2026年网络安全管理员考核试题（含答案）

2026年网络安全管理员考核试题（含答案）1.根据《生成式人工智能服务管理暂行办法》，我国境内提供生成式人工智能服务的提供者，应当对生成的内容采取以下哪项措施：A.无需进行任何标注B.进行清晰可辨识的水印或者其他形式的身份标注C.仅对敏感内容进行标注D.由用户自行决定是否标注答案：B2.零信任安全架构的核心原则是：A.永不信任，始终验证B.内部完全信任，外部严格验证C.基于网络边界划分信任等级D.一次验证，永久信任答案：A3.针对当前AI生成的深度伪造钓鱼攻击，最能有效降低账号被盗风险的防护手段是：A.要求用户设置高复杂度密码B.全面启用多因素认证（MFA）C.要求用户定期更换密码D.在终端安装杀毒软件答案：B4.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当至少多久开展一次全范围的网络安全应急演练：A.每半年B.每年C.每两年D.每三年答案：B5.Prompt注入攻击的本质是：A.攻击者恶意修改大模型的模型权重B.攻击者通过构造恶意指令诱导大模型突破预设安全规则，执行非授权操作C.攻击者窃取大模型的全部训练数据D.攻击者通过流量攻击打垮大模型服务端答案：B6.根据我国《数据安全法》，核心数据处理活动的国家安全评估应当由哪个主体组织开展：A.核心数据处理运营者自行组织B.行业主管部门C.国家网信部门D.省级以上网信部门答案：D7.零信任架构下，访问权限的授予遵循以下哪项原则：A.默认开放所有权限，按需回收B.仅授予完成特定任务所需的最小权限，并动态调整信任等级和权限范围C.按岗位授予固定权限，不做调整D.同一部门员工权限统一，不需要差异化分配答案：B8.针对DNS隧道攻击，以下哪种防护手段的效果最好：A.配置DNS防火墙，对异常DNS查询行为进行检测和拦截B.修改本地DNS服务器地址C.关闭服务器UDP53端口D.启用DNSSEC防止DNS污染答案：A9.根据我国相关监管要求，生成式人工智能服务提供者需要落实哪类安全主体责任：A.内容安全管理责任B.数据安全管理责任C.网络安全管理责任D.以上都是答案：D10.根据《个人信息保护法》，发生一百万人以上个人信息泄露的安全事件后，个人信息处理者应当在多长时间内向履行个人信息保护职责的部门报告：A.12小时B.24小时C.48小时D.72小时答案：D11.生成式人工智能应用常见的安全风险包含以下哪些选项：A.训练数据敏感信息泄露B.生成违法违规有害内容C.被攻击者利用发起prompt注入攻击D.被用于生成深度伪造钓鱼内容、恶意代码变异样本答案：ABCD12.零信任部署架构的核心组件包含以下哪些：A.统一身份治理与管理模块B.持续信任评估引擎C.动态访问控制模块D.内网微分段隔离组件答案：ABCD13.关键信息基础设施运营者应当履行的网络安全义务包含以下哪些：A.定期开展关键信息基础设施安全评估，并按要求报送保护工作部门B.发生网络安全事件后按要求及时上报C.对核心业务系统进行多活容灾备份D.按要求对系统开展密码应用安全性评估答案：ABCD14.AI赋能的新型网络攻击主要包含哪几类：A.AI生成高度拟真的鱼叉式钓鱼邮件B.AI辅助挖掘未知漏洞C.深度伪造语音、视频用于精准诈骗D.AI生成变异恶意代码绕过特征检测答案：ABCD15.根据《个人信息保护法》，以下哪些情形下个人信息处理者应当开展个人信息保护影响评估：A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托第三方处理个人信息、向境外提供个人信息D.处理一百万人以上个人信息答案：ABCD16.当前物联网设备普遍存在的安全风险包含以下哪些：A.出厂默认弱口令，且不强制用户修改B.数据传输未加密，容易被窃听篡改C.固件存在未公开的漏洞，厂商长期不修补D.设备被攻击者控制后可组建僵尸网络发起DDoS攻击答案：ABCD17.针对大语言模型的训练数据窃取攻击，可采取的防护手段包含以下哪些：A.对模型接口输出做频率、长度限流，降低窃取攻击的效率B.模型训练过程加入差分隐私技术，减少敏感信息的记忆C.完全禁止模型输出任何文本内容D.对模型接口严格落实身份认证和访问控制，限制未授权访问答案：ABD18.数据出境场景下，需要向网信部门申报数据出境安全评估的情形包含哪些：A.处理一百万人以上个人信息的个人信息处理者向境外提供个人信息B.向境外提供国家核心数据C.向境外提供十万条以上敏感个人信息D.关键信息基础设施运营者向境外提供个人信息答案：ABCD19.零信任架构默认网络内部都是可信区域，仅需要防护外部攻击。答案：×20.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者不得向未满十六周岁的未成年人提供危害其身心健康的诱导性服务。答案：√21.Prompt注入攻击仅能发生在大模型服务端，无法在终端侧本地大模型上实现。答案：×22.关键信息基础设施运营者应当每年至少开展一次全范围的网络安全检测评估。答案：√23.密码应用安全性评估仅需要在信息系统上线前开展一次，后续不需要重复评估。答案：×24.深度伪造技术生成的内容只要不用于违法犯罪活动，就不需要进行内容标注。答案：×25.合理部署的多因素认证可以防范绝大多数钓鱼攻击导致的账号被盗事件。答案：√26.个人信息处理者处理个人信息只要公开处理规则就可以，不需要取得个人同意。答案：×27.流量清洗是当前应对DDoS攻击的主流有效防护手段。答案：√28.网络安全管理员仅需要维护传统网络设备安全，不需要关注生成式AI等新技术带来的安全风险。答案：×某地方城市轨道交通运营企业，为提升运维效率，上线了基于AI的运维辅助系统，该系统对接了企业内网的信号系统、客流监测系统的非涉密运营数据，开发过程中企业为了训练大模型，将部分历史运营数据上传至第三方公共大模型平台进行调参，同时为了方便异地运维人员访问，将该AI运维系统的部分接口开放到了公网，仅采用了账号密码的验证方式。近期该企业收到监管通报，发现该企业的部分运营敏感数据已经出现在境外的公开数据平台，同时检测到有多次异常IP尝试访问该AI运维系统接口，存在被入侵的风险。问题1：请指出该企业在AI运维系统部署和运营过程中存在的主要安全问题。问题2：针对上述问题，请给出具体的整改防护措施。答案：问题1存在的主要安全问题：①数据合规管控缺失，违规将企业内部敏感运营数据上传至第三方公共大模型平台，未进行数据出境评估和敏感数据识别，导致敏感数据泄露；②访问控制机制不符合要求，将对接核心运营系统的AI接口开放到公网，仅采用单因子密码认证，未落实零信任访问要求，容易被攻击者暴力破解或者钓鱼窃取账号后入侵；③未建立针对AI系统的安全防护机制，没有对数据输入输出进行审计和检测，没有及时发现敏感数据泄露的问题；④未按照关基安全要求对对接核心业务系统的第三方AI应用开展安全评估，上线前安全检测不到位。问题2整改防护措施：①立即下架第三方公共大模型平台存储的企业敏感数据，对已经泄露的风险进行排查评估，按照要求上报监管部门，对所有上传数据进行敏感数据梳理，后续严格禁止核心敏感数据上传至公共第三方大模型平台，训练调参使用本地部署大模型完成；②调整访问控制策略，关闭AI系统不必要的公网开放接口，确需远程访问的，必须启用多因素认证，通过零信任访问网关接入，严格落实身份验证和权限最小化控制，仅开放运维所