2026年国家网络安全知识考试及答案

2026年国家网络安全知识考试及答案一、单项选择题（每题1分，共15题）1.根据《中华人民共和国网络安全法》规定，国家实行网络安全等级保护制度，网络运营者开展网络运营活动，其信息系统安全保护等级不得低于以下哪个级别？A.一级B.二级C.三级D.四级答案：B解析：《中华人民共和国网络安全法》第二十一条明确规定，国家实行网络安全等级保护制度，面向社会提供公共服务的网络运营者，其核心业务信息系统的安全保护等级不得低于第二级，第二级是基础安全保护的准入要求，因此本题选B。2.根据《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度，对哪一类数据实行重点保护？A.一般数据B.重要数据C.核心数据D.敏感个人信息答案：C解析：《中华人民共和国数据安全法》第二十一条明确，核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，国家对核心数据实行重点保护，因此本题选C。3.根据《生成式人工智能服务管理暂行办法》规定，生成式人工智能服务提供者应当对哪一项内容的合法性负责？A.训练数据B.生成内容的准确性C.生成内容的完整性D.用户输入内容答案：A解析：《生成式人工智能服务管理暂行办法》第六条明确，生成式人工智能服务提供者应当对训练数据的合法性负责，对生成内容的合规性、真实性、准确性负责，因此本题选A。4.根据《关键信息基础设施安全保护条例》规定，关键信息基础设施运营者应当至少多长时间开展一次安全检测评估，并将结果报送保护工作部门？A.半年B.一年C.两年D.三年答案：B解析：《关键信息基础设施安全保护条例》第十七条规定，运营者应当自行或者委托网络安全服务机构对关键信息基础设施的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门，因此本题选B。5.根据《中华人民共和国个人信息保护法》规定，处理敏感个人信息应当取得个人的哪一种同意？A.口头同意B.单独同意C.概括同意D.默认同意答案：B解析：《中华人民共和国个人信息保护法》第二十九条明确规定，处理敏感个人信息应当取得个人的单独同意，不得通过一揽子授权协议概括获取同意，因此本题选B。6.根据《数据出境安全评估办法》规定，处理超过多少人数个人信息的处理者向境外提供个人信息，应当主动申报数据出境安全评估？A.50万人B.100万人C.150万人D.200万人答案：B解析：《数据出境安全评估办法》第四条明确规定，处理个人信息达到一百万人的个人信息处理者向境外提供个人信息，应当申报数据出境安全评估，因此本题选B。7.网络运营者发生个人信息泄露事件后，应当及时告知用户并向哪一归口部门报告？A.公安部门B.网信部门C.通信管理部门D.市场监管部门答案：B解析：《网络安全法》明确规定，发生或者可能发生个人信息泄露、毁损、丢失的情况时，网络运营者应当立即采取补救措施，按照规定及时告知用户并向网信主管部门报告，涉及违法犯罪的同时通报公安部门，因此本题选B。8.关于零日漏洞，以下说法正确的是？A.零日漏洞是已经被发现但厂商尚未发布安全补丁的漏洞B.零日漏洞仅存在于计算机操作系统，不存在于应用程序和硬件设备C.零日漏洞已经被公开，不会被用来发起恶意攻击D.零日漏洞已经被厂商修复，用户无需采取防护措施答案：A解析：零日漏洞（0day漏洞）是指已经被攻击者发现并可能被利用，但厂商尚未知晓或未发布官方安全补丁的漏洞，广泛存在于操作系统、应用软件、硬件芯片等各类信息产品中，危害性远高于已知漏洞，因此本题选A。9.我国网络安全等级保护2.0标准体系中，第三级信息系统的安全定位是？A.能够应对一般性网络攻击，破坏后可快速恢复，不影响公共利益B.能够应对高水平复杂网络攻击，防范危害国家安全、公共利益的事件发生C.能够应对国家级高强度有组织网络攻击，保障核心业务不中断D.对涉及国家核心安全的信息系统实行专门管控保护答案：B解析：网络安全等级保护将信息系统划分为五个等级，第一级为自主保护级、第二级为指导保护级、第三级为监督保护级，要求能够应对高水平复杂网络攻击，适用于关系公共利益的重要信息系统，第四级为强制保护级，适用于核心信息系统，第五级为专控保护级，因此本题选B。10.根据《关键信息基础设施安全保护条例》，以下不属于关键信息基础设施的是？A.国家电网的电力调度控制系统B.国有银行的核心交易结算系统C.普通互联网企业面向公众的商业化门户网站D.三大运营商的骨干通信网络答案：C解析：关键信息基础设施是指一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施和信息系统，普通商业化门户网站不属于核心关键业务系统，因此不纳入关键信息基础设施范畴，本题选C。11.根据《中华人民共和国个人信息保护法》，处理不满多少周岁未成年人的个人信息，必须取得监护人的同意？A.12周岁B.14周岁C.16周岁D.18周岁答案：B解析：《中华人民共和国个人信息保护法》第三十一条明确规定，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，因此本题选B。12.钓鱼攻击最核心的特征是？A.邮件内容表述规范，发件人地址为官方地址B.诱导用户点击恶意链接、下载恶意附件或泄露敏感信息C.附件为正规格式的办公文档D.发送范围广泛，无特定目标答案：B解析：钓鱼攻击是攻击者伪装成合法机构或个人发起的恶意攻击，核心目的是诱导受害者泄露账号密码、银行卡信息等敏感信息，或植入恶意程序，因此本题选B。13.以下哪种行为符合网络安全操作规范？A.在公共场所的免费WiFi上登录个人网银办理转账业务B.定期更新操作系统和应用程序的安全补丁C.将自己的工作账号密码共享给多名同事使用D.点击陌生短信中的所有链接查看内容答案：B解析：定期更新安全补丁可以及时修复已知漏洞，是基础的网络安全防护手段，其余选项中，公共WiFi容易被窃听，共享账号违反身份安全管理要求，点击陌生链接容易感染木马，均不符合安全规范，因此本题选B。14.以下哪一项是勒索病毒最典型的攻击后果？A.窃取用户的账号密码信息后出售B.加密用户设备中的所有重要数据，索要赎金C.占用目标系统带宽，导致目标服务中断D.偷偷挖矿，占用用户设备算力答案：B解析：勒索病毒的核心攻击模式是入侵用户设备后加密用户的重要数据，攻击者持有解密密钥，以此向用户索要加密货币赎金，因此本题选B。15.根据《网络数据安全管理条例》，重要数据处理者应当多久向省级网信部门报送一次数据安全风险评估报告？A.每半年B.每年C.每两年D.每三年答案：B解析：《网络数据安全管理条例》第三十八条明确规定，重要数据处理者应当每年向所在地省级网信部门报送数据安全风险评估报告，因此本题选B。二、多项选择题（每题2分，共10题）1.根据《中华人民共和国网络安全法》，网络运营者应当履行的安全保护义务包括以下哪些内容？A.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等安全防护措施答案：ABCD解析：《中华人民共和国网络安全法》第二十一条明确规定了上述四项安全保护义务，所有选项均符合法律要求，因此全部正确。2.根据《中华人民共和国个人信息保护法》，以下属于敏感个人信息的是？A.生物识别信息B.宗教信仰信息C.医疗健康信息D.行踪轨迹信息答案：ABCD解析：《中华人民共和国个人信息保护法》第二十八条明确规定，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，因此所有选项均正确。3.以下属于当前常见的危害网络安全的攻击类型的是？A.钓鱼攻击B.勒索病毒攻击C.DDoS分布式拒绝服务攻击D.零日漏洞利用攻击答案：ABCD解析：上述四类均是当前网络攻击中最常见、危害性最高的攻击类型，钓鱼攻击骗取敏感信息，勒索病毒加密数据索赎，DDoS攻击导致服务中断，零日漏洞利用利用未公开漏洞发起攻击，因此所有选项均正确。4.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当落实的主体责任包括哪些？A.建立健全全流程安全管理制度和内部审核机制B.对生成的内容进行合规审核，防范违法违规内容生成传播C.保护知识产权，不得非法使用受版权保护的训练数据D.保护用户个人信息，不得非法泄露、买卖用户的输入信息和个人信息答案：ABCD解析：《生成式人工智能服务管理暂行办法》明确要求，提供者应当落实网络安全、数据安全、个人信息保护、知识产权保护等主体责任，建立全流程安全管理机制，所有选项均符合要求，因此全部正确。5.关键信息基础设施运营者应当履行的特殊安全义务包括以下哪些？A.每年至少开展一次安全检测评估，报送评估结果B.对重要系统和核心数据建立容灾备份机制C.制定网络安全事件应急预案，定期开展应急演练D.发生重大网络安全事件后及时向保护工作部门报告答案：ABCD解析：《关键信息基础设施安全保护条例》明确规定了运营者的上述义务，所有选项均符合要求，因此全部正确。6.以下哪些行为属于我国法律明确禁止的危害网络安全的违法违规行为？A.非法侵入他人网络、干扰他人网络正常功能B.窃取或者非法出售、向他人提供个人信息C.为他人实施危害网络安全的行为提供技术支持、广告推广、支付结算等帮助D.按照法律要求留存网络日志、开展安全评估答案：ABC解析：选项D是网络运营者合法履行安全义务的行为，不属于违法违规行为，ABC均为《网络安全法》明确禁止的行为，因此选ABC。7.个人在日常使用网络过程中，可采取哪些措施防范网络安全风险？A.设置复杂度较高的密码，定期更换密码B.对重要账号开启多因素二次验证功能C.不下载来源不明的软件，不点击陌生链接D.不连接未经认证的公共WiFi处理网银、支付等敏感业务答案：ABCD解析：上述措施均是个人网络安全防护的有效手段，能够有效降低遭受网络攻击的风险，因此所有选项均正确。8.开展数据处理活动应当符合以下哪些法律要求？A.遵守法律法规，尊重社会公德和商业道德B.履行数据安全保护义务，承担社会责任C.不得危害国家安全、公共利益，不得损害个人、组织的合法权益D.建立健全全流程数据安全管理制度，开展数据安全教育培训答案：ABCD解析：《中华人民共和国数据安全法》第三条、第二十七条明确规定了上述要求，所有选项均符合法律规定，因此全部正确。9.以下关于勒索病毒的防范措施，正确的有？A.对重要数据定期进行离线多副本备份B.及时更新系统和应用的安全补丁，修复已知漏洞C.不打开陌生发件人的邮件附件，不下载来源不明的文件D.感染勒索病毒后立即缴纳赎金，保证数据恢复答案：ABC解析：缴纳赎金并不能保证数据一定可以恢复，还会助长攻击者的犯罪行为，甚至可能涉嫌违法，因此D错误，ABC均为正确的防范措施，因此选ABC。10.以下哪些数据处理活动属于我国法律明确禁止的行为？A.未取得个人同意过度收集个人信息B.未经安全评估擅自向境外提供核心数据C.利用数据开展危害国家安全、扰乱社会秩序的活动D.对数据进行分类分级管理，落实安全保护要求答案：ABD解析：选项D是合法合规的行为，ABC均为法律禁止的违法违规数据处理活动，因此选ABD。三、判断题（每题1分，共10题）1.根据我国《网络安全法》，任何个人和组织都不得从事非法侵入他人网络、窃取他人数据等危害网络安全的活动。答案：正确解析：《网络安全法》第二十七条明确规定，任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动，不得为他人实施此类活动提供技术支持等帮助，因此题干表述正确。2.处理个人信息只要不泄露给第三方，就不需要取得个人同意。答案：错误解析：《个人信息保护法》明确规定，处理个人信息应当取得个人的同意，除非属于法定不需要取得同意的情形，因此题干表述错误。3.零日漏洞没有官方补丁，因此无法采取任何防护措施。答案：错误解析：虽然零日漏洞没有官方补丁，但可以通过配置访问控制规则、关闭不必要的端口服务、升级入侵检测规则、加强流量监测等方式降低被利用的风险，因此题干表述错误。4.关键信息基础设施保护是在网络安全等级保护制度的基础上实行重点保护，运营者必须先满足等级保护要求。答案：正确解析：我国《网络安全法》明确规定，关键信息基础设施的保护，在网络安全等级保护制度的基础上，实行重点保护，因此运营者首先需要落实等级保护要求，再补充落实关键信息基础设施保护的特殊要求，题干表述正确。5.钓鱼攻击只会通过邮件发起，不会通过短信、社交软件发起。答案：错误解析：当前钓鱼攻击已经衍生出邮件钓鱼、短信钓鱼、社交钓鱼、电话钓鱼等多种形式，题干表述错误。6.个人信息处理者是个人信息安全的责任主体，应当对其个人信息处理活动负责。答案：正确解析：《个人信息保护法》第五条明确规定了该要求，题干表述正确。7.生成式人工智能生成的内容不存在知识产权风险，使用者可以随意商用。答案：错误解析：生成式人工智能的训练数据可能包含大量受知识产权保护的内容，生成内容也可能侵犯他人的著作权、肖像权等合法权益，使用者应当进行合规审核，规避侵权风险，因此题干表述错误。8.我国法律要求网络运营者留存网络日志的时间不得少于六个月。答案：正确解析：《网络安全法》第二十一条明确规定，网络运营者留存相关网络日志不得少于六个月，因此题干表述正确。9.公共WiFi都是安全的，可以随意连接并处理敏感业务。答案：错误解析：未经安全认证的公共WiFi容易被攻击者设置钓鱼热点，窃取用户传输的敏感信息，因此不能随意连接公共WiFi处理网银、支付等敏感业务，题干表述错误。10.符合法定程序的数据出境行为是合法合规的。答案：正确解析：我国法律并不禁止所有数据出境，只要按照要求完成安全评估、签订标准合同或者完成备案，符合合规要求的数据出境是合法的，因此题干表述正确。四、案例分析题（每题20分，共2题）案例1：某社交APP运营企业，在用户注册环节，以提供基础服务为由，强制要求用户授权APP收集通讯录、地理位置、生物识别信息，不授权就无法使用基础聊天功能。后续该企业为了获取广告收益，未经用户同意，将收集到的150万用户的个人信息打包出售给第三方营销公司，用于精准广告投放。后被用户举报至当地网信部门。问题：请结合相关法律法规，指出该企业的违法违规点，以及应当承担的法律责任。参考答案：（1）该企业的违法违规点主要包括四个方面：①违反了个人信息处理的最小必要原则。《个人信息保护法》第六条规定，处理个人信息应当与处理目的直接相关，不得过度收集个人信息，该APP的基础聊天功能不需要收集用户通讯录、生物识别信息，强制授权属于过度收集，违反最小必要原则。②处理敏感个人信息未取得个人单独同意。生物识别信息属于敏感个人信息，《个人信息保护法》要求处理敏感个人信息必须取得个人单独同意，该企业通过一揽子强制授权获取同意，不符合法律要求。③未经同意向第三方提供个人信息。《个人信息保护法》明确规定，个人信息处理者向第三方提供个人信息，必须取得个人的单独同意，该企业未经同意出售用户个人信息牟利，属于严重违法。④不符合数据出境的相关要求，如果涉及向境外提供个人信息未申报评估，还违反了数据出境安全管理的相关规定。（2）该企业应当承担的法律责任：根据《个人信息保护法》第六十六条规定，首先由网信部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，可以责令暂停或者终止提供服务；拒不改正的，处一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。如果情节严重，可处五千万元以下罚款或者上一年度营业额百分之五以下罚款，并可以责令停业整顿、吊销营业执照。同时，该企业的行为给用户造成损害的，应当承担民事赔偿责任；构成侵犯公民个人信息罪的，依法追究刑事责任。案例2：某城市燃气公司的燃气调度控制系统属于关键信息基础设施，近期遭受到攻击者发起的钓鱼邮件攻击，攻击者通过植入木马，利用系统中一个存放了6个月未修复的高危漏洞获取了系统权限