2026年网络安全试卷及答案

2026年网络安全试卷及答案一、单项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，错选、多选或未选均无分）1.根据2025年国家网信办修订发布的《生成式人工智能服务管理办法》，生成式人工智能服务提供者训练模型时，以下行为符合合规要求的是（）A.直接使用未获得著作权授权的网络公开图文作品训练模型B.对训练数据中涉及的个人信息进行去标识化处理，无法识别特定自然人且不能复原后使用C.未经用户同意收集用户对话输入内容用于模型迭代训练D.将训练获取的用户个人信息出售给第三方广告平台2.量子计算利用Shor算法可对基于大整数分解的传统加密算法实现有效破解，以下加密算法中受量子计算威胁最大的是（）A.RSA-2048B.SM4-128C.AES-256D.SM3-2563.根据《网络安全等级保护条例》，我国第三级网络运营者应当至少多久开展一次等级保护测评工作（）A.半年B.1年C.2年D.3年4.零信任架构的核心基础理念是（）A.永远信任，无需验证B.内网信任，外网验证C.永不信任，始终验证D.一次验证，永久信任5.根据《汽车数据安全管理若干规定（试行）》，国内汽车运营者向境外提供重要汽车数据时，正确的合规流程是（）A.直接通过企业内部网络同步出境，无需审批B.自行脱敏后即可出境，无需安全评估C.按照规定申报网络安全审查和数据出境安全评估D.只要获得车主口头同意即可出境6.以下哪类漏洞属于零日漏洞（）A.已经公开但厂商未发布修复补丁的漏洞B.已经发现但厂商已经发布补丁超过0天的漏洞C.只有厂商自己知道的公开漏洞D.修复后超过0天的历史漏洞7.根据《中华人民共和国个人信息保护法》，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得（）A.未成年人本人同意B.未成年人的父母或者其他监护人的同意C.未成年人所在学校同意D.不需要同意，只要公开告知即可8.近年来新型AI钓鱼攻击和传统钓鱼攻击相比，最突出的特点是（）A.攻击内容批量生产，成本低、针对性和欺骗性更强B.只针对普通个人用户攻击C.传播渠道只限于微信公众号D.攻击成功率比传统钓鱼低9.关键信息基础设施的认定工作由哪个部门负责统筹开展（）A.国家互联网信息办公室B.国务院公安部门C.关键信息基础设施保护工作部门D.各行业企业自行认定10.以下不属于我国数据分类分级中核心数据特征的是（）A.关系国家安全B.关系国民经济命脉C.关系普通用户日常消费信息D.关系重大公共利益11.网络安全应急响应流程中，第一步应当完成的工作是（）A.漏洞修复B.攻击溯源C.事件识别与上报D.系统恢复12.根据我国最新著作权相关司法解释，自然人利用生成式人工智能创作完成的文字作品，符合独创性要求的，著作权归属为（）A.归生成式AI模型开发者所有B.归该创作自然人所有C.归公共所有，没有著作权D.归平台所有13.勒索软件攻击者通常要求受害者支付赎金的主要方式是（）A.银行转账B.虚拟货币转账C.现金支付D.支票支付14.个人信息出境合法路径不包括以下哪项（）A.通过国家网信办组织的数据出境安全评估B.经个人信息保护认证机构认证C.自行将个人信息打包邮寄出境，无需备案D.签订国家网信部门发布的标准合同15.我国每年国家网络安全宣传周的举办时间为（）A.每年5月第三周B.每年9月第三周C.每年10月第一周D.每年12月第一周二、多项选择题（本大题共10小题，每小题3分，共30分。在每小题列出的备选项中至少有两个是符合题目要求的，多选、少选、错选、未选均无分）1.2026年我国网络安全监管的重点领域包括（）A.生成式人工智能安全治理B.车联网与智能网联汽车安全C.关键信息基础设施安全保护D.量子密码应用安全E.青少年网络安全保护2.零信任架构的核心设计原则包括（）A.永不信任，始终验证B.基于身份的细粒度访问控制C.最小权限授权D.动态持续评估风险E.完全依赖内网边界防护3.根据《中华人民共和国个人信息保护法》，处理敏感个人信息需要满足的法定条件包括（）A.具有特定的目的B.具有充分的必要性C.取得个人的单独同意D.按照规定开展个人信息保护影响评估E.提前向网信部门报备4.AI驱动的深度伪造钓鱼攻击相比于传统钓鱼攻击的优势（对攻击者而言）包括（）A.可以快速生成个性化的仿冒内容，欺骗性更强B.可以批量生成定制化钓鱼邮件、仿冒语音，攻击成本大幅降低C.可以精准模仿目标熟人的语气、形象，大幅提升攻击成功率D.传统基于规则的入侵检测系统难以识别新型AI钓鱼内容E.攻击溯源难度更高5.关键信息基础设施运营者应当履行的安全保护义务包括（）A.定期开展安全风险评估，向监管部门报送评估报告B.对重要系统和核心数据进行异地容灾备份C.按照规定优先采购安全可信的网络产品和服务D.发生网络安全事件后及时向监管部门上报E.对从业人员进行网络安全教育培训6.我国构建抗量子计算攻击密码体系的主要发展方向包括（）A.后量子公钥密码算法研发与应用B.量子密钥分发网络建设C.传统对称加密算法的升级改造D.哈希算法的抗量子优化E.放弃现有密码体系，全面更换为量子密码7.常见的物联网终端设备安全弱点包括（）A.默认密码弱口令问题突出B.硬件缺乏安全加密模块，数据容易被窃取C.终端厂商停止维护后无法更新系统补丁D.多数终端没有身份认证机制，容易被非法接入E.终端计算能力弱，无法部署复杂安全防护机制8.数据安全治理中，核心数据的保护要求包括（）A.对核心数据进行全生命周期的安全保护B.核心数据处理者应当每年开展数据安全评估C.核心数据出境应当经过国家层面的安全评估D.对核心数据访问实行最小权限和身份验证管理E.核心数据必须加密存储和传输9.以下属于网络攻击中社会工程学攻击类型的是（）A.钓鱼邮件攻击B.伪冒客服电话诈骗C.水坑攻击D.拖库攻击E.托辞攻击10.生成式人工智能服务提供者应当落实的安全义务包括（）A.建立训练数据合法性审核机制B.建立生成内容安全审核机制C.落实用户真实身份信息核验D.保护用户输入的个人信息安全E.制定应急预案，及时处置违法违规内容三、判断题（本大题共10小题，每小题1分，共10分。正确的打√，错误的打×）1.根据《中华人民共和国数据安全法》，核心数据是关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，实行最严格的保护制度。（）2.零信任架构要求完全替换传统的网络边界防护技术，不能和传统防护手段结合使用。（）3.所有生成式人工智能服务提供者都应当对生成的内容进行内容审核，落实安全生产主体责任。（）4.根据个人信息出境相关规定，所有个人信息出境都必须经过国家网信部门的安全评估。（）5.DDoS攻击的主要目的是破坏目标系统服务的可用性，让合法用户无法正常访问服务。（）6.智能网联汽车的安全风险仅来源于车载网络系统，与车载传感器、控制硬件无关。（）7.根据《中华人民共和国网络安全法》，网络运营者留存网络日志的时间不得少于六个月。（）8.人工智能生成的内容都不享有著作权保护。（）9.零日漏洞由于没有官方发布的修复补丁，因此比普通公开漏洞的威胁程度更高。（）10.后量子密码算法是指能够抵抗量子计算攻击的新型密码算法，而非基于量子技术生成的密码。（）四、简答题（本大题共2小题，每小题8分，共16分）1.简述生成式人工智能服务提供者应当落实的网络安全和数据安全保护义务。2.简述零信任架构在企业网络安全防护中的应用优势。五、综合应用题（本大题共1小题，共14分）某国内头部互联网企业，拥有超过2亿个人用户，开展生成式人工智能聊天机器人服务，业务过程中会收集用户输入的聊天内容、个人身份信息，部分业务场景需要向境外关联公司提供去标识化后的用户聊天数据用于模型联合训练。请结合我国现行网络安全、数据安全、个人信息保护相关法律法规，回答以下问题：（1）该企业开展生成式人工智能服务应当满足哪些合规要求？（8分）（2）该企业向境外提供去标识化用户数据应当履行哪些流程？（6分）参考答案及解析一、单项选择题1.答案：B解析：根据2025年修订的《生成式人工智能服务管理办法》，要求提供者对训练数据的合法性负责，不得使用未授权的受著作权保护作品，不得未经同意收集用户个人信息，不得出售用户个人信息。对个人信息进行不可逆的去标识化处理后使用符合合规要求，因此B正确。2.答案：A解析：Shor量子算法可以基于量子的并行计算特性快速破解基于大整数分解和椭圆曲线离散对数问题的非对称加密算法，RSA-2048基于大整数分解，受威胁最大；SM4、AES属于对称加密算法，SM3属于哈希算法，量子计算对这类算法的威胁仅为缩短有效密钥长度，通过提升密钥长度即可抵御，因此受威胁远小于RSA-2048，A正确。3.答案：B解析：根据《网络安全等级保护条例》要求，第一级网络每两年测评一次，第二级网络每两年测评一次，第三级网络每年测评一次，第四级网络每半年测评一次，第五级网络随时测评，因此第三级为每年一次，B正确。4.答案：C解析：零信任架构打破了传统“内网可信、外网不可信”的边界防护逻辑，核心基础理念是“永不信任，始终验证”，无论访问者来自内网还是外网，都需要进行持续的身份验证和权限校验，因此C正确。5.答案：C解析：根据《汽车数据安全管理若干规定（试行）》，重要汽车数据和敏感个人信息向境外提供的，应当按照规定申报数据出境安全评估，通过安全评估后方可出境，任何未经审批的出境行为都不合规，因此C正确。6.答案：A解析：零日漏洞的定义是已经被攻击者或安全研究者发现，但是厂商尚未公开知晓、未发布官方修复补丁的漏洞，由于没有公开补丁，防护难度大，威胁程度高，A符合定义，正确。7.答案：B解析：根据《个人信息保护法》，处理不满十四周岁未成年人个人信息属于处理敏感个人信息的特殊场景，应当取得未成年人父母或者其他监护人的同意，因此B正确。8.答案：A解析：AI钓鱼攻击利用生成式人工智能可以快速批量生成定制化的钓鱼内容，针对不同目标生成符合目标习惯的钓鱼信息，成本远低于人工制作，针对性和欺骗性远高于传统批量钓鱼，攻击成功率更高，攻击目标既包括个人也包括企业高管，传播渠道覆盖邮件、社交软件、短信等多种渠道，因此只有A正确。9.答案：A解析：根据《关键信息基础设施安全保护条例》，国家互联网信息办公室负责统筹协调关键信息基础设施安全保护工作和监督管理，因此统筹认定工作由国家网信办负责，A正确。10.答案：C解析：普通用户日常消费信息属于一般信息，不属于核心数据，核心数据要求关系国家安全、国民经济命脉、重要民生、重大公共利益，因此C不属于核心数据特征，符合题意。11.答案：C解析：网络安全应急响应的标准流程为：事件识别与上报、遏制攻击扩散、攻击根源排查、漏洞清除与修复、系统恢复、事后总结与整改，第一步为事件识别与上报，因此C正确。12.答案：B解析：根据我国2025年修订的《著作权法》及相关司法解释，由自然人主导、利用生成式人工智能工具创作，符合独创性要求的作品，著作权归创作该作品的自然人所有，因此B正确。13.答案：B解析：勒索软件攻击者普遍要求受害者通过比特币等虚拟货币支付赎金，虚拟货币具有匿名性、难以追溯的特点，符合攻击者隐藏身份的需求，因此B正确。14.答案：C解析：我国个人信息出境的合法路径包括三种：一是通过国家网信办组织的数据出境安全评估，二是经国家认可的机构进行个人信息保护认证，三是签订国家网信部门发布的标准出境合同，自行携带、邮寄敏感个人信息出境属于违法行为，因此C不属于合法路径，符合题意。15.答案：B解析：我国国家网络安全宣传周自2014年创办以来，固定为每年9月第三周举办，因此B正确。二、多项选择题1.答案：ABCDE解析：当前我国网络安全监管的重点覆盖生成式AI安全、车联网安全、关键信息基础设施安全、量子安全、青少年网络安全等多个领域，五个选项均为重点方向，因此全选。2.答案：ABCD解析：零信任的核心原则包括永不信任始终验证、基于身份的细粒度访问控制、最小权限授权、持续动态风险评估，零信任并不完全排斥传统边界防护，而是在传统防护基础上升级防护体系，因此E错误，ABCD正确。3.答案：ABCD解析：根据《个人信息保护法》，处理敏感个人信息需要满足：具有特定目的和充分必要性、取得个人单独同意、开展个人信息保护影响评估，只有处理达到规定规模的敏感个人信息出境才需要提前报备，不是所有处理场景都需要报备，因此E错误，ABCD正确。4.答案：ABCDE解析：AI驱动的深度伪造钓鱼攻击对于攻击者而言，具备题干所述的所有特点，大幅提升了攻击效率和成功率，降低了攻击成本，同时增加了防御和溯源的难度，因此全选。5.答案：ABCDE解析：《关键信息基础设施安全保护条例》明确规定了运营者的五项安全义务，五个选项均符合要求，因此全选。6.答案：AB解析：我国抗量子密码体系的两个核心方向为：一是研发后量子公钥密码算法，升级现有非对称加密体系，抵御量子计算攻击；二是建设量子密钥分发网络，利用量子力学特性实现无条件安全的密钥分发，因此AB正确；传统对称加密本身对量子攻击的敏感度低，不需要全面改造，也不需要全面放弃现有密码体系，因此CDE错误。7.答案：ABCDE解析：物联网终端由于成本限制和厂商维护能力不足，普遍存在题干所述的所有安全弱点，因此全选。8.答案：ABCDE解析：根据《数据安全法》和《数据分类分级规则》，核心数据实行全生命周期保护，要求每年开展安全评估，核心数据出境必须经过国家级安全评估，访问实行最小权限管理，必须加密存储传输，五个选项均符合要求，因此全选。9.答案：ABCE解析：社会工程学攻击是利用人的心理弱点获取信息或权限的攻击方式，钓鱼邮件、伪冒客服、水坑攻击、托辞攻击都属于社会工程学攻击，拖库攻击是黑客入侵数据库窃取数据的技术攻击，不属于社会工程学范畴，因此ABCE正确。10.答案：ABCDE解析：根据《生成式人工智能服务管理办法》，五个选项所述的义务都是提供者必须落实的，因此全选。三、判断题1.答案：√解析：《数据安全法》明确核心数据实行最严格保护制度，题干定义符合法律要求，因此正确。2.答案：×解析：零信任架构是对传统边界防护的补充和升级，多数企业部署零信任时会结合现有边界防护体系，不需要完全替换，因此错误。3.答案：√解析：《生成式人工智能服务管理办法》明确要求提供者建立生成内容审核机制，落实安全生产主体责任，因此正确。4.答案：×解析：个人信息出境有三种合法路径，不是所有出境都需要安全评估，只有达到规定规模的重要数据和个人信息出境才需要安全评估，因此错误。5.答案：√解析：DDoS攻击通过发送大量无效流量耗尽目标系统的带宽和计算资源，导致合法用户无法访问，核心目的是破坏目标服务的可用性，因此正确。6.答案：×解析：智能网联汽车的安全风险既包括网络层面，也包括车载传感器、控制硬件等终端层面，传感器被篡改可以直接影响行车安全，因此错误。7.答案：√解析：《网络安全法》明确规定网络运营者留存网络日志不少于六个月，因此正确。8.答案：×解析：由自然人主导利用生成式AI创作、符合独创性要求的作品依法享有著作权，因此不是所有AI生成内容都没有著作权，表述错误。9.答案：√解析：零日漏洞没有公开补丁，攻击者可以直接利用漏洞发起攻击，防护难度远高于有补丁的公开漏洞，因此威胁程度更高，表述正确。10.答案：√解析：后量子密码也叫抗量子密码，是指能够抵抗量子计算攻击的传统密码算法改进版本，和基于量子技术的量子密码属于不同范畴，因此表述正确。四、简答题1.参考答案：生成式人工智能服务提供者应当落实的安全义务包括：（1）数据合规义务：对训练数据的合法性进行审核，不得使用未授权的受知识产权保护的数据，不得非法收集用户个人信息，对训练数据中的个人信息按照要求进行脱敏处理；（2分）（2）内容安全义务：建立生成内容安全审核机制，对生成的违法违规内容及时进行处置，防范深度伪造违法内容传播；（2分）（3）用户身份管理义务：对注册用户进行真实身份信息核验，落实网络实名制要求；（1分）（4）个人信息保护义务：对用户输入的个人信息进行安全保护，不得擅自将用户输入信息用于模型训练，不得泄露、出售用户个人信息；（1分）（5）安全防护义务：建立模型安全防护机制，防范模型被投毒、窃取，建立应急预案，及时处置安全事件；（1分）（6）算法备案义务：按照要求对提供的生成式AI算法进行安全评估和备案，接受监管部门监督。（1分）2.参考答案：零信任架构在企业防护中的应用优势包括：（1）适应新型网络环境：适配远程办公、多云接入、物联网设备大量接入的新型企业网络环境，解决了传统边界防护在内网渗透攻击面前防护不足的问题；（2分）（2）降低数据泄露风险：通过最小权限授权和细粒度访问控制，限制了攻击者入侵后横向移动的范围，大幅降低核心数据泄露的概率；（2分）（3）提升威胁检测能力：通过持续的身份验证和风险评估，能够及时发现异常访问行为，提升对未知威胁的检测能力；（2分）（4）满足合规要求：符合等保2.0、关键信息基础设施保护等监管要求对身份管理、访问控制的要求，帮助企业