2026年网络安全合规教育试题及参考答案

2026年网络安全合规教育试题及参考答案一、单项选择题（每题2分，共30分）1.按照我国现行网络安全与生成式人工智能监管规则，提供生成式人工智能公众服务的服务提供者，对用户输入信息中包含的个人信息，以下处理方式符合合规要求的是（）A.直接将用户输入的所有个人信息用于模型训练B.除法律法规另有规定外，未经用户同意不得将用户输入的个人信息用于模型训练C.只要做了匿名化脱敏就可以将所有用户输入个人信息用于训练D.只要用户没有明确反对就可以默认用户同意将输入信息用于训练2.根据2025年更新实施的《网络数据分类分级保护办法》，我国将网络数据分为核心数据、重要数据和一般数据三个级别，以下关于不同级别数据处理活动的合规要求，说法正确的是（）A.核心数据原则上仅可在境内存储，确需出境的应当通过国家网信部门组织的数据出境安全评估B.重要数据一律不得出境C.一般数据出境不需要任何合规审核程序D.核心数据经过去标识化处理后即可自由出境3.根据《网络安全等级保护条例》要求，第三级以上网络的运营者应当多久开展一次正式的网络安全等级测评（）A.每半年B.每年C.每两年D.每三年4.根据《个人信息保护法》要求，处理敏感个人信息应当取得个人的哪类同意（）A.口头同意B.默认同意C.单独同意D.概括同意5.根据现行《数据出境安全评估办法》，满足以下哪项条件的数据处理者向境外提供个人信息，应当主动申报数据出境安全评估（）A.处理个人信息达到50万人B.处理个人信息达到10万人C.处理个人信息达到100万人D.处理个人信息达到1万人6.2025年某互联网企业上线了面向公众的免费AI聊天服务，用户注册时需要提供手机号完成实名认证，该企业以下哪项做法符合个人信息保护合规要求（）A.为了方便用户后续登录找回，将用户手机号明文存储在面向公网的应用服务器中B.将用户的实名认证信息共享给合作的广告公司用于精准投放，未告知用户也未取得单独同意C.遵循最小必要原则，仅存储完成实名认证所需的手机号信息，不额外收集用户通讯录、位置等非必要信息D.要求用户同时提供姓名、身份证号、家庭住址、银行卡号四类信息用于手机号实名认证验证7.根据我国《关键信息基础设施安全保护条例》，以下哪个运营主体不属于我国关键信息基础设施的认定范围（）A.提供公共通信和信息服务的基础运营商B.全国性的能源、交通、金融领域核心运营机构C.面向本地在校学生开放的小型校园论坛网站D.省级以上政务服务平台、三甲医院、重点高校核心业务系统8.根据《数据安全法》和《网络数据安全管理条例》要求，运营者发生重要数据或者核心数据安全事件，造成或者可能造成严重危害的，应当按照规定多久内向有关主管部门报告（）A.立即B.二十四小时内C.四十八小时内D.三个工作日内9.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者对哪类生成内容应当进行显著标识，避免公众混淆误认（）A.生成的所有内容B.生成的深度合成内容C.生成的原创内容D.用户上传的原始内容10.《网络安全法》明确要求，网络运营者应当建立健全网络安全保护责任体系，落实哪项基本制度落实保护责任（）A.网络安全负责人负责制B.网络安全等级保护制C.全员年度培训制D.漏洞及时通报制11.某非关键信息基础设施领域的互联网企业，处理个人信息总量为60万人，计划向境外合作方传输15万条境内用户个人信息，该企业以下哪种做法符合合规要求（）A.只要双方签订了合作协议，就可以直接发送给境外合作方B.直接通过所在地网信部门申报数据出境安全评估，不需要做其他准备C.只要企业自行完成风险评估，就可以直接出境D.该企业不属于应当申报数据出境安全评估的情形，可以通过签订个人信息出境标准合同或者完成个人信息出境认证后再开展数据出境活动12.根据《个人信息保护法》要求，处理不满十四周岁未成年人个人信息的，应当取得谁的同意（）A.未成年人本人B.未成年人的监护人C.未成年人所在学校D.不需要取得任何第三方同意13.以下哪项不属于网络运营者应当履行的法定网络安全保护义务（）A.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任B.定期对从业人员进行网络安全教育、技术培训和技能考核C.在不告知用户的情况下，将收集到的用户个人信息提供给第三方换取商业利益D.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月14.根据《网络产品安全漏洞管理规定》，以下哪个主体不得擅自向社会发布尚未完成修复的、影响范围较大的网络产品安全漏洞信息（）A.任何组织和个人B.只有网络产品提供者C.只有国家监管部门D.只有漏洞发现者个人15.2026年国内某车企推出量产智能网联汽车，车辆运行过程中会持续收集驾驶员人脸信息、车辆实时行驶轨迹、车辆周边环境数据等信息，按照我国最新汽车数据安全监管要求，这类数据属于（）A.一般数据，不需要采取特殊保护措施B.重要数据，应当按照重要数据保护要求落实分级保护责任C.仅属于车企所有，可以自由处置和出境D.可以自由存储在境外服务器，不需要境内存储二、多项选择题（每题3分，共30分）1.根据我国《个人信息保护法》相关规定，以下哪些属于法定的敏感个人信息范畴（）A.生物识别信息、宗教信仰信息、特定身份信息B.医疗健康信息、金融账户信息、行踪轨迹信息C.不满十四周岁未成年人的个人信息D.用户公开使用的网络昵称、头像2.生成式人工智能服务提供者按照我国监管要求，应当落实的安全合规义务包括以下哪些（）A.落实网络安全、数据安全、个人信息保护和知识产权保护相关制度B.建立健全训练数据入库审核、生成内容违规审核的内部管理机制C.对使用服务的用户进行真实身份信息认证D.永久存储所有用户的聊天输入内容，不得删除3.核心数据处理活动应当符合以下哪些合规要求（）A.明确专门的数据安全负责人和数据安全管理机构B.定期开展数据安全风险评估，每年向相关主管部门报送风险评估报告C.对核心数据的所有处理活动进行全程记录，确保处理活动全流程可追溯D.核心数据可以自由向境外合作方提供4.关键信息基础设施运营者相比普通网络运营者，需要履行以下哪些特殊的网络安全保护义务（）A.定期开展关键信息基础设施安全检测与风险评估B.对核心业务系统和重要数据库建立健全容灾备份机制C.优先采购经过安全认证的可信网络产品和服务D.涉及国家安全的网络产品和服务采购，应当按照要求开展国家安全审查5.个人信息处理者处理个人信息，应当遵循以下哪些法定基本原则（）A.合法、正当、必要和诚信原则B.公开透明原则C.处理目的限定原则D.最小必要原则6.发生以下哪些数据安全或者个人信息安全事件时，数据处理者应当及时向相关监管部门报告（）A.核心数据发生泄露、篡改、丢失或者被非法获取B.10万条以上个人信息发生泄露风险C.可能危害国家安全、公共利益的重大数据安全事件D.已经或者可能造成用户人身损害、经济损失的安全事件7.企业常态化网络安全合规教育的内容通常应当包含以下哪些模块（）A.国家最新出台的网络安全、数据安全相关法律法规和监管要求B.本单位内部制定的网络安全管理制度、数据处理操作流程C.常见网络攻击、钓鱼邮件、社会工程学攻击的识别与防范技能D.日常工作中个人信息保护、敏感数据处理的合规操作规范8.以下关于企业数据安全治理的说法，符合我国2026年现行监管要求的有（）A.企业应当建立健全内部数据分类分级保护制度，定期梳理本单位全量数据，完成分类分级标注B.处理重要数据或者核心数据的企业应当设立专门的数据安全负责人，统筹本单位数据安全管理工作C.掌握重要数据和核心数据的企业应当每年开展一次全公司范围的数据安全风险评估，报送相关主管部门D.只要不发生数据泄露事件，企业的数据处理活动就不存在合规风险9.个人信息处理者处理个人信息，依法应当向个人告知以下哪些事项（）A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类范围C.个人行使法定信息处理相关权利的方式和程序D.存储个人信息的具体物理服务器地址10.以下哪些行为属于违反我国网络安全合规要求的行为（）A.未履行法定网络安全保护义务，导致发生重大网络安全事件B.未经用户同意收集、使用、对外提供用户个人信息C.未经过安全评估擅自向境外提供核心数据和重要数据D.按照监管要求定期开展网络安全等级测评和风险评估三、判断题（每题1分，共10分）1.根据《网络安全法》要求，网络运营者应当按照规定留存相关的网络日志不少于六个月。（）2.处理敏感个人信息只要取得用户的概括同意就符合合规要求，不需要单独取得同意。（）3.所有向境外提供个人信息的行为都必须申报国家层面的数据出境安全评估。（）4.生成式人工智能服务提供者可以使用来源不合法的个人信息训练模型，只要不对外公开服务就不违规。（）5.关键信息基础设施运营者应当将在中华人民共和国境内运营中收集和产生的重要数据和核心数据存储在境内。（）6.个人信息处理者经过不可逆的匿名化处理后的个人信息，不属于受《个人信息保护法》保护的个人信息，可以自由提供给第三方使用。（）7.网络产品、服务的提供者发现其产品存在严重安全漏洞的，应当及时采取修复措施，并按照规定告知用户和向相关监管部门报告。（）8.网络安全合规教育只是企业内部的形式化工作，不需要投入资源，也不需要对培训效果进行考核。（）9.个人依法有权要求个人信息处理者对其个人信息处理规则进行解释说明，也有权查询、复制自身的个人信息。（）10.智能网联汽车、物联网智能设备收集的用户个人信息，不需要遵守《个人信息保护法》，只需要符合产品质量要求就可以。（）四、案例分析题（共30分）2025年，国内某头部生成式人工智能创业公司A公司，推出面向C端用户的免费聊天机器人产品，上线3个月累计注册用户超过6000万，其中境内活跃用户超过5500万。A公司在用户注册协议中，以五号小字标注“本公司可使用用户输入的所有聊天内容用于模型训练，用户不同意请不要使用本产品”，未就用户输入内容用于模型训练单独向用户告知，也未单独取得用户同意，更未向用户明确说明训练过程中个人信息的处理规则和保护方式。A公司训练该聊天机器人模型使用的训练数据中，包含大量从互联网公开渠道爬取的个人信息，其中超过2000万条是境内用户的敏感个人信息，A公司未取得这些信息权利人的任何同意，也未对训练数据入库前开展合规审核，未对训练数据中的个人信息采取必要的去标识化保护措施。2025年底，A公司计划将训练完成的该模型整体授权给一家境外注册的科技公司使用，计划将训练该模型使用的180万条标注过的境内用户个人信息同步传输给该境外公司。A公司管理层认为，本公司不属于关键信息基础设施运营者，当前处理的个人信息总量虽然超过5500万，但是本次拟出境的个人信息只有180万条，不足100万人，不需要申报数据出境安全评估，所以未履行任何合规手续就准备完成数据传输。请结合我国现行网络安全、数据安全、个人信息保护以及生成式人工智能监管相关规定，回答以下问题：1.A公司在整个个人信息处理过程中存在哪些不合规之处？（15分）2.A公司本次计划向境外提供个人信息的行为，应当符合哪些合规要求？（10分）3.结合本案例，说明企业开展常态化网络安全合规教育的核心意义是什么？（5分）参考答案一、单项选择题参考答案1.B2.A3.B4.C5.C6.C7.C8.C9.B10.A11.D12.B13.C14.A15.B二、多项选择题参考答案1.ABC2.ABC3.ABC4.ABCD5.ABCD6.ABCD7.ABCD8.ABC9.ABC10.ABC三、判断题参考答案1.√2.×3.×4.×5.√6.√7.√8.×9.√10.×四、案例分析题参考答案1.A公司在个人信息处理过程中存在多处明显不合规，具体梳理如下：第一，个人信息处理同意环节违反合规要求。根据《个人信息保护法》以及《生成式人工智能服务管理暂行办法》的明确要求，将用户输入的个人信息用于超出提供服务原始目的的模型训练，属于独立的个人信息处理活动，应当单独向用户告知处理规则，并单独取得用户的明确同意，不能通过捆绑服务的格式条款，以概括性告知默认取得同意。A公司仅在注册协议中以小字模糊告知，未赋予用户自主选择权，本质上属于强迫用户授权，违反了个人信息保护的同意规则，也侵害了用户的知情权和决定权。第二，训练数据收集和处理环节存在多重违规。生成式人工智能服务提供者依法应当对训练数据的合法性、合规性进行审核，确保训练数据来源合法，符合个人信息保护要求。A公司未经授权爬取互联网公开的2000万条境内用户敏感个人信息用于商业性模型训练，既未取得敏感个人信息权利人的单独同意，也未建立敏感个人信息专项保护制度，违反了敏感个人信息处理的核心合规要求。同时，A公司未对训练数据中的个人信息采取必要的去标识化、安全存储等保护措施，大幅提升了数据泄露的风险，违反了数据安全保护的基本要求。第三，事前合规流程未落实。根据监管要求，提供生成式人工智能公众服务上线前应当完成安全评估，处理超大规模个人信息的处理者应当开展个人信息保护影响评估，A公司上线产品前未完成生成式人工智能服务安全评估，也未开展个人信息保护影响评估，未建立个人信息安全事件应急预案，违反了事前合规的基本要求。第四，内部管理制度缺失。A公司作为处理超过5000万用户个人信息的大型服务提供者，应当设立专门的数据安全负责人和个人信息保护机构，建立健全内部数据安全和个人信息保护管理制度，A公司管理层对合规要求认知模糊，也未建立对应的管理制度，本身就违反了《数据安全法》和《个人信息保护法》对大型处理者的合规要求。2.A公司本次向境外提供个人信息的行为，应当符合以下合规要求：首先，A公司本次出境的个人信息规模达到180万条，已经满足《数据出境安全评估办法》中“累计向境外提供10万人以上个人信息”的申报要求，因此A公司必须首先向国家互联网信息办公室申报数据出境安全评估，不能以“处理个人信息总量不足100万”为由逃避申报，只有通过安全评估后才能开展后续的数据出境活动。其次，若数据出境安全评估通过，A公司还应当