软考中级信息安全工程师考试大纲与真题汇编

#学习资料 ·2026-03-12 14:14:44

目  录

第一部分：考试概述

  1.1 考试定位与能力要求

  1.2 考试科目与题型分析

第二部分：考试大纲核心内容详解

  2.1 信息安全法规与标准

  2.2 信息安全管理与风险评估

  2.3 安全体系建设与等级保护

  2.4 网络与主机安全

  2.5 应用与软件安全

  2.6 数据安全与隐私保护

  2.7 密码学基础与应用

  2.8 安全运维与应急响应

  2.9 安全评测与渗透测试

  2.10 安全态势感知与运营

第三部分：2023-2025年真题汇编

  3.1 2025年真题及解析

  3.2 2024年真题及解析

  3.3 2023年真题及解析

第四部分：高频考点专项突破

  4.1 密码学考点

  4.2 网络安全技术考点

  4.3 安全管理与法规考点

第五部分：备考策略与技巧

  5.1 分阶段备考计划

  5.2 各题型答题技巧

  5.3 考试注意事项

==============================================

第一部分：考试概述

1.1 考试定位与能力要求

信息安全工程师考试旨在评估考生在信息安全领域的综合能力，涵盖法规、治理、技术、实施和运维等多个维度。通过考试的考生应具备在组织中开展安全规划、风险识别与控制、技术实现与评估、事件处置与持续改进的基本能力，并能在实际工作场景中应用所学知识，解决常见安全问题、支撑信息系统的安全可用性、完整性与保密性。

考试强调知识点的理解、案例分析的应用，以及在复杂场景中的综合判断与决策能力。考生应具备一定的技术背景，能够结合业务需求进行安全设计与落地实施，同时理解并遵守相关法律法规与行业标准。

1.2 考试科目与题型分析

信息安全工程师考试分为两个科目，需同时通过(每科≥45分)，单科成绩不保留。两科连续进行，总时长240分钟。基础知识部分最短90分钟、最长120分钟，提前交卷节省的时间可累计至应用技术科目使用。

1.2.1 基础知识(综合知识)

题型：75道单选题（每题1分，45分及格）

考试时长：150分钟

内容分布：

1.2.2 应用技术(案例分析)

题型：3道主观题（每题25分，45分及格）

考试时长：90分钟

高频题型：

1. 攻防分析题：根据日志分析（如SQL注入、XSS）并提出防御措施

2. 安全方案设计：设计企业级安全体系（含网络隔离、访问控制）

3. 密码学应用题：配置IPSec VPN或数字证书颁发流程

第二部分：考试大纲核心内容详解

2.1 信息安全法规与标准

掌握网络安全相关法律框架、数据保护法规及行业规范，理解其对企业治理、技术实现和运营管理的约束与要求。

了解关键标准与框架，如信息安全管理体系、风险管理、数据保护、密钥管理、身份与访问管理等方面的通用要求，以及等保2.0/3.0的基本原则与分级要求。

能够结合企业实际制定安全方针、制度与合规整改方案，完成合规评估与改进路径设计。

2.2 信息安全管理与风险评估

认识信息安全治理的基本架构，了解角色分工、职责界定、安全文化建设与培训机制。

掌握资产识别、威胁建模、脆弱性分析、风险评估方法与分级原则，能形成风险矩阵并提出可执行的控制措施。

能基于业务目标和技术现状制定安全目标与改进路线，推动持续改进与安全投资的性价比分析。

2.3 安全体系建设与等级保护

理解安全体系的目标、控制阶梯与持续改进循环，能设计覆盖制度、技术、人员、流程的综合控制框架。

熟悉等级保护的分级原则与安全要求，能够在系统建设和运行中落实分级保护措施、制定检测与评估机制。

能将治理、风险、合规与技术控制有机结合，形成可落地的安全架构蓝图和运行机制。

2.4 网络与主机安全

熟悉分层网络与边界防护的原则，掌握访问控制、身份认证、密钥管理及传输安全的基本实现方式。

能进行主机加固、补丁管理、漏洞管理与配置管理，建立基线以降低暴露面。

具备日志收集、告警触发、事件关联分析的能力，能够在网络与主机层面实现快速检测与响应。

2.5 应用与软件安全

理解安全开发生命周期（SDLC）的核心环节，能够在需求、设计、实现、测试、上线、运维各阶段嵌入安全控制。

掌握常见的应用安全漏洞类型、漏洞管理与修复流程，具备代码审计、依赖项管理与安全测试的基本能力。

能进行威胁建模、输入输出验证、数据保护与接口安全设计，关注第三方组件与供应链安全。

2.6 数据安全与隐私保护

掌握数据分类分级、数据生命周期管理、数据脱敏、备份与恢复、密钥及访问控制的基本方法。

能设计数据保护策略，涵盖静态、传输与使用过程中的数据安全加固，兼顾业务可用性与隐私保护。

了解个人信息保护的原则与合规要点，能在产品与流程中落地数据最小化与隐私保护设计。

2.7 密码学基础与应用

熟悉对称与非对称加密、哈希函数、数字签名、密钥派生与管理的基本原理及应用场景。

能设计与评估传输层与应用层的加密方案，理解密钥生命周期管理、证书体系与信任链的要点。

具备在系统架构中应用密码学解决方案的能力，确保关键数据在存储和传输过程中的机密性与完整性。

2.8 安全运维与应急响应

掌握变更与配置管理、日志审计、告警策略与事件分类的方法论。

能制定并演练应急响应与业务连续性计划，具备取证、追踪与复盘的基本能力。

能够在日常运维中嵌入安全控制，保障持续可用性与安全事件的快速处置。

2.9 安全评测与渗透测试

理解安全评测的目标、范围与方法，能够设计测试计划、执行漏洞挖掘、评估风险并验证修复效果。

具备识别与复现实验环境中的漏洞、评估影响与给出改进建议的能力。

注重合规性与安全性平衡，在测试中遵循伦理与法律边界。

2.10 安全态势感知与运营

能建立基于日志、告警、情报的态势感知能力，进行异常行为分析与趋势预测。

掌握核心指标与KPI的设定，定期评估防护能力与改进效果。

能在团队协作中将安全运营融入日常工作，提升跨部门协同与事件处置效率。

第三部分：2023-2025年真题汇编

3.1 2025年真题及解析

单选题(共30题)

1. 关于密码学中的哈希函数，以下哪个说法是正确的？( )  

   A. 哈希函数可以保证信息的机密性

   B. 哈希函数可以保证信息的完整性

   C. 哈希函数可以保证信息的可用性

   D. 哈希函数可以保证信息的真实性

   答案：B

   解析：哈希函数主要用于保证信息的完整性，通过将输入数据转换成固定长度的输出，即使输入数据微小变化，输出的哈希值也会发生较大变化。

2. 以下哪种加密算法属于对称加密算法？( )

   A. RSA

   B. DES

   C. AES

   D. ECC  

   答案：B

   解析：