2025《网络安全建设与网络社会治理》考试题库(含参考答案)

2025《网络安全建设与网络社会治理》考试题库(含参考答案)一、单项选择题（每题1分，共30分。每题只有一个正确答案，请将正确选项的字母填在括号内）1.我国《网络安全法》正式施行的日期是（）A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2019年5月1日答案：B2.根据《数据安全法》，对重要数据实行分类分级保护的责任主体是（）A.国家网信部门B.数据处理者C.公安机关D.行业主管部门答案：B3.在等级保护2.0框架中，第三级系统的安全保护能力要求达到（）A.自主保护B.指导保护C.监督保护D.强制保护答案：C4.下列哪项不属于《个人信息保护法》规定的敏感个人信息（）A.生物识别信息B.14周岁以下未成年人信息C.购物记录D.健康医疗信息答案：C5.网络运营者发生网络安全事件后，向主管部门报告的时限为（）A.1小时B.2小时C.24小时D.48小时答案：B6.在SSL/TLS协议中，负责协商加密算法的子协议是（）A.HandshakeProtocolB.RecordProtocolC.AlertProtocolD.ChangeCipherSpecProtocol答案：A7.根据《关键信息基础设施安全保护条例》，下列哪类系统不被直接认定为关键信息基础设施（）A.省级政务云平台B.大型商业银行核心系统C.三甲医院HIS系统D.日活百万的社交App答案：D8.网络社会治理“多方共治”原则中，政府角色最准确的定位是（）A.主导者B.监督者C.服务者D.裁判者答案：A9.在零信任架构中，实现动态访问控制的核心组件是（）A.SIEMB.SDPC.PKID.IDS答案：B10.我国对跨境数据流动实施安全评估的触发阈值是（）A.10万人个人信息或1万人敏感个人信息B.50万人个人信息或5万人敏感个人信息C.100万人个人信息或10万人敏感个人信息D.无数量门槛，一律评估答案：C11.根据《网络产品安全漏洞管理规定》，漏洞修补时限最长不得超过（）A.15天B.30天C.90天D.180天答案：C12.在区块链共识机制中，PoW的主要安全假设依赖于（）A.椭圆曲线离散对数难题B.哈希算力诚实majorityC.拜占庭容错D.时间戳不可逆答案：B13.下列哪项不是《互联网信息服务算法推荐管理规定》明确禁止的算法行为（）A.诱导未成年人沉迷B.大数据杀熟C.操纵热搜D.个性化广告答案：D14.根据《网络安全审查办法》，掌握超过多少用户个人信息的平台运营者赴国外上市必须申报审查（）A.50万B.100万C.500万D.1000万答案：B15.在Windows系统中，能够强制启用内核级签名的命令是（）A.bcdedit/settestsigningonB.bcdedit/setnointegritychecksonC.bcdedit/setintegrityservicesenableD.bcdedit/setnointegritychecksoff答案：D16.根据《电子签名法》，可靠的电子签名需要满足的条件不包括（）A.签名制作数据专有B.签名制作数据由第三方托管C.签名后改动可被发现D.签名制作数据仅由签名人控制答案：B17.在IPv6中，用于实现无状态地址自动分配的协议是（）A.DHCPv6B.SLAACC.NDD.RSVP答案：B18.根据《个人信息保护法》，个人信息处理者应当定期进行合规审计的周期为（）A.每半年B.每年C.每两年D.无强制周期答案：B19.在Web安全中，能够阻止点击劫持的响应头是（）A.XContentTypeOptionsB.XFrameOptionsC.StrictTransportSecurityD.ContentSecurityPolicy答案：B20.根据《反电信网络诈骗法》，银行对可疑交易账户采取的“延迟到账”最长可延至（）A.12小时B.24小时C.48小时D.72小时答案：B21.在等级保护测评中，对第三级系统进行测评的最低测评周期为（）A.半年B.一年C.两年D.三年答案：B22.下列哪项不属于《网络暴力信息治理规定》明确的平台义务（）A.先审后发B.一键防护C.实名举报D.算法降权答案：C23.在DNSSEC中，用于验证资源记录真实性的记录类型是（）A.AAAAB.RRSIGC.NSECD.DS答案：B24.根据《密码法》，我国对商用密码实行（）A.强制许可B.备案管理C.分类检测认证D.全面禁止进口答案：C25.在云计算服务安全评估中，通过“增强级”评估的政务云可承载（）A.一般政务数据B.重要政务数据C.核心政务数据D.绝密级数据答案：B26.根据《互联网用户账号信息管理规定》，互联网用户账号信息保存期限不得少于（）A.6个月B.1年C.2年D.3年答案：C27.在Android系统中，用于实现应用沙箱隔离的核心机制是（）A.UID隔离B.SELinuxC.KnoxD.Intent防火墙答案：A28.根据《网络数据安全管理条例（征求意见稿）》，数据处理者共享重要数据前需履行的义务是（）A.告知并取得同意B.开展风险评估并报告主管部门C.签订标准合同D.缴纳保证金答案：B29.在密码学中，SM2算法基于的数学难题是（）A.大整数分解B.椭圆曲线离散对数C.格困难问题D.哈希碰撞答案：B30.根据《网络社会治理“十四五”规划》，到2025年，我国IPv6活跃用户数目标为（）A.5亿B.7亿C.8亿D.10亿答案：C二、多项选择题（每题2分，共20分。每题有两个或两个以上正确答案，多选、少选、错选均不得分）31.下列哪些属于《个人信息保护法》规定的个人信息处理合法性基础（）A.取得个人同意B.履行合同必需C.法定职责D.合法新闻报道E.保护重大公共利益答案：ABCE32.零信任参考架构的核心组件包括（）A.策略引擎B.策略管理器C.策略执行点D.数据湖E.身份管理系统答案：ABCE33.根据《网络安全审查办法》，审查重点评估的风险因素包括（）A.关键信息基础设施被控制风险B.供应链中断风险C.数据被恶意利用风险D.网络服务可靠性风险E.上市融资估值风险答案：ABCD34.在Web应用防护中，可有效防御SQL注入的技术包括（）A.参数化查询B.Web应用防火墙C.输出编码D.最小权限数据库账户E.内容安全策略答案：ABD35.根据《数据出境安全评估办法》，评估材料应包括（）A.数据出境场景说明B.数据接收方安全能力证明C.数据分类分级清单D.境外执法机构调取风险分析E.境外接收方上市招股书答案：ABCD36.网络社会治理中，平台经济“守门人”义务包括（）A.算法透明披露B.事前风险评估C.超大平台定期审计D.数据互操作E.无条件开放API答案：ABC37.在密码学中，下列哪些算法属于对称加密（）A.SM1B.SM4C.AESD.SM9E.ChaCha20答案：ABCE38.根据《关键信息基础设施安全保护条例》，运营者应履行的义务包括（）A.设立安全管理机构B.开展渗透测试每年至少一次C.采购通过安全审查的网络产品D.灾备演练每年至少一次E.向公安机关备案答案：ABCD39.在移动互联网应用程序（App）收集使用个人信息方面，工信部要求的“最小必要”原则体现为（）A.功能可以关闭B.频率最小化C.精度范围最小化D.后台静默收集E.用户拒绝后不得退出答案：ABC40.网络暴力信息治理的“一键防护”功能应满足（）A.批量屏蔽陌生人评论B.禁止转发本人内容C.禁止私信D.隐藏个人主页E.自动报警答案：ABCD三、填空题（每空1分，共20分）41.我国《网络安全法》明确，网络运营者应当采取技术措施和其他必要措施，确保网络安全，防止网络数据________、________、________。答案：泄露、毁损、丢失42.等级保护2.0将安全控制点分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、________、________、________、安全管理制度等八类。答案：安全管理中心、安全建设管理、安全运维管理43.根据《个人信息保护法》，个人信息处理者利用个人信息进行自动化决策，应当保证决策的________和________，不得对个人在交易条件上实行不合理的差别待遇。答案：透明度、公平性44.在零信任架构中，持续信任评估依赖________、________、________三类数据源。答案：身份、环境、行为45.我国对商用密码实行________与________相结合的管理制度。答案：检测认证、分类管理46.根据《数据安全法》，国家建立数据________制度，对影响或者可能影响国家安全的数据处理活动进行审查。答案：安全审查47.在IPv6地址中，前缀长度________位用于子网划分，接口标识符固定为________位。答案：64，6448.网络社会治理的“三元共治”主体包括政府、________、________。答案：企业、社会组织与公众49.根据《反电信网络诈骗法》，对涉诈电话、短信、网址，电信业务经营者、互联网服务提供者应当采取________、________、________等措施。答案：关停、封堵、限制50.在区块链中，默克尔树用于保证数据的________与________。答案：完整性、不可篡改四、简答题（每题10分，共30分）51.简述《个人信息保护法》中“告知—同意”规则的例外情形及适用条件。答案：（1）履行法定职责或法定义务所必需；（2）应对突发公共卫生事件或紧急情况下保护自然人生命健康；（3）为公共利益实施新闻报道、舆论监督且在合理范围内；（4）处理个人自行公开或已合法公开信息且在合理范围内；（5）法律、行政法规规定的其他情形。适用条件：必须严格限定在必要性、比例性、最小范围原则内，并留存充分记录以备监管核查。52.说明等级保护2.0“一个中心、三重防护”的核心内涵及其在第三级系统中的落地要点。答案：“一个中心”指安全管理中心，集中实现身份鉴别、策略管理、审计与集中管控；“三重防护”指安全通信网络、安全区域边界、安全计算环境。落地要点：（1）建设统一运维审计堡垒机，实现运维单点登录与命令级审计；（2）网络边界部署下一代防火墙、IDS/IPS、APT检测，实现南北向与东西向流量检测；（3）服务器与终端安装EDR，强制启用主机白名单与应用管控；（4）建立日志留存六个月以上的集中日志平台，满足审计与溯源要求；（5）每年至少一次渗透测试与应急演练，形成闭环改进报告。53.概述我国跨境数据流动监管的三条路径及其适用场景。答案：（1）数据出境安全评估：适用于关键信息基础设施运营者、处理100万人以上个人信息或10万人以上敏感个人信息的数据处理者；（2）个人信息保护认证：适用于中小企业跨境传输个人信息，通过国家认监委指定机构进行认证；（3）标准合同：适用于非关键信息基础设施运营者且数据量低于评估门槛的情形，采用国家网信部门发布的标准合同范本，并向省级网信部门备案。三条路径互斥，企业需根据数据类型、规模、接收方所在国家风险等级选择唯一路径。五、综合应用题（共50分）54.（本题20分）阅读案例并回答问题：某大型电商平台A计划2025年赴美上市，平台注册用户数2.8亿，日均订单量3000万单，存储用户订单、支付、物流、客服聊天记录等数据。平台采用混合云架构：前端与业务层部署在阿里云公共云，核心支付与风控数据库部署在本地数据中心，两地通过专线互通。平台拟将用户行为日志（含用户ID、商品ID、点击流、推荐结果）传输至美国总部用于算法训练，同时在美国部署灾备系统，每日同步全量订单数据。问题：（1）平台A是否触发我国跨境数据流动监管？若触发，应适用哪条路径？（5分）（2）若采用数据出境安全评估，需完成哪些关键步骤并给出时间表（以2025年3月1日提交评估申请为基准）。（10分）（3）针对美国上市场景，平台A应如何设计数据合规治理体系以满足中美两地监管？（5分）答案：（1）触发。平台掌握超过100万人个人信息，且向境外提供用户行为日志与订单数据，应适用数据出境安全评估路径。（2）关键步骤与时间表：①数据分类分级与风险自评（3月1日—3月31日）；②委托第三方机构完成数据出境风险评估报告（4月1日—4月30日）；③省级网信部门预审并出具意见（5月1日—5月15日）；④国家网信部门正式受理并组织专家评议（5月16日—6月30日）；⑤获得评估结果并整改复核（7月1日—7月31日）；⑥向SEC提交F1表时同步披露评估结论（8月1日后）。（3）合规治理体系：①建立跨境数据合规委员会，由CPO、CFO、法务、安全、内审负责人组成；②采用双重上市架构，在开曼设立离岸主体，通过协议控制将境内运营公司数据隔离；③对赴美传输数据实施“最小可用”脱敏，移除可直接识别个人身份字段；④建立美国数据接收方SOC2TypeII与ISO27701认证，接受我方年度审计；⑤在招股书中披露数据合规风险及缓解措施，满足SEC对VIE架构数据披露要求。55.（本题15分）计算与分析：某市政府第三级政务云系统计划上线“健康码”服务，预计峰值并发5000QPS，平均报文大小2KB，要求加密传输。若采用TLS1.3协议，AES256GCM算法，握手过程消耗1.5RTT，握手后每条连接平均持续10秒，复用率60%。已知政务云出口带宽为10Gbps，RTT平均30ms。问题：（1）计算峰值并发下所需TLS握手带宽（仅考虑握手报文）。（5分）（2）评估现有出口带宽是否满足峰值需求，并给出优化建议。（10分）答案：（1）峰值新建连接数=5000×(1−0.6)=2000conn/s；每次握手报文约6KB（ClientHello+ServerHello+Certificate+Finished）；握手带宽=2000×6×8=96Mbps。（2）数据带宽=5000×2×8=80Mbps；总带宽=96+80=176Mbps＜10Gbps，满足需求。优化建议：①启用TLS会话复用ticket，提高复用率至80%，降低握手负载；②启用0RTT，减少首包延迟；③部署国密SM2/SM4套件，满足合规且降低CPU消耗20%；④在CDN边缘节点卸载TLS，将握手流量下沉至边缘，减少中心云压力。56.（本题15分）方案设计：某高校拟建设“校园零信任访问控制系统”，用户包括教职工1万人、学生4万人，终端类型涵盖Windows、macOS、iOS、Android、Linux。业务系统含教务、科研、财务、一卡通、图书馆、视频监控等，其中视频监控仅允许安保部门访问。校