商用密码应用安全性评估从业人员考核题库及答案（第3751-3900题）

商用密码应用安全性评估从业人员考核题库及答案（第3751-3900题）
3751、GM/T0115《信息系统密码应用测评要求》适用于指导信息系统哪些环节的密码应用安全性评估工作（）。
A、规划
B、建设
C、运行
D、运维
正确答案：C
3752、对第五级密码应用测评要求的描述，在GM/T0115《信息系统密码应用测评要求》中哪些部分有出现（）。
A、安全接入认证
B、身份鉴别
C、密码技术合规性
D、密钥管理安全性
正确答案：D
3753、GM/T0115《信息系统密码应用测评要求》包含了以下哪些内容（）。
A、通用测评要求
B、整体测评要求
C、风险分析和评价
D、密码可用性测评要求
正确答案：C
3754、GM/T0115《信息系统密码应用测评要求》中，术语“核查”包括了哪些实际测评时的测评方式（）。
A、访谈
B、文档审查
C、配置检查
D、工具测试
正确答案：D
3755、根据GM/T0115《信息系统密码应用测评要求》，下列说法正确的是（）。
A、单元测评可以和整体测评同时执行
B、每个安全层面的单元测评理论上可以同时执行
C、风险分析和评价是在单元测评和整体测评完成后执行的
D、测评结论主要由整体测评后的分数得到，风险分析和评价不影响测评结论，只是附加说明系统中的安全问题对应的安全风险程度高低
正确答案：C
3756、对于二级信息系统，以下哪些测评指标可由信息系统责任方自行决定是否按照GM/T0115《信息系统密码应用测评要求》中该测评指标要求进行测评和结果判定（）。
A、身份鉴别
B、电子门禁记录数据存储完整性
C、通信数据完整性
D、日志记录完整性
正确答案：D
3757、GM/T0115《信息系统密码应用测评要求》中，不单独判定符合性的测评单元有以下哪些（）。
A、密码算法合规性
B、密码产品合规性
C、身份鉴别
D、密钥管理有效性
正确答案：B
3758、以下属于GM/T0115《信息系统密码应用测评要求》中通用测评要求内容的是（）。
A、密码算法合规性
B、密码技术合规性
C、密码产品合规性
D、密钥管理安全性
正确答案：D
3759、依据GM/T0115《信息系统密码应用测评要求》，以下选项中属于设备和计算安全层面测评对象的有（）。
A、应用服务器
B、虚拟机
C、数据库
D、金融数据密码机
正确答案：D
3760、根据GM/T0115《信息系统密码应用测评要求》，关于应用和数据安全层面“不可否认性”测评单元，以下描述正确的是（）。
A、该测评指标通常针对于三级和四级信息系统
B、通常可采用基于公钥密码算法的数字签名机制实现该密码功能
C、核查内容包含数据原发行为的不可否认性
D、核查内容包含数据存储行为的不可否认性
正确答案：C
3761、根据GM/T0115《信息系统密码应用测评要求》，一个信息系统的测评结论可以是以下哪些（）。
A、符合
B、基本符合
C、不符合
D、部分符合
正确答案：C
3762、根据GM/T0115《信息系统密码应用测评要求》，以下结果判定方法正确的是（）。
A、针对单个测评对象，如果某测评单元的测评实施内容均为是，则该测评对象符合这个测评单元的测评指标要求。
B、针对单个测评对象，如果某测评单元的测评实施内容均为否，则该测评对象不符合本单元的测评指标要求。
C、针对某个测评单元，对该单元涉及的所有测评对象的判定结果进行汇总，如果判定结果均为符合，则本单元的测评结果为符合。
D、针对某个测评单元，对该单元涉及的所有测评对象的判定结果进行汇总，如果判定结果均为不符合，则本单元的测评结果为不符合。
正确答案：D
3763、根据GM/T0115《信息系统密码应用测评要求》，采用下列哪些鉴别技术，物理机房电子门禁系统的“身份鉴别”指标可以判定为“符合”（）。
A、动态口令
B、基于对称密码算法或密码杂凑算法的消息鉴别码（MAC）机制
C、基于公钥密码算法的数字签名机制
D、指纹识别
正确答案：C
3764、根据GM/T0115《信息系统密码应用测评要求》，以下哪些选项属于物理和环境安全层面在测评时应该关注的对象（）。
A、信息系统所在机房等重要区域
B、信息系统所在机房等重要区域的电子门禁系统
C、信息系统所在机房等重要区域的视频监控系统
D、信息系统所在机房等重要区域部署的防病毒系统
正确答案：C
3765、根据GM/T0115《信息系统密码应用测评要求》，在对物理和环境安全层面“视频监控记录数据存储完整性”指标进行测评时，应核查是否采用（）等密码技术对视频监控音像记录数据进行存储完整性保护，并验证完整性保护机制是否正确和有效。
A、基于对称算法的加解密机制
B、基于对称算法的消息鉴别码机制
C、基于密码杂凑算法的消息鉴别码机制
D、基于公钥密码算法的数字签名机制
正确答案：D
3766、根据GM/T0115《信息系统密码应用测评要求》，下列关于网络和通信安全层面“身份鉴别”测评指标的测评过程描述哪些是正确的（）。
A、通过访谈，了解采用了哪种通信实体身份鉴别实现机制
B、核查并验证身份鉴别机制是否正确有效
C、核查采用的密码算法和密码技术是否合规
D、核查采用的密钥管理措施是否安全
正确答案：D
3767、根据GM/T0115《信息系统密码应用测评要求》，下面哪些属于管理制度方面测评的对象（）。
A、密钥管理制度及策略类文档
B、密码人员管理制度
C、服务器密码机操作规程
D、管理制度修订记录
正确答案：D
3768、根据GM/T0115《信息系统密码应用测评要求》，下列哪些属于对密码相关管理人员或操作人员的日常管理操作建立的操作规程（）。
A、服务器密码机配置流程
B、门禁卡发卡操作规程
C、密钥管理系统操作规程
D、年度人员培训计划
正确答案：C
3769、根据GM/T0115《信息系统密码应用测评要求》，核查关键岗位人员的保密协议时，应核查协议中是否包括下列哪些内容（）。
A、保密范围
B、保密责任和违约责任
C、协议的有效期限
D、责任人的签字
正确答案：D
3770、根据GM/T0115《信息系统密码应用测评要求》，在进行“建立上岗人员培训制度”指标的测评时，下列哪些在其测评对象范围内（）。
A、安全主管
B、密钥管理员
C、密码安全审计员
D、密码操作员
正确答案：D
3771、根据GM/T0115《信息系统密码应用测评要求》，密评人员在对某信息系统进行密评时，判定密码产品合规性时应从以下哪些方面实施测评（）。
A、了解信息系统中密码产品的型号和版本等配置信息
B、核查密码产品是否经商用密码认证机构认证合格
C、核查密码产品的使用是否满足其安全运行的条件，如其安全策略或使用手册说明的部署条件
D、依据密码模块相关标准的密码产品，还要核查密码产品是否满足密码模块相应安全等级及以上安全要求
正确答案：D
3772、依据GM/T0115《信息系统密码应用测评要求》，在实施信息系统“密钥管理安全性”测评时，除核查密钥管理安全性实现技术是否正确有效外，还应核查密钥管理使用的（）是否满足要求。
A、密码算法
B、密码技术
C、密码产品
D、密码服务
正确答案：D
3773、依据GM/T0115《信息系统密码应用测评要求》，在测评信息系统“具备密码应用安全管理制度”指标时，密评人员应核查各项安全管理制度包括（）等制度。
A、密码人员管理
B、密钥管理
C、应急处置
D、密码软硬件及介质管理
正确答案：D
3774、根据GM/T0115《信息系统密码应用测评要求》，密评人员在对“密钥管理规则”指标进行测评时，应核查（）。
A、是否有通过评估的密码应用方案
B、是否根据密码应用方案建立相应密钥管理规则
C、是否对密钥管理规则进行评审
D、信息系统中密钥是否按照密钥管理规则进行生存周期的管理
正确答案：D
3775、根据GM/T0115《信息系统密码应用测评要求》，以下可作为设备和计算安全层面测评对象的是（）。
A、具有密码功能的网络及安全设备
B、服务器密码机
C、密钥管理系统
D、数据库管理系统
正确答案：D
3776、根据GM/T0115《信息系统密码应用测评要求》，设备和计算安全层面，系统资源访问控制信息主要包括（）。
A、操作系统文件目录的访问控制信息
B、设备操作系统的系统权限访问控制信息
C、堡垒机等第三方运维系统中的权限访问控制信息
D、数据库中的数据访问控制信息
正确答案：D
3777、根据GM/T0115《信息系统密码应用测评要求》，在设备和计算安全层面，以下属于“身份鉴别”指标的测评实施内容的是（）。
A、核查身份鉴别所使用的密码算法合规性、密钥技术合规性
B、核查身份鉴别所使用的密码产品合规性、密码服务合规性，以及相关密钥管理安全性
C、核查是否采用动态口令机制、基于对称密码算法或密码杂凑算法的消息鉴别码、基于公钥密码算法的数字签名机制等密码技术对设备操作人员等登录设备的用户进行身份鉴别
D、验证登录设备的用户身份真实性实现机制是否正确和有效
正确答案：D
3778、根据GM/T0115《信息系统密码应用测评要求》，以下属于三级信息系统“建设运行”方面测评项的是（）。
A、制定密码应用方案
B、定期开展密码应用安全性评估及攻防对抗演习
C、制度执行过程记录留存
D、建立操作规程
正确答案：B
3779、根据GM/T0115《信息系统密码应用测评要求》，以下属于三级信息系统“设备和计算安全”层面测评指标的是（）。
A、安全接入认证
B、远程管理通道安全
C、重要信息资源安全标记完整性
D、日志记录完整性
正确答案：D
3780、依据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面的完整性保护对象有（）。
A、安全标记
B、访问控制信息
C、需要传输的重要数据
D、需要存储的重要数据
正确答案：D
3781、被测业务应用在身份鉴别、重要数据传输机密性、重要数据传输完整性方面均未采用密码技术，整体测评时，依据GM/T0115《信息系统密码应用测评要求》，下列哪些测评指标的测评结果可能会对应用和数据安全层面进行弥补（）。
A、网络和通信安全层面“身份鉴别”
B、网络和通信安全层面“通信过程中重要数据的机密性”
C、网络和通信安全层面“通信数据完整性”
D、设备和计算安全层面“身份鉴别”
正确答案：C
3782、依据GM/T0115《信息系统密码应用测评要求》，下列可能作为应用和数据安全层面“重要数据存储机密性”测评指标具体测评对象的是（）。
A、鉴别数据
B、身份证号
C、重要业务数据
D、重要信息资源安全标记
正确答案：C
3783、根据GM/T0115《信息系统密码应用测评要求》附录C提供的测评技术，在对三级信息系统进行应用和数据安全层面“重要数据存储完整性”指标测评时，预期结果包括（）。
A、数据格式（签名长度、MAC长度）符合预期
B、若调用外接密码产品实现，则调用指令、次数等符合预期
C、登录密码产品查看相关配置和密码功能调用日志，密钥配置、日志记录均显示使用合规的密码算法
D、篡改存储数据后，能够检测出存储数据的完整性受到了破坏
正确答案：D
3784、按照GM/T0115《信息系统密码应用测评要求》中对测评对象的阐述，以下内容正确的是（）。
A、物理和环境安全层面的测评对象仅涉及电子门禁系统
B、网络和通信安全层面的测评对象包括内网环境中的设备远程运维通道
C、数据库及其管理系统属于设备和计算安全层面的测评对象
D、应用和数据安全层面的身份鉴别指标的测评对象是登录应用系统的用户
正确答案：D
3785、在GM/T0115《信息系统密码应用测评要求》中，关于密码应用技术测评要求的测评实施，其中测评实施第二条会关联到其他哪些测评单元（）。
A、通用测评要求的“密码算法合规性”
B、通用测评要求的“密码产品合规性”
C、通用测评要求的“密码服务合规性”
D、通用测评要求的“密钥管理安全性”
正确答案：D
3786、某三级信息系统机房有A和B两个门，经实地查看发现，无论从A或B门进入后，都可以访问整个机房。
其中A门采用经检测认证的电子门禁系统刷卡进入，B门采用ID卡刷卡进入。
对机房进出访问无其他风险控制措施。
针对这种情形，依据GM/T0115《信息系统密码应用测评要求》，物理和环境安全层面“身份鉴别”的判定结果和风险评价最有可能的是（）。
A、部分符合
B、不符合
C、高风险
D、无风险
正确答案：C
3787、密评人员在测评某三级信息系统时发现，该系统数据加密密钥的管理采用了一台服务器密码机实现，但该密码机对应的认证证书在测评时已过期（系统方采购密码机时间在认证证书有效期内）。
针对这种情形，依据GM/T0115《信息系统密码应用测评要求》，“密钥管理安全性”可能的判定结果有哪些（）。
A、符合
B、不符合
C、不适用
D、以上都有可能
正确答案：B
3788、根据GM/T0115《信息系统密码应用测评要求》附录B，在密评中对动态口令系统可采用以下哪些测评技术（）。
A、尝试对动态口令进行重放，以确认重放后的口令无法通过认证系统的验证
B、条件允许情况下，确认种子密钥以密文形式导入至认证系统中
C、条件允许情况下，在动态口令计算完成后，确认明文种子密钥不会留存在认证系统中
D、判断动态令牌的PIN码保护机制是否符合相关密码产品技术标准要求，例如PIN码长度、输入错误次数限制
正确答案：D
3789、根据GM/T0115《信息系统密码应用测评要求》，在对物理和环境安全层面“身份鉴别”指标进行测评时，可采用的方法包括（）。
A、尝试发一些错误的门禁卡，验证这些卡无法打开门禁
B、利用发卡系统分发不同权限的卡，验证非授权的卡无法通过门禁验证
C、查看电子门禁系统后台密码算法配置，确认用于门禁身份鉴别的密码算法合规性
D、通过抓取电子门禁系统后台与门禁日志记录审计系统的通信数据，确认门禁日志记录的完整性保护措施
正确答案：C
3790、根据GM/T0115《信息系统密码应用测评要求》，在对某二级信息系统进行“建立上岗人员培训制度”指标的测评时，下列哪些可能成为核查的对象（）。
A、人员培训管理制度
B、培训计划
C、培训签到表
D、安全教育类文档
正确答案：D
3791、依据GM/T0115《信息系统密码应用测评要求》，密评人员在进行人员管理方面的测评时，应核查是否定期对密码应用安全岗位人员进行考核，查看人员考核记录内容是否包括（）。
A、制定密码应用方案
B、安全意识
C、相关法律法规
D、密码操作管理技能
正确答案：D
3792、某信息系统管理员从互联网通过SSLVPN接入内网后，登录堡垒机对应用服务器进行集中管理，应用用户从互联网访问应用系统。
依据GM/T0115《信息系统密码应用测评要求》，设备和计算安全层面“远程管理通道安全”测评指标涉及的传输通道包括（）。
A、从互联网到SSLVPN网关的通信信道
B、接入内网后访问堡垒机的通道
C、通过堡垒机对应用服务器进行管理的通道
D、互联网访问应用系统的通道
正确答案：C
3793、根据GM/T0115《信息系统密码应用测评要求》，以下可作为设备和计算安全层面“远程管理通道安全”测评内容的是（）。
A、管理员从互联网使用浏览器直接访问堡垒机管理应用的通道
B、管理员在互联网通过SSLVPN接入内网后，使用浏览器访问堡垒机管理应用的通道
C、管理员在内网通过堡垒机对应用服务器进行集中管理的通道
D、业务用户在互联网使用国密浏览器访问业务应用的通道
正确答案：C
3794、根据GM/T0115《信息系统密码应用测评要求》，下列关于应用和数据安全层面测评的说法中不正确的是（）。
A、如果被测信息系统无密码应用方案，本安全层面的测评对象可访谈设备管理相关人员了解情况
B、依据GM/T0115《信息系统密码应用测评要求》，任何情况下，二级信息系统都不必进行“不可否认性”测评
C、某应用系统所在服务器自身不含有用于身份鉴别的软件密码模块，则“身份鉴别”指标为不适用
D、应用系统采用了未经安全性验证的自研密码算法对重要数据进行存储机密性保护，密评人员现场确认重要数据非明文存储，可判定为“部分符合”
正确答案：D
3795、根据GM/T0115《信息系统密码应用测评要求》，在对应用和数据安全层面中的“身份鉴别”指标测评时，应用系统采用以下（）密码技术可能被判定为“符合”或“部分符合”。
A、采用SM4算法生成动态口令
B、基于MD5的RSA-2048数字签名
C、SM3-HMAC
D、基于SHA-256的SM2数字签名
正确答案：D
3796、根据GM/T0115《信息系统密码应用测评要求》，在移动办公场景下，经访谈了解到手机端移动OA办公平台APP集成了手机盾SDK，应用服务端部署协同签名平台对办公用户采用基于SM2数字证书的协同签名技术实现身份鉴别，则应用和数据安全层面“身份鉴别”指标测评方法通常包括（）。
A、核查移动终端密码模块、协同签名平台是否经商用密码认证机构认证合格
B、核查APP用户数字证书格式合规性和数字证书有效性
C、核查APP用户数字证书颁发机构是否获得了密码管理部门颁发的《电子认证服务使用密码许可证》
D、核查应用服务端是否如实调用协同签名平台进行签名验证
正确答案：D
3797、被测业务应用系统采用基于角色的访问控制策略，用户通过角色配置获得该角色拥有的应用系统权限，在对该应用系统进行应用和数据安全层面“访问控制信息完整性”测评时，依据GM/T0115《信息系统密码应用测评要求》，从理论上可采取的实施方法包括（）。
A、读取数据库中的用户角色配置信息，判断完整性校验值的格式是否符合预期
B、读取数据库中的角色权限配置信息，判断完整性校验值的格式是否符合预期
C、如使用数字签名技术进行完整性保护，则可使用公钥对存储的签名结果进行验证
D、如使用消息鉴别码进行完整性保护，则可使用完整性保护密钥对存储的MAC值进行验证
正确答案：D
3798、根据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面“重要数据传输机密性”的测评实施要点描述正确的是（）。
A、依据GM/T0115《信息系统密码应用测评要求》，还会进行通用测评要求的核查
B、利用协议分析工具，分析传输的重要数据是否为密文，数据格式（如分组长度等）是否符合预期
C、使用密码算法合规性验证工具对抓取的密文数据进行验签，并与明文进行对比，以验证密码算法是否与声称的一致
D、如采用IPSec协议保障数据传输安全，利用协议分析工具捕获并分析握手阶段Serverhello消息数据包
正确答案：B
3799、根据GM/T0115《信息系统密码应用测评要求》，在对应用和数据安全层面中的“重要数据传输机密性”指标测评时，经核查测评对象采取下列哪些措施时，可能导致机密性保护是无效（）。
A、采用RSA-1024公钥加密的方式对口令信息进行传输保护
B、身份证号的后六位采用“*”代替后进行传输
C、同一类重要业务数据在某一传输通道中明文传输，在其他传输通道中密文传输
D、采用DES算法进行加密传输
正确答案：D
3800、根据GM/T0115《信息系统密码应用测评要求》，业务应用系统调用服务器密码机，采用对称密码算法对重要数据进行存储机密性保护，在对重要数据进行应用和数据安全层面“重要数据存储机密性”指标测评时，可采取的测评方法包括（）。
A、登录数据库查看存储的重要数据是否非明文存储
B、管理员登录服务器密码机查看日志文件，根据与密钥管理、密码计算相关的日志记录，检查是否与声称的一致
C、登录数据库查看存储的重要数据密文格式（如密文长度）是否符合预期密码算法特征
D、抓取应用系统调用服务器密码机的指令报文，验证其是否符合预期(如调用频率是否正常、调用指令是否正确)
正确答案：D
3801、根据GM/T0115《信息系统密码应用测评要求》，在对三级信息系统进行应用和数据安全层面“重要数据存储机密性”指标测评时，预期结果包括（）。
A、重要数据为密文存储，且数据格式符合预期
B、若调用外接密码产品实现，调用指令、次数等符合预期
C、密钥配置、日志记录均显示使用合规的密码算法
D、采用的密码产品具有密码管理部门颁发的密码服务许可文件
正确答案：C
3802、根据GM/T0115《信息系统密码应用测评要求》，应用和数据安全层面“重要数据传输完整性”的测评实施要点包括（）。
A、该测评单元的实施项中第一条和第二条涉及通用测评要求的密码算法合规性、密码技术合规性、密码产品合规性和密码服务合规性四个方面
B、利用协议分析工具，分析受完整性保护的数据在传输时的数据格式（如签名长度、MAC长度）是否符合预期
C、如果使用数字签名技术进行完整性保护，可使用公钥对抓取的签名结果进行验证
D、如果以外接服务器密码机等密码产品的形式实现，需要核实密码产品是否如实被调用
正确答案：D
3803、业务应用系统调用签名验签服务器，采用数字签名技术对重要数据进行存储完整性保护，在对重要数据进行应用和数据安全层面“重要数据存储完整性”指标测评时，依据GM/T0115《信息系统密码应用测评要求》，可采取的测评方法包括（）。
A、登录数据库查看重要数据签名值长度是否符合预期
B、登录签名验签服务器查看日志文件，根据与密钥管理、密码计算相关的日志记录，检查是否与声称的一致
C、生成测试数据，尝试对测试数据进行篡改，验证完整性校验机制是否有效
D、抓取应用系统调用签名验签服务器的指令报文，验证其是否符合预期(如调用顿率是否正常、调用指令是否正确)
正确答案：D
3804、车联网OTA（在线升级）业务场景中，智能网联汽车首先接入某运营商网络，然后与OTA云平台（云上应用系统）建立网络通信信道，下载OTA升级包到车端以完成软固件升级工作。
根据上述所描述的OTA升级场景，依据GM/T0115《信息系统密码应用测评要求》，密评时的关注点有以下哪些（）
A、OTA平台与智能网联汽车的网络通信实体鉴别
B、OTA升级包从车企到OTA平台的重要数据传输完整性保护
C、车端下载的OTA升级包的来源真实性和传输完整性
D、智能网联汽车接入运营商网络的安全认证
正确答案：C
3805、根据GM/T0115《信息系统密码应用测评要求》附录C，在密评中对“真实性”的测评技术，下列描述正确的是（）。
A、对于采用“挑战-响应”方式的鉴别协议，若通信双方有双向鉴别安全需求，那么按GB/T15843相关要求，密评人员在分析协议数据包时，应确认用于实现双向鉴别的消息传递次数至少是四次
B、对于采用“挑战-响应”方式的鉴别协议，若通信双方有双向鉴别安全需求，那么按GB/T15843相关要求，密评人员在分析协议数据包时，应确认用于实现双向鉴别的消息传递次数至少是三次
C、对于基于静态口令的鉴别过程，可通过抓取鉴别过程的数据包，确认口令未以明文形式传递
D、若采用基于SM2数字证书方式实现身份鉴别，除了验证签名结果外，还需要对相关数字证书进行验证
正确答案：D
3806、根据GM/T0115《信息系统密码应用测评要求》，针对网络和通信安全层面“身份鉴别”指标的测评，下列哪些可能是测评时的考查点（）。
A、通过访谈安全管理员并查验设备是否获得了商用密码产品认证证书
B、通过抓包分析握手过程，解析密码算法或密码套件标识可判断采用的密码算法是否符合要求
C、通过抓包分析握手过程，解析通信实体使用的数字证书，判断采用的密码算法是否符合要求
D、通过验证测试可以判断身份鉴别机制是否正确有效
正确答案：D
3807、根据GM/T0115《信息系统密码应用测评要求》，针对网络和通信安全层面“网络边界访问控制信息的完整性”指标的测评，下列哪些说法是正确的（）。
A、某通信信道使用IPSecVPN进行网络边界访问控制，IPSecVPN获得了商用密码产品认证证书，通过IPSecVPN自身的安全机制可以保证访问控制信息的完整性
B、某通信信道通过防火墙进行网络边界访问控制，采用服务器密码机对访问控制信息计算MAC后保存，服务器密码机获得了商用密码产品认证证书，因此可以实现网络边界访问控制信息的完整性保护
C、某通信信道通过边界路由进行网络边界访问控制，并采用自实现的HMAC-SM3对访问控制信息计算MAC后保存，因此可以实现网络边界访问控制信息的完整性保护
D、通过核查发现，某网络边界设备的访问控制信息采用SM4-ECB算法加密后保存在硬盘中，因此可以判断该设备能够保证访问控制信息的完整性
正确答案：B
3808、某信息系统管理员在内网使用浏览器访问堡垒机管理应用，浏览器与堡垒机之间的传输协议为HTTPS，依据GM/T0115《信息系统密码应用测评要求》，以下说法正确的是（）。
A、HTTPS签名证书中签名算法OID为1.2.156.10197.1.501，测评人员由此可判定签名算法为SHA256WithRSA2048
B、测评人员可从HTTPS签名证书中获取使用者公钥
C、测评人员可通过上级CA证书对HTTPS签名证书的签名值进行验签
D、HTTPS协议算法套件标识为{0xe0，0x13}，测评人员由此可判定HTTPS协议算法套件为ECDHE_SM4_SM3
正确答案：C
3809、在下列身份鉴别应用场景中，根据GM/T0115《信息系统密码应用测评要求》，该测评对象在应用和数据安全层面“身份鉴别”测评指标可能被判定为“符合”的是（）。
A、WEB端业务用户使用手机APP客户端扫码登录业务应用系统，手机APP客户端集成手机盾SDK，服务端部署协同签名平台，采用SM2协同签名算法对登录用户进行身份鉴别
B、WEB端业务用户使用蓝牙型智能密码钥匙作为登录应用系统的凭证，服务端调用签名验签服务器进行签名验证
C、移动端业务用户使用动态令牌作为登录APP应用的凭证，服务端部署动态口令认证系统进行身份验证
D、政务服务系统个人用户通过省统一政务服务门户进行用户身份鉴别，省统一政务服务门户提供微信/支付宝扫码登录、手机验证码登录两种鉴别方式
正确答案：C
3810、根据GM/T0115《信息系统密码应用测评要求》，下列关于应用和数据安全层面“身份鉴别”指标测评实施说法错误的是（）。
A、若未采用数字证书对应用系统用户登录进行身份鉴别，则需要验证公钥或对称密钥与实体的绑定方式是否可靠
B、若采用数字证书对应用系统用户登录进行身份鉴别，且采用了合规的密码产品和密码服务，则通用要求中“密钥管理安全”可直接判定为符合
C、若采用智能密码钥匙作为用户登录凭证，智能密码钥匙的口令长度和错误口令登录验证次数无需在应用和数据安全层面考虑
D、不能复用密码产品检测结果时，需要核查实体鉴别协议是否符合GB/T15843的要求
正确答案：C
3811、某应用系统通过主客代理模块对数据和用户进行标记，实现基于安全标记的强制访问控制，在对该应用系统进行应用和数据安全层面“重要信息资源安全标记完整性”测评时，了解到信息系统内仅部署了一台服务器密码机提供密码运算支撑。
依据GM/T0122《信息系统密码应用测评要求》，经进一步核查，该测评单元可能的测评结果有（）。
A、符合
B、部分符合
C、不符合
D、不适用
正确答案：C
3812、GM/T0137《信息系统密码应用测评要求》，某涉及法律责任认定的应用系统采用电子签章系统实现重要行为的不可否认性，在进行应用和数据安全层面“不可否认性”第三级指标测评时，测评要点包括但不限于（）。
A、核查电子签章系统是否具有商用密码产品认证证书，且密码模块安全等级为二级及以上
B、核查电子印章载体是否合规
C、核查制章人和签章人数字证书格式、签名算法标识和颁发机构
D、核查电子印章的验证、电子签章的生成和验证是否符合GB/T38540的要求
正确答案：D
3813、某信息系统在国密改造实施技术文档中标明，采用SM2签名验签的机制对应用服务器日志记录进行完整性保护，并采用HMAC-SM3算法对系统资源访问控制信息进行完整性保护，两名密码操作员可使用智能密码钥匙登录签名验签服务器，依据GM/T0115《信息系统密码应用测评要求》，以下关于测评人员在测评实施中，属于错误判定的是（）。
A、测评人员经核查发现，系统实际存储SM2签名的字段值长度为256位，因此判定日志记录完整性保护可能未使用SM2签名验签机制
B、测评人员经核查发现，系统实际存储HMAC-SM3的字段值长度为128位，因此判定系统资源访问控制信息完整性保护使用的不是HMAC-SM3算法
C、测评人员经核查发现，智能密码钥匙设置的口令长度不小于6个字符，使用错误口令登录的次数限制不超过10次，因此判定智能密钥钥匙的口令相关设置不符合GM/T0027的要求
D、测评人员经核查发现，两名密码操作员都使用了合规CA机构签发的同一张数字证书，证书在有效期内，且进行了证书的有效性验证，因此判定数字证书的签发和使用符合密评相关标准要求
正确答案：D
3814、依据GM/T0115《信息系统密码应用测评要求》，以下关于测评人员在设备和计算安全层面测评实施过程中，正确的是（）。
A、某信息系统访问堡垒机管理应用的远程管理通道使用了HTTPS协议，算法套件为TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA；测评人员判定用于通信数据完整性保护的算法为CBC-MAC-AES-256
B、某信息系统访问堡垒机管理应用的远程管理通道使用了HTTPS协议，测评人员经核查发现HTTPS数字证书在有效期内，并使用该证书内的公钥对证书签名值进行验签，验签不通过；测评人员判定该证书为无效证书
C、某信息系统管理员在互联网直接访问堡垒机对设备进行管理；测评人员将访问堡垒机的通信信道作为设备和计算安全层面“远程管理通道安全”的测评对象
D、某信息系统部署和使用了2台SSLVPN网关，商用密码产品认证证书编号分别为GMxxx、GMyyy;测评人员将2台SSLVPN网关分别作为设备和计算安全层面的两个测评对象
正确答案：D
3815、某三级信息系统于2023年进行首次密评，系统于2018年9月正式投入运行，系统责任单位未制定密码应用方案（或改造方案）和实施方案，密钥管理制度及策略文档中标明非对称密钥对在服务器密码机中进行存储，并且非对称密钥对在数据库服务器进行明文备份，依据GM/T0115《信息系统密码应用测评要求》，以下关于建设运行层面的判定，正确的是（）。
A、测评人员判定“制定密码应用方案”测评项为不符合
B、测评人员判定“投入运行前进行密码应用安全性评估”测评项作为不适用
C、测评人员判定密钥管理及策略文档不存在安全问题
D、测评人员判定“制定实施方案”测评项为部分符合
正确答案：B
3816、依据GM/T0115《信息系统密码应用测评要求》，以下关于设备和计算安全层面“身份鉴别”测评项的判定，错误的是（）。
A、某信息系统管理员使用用户名+口令或使用经检测认证的智能密码钥匙（密码模块达到相应等级要求）登录签名验签服务器，口令使用加盐SHA256算法进行传输和存储保护，测评人员判定签名验签服务器“身份鉴别”测评项为部分符合
B、某信息系统管理员使用经检测认证的智能密码钥匙（密码模块达到相应等级要求）登录堡垒机，身份鉴别机制符合GB/T15843标准要求，测评人员判定堡垒机“身份鉴别”测评项一定为符合
C、某信息系统管理员使用智能密码钥匙登录堡垒机，测评人员发现智能密码钥匙换发的商用密码产品认证证书中未标注密码模块安全等级，测评人员判定智能密码钥匙仅符合一级密码模块要求
D、某信息系统管理员使用动态令牌登录堡垒机，测评人员经核查发现，动态令牌设置的PIN码长度不少于6位数字，PIN码尝试次数最大不可超过8次；测评人员判定PIN码相关设置不符合GB/T38556的要求
正确答案：C
3817、某信息系统设备和计算安全层面，通过SM2签名验签的方式对应用服务器的日志记录进行完整性保护，测评人员提取了4组十六进制字符串的SM2签名值，以下SM2签名值符合GM/T0009签名数据格式要求的是（）。
A、0x304402202DB887AB6768A70E9F13597BDDEBB4B16B284A8CF51DF21BCFC16B6FADC84FB70220531B8EB27F12738980E5687D56663AC27D196822E3277F1E68C8456EC206D5D0
B、0x042DB887AB6768A70E9F13597BDDEBB4B16B284A8CF51DF21BCFC16B6FADC84FB7531B8EB27F12738980E5687D56663AC27D196822E3277F1E68C8456EC206D5D0
C、0x30450220390E325EB7CF7BABA3698839A739DCE23504CE058597FB5931CF11154B3BB0D9022100BE9C6210A2D99840778F7E9781B8AABD1CA9060068F38902394B7A4693530F1B
D、0x04390E325EB7CF7BABA3698839A739DCE23504CE058597FB5931CF11154B3BB0D9BE9C6210A2D99840778F7E9781B8AABD1CA9060068F38902394B7A4693530F1B
正确答案：C
3818、某信息系统应用服务器通过调用最新版OpenSSL密码算法库的HMAC-SM3接口对日志记录计算MAC，依据GM/T0115《信息系统密码应用测评要求》，以下哪些HMAC-SM3算法输出长度，使设备和计算安全“日志记录完整性”指标可能是“部分符合”的判定结果（）。
A、128比特
B、256比特
C、384比特
D、512比特
正确答案：B
3819、依据GM/T0115《信息系统密码应用测评要求》，关于设备和计算安全层面的判定结果，以下说法正确的是（）。
A、某三级信息系统，采用经检测认证的服务器密码机，其密码模块等级为二级，调用其SM4-CBC模式的加密算法接口，对应用服务器的日志记录进行加密，测评人员判定该应用服务器“日志记录完整性”为不符合
B、某二级信息系统，采用经检测认证的签名验签服务器，其密码模块等级为一级，调用其SM3算法接口，对应用服务器的系统资源访问控制信息进行杂凑运算，测评人员判定该应用服务器“系统资源访问控制信息完整性”为不符合
C、某信息系统采用智能密码钥匙登录签名验签服务器，智能密码钥匙和签名验签服务器均经过检测认证，密码模块均达到了相应等级安全要求，并采用了符合GB/T15843标准要求的身份鉴别机制，测评人员判定该签名验签服务器“身份鉴别”为符合
D、某三级信息系统部署了经检测认证的服务器密码机，其密码模块等级为二级，测评人员判定服务器密码机“身份鉴别”为符合
正确答案：C
3820、依据GM/T0115《信息系统密码应用测评要求》，关于设备和计算安全层面的判定结果，以下说法正确的是（）。
A、某二级信息系统，系统责任方自行决定将“日志记录完整性”指标项不纳入标准符合性测评范围，测评人员将该项判定为“不适用”
B、某三级信息系统，制定了密码应用方案并通过了方案评估，方案评估意见中明确将“系统资源访问控制信息”指标项作为不适用，测评人员在实际测评时可直接将该项判定为“不适用”
C、某三级信息系统，制定了密码应用方案并通过了方案评估，方案评估意见中明确“重要可执行程序完整性、重要可执行程序来源真实性”指标项可采用方案中提供的风险控制措施完成，但测评人员在现场测评中发现方案中描述的风险控制措施使用条件并不满足，故此按照GM/T0115相应的测评指标要求进行了测评和结果判定
D、若测评单元涉及多台通用设备作为测评对象，则测评人员可直接从中抽选测评对象，并进行测评实施和结果判定
正确答案：C
3821、某信息系统设备和计算安全层面“身份鉴别”测评单元包含5个测评对象，依据GM/T0115《信息系统密码应用测评要求》，以下判定结果正确的是（）。
A、若5个测评对象均为符合，则“身份鉴别”测评单元判定为符合
B、若其中2个测评对象为部分符合，3个测评对象为符合，则“身份鉴别”测评单元判定为部分符合
C、若其中2个测评对象为不符合，3个测评对象为符合，则“身份鉴别”测评单元判定为部分符合
D、若其中2个测评对象为不符合，3个测评对象为部分符合，则“身份鉴别”测评单元判定为不符合
正确答案：C
3822、依据GM/T0115《信息系统密码应用测评要求》，某业务应用系统在身份鉴别和不可否认性实现方面采用了数字证书，数字证书由经商用密码认证机构认证合格的证书认证系统签发，则密评人员在测评实施时需要（）。
A、参考GM/T0037和GM/T0038的要求核查证书认证系统部署是否正确、合规
B、核查证书扩展项KeyUsage字段，确定是否符合双证书体系要求，并验证证书及其相关私钥是否正确使用
C、核查Signature、Issuer等字段是否符合预期
D、通过数字证书格式合规性检测工具，验证证书格式是否符合GB/T20518的有关要求
正确答案：D
3823、网上行政审批系统主要提供审批业务受理、承办、审核、批准、结办等功能，其安全保护等级为三级；该单位内部用户采用SM2数字证书认证方式登录审批端业务应用，应用服务端调用签名验签服务器进行签名验证。
依据GM/T0115《信息系统密码应用测评要求》，在对单位内部用户进行应用和数据安全层面“身份鉴别”指标测评时，经核实发现下列（）情况可导致该测评指标无法取得“符合”的测评结果。
A、登录成功后，拔出智能密码钥匙，审批端业务应用长时间未自动退出登录
B、智能密码钥匙的商用密码产品认证证书和原型号证书中均未注明密码模块安全等级
C、SM2数字证书由本单位内部自建CA签发，组成CA的相关密码产品未经过检测认证
D、智能密码钥匙未导入SM2签名证书
正确答案：D
3824、依据GM/T0115《信息系统密码应用测评要求》，对物联网平台开展应用和数据安全层面测评时，根据其密码应用需求，需要针对下列哪些环节进行“身份鉴别”指标测评（）。
A、物联网终端接入
B、管理系统业务用户登录
C、管理系统运维用户登录
D、对感知节点设备上的软件应用进行配置或变更
正确答案：C
3825、根据GM/T0115《信息系统密码应用测评要求》，下列哪些属于第三级信息系统应急处置方面的测评实施要点（）。
A、访谈安全主管被测信息系统是否发生过密码应用安全事件
B、核查是否具有密码应用安全事件处置记录
C、核查管理制度或应急策略中是否明确规定事件发生后和事件处置完成后的上报机制
D、核查密码应用安全事件发生后是否向归属的密码管理部门提交了安全事件发生情况报告
正确答案：C
3826、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评方对信息系统开展密码应用安全性评估时，应遵循的原则，其中错误的是（）。
A、可重复性和可再现性原则
B、经济性原则
C、客观公正性原则
D、结果完善性原则
正确答案：B
3827、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评工作中可能面临的风险，正确的是（）。
A、验证测试可能影响被测信息系统正常运行
B、工具测试可能影响被测信息系统正常运行
C、可能导致被测信息系统敏感信息泄露
D、以上都是
正确答案：D
3828、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪种情形不属于测评风险（）。
A、验证系统功能时产生了冗余数据
B、上机查看配置时获取了重要设备的身份鉴别信息
C、对委托方搭建的测试系统进行了攻击测试
D、测试过程中产生了较大网络流量影响了系统的负载
正确答案：C
3829、根据GM/T0116《信息系统密码应用测评过程指南》，以下测评风险规避措施，错误的是（）。
A、签署保密协议
B、将无法直接接入测试工具采集相关数据的测试对象从测试范围中去除
C、签署测试授权书
D、工具测试避开业务运行高峰期
正确答案：B
3830、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于现场测评过程中的测评风险规避措施，错误的是（）。
A、需进行验证测试和工具测试时，应避开被测信息系统业务高峰期
B、需进行验证测试和工具测试时，可以配置与被测信息系统一致的模拟／仿真环境开展测评工作
C、需进行上机验证测试时，密评人员需要在已授权的情况下进行实际验证操作
D、整个现场测评过程，需要由被测单位和测评方相关人员进行监督。
正确答案：C
3831、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪项内容不属于测评准备活动的主要任务（）。
A、项目启动
B、信息收集和分析
C、签署风险确认书
D、工具和表单准备
正确答案：C
3832、根据GM/T0116《信息系统密码应用测评过程指南》，测评准备活动中与项目相关的主要文档是（）。
A、项目管理计划
B、项目计划书
C、测评指导书
D、任务书
正确答案：B
3833、根据GM/T0116《信息系统密码应用测评过程指南》，校准本次测评过程中可能用到的测评工具，发生在（）测评活动中。
A、测评准备活动
B、方案编制活动
C、现场测评活动
D、分析与报告编制活动
正确答案：A
3834、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪项不属于测评准备活动的输出文档（）。
A、系统情况调研表
B、签署过的测评授权书
C、选用的测评工具清单
D、会议签到表
正确答案：B
3835、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评准备活动的输出文档及其内容，说法正确的是（）。
A、调查表格、被测信息系统相关的技术资料内容应涵盖被测信息系统的网络安全保护等级、业务情况、软硬件情况、密码应用情况、密码管理情况
B、工具和表单准备阶段输出物的内容应涵盖测评工具、现场测评授权、测评可能带来的风险、交接的文档名称、会议记录表单、会议签到表单等
C、项目计划书至少应涵盖项目概述、工作依据、技术思路、工作内容和项目组织等内容。
D、以上内容均正确
正确答案：D
3836、根据GM/T0116《信息系统密码应用测评过程指南》，密码应用安全性评估活动中，确定测评对象和测评指标是在（）阶段。
A、测评准备活动
B、方案编制活动
C、现场测评活动
D、分析与报告编制活动
正确答案：B
3837、根据GM/T0116《信息系统密码应用测评过程指南》，在密评工作方案编制活动中，关于被测信息系统的核心资产确定，以下说法不正确的是（）。
A、核心资产及其他需要保护的配套数据、敏感安全参数的威胁模型和安全策略等均由被测单位自主确定。
B、测评方需要多对信息系统的核心资产进行核查和确认。
C、核心资产可以是业务应用、业务数据或者业务应用的某些设备、组件。
D、被测单位需要确定被测信息系统需要保护的核心资产，以及相应的威胁模型和安全策略。
正确答案：A
3838、根据GM/T0116《信息系统密码应用测评过程指南》，以下不是被测信息系统密评工作中对硬件设备进行描述的内容的是（）。
A、测评对象所属区域
B、测评对象设备名称
C、测评对象设备信息
D、测评对象数据加密情况
正确答案：D
3839、根据GM/T0116《信息系统密码应用测评过程指南》，在确定测评的不适用项时，如无密码应用方案，以下哪项不作为不适用项的论证依据（）。
A、是否在被测系统责任边界内
B、系统安全需求
C、不适用的具体原因
D、是否采用了可满足安全要求的其他替代性风险控制措施
正确答案：A
3840、根据GM/T0116《信息系统密码应用测评过程指南》，测评指标的确定需要依据（）。
A、调查表格
B、GM/T0115《信息系统密码应用测评要求》
C、通过评估的密码应用方案
D、以上均包括
正确答案：D
3841、根据GM/T0116《信息系统密码应用测评过程指南》，测评检查点确定时，应充分考虑到（）。
A、密码产品是否正确配置
B、检查的可行性和风险，对被测信息系统的影响
C、承载核心资产流转的设备
D、系统采用的密码服务情况
正确答案：B
3842、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评工具接入点的选择，错误的是（）。
A、信息系统测评工具接入点需要选择三个或三个以上。
B、从系统内部同一网段接入时，测试工具一般接在与被测对象在同一网段的交换机上
C、当从被测信息系统边界外接入时，测试工具一般接在系统边界设备上
D、从系统内部不同网段接入时，测试工具一般接在与被测对象不在同一网段的内部核心交换机上
正确答案：A
3843、根据GM/T0116《信息系统密码应用测评过程指南》，以下不属于测评方案主要内容的是（）。
A、测评对象
B、测评指标
C、测评检查点
D、风险评估结果
正确答案：D
3844、根据GM/T0116《信息系统密码应用测评过程指南》，以下不是现场测评活动工作的三项主要内容的是（）。
A、现场测评准备
B、现场测评和结果记录
C、测评内容签字确认
D、结果确认和资料归还
正确答案：C
3845、根据GM/T0116《信息系统密码应用测评过程指南》，现场测评活动不包含下列哪一项（）。
A、确认整体密码部署是否合规
B、实地检查密码配置是否正确
C、测评检查点的确定
D、授权接入系统后确认密码使用是否有效
正确答案：C
3846、根据GM/T0116《信息系统密码应用测评过程指南》，关于采集分析被测信息系统与外界通信的数据以及被测信息系统内部传输和存储的数据，以下说法不正确的是（）。
A、应分析使用的密码算法、密码协议、关键数据结构是否合规
B、应检查传输的口令、用户隐私数据等重要数据是否进行了保护
C、应验证杂凑值和签名值是否正确
D、通过加解密等方式进行对称加密算法的验证
正确答案：D
3847、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评过程中被测系统数据安全保护措施验证、数据采集方法说明，说法错误的是（）。
A、在条件允许的情况下，可以重放采集的关键数据（如身份鉴别数据）验证被测信息系统是否具备防重放攻击的能力
B、在条件允许的情况下，可以尝试修改传输的数据验证被测信息系统是否对传输数据进行了完整性保护
C、如果被测系统无法提供数据接入条件，可以不进行数据采集。
D、在条件允许的情况下，可以搭建与被测信息系统一致的模拟／仿真环境开展测评工作
正确答案：C
3848、根据GM/T0116《信息系统密码应用测评过程指南》，密评人员在对关键设备进行现场检查时，测评工具接入被测信息系统条件不成熟，测评方应（）。
A、自行模拟被测信息系统搭建测评环境获取测评数据
B、与被测单位协商、配合，生成必要的离线数据
C、告知被测单位风险后，接入被测系统获取真实数据
D、将该测评项做不适用处理
正确答案：B
3849、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于密评工作中结果确认和资料归还部分描述不正确的是（）。
A、密评人员在现场测评完成后，应首先汇总现场测评的测评记录，对遗漏和需要进一步验证的内容实施补充测评
B、召开测评现场结束会，对测评过程中得到各类测评结果记录进行现场沟通和确认
C、现场测评活动结束后，可以保留现场测评材料至评估报告编写完成
D、归还测评过程中借阅的所有文档资料，将测评现场环境恢复至测评前状态
正确答案：C
3850、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于现场测评活动的输出文档，描述正确的是（）。
A、现场测评准备阶段输出文档包括会议记录、更新确认后的密评方案、确认的测评授权书和风险告知书等
B、现场测评和结果记录阶段输出文档主要为各类测评结果记录
C、测评结果确认和资料归还阶段的输出文档为经过被测单位确认的各类测评结果记录
D、以上内容均正确
正确答案：D
3851、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪个不属于现场测评活动的输出文档（）。
A、更新确认的密评方案
B、各类测评结果记录
C、签署过的测评授权书
D、项目计划书
正确答案：D
3852、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于分析与报告编制活动的输入文档，不正确的是（）。
A、单元测评：经过被测单位确认的各类测评结果记录、GM/T0115
B、密评报告编制：经过评审和确认的密评报告
C、量化评估：密评报告的单元测评的结果汇总及整体测评部分
D、风险分析：完成的调查表格，密评报告的整体测评结果和量化评估部分，相关风险评估标准
正确答案：B
3853、根据GM/T0116《信息系统密码应用测评过程指南》，以下不属于分析与报告编制活动的主要任务的是（）。
A、单元测评
B、整体测评
C、风险分析
D、评估结论修正
正确答案：D
3854、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪项不属于分析与报告编制活动（）。
A、威胁分析
B、量化评估
C、整体测评
D、风险分析
正确答案：A
3855、根据GM/T0116《信息系统密码应用测评过程指南》，单元测评阶段需要密评人员针对各测评单元涉及的各个测评对象，将实际获得的多个测评结果与（）相比较，分别判断每个测评结果与预期结果之间的符合性，综合判定该测评对象的测评结果，从而得到每个测评对象对应的测评结果。
A、测评对象
B、实际配置
C、访谈内容
D、预期结果
正确答案：D
3856、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于量化评估的说法，不正确的是（）。
A、量化评估的输入是密评报告的单元测评的结果汇总及整体测评部分
B、根据单元测评结果，计算各测评指标的各个测评对象的测评结果符合程度得分，之后再进行整体测评
C、根据各个测评对象的符合程度得分，计算各测评单元得分
D、根据各测评单元、各层面和整体得分，总体评价被测信息系统已采取的有效保护措施和存在的密码应用安全问题情况。
正确答案：B
3857、根据GM/T0116《信息系统密码应用测评过程指南》，根据威胁类型和威胁发生频率，判断测评结果汇总中（）所产生的安全问题被威胁利用的可能性，可能性的取值范围为高、中和低。
A、部分符合项
B、不符合项
C、部分符合项或不符合项
D、符合项、部分符合项和不符合项
正确答案：C
3858、根据GM/T0116《信息系统密码应用测评过程指南》，风险分析的输入不包括（）。
A、被测系统威胁分析结果
B、被测系统的规模
C、被测系统存在的安全问题
D、已有安全措施情况
正确答案：B
3859、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于密评报告编制过程的说法，错误的是（）。
A、密评报告通过内部评审后，由授权签字人进行签发，提交被测单位。
B、根据被测单位要求，多个定级的信息系统可合并形成一份报告
C、针对被测信息系统存在的安全问题，提出相应改进建议，并编制密评报告安全文件及改进建议部分
D、密评报告编制完成后，测评方应根据委托测评协议书、被测单位提交的相关文档、测评原始记录和其他辅助信息，对密评报告进行内部评审
正确答案：B
3860、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于密评报告编制工作，描述错误的是（）。
A、密评人员整理各项任务输出，编制密评报告相应部分。对每一个定级的被测信息系统应单独形成一份密评报告。
B、针对被测信息系统存在的安全问题，提出相应改进建议，并编制密评报告改进建议部分。
C、密评报告编制完成后，测评方应根据委托测评协议书、被测单位提交的相关文档、测评原始记录和其他辅助信息，将密评报告提交委托单位进行评审。
D、密评报告通过内部评审或专家评审后，由授权签字人进行签发，提交被测单位。
正确答案：C
3861、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于分析与报告编制活动的输出文档及其内容描述错误的是（）。
A、单元测评文档内容：汇总统计各测评指标的各个测评对象的测评结果，给出单元测评结果
B、量化评估文档内容：综合单元测评和整体测评结果，计算得分，并对被测信息系统的密码应用情况安全性进行总体评价
C、风险分析文档内容：分析被测信息系统整体安全状况及对各测评对象测评结果的修正情况
D、密评报告编制文档内容：测评项目概述、被测系统情况、测评范围与方法、整体测评、量化评估、评估结论、安全问题及改进建议等
正确答案：C
3862、根据《关于规范商用密码应用安全性评估结果备案工作的通知》（国密局字〔2021〕392号），运营者在完成商用密码应用安全性评估工作后，应在（）日内将评估结果报密码管理部门备案。
A、10
B、15
C、20
D、30
正确答案：D
3863、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪项任务是方案编制活动中的主要任务（）。
A、测评人员确定
B、测评对象确定
C、测评指标确定
D、测评检查点确定
正确答案：D
3864、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评方对信息系统开展密码应用安全性评估时，应遵循的原则，正确的是（）。
A、可重复性和可再现性原则
B、可重用性原则
C、客观公正性原则
D、结果完善性原则
正确答案：D
3865、根据GM/T0116《信息系统密码应用测评过程指南》，在对信息系统开展密码应用安全性评估时，以下属于测评实施过程中客观公正性原则的是（）。
A、测评方应保证在符合国家密码管理部门要求及最佳主观判断情形
B、测评方案需要测评方与被测单位共同认可
C、测评过程需要基于明确定义的测评方式和解释
D、方案合理，测评方即可开展现场测评活动
正确答案：C
3866、根据GM/T0116《信息系统密码应用测评过程指南》，测评方对信息系统开展密码应用安全性评估时，应遵循的原则，正确的是（）。
A、测评方应保证在符合国家密码管理部门要求及最小主观判断情形
B、测评工作可重用商用密码检测认证结果
C、测评工作可重用密码应用安全性评估的测评结果
D、测评所产生的结果应客观反映信息系统的密码应用现状
正确答案：D
3867、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于可重复性和可再现性原则正确的是（）。
A、按照同样的要求，不同的密评人员对每个测评实施过程的重复执行应得到同样的结果
B、在同样的环境下，不同的密评人员对每个测评实施过程的重复执行应得到同样的结果
C、可再现性关注不同密评人员测评结果的一致性
D、可重复性关注同一密评人员测评结果的一致性
正确答案：D
3868、根据GM/T0116《信息系统密码应用测评过程指南》，测评方对信息系统开展密码应用安全性评估时，应遵循的原则，错误的是（）。
A、测评工作可重用密码应用安全性评估的测评结果
B、测评方应保证在符合国家密码管理部门要求及最佳主观判断情形
C、方案合理，测评方即可开展现场测评活动
D、测评所产生的结果应客观反映信息系统的密码应用现状
正确答案：C
3869、根据GM/T0116《信息系统密码应用测评过程指南》，在被测系统测评过程中，测评工作面临的风险主要包括（）。
A、人员访谈可能影响系统正常运维工作
B、验证测试可能影响被测信息系统正常运行
C、工具测试可能影响被测信息系统正常运行
D、可能导致被测信息系统敏感信息泄露
正确答案：D
3870、根据GM/T0116《信息系统密码应用测评过程指南》，以下测评风险规避措施不正确的是（）。
A、双方签署委托测评协议书明确测评的目标、范围、计划等
B、双方签署保密协议
C、在业务高峰期进行压力测试以充分验证系统安全措施的有效性
D、需进行上机验证测试时，由密评人员自行进行实际操作
正确答案：D
3871、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评过程包括四项基本测评活动，描述正确的是（）。
A、测评准备活动包括项目启动、信息收集和分析等
B、方案编制活动包括测评检查点确定、测评内容确定等
C、现场测评活动包括现场测评和结果记录、结果确认和资料归还等
D、分析与报告编制活动包括单元测评、整体测评、风险分析等
正确答案：D
3872、根据GM/T0116《信息系统密码应用测评过程指南》，在测评准备阶段进行是信息收集和分析的过程中，测评方可以使用（）等方式，了解被测信息系统的构成和密码应用情况，为编写密评方案和开展现场测评工作奠定基础。
A、填写调查表格
B、查阅资料
C、现场调查
D、预测试
正确答案：C
3873、根据GM/T0116《信息系统密码应用测评过程指南》，在测评准备阶段进行是信息收集和分析的过程中，测评方收集测评所需资料包括（）。
A、被测信息系统总体描述文件、密码应用总体描述文件
B、网络安全等级保护定级报告、网络安全等级保护测评报告
C、安全总体方案、安全详细设计方案、密码应用方案
D、密码产品的用户操作指南、密码应用安全规章制度
正确答案：D
3874、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪些材料为测评方需要收集的（）。
A、被测信息系统总体描述文件
B、被测信息系统密码应用总体描述文件
C、被测系统密码应用方案
D、等级保护定级报告及等级测评报告
正确答案：D
3875、根据GM/T0116《信息系统密码应用测评过程指南》，在测评准备阶段工具和表单准备活动中，需要项目组提前准备并打印的表单包括（）。
A、合同文件
B、现场测评授权书
C、风险告知书、文档交接单
D、会议记录表单、会议签到表单等。
正确答案：D
3876、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评准备活动的输出文档及其内容，说法正确的是（）。
A、在项目启动任务中，输入文档包括委托测评协议书、保密协议等，输出文档为项目计划书
B、在信息收集和分析任务中，输入文档为调查表格，输出文档为调查表格、被测信息系统相关的技术资料
C、在工具和表单准备任务中输出文档为选用的测评工具清单，打印的各类表单。
D、调查表格、被测信息系统相关的技术资料内容应涵盖被测信息系统的网络安全保护等级、业务情况、软硬件情况、密码应用情况、密码管理情况等
正确答案：D
3877、根据GM/T0116《信息系统密码应用测评过程指南》，在密评工作方案编制活动中，测评对象确定阶段的主要任务包括（）。
A、识别被测信息系统的基本情况
B、描述被测信息系统
C、确定测评对象、描述测评对象
D、资产和威胁评估
正确答案：D
3878、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评方案编制活动中，测评对象确定阶段的任务描述，正确的是（）。
A、描述被测信息系统时，一般以被测信息系统的网络拓扑结构为基础，采用总分式的描述方法
B、被测单位需要确定被测信息系统需要保护的核心资产，以及相应的威胁模型和安全策略
C、资产的价值根据资产的重要性和关键程度确定
D、核心资产及其他需要保护的配套数据、敏感安全参数的威胁模型和安全策略等均由被测单位根据密码应用方案、网络安全等级保护定级报告等确定，并由测评方进行核查和确认
正确答案：D
3879、根据GM/T0116《信息系统密码应用测评过程指南》，测评指标确认的依据包括（）。
A、被测信息系统的定级结果
B、信息系统密码应用测评要求
C、相关行业标准及规范
D、密码应用方案
正确答案：D
3880、根据GM/T0116《信息系统密码应用测评过程指南》，测评检查点确定的主要内容有（）。
A、列出需要接受现场检查的关键设备和检查内容
B、确定测试路径和工具接入点，采用图示的方式描述测评工具的接入点、测试目的、测试途径和测试对象等相关内容
C、确定选用的测评工具，并进行校准
D、不适用测评指标分析
正确答案：B
3881、根据GM/T0116《信息系统密码应用测评过程指南》，实施密码应用管理要求评估时，以下哪些选项属于可能的测评对象（）。
A、安全管理制度
B、加密机操作操作规程
C、系统密码应用方案
D、安全事件记录
正确答案：D
3882、根据GM/T0116《信息系统密码应用测评过程指南》，密评方案应包括以下内容（）。
A、项目概述
B、测评对象、测评指标
C、测评检查点
D、单元测评实施
正确答案：D
3883、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于密评方案编制过程中任务描述正确的是（）。
A、根据委托测评协议书和完成的调查表格，提取项目来源、被测单位整体信息化建设情况及被测信息系统与其他系统之间的连接情况等。
B、结合被测信息系统的实际情况，根据通过评估的密码应用方案及GM/T0115，明确测评活动所要依据和参考的与密码算法、密码技术、密码产品和密码服务相关的标准规范。
C、依据委托测评协议书和被测信息系统的情况，估算现场测评工作量。
D、根据测评项目组成员分工，编制工作安排。
正确答案：D
3884、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪项属于现场测评活动的内容（）。
A、召开首次会
B、与委托方确认测评记录
C、形成单元测评结果
D、传输数据采集分析==
正确答案：B
3885、根据GM/T0116《信息系统密码应用测评过程指南》，密码应用安全性评估活动过程中，（）属于现场测评阶段的活动。
A、现场测评和结果记录
B、现场测评准备
C、结果确认和资料归还
D、单项测评结果判定
正确答案：C
3886、根据GM/T0116《信息系统密码应用测评过程指南》，采集分析被测信息系统与外界通信的数据以及被测信息系统内部传输和存储的数据时，需从以下方面进行（）。
A、分析使用的密码算法、密码协议、关键数据结构是否合规
B、检查传输的口令、用户隐私数据等重要数据是否进行了保护
C、验证杂凑值和签名值是否正确
D、条件允许的情况下可模拟进行重放攻击
正确答案：D
3887、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于针对已经取得商用密码产品认证证书的密码产品的测评工作，说法正确的是（）。
A、需要针对密码产品依据产品或检测标准指标进行逐条判定并记录测评结果
B、无需其本身进行重复检测，主要进行符合性核验和配置检查
C、可以联系密码产品审批部门或相应的检测认证机构进行确认
D、无需针对设备进行检测，所有测评内容均可判定为符合
正确答案：C
3888、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评过程中数据采集和分析工作，说法正确的是（）。
A、需要检查传输的口令、用户隐私数据等重要数据是否进行了保护（如对密文进行随机性检测、查看关键字段是否以明文出现），验证杂凑值和签名值是否正确
B、需要重点采集被测信息系统与外界通信的数据以及被测信息系统内部传输和存储的数据，分析使用的密码算法、密码协议、关键数据结构（如数字证书格式）是否合规
C、在条件允许的情况下，可以重放采集的关键数据（如身份鉴别数据）验证被测信息系统是否具备防重放攻击的能力
D、在条件允许的情况下，可以尝试修改存储的数据验证被测信息系统是否对存储数据进行了完整性保护
正确答案：D
3889、根据GM/T0116《信息系统密码应用测评过程指南》，为了验证密码产品是否被正确、有效地使用，可采集密码产品和其调用者之间的通信数据，通过采集的（），分析密码产品的调用是否符合预期。
A、密码产品的配置文件
B、密码产品调用指令
C、密码产品响应报文
D、密码产品的日志记录
正确答案：C
3890、根据GM/T0116《信息系统密码应用测评过程指南》，以下哪些属于现场测评活动的输出文档（）。
A、更新确认的密评方案
B、各类测评结果记录
C、签署过的测评授权书
D、风险告知书
正确答案：D
3891、根据GM/T0116《信息系统密码应用测评过程指南》，单元测评主要是针对各测评指标中的各个测评对象，客观、准确地分析测评证据，对每个测评对象分别进行（）。
A、记录修改
B、测评实施
C、结果判定
D、综合分析
正确答案：C
3892、根据GM/T0116《信息系统密码应用测评过程指南》，以下关于测评单元结果判定正确的是（）。
A、测评单元包含的所有测评对象的测评结果均为符合或部分符合，则对应测评单元结果判定为符合。
B、测评单元包含的所有测评对象的测评结果均为不符合，则对应测评单元结果判定为不符合。
C、测评单元包含的所有测评对象的测评结果均为不适用，则对应测评单元结果判定为不适用。
D、测评单元包含的所有测评对象的测评结果不全为符合或不符合，则对应测评单元结果判定为部分符合。
正确答案：D
3893、根据GM/T0116《信息系统密码应用测评过程指南》，每个测评对象对应的测评结果可能是（）。
A、符合
B、不符合
C、部分符合
D、不适用
正确答案：D
3894、根据GM/T0116《信息系统密码应用测评过程指南》，整体测评任务针对测评结果为（）的测评对象，采取逐条判定的方法，给出整体测评的具体结果。
A、符合
B、部分符合
C、不符合
D、不适用
正确答案：C
3895、根据GM/T0116《信息系统密码应用测评过程指南》，整体测评过程中，针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的（）的测评对象能否和它发生关联关系，发生何种关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。
A、其他测评对象
B、其他测评项
C、其他单元
D、其他层面
正确答案：D
3896、根据GM/T0116《信息系统密码应用测评过程指南》，根据（），判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用的可能性，可能性的取值范围为高、中和低。
A、威胁发生频率
B、威胁类型
C、自身水平
D、量化评估结果
正确答案：B
3897、根据GM/T0116《信息系统密码应用测评过程指南》，风险分析在（）信息的基础上进行。
A、被测系统威胁分析结果
B、被测系统资产分析结果
C、被测系统存在的安全问题
D、已有安全措施情况
正确答案：D
3898、根据GM/T0116《信息系统密码应用测评过程指南》，测评方根据（）等相关标准要求，对被测信息系统面临的密码应用安全风险进行赋值，风险值的取值范围为高、中和低。
A、单元测评结果
B、自身经验
C、《信息系统密码应用高风险判定指引》
D、整体测评结果
正确答案：C
3899、根据GM/T0116《信息系统密码应用测评过程指南》，关于资产和威胁评估，说法正确的是（）。
A、资产价值的认定，是依据资产价格来决定
B、资产价值越高表明资产遭到威胁时将导致越高的风险
C、威胁发生频率越高表明资产的安全越有可能受到威胁
D、资产价值高低的界定可由测评委托单位根据密码应用方案、等级保护定级报告等继承和确定，并由测评结构进行审查和确认
正确答案：C
3900、根据GM/T0116《信息系统密码应用测评过程指南》，密码应用安全性评估过程中在分析与报告编制阶段，通过（）环节，找出整个系统密码安全保护现状和相应等级保护要求之间的差距。
A、单项测评结果判定
B、单元测评结果判定
C、整体测评
D、风险分析
正确答案：D