信息化时代网络安全意识试题

信息化时代网络安全意识试题一、单项选择题（共20题，每题只有1个正确选项，覆盖法规要求、办公场景防护、前沿技术安全、应急处置全维度知识点）1.依据我国现行网络安全领域上位法规定，《中华人民共和国网络安全法》的正式施行日期为以下哪个选项：A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2019年12月1日2.根据《个人信息保护法》明确的核心处理原则，企业和个人收集、使用用户个人信息时应当严格遵循“最小必要”要求，以下对该原则的理解表述准确的是：A.可以基于未来潜在的业务拓展需求，提前收集与当前服务无关的用户信息B.仅处理实现处理目的的最小范围、最短期限、最少类型的个人信息，不得超出必要边界C.只要用户同意，就可以无限制收集用户的所有个人信息D.为了提升用户体验，可以默认勾选所有信息授权选项，无需用户单独确认3.职场办公场景下，你收到标注为“部门最新薪资核算表”“全员绩效考核通知”的陌生邮件，发件人地址看起来和行政部门官方邮箱仅有1个字符差异，邮件附带后缀为.exe的附件，此时你应当采取的正确操作是：A.趁周围同事不注意赶紧点开附件查看，避免错过重要信息B.直接下载附件到本地，用杀毒软件扫描后再打开C.第一时间通过企业内部通讯工具或电话联系行政部门官方对接人核实邮件真实性，确认是钓鱼邮件后第一时间上报单位网络安全管理部门D.把邮件转发给部门所有同事，提醒大家一起查看4.按照网络安全等级保护2.0体系提出的终端身份认证规范，办公系统账号的口令设置复杂度最低应当符合以下哪项要求，才能有效抵御暴力破解攻击：A.仅使用本人生日的8位数字作为口令，方便记忆B.长度不低于8位，仅使用英文字母组合设置口令C.长度不低于12位，同时包含大写字母、小写字母、数字、特殊符号四类元素中的至少三类，且避免使用姓名、工号、手机号等公开信息关联内容D.全平台所有账号共用同一个16位的高强度口令，避免忘记密码5.网络安全等级保护制度2.0正式落地实施的日期是以下哪一项，该标准将云计算、大数据、物联网、工业控制系统等新场景全部纳入保护范围：A.2017年6月1日B.2018年12月31日C.2019年12月1日D.2021年9月1日6.日常浏览网页过程中，以下哪项特征不属于恶意钓鱼网站的典型识别标识：A.网站域名与官方平台域名高度相似，仅存在字符替换、多后缀的情况，比如将“”篡改为“”B.网站地址栏显示安全锁标识，SSL证书由国家认可的CA机构颁发，页面跳转路径符合官方业务流程C.网页要求你输入银行卡密码、短信验证码、支付密码才能领取所谓的“限时福利”D.网站页面布局粗糙、存在大量错位弹窗，跳转时反复要求下载未知来源的插件7.员工因公外出需要处理单位内网涉密办公系统的业务，此时场所周边仅有未实名认证的公共免费WiFi可使用，以下操作符合安全规范的是：A.直接连接公共WiFi，输入账号密码登录内网办公系统处理业务B.连接公共WiFi前，把笔记本电脑的杀毒软件关闭，避免影响访问速度C.先使用单位统一配发的加密VPN客户端，建立加密传输隧道后再通过身份认证访问内网系统，全程不传输核心敏感业务数据D.借用旁边陌生人的手机热点，直接登录内网系统8.根据《数据安全法》对数据的分类分级定义，核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益的核心数据，以下哪种数据不属于核心数据范畴：A.未公开的核武器研发试验参数B.全国不动产统一登记的全量公民房产信息库C.互联网平台公开的周边商铺营业时间信息D.国家电网全国主干电网实时运行调度数据9.勒索病毒是当前企业网络面临的最高危威胁之一，以下哪种路径不属于勒索病毒的主流传播渠道：A.从经过官方备案认证的正规开源软件官网下载经过数字签名的安装包B.伪装成求职简历、项目中标通知书的钓鱼邮件附件C.利用操作系统、办公软件未及时打补丁的高危漏洞实现远程入侵传播D.未经过安全查杀的外部U盘、移动硬盘等存储介质摆渡传播10.根据多因素身份认证的安全规范要求，以下哪组认证组合不属于符合安全标准的双因素认证机制：A.账号密码+本人实时人脸生物特征识别B.账号密码+手机短信动态验证码C.账号密码+用户本人身份证号明文输入验证D.实体UKey硬件令牌+系统动态口令11.《数据安全法》第三十条明确规定，重要数据的处理者应当按照规定对其数据处理活动定期开展以下哪项工作，并将风险评估报告和处理情况报送相关主管部门：A.无限度对外公开全量数据B.数据安全风险评估C.面向第三方免费开放所有数据接口D.无限制扩大内部数据访问权限12.个人日常使用社交平台发布动态信息，以下哪项行为符合网络安全保密相关管理要求：A.外出游玩时拍摄军事管理区的内部设施照片，发布到个人朋友圈炫耀B.对外分享个人拍摄的城市公共商圈景观照片，提前隐去画面中偶然摄入的涉密单位标识、未公开的重大项目施工细节C.把印有单位完整工号、内网权限二维码的工作证拍下来，晒在1000人以上的行业交流群里D.加班时把标有内部涉密等级的项目方案完整拍下来，发微博吐槽加班13.当前生成式AI工具广泛普及，办公场景下使用境外AI大模型工具时，以下哪项操作符合数据安全防护要求：A.直接把单位核心的用户信息库、未公开的技术研发方案全部粘贴到AI对话框里，要求AI帮忙整理生成汇报材料B.上传待处理的业务数据前，先对所有敏感字段做脱敏处理，隐去所有可定位到具体主体、关联核心业务的标识信息，仅上传AI任务必需的最小数据范围C.把单位涉密会议的完整录音直接上传到AI工具，要求AI帮忙转写会议纪要D.用个人账号注册境外AI工具后，把单位所有工作群的聊天记录批量导入AI知识库14.针对“冒充公检法”这一高发电信网络诈骗类型，以下哪项表述符合官方正规办案流程，不属于诈骗分子的虚假话术特征：A.警方通过官方线下办公场所当面出示合法证件向当事人出具拘留证、通缉令等法律文书，不存在所谓的“线上通缉令”“私密办案通道”B.警方要求当事人把所有存款转到所谓的“国家安全账户”做资金核验C.警方要求当事人找酒店躲起来，不能和家人朋友通话，全程线上配合做笔录D.警方要求当事人下载远程控制软件，共享手机屏幕配合资金清查15.根据国内关键信息基础设施运营者的通用终端安全管理规范，被国家信息安全漏洞共享平台（CNVD）标注为“高危”“严重”级别的安全漏洞，相关单位应当在最长多长时间内完成全量终端的补丁修复或者防护策略配置，避免被攻击者利用入侵：A.72小时B.7个工作日C.30天D.半年16.零信任架构是当前全球政企普遍部署的新一代网络安全防护体系，其核心基础理念是：A.内网环境天然安全，只要接入内网就可以无条件信任所有设备和用户B.永不信任、始终验证、最小权限授权、动态全局防护C.所有外部访问请求都必须拦截，所有内部访问请求都无条件放行D.不需要做任何身份认证，直接默认授权所有用户访问所有业务系统17.接入涉密信息系统的终端计算机，严格执行保密管理规范的以下哪项要求：A.可以临时接入互联网10分钟，查完资料立刻断网，只要装了杀毒软件就不会泄密B.严禁以任何形式接入互联网或者其他公共信息网络，必须实现物理隔离C.可以使用WiFi模块连家里的私人WiFi，前提是不传输涉密文件D.可以连接私人手机热点，只要不插U盘就没有风险18.日常使用智能手机安装各类APP时，针对APP的权限申请请求，以下哪项操作符合个人信息安全防护要求：A.安装一个手电筒功能的工具APP时，对方申请读取通讯录、位置信息、麦克风权限，直接全部点击“同意”，避免影响后续使用B.认真核对APP申请的权限是否与其核心服务功能直接相关，对超出服务必要性的权限直接点击拒绝，后续使用过程中也定期清理冗余权限授权C.所有APP申请的所有权限全部同意，避免每次使用都弹出权限提醒D.把手机系统的所有权限全部默认设置为“允许”，不需要逐一核对19.单位内部发生网络安全事件，确认终端已经被攻击者入侵、存在数据泄露风险时，现场运维人员第一时间应当采取的正确操作是：A.直接重启涉事终端，重装操作系统，把所有日志记录全部清空B.第一时间断开涉事终端的网络连接，保留系统现场和原始日志记录，第一时间上报单位网络安全管理部门和行业监管部门，后续在专业人员指导下开展处置C.自己私下找技术朋友帮忙破解攻击者留下的文件，不需要上报D.直接把涉事终端连接到外部公共WiFi，上传所有数据到云盘备份20.《关键信息基础设施安全保护条例》明确规定，关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过哪个机构组织的国家安全审查：A.第三方普通互联网公司B.国家网信部门会同国务院有关部门C.产品厂商自行出具的安全证明D.运营者内部自行审核二、多项选择题（共15题，每题有2个及以上正确选项，错选漏选均不得分）1.根据《个人信息保护法》定义的“敏感个人信息”范畴，以下哪些信息属于受严格保护的敏感个人信息类型：A.生物识别信息、宗教信仰、特定身份B.医疗健康、金融账户、行踪轨迹信息C.不满十四周岁未成年人的个人信息D.公开出版的全国地名名录信息2.党政机关、科研单位员工日常办公场景下，以下哪些行为属于典型的泄密风险操作，需要严格禁止：A.将涉密笔记本电脑带回家处理工作，接入家里的互联网环境B.使用非涉密私人U盘在涉密计算机和办公终端之间交叉拷贝文件C.参加国际学术会议时，未经审批公开发表标注为内部敏感的科研成果D.按照保密管理要求对涉密文件进行全程密级标识、闭环流转3.当前针对企业发起的钓鱼攻击已经衍生出多种新形态，以下哪些属于当前主流的钓鱼攻击类型：A.语音钓鱼：通过伪装成官方客服的语音通话，诱导受害者告知银行卡号和验证码B.短信钓鱼：发送伪装成官方业务的短信，附带恶意链接诱导用户点击下载木马C.鱼叉式钓鱼：针对单位特定高管、核心岗位人员定制个性化诈骗内容，精准投递钓鱼邮件D.页面劫持钓鱼：篡改正规网站页面跳转逻辑，诱导用户跳转到高仿钓鱼平台填写账号密码4.零信任安全架构的核心组成组件，通常包括以下哪些模块：A.身份安全治理体系：实现所有用户、设备身份的统一管理和动态核验B.微隔离访问控制模块：实现内网不同业务区域之间的细粒度访问权限隔离，避免攻击横向扩散C.持续信任评估引擎：基于用户的访问行为、设备安全状态、环境风险动态调整访问权限等级D.完全取消所有身份核验机制，实现无条件无防护的开放访问5.依据《数据出境安全评估办法》要求，以下哪些场景下，数据处理者向境外提供重要数据必须申报国家数据出境安全评估：A.处理100万人以上个人信息的个人信息处理者，向境外提供个人信息B.境内关键信息基础设施运营者，向境外提供核心运行数据C.出境数据中包含未公开的地理信息、国防建设相关敏感数据D.仅向境外传输已经官方公开的公开政策文件、公开新闻信息6.针对当前高发的电信网络诈骗，单位内部开展员工反诈劝阻工作时，需要重点提醒员工警惕以下哪些典型诈骗套路：A.冒充领导、同事通过私人微信申请添加好友，要求帮忙转账到指定私人账户B.刷单返利、虚假投资理财、虚假购物退款诈骗C.以“社保账户过期”“医保账户冻结”为由诱导用户点击钓鱼链接填写个人信息D.公安机关官方平台发布的反诈预警宣传信息7.家用和办公场景下的物联网智能设备，常见的网络安全隐患包括以下哪些内容：A.出厂保留弱口令且用户从未修改，攻击者可以直接通过公网暴力破解控制设备B.设备存在未修复的高危漏洞，容易被纳入僵尸网络发起DDoS攻击C.智能摄像头未开启安全加密，被攻击者非法窃取监控画面，泄露家庭或者办公区域隐私D.设备默认开启固件自动升级，厂商定期推送安全补丁修复漏洞8.单位内网办公终端使用过程中，以下哪些操作属于被安全管理规范明确禁止的违规行为：A.关闭终端自带的防火墙、杀毒软件、主机入侵防护系统等安全组件B.私自修改终端IP地址接入其他业务网段，越权访问核心业务系统C.绕过单位网络出口审计系统，私自搭建VPN翻墙访问境外非法网站D.按照规范要求定期升级系统补丁、更新病毒库9.依据网络安全等级保护2.0的分级要求，我国网络安全保护等级从低到高划分为哪几个等级：A.第一级：自主保护级B.第二级：指导保护级C.第三级：监督保护级D.第四级：强制保护级、第五级：专控保护级10.生成式AI技术大规模普及背景下，衍生出的新型网络安全风险包括以下哪些类型：A.AI深度换脸诈骗：通过伪造亲友、同事的人脸和语音，远程诱导受害者转账B.AI自动生成钓鱼邮件、恶意代码，大幅降低网络攻击的技术门槛C.大规模训练数据窃取：攻击者通过提示词绕过防护，非法获取AI训练库中的敏感个人信息D.AI协助员工提升工作效率，在不涉及敏感数据的前提下生成常规文档初稿11.社交工程攻击是当前最难以防御的网络攻击手段之一，以下哪些属于典型的社交工程攻击手法：A.攻击者伪装成运维人员进入办公区域，以检修设备为借口骗取员工密码B.攻击者在公司门口丢弃印有“内部福利领取”标识的感染木马的U盘，诱导员工插入办公终端使用C.攻击者通过公开社交平台收集员工的生日、工号、出行信息，针对性发起身份诈骗D.攻击者通过合法合规的公开渠道发布官方安全预警信息12.面向云计算场景部署的云安全防护体系，核心防护措施包括以下哪些内容：A.租户侧数据全生命周期加密存储、加密传输，避免云服务商内部非授权人员访问用户敏感数据B.云操作日志全量留存不少于6个月，满足等保合规审计要求C.细化云主机的访问权限边界，禁用所有不必要的端口和对外暴露的服务D.把所有业务系统的管理员账号密码设置为“123456”，所有云租户共享同一账号密码13.完整的漏洞全生命周期管理流程，应当覆盖以下哪些核心环节：A.漏洞监测收集：通过漏洞扫描、威胁情报共享等渠道及时发现资产存在的安全漏洞B.漏洞验证定级：核实漏洞的影响范围、风险等级，分级制定修复优先级C.漏洞修复处置：根据漏洞风险等级在规定时限内完成补丁修复或者防护策略替代D.漏洞复测闭环：修复完成后重新扫描验证漏洞是否完全清除，形成管理闭环14.《未成年人网络保护条例》明确规定的未成年人网络权益防护要求包括以下哪些内容：A.网络产品和服务提供者应当针对未成年人用户模式设置适龄提示，限制未成年人使用时长B.不得向未成年人提供诱导其沉迷的产品和服务C.处理未成年人个人信息必须遵循合法、正当、必要原则，征得监护人同意D.向所有未成年人无差别推送各类暴力、低俗的信息流内容15.单位定期组织开展网络安全应急演练的核心目标包括以下哪些内容：A.检验本单位网络安全应急预案的可行性、应急团队的实战处置能力B.排查现有防护体系存在的安全短板，优化应急响应流程C.提升全体员工的网络安全意识，避免真实事件发生时出现慌乱操作导致次生损失D.完全替代日常安全运维工作，演练结束后就可以取消所有安全防护措施三、判断题（共15题，正确选√，错误选×）1.我的办公电脑安装了最新版的正版杀毒软件，即使连接街头没有实名认证的公共WiFi，也绝对不会发生账号密码被盗取的情况。2.为了方便跨部门协作，我可以把单位内部工作群的二维码直接转发到500人以上的外部行业交流群，吸引外部合作方进群对接业务，提升办公效率。3.《个人信息保护法》规定，处理个人信息应当取得个人同意，但是法律、行政法规另有规定不需要取得同意的情形除外。4.我使用私人微信和私人手机拍一张标有内部敏感标识的项目方案照片，只要不发朋友圈，仅单独发给对接的外部合作方，就不会有泄密风险。5.当收到自称是“支付宝客服”的来电，告知我账号涉嫌洗钱需要点击链接做实名认证，我应该第一时间挂断电话，直接拨打支付宝官方95188客服热线核实情况。6.涉密移动存储介质可以在标注为内部非涉密的办公终端上插入使用，只要不接入互联网就没有风险。7.单位办公系统的管理员账号，为了方便多人共同运维，把账号密码贴在显示器边框上，所有运维人员都可以直接查看，符合安全管理规范。8.《网络安全法》要求，网络运营者应当按照规定留存相关的网络日志不少于六个月。9.员工为了方便随时访问家里的私人NAS存储设备，可以把办公终端的3389远程桌面端口直接映射到公网，无需设置任何身份验证机制。10.发现自己的手机收到大量不明验证码短信，且接到自称运营商工作人员的电话要求提供验证码核验身份，大概率是遭遇了“短信轰炸”+盗刷类电信诈骗，绝对不能向对方告知验证码内容。11.重要数据处理者可以在未经过数据安全风险评估、未向监管部门申报的前提下，随意向境外数据平台批量转移全量用户个人信息。12.针对AI生成的内容，发布前应当开展内容合规核验，避免生成的虚假信息、侵权内容对外传播引发法律风险。13.企业的内网办公系统不需要做身份认证，任何人只要接入内网就可以无条件访问所有业务数据。14.2024年我国公安部发布的数据显示，90%以上的企业网络入侵事件，起始攻击路径都是通过钓鱼邮件、社交工程等人为疏忽类场景突破边界防护。15.网络安全事件发生后，相关单位隐瞒、谎报、迟报事件信息，按照《网络安全法》规定最高可以处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。四、案例分析题（共3题，结合真实公开案例改编，考察实操处置能力）1.某互联网公司运维人员小王收到发件人标注为“人力部张某某”的邮件，主题为“2024年全员年终奖金发放明细表”，小王没有核实发件人真实性，直接点击邮件附件运行，导致终端被植入勒索病毒，病毒在3小时内扩散到内网200多台服务器，公司全量120万用户的个人信息库被攻击者加密锁定，业务全面中断72小时，直接经济损失超过2000万元。请结合本案例回答以下问题：（1）本案例中攻击发生的核心原因有哪些？（2）该单位此前的安全管理体系存在哪些明显的漏洞？（3）此类勒索病毒攻击事件发生后，正确的全流程处置方案是什么？2.某地事业单位退休人员老李接到自称当地公安局民警的电话，称老李涉嫌参与跨省洗钱案件，要求老李立即把自己名下所有存款转到“国家公安安全核验账户”进行资金自清，否则就要上门抓捕老李，同时对方给老李发送了带有他个人身份证信息的电子版“通缉令”，要求老李找偏僻的酒店住下，不能和任何家人联系，全程配合电话做笔录，老李先后向对方转账38万元之后才发现被骗。请结合本案例回答以下问题：（1）本次诈骗团伙使用了哪些典型诈骗话术套路？（2）普通人遇到此类“冒充公检法”场景应当如何精准识别骗局？（3）确认被骗后第一时间应当采取哪些止损操作？3.某高校科研团队核心研究员张某，为了赶项目进度，把尚未对外公开的国家重点研发项目涉密实验全部数据上传到境外某知名生成式AI工具，要求AI帮忙自动分析生成研究报告，相关敏感数据被AI训练库留存后引发泄密事件，张某被相关部门处以党纪政务处分，项目被强制终止。请结合本案例回答以下问题：（1）张某的操作违反了哪些现行网络安全、数据安全、保密管理的相关法规要求？（2）科研场景使用AI工具处理敏感科研数据，应当遵守哪些合规要求？（3）单位针对科研人员的AI工具使用行为应当部署哪些管控措施？参考答案与解析一、单项选择题1.答案：B解析：A选项是《网络安全法》的全国人大常委会表决通过日期，D选项是等保2.0实施日期，C选项为干扰项，准确施行日期为2017年6月1日。2.答案：B解析：其余选项均违反“最小必要”原则要求，只有B表述完全符合《个人信息保护法》第六条明确规定。3.答案：C解析：遇到疑似钓鱼邮件绝对不能随意点击、转发、下载，第一时间核实上报是唯一规范操作。4.答案：C解析：其余口令设置方式均存在被暴力破解的高风险，符合要求的口令复杂度为C选项表述。5.答案：C解析：等保2.0系列国家标准于2019年12月1日正式实施，替代此前的等保1.0标准体系。6.答案：B解析：带有官方合规SSL证书的网站属于正规可信网站标识，不属于钓鱼网站特征。7.答案：C解析：公共WiFi场景下必须通过加密VPN隧道传输业务数据，避免数据被窃听。8.答案：C解析：公开的商铺营业时间信息不属于核心数据范畴。9.答案：A解析：正规备案官网下载的签名软件不属于勒索病毒传播渠道，其余三项均为常见传播路径。10.答案：C解析：账号密码和身份证号同属于“你知道的信息”单一维度认证，不属于双因素认证，其余三项均符合双因素要求。11.答案：B解析：《数据安全法》第三十条明确要求重要数据处理者定期开展数据安全风险评估。12.答案：B解析：其余选项均属于违规泄密行为，B选项符合安全要求。13.答案：B解析：向AI工具上传数据前必须脱敏，其余选项均会导致敏感数据泄露到境外平台。14.答案：A解析：公检法正规办案绝对不存在所谓“安全账户”“线上私密通道”，A选项属于合规办案流程。15.答案：A解析：国内关键信息基础设施运营者的高危漏洞修复时限通用规范为72小时，避免攻击者利用漏洞入侵。16.答案：B解析：零信任核心理念为“永不信任、始终验证”，打破传统内网绝对安全的假设。17.答案：B解析：涉密计算机必须实现物理隔离，严禁接入任何公共信息网络，其余操作均会引发泄密风险。18.答案：B解析：APP权限申请必须遵循功能必要性原则，拒绝非相关权限申请。19.答案：B解析：发生入侵事件后第一时间断网留现场，上报专业部门处置，绝对不能随意删除日志证据。20.答案：B解析：《关键信息基础设施安全保护条例》明确相关采购必须通过国家网信部门会同有关部门组织的国家安全审查。二、多项选择题1.答案：ABC解析：公开地名名录属于公共信息，不属于敏感个人信息。2.答案：ABC解析：D选项符合保密规范，其余均为违规操作。3.答案：ABCD解析：四项均为当前主流钓鱼攻击形态。4.答案：ABC解析：零信任体系要求更严格的身份核验，D选项属于无防护操作，不符合要求。5.答案：ABC解析：公开信息出境不需要申报安全评估，其余三类场景必须申报。6.答案：ABC解析：官方反诈预警属于正规宣传信息，不属于诈骗套路。7.答案：ABC解析：D选项属于安全防护措施，不属于安全隐患。8.答案：ABC解析：D选项为合规运维操作，其余属于内网终端违规行为。9.答案：ABCD解析：等保2.0五个保护等级完整表述为四个选项内容。10.答案：ABC解析：D选项属于AI正向应用场景，不属于风险。11.答案：ABC解析：D选项属于官方正规安全预警，不属于社交工程攻击。12.答案：ABC解析：D选项属于严重违规操作，不符合云安全要求。13.答案：ABCD解析：漏洞全生命周期管理四个环节缺一不可，实现闭环管理。14.答案：ABC解析：D选项违反《未成年人网络保护条例》相关要求。15.答案：ABC解析：D选项完全背离应急演练的核心目标，表述错误。三、判断题1.×解析：公共WiFi场景下可以通过嗅探技术窃取未加密传输的账号密码，安装杀毒软件也无法完全规避该风险。2.×解析：内部工作群包含大量未公开的内部业务信息，对外分享二维码存在外部无关人员进群窃取信息的风险。3.√解析：该表述完全符合《个人信息保护法》相关条款要求。4.×解析：涉密敏感文件严禁通过私人通讯渠道传输，存在全程留痕泄密的风险。5.√解析：遇到自称金融平台客服的来电要求提供敏感信息，必须通过官方热线核实，避免遭遇诈骗。6.