2026年网络安全职业素养试题及答案

2026年网络安全职业素养试题及答案一、单项选择题（每题只有1个正确答案）1.根据2025年国家网信办联合人社部更新发布的《网络安全从业人员职业素养规范》，网络安全从业人员最核心的底层职业素养要求是以下哪一项？A.熟练掌握大模型安全检测、零信任架构搭建等最新技术能力B.坚守国家网络安全利益与用户合法权益优先的原则C.获得对应级别的网络安全资质认证D.能够完成合规要求下的等保测评与风险整改2.某网络安全工程师小李受邀为某大模型训练平台提供安全测试服务，在测试过程中，小李发现平台训练数据集包含大量未脱敏的公民个人信息，还包含部分标注为涉密的内部文档片段，小李接下来的正确做法是？A.既然是测试过程中发现的，直接整理成漏洞报告提交给平台甲方项目对接人即可，不用告知其他方B.将发现的涉密片段截图保存，作为后续行业交流的案例素材使用C.第一时间停止测试，保留相关证据后向平台所在地网信部门和国家安全机关报告，同时告知甲方项目负责人D.因为项目合同只要求测试大模型的prompt注入漏洞，这个数据问题不在合同范围内，直接忽略继续原测试3.某网络安全从业者小张参与某互联网企业的漏洞众测活动，企业明确划定了测试范围为官网前端服务器，不涉及后台用户数据库，小张在测试过程中发现官网存在SQL注入漏洞，能够直接访问后台用户数据库，以下做法正确的是？A.既然已经发现了数据库访问权限，直接导出全部用户数据验证漏洞危害，方便给企业提供更有说服力的报告B.只验证漏洞存在，不下载任何用户数据，在报告中明确说明漏洞的危害和可能导致的风险，不触碰超出范围的数据C.把可以访问数据库的情况告诉同样参加众测的朋友，让朋友也帮忙测试验证漏洞是否真的存在D.向企业索要额外的测试报酬，否则就将漏洞信息公开4.网络安全从业人员小王曾在某涉密科研单位担任网络安全运维工程师，离职后，以下哪一项行为符合职业素养要求？A.将原单位工作中整理的内部漏洞知识库整理成自己的作品集，用于新公司求职展示B.受朋友邀请，到某网络安全培训机构讲课，分享原单位工作中遇到的涉密信息系统运维案例C.原单位的涉密信息系统三年前更换了安全防护方案，小王可以将三年前的旧防护方案分享给同行业朋友做研究D.离职时按照单位要求交接全部工作资料，签订保密承诺书，终身不泄露原单位接触到的涉密信息5.某网络安全咨询公司的咨询师小陈负责为某上市企业提供数据安全合规咨询服务，小陈的弟弟正好开了一家数据安全产品公司，小陈的正确做法是？A.直接向甲方推荐弟弟公司的产品，因为产品确实符合要求，反正能帮甲方解决问题，也能帮弟弟，一举两得B.主动向自己公司和甲方披露自己和弟弟的亲属关系，回避相关产品选型的决策环节，不利用职务之便为亲属谋利C.让弟弟换个公司抬头参与投标，自己暗中操作帮忙中标，不告诉其他人就行D.不告诉任何人，只要自己不说，就不会有问题，拿到好处分成就行6.关于网络安全漏洞的公开披露，以下行为符合网络安全从业人员职业素养要求的是？A.发现厂商产品漏洞后，直接在互联网公开漏洞细节和POC，不管厂商有没有完成修复，倒逼厂商重视B.和厂商沟通修复的时候，以公开漏洞为要挟，向厂商索要高额赎金，否则就把漏洞卖给黑产C.按照国家漏洞库的相关要求，先将漏洞信息上报给国家信息安全漏洞共享平台（CNVD），同时私下通知厂商，给厂商留出合理的修复窗口期，修复完成后再配合发布合规的漏洞信息，不提前公开危害细节D.发现漏洞后，把漏洞信息放到暗网售卖，获得更高收益7.某网络安全应急响应工程师小张接到某企业的勒索病毒应急响应求助，小张在处置过程中获得了企业核心业务数据和客户信息的临时访问权限，处置完成后，小张应当怎么做？A.立刻注销自己的临时访问权限，清除本地留存的所有企业数据，不备份任何信息带走B.把企业的核心业务数据留一份备份，以后遇到同类案例可以做参考C.把部分敏感客户信息卖给信息中间商，赚点外快D.把企业遭遇勒索病毒的事情当做案例，直接在朋友圈公开，宣传自己的技术能力8.某网络安全审核人员小李在工作中发现，某社交平台批量传播的深度伪造视频，涉及侵犯他人隐私，还可能危害公共利益，小李的正确做法是？A.反正只是日常审核，多一事不如少一事，只要没接到上级指令就放过B.按照平台规范和法律法规要求，立刻下架违规内容，留存相关传播溯源数据，上报监管部门C.下载几个热门的深度伪造视频，发到自己的粉丝群分享引流D.告诉当事人要给钱才帮忙删除，否则就不管9.某跨境电商企业的网络安全负责人老王，企业需要向境外总部传输用户信息，按照《数据出境安全评估办法》要求，应当申报安全评估，老王的以下哪项做法符合职业素养要求？A.为了不影响业务进度，拆分数据分批传输，绕过出境安全评估要求B.按照规定如实申报数据出境的目的、范围、内容，接受安全评估，评估通过后再开展传输C.把用户数据加密后存到境外云盘，就算查到也破解不了，不用申报D.把数据交给第三方中介帮忙转运，自己公司不用承担责任10.近年来生成式AI被大量用于网络攻击，以下哪一种做法符合网络安全从业人员的职业素养要求？A.利用开源大模型训练自动化钓鱼生成工具，出售给黑产团队获取收益B.研究AI生成恶意代码的技术，发表防御性的研究论文，提升行业的AI攻击防御能力C.用AI批量生成钓鱼网站和诈骗话术，帮助诈骗团伙引流D.训练大模型自动爬取公民个人信息，批量整理后售卖11.某等保测评师老张，在对某单位的三级信息系统进行等保测评过程中，发现该单位多个安全控制点不满足合规要求，老张收受了该单位负责人的红包之后，出具了合格的测评报告，老张的行为违反了以下哪一项核心职业素养要求？A.客观公正B.熟练技能C.保密义务D.团结协作12.网络安全从业人员在参与国家重大活动网络安全保障工作时，以下哪一项行为是符合要求的？A.保障期间擅离职守，把工作交给还没取得资质的实习生处理，自己出去旅游B.每天按时上报安全态势，发现异常攻击及时处置上报，不瞒报漏报C.发现攻击事件但是觉得处置麻烦，等活动结束之后再处理D.把保障工作中获得的内部安保信息分享给外部媒体赚稿费13.某网络安全研究员小李，发现我国某关键信息基础设施存在重大安全漏洞，小李接下来的正确做法是？A.直接在国际安全会议上公开这个漏洞，提升自己的国际知名度B.按照规定先上报给国内监管部门和运营者，先完成漏洞修复再按照相关规定发布研究成果C.把漏洞信息告知境外的安全研究朋友，让他们帮忙一起研究D.把漏洞卖给境外的情报机构，获得高额报酬14.以下关于网络安全从业人员的知识产权意识，哪一项做法符合职业素养要求？A.使用破解版的商业安全工具开展工作，节省公司成本B.将开源安全工具修改之后，去掉原作者的版权信息，当做自己的商业产品售卖C.在自己开发的安全工具中，合理标注开源组件的版权信息，遵守开源协议，不侵犯原作者的知识产权D.把公司出资开发的安全工具，私自拿出去注册成自己的专利，售卖获利15.从业人员面对境外机构的非法利诱，以下做法正确的是？A.境外机构邀请参加学术会议，承诺提供高额报酬，要求提供我国关键信息基础设施的相关信息，欣然接受，只要能拿到钱就行B.明确拒绝境外机构的非法要求，及时向国家安全机关报告相关情况C.先拿到报酬，不提供核心信息，随便给点公开信息糊弄过去就行D.帮对方搜集公开可查的信息，赚点外快没关系单项选择题答案及解析1.答案：B解析：技术能力是从业人员开展工作的基础，资质认证是入行的准入要求，合规整改是具体工作内容，只有“坚守国家网络安全利益与用户合法权益优先”是贯穿所有工作的核心底层职业素养要求，因此选B。2.答案：C解析：根据《数据安全法》《保密法》要求，网络安全从业人员发现工作中涉及违法违规处理个人信息、涉密信息的情况，必须第一时间停止操作，上报监管部门，同时告知甲方，因此C正确，其余选项均违规。3.答案：B解析：漏洞众测必须严格遵守甲方划定的测试范围，遵循最小权限原则，越权获取用户数据属于违规行为，更不能索要额外报酬或泄露信息，因此B正确。4.答案：D解析：涉密信息的保密义务不会因从业人员离职而解除，原单位的内部信息、涉密信息均不能私自使用或分享，因此D正确。5.答案：B解析：从业人员遇到利益冲突应当主动披露，回避相关决策，不能利用职务之便为亲属或自身谋取不当利益，因此B正确。6.答案：C解析：负责任漏洞披露要求从业人员先上报、给厂商留足修复窗口，不能提前公开漏洞细节或利用漏洞牟利，因此C正确。7.答案：A解析：应急响应过程中获得的临时权限和客户数据，处置完成后应当及时清除，不得私自留存，因此A正确。8.答案：B解析：从业人员发现危害公共利益的违规内容，应当及时处置上报，不能放任传播或利用信息牟利，因此B正确。9.答案：B解析：数据出境应当严格遵守合规要求，不得绕过安全评估，因此B正确。10.答案：B解析：网络安全从业人员研究AI技术应当用于防御目的，不能用于违法攻击或黑产活动，因此B正确。11.答案：A解析：等保测评要求从业人员客观公正反映被测系统的真实安全状态，收受贿赂出具虚假报告违反了客观公正的核心职业要求，因此A正确。12.答案：B解析：重大活动网络安全保障要求从业人员坚守岗位，及时上报处置风险，不得泄露内部安保信息，因此B正确。13.答案：B解析：关键信息基础设施的重大漏洞涉及国家安全，必须先上报国内监管部门完成修复，再合规发布研究成果，不能私自对外泄露，因此B正确。14.答案：C解析：网络安全从业人员应当尊重知识产权，遵守开源协议，不得侵犯原作者或原单位的知识产权，因此C正确。15.答案：B解析：从业人员有义务维护国家安全，面对境外机构的非法利诱，应当坚决拒绝并及时上报国家安全机关，因此B正确。二、多项选择题（每题有2个及以上正确答案）1.根据2025年更新的《网络安全从业人员职业素养规范》，网络安全从业人员应当遵守的职业行为准则包括以下哪些选项？A.维护国家网络空间主权、安全和发展利益，遵守法律法规B.尊重用户个人隐私与信息权益，不非法收集、买卖、泄露用户信息C.恪守职业道德，不参与任何网络攻击、黑产相关的违法活动D.不断提升技术能力，跟进最新的安全威胁与防御技术2.网络安全从业人员在开展渗透测试工作时，以下哪些行为违反了职业素养要求？A.测试前和甲方签订明确的范围协议和保密协议，按照约定范围开展测试B.测试过程中发现超出约定范围的敏感信息，自行下载留存，用于后续研究C.测试完成后，清除所有测试过程中留下的后门、账号、垃圾数据，不留下安全隐患D.将渗透测试过程中获得的甲方内部敏感信息，泄露给第三方或者公开在互联网3.生成式AI技术普及后，网络安全从业人员的职业素养面临新的要求，以下哪些要求是符合2026年行业规范的？A.不得利用AI技术制作、传播恶意程序、钓鱼内容、深度伪造诈骗素材B.研究AI安全防御技术，提升对AI驱动攻击的检测和处置能力C.在使用AI辅助安全工作时，对AI生成内容的准确性、合规性进行审核，不直接使用未经核验的AI生成结论D.可以利用AI批量爬取未授权的个人信息用于训练安全大模型4.网络安全从业人员在离职时，以下哪些做法符合职业素养要求？A.带走原单位所有的技术资料和客户资源，到新公司开展同类业务B.按照原单位的要求，交接全部工作设备和工作资料，删除个人持有原单位的所有敏感信息C.自动解除和原单位的保密协议，不用再遵守保密义务D.不损害原单位的合法利益，不利用原单位的资源为新单位谋利5.关键信息基础设施运营单位的网络安全从业人员，以下哪些行为违反了职业素养和法律法规要求？A.定期开展漏洞扫描和应急演练，及时修复安全漏洞B.擅自允许境外机构远程访问本单位的关键信息基础设施C.按照要求向监管部门上报网络安全事件，不瞒报漏报D.将本单位的网络拓扑、防护方案、业务数据等信息出售给境外机构6.以下关于漏洞披露，哪些行为是违反职业素养要求的？A.遵守“负责任披露”原则，给厂商留出合理修复时间B.发现漏洞后，以公开漏洞为要挟，向厂商勒索高额费用C.未等厂商修复，就公开漏洞完整细节和可利用POC，吸引流量D.按照国家要求上报漏洞信息给CNVD，配合监管部门开展漏洞管理7.网络安全从业人员在开展数据安全相关工作时，应当遵守的职业素养要求包括以下哪些？A.按照最小必要原则收集使用数据，不超范围收集用户信息B.按照要求对敏感个人信息、重要数据进行脱敏处理，开展数据开发利用C.发现工作中泄露的敏感数据，及时告知相关单位，采取措施补救，不扩散D.只要能获得收益，可以将工作中接触到的敏感数据出售给第三方8.某网络安全公司承接了某政府单位的网络安全运维服务项目，项目组成员以下哪些做法符合职业素养要求？A.不随意扩大自己的运维权限，只获取完成工作所需的最小权限B.不利用运维权限访问、拷贝单位的敏感文件和内部信息C.运维过程中获得的单位内部信息，不随意对外泄露，哪怕是自己公司的非项目人员也不透露D.为了方便运维，把单位的远程运维账号密码共享给项目组所有成员，哪怕是临时外包人员也给权限9.以下哪些行为属于违反网络安全职业素养的违法行为？A.利用职务便利，非法获取公民个人信息出售给他人B.为他人提供黑客工具、DDOS攻击服务用于违法活动C.为企业提供合法的渗透测试、应急响应服务，帮助企业提升安全防护能力D.明知他人实施网络诈骗，还为诈骗团伙提供钓鱼网站搭建、服务器代理等技术支持10.网络安全从业人员提升自身职业素养的合理路径包括哪些？A.主动学习最新的法律法规和行业规范，及时更新自己的合规意识B.跟进最新的安全技术发展，不断提升自己的技术能力和实践水平C.参加行业协会组织的职业素养培训，主动接受行业自律监督D.向行业内优秀的前辈学习，坚守底线原则，抵制违法违规行为多项选择题答案及解析1.答案：ABCD解析：以上四项均属于《网络安全从业人员职业素养规范》明确要求的内容，涵盖了政治原则、法律要求、职业道德和能力建设四个维度，因此全选。2.答案：BD解析：AC属于符合职业规范的正确操作，BD中，私自下载留存超出范围的敏感信息、泄露甲方敏感信息均属于违规行为，因此选BD。3.答案：ABC解析：未经授权爬取个人信息训练大模型违反《个人信息保护法》和数据安全相关规定，因此D错误，ABC均符合行业规范要求。4.答案：BD解析：离职不得带走原单位资源和保密信息，保密义务不会因离职自动解除，因此AC错误，BD正确。5.答案：BD解析：AC属于符合要求的正确操作，BD均属于违法行为，严重违反职业素养要求，因此选BD。6.答案：BC解析：AD属于符合规范的操作，BC属于违规行为，利用漏洞勒索、提前公开未修复漏洞信息都会危害公共利益，违反职业素养，因此选BC。7.答案：ABC解析：出售敏感数据属于违法违规行为，因此D错误，ABC均符合数据安全职业素养要求。8.答案：ABC解析：运维账号密码不得随意共享给无关人员，应当遵循权限最小化和权限管控原则，因此D错误，ABC正确。9.答案：ABD解析：C属于合法合规的职业行为，ABD均属于违法行为，违反职业素养要求，因此选ABD。10.答案：ABCD解析：以上四项都是提升从业人员职业素养的合理路径，因此全选。三、判断题1.网络安全从业人员只要技术能力够强就符合要求，职业素养不会对工作结果产生影响。2.从业人员发现工作中接触到的涉密信息，应当及时上报，不得私自扩散。3.在漏洞众测活动中，只要能发现漏洞拿到奖金，越权测试不违反职业规范。4.网络安全从业人员可以利用工作获得的权限，帮朋友查询他人的隐私信息，只是小事，不违反规定。5.面对境外机构的利诱，应当坚决拒绝，并及时向国家安全机关报告。6.等保测评师应当客观公正开展测评工作，不得收受被测单位的财物出具虚假测评报告。7.生成式AI可以随便使用，从业人员利用AI做出违规行为，责任都是AI的，和从业人员无关。8.网络安全从业人员接触到客户的敏感数据，工作完成后应当及时删除，不得私自留存。9.离职后，从业人员对原单位接触到的涉密信息就没有保密义务了，可以随便使用。10.为了提升行业知名度，从业人员可以提前公开未修复的重大漏洞细节，提升自己的影响力，不违反规定。判断题答案1.错误。职业素养是从业人员从业的基础，技术能力越强，缺乏正确的职业素养带来的安全危害越大，职业素养是网络安全行业对从业人员的核心要求之一。2.正确。3.错误。漏洞众测必须严格遵守甲方约定的测试范围，越权测试侵犯他人合法权益，违反职业规范和法律法规要求。4.错误。非法查询、泄露他人隐私本身就是违反《个人信息保护法》的行为，也违反网络安全职业素养要求。5.正确。6.正确。7.错误。从业人员对自己的所有行为负责，使用AI开展工作也必须遵守法律法规，违规行为的责任由行为人承担。8.正确。9.错误。涉密信息的保密义务不会因从业人员离职而消灭，涉密信息的保密义务是终身的。10.错误。提前公开未修复的重大漏洞细节会被黑产利用，危害整个行业的网络安全，属于严重违反职业素养的行为。四、案例分析题案例一：2025年12月，某网络安全服务公司A承接了某生成式AI企业B的大模型安全评估项目，合同约定评估范围为大模型本身的对抗攻击漏洞、prompt注入风险，不涉及训练数据集的安全审核。项目工程师甲在开展评估过程中，为了测试大模型的训练数据污染风险，自行爬取了大模型训练数据的公开缓存节点，发现数据集中包含超过120万条未脱敏的公民敏感个人信息，其中包含手机号、住址，还有部分来源为某政府部门内部公开的非涉密但敏感的工作文档。甲想到自己最近正在准备一篇关于大模型数据安全的核心期刊论文，正好需要这样的实际案例数据，于是将10万条公民个人信息下载到自己的私人电脑，打算用于论文中的统计分析，同时将发现的政府文档片段截取了一部分，准备放到论文中当做案例。甲认为，数据集本身是公开缓存的，自己拿来做研究不违法，而且这个问题不在合同范围内，不用告诉企业B，也不用上报。问题：请结合网络安全职业素养要求，分析甲的做法存在哪些问题，正确的做法应当是什么？参考答案：甲的做法存在多处违反网络安全职业素养和法律法规的问题：第一，甲违反了项目范围约定和最小权限的职业原则，合同明确约定评估范围不涉及训练数据集，甲未经甲方允许自行爬取大模型训练数据集缓存，属于越权操作，违反了安全评估工作中“约定权限、不越界操作”的基本要求。第二，甲违规下载存储公民个人信息用于非授权用途，违反了个人信息保护的相关法律要求，也违反了“保护用户合法权益”的核心职业素养。根据《个人信息保护法》规定，个人信息处理必须具有合法、正当、必要的基础，获得对应授权，甲下载10万条公民个人信息用于私人论文研究，既没有获得用户个人的授权，也没有获得甲方企业B的授权，属于非法获取个人信息，严重违反法律和职业要求。第三，甲发现重大数据安全风险刻意隐瞒不上报，违反了风险告知和合规上报的职业要求。甲发现大模型训练数据存在大规模未脱敏个人信息和敏感内部文档，属于可能危害公共利益的重大数据安全风险，无论是否在合同约定范围内，网络安全从业人员都有义务告知甲方，必要时上报监管部门，甲隐瞒不报的做法明显违反职业素养。第四，甲打算将未脱敏的原始敏感信息用于个人学术研究，可能导致敏感信息的二次泄露，进一步扩大安全危害，属于违规行为。正确的做法应当是：第一，立即停止未经授权的数据集爬取操作，退出未授权的访问节点，不触碰超出合同范围的资源。第二，保留风险相关的证据，第一时间告知甲方企业B的项目负责人，说明发现的数据安全风险情况，配合甲方开展风险核查。第三，按照规定将发现的重大数据安全风险上报给当地网信部门，配合监管部门开展风险处置。第四，不得下载留存任何未授权的敏感信息和个人信息，立即清除已经获取的所有违规数据，若后续需要将该案例用于学术研究，必须获得甲方的授权，对所有原始敏感信息做完全脱敏处理，隐去所有可识别信息，才能公开使用。案例二：2026