2026年网络信息安全员技能竞赛试题(附答案)

2026年网络信息安全员技能竞赛试题(附答案)一、单项选择题（每题1分，共20分）1.根据《关键信息基础设施安全保护条例》，下列选项中不属于关键信息基础设施范畴的是（）A.面向全国公众提供服务的大型公有云平台B.日活跃用户10万的地方地方性生活社区论坛C.国家电网某省级电力调度中心D.国有大型商业银行核心交易处理系统2.根据网络安全等级保护2.0相关规定，第三级网络的安全测评周期为（）A.每半年1次B.每1年1次C.每2年1次D.每3年1次3.根据《中华人民共和国个人信息保护法》，处理敏感个人信息无需满足下列哪项要求（）A.取得个人的单独同意B.制定专门的个人信息处理方案C.向个人告知处理敏感个人信息的必要性以及对个人权益的影响D.经单位个人信息保护委员会审批同意4.根据《生成式人工智能服务管理暂行办法》，下列生成式AI服务提供者的做法中，不符合监管要求的是（）A.对训练数据的来源、版权合规性进行全面审核B.对输出的生成内容进行人工+AI的多层复核C.要求服务提供者留存所有用户生成内容不少于6个月D.建立违法违规内容投诉举报渠道，发现违法内容及时处置5.在常见网络攻击手段中，中间人攻击无法实现下列哪项行为（）A.窃听通信双方的传输内容B.篡改通信双方的传输数据C.破解目标系统存储的哈希密码D.中断通信双方的通信连接6.在SQL注入攻击场景中，攻击者在登录框输入`'OR1=1--`的核心目的是（）A.删除数据库中的核心数据B.绕过系统身份验证机制C.直接获取服务器操作系统权限D.上传WebShell木马后门7.根据《中华人民共和国网络安全法》，关键信息基础设施运营者应当自行或委托网络安全服务机构对其网络安全风险进行检测评估，周期要求为（）A.每半年至少1次B.每年至少1次C.每两年至少1次D.每三年至少1次8.根据我国数据分类分级相关标准，下列选项中属于重要数据范畴的是（）A.政府部门公开可查询的政务信息B.单个公民的姓名、联系方式等一般个人信息C.包含12万条公民个人信息的区域人口汇总数据D.标注密级的国家秘密信息9.零信任安全架构的核心思想是（）A.信任内部网络、不信任外部网络B.永不信任，始终验证C.基于网络边界构建信任体系D.一次性认证后全程信任访问10.下列加密算法中，不属于非对称加密算法的是（）A.RSAB.ECCC.AESD.DSA11.APT高级持续性威胁攻击的核心特点不包括（）A.攻击行为持续性B.攻击目标针对性C.攻击过程低隐蔽性D.攻击结果高危害性12.下列关于WebShell的说法中，错误的是（）A.WebShell本质是网页后门程序B.攻击者通过WebShell可获取网站服务器的操作权限C.WebShell只能是asp后缀格式，无法修改为其他后缀绕过检测D.WebShell通常通过文件上传漏洞入侵注入目标服务器13.根据《中华人民共和国数据安全法》，重要数据处理者应当对自身数据处理活动开展风险评估，周期要求为（）A.每半年至少1次B.每年至少1次C.每两年至少1次D.每三年至少1次14.标准网络安全应急响应流程中，第一个阶段是（）A.攻击根除B.入侵检测C.攻击抑制D.应急准备15.下列攻击手段中，属于社会工程学攻击范畴的是（）A.SQL注入攻击B.鱼叉式钓鱼邮件攻击C.DDoS分布式拒绝服务攻击D.缓冲区溢出攻击16.防火墙无法工作在OSI七层模型的哪一层（）A.物理层B.网络层C.传输层D.应用层17.网络安全等级保护2.0的五个核心安全层面不包括下列哪项（）A.安全物理环境B.安全管理中心C.安全业务流程D.安全区域边界18.DNS欺骗攻击的核心目的是（）A.将目标域名错误解析到攻击者控制的恶意IP地址B.消耗DNS服务器带宽资源实现DDoS攻击C.窃取DNS服务器存储的核心区域解析文件D.删除DNS服务器的合法解析记录19.根据《中华人民共和国个人信息保护法》，处理个人信息应当遵循的核心原则不包括（）A.合法B.正当C.必要D.利益最大化20.下列安全技术中，最能同时保障数据传输的完整性和来源真实性的是（）A.哈希校验B.对称加密C.非对称加密D.数字签名单项选择题参考答案1.B2.B3.D4.C5.C6.B7.B8.C9.B10.C11.C12.C13.B14.D15.B16.A17.C18.A19.D20.D二、多项选择题（每题2分，共30分，多选、少选、错选均不得分）1.根据《中华人民共和国网络安全法》，网络运营者应当履行的安全保护义务包括（）A.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等安全措施2.和等保1.0相比，网络安全等级保护2.0的核心变化包括（）A.扩大了监管覆盖范围，将云计算、大数据、物联网、工业控制系统等新兴领域纳入监管B.明确了“一个中心三重防护”的核心防护理念，强化了安全管理中心的作用C.提高了安全要求的针对性和可操作性，适配不同类型的信息系统D.缩短了所有安全等级信息系统的测评周期，提高测评频率3.根据《中华人民共和国个人信息保护法》，下列选项中属于敏感个人信息范畴的有（）A.生物识别信息B.宗教信仰信息C.行踪轨迹信息D.医疗健康信息4.零信任安全架构的核心设计原则包括（）A.永不信任，持续验证所有访问请求B.遵循最小权限授予原则C.默认假设网络已经被攻破，所有访问都存在风险D.基于身份而非网络位置构建访问控制体系5.下列选项中属于常见Web应用安全漏洞的有（）A.SQL注入漏洞B.XSS跨站脚本漏洞C.CSRF跨站请求伪造漏洞D.命令注入漏洞6.根据《关键信息基础设施安全保护条例》，下列选项中属于关键信息基础设施运营者特定义务的有（）A.对重要系统和数据库进行容灾备份B.制定网络安全事件应急预案，并定期开展应急演练C.按要求将安全评估报告报送至保护工作部门D.采购所有网络产品和服务无需开展国家安全审查7.根据《个人信息出境安全评估办法》，下列情形中属于应当申报个人信息出境安全评估的有（）A.关键信息基础设施运营者向境外提供个人信息B.处理者向境外提供我国的重要数据C.处理100万人以上个人信息的个人信息处理者向境外提供个人信息D.累计向境外提供10万条以下个人信息的中小企业8.APT攻击常见的攻击流程包括（）A.通过鱼叉式钓鱼邮件投递恶意程序，获取目标网络初始访问权限B.通过内网横向移动逐步扩大权限，获取核心服务器访问权限C.长期潜伏在目标网络中，持续窃取核心敏感数据D.直接发动大流量DDoS攻击瘫痪目标网络9.标准网络安全应急响应的核心阶段包括（）A.应急准备阶段B.入侵检测与分析阶段C.攻击抑制与根除阶段D.系统恢复与总结改进阶段10.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当履行的安全义务包括（）A.对训练数据的合法性、版权合规性进行审核，保护知识产权和个人信息权益B.对生成输出的内容进行审核，防范违法违规内容生成传播C.落实网络安全等级保护制度，保障服务安全稳定运行D.保护用户个人信息，不得非法收集、泄露用户个人信息11.下列安全技术中，属于主动防御技术范畴的有（）A.入侵检测系统（IDS）B.入侵防御系统（IPS）C.传统边界防火墙D.蜜罐12.数据安全治理体系的核心内容包括（）A.开展数据分类分级梳理B.定期开展数据安全风险评估C.建立数据全生命周期安全管控机制D.建立数据安全应急处置体系13.下列关于XSS跨站脚本攻击的说法中，正确的有（）A.XSS攻击分为存储型、反射型、DOM型三类B.攻击者可以通过XSS攻击窃取用户的会话Cookie，冒充用户身份C.对用户输入进行过滤转义是防范XSS攻击的有效手段D.存储型XSS的危害通常大于反射型XSS14.根据《关键信息基础设施安全保护条例》，下列选项中属于关键信息基础设施运营者安全责任的有（）A.设置专门的网络安全管理机构和专职安全管理负责人B.定期对从业人员开展网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份D.建立网络安全监测预警机制，及时发现处置安全风险15.下列措施中，可以有效防范DDoS攻击的有（）A.部署流量清洗设备B.采购高防IP服务C.使用CDN内容分发网络隐藏源站IPD.配置防火墙规则过滤恶意攻击流量多项选择题参考答案1.ABCD2.ABC3.ABCD4.ABCD5.ABCD6.ABC7.ABC8.ABC9.ABCD10.ABCD11.BD12.ABCD13.ABCD14.ABCD15.ABCD三、判断题（每题1分，共10分，正确打√，错误打×）1.根据《中华人民共和国网络安全法》规定，网络运营者留存的网络日志不得少于六个月。（）2.所有个人信息向境外提供都需要申报国家网络安全部门安全评估。（）3.DDoS分布式拒绝服务攻击的核心目的是窃取目标系统的核心数据。（）4.零信任安全架构要求，无论是来自内部网络还是外部网络的访问请求，都需要进行身份验证和授权。（）5.SQL注入攻击只能窃取数据库数据，无法获取目标服务器操作系统权限。（）6.根据《中华人民共和国个人信息保护法》，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。（）7.存储型XSS攻击的恶意代码会存储在目标服务器中，任意用户访问对应页面都会触发攻击。（）8.网络安全等级保护等级中，第三级的安全要求低于第二级。（）9.数字签名技术可以同时实现数据完整性校验、身份认证和不可否认性三个安全目标。（）10.根据我国相关规定，关键信息基础设施只能由国有单位运营，私营企业不得参与运营。（）判断题参考答案1.√2.×3.×4.√5.×6.√7.√8.×9.√10.×四、案例分析题（共40分）案例一（20分）某省级大型三甲医院，2025年上线全新互联网问诊平台，支持患者在线挂号、缴费、查看电子病历，平台累计存储超过500万患者的个人信息，包括姓名、身份证号、联系方式、医疗健康记录等内容。2026年1月，网络安全研究者发现该平台存在未授权访问漏洞，攻击者无需身份验证即可直接下载平台存储的全部患者数据。经溯源排查，漏洞产生原因为：平台开发阶段为方便调试，开放了未授权的后台数据接口，项目上线运维阶段忘记关闭该接口，最终导致数据泄露。事件发生后，医院未及时告知受影响用户，也未向监管部门上报，一周后该事件被媒体曝光，医院才启动处置和上报流程。问题：1.该医院存储的患者医疗健康信息属于什么类型的信息？该医院的互联网问诊平台是否属于关键信息基础设施，医院是否属于关键信息基础设施运营者？请说明依据。（10分）2.该医院在此次事件中存在哪些违规行为？根据我国现行法律法规，可能受到哪些处罚？（10分）案例二（20分）某互联网科技公司运营面向公众免费开放的生成式AI聊天机器人服务，运营过程中存在以下行为：①训练模型所用的数据集全部来自网络爬取的公开内容，包含大量受著作权法保护的文字、图片作品，未获得版权方授权；②为优化模型效果，该公司收集所有用户和机器人的聊天对话内容，用于后续模型训练，未在用户协议中告知用户，也未获得用户同意；③该公司未建立内容安全审核机制，聊天机器人可以生成危害国家安全、煽动极端情绪、淫秽色情的违法内容；④该公司未落实网络安全等级保护制度，未开展等保测评，平台存在多个未修复的安全漏洞，可能导致用户对话数据泄露。问题：1.该公司的上述行为分别违反了哪些现行法律法规？请逐一说明。（12分）2.针对上述问题，该公司应当采取哪些整改措施？（8分）案例分析题参考答案案例一参考答案1.（1）该医院存储的患者医疗健康信息属于敏感个人信息，同时属于重要数据范畴。依据《个人信息保护法》，医疗健康信息属于明确列明的敏感个人信息；依据我国《数据分类分级规则》国家标准，涉及大量公民个人信息的医疗健康数据直接关系公共利益，属于重要数据范畴。（4分）（2）该医院的互联网问诊平台属于关键信息基础设施，该医院属于关键信息基础设施运营者。依据《关键信息基础设施安全保护条例》，面向公众提供公共卫生服务的重要信息设施，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害公共利益、公民人身安全，因此符合关键信息基础设施的认定标准，该三甲医院作为运营主体，属于法定的关键信息基础设施运营者。（6分）2.（1）存在的违规行为：①未落实网络安全等级保护制度，上线前未开展安全检测评估，未建立上线安全审核机制，遗留高危未授权访问漏洞；②未履行个人信息保护义务，未采取必要的技术和管理措施保护存储的大量敏感个人信息；③发生重大个人信息泄露事件后，未按照《个人信息保护法》要求及时告知受影响用户，也未向履行个人信息保护职责的监管部门上报，存在迟报安全事件的违规行为；④作为关键信息基础设施运营者，未落实《关键信息基础设施安全保护条例》要求，未建立常态化安全风险监测机制，未定期开展漏洞排查整改。（5分）（2）可能的处罚：①根据《网络安全法》《个人信息保护法》，监管部门可以对医院处五千万元以下罚款，或者处上一年度营业额百分之五以下罚款；②对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款；③情节严重的，可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；④对相关责任人员依法处以处分或追究刑事责任。（5分）案例二参考答案1.（1）爬取使用受版权保护的内容训练模型未获得授权，违反了《中华人民