个指标涉及的测评对象数量可以是不同的。
A、正确
B、错误
正确答案：A
812、某信息系统测评过程中，提供了管理系统人员的相关培训制度文件，根据《商用密码应用安全性评估量化评估规则（2021版）》，在人员管理层面的“定期进行安全岗位人员考核”一项得分为1分。
A、正确
B、错误
正确答案：B
813、某信息系统，投入运营时间为2019年10月，该系统无法提供密码应用方案，但系统制定了密码应用改造方案并经过评审，根据《商用密码应用安全性评估量化评估规则（2021版）》，建设运行层面的“制定密码应用方案”得分为0分。
A、正确
B、错误
正确答案：B
814、某个三级系统使用SM3算法保护系统数据的传输完整性，根据《商用密码应用安全性评估量化评估规则（2021版）》，应用和数据安全层面中重要数据传输完整性的量化得分为1分。
A、正确
B、错误
正确答案：B
815、某个四级系统在网络间采用了SSLVPN，通过网络抓包发现服务器端发送了国密数字证书，客户端未发送任何数字证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，网络和通信安全层面的身份鉴别项，得分为1分。
A、正确
B、错误
正确答案：B
816、根据《商用密码应用安全性评估量化评估规则（2021版）》，安全层面的测评结果不需要保留小数。
A、正确
B、错误
正确答案：B
817、某三级信息系统用户口令存储时，先使用DES算法加密后再使用SM4算法加密，使用的密码产品具有二级密码模块认证证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，口令做为测评对象在“重要数据存储机密性”测评单元的量化评估结果为1分。
A、正确
B、错误
正确答案：A
818、某三级信息系统用户口令传输时，用户可选择使用MD5算法或者SM3算法进行杂凑后，将杂凑结果发至服务端校验，服务器根据用户选取的算法类型使用MD5或者SM3算法进行校验，客户端使用的密码产品具有二级认证证书，根据《商用密码应用安全性评估量化评估规则（2021版）》，口令做为测评对象在“重要数据传输机密性”测评单元的量化评估结果为1分。
A、正确
B、错误
正确答案：B
819、依据《信息系统密码应用高风险判定指引》，若未采用密码技术对重要区域进入人员进行身份鉴别，但基于生物识别技术（如指纹等）保证人员身份真实性，可酌情降低风险等级。
A、正确
B、错误
正确答案：A
820、根据《信息系统密码应用高风险判定指引》，依据相关密码算法标准自行开发实现的国密算法满足标准要求。
A、正确
B、错误
正确答案：B
821、根据《信息系统密码应用高风险判定指引》，远程管理设备时，未采用密码技术建立安全的信息传输通道且无缓解措施的情况下，风险分析应判断为高风险。
A、正确
B、错误
正确答案：A
822、依据《信息系统密码应用高风险判定指引》，在应用和数据安全层面，未采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性，但基于特定识别技术（如设备指纹、生物指纹、第三方身份鉴别服务等）保证用户身份的真实性，可酌情降低风险。
A、正确
B、错误
正确答案：A
823、根据《信息系统密码应用高风险判定指引》，在应用和数据安全层面，未采用密码技术保证信息系统应用的重要数据在传输过程中的机密性，可直接判定为高风险问题。
A、正确
B、错误
正确答案：B
824、根据《信息系统密码应用高风险判定指引》，第二级及以上级别信息系统，未采用密码技术保证信息系统应用的重要数据在存储过程中的完整性，可直接判定为高风险问题。
A、正确
B、错误
正确答案：B
825、某单位在密码应用改造方案中，采用了自行设计研发的密码算法实现数据的保密性保护，经内部确认该算法比较安全，该算法不会触发高风险判定。
A、正确
B、错误
正确答案：B
826、根据《信息系统密码应用高风险判定指引》，应确保三级以上的信息系统中使用的密码算法符合法律、法规的规定和密码相关国家标准、行业标准的有关要求，其他级别可酌情考虑。
A、正确
B、错误
正确答案：B
827、根据《信息系统密码应用高风险判定指引》，若信息系统所使用的密码技术未遵循密码相关国家标准和行业标准，则一定会导致信息系统面临高等级安全风险。
A、正确
B、错误
正确答案：B
828、根据《信息系统密码应用高风险判定指引》，若信息系统中使用了存在安全问题的密码产品、密码服务，则可通过采取一定的缓解措施来降低可能的风险。
A、正确
B、错误
正确答案：B
829、某单位在密码改造工作中，采用自实现且未提供安全性证据的密码产品实现数据库的数据存储保密性保护，但考虑到数据仅内网访问，且数据库部署了审计产品，可从一定程度上缓解风险程度。
A、正确
B、错误
正确答案：B
830、信息系统测评过程中的风险判定只需依据《信息系统密码应用高风险判定指引》所列出的相关安全问题所引发的风险等级做出判断。
A、正确
B、错误
正确答案：B
831、依据《信息系统密码应用高风险判定指引》，缓解措施是指可以降低威胁利用安全问题导致安全事件发生造成严重程度的安全措施。
A、正确
B、错误
正确答案：A
832、《信息系统密码应用高风险判定指引》中所涉及的指标要求包括了《信息安全技术信息系统密码应用基本要求》所有要求项。
A、正确
B、错误
正确答案：B
833、依据《信息系统密码应用高风险判定指引》，虽未采用密码技术对重要区域进入人员进行身份鉴别，但基于生物识别技术（如指纹等）同样保证了人员身份真实性，可酌情降低风险等级。
A、正确
B、错误
正确答案：A
834、依据《信息系统密码应用高风险判定指引》，在网络和通信安全中，通信实体身份鉴别方面的高风险问题可以有缓解措施。
A、正确
B、错误
正确答案：B
835、依据《信息系统密码应用高风险判定指引》，在网络通信过程中，重要数据机密性方面的高风险问题有缓解措施。
A、正确
B、错误
正确答案：A
836、依据《信息系统密码应用高风险判定指引》，在网络和通信安全中，安全接入认证方面的高风险问题没有缓解措施。
A、正确
B、错误
正确答案：A
837、《信息系统密码应用高风险判定指引》中，安全接入认证方面的要求适用范围包含三级和四级信息系统。
A、正确
B、错误
正确答案：B
838、依据《信息系统密码应用高风险判定指引》，设备和计算安全中，身份鉴别方面的高风险问题没有缓解措施。
A、正确
B、错误
正确答案：B
839、依据《信息系统密码应用高风险判定指引》，设备和计算安全层面的身份鉴别，必须采用密码技术保证用户身份的真实性，没有缓解措施。
A、正确
B、错误
正确答案：B
840、依据《信息系统密码应用高风险判定指引》，业务系统用户登录时，系统可通过用户名、口令的鉴别方式实现用户身份的鉴别。
A、正确
B、错误
正确答案：B
841、依据《信息系统密码应用高风险判定指引》，业务用户登录时，可使用基于动态令牌的身份鉴别方式实现用户身份的鉴别，其中采用DES算法生成动态令牌。
A、正确
B、错误
正确答案：B
842、依据《信息系统密码应用高风险判定指引》，业务用户登录系统时，系统对登录用户仅采用指纹认证的方式进行身份鉴别，由于鉴别过程未采用密码技术实现，则用户身份真实性方面可判定存在高风险问题。
A、正确
B、错误
正确答案：B
843、依据《信息系统密码应用高风险判定指引》，系统可采用RSA1024密码算法，实现信息系统重要数据在传输过程中的机密性。
A、正确
B、错误
正确答案：B
844、依据《信息系统密码应用高风险判定指引》，在“网络和通信安全”层面，采用符合要求的密码技术为网络通信信道提供机密性保护，且网络通信信道经评估无高风险，可酌情降低“应用和数据安全”层面未采用密码技术对重要数据进行传输机密性保护的风险等级。
A、正确
B、错误
正确答案：A
845、依据《信息系统密码应用高风险判定指引》，使用MD5算法实现对重要数据存储完整性保护，可判定为高风险问题。
A、正确
B、错误
正确答案：A
846、依据《信息系统密码应用高风险判定指引》，未采取密码技术措施实现数据原发行为的不可否认性和数据接收行为的不可否认性，则无其他可能的缓解措施对该问题风险进行缓解。
A、正确
B、错误
正确答案：A
847、依据《信息系统密码应用高风险判定指引》，现场“对密码关键岗位人员进行上岗培训”测评时，测评人员应核查安全教育和培训计划文档是否具有针对涉及密码应用的操作和管理人员的培训计划，以及开展培训的记录。
A、正确
B、错误
正确答案：A
848、依据《信息系统密码应用高风险判定指引》，针对存量系统要制定密码应用整改方案，该方案可不进行评审。
A、正确
B、错误
正确答案：B
849、依据《信息系统密码应用高风险判定指引》，密钥在恢复使用时，在对其他系统缺乏鉴别机制的情况下，可以被导入到其他系统中。
A、正确
B、错误
正确答案：B
850、依据《信息系统密码应用高风险判定指引》，密码应用安全管理制度描述的内容适用范围是三级及以上级别信息系统。
A、正确
B、错误
正确答案：B
851、依据《信息系统密码应用高风险判定指引》，在通用要求的“密码技术”方面发现的高风险问题，存在可能的缓解措施。
A、正确
B、错误
正确答案：B
852、未纳入《信息系统密码应用高风险判定指引》的指标条款，则一定不会导致高风险情形。
A、正确
B、错误
正确答案：B
853、某三级信息系统采用堡垒机对服务器进行统一运维管理，堡垒机采用用户名+口令方式登录，服务器通过堡垒机采用用户名+口令方式登录，两次身份鉴别措施不相同，则针对“设备和计算安全”层面的身份鉴别测评可以判定系统存在中风险安全问题。
A、正确
B、错误
正确答案：B
854、按照《信息系统密码应用高风险判定指引》，某信息系统的用户仅使用“用户名+口令”方式进行登录，则“应用和数据安全”层面的“身份鉴别”指标判定为不符合，但是不会存在高危风险。
A、正确
B、错误
正确答案：B
855、某信息系统改造前，使用DES算法对数据进行加密保护，改造后，新增服务器密码机，使用SM4-GCM对原先DES加密的数据密文进行进一步加密保护。
在进行测评时，这种方式一定会导致“重要数据存储机密性”指标存在高危风险。
A、正确
B、错误
正确答案：B
856、某信息系统在“网络和通信安全”层面对接入的用户设备进行了身份鉴别，但“应用和数据安全”未对用户进行身份鉴别，而是直接使用了“网络和通信安全”层面的“身份鉴别”结果，默认接入的用户可以登录应用。
因此，按照《信息系统密码应用高风险判定指引》，“身份鉴别”指标的风险可以进行适当降低；如果风险降为“低”，则该指标结果可以弥补为“符合”。
A、正确
B、错误
正确答案：B
857、用户登录某信息系统的方式为“用户名+口令”方式，口令通过SSLVPN加密传输保护。
在进行测评时这种方式不会导致“身份鉴别”指标存在高危风险。
A、正确
B、错误
正确答案：B
858、某信息系统为用户提供期货交易服务，交易过程涉及信息系统和用户之间的法律责任认定。
用户每次交易时，需要对期货交易信息进行数字签名，用户的公钥证书为该信息系统自建的CA签发。
在进行测评时，这种公钥证书的签发方式可能会导致“不可否认性”指标存在高危风险。
A、正确
B、错误
正确答案：A
859、按照《信息系统密码应用高风险判定指引》，某二级信息系统在网络和通信安全层面，未使用密码技术实现通信前通信实体的身份鉴别，则密评时网络和通信安全层面身份鉴别测评单元的风险评价结果应为高风险。
A、正确
B、错误
正确答案：B
860、依据《信息系统密码应用高风险判定指引》，某四级信息系统在网络和通信安全层面，存在安全接入认证需求，但采用密码技术实现短时间内难以实现，因此，可以通过设置白名单和终端ID绑定方式对该项测评指标面临的安全风险进行缓解。
A、正确
B、错误
正确答案：B
861、依据《信息系统密码应用高风险判定指引》，新建二级信息系统如果未制定密码应用方案，密评时不会因未制定密码应用方案而面临高风险。
A、正确
B、错误
正确答案：B
862、依据《信息系统密码应用高风险判定指引》，二级及以上的信息系统必须具备密码安全管理制度，否则在密评时会因不具备密码应用安全管理制度而面临高风险。
A、正确
B、错误
正确答案：A
863、按照《商用密码应用安全性评估报告模板（2023版）》，即便信息系统密码应用方案通过了评估，那么针对某个安全层面的某个测评指标或者某个测评指标相关的测评对象，可能存在系统密评报告与方案密评报告中的判定结果不一致的情况。
A、正确
B、错误
正确答案：A
864、某云平台为三级信息系统，已进行了密评，评估结论为基本符合。
在该云平台上部署有一个四级信息系统（云上应用），在对该云上应用进行密评时，应依据云平台密评时的“云平台支撑能力说明”，采信“被完全评估的支撑能力”所对应测评对象的测评结果。
A、正确
B、错误
正确答案：B
865、按照《商用密码应用安全性评估报告模板（2023版）》，委托密评机构开展密评的运营者，可以委托密评机构具体承担备案工作。
A、正确
B、错误
正确答案：B
866、按照《商用密码应用安全性评估报告模板（2023版）》，被测信息系统业务发生重大变更后，应重新对其进行评估，已出具的密评报告不再适用。
A、正确
B、错误
正确答案：A
867、按照《商用密码应用安全性评估报告模板（2023版）》，密评结论不能作为系统构成组件（如密码产品）的评估结论。
A、正确
B、错误
正确答案：A
868、按照《商用密码应用安全性评估报告模板（2023版）》，二级系统的密评报告总体评价中，管理制度安全层面测评结果可能存在：符合1项，部分符合1项，不符合1项的情况。
A、正确
B、错误
正确答案：A
869、按照《商用密码应用安全性评估报告模板（2023版）》，被测信息系统“总体评价”部分的部分符合项及不符合项数量总和，与“安全问题及改进建议”中的高、中风险数量总和应该一致。
A、正确
B、错误
正确答案：B
870、应用和数据安全层面的密码应用通常与信息系统承载的业务息息相关，这部分应是密评报告中“密码应用情况”章节重点描述的内容。
A、正确
B、错误
正确答案：A
871、根据《商用密码应用安全性评估报告模板（2023版）》，在密评报告中，应在“测评工具检查点”章节体现对系统中部署的每个设备的配置检查，且需要体现对信息系统传输、存储的数据进行抓取、分析。
A、正确
B、错误
正确答案：B
872、根据《商用密码应用安全性评估报告模板（2023版）》，GB/T39786《信息安全技术信息系统密码应用基本要求》中不适用于被测信息系统的密码应用要求的个别项称为不适用指标。
A、正确
B、错误
正确答案：A
873、根据《商用密码应用安全性评估报告模板（2023版）》，在信息系统密评报告中，如某一测评指标中的部分测评对象存在不适用情况，则应在报告“不适用指标”中体现，并说明该部分测评对象在该测评指标中的不适用原因。
A、正确
B、错误
正确答案：B
874、根据《商用密码应用安全性评估报告模板（2023版）》，在密评报告中，测评工具检查点部分应描述在何处接入何种测评工具进行何种测试工作。
A、正确
B、错误
正确答案：A
875、根据《商用密码应用安全性评估报告模板（2023版）》，单元测评中不同测评对象的结果判定应依据附录A测评结果记录中各个测评对象的量化评估分值来确定。
A、正确
B、错误
正确答案：A
876、在编写系统密评报告（2023版）时，“单元测评”中的测评对象应该与“测评对象确定结果”中的测评对象保持一致。
A、正确
B、错误
正确答案：A
877、在《商用密码应用安全性评估报告模板（2023版）》中，如果附录A测评结果记录中某个测评单元的测评对象量化评估结果为0.25分或0.5分，则在“单元测评”环节中该测评对象的结果应写部分符合。
A、正确
B、错误
正确答案：A
878、《商用密码应用安全性评估报告模板（2023版）》中的单元测评结果为“弥补”修正后的结果。
A、正确
B、错误
正确答案：B
879、根据《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告时，对于网络和通信安全层面的测评结果可以仅依据访谈和实地查看提供的证据给出。
A、正确
B、错误
正确答案：B
880、根据《商用密码应用安全性评估报告模板（2023版）》，如果被测系统存在弥补的情况，那么在完成测评结果修正后需要同步修改系统密评报告中第4章的单元测评结果。
A、正确
B、错误
正确答案：B
881、在《商用密码应用安全性评估报告模板（2023版）》中，整体测评分为测评结果修正、整体测评结果和量化评估。
其中测评结果修正要按测评单元、测评对象，填写弥补前和弥补后的测评结果和分值，并说明弥补原因。
A、正确
B、错误
正确答案：B
882、根据《商用密码应用安全性评估报告模板（2023版）》，“测评结果修正”是针对“单元测评”中所有测评指标要求的测评对象进行分析是否存在弥补的情况。
A、正确
B、错误
正确答案：B
883、根据《商用密码应用安全性评估报告模板（2023版）》，如果被测系统为三级信息系统，则整体测评结果汇总表中的“符合”“部分符合”“不符合”“不适用”指标项数之和应为41。
A、正确
B、错误
正确答案：A
884、根据《商用密码应用安全性评估报告模板（2023版）》，编制系统密评报告时，如果安全管理四个层面均为不适用，那么该系统最高得分为70分。
A、正确
B、错误
正确答案：B
885、根据《商用密码应用安全性评估报告模板（2023版）》，系统密评报告中的整体测评结果为修正后的整体测评结果和量化评估分数。
A、正确
B、错误
正确答案：A
886、根据《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告的风险分析内容时，如果不存在《商用密码应用安全性评估高风险判定指引》中的高风险项，则可以判定被测系统一定不会面临高风险。
A、正确
B、错误
正确答案：B
887、密评人员在编制系统密评报告风险分析部分时，将网络和通信安全“通信过程中重要数据的机密性”测评单元降至中低风险，并给出如下分析：在网络和通信安全层面未采用密码技术建立安全通信信道，但采用了符合要求的密码技术对重要数据传输机密性进行保护，因此“通信过程中重要数据的机密性”的风险等级可以酌情降低。
报告审核人员认为该风险缓解分析是到位的。
A、正确
B、错误
正确答案：A
888、在《商用密码应用安全性评估报告模板（2023版）》中，可按照威胁类型和威胁发生频率进行风险分析，并将单元测评后的部分符合项或不符合项逐一进行关联威胁确认、风险分析和风险等级判定。
A、正确
B、错误
正确答案：B
889、被测系统责任单位制定有密码应用应急处置方案，但截至目前系统未发生过密码应用相关安全事件，根据《商用密码应用安全性评估报告模板（2023版）》，应在信息系统密评报告的“检测结果记录”部分将“事件处置”、“向有关主管部门上报处置情况”两个测评项判定为“不适用”。
A、正确
B、错误
正确答案：B
890、某三级信息系统在其通过密评的密码应用方案中将“不可否认性”作为不适用项，并说明系统无不可否认性保护需求，密评机构测评人员在实际测评过程中，发现该系统存在不可否认性应用场景，依据通过密评的密码应用方案，应在信息系统密评报告“检测结果记录”部分将该项判定为“不适用”。
A、正确
B、错误
正确答案：B
891、根据《商用密码应用安全性评估报告模板（2023版）》，当被测信息系统经过测评结果修正，涉及到单元间或层面间的分值调整时，在信息系统密评报告的“检测结果记录”部分将测评对象及测评单元的原始分值替换为调整后的得分即可。
A、正确
B、错误
正确答案：B
892、根据《商用密码应用安全性评估报告模板（2023版）》，当被测信息系统中存在可能涉及高风险的安全问题，但因为具备一定的缓解措施而降低为中风险时，应在信息系统密评报告测评结果记录部分修正测评结果为部分符合。
A、正确
B、错误
正确答案：B
893、根据《商用密码应用安全性评估报告模板（2023版）》，密评结果记录应形成单独的文件，在密评结束后由密评机构归档，不用作为附件附在密评报告后面，密码管理部门需要检查时可要求密评机构提供。
A、正确
B、错误
正确答案：B
894、某单位规划在2023年新建一个三级信息系统（协同办公信息系统），按照《国家政务信息化项目建设管理办法》（国办发[2019]57号）要求，系统建设完成后应通过商用密码应用安全性评估。
为简化招投标流程，A单位将密评事项在建设之初，就全权委托给系统建设总集成商单位B，由B单位选择相应密评机构，并B单位与密评机构签订测评委托协议，向密评机构支付密评费用，三方约定密评机构出具的最终密评报告仅交付给A，根据《商用密码应用安全性评估报告模板（2023版）》，这种情况符合密评管理要求。
A、正确
B、错误
正确答案：B
895、对各个层面的“身份鉴别”指标测试时，主要检查所使用的密码算法是否合规和相应的密钥管理是否安全，抗重放攻击不是该指标的考察范围。
A、正确
B、错误
正确答案：B
896、如果某个服务器密码机部署在核心交换机上，且没有部署必要的逻辑隔离措施，这种部署方式存在很高的安全隐患。
A、正确
B、错误
正确答案：A
897、在进行测评时，发现某系统的主密钥采用知识拆分的方式进行导出，但是在做密钥分片存储时，使用同一个人的同一个智能密码钥匙进行保存，这种方式是不安全的。
A、正确
B、错误
正确答案：A
898、判断以下做法是否正确：CA签发证书后，用户将私钥和数字证书存放在用户的U盘内保存。
A、正确
B、错误
正确答案：B
899、公钥必须保护其与实体的绑定关系，对称密钥没有这种必要，因此在测评时，主要关注的是对称密钥的机密性和完整性。
A、正确
B、错误
正确答案：B
900、因通信链路上可能承载多个不同应用，这些应用可能需要对各自的用户实施更细粒度的身份标记和鉴别，因此，网络和通信安全层面的鉴别一般情况下不能替代其他层面的鉴别。
A、正确
B、错误
正确答案：A
901、如果将密钥以密文形式存放在数据库中，对其采用SM4-GCM保护机密性和完整性即可，无需对密钥密文和用户的关联关系进行完整性保护。
A、正确
B、错误
正确答案：B
902、只需要对口令进行HMAC-SM3计算，就可以保证口令不被替换，实现实体与口令的绑定。
A、正确
B、错误
正确答案：B
903、在测评时发现系统数据库中存储的用户口令是加盐存储的，盐值采用的策略是每100个用户换一个盐值的方式，该实现是安全的。
A、正确
B、错误
正确答案：B
904、某部署在运营商机房的信息系统，其物理机房完全由运营商托管，那么对该信息系统进行密评时，物理和环境安全层面视为“不适用”。
A、正确
B、错误
正确答案：B
905、某信息系统网络通道仅采用HTTP协议传输报文，但该通道中传输的数据在应用和数据安全层面采用密码技术进行保护，“重要数据传输机密性”“重要数据传输完整性”这两项指标中得到“符合”的判定结果。
那么“通信过程中重要数据的机密性”的安全风险等级可以酌情降低。
A、正确
B、错误
正确答案：A
906、开展信息系统密评时，“设备远程管理通道安全”测评项可能涉及“网络和通信安全”和“设备和计算安全”两个层面。
A、正确
B、错误
正确答案：A
907、在密评中发现，信息系统采用一台服务器密码机实现对数据加密密钥的管理，但该密码机对应的产品认证证书在测评时已过期（该密码机采购时间在认证证书有效期内）。
针对这种情形，“密钥管理安全性”一定是“不符合”。
A、正确
B、错误
正确答案：B
908、在应用和数据安全层面，某信息系统开发人员对重要数据的传输机密性保护采用AES-CBC实现，对重要数据的传输完整性保护采用基于AES的CBC-MAC实现，由于这两项指标对应保护的数据不同，因此开发人员使用了同一个密钥执行上述密码算法计算。
这种做法是合理的。
A、正确
B、错误
正确答案：B
909、由于防火墙、边界路由器属于网络安全产品范畴，在密评时通常不考虑作为测评对象。
所以“网络边界访问控制信息的完整性”测评指标的核查只需要确认VPN网关中相应的安全机制即可。
A、正确
B、错误
正确答案：B
910、某信息系统的设备运维路径为：设备管理员操作终端-堡垒机-应用服务器，其中：1）从操作终端到堡垒机采用HTTPS/TLS1.2（选用密码套件为TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384）提供运维通道保护；2）从堡垒机到服务器采用SSHv2.0提供运维通道保护。
那么应用服务器的“远程管理通道安全”测评指标的判定结果为“部分符合”。
A、正确
B、错误
正确答案：A
911、密评人员在测评某信息系统应用和数据安全层面的“身份鉴别”指标时发现，该信息系统有应用管理员和普通用户两类应用用户，其中应用管理员采用基于智能密码钥匙（经检测认证合格）的登录方式，普通用户采用“口令+短信验证码”的登录方式。
那么该测评单元的得分为0.5分。
A、正确
B、错误
正确答案：A
912、测评人员利用Wireshark，发现某信息系统传输的重要数据为密文，数据密文长度为128比特，因此可以判定该数据使用SM4或AES密码算法进行了加密保护。
A、正确
B、错误
正确答案：B
913、在对物理和环境安全层面中的“身份鉴别”指标测评时，如果被测信息系统所在物理机房未采用密码技术对机房进入人员进行身份鉴别，但在机房进出口配备专人值守并进行登记，且采用视频监控系统进行实施监控保证机房进入人员身份的真实性，可酌情降低风险等级，但该测评指标的量化评估分数依然是0分。
A、正确
B、错误
正确答案：A
914、测评人员在对某三级信息系统测评时，发现该信息系统运行过程中未发生任何密码应用安全事件，因此将GB/T39786中管理要求的“应急处置”相关指标列为不适用。
A、正确
B、错误
正确答案：B
915、测评人员对某一级信息系统测评时，发现该系统在规划阶段制定了密码应用方案且通过了方案评估，因此针对“建设运行”层面的“制定密码应用方案”指标的量化评估结果可以为1分，判定为符合。
A、正确
B、错误
正确答案：A
916、某二级信息系统除了灾备机房外，其中一部分部署在被测系统单位内机房，另一部分部署在云平台（由运营商托管），那么针对“物理和环境安全”层面的测评对象仅涉及灾备机房和被测系统单位内机房。
A、正确
B、错误
正确答案：B
917、某二级信息系统于2019年进行规划并有密码应用方案且方案通过评估，2020年建设完成后投入运行，2021年开展首次密评，测评人员在测评时仅以该系统在投入运行前未进行密码应用安全性评估为由，对“建设运行”层面的“投入运行前进行密码应用安全性评估”指标判定为“不符合”。
A、正确
B、错误
正确答案：A
918、测评人员在对某四级信息系统进行测评时，核实该信息系统所属机构建立了密码应用岗位责任制度，设置了密钥管理员、密码安全审计员、密码操作员，其中密钥管理员和密码安全审计员均由被测系统所属机构内部人员担任，密码操作员由被测系统承包商担任，且密码安全审计员与密钥管理员、密码操作员为不同人员，因此针对“人员管理”层面的“建立密码应用岗位责任制度”指标可以判定为符合。
A、正确
B、错误
正确答案：B
919、某三级信息系统所在机房部署符合GM/T0036《采用非接触卡的门禁系统密码应用指南》的电子门禁系统，使用SM4算法进行密钥分散，实现门禁卡的“一卡一密”，并基于SM4算法对人员身份进行鉴别，因此该系统在“物理和环境安全”层面的“电子门禁记录数据存储完整性”指标可以判定为符合。
A、正确
B、错误
正确答案：B
920、某三级信息系统的系统管理员通过堡垒机对通用服务器进行远程管理，系统管理员登录堡垒机时通过检测认证合格的安全浏览器和智能密码钥匙并基于数字证书的方式进行身份鉴别，数字签名算法为SM2，因此该信息系统在“设备和计算安全”层面的通用服务器测评对象的“身份鉴别”指标可以判定为符合。
A、正确
B、错误
正确答案：B
921、某三级信息系统使用云服务器密码机对云平台内的数据进行保护，测评人员在对云服务器密码机进行测评时，发现云服务器密码机的宿主机和三个虚拟机密码机均有独立的管理界面，并通过同一管理员进行管理，管理员登录前基于合规的密码技术进行了身份鉴别。
因此，对于虚拟机密码机，针对“设备和计算安全”层面的“身份鉴别”指标量化评估结果为1分。
A、正确
B、错误
正确答案：B
922、测评人员发现，某二级信息系统系统未使用任何密码技术和密码产品对系统相关的物理和环境、网络和通信、设备和计算、应用和数据安全层面进行防护。
鉴于系统不涉及任何密码技术和密码产品，因此将“管理制度”层面的测评指标列为不适用。
A、正确
B、错误
正确答案：B
923、“密码算法和密码技术合规性”测评单元在测评时，需要汇集信息系统所有密码算法和密码技术，逐个分析其合规性，给出相应量化评估分数。
A、正确
B、错误
正确答案：B
924、判断以下做法是否正确：用户身份鉴别完成后，用户利用签名私钥与信息系统进行SM2密钥协商，协商出会话密钥，利用SM4算法和基于SM3的HMAC算法进行通信数据的机密性和完整性保护。
A、正确
B、错误
正确答案：B
925、判断以下做法是否正确：用户在生成SM2签名密钥对时，以当前时间为种子，利用C语言的rand函数生成随机数；为了保证随机数的随机性，将该随机数再利用SHA-256算法进行杂凑计算，获得256比特数据作为私钥，并生成对应公钥。
A、正确
B、错误
正确答案：B
926、某信息系统的设备运维路径为：设备管理员终端-堡垒机-通用设备。
其中，堡垒机的“身份鉴别”指标的测评结果为“符合”，那么通用设备（自身采用“用户名+口令”方式登录）的“身份鉴别”指标的量化评估分值可以一定程度上得到弥补。
A、正确
B、错误
正确答案：B
927、某三级信息系统使用服务器密码机（经检测认证合格）对应用的重要数据进行存储机密性保护，针对该服务器密码机的“设备和计算安全”层面的“身份鉴别”指标可以直接判定为符合。
A、正确
B、错误
正确答案：B
928、某三级信息系统有两个独立的物理机房，其中机房1采用门禁ID卡对进入人员进行身份鉴别；机房2有两个门，其中门A采用门禁ID卡对进入人员进行身份鉴别，门B通过部署符合GM/T0036《采用非接触卡的门禁系统密码应用技术指南》的电子门禁系统对进入人员进行身份鉴别。
针对“物理和环境安全”层面的“身份鉴别”指标，机房1的量化评估结果为0分，机房2的量化评估结果为0分。
A、正确
B、错误
正确答案：A
929、测评人员在对某三级信息系统的人员管理中的“建立密码应用岗位责任制度”测评时发现，该信息系统根据密码应用的实际情况，设置甲、乙、丙三人分别担任密钥管理员、密码安全审计员、密码操作员，并建立了岗位责任制度、确定了各自的岗位职责，设备与系统的管理和使用人员都有各自单独的账号。
因此，该测评项可以给1分。
A、正确
B、错误
正确答案：B
930、某信息系统部署在公有云平台上，云平台所在机房未开展过商用密码应用安全性评估，在对该系统开展密评时，密评人员需到云平台所在机房现场进行取证。
A、正确
B、错误
正确答案：A
931、根据《商用密码应用安全性评估FAQ（第二版）》，交换机、网闸、防火墙、WAF等未使用密码功能的网络设备、安全设备一般不作为设备和计算安全层面的测评对象。
A、正确
B、错误
正确答案：A
932、根据《商用密码应用安全性评估FAQ（第二版）》，对信息系统进行测评时，若存在设备管理通道跨越网络边界的情况，需在网络和通信安全层面梳理相应的远程管理数据传输通道作为测评对象。
A、正确
B、错误
正确答案：A
933、根据《商用密码应用安全性评估FAQ（第二版）》，对信息系统进行测评时，针对通用服务器，以“具有相同硬件、软件配置的设备”为粒度确定测评对象，即具有相同硬件配置（如生产厂商、型号等）和软件配置（如操作系统版本、中间件等）的服务器作为一个测评对象。
A、正确
B、错误
正确答案：A
934、若系统未部署SSLVPN，管理员通过互联网直接访问堡垒机对设备进行管理，在设备和计算安全层面“远程管理通道安全”测评单元可将访问堡垒机的信息传输通道作为测评对象。
A、正确
B、错误
正确答案：A
935、针对通用服务器，以“具有相同硬件、软件配置的设备”为粒度确定测评对象。
A、正确
B、错误
正确答案：A
936、根据《商用密码应用安全性评估FAQ（第二版）》，某信息系统部署了5台生产厂商为型号为操作系统版本为C的应用服务器，则在密评时需抽选任意2台应用服务器作为设备和计算安全层面的测评对象。
A、正确
B、错误
正确答案：B
937、管理员在互联网通过SSLVPN接入系统内网，登录堡垒机后采用SSH协议对设备进行远程管理，针对设备和计算安全层面的“远程管理通道安全”测评单元，应将管理员在互联网通过VPN接入系统内网的过程进行测评。
A、正确
B、错误
正确答案：B
938、根据《商用密码应用安全性评估FAQ（第二版）》，应用和数据安全层面的测评对象为关键业务应用，关键业务应用一般情况下应包含被测系统的所有业务应用。
A、正确
B、错误
正确答案：A
939、某信息系统中通过堡垒机对设备进行远程运维，则设备和计算安全层的远程管理通信安全的测评对象不包括堡垒机。
A、正确
B、错误
正确答案：B
940、根据《商用密码应用安全性评估FAQ（第二版）》，某三级信息系统部署了经检测认证合格的服务器密码机（密码模块为二级），则密评时针对设备和计算安全层面“系统资源访问控制信息完整性”指标要求，该服务器密码机可直接判定为符合。
A、正确
B、错误
正确答案：A
941、根据《商用密码应用安全性评估FAQ（第二版）》，可根据网络类型来确定网络和通信安全层面的测评对象。
A、正确
B、错误
正确答案：A
942、根据《商用密码应用安全性评估FAQ（第二版）》，网络和通信安全层面的测评对象的选择，只需区分系统所属的网络环境是内网还是外网即可确定测评对象。
A、正确
B、错误
正确答案：B
943、若信息系统在网络边界未部署SSLVPN，管理员通过互联网直接访问堡垒机对设备进行管理，在网络和通信安全层面“通信数据完整性”测评单元应将访问堡垒机的信息传输通道作为测评对象。
A、正确
B、错误
正确答案：A
944、根据《商用密码应用安全性评估FAQ（第二版）》，网络和通信安全层面的测评对象主要是跨网络访问的通信信道。
A、正确
B、错误
正确答案：A
945、某等保四级办公系统为独立的内网系统，且不允许跨网络边界进行远程运维，则整个网络和通信安全层面一定作为不适用处理。
A、正确
B、错误
正确答案：B
946、某信息系统部署在公有云平台的独立VPC内，通过云平台的堡垒机对设备进行远程管理，应将堡垒机与设备之间的远程管理通道作为网络和通信安全层面的测评对象。
A、正确
B、错误
正确答案：B
947、如果被测信息系统所在的物理机房采用多区域部署时，密评人员在测评时只需到个别机房进行现场取证。
A、正确
B、错误
正确答案：B
948、如果被测信息系统部署在被测单位管辖范围之外，物理和环境安全层面的测评指标通常为适用。
A、正确
B、错误
正确答案：A
949、如果被测信息系统所在的IDC机房通过了密评，则可以复用密评报告中“物理和环境安全”层面的相关测评结论。
A、正确
B、错误
正确答案：A
950、某三级信息系统部署在公有云平台上，由云服务提供商负责机房环境管理，在对该系统开展密评时，物理和环境安全层面一定作为不适用处理。
A、正确
B、错误
正确答案：B
951、某三级信息系统部署在办公大楼的机房里，机房和办公大楼都部署有电子门禁系统，则仅需将机房的电子门禁系统纳入测评范围。
A、正确
B、错误
正确答案：A
952、某三级信息系统部署在办公大楼的机房里，机房和办公大楼都部署有视频监控系统，则办公大楼和机房的视频监控系统一定纳入测评。
A、正确
B、错误
正确答案：B
953、如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等未开展密评，测评时，密评人员也需现场取证，对其进行测评。
A、正确
B、错误
正确答案：A
954、根据《商用密码应用安全性评估FAQ（第二版）》，在对云平台进行密评时，云平台密码资源池的密码管理平台通常作为应用和数据安全层面的测评对象。
A、正确
B、错误
正确答案：A
955、《商用密码应用安全性评估FAQ（第二版）》中，关于云平台测评提及的被部分评估的支撑能力，指的是云平台提供的某些支撑服务，这些支撑服务仅用于云上应用而不用于云平台，或者将服务于云平台和云上应用的不同测评对象。
A、正确
B、错误
正确答案：A
956、根据《商用密码应用安全性评估FAQ（第二版）》，云平台运行所在的机房同时支撑了云平台和云上应用在物理和环境安全层面的密码应用安全，将在云平台密码应用安全性评估时被“完全评估”。
A、正确
B、错误
正确答案：A
957、根据《商用密码应用安全性评估FAQ（第二版）》，被“完全评估”表明该支撑能力有明确的测评结果（包括量化评估、风险评价等）
A、正确
B、错误
正确答案：A
958、根据《商用密码应用安全性评估FAQ（第二版）》，如果云平台的电子签章系统仅用于支撑了云上应用进行合同签署，实现抗抵赖保护，而不用于云平台本身，则电子签章服务属于被部分评估的支撑能力。
A、正确
B、错误
正确答案：A
959、根据《商用密码应用安全性评估FAQ（第二版）》，云服务器密码机在进行数据存储保护时，面向的是云平台和云上应用的不同数据。
此时，该支撑能力在云平台测评时进行“完全评估”。
A、正确
B、错误
正确答案：B
960、根据《商用密码应用安全性评估FAQ（第二版）》，云上应用密评时，只关注应用本身在各个安全层面的密码应用情况。
A、正确
B、错误
正确答案：B
961、某一信息系统通过统一身份认证系统进行身份鉴别，统一身份认证系统未开展密评，则该信息系统测评时应把统一身份认证系统纳入测评范围。
A、正确
B、错误
正确答案：A
962、在设备和计算安全层面，“采用密码技术保证系统资源访问控制信息的完整性”的指标要求，强调的是被测设备的系统资源。
A、正确
B、错误
正确答案：A
963、某三级信息系统通过堡垒机对系统中的服务器进行集中运维管理，堡垒机采用动态令牌进行身份鉴别，则对服务器的身份鉴别为主要测评动态令牌的合规性。
A、正确
B、错误
正确答案：B
964、某信息系统所在机房部署使用的电子门禁系统为经检测认证合格的密码产品，则可判定该电子门禁系统的电子门禁记录数据存储完整性指标为符合。
A、正确
B、错误
正确答案：B
965、某信息系统所在机房的视频监控系统是一个密码产品，采集端到服务端采用了密码技术实现了通信数据的机密性和完整性保护，则可判定该机房的视频监控记录数据存储完整性指标为符合或部分符合。
A、正确
B、错误
正确答案：B
966、在应用和数据安全中，“采用密码技术保证信息系统应用的访问控制信息的完整性”指标要求，强调的是系统应用。
A、正确
B、错误
正确答案：A
967、在应用和数据安全层面，访问控制信息主要包括应用系统的权限、标签等能够决定系统应用访问控制的措施等信息。
A、正确
B、错误
正确答案：A
968、根据《商用密码应用安全性评估FAQ（第二版）》，信息系统采用经认证合格的密码产品是密钥管理安全性（D）判定为“符合”的必要条件。
A、正确
B、错误
正确答案：A
969、根据GM/T0115《信息系统密码应用测评要求》，对于“可”的条款，由信息系统责任方自行决定是否按照GM/T0115《信息系统密码应用测评要求》相应测评指标要求进行测评和结果判定。
A、正确
B、错误
正确答案：A
970、根据GM/T0115《信息系统密码应用测评要求》，对于“可”的条款，也存在测评指标“不适用”的情形。
A、正确
B、错误
正确答案：A
971、根据GM/T0115《信息系统密码应用测评要求》，对于“宜”的条款，密评人员无需参考方案评估意见，在测评时只需核实密码应用方案中所描述的风险控制措施是否落实即可。
A、正确
B、错误
正确答案：B
972、信息系统是否涉及GM/T0115《信息系统密码应用测评要求》中某项测评指标的安全需求，可通过是否采用密码技术实现该条款的安全防护加以判断。
A、正确
B、错误
正确答案：B
973、在对某三级信息系统进行密评时，只要是GB/T39786《信息安全技术信息系统密码应用基本要求》中“应”的条款，则密评人员务必按照GM/T0115《信息系统密码应用测评要求》中相应的测评指标要求进行测评和结果判定。
A、正确
B、错误
正确答案：B
974、在GM/T0115《信息系统密码应用测评要求》中，测评单元由测评指标、测评对象、测评实施这三个要素组成。
A、正确
B、错误
正确答案：B
975、根据GM/T0115《信息系统密码应用测评要求》，密码应用技术测评要求中的测评单元若涉及两个测评对象，则每个测评对象需要分别进行测评实施和结果判定，再汇总得出测评单元的结果。
A、正确
B、错误
正确答案：A
976、根据GM/T0115《信息系统密码应用测评要求》，整体测评环节要考虑单元间、对象间是否存在相互弥补的情况。
A、正确
B、错误
正确答案：B
977、密评人员在执行GM/T0115《信息系统密码应用测评要求》中的风险分析和评价环节时，可参考《信息系统密码应用高风险判定指引》。
A、正确
B、错误
正确答案：A
978、根据GM/T0115《信息系统密码应用测评要求》，信息系统的测评结论是由量化评估的得分以及风险分析和评价共同决定的。
A、正确
B、错误
正确答案：A
979、依据GM/T0115《信息系统密码应用测评要求》，被测信息系统有密码应用方案且方案通过评估，密码应用方案中明确“物理和环境安全”层面的测评指标为“不适用”。
则根据密码应用方案和方案评估意见，密评人员无需对该层面进行测评，相应测评指标可直接判定为“不适用”。
A、正确
B、错误
正确答案：B
980、依据GM/T0115《信息系统密码应用测评要求》，某三级信息系统密码应用方案中网络和通信安全层面，“身份鉴别”指标要求验证通信双方身份鉴别的有效性，密评人员应按照密码应用方案的要求进行测评，并将结论体现在密评报告中。
A、正确
B、错误
正确答案：A
981、根据GM/T0115《信息系统密码应用测评要求》，密码算法合规性、密码技术合规性、密码产品合规性、密码服务合规性和密钥管理安全性不单独判定符合性，也不单独体现在密码应用安全性评估报告的单元测评结果和整体测评结果中。
A、正确
B、错误
正确答案：A
982、依据GM/T0115《信息系统密码应用测评要求》，经核查和验证某视频监控系统采用HMAC-SHA512算法（算法实现正确）来保证视频监控音像记录数据的存储完整性，因此“视频监控记录数据存储完整性”指标可判定为“部分符合”。
A、正确
B、错误
正确答案：A
983、根据GM/T0115《信息系统密码应用测评要求》，网络和通信安全层面的测评对象不包括信息系统内不同应用服务器之间的通信信道（在同一网段内）。
A、正确
B、错误
正确答案：A
984、依据GM/T0115《信息系统密码应用测评要求》，某三级信息系统，经核查和验证，网络通信信道采用了具有商用密码产品认证证书的SSLVPN设备，SSL协议使用的密码算法套件为ECC_SM4_SM3，因此判定该网络信道符合“通信数据完整性”和“通信过程中重要数据机密性”测评指标的要求。
A、正确
B、错误
正确答案：B
985、依据GM/T0115《信息系统密码应用测评要求》，在对“网络和通信安全”层面测评时，如果网络边界的访问控制信息存储在具有商用密码产品认证证书的VPN类设备中，则针对该层面“网络边界访问控制信息的完整性”指标可直接判定为“符合”。
A、正确
B、错误
正确答案：A
986、依据GM/T0115《信息系统密码应用测评要求》，在三级信息系统的测评中，针对“建立密码应用岗位责任制度”指标的测评，需要核查相关设备与系统的管理和使用账号是否存在多人共用的情况。
A、正确
B、错误
正确答案：A
987、依据GM/T0115《信息系统密码应用测评要求》，交换机、网闸、防火墙、WAF等未使用密码功能的网络设备、安全设备，一般可不作为设备和计算安全层面的测评对象。
A、正确
B、错误
正确答案：A
988、依据GM/T0115《信息系统密码应用测评要求》，在设备和计算安全层面，应将系统中全部的设备做为独立的测评对象进行测评和量化评估。
A、正确
B、错误
正确答案：B
989、依据GM/T0115《信息系统密码应用测评要求》，某信息系统通过堡垒机集中运维管理设备，而堡垒机前部署了合规的SSLVPN，管理员使用合规的身份鉴别机制登录SSLVPN，则在设备和计算安全层面，堡垒机的“身份鉴别”可判定为“符合”。
A、正确
B、错误
正确答案：B
990、依据GM/T0115《信息系统密码应用测评要求》，在设备和计算安全层面，堡垒机使用合规的智能密码钥匙实现身份鉴别，通用服务器、数据库通过堡垒机进行统一管理。
若堡垒机的“身份鉴别”指标的测评结论为“符合”，则通用服务器的身份鉴别可判定为“符合”。
A、正确
B、错误
正确答案：B
991、依据GM/T0115《信息系统密码应用测评要求》，，某信息系统通过堡垒机对系统中的通用服务器进行统一运维管理，若堡垒机使用合规的智能密码钥匙实现身份鉴别，则在设备和计算安全层面“身份鉴别”指标项中，可不考虑通用服务器的身份鉴别方式。
A、正确
B、错误
正确答案：B
992、某三级信息系统，若采用密码模块安全等级为一级的智能密码钥匙（具有商用密码产品认证证书，且证书在有效期内）实现登录堡垒机时的身份鉴别，则智能密码钥匙符合GM/T0115《信息系统密码应用测评要求》中对密码产品合规性的要求。
A、正确
B、错误
正确答案：B
993、依据GM/T0115《信息系统密码应用测评要求》，若堡垒机登录口令使用合规的SM3算法加密后传输，则堡垒机的身份鉴别可判定为符合。
A、正确
B、错误
正确答案：B
994、依据GM/T0115《信息系统密码应用测评要求》，某信息系统通过堡垒机对设备进行集中运维管理，管理员使用合规的智能密码钥匙登录堡垒机，采用基于国密算法的数字签名机制进行身份鉴别，若堡垒机服务端的验签未采用经商用密码检测认证合格的密码产品实现，则堡垒机的“身份鉴别”指标应判为部分符合。
A、正确
B、错误
正确答案：A
995、依据GM/T0115《信息系统密码应用测评要求》，经核查，某系统责任单位制定有被测系统的商用密码应用方案，则“建设运行”层面的“制定密码应用方案”测评指标则判定为符合。
A、正确
B、错误
正确答案：B
996、某三级信息系统，在其密码应用方案中将设备和计算安全层面的“重要可执行程序完整性、重要可执行程序来源真实性”判定为不适用，且方案通过评估，则在测评过程中，依据GM/T0115《信息系统密码应用测评要求》，可直接将该项判定为不适用。
A、正确
B、错误
正确答案：B
997、依据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面的测评对象应包含关键业务应用，具体参考经评估通过的密码应用方案设定的范围确定；如无密码应用方案，应根据网络安全等级保护定级报告描述的范围确定。
A、正确
B、错误
正确答案：A
998、根据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面的测评对象包括业务应用系统以及提供身份鉴别、完整性保护、机密性保护、不可否认性功能的密码产品。
A、正确
B、错误
正确答案：A
999、依据GM/T0115《信息系统密码应用测评要求》，对云平台的SAAS应用，应用和数据安全层面的测评由云平台负责，租户信息系统密评时可直接复用云平台测评结果。
A、正确
B、错误
正确答案：B
1000、被测业务应用系统采用基于角色的访问控制策略，用户通过角色配置获得该角色拥有的应用系统权限。
依据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面“访问控制信息完整性”测评实施主要核查应用系统用户角色配置信息、角色权限配置信息等是否采用了加解密或计算杂凑值等机制进行完整性保护。
A、正确
B、错误
正确答案：B