网络和数据安全知识竞赛试题及答案

网络和数据安全知识竞赛试题及答案一、单项选择题（每题1分，共30分）1.根据《中华人民共和国网络安全法》规定，网络运营者应当对其收集的用户信息严格保密，并建立健全（）制度。A.用户信息保护B.信息分级保护C.网络安全监测D.数据容灾备份2.《中华人民共和国数据安全法》明确，国家对数据安全实行（）保护制度，根据数据的重要程度和危害程度对数据实行差异化保护。A.统一集中B.分类分级C.分层管理D.动态3.根据《中华人民共和国个人信息保护法》规定，处理敏感个人信息应当取得个人的（）同意。A.口头B.概括C.单独D.默认4.关键信息基础设施的运营者应当自行或者委托网络安全服务机构，对其网络的安全性和可能存在的风险至少（）进行一次检测评估，并将检测评估情况报送相关负责关键信息基础设施安全保护工作的部门。A.每半年B.每年C.每两年D.每三年5.下列选项中，不属于国家核心数据范畴的是（）。A.关系国家安全的重要数据B.关系国民经济命脉的重要数据C.关系重大公共利益的重要数据D.上市企业核心商业秘密数据6.日常生活中收到陌生短信，内容为“您的社保账户存在异常，请点击下方链接验证身份更新信息”，该场景最可能涉及的网络攻击类型是（）。A.水坑攻击B.钓鱼攻击C.SQL注入攻击D.中间人攻击7.根据《个人信息保护法》规定，以下哪种情形处理个人信息不需要取得个人同意（）。A.为订立、履行个人作为一方当事人的合同所必需B.向第三方商业机构共享个人信息用于精准营销C.公开自然人的行踪轨迹信息用于商业推广D.处理不满十四周岁未成年人个人信息用于产品推广8.数据出境活动中，申报数据出境安全评估的责任主体是（）。A.个人信息主体B.数据处理者C.境外数据接收方D.属地网信部门9.以下哪种用户口令存储方式安全性最高（）。A.明文存储B.加盐慢哈希存储C.仅存储明文哈希值D.明文加密存储10.防范木马病毒入侵终端设备最有效的日常防护措施是（）。A.从不打开任何外来文件B.安装杀毒软件并及时升级病毒库和系统补丁C.定期整理磁盘碎片D.同时安装多款杀毒软件提升防护能力11.零信任安全架构的核心设计思想是（）。A.永不信任，始终验证B.内部默认安全，外部重点防护C.一次认证全程通行D.基于边界的安全防护12.根据《关键信息基础设施安全保护条例》，负责关键信息基础设施安全保护工作的部门应当对本行业、本领域的关键信息基础设施（）开展安全检查。A.每半年B.每年C.定期D.不定期13.下列攻击方式中，不属于数据泄露常见途径的是（）。A.内部人员违规泄露B.系统漏洞被利用入侵C.数据加密存储D.钓鱼邮件窃取账号信息14.个人信息处理者处理个人信息，处理目的、处理方式发生变更的，应当（）。A.重新取得个人同意B.无需再次取得同意，直接变更即可C.仅在官网公告即可D.仅告知个人即可，无需同意15.发生重大数据安全事件时，数据处理者应当按照规定及时向（）报告。A.公安机关B.网信部门等有关主管部门C.行业协会D.用户全体16.以下哪种行为不符合网络和数据安全规范要求（）。A.使用单位统一分配的账号访问涉密系统B.将未查杀的外接U盘插入办公电脑C.定期更换办公系统登录密码D.离职后及时交回所有办公账号权限17.下列关于弱口令的说法，错误的是（）。A.出生年月日、连续数字属于典型弱口令B.弱口令容易被暴力破解，引发数据泄露C.使用相同密码登录多个平台不会增加安全风险D.强口令应当包含大小写字母、数字和特殊符号18.《网络数据安全管理条例》规定，处理超过（）个人信息的个人信息处理者，应当每年开展一次个人信息保护审计，并将审计报告报送属地网信部门。A.十万人B.五十万人C.一百万人D.一千万人19.工业控制系统面临的最突出网络安全风险是（）。A.系统版本老旧，漏洞难以修补B.带宽不足C.操作人员水平低D.硬件能耗高20.从安全角度出发，连接公共免费Wi-Fi时，下列做法正确的是（）。A.直接进行网上转账支付操作B.不进行涉及敏感信息的操作C.可以随意登录涉及个人隐私的账号D.公共Wi-Fi都是安全的，没有风险21.数据安全管理中，数据全生命周期保护不包括以下哪个阶段（）。A.数据收集B.数据存储C.数据销毁D.数据定价22.国家网信部门会同国务院有关部门，对（）的网络安全工作进行检查。A.所有国内互联网企业B.关键信息基础设施运营者C.中小企业D.个人开发者23.下列不属于个人信息的是（）。A.已匿名化处理无法识别到特定自然人的出行记录B.自然人的电子邮箱地址C.自然人的身份证号码D.自然人的行踪轨迹信息24.遭遇网络诈骗导致财产损失后，正确的做法是（）。A.自认倒霉，不声张B.第一时间报警，并保存好转账记录、聊天记录等证据C.联系骗子私下协商给钱赎回D.在网上曝光骗子信息进行报复25.下列关于Cookie的说法，错误的是（）。A.Cookie可以用于记录用户浏览习惯，也可能被滥用泄露个人信息B.网站必须取得用户同意才能存储非必要CookieC.Cookie对计算机没有危害，可以全部允许D.用户可以在浏览器中清理已存储的Cookie26.企业开展数据出境活动，以下哪种情形不需要申报数据出境安全评估（）。A.出境数据包含国家核心数据B.处理100万人个人信息的企业出境个人信息C.企业向境外提供不重要的少量内部非敏感业务数据D.关键信息基础设施运营者向境外提供数据27.防火墙的主要作用是（）。A.查杀病毒木马B.隔离网络，控制访问进出网络的流量C.修复系统漏洞D.加密存储数据28.下列哪种行为属于危害网络安全的行为（）。A.对自己开发的网站进行漏洞扫描B.侵入他人网络系统窃取数据C.在网络平台发布合法的公开信息D.按照规定备份单位重要数据29.关于数据备份，下列做法最安全的是（）。A.只备份在本地一块硬盘上B.采用“3-2-1”备份策略，即至少3份备份，存储在2种不同介质，1份离线存储C.只备份在公有云对象存储上D.从不备份，依赖系统自动恢复30.个人信息保护法中，个人不享有以下哪项权利（）。A.查阅复制其个人信息B.要求更正不准确的个人信息C.要求删除违法违规处理的个人信息D.要求任何情况下都删除自己的个人信息二、多项选择题（每题2分，共30分）1.网络和数据安全工作应当坚持的基本原则包括（）。A.坚持党对网络安全工作的全面领导B.坚持网络安全为人民、网络安全靠人民C.坚持安全和发展并重D.坚持开放包容、共同治理2.根据《中华人民共和国个人信息保护法》，个人信息处理者处理个人信息应当遵循（）原则。A.合法B.正当C.必要D.诚信3.敏感个人信息包括以下哪些类别（）。A.生物识别B.宗教信仰C.医疗健康D.行踪轨迹E.不满十四周岁未成年人的信息4.勒索病毒的常见传播途径包括（）。A.钓鱼邮件携带恶意附件B.利用系统未修复的漏洞进行远程攻击C.弱口令暴力破解登录权限D.正规渠道下载的经签名的安全软件5.关键信息基础设施涵盖以下哪些重要行业和领域（）。A.能源、电力、水利B.交通、通信C.金融、政务D.广播电视、国防科技工业6.日常办公场景中，下列哪些行为不符合数据安全规范要求（）。A.将单位涉密数据存储在个人云盘B.使用个人邮箱传输单位敏感工作信息C.随意转发内部未公开文件到外部聊天群D.离开工位及时锁定办公电脑屏幕7.数据分类分级的主要意义包括（）。A.识别不同重要程度的数据，实施差异化保护B.提升数据安全保护效率，降低保护成本C.满足法律法规对数据安全保护的合规要求D.便于数据开放共享，提升数据价值8.防范网络钓鱼攻击的有效措施包括（）。A.不随意点击陌生短信、邮件中的链接B.不下载陌生来源的附件C.登录官方网站核对信息，不通过陌生链接跳转登录D.收到陌生信息后直接点击链接确认身份，避免错过重要通知9.根据《中华人民共和国数据安全法》，开展数据处理活动应当遵守哪些规定（）。A.不得危害国家安全、损害社会公共利益B.不得侵害个人或者组织的合法权益C.遵守法律、行政法规，尊重社会公德和伦理D.履行数据安全保护义务10.下列属于常见的个人信息泄露途径的有（）。A.违规收集个人信息的手机AppB.论坛、网站数据泄露被拖库C.随意丢弃未清理个人信息的旧手机D.随意点击陌生链接泄露账号密码11.网络运营者应当制定网络安全事件应急预案，及时处置（）等安全风险。A.系统漏洞B.计算机病毒C.网络攻击D.网络侵入12.零日漏洞的特点包括（）。A.漏洞公开后供应商尚未发布补丁程序B.危害大，难以防范C.已经公开超过一年的漏洞D.供应商已经发布补丁但未被用户安装13.数据出境的合法合规方式包括（）。A.通过国家网信部门组织的数据出境安全评估B.按照规定签订标准合同进行个人信息出境C.经过个人信息保护认证D.只要个人同意就可以随意出境14.下列关于密码安全的说法，正确的有（）。A.不同平台应当设置不同的登录密码B.定期更换密码可以降低密码泄露风险C.不要将密码告知他人D.开启二次验证可以提升账号安全性15.单位发生数据泄露安全事件后，应当采取的正确处置措施包括（）。A.立即启动应急预案，采取技术措施防止危害扩大B.及时按照规定向有关主管部门报告C.及时告知受到影响的个人信息主体D.隐瞒事件，私下处理，不对外声张三、判断题（每题1分，共15分）1.《中华人民共和国网络安全法》规定，任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息。（）2.匿名化处理后的个人信息仍然属于《个人信息保护法》管辖的个人信息范畴，处理仍然需要遵守相关规定。（）3.零信任安全架构的核心思想是“永不信任，始终验证”，不默认任何内部或外部主体的信任，每次访问都需要进行验证。（）4.网络运营者可以在用户不知情的情况下，收集用户个人信息用于商业目的。（）5.关键信息基础设施运营者应当对重要系统和数据库进行容灾备份，保障业务连续稳定运行。（）6.只要设置了复杂密码，就不会被暴力破解，不需要开启二次验证。（）7.使用公共Wi-Fi时，不要进行网上转账、登录网银等涉及敏感信息的操作，避免信息被窃取。（）8.数据分类分级是数据安全保护的基础工作，是实施差异化数据安全保护的前提。（）9.个人发现网络运营者违反法律、行政法规的规定处理其个人信息的，有权要求网络运营者删除其个人信息。（）10.企业不需要定期开展网络安全应急演练，发生事件再处置即可。（）11.离开办公工位时，不需要锁定屏幕，不会有信息泄露风险。（）12.国家对核心数据实施最严格的保护措施，核心数据不得出境。（）13.接入互联网的工业控制系统不会遭受网络攻击，不需要做安全防护。（）14.钓鱼邮件通常会伪装成官方机构、领导发送的邮件，诱导用户点击链接或下载附件。（）15.数据销毁只是物理销毁硬盘，不需要对存储在云平台的数据进行彻底删除。（）四、简答题（每题5分，共25分）1.什么是数据分类分级？简述开展企业数据分类分级工作的核心意义。2.简述网络钓鱼攻击的主要特征，结合日常工作场景说明防范钓鱼攻击的主要措施。3.根据《个人信息保护法》，个人信息主体依法享有哪些权利？4.什么是勒索病毒？简述企事业单位和个人分别应当如何防范勒索病毒攻击。5.简述关键信息基础设施运营者应当履行的核心网络安全保护义务。参考答案一、单项选择题1.A2.B3.C4.B5.D6.B7.A8.B9.B10.B11.A12.C13.C14.A15.B16.B17.C18.C19.A20.B21.D22.B23.A24.B25.C26.C27.B28.B29.B30.D二、多项选择题1.ABCD2.ABCD3.ABCDE4.ABC5.ABCD6.ABC7.ABCD8.ABC9.ABCD10.ABCD11.ABCD12.AB13.ABC14.ABCD15.ABC三、判断题1.√2.×3.√4.×5.√6.×7.√8.√9.√10.×11.×12.√13.×14.√15.×四、简答题1.答案要点：数据分类分级是指根据数据的业务属性、用途、重要程度，以及一旦发生篡改、泄露、非法利用后对国家安全、公共利益、个人及组织合法权益的危害程度，将数据划分为不同类别和级别的管理过程。我国现行法律法规将数据划分为核心数据、重要数据、一般数据三个核心级别，不同级别对应差异化的保护要求。开展企业数据分类分级的核心意义包括：一是满足合规要求，是落实《数据安全法》《网络安全法》等法律法规要求的基础工作，帮助企业实现数据安全合规管理，避免合规风险；二是明确保护重点，通过区分不同级别数据的保护需求，合理分配安全防护资源，在保障安全的前提下降低整体防护成本，提升保护效率；三是支撑全生命周期数据安全治理，为数据风险评估、数据出境合规、数据安全事件处置等工作提供基础依据；四是促进数据合理开放共享，在落实安全保护要求的前提下充分释放数据要素价值，支撑企业数字化转型和数字经济发展。2.答案要点：网络钓鱼攻击是指攻击者通过伪装成银行、官方机构、企业领导、合作单位等可信主体，借助短信、邮件、即时聊天软件等渠道发送虚假信息，诱导受害者点击恶意链接、下载恶意附件或输入账号密码、银行卡信息等敏感信息，进而实现窃取信息、诈骗财产、植入恶意程序等目的的攻击行为。网络钓鱼攻击的核心特征包括：伪造发件人身份、内容带有较强的诱导性或紧迫性、附加陌生链接或不明附件、要求受害者提供敏感个人或企业信息。日常工作场景中防范钓鱼攻击的主要措施：一是提升安全意识，不随意点击陌生短信、邮件、聊天消息中的链接，不下载陌生来源的附件；二是多渠道核实身份，对于要求转账、提供敏感信息的内容，通过电话、当面沟通等官方渠道确认发送人身份，不直接按照消息要求操作；三是通过官方入口访问系统，登录单位办公系统、金融平台等网站时，直接输入官方地址，不通过陌生链接跳转登录，避免进入仿冒钓鱼网站；四是部署技术防护，企业要更新杀毒软件、防火墙，开启恶意网站拦截功能，及时更新系统补丁；五是定期开展安全培训和钓鱼演练，提升员工的识别和防范能力。3.答案要点：根据《中华人民共和国个人信息保护法》，个人信息主体依法享有以下权利：一是知情权与决定权，个人有权知晓个人信息处理者处理自身个人信息的目的、方式、范围，有权自主决定同意或者不同意处理自身个人信息；二是查阅复制权，个人有权向个人信息处理者查阅、复制其自身的个人信息；三是更正补充权，个人发现自身个人信息不准确、不完整的，有权要求处理者进行更正和补充；四是删除权，在个人信息处理活动违反法律法规规定、违反双方约定，或者处理目的已经实现、无法实现等情形下，个人有权要求处理者删除自身个人信息；五是解释说明权，个人有权要求个人信息处理者对其个人信息处理规则进行解释说明；六是可携带权，个人有权要求个人信息处理者将符合条件的个人信息转移至其指定的个人信息处理者。4.答案要点：勒索病毒是一种恶意计算机程序，入侵受害者设备后会加密终端、服务器中的文件，使受害者无法正常访问数据，随后向受害者勒索赎金，声称缴纳赎金后才提供解密密钥恢复数据，部分勒索病毒还会在加密前窃取敏感数据，以公开数据为二次要挟勒索赎金。企事业单位防范勒索病毒的核心措施：一是及时更新系统和应用的安全补丁，修复已知漏洞，