2026年安全信息考试试题及答案

2026年安全信息考试试题及答案一、单项选择题（共15题，每题2分，共30分。每题只有1个正确答案）1.依据2025年正式实施的《生成式人工智能服务安全基本要求》，提供面向公众的生成式人工智能服务的主体，应对生成的对外公开发布的音视频内容添加不可擦除的溯源标识，标识嵌入的时延要求不得高于：A.100msB.200msC.500msD.1s2.量子密钥分发（QKD）是当前量子安全通信领域的核心应用，下列不属于QKD应用过程中需要重点防控的安全风险的是：A.侧信道攻击B.量子中继节点被劫持C.经典信道信息被窃听D.测量基选择偏差被利用3.依据《车联网数据安全分类分级规则（2025修订版）》，下列属于车联网核心数据的是：A.车辆静态配置参数B.车主联系方式C.高精度地图原始采集数据D.车辆单次行驶轨迹数据4.2025年修订的《数据出境安全评估办法》明确，关键信息基础设施运营者在境外上市过程中，涉及出境的个人信息数量达到（）时应当向省级网信部门申报数据出境安全评估：A.10万人B.50万人C.100万人D.不受阈值限制，一律申报5.针对深度合成服务的合规管理，下列不属于《深度合成服务安全管理规定（2025修订）》要求的“不得生成”的内容范畴的是：A.冒用国家机关工作人员形象制作的政策解读视频B.未经授权使用普通公民肖像制作的娱乐搞笑表情包C.篡改历史事件真实场景的科普类短视频D.模拟特定人群声线制作的有声书（已获得声音权利人授权）6.零信任架构在政务信息系统的落地规范中，要求对核心业务系统的访问主体进行持续身份验证，验证频次最低为：A.每1次操作触发1次验证B.每5分钟触发1次验证C.每30分钟触发1次验证D.每1小时触发1次验证7.2026年新纳入《个人信息保护法》敏感个人信息范畴的是：A.指纹信息B.医疗健康信息C.脑机接口采集的脑电特征数据D.行踪轨迹信息8.工业控制系统运营者发现所运营的系统存在被披露的CVSS评分9.0以上的高危漏洞时，应当在（）内向属地工信、网信部门上报漏洞处置情况：A.12小时B.24小时C.48小时D.72小时9.依据《关键信息基础设施数据驻留管理办法》，能源领域关键信息基础设施运营者产生的核心数据，确需出境的应当经过（）审批：A.省级网信部门B.省级能源主管部门C.国家网信部门D.国家能源主管部门10.2025年更新的《网络安全事件分级标准》中，特别重大网络安全事件的判定阈值为：受影响用户数量超过（）人，或造成直接经济损失超过（）元：A.5000万、1亿B.1亿、5亿C.1亿、10亿D.2亿、10亿11.网信部门开展暗网交易常态化监测工作时，下列行为符合合规边界的是：A.直接侵入暗网交易平台窃取未公开的交易数据B.对暗网公开可访问的交易信息进行被动爬取留存C.伪装成交易方诱导违法人员进行交易固定证据D.对暗网用户的通信内容进行无差别解密留存12.依据《生成式人工智能训练数据知识产权保护指引》，下列可作为生成式AI训练数据的是：A.未获得授权的付费文学作品电子版B.公开可访问且未设置爬取限制的用户公开评价内容，且已履行个人信息去标识化处理义务C.爬取的其他企业未公开的内部运营数据D.未经肖像权人同意的公开场合拍摄的人像照片13.针对物联网终端弱口令专项整治工作要求，2026年之后上市的消费级物联网终端，默认存在通用弱口令的，运营商及终端厂商应当在发现后（）内完成全量用户的强制整改：A.7天B.15天C.30天D.60天14.下列属于数据销毁技术中量子擦除技术的适用场景的是：A.机械硬盘中存储的普通业务数据销毁B.固态硬盘中存储的敏感个人信息销毁C.量子存储介质中存储的核心数据销毁D.蓝光光盘中存储的归档数据销毁15.依据《网络安全保险承保理赔规范（2026版）》，下列属于网络安全保险不可抗辩条款适用范围的是：A.投保企业故意隐瞒系统高危漏洞导致的安全事件损失B.投保企业未按要求开展安全演练导致的安全事件损失C.投保企业因第三方供应链漏洞未及时修复导致的安全事件损失D.投保企业存在恶意骗保行为导致的安全事件损失二、多项选择题（共10题，每题3分，共30分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.依据《生成式人工智能服务安全审计规范》，生成式AI服务运营者应当留存的审计日志内容包括：A.用户的查询提问内容B.AI生成的输出内容C.溯源标识嵌入记录D.用户身份实名信息2.2025年修订的《数据出境安全评估办法》明确，下列数据出境情形可豁免安全评估的有：A.境内企业为处理跨境贸易所需，向境外合作方提供不涉及敏感个人信息的1万人以下的普通个人信息B.国际航空运输过程中为保障飞行安全向境外空管部门传输的航班运行数据C.境内医疗机构为救治境外患者向境外医疗机构传输的患者医疗健康信息，且已获得个人单独同意D.关键信息基础设施运营者向境外总部传输的核心运营数据3.零信任架构的核心技术组件包括：A.身份治理平台B.持续信任评估引擎C.访问控制引擎D.边界防火墙4.依据《车联网数据安全管理办法》，车联网数据安全的责任主体包括：A.车企B.车联网服务平台运营者C.车载应用开发者D.车主5.针对深度合成内容的传播管控，平台应当履行的义务包括：A.对用户上传的深度合成内容进行前置审核B.对含有违法违规内容的深度合成内容采取删除、限流等处置措施C.为深度合成内容添加统一的可识别标识D.定期向网信部门上报平台深度合成内容的传播情况6.2026年发布的《工业互联网安全防护体系建设指南》明确，工业互联网安全防护的核心层级包括：A.设备安全层B.网络安全层C.应用安全层D.AI安全防护层7.2025年更新的《个人信息出境标准合同》新增的必备条款包括：A.境外接收方所在国数据安全政策变化后的处置条款B.个人信息泄露后的赔偿责任划分条款C.个人向境外接收方主张权利的保障条款D.数据二次出境的限制条款8.下列属于我国法律法规明确禁止的漏洞交易行为的有：A.向境外机构和个人出售未公开的我国关键信息基础设施漏洞B.在未取得主管部门许可的情况下公开售卖通用软件高危漏洞C.向厂商提交自己发现的漏洞并领取厂商发放的漏洞奖励D.利用自己发现的漏洞向运营者索要高额“保密费”9.依据《网络安全演练管理规范》，下列关于安全演练频次的说法正确的有：A.关键信息基础设施运营者每年至少开展2次实战化攻防演练B.重点行业企业每年至少开展1次应急处置演练C.生成式AI服务运营者每半年至少开展1次内容安全风险演练D.普通中小微企业每年至少开展1次全员网络安全意识培训演练10.量子通信网络建设过程中需要重点防控的安全风险包括：A.量子光源被篡改B.量子信道被插入攻击C.量子密钥存储介质被盗D.经典管控信道被DDoS攻击三、判断题（共10题，每题1分，共10分。正确打√，错误打×）1.生成式AI服务运营者需要对所有生成的内容添加不可擦除的溯源标识，包括用户内部使用的非公开内容。2.量子密钥分发技术理论上具备无条件安全性，因此应用量子密钥分发的通信系统不存在任何安全风险。3.依据《个人信息保护法》最新修订内容，经过完全匿名化处理的信息不属于个人信息范畴，不受个人信息保护相关法规约束。4.车联网产生的车主行驶轨迹数据属于一般个人信息，可由运营者自行决定是否对外提供。5.零信任架构的核心逻辑是“永不信任、始终验证”，取消传统基于网络位置的默认信任机制。6.生成式AI训练数据可以随意爬取互联网上公开的内容，无需获得相关权利人授权。7.工业控制系统运营者发现高危漏洞后，可以先自行完成漏洞修复，再向主管部门上报相关情况。8.数据出境只要签订了个人信息出境标准合同，就无需再申报数据出境安全评估。9.未经肖像权人同意，使用其肖像制作深度合成内容，无论是否用于盈利，均属于侵权行为。10.网络安全事件发生后，运营者只要不瞒报、谎报，迟报相关情况不会承担法律责任。四、案例分析题（共2题，每题15分，共30分）1.案例背景：2026年3月，某大型电商平台上线生成式AI智能客服系统和AI商品自动营销系统，其中智能客服系统调用用户的历史订单、浏览记录、收货地址、支付信息等数据为用户提供咨询服务，AI营销系统通过爬取平台用户的公开评价、社交媒体公开动态训练模型，生成个性化商品推荐文案和商品宣传视频。2026年5月，网信部门接到举报：该平台智能客服出现多次将A用户的订单信息、收货地址发送给咨询同类商品的B用户的情况；AI生成的部分农产品宣传视频存在虚假宣传（夸大农产品功效）；AI训练过程中未对爬取的用户社交媒体动态进行去标识化处理，部分用户的私人动态内容被直接嵌入商品宣传文案。请结合上述背景回答下列问题：（1）该电商平台的行为违反了哪些现行网络安全、数据安全、个人信息保护相关法规？（4分）（2）该平台的AI相关系统存在哪些具体的安全隐患？（5分）（3）请列出该平台的具体整改措施。（6分）2.案例背景：2026年7月，某新能源车企车联网平台遭受境外APT组织攻击，攻击者利用车载娱乐系统的未公开高危漏洞，获取了平台存储的12.7万名车主的人脸解锁数据、行驶轨迹数据、车辆识别码等信息，同时获得了3.2万辆在线车辆的远程控制权限，攻击者对其中387辆正在城市道路行驶的车辆发送远程锁车指令，造成12起交通事故，直接经济损失达2700万元，事件曝光后引发大量车主恐慌，造成恶劣社会影响。请结合上述背景回答下列问题：（1）依据《网络安全事件分级标准》，该事件属于哪一级网络安全事件？请说明判定依据。（4分）（2）该车企在车联网安全管理中存在哪些违规点？（5分）（3）请列出该事件发生后车企应当采取的应急处置流程。（6分）参考答案及详细解析一、单项选择题1.答案：B解析：《生成式人工智能服务安全基本要求》明确，面向公众的生成式AI服务生成的公开发布音视频内容，溯源标识嵌入时延不得高于200ms，避免影响用户正常使用体验的同时保障溯源能力。2.答案：C解析：QKD的核心原理是量子不可克隆原理，经典信道传输的仅为测量基比对等非密钥信息，即便被窃听也不会泄露密钥内容，不属于需要重点防控的风险；侧信道攻击、中继节点劫持、测量基偏差利用均是QKD当前已被验证的可利用安全风险。3.答案：C解析：《车联网数据安全分类分级规则（2025修订版）》明确高精度地图原始采集数据属于核心数据，车辆静态配置参数属于一般数据，车主联系方式、单次行驶轨迹属于敏感个人信息。4.答案：D解析：2025年修订的《数据出境安全评估办法》明确，关键信息基础设施运营者赴境外上市涉及的数据出境，无论数据量级多少，一律需要申报数据出境安全评估。5.答案：D解析：已获得声音权利人授权的模拟声线有声书不属于禁止生成的内容范畴，其余选项均违反深度合成服务管理规定的禁止性要求。6.答案：A解析：政务信息系统零信任落地规范明确，核心业务系统访问每次操作都需要触发持续验证，避免身份冒用导致的敏感数据泄露。7.答案：C解析：2026年《个人信息保护法》修订时，将脑机接口采集的脑电特征数据纳入敏感个人信息范畴，指纹、医疗健康、行踪轨迹均为之前已明确的敏感个人信息类别。8.答案：B解析：《工业控制系统安全管理办法》明确，工业控制系统运营者发现CVSS9.0以上高危漏洞的，应当24小时内向属地工信、网信部门上报。9.答案：C解析：关键信息基础设施的核心数据确需出境的，应当经过国家网信部门审批。10.答案：C解析：2025年更新的《网络安全事件分级标准》明确，特别重大网络安全事件判定阈值为受影响用户超过1亿人，或直接经济损失超过10亿元，或造成特别严重的社会影响、国家安全影响。11.答案：B解析：暗网监测只能对公开可访问的信息进行被动爬取留存，侵入系统、诱导交易、无差别解密均违反合规要求，可能涉嫌违法。12.答案：B解析：其余选项均违反知识产权和个人信息保护要求，公开可访问且无爬取限制、已去标识化的用户公开评价可作为训练数据使用。13.答案：A解析：2026年物联网弱口令整治要求，新上市消费级物联网终端存在通用默认弱口令的，厂商及运营商需7天内完成全量强制整改。14.答案：C解析：量子擦除技术是针对量子存储介质的专用销毁技术，不适用于传统磁存储、光存储、半导体存储介质。15.答案：C解析：不可抗辩条款适用于投保企业无主观过错的安全事件，供应链漏洞未及时修复属于第三方责任，属于适用范围；故意隐瞒漏洞、未开展演练、恶意骗保均属于除外责任。二、多项选择题1.答案：ABC解析：审计日志需要留存用户提问、AI输出、溯源标识记录，用户实名信息属于身份管理数据，不属于安全审计日志必备留存内容。2.答案：ABC解析：关键信息基础设施运营者的核心数据出境一律需要申报评估，其余选项均属于豁免评估的情形。3.答案：ABC解析：边界防火墙属于传统边界安全设备，不属于零信任核心组件，其余三项均为零信任核心技术组件。4.答案：ABC解析：车主属于数据主体，不是车联网数据安全责任主体，车企、平台运营者、车载应用开发者均为责任主体。5.答案：ABCD解析：四个选项均为深度合成服务平台应当履行的法定义务。6.答案：ABCD解析：2026年《工业互联网安全防护体系建设指南》在原有设备、网络、应用三层防护基础上新增AI安全防护层，四个选项均正确。7.答案：ABCD解析：四个选项均为2025年更新的个人信息出境标准合同新增的必备条款。8.答案：ABD解析：向厂商提交漏洞领取奖励属于合法的漏洞报送行为，其余均为禁止的漏洞交易行为。9.答案：ACD解析：重点行业企业每年至少开展2次应急处置演练，B选项错误，其余选项均符合规范要求。10.答案：ABCD解析：四个选项均为量子通信网络建设过程中需要重点防控的安全风险。三、判断题1.答案：×解析：仅对外公开发布的生成式AI内容需要添加溯源标识，内部非公开内容无需强制添加。2.答案：×解析：量子密钥分发理论上的无条件安全性是指密钥传输过程的安全性，但其落地应用过程中存在侧信道攻击、节点被劫持等工程实现层面的安全风险，并非整个通信系统无任何风险。3.答案：√解析：完全匿名化处理后的信息无法识别到特定自然人，不属于个人信息范畴，不受个人信息保护法规约束。4.答案：×解析：车主行驶轨迹属于敏感个人信息，对外提供需要获得个人单独同意，符合相关法规要求。5.答案：√解析：零信任的核心逻辑就是取消基于网络位置的默认信任，对所有访问主体进行持续验证、动态授权。6.答案：×解析：爬取互联网公开内容作为训练数据需要符合知识产权、个人信息保护要求，涉及个人信息的需要去标识化，涉及受版权保护的内容需要获得权利人授权。7.答案：×解析：高危漏洞需要24小时内上报，不能先修复再上报。8.答案：×解析：达到数据出境安全评估阈值的，即便签订标准合同也需要申报评估。9.答案：√解析：未经肖像权人同意制作其肖像的深度合成内容，无论是否盈利，均侵犯肖像权。10.答案：×解析：迟报网络安全事件同样违反法规要求，需要承担相应法律责任。四、案例分析题1.参考答案：（1）违反的法规：①《生成式人工智能服务安全基本要求》，未落实AI内容审核义务和训练数据安全管理义务；②《个人信息保护法》，未履行个人信息处理的最小必要原则，未经同意处理用户社交媒体动态数据，未采取安全保障措施导致个人信息泄露；③《网络安全法》，未落实网络运行安全保障义务导致系统出现数据泄露问题；④《广告法》，AI生成的宣传内容存在虚假宣传，违反广告内容管理要求。（每点1分，共4分）（2）安全隐患：①AI访问控制逻辑存在缺陷，未对用户身份和可访问的个人信息范围做严格权限划分，导致跨用户数据泄露；②AI生成内容审核机制缺失，未对生成的营销内容的真实性进行校验，导致虚假宣传内容流出；③训练数据管理不规范，未对爬取的第三方平台数据进行去标识化处理和授权校验，存在侵权风险；④AI系统安全审计机制缺失，无法追溯数据泄露和虚假内容生成的具体链路；⑤个人信息存储权限管控不当，AI系统可无限制访问全量用户敏感个人信息，存在过度授权问题。（每点1分，共5分）（3）整改措施：①立即下线存在问题的AI智能客服和营销系统，对已泄露的用户个人信息采取补救措施，告知用户泄露风险；②优化AI系统访问控制逻辑，按照最小必要原则为AI系统分配用户数据访问权限，每次调用用户数据都需要进行身份核验和权限校验；③完善AI生成内容审核机制，新增内容真实性校验模块，对生成的营销宣传内容进行人工+智能双重审核，确认无误后才可发布；④规范训练数据管理，对已爬取的未授权数据进行删除，后续采集训练数据前履行授权校验和去标识化处理义务；⑤完善AI系统安全审计机制，留存全量用户查询、AI输出、数据调用日志，留存期限不少于6个月；⑥对平台所有AI相关系统开展全面安全评估，经评估合格后方可重新上线，同时