2025年网络安全与信息化考试试卷及答案

2025年网络安全与信息化考试试卷及答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。）1.根据2024年修订发布的《关键信息基础设施安全保护条例实施细则》，关键信息基础设施运营者（CIIO）应当至少（）组织开展一次全范围的安全渗透测试，覆盖所有核心业务系统和安全防护节点。A.半年B.1年C.2年D.3年2.依据2024年修订的《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者对于训练数据中涉及的个人信息，处理活动应当遵循的核心原则不包括（）A.最小必要B.公开共享C.目的限制D.知情同意3.根据《网络安全等级保护管理办法》，第三级网络安全保护对象的测评周期要求为（）A.每半年一次B.每年一次C.每两年一次D.每三年一次4.零信任安全架构的核心设计思想是（）A.基于网络边界构建信任体系B.永不信任，始终验证C.内部网络默认全部信任D.基于IP地址分配访问权限5.根据2024年修订的《数据出境安全评估办法》，我国核心数据出境的合规要求是（）A.经市级网信部门备案即可出境B.经省级数据安全管理部门批准即可出境C.必须通过国家数据出境安全评估，未通过评估不得出境D.任何情况下均禁止出境6.我国2024年正式发布第一批商用抗量子密码算法标准，下列不属于我国自主适配公布的抗量子密码算法体系的是（）A.晶圆（CRYSTALS-Kyber）算法B.彩虹（Rainbow）签名算法C.bnFLMS签名算法D.RSA非对称加密算法7.根据2024年出台的《智能网联汽车网络安全管理规定》，智能网联汽车运营者对每次远程OTA升级的完整操作日志、升级包哈希校验值等信息，留存时间不得少于（）A.1年B.2年C.3年D.5年8.《个人信息保护法》规定，个人信息处理者处理敏感个人信息，应当取得个人的（）同意。A.口头B.推定C.书面单独D.一般9.2025年我国网信领域推广的“三化五纵”网络安全防护体系中，“三化”指的是（）A.数字化、网络化、智能化B.实战化、体系化、常态化C.标准化、规范化、法治化D.国产化、安全化、可控化10.工业互联网平台中，针对边缘计算节点的网络安全防护，最核心的防护措施是（）A.身份认证与访问控制B.物理防盗C.定期清理缓存D.开放远程访问端口11.根据《网络安全法》，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险（）至少进行一次检测评估，并将检测评估情况报送相关主管部门。A.每半年B.每年C.每两年D.每三年12.生成式人工智能大模型训练过程中，针对训练数据的版权合规要求，下列说法正确的是（）A.公开可访问的内容可以任意抓取用于训练，不需要获得授权B.使用他人享有著作权的作品训练大模型，应当符合著作权法合理使用规定，超范围商业使用需要获得授权C.只要对训练数据做匿名化处理就可以任意使用D.大模型生成内容不会侵犯原作者著作权13.下列哪个不属于网络安全应急响应的核心环节（）A.监测预警B.处置加固C.溯源追责D.业务停摆14.数据分类分级工作中，确定数据重要程度的核心依据是（）A.数据的存储容量大小B.数据遭到篡改、破坏、泄露后对国家安全、公共利益、个人合法权益的危害程度C.数据收集的成本高低D.数据的公开范围15.量子密钥分发（QKD）技术的核心安全优势是（）A.加密速度远快于传统加密B.可以实现信息论层面的无条件安全，任何窃听行为都会被发现C.密钥长度远大于传统加密D.不需要额外的硬件设备支持16.根据2024年实施的《网络暴力信息治理规定》，网络服务提供者接到用户的网络暴力举报后，应当在（）内完成初步核查并作出处理。A.12小时B.24小时C.48小时D.72小时17.软件供应链安全防护中，针对开源组件的最核心风险防控措施是（）A.禁止使用任何开源组件B.定期开展开源组件漏洞扫描与基线核查，及时更新补丁C.直接使用未经审核的开源组件D.只使用境外开源组件18.政务信息化项目建设中，国家要求关键信息基础设施必须使用（）以上的自主可控软硬件产品。A.30%B.50%C.70%D.90%19.下列哪个属于主动式网络安全防御技术（）A.防火墙B.入侵检测系统C.威胁狩猎D.防病毒软件20.《网络安全审查办法》规定，掌握超过（）用户个人信息的网络平台运营者赴国外上市，必须申报网络安全审查。A.50万B.100万C.500万D.1000万二、多项选择题（本大题共10小题，每小题2分，共20分。多选、少选、错选、不选均不得分。）1.2025年我国网络安全与信息化工作的核心发展目标包括（）A.健全数字经济治理体系B.提升关键信息基础设施安全保障能力C.推进生成式人工智能安全合规发展D.强化个人信息保护和数据安全治理E.完善网络安全应急体系2.根据《个人信息保护法》，个人信息处理者在下列哪些情形下不需要取得个人同意（）A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命财产安全所必需D.依照法律规定公开披露个人信息E.为了商业营销推广任意使用个人信息3.零信任安全架构的核心组件包括（）A.身份可信管理B.持续信任评估C.动态访问控制D.安全微隔离E.传统边界防火墙4.我国现行数据出境的合法合规渠道包括（）A.申报国家数据出境安全评估并通过评估B.完成国家网信部门认可的个人信息保护专业认证C.签订国家网信部门发布的标准合同D.经省级网信部门直接批准任何数据出境E.非核心数据可随意出境5.生成式人工智能服务提供者应当落实的安全管理制度包括（）A.训练数据安全审核制度B.生成内容合规审核制度C.用户个人信息保护制度D.安全事件应急处置制度E.算法备案制度6.关键信息基础设施包括下列哪些领域的重要网络和信息系统（）A.能源、交通、水利B.金融、通信、政务C.公共服务、国防科技工业D.重要互联网平台、工业互联网E.个人用户家用路由器7.网络安全等级保护工作的“五步法”包括下列哪些环节（）A.系统定级B.官方备案C.等级测评D.安全建设整改E.监督检查8.智能网联汽车面临的主要网络安全风险包括（）A.车载终端被攻破，实现远程控制车辆B.用户出行轨迹等个人信息批量泄露C.OTA升级包被篡改，植入恶意程序D.车联网V2X通信数据被篡改，引发道路交通事故E.车辆动力系统硬件自然故障9.下列属于《网络安全法》规定的网信部门核心监管职责的是（）A.统筹协调全国网络安全工作B.监督检查关键信息基础设施安全保护工作C.依法查处网络违法违规活动D.牵头制定网络安全国家标准体系E.协调跨部门网络安全事件应对处置10.企业开展数据安全治理工作的核心内容包括（）A.全量数据资产梳理与分类分级B.定期开展数据安全风险评估C.基于最小权限原则落实数据访问权限管控D.建立数据泄露事件应急处置机制E.数据全生命周期安全管理体系建设三、判断题（本大题共10小题，每小题1分，共10分。正确打√，错误打×。）1.关键信息基础设施运营者采购网络产品和服务，影响或者可能影响国家安全的，应当主动申报网络安全审查。（）2.生成式人工智能服务提供者可以将训练数据中获取的个人信息用于训练以外的其他商业用途，不需要额外获得授权。（）3.网络安全等级保护最高等级是第五级，适用于对国家安全有极端重要意义的核心信息系统。（）4.处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式，这就是个人信息处理的最小必要原则。（）5.公开渠道可获取的个人信息不需要经过个人同意就可以任意处理，不需要承担任何法律责任。（）6.量子计算可以破解所有传统非对称加密算法，因此所有现有加密体系都已经失去安全价值。（）7.《数据安全法》明确将我国数据分为核心数据、重要数据和一般数据三个等级，实行分类分级保护制度。（）8.网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。（）9.企业数字化转型过程中，只需要关注业务效率提升，不需要同步投入资源提升网络安全防护能力。（）10.所有提供面向公众服务的生成式人工智能服务提供者，都应当按照规定完成算法备案，未备案不得上线提供服务。（）四、简答题（本大题共3小题，每小题10分，共30分。）1.简述2024年修订的《生成式人工智能服务管理暂行办法》对生成式人工智能服务提供者提出的核心安全合规要求。2.简述企业数字化转型过程中，实施零信任安全架构的核心步骤。3.依据《关键信息基础设施安全保护条例》，说明关键信息基础设施运营者应当履行的核心安全保护义务。五、案例分析题（本大题共1小题，共20分。）2024年10月，国内某生成式人工智能创业公司A推出面向公众的免费大模型聊天产品，累计注册用户量突破1200万。监管部门专项检查发现该公司存在以下违规行为：①为提升大模型训练效果，未经授权抓取互联网公开渠道的1200万条公民个人信息，涵盖姓名、手机号、网购收货地址等内容，未告知信息主体，也未对信息做去标识化处理；②为降低存储成本，该公司将包含100万条用户聊天记录、80万条个人信息的数据集存储在境外某第三方云服务商平台，未申报数据出境安全评估，也未完成任何合规备案；③该公司未建立有效的生成内容审核机制，大模型多次生成虚假医疗广告、虚假金融理财信息，甚至生成教唆他人实施网络诈骗的内容，接到多起用户举报后未及时整改；④该公司的大模型未按照规定完成算法备案就上线提供对外开放服务。结合上述案例，回答下列问题：1.该公司的行为违反了我国哪些现行法律法规的要求？（6分）2.根据相关法律法规，该公司相关负责人及企业可能承担哪些法律责任？（6分）3.针对生成式人工智能企业的普遍合规风险，提出至少三点可落地的改进建议。（8分）参考答案及解析一、单项选择题参考答案1.B解析：2024年修订的《关键信息基础设施安全保护条例实施细则》明确要求，CIIO每年至少开展一次覆盖所有核心系统的全范围渗透测试，及时排查安全隐患，本题选择B。2.B解析：生成式人工智能处理个人信息应当遵循个人信息保护的法定原则，公开共享不属于法定原则，未经信息主体授权不得公开共享个人信息，本题选择B。3.B解析：根据网络安全等级保护管理要求，第二级每两年测评一次，第三级每年测评一次，第四级每半年测评一次，本题选择B。4.B解析：零信任打破了传统基于网络边界的信任模型，核心设计思想是“永不信任，始终验证”，对所有访问请求都进行动态身份验证和权限校验，本题选择B。5.C解析：根据《数据出境安全评估办法》，核心数据和处理100万人以上个人信息的个人信息处理者出境数据，必须申报国家数据出境安全评估，未通过评估不得出境，确需出境的需经国家层面安全审查，本题选择C。6.D解析：RSA是传统基于大整数分解的非对称加密算法，不属于我国公布的抗量子密码算法体系，可被量子计算机破解，本题选择D。7.C解析：《智能网联汽车网络安全管理规定》明确要求，OTA升级全流程相关操作日志、校验信息留存时间不得少于3年，便于事后溯源审计，本题选择C。8.C解析：《个人信息保护法》明确要求，处理敏感个人信息应当取得个人的书面单独同意，不得通过默认勾选等方式推定同意，本题选择C。9.B解析：我国“三化五纵”网络安全防护体系中，“三化”为实战化、体系化、常态化，“五纵”为网络安全保障、数据安全保障、新技术新领域安全、网络空间治理、网络安全产业支撑，本题选择B。10.A解析：工业互联网边缘计算节点分布广、访问入口多，且直接对接工业生产设备，最核心的防护措施是严格身份认证与访问控制，防止未授权访问，本题选择A。11.B解析：《网络安全法》第三十八条明确要求，关键信息基础设施运营者每年至少开展一次安全检测评估，并将结果报送相关主管部门，本题选择B。12.B解析：根据我国著作权法及生成式AI相关监管规则，使用他人享有著作权的作品训练大模型，应当符合合理使用范围，超出合理范围的商业使用需要获得著作权人授权，本题选择B。13.D解析：业务停摆是网络安全事件的危害结果，不属于应急响应的核心环节，应急响应核心环节包括监测预警、处置加固、溯源追责、业务恢复等，本题选择D。14.B解析：数据分类分级的核心判定依据是数据遭到篡改、泄露、破坏后对国家安全、公共利益、个人合法权益的危害程度，与存储容量、收集成本无关，本题选择B。15.B解析：量子密钥分发的核心安全优势是，任何窃听行为都会改变量子的传输状态，因此可以被及时发现，能够实现信息论层面的无条件安全，本题选择B。16.B解析：《网络暴力信息治理规定》明确要求，网络服务提供者接到用户的网络暴力举报后，应当在24小时内完成初步核查并作出处理，本题选择B。17.B解析：开源组件的核心安全风险是存在未公开的漏洞，容易被攻击者利用，因此最核心的防控措施是定期开展漏洞扫描，及时更新补丁修复漏洞，本题选择B。18.C解析：我国政务信息化项目自主可控合规要求，关键信息基础设施中自主可控软硬件占比不得低于70%，本题选择C。19.C解析：威胁狩猎是主动发现网络中潜在威胁、主动排查入侵痕迹的主动防御技术，防火墙、入侵检测、防病毒软件都属于基于规则的被动防御技术，本题选择C。20.D解析：《网络安全审查办法》明确规定，掌握超过1000万用户个人信息的网络平台运营者赴国外上市，必须主动申报网络安全审查，本题选择D。二、多项选择题参考答案1.ABCDE解析：以上五项均为2025年我国网络安全与信息化工作的核心发展目标，覆盖安全保障、产业发展、治理体系多个维度，全部正确。2.ABCD解析：《个人信息保护法》规定了不需要取得个人同意的法定情形，为了商业营销推广任意使用个人信息不属于法定例外，必须取得个人同意，因此E错误，本题选择ABCD。3.ABCD解析：传统边界防火墙是基于边界信任模型的防护设备，不属于零信任架构的核心组件，零信任核心组件包括身份可信管理、持续信任评估、动态访问控制、安全微隔离，因此E错误，本题选择ABCD。4.ABC解析：我国现行数据出境合法渠道共三种：通过国家数据出境安全评估、完成个人信息保护认证、签订标准合同，不存在省级部门直接批准任意数据出境的规则，因此DE错误，本题选择ABC。5.ABCDE解析：以上五项均为《生成式人工智能服务管理暂行办法》要求服务提供者必须建立的核心安全管理制度，全部正确。6.ABCD解析：关键信息基础设施是关系国家安全、国计民生的重要公共基础设施，个人用户家用设备不属于其范畴，因此E错误，本题选择ABCD。7.ABCDE解析：网络安全等级保护工作全流程分为定级、备案、安全建设整改、等级测评、监督检查五个环节，即“五步法”，全部正确。8.ABCD解析：车辆动力系统硬件自然故障属于机械故障，不属于网络安全风险范畴，其余四项均为智能网联汽车面临的典型网络安全风险，因此E错误，本题选择ABCD。9.ABCDE解析：以上五项均为《网络安全法》规定的网信部门法定监管职责，全部正确。10.ABCDE解析：以上五项均为企业数据安全治理的核心内容，覆盖从资产梳理到全生命周期管理的全流程，全部正确。三、判断题参考答案1.√解析：符合《网络安全法》《网络安全审查办法》的明确要求，采购可能影响国家安全的产品和服务必须主动申报网络安全审查。2.×解析：生成式AI训练获取的个人信息不得超出训练目的使用，超范围使用需要重新获得个人信息主体的授权。3.√解析：我国网络安全等级保护共分为五个等级，第五级为最高等级，适用于涉及国家安全核心的极端重要系统。4.√解析：最小必要原则是个人信息保护的核心基本原则，题干表述符合法定定义。5.×解析：公开渠道获取的个人信息也应当在合法合理范围内处理，任意处理侵害个人权益的需要承担对应的法律责任。6.×解析：量子计算仅能破解传统基于大整数分解、离散对数问题的非对称加密，对对称加密、哈希算法的影响有限，且抗量子密码已经逐步推广应用，现有加密体系不会完全失去安全价值。7.√解析：《数据安全法》明确确立了数据分类分级保护制度，将数据划分为核心数据、重要数据、一般数据三个等级。8.√解析：该表述符合《网络安全法》对网络运营者用户信息保护的基本义务要求。9.×解析：数字化转型必须坚持安全与发展同步推进，网络安全是数字化转型稳定运行的基础保障，必须同步规划、同步建设、同步运营。10.√解析：《生成式人工智能服务管理暂行办法》明确要求，提供面向公众的生成式AI服务必须完成算法备案，未备案不得上线提供服务。四、简答题参考答案1.核心安全合规要求包括：①主体责任要求：提供者应当落实网络安全、信息内容安全、个人信息保护、数据安全主体责任，建立健全内部安全管理机构和制度；②训练数据合规要求：应当对训练数据的合法性、安全性进行审核，不得使用非法获取的训练数据，处理训练数据中的个人信息应当符合个人信息保护要求，不得侵犯他人知识产权、隐私权等合法权益；③生成内容安全要求：应当建立多层级内容审核机制，对生成内容进行合规审核，防止生成违法违规内容，落实算法安全主体责任；④个人信息保护要求：应当制定专项用户个人信息保护制度，不得非法收集、泄露、滥用用户个人信息，依法保障用户的查询、更正、删除、注销账号等权利；⑤算法备案要求：提供面向公众的生成式人工智能服务，应当按照监管要求完成算法备案，接受监管部门的监督检查；⑥应急处置要求：应当制定网络安全、信息内容安全专项应急预案，定期开展应急演练，发生安全事件后及时处置并向监管部门报告。（答对5个要点即可得满分）2.企业实施零信任安全架构的核心步骤为：①全资产梳理：第一步对企业所有核心业务系统、数据资产、用户身份、访问路径进行全量梳理，明确资产的重要程度和不同角色的访问需求；②制定安全策略：基于最小权限、按需授予的原则，为不同身份的用户分配对应业务资产的访问权限，明确“谁能访问、访问什么、能做什么”的访问规则；③搭建技术框架：部署统一身份管理系统、持续信任评估引擎、动态访问控制网关、微隔离等核心技术组件，搭建零信任技术支撑体系；④试点验证推广：优先在核心业务系统、敏感数据访问等场景试点零信任改造，验证运行效果后逐步向全企业所有业务场景推广；⑤持续优化运营：结合业务迭代更新和新出现的安全威胁，持续优化信任评估模型和访问控制策略，实现动态适配业务需求。（全部答对要点即可得满分）3.关键信息基础设施运营者的核心安全保护义务包括：①设置专门的网络安全管理机构，配备专职安全管理人员，对安全管理机构负责人和核心技术人员开展背景审查；②建立健全网络安全管理制度、操作规程，落实分层级的网络安全责任制度；③定期开展网络安全检测、风险评估、渗透测试，及时整改发现的安全隐患；④对重要业务系统和核心数据做多副本容灾备份，建立完善的灾难恢复体系，保障业务连续性；⑤采购网络产品和服务时，应当签订安全保密协议，影响国家安全的应当主动申报网络安全审查；⑥定期对从业人员开展网络安全教育培训，提升全员安全意识和防护能力；