2026年网络安全合规师考试题及答案

2026年网络安全合规师考试题及答案一、单项选择题（每题2分，共20分）1.根据《数据安全法》修订草案（2025年征求意见稿），以下哪类数据不属于“核心数据”范畴？A.涉及国家安全的人口基础数据B.金融行业客户信用评分模型参数C.省级医疗健康平台汇总的疾病统计数据D.能源企业实时采集的电网调度指令数据答案：C解析：核心数据需满足“关系国家安全、国民经济命脉、重要民生、重大公共利益”，省级疾病统计数据属于区域公共卫生数据，未达到核心层级（参考修订草案第三条）。2.某智能车载系统厂商拟向境外母公司传输用户驾驶行为数据，根据《个人信息跨境处理安全认证规范（2026版）》，以下哪项是必须完成的前置条件？A.获得用户单独书面同意B.通过国家网信部门组织的安全评估C.与境外接收方签订标准合同D.完成数据去标识化处理且无法复原答案：B解析：2026版规范将智能车载数据（涉及位置轨迹、驾驶习惯）纳入“重要个人信息”范畴，跨境传输需同时通过安全评估与认证（参考规范第五条）。3.某互联网医疗平台存储了100万份患者电子病历（含诊断结果、用药记录），根据《个人信息保护法》及配套规则，其数据分类分级应至少划分为几级？A.一级（一般数据）B.二级（重要数据）C.三级（核心数据）D.四级（敏感数据）答案：B解析：患者电子病历包含健康医疗信息，属于《个人信息保护法》第二十八条规定的“敏感个人信息”，且涉及100万人规模，需定为二级重要数据（参考《数据分类分级指引（2025）》第十二条）。4.某银行开展年度网络安全合规审计，发现第三方支付接口存在未加密传输用户银行卡CVV码的问题。根据《网络安全法》及《关键信息基础设施安全保护条例》，该问题属于哪类合规风险？A.数据泄露风险B.网络攻击风险C.个人信息处理违规D.关键信息基础设施运行安全隐患答案：C解析：CVV码属于金融敏感信息，未加密传输违反《个人信息保护法》第二十九条“采取必要加密措施”的要求，同时涉及关键信息基础设施的，需叠加《关键信息基础设施安全保护条例》第二十一条的安全技术要求。5.某新能源车企因车联网系统漏洞导致5000名用户车辆定位数据泄露，根据《网络安全法》第六十四条，监管部门对其最高可处以下列哪项处罚？A.处50万元罚款B.处上一年度营业额5%的罚款C.处200万元罚款并暂停相关业务D.处1000万元罚款并吊销业务许可证答案：B解析：2025年《网络安全法》修订后，将个人信息泄露的罚款上限调整为“上一年度营业额5%”（原第四十二条修订条款），本题中5000名用户属于较大规模泄露，适用此标准。6.某跨境电商平台拟使用隐私计算技术实现境内外数据联合建模，根据《数据安全法》及技术指引，以下哪项操作不符合合规要求？A.仅传输数据特征值而非原始数据B.要求境外合作方签署数据使用承诺书C.在模型训练完成后保留原始数据副本D.对计算过程进行全流程日志记录答案：C解析：隐私计算的核心要求是“数据可用不可见”，训练完成后保留原始数据副本违反“最小必要”原则（参考《隐私计算数据安全指南（2026）》第七条）。7.某教育类APP收集中学生用户信息时，以下哪项行为符合《未成年人网络保护条例》（2024年修订）？A.自动收集12岁用户的通讯录用于好友推荐B.经15岁用户本人同意后收集其考试成绩C.向家长推送用户学习进度报告前取得家长同意D.存储14岁用户人脸信息时仅保存哈希值答案：C解析：《未成年人网络保护条例》第二十三条规定，处理14周岁以下未成年人个人信息需取得家长同意；14-18周岁需本人或家长同意（选C符合家长同意要求）。8.某工业互联网平台被认定为关键信息基础设施，根据《关键信息基础设施安全保护条例》，其运营者应当在多长时间内完成安全保护方案备案？A.自认定之日起15个工作日内B.自认定之日起30个自然日内C.自投入运行之日起45个工作日内D.自收到认定通知之日起60个自然日内答案：A解析：条例修订后（2025年）将备案时限缩短为“认定之日起15个工作日”（参考修订版第二十一条）。9.某企业开展数据安全风险评估时，发现其用户注册环节存在“默认勾选同意隐私政策”的设计，该问题主要违反以下哪项原则？A.目的明确原则B.最小必要原则C.自愿同意原则D.公开透明原则答案：C解析：默认勾选违反《个人信息保护法》第十四条“应当由个人在充分知情的前提下自愿、明确作出”的要求，属于非自愿同意。10.某金融科技公司拟与境外云服务商合作存储客户交易记录，根据《数据出境安全评估办法》（2026年修订），以下哪类情形无需申报安全评估？A.年传输数据量超过100万人份B.传输数据包含客户生物识别信息C.境外云服务商所在国与我国签订数据保护互认协议D.数据传输可能影响我国金融稳定答案：C解析：2026年修订后，与我国签订数据保护互认协议的国家/地区，可豁免安全评估（参考办法第七条第三款）。二、多项选择题（每题3分，共15分，少选、错选均不得分）1.根据《数据安全法》及配套规则，以下哪些行为属于“重要数据处理活动”？A.电信企业汇总500万用户通信时长统计数据B.能源企业采集并存储跨省电网实时运行数据C.交通平台分析100万用户出行路线热点图D.科研机构处理涉及国家重点实验室的实验数据答案：BD解析：重要数据需满足“一旦泄露可能危害国家安全、公共利益”（参考《重要数据识别指南（2025）》），电网运行数据（B）和国家重点实验室数据（D）符合定义。2.某社交平台拟优化用户隐私设置，以下哪些设计符合《个人信息保护法》“可便捷撤回同意”的要求？A.在APP“设置-隐私”页面提供“关闭所有信息收集”的一键开关B.撤回同意后，仅停止新增信息收集，已收集数据继续保留C.向用户发送短信提示“如需撤回同意，请登录APP操作”D.提供网页端、APP端、客服热线三种撤回渠道答案：AD解析：撤回同意需“便捷”（多渠道）且“停止处理已收集数据”（B错误），短信提示增加用户负担（C错误）。3.关键信息基础设施运营者在选择第三方服务提供商时，应当重点审查哪些合规要素？A.服务商的网络安全等级保护备案情况B.服务商的数据本地化存储能力C.服务商的境外关联企业股权结构D.服务协议中数据访问权限的限制条款答案：ABCD解析：需审查技术能力（A）、数据控制（B）、主体身份（C）、合同条款（D）（参考《关键信息基础设施第三方服务安全管理办法》第八条）。4.某企业拟开展数据跨境流动风险自评估，根据《数据出境安全评估指南》，评估内容应包括：A.境外接收方所在国的数据保护水平B.数据传输对个人权益的影响C.数据泄露可能引发的国家安全风险D.企业数据分类分级的准确性答案：ABC解析：自评估需涵盖接收方环境（A）、个人权益（B）、国家安全（C），数据分类分级属于企业基础工作，非自评估核心内容（D错误）。5.根据《网络安全审查办法》（2025年修订），以下哪些情形需要申报网络安全审查？A.国内云计算服务商拟采购境外数据库软件（交易额5000万元）B.新能源车企使用境内AI算法公司提供的自动驾驶模型C.金融机构拟与境外区块链平台合作开发跨境支付系统D.社交平台拟赴美上市，预计融资额30亿美元答案：ACD解析：修订后审查范围扩大至“影响或可能影响国家安全”的数据处理活动（A、C）及“赴国外上市的数据处理者”（D），境内合作（B）无需审查。三、案例分析题（每题15分，共30分）案例1：2026年3月，某头部电商平台（注册地北京，年营业额800亿元）发生数据泄露事件，导致200万用户的姓名、手机号、收货地址及近1年购物记录被非法获取。经调查，泄露原因系平台第三方物流接口存在SQL注入漏洞，未及时修复；同时，平台未对物流接口访问日志进行加密存储，攻击者通过日志获取了接口凭证。问题：（1）分析该平台存在的主要合规漏洞（8分）；（2）提出针对性整改措施（7分）。答案：（1）合规漏洞：①第三方接口安全管理缺失：未按《网络安全法》第二十一条要求对第三方接口实施“必要的安全技术措施”（如漏洞扫描、补丁修复）；②日志安全防护不足：违反《个人信息保护法》第五十一条“采取加密等安全技术措施”的要求，日志未加密导致凭证泄露；③数据泄露应急处置不力：未在《网络安全法》第五十一条规定的24小时内向监管部门报告（假设平台未及时报告）；④个人信息处理范围超必要：购物记录属于用户消费信息，平台未说明收集近1年记录的必要性（违反“最小必要”原则）。（2）整改措施：①立即修复第三方接口漏洞，建立“接口安全清单”，定期进行渗透测试（至少每季度1次）；②对日志存储系统进行加密改造（采用AES-256加密），并限制日志访问权限（最小权限原则）；③启动数据泄露应急响应：48小时内通过APP推送、短信等方式通知受影响用户，提供密码修改、监控账户等补救措施；④优化个人信息收集范围：仅保留6个月内购物记录（符合《常见类型移动互联网应用程序必要个人信息范围规定》），并在隐私政策中明确说明；⑤与第三方物流服务商签订补充协议，要求其同步加强接口安全管理，定期提交安全评估报告。案例2：某互联网医疗平台（持有《互联网医院执业许可证》）拟与新加坡某医学研究机构合作，传输10万份患者电子病历（含诊断结论、基因检测数据）用于癌症治疗研究。平台已获得患者“同意数据用于医学研究”的书面授权，但未进行任何合规评估。问题：（1）指出该平台数据跨境传输存在的合规风险（7分）；（2）提出合规传输的完整路径（8分）。答案：（1）合规风险：①数据类型认定错误：患者电子病历含基因检测数据，属于《个人信息保护法》第二十八条“敏感个人信息”，且涉及10万人规模，应认定为“重要数据”（违反《重要数据识别指南》）；②跨境传输未履行法定程序：重要数据出境需通过国家网信部门安全评估（《数据安全法》第三十一条），敏感个人信息跨境需同时完成安全认证（《个人信息跨境处理安全认证规范》）；③患者同意不充分：仅笼统“同意用于医学研究”未明确境外传输的接收方、用途范围，违反《个人信息保护法》第十七条“明确、具体”的知情同意要求；④未进行风险自评估：需按《数据出境安全评估指南》对接收方所在国（新加坡）数据保护水平、数据泄露风险等进行评估。（2）合规路径：①数据分类分级：将10万份电子病历（含基因数据）认定为“二级重要数据”（涉及公共健康）和“敏感个人信息”；②开展风险自评估：委托第三方机构评估新加坡数据保护法规（如《个人数据保护法》PDPA）与我国的等效性，分析基因数据泄露对患者隐私及国家生物安全的影响；③履行法定程序：向国家网信部门申报重要数据出境安全评估（提交自评估报告、数据传输方案等材料）；申请个人信息跨境处理安全认证（通过认证机构对传输流程、安全措施的审核）；④完善用户同意：重新获取患者单独同意，明确告知接收方为新加坡机构、数据用途（仅限癌症治疗研究，不得用于其他目的）、存储期限（研究结束后6个月内删除）；⑤签订法律文件：与新加坡机构签订《数据跨境传输协议》，约定数据使用范围、安全责任、争议解决（适用中国法律）等条款；⑥技术保障：采用隐私计算技术（如联邦学习），仅传输加密后的基因特征值，避免原始数据出境；⑦持续监测：建立跨境数据传输日志系统，定期（每季度）向监管部门报送传输情况，发现异常立即中止传输并报告。四、综合应用题（35分）某跨国制造企业（中国区总部位于上海，员工5000人，存储100万条客户信息、20万条生产设备运行数据）计划2026年建立完善的网络安全合规体系。假设你是该企业合规师，请设计一份《2026年度网络安全合规工作计划》，要求包含工作目标、重点任务、实施步骤、保障措施四部分，内容具体可操作。答案：《2026年度网络安全合规工作计划》一、工作目标（5分）1.完成数据分类分级体系建设，明确重要数据/敏感个人信息范围；2.通过网络安全等级保护三级测评（生产设备数据相关系统）；3.建立第三方合作合规审查机制，覆盖率100%；4.全年重大数据泄露事件发生率≤0.1%，一般事件24小时内处置率100%；5.员工合规培训参与率≥95%，考核通过率≥90%。二、重点任务（10分）1.数据治理：完成客户信息（含联系方式、交易记录）、生产设备数据（含运行参数、故障日志）的分类分级，制定《数据分类分级目录（2026版）》；2.系统合规：对生产管理系统、客户关系管理（CRM）系统进行等保三级整改（重点：访问控制、日志审计、数据加密）；3.第三方管理：修订《第三方合作安全协议模板》，增加数据本地化、跨境传输限制条款；4.应急能力：更新《数据泄露应急预案》，增加AI自动监测、区块链存证等技术手段；5.培训宣贯：针对管理层（合规责任）、技术岗（安全操作）、普通员工（信息保护）开展分层培训。三、实施步骤（15分）1.第一季度（1-3月）：成立合规专项组（法务部、IT部、数据部负责人组成），制定《工作计划分解表》；委托第三方机构开展数据资产梳理（识别全部数据存储位置、类型、量级）；启动等保三级测评预评估，完成系统漏洞扫描（3月底前提交问题清单）。2.第二季度（4-6月）：完成数据分类分级（4月）：依据《数据安全法》《重要数据识别指南》，将生产设备运行参数（涉及核心工艺）定为“一级重要数据”，客户交易记录（含金额）定为“敏感个人信息”；推进系统整改（5-6月）：对生产管理系统部署访问控制列表（ACL），对C