2026年国家网络安全知识竞赛题库附参考答案

2026年国家网络安全知识竞赛题库附参考答案一、单项选择题（共20题，每题1分）1.2025年12月正式实施的《网络数据安全管理条例》明确，处理多少人以上个人信息的处理者，应当按照国家有关规定设立首席数据安全官，明确其数据安全职责？（）A.10万B.50万C.100万D.200万参考答案：C解析：《网络数据安全管理条例》第二十二条规定，处理100万人以上个人信息的数据处理者，应当设立首席数据安全官，统筹数据安全保护工作。2.根据《生成式人工智能服务管理暂行办法（2025修订）》，提供具有舆论属性或者社会动员能力的生成式人工智能服务的提供者，应当按照国家有关规定开展安全评估，并在服务上线前多长时间向网信部门提交安全评估报告？（）A.7个工作日B.10个工作日C.15个工作日D.30个工作日参考答案：B解析：2025年修订的《生成式人工智能服务管理暂行办法》第七条明确，相关服务提供者需在上线前10个工作日提交安全评估报告，落实算法安全主体责任。3.我国网络安全等级保护制度将网络划分为几个安全保护等级？（）A.3B.4C.5D.6参考答案：C解析：根据《网络安全等级保护条例》，网络安全保护等级分为五级，从第一级到第五级逐级递增，分别对应一般网络、重要网络、关键网络、核心网络、极端重要网络的防护要求。4.关键信息基础设施运营者应当自网络正式投入运行之日起多长时间内，依法向公安机关备案？（）A.30日B.60日C.90日D.180日参考答案：A解析：《关键信息基础设施安全保护条例》第二十条规定，运营者应当在网络正式投入运行之日起30日内，向设区的市级以上公安机关备案。5.下列哪种密码属于我国《密码法》规定的核心密码，用于保护国家秘密信息中的绝密级信息？（）A.商用密码B.普通密码C.核心密码D.对称密码参考答案：C解析：《密码法》第七条规定，核心密码、普通密码用于保护国家秘密信息，核心密码保护最高密级的绝密级信息，普通密码保护机密级、秘密级信息，商用密码用于保护不属于国家秘密的信息。6.网络运营者收集、使用个人信息，应当遵循的原则不包括以下哪项？（）A.合法B.正当C.必要D.全面参考答案：D解析：《个人信息保护法》第五条、第六条明确，个人信息处理应当遵循合法、正当、必要、诚信原则，不得过度收集个人信息。7.2025年工信部发布的《工业互联网安全防护指南》要求，工业企业核心生产控制区与其他区域之间应当部署哪类安全设备实现边界隔离？（）A.普通防火墙B.工业网闸C.入侵检测系统D.Web应用防火墙参考答案：B解析：工业网闸采用物理断开、协议剥离的技术架构，可实现工业生产控制区与管理区、互联网区域的强隔离，符合工业领域核心业务的防护要求。8.下列哪种攻击方式是通过构造带有恶意代码的Office文档，诱导用户点击后执行恶意程序，属于典型的鱼叉式钓鱼攻击常用手段？（）A.DDoS攻击B.宏病毒攻击C.SQL注入D.跨站脚本攻击参考答案：B解析：宏病毒利用Office软件的宏功能执行恶意代码，常通过定向投递邮件附件的方式实施鱼叉式钓鱼，是近年来针对政企单位高价值攻击的常用载体。9.根据《网络安全事件应急预案》，发生多少用户个人信息泄露的事件，属于特别重大网络安全事件（Ⅰ级）？（）A.100万以上B.500万以上C.1000万以上D.5000万以上参考答案：C解析：《国家网络安全事件应急预案》明确，泄露1000万以上个人信息，或导致关键信息基础设施核心业务中断超过24小时的事件，为特别重大（Ⅰ级）网络安全事件。10.数据出境安全评估中，数据处理者向境外提供多少以上的个人信息，应当申报数据出境安全评估？（）A.10万人B.50万人C.100万人D.200万人参考答案：C解析：根据《数据出境安全评估办法》第四条，处理100万人以上个人信息的处理者向境外提供个人信息，或累计向境外提供10万人以上个人信息、1万人以上敏感个人信息的，需申报安全评估。11.下列哪种身份认证方式属于多因素认证（MFA）？（）A.仅密码登录B.仅指纹登录C.密码+手机验证码登录D.仅人脸识别登录参考答案：C解析：多因素认证需同时组合两种及以上不同类型的认证要素，包括“知道的要素（如密码）”“持有的要素（如手机、UKey）”“固有要素（如指纹、人脸）”，选项C组合了“知道”和“持有”两类要素，属于MFA。12.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当依法开展哪项审查？（）A.网络安全审查B.反垄断审查C.资质审查D.质量审查参考答案：A解析：《网络安全审查办法》第二条规定，关键信息基础设施运营者采购网络产品和服务，数据处理者开展数据处理活动，影响或可能影响国家安全的，应当进行网络安全审查。13.下列哪种行为符合个人信息保护相关法律要求？（）A.强制用户授权位置权限才能使用天气App基础功能B.公开政务公开渠道可查询的企业法定代表人公开联系电话用于商业推销C.处理已公开的个人信息，未超出公开用途范围D.未经同意向用户发送商业营销短信参考答案：C解析：《个人信息保护法》第二十七条规定，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。14.我国网络安全宣传周的固定举办时间是每年的几月？（）A.6月B.7月C.9月D.10月参考答案：C解析：自2014年起，我国每年9月第三周举办国家网络安全宣传周，2026年为第13届网络安全宣传周，主题为“网络安全为人民，网络安全靠人民”。15.下列哪类漏洞属于CVSS评分9.0以上的高危漏洞，曾在2025年被全球黑客广泛利用于攻击未及时打补丁的服务器设备？（）A.Log4j2远程代码执行漏洞B.CVE-2025-24162Windows内核提权漏洞C.Struts2远程代码执行漏洞D.ApacheShiro反序列化漏洞参考答案：B解析：CVE-2025-24162是2025年微软披露的Windows内核高危提权漏洞，CVSS评分为9.8，攻击者可利用该漏洞获取系统最高权限，2025年全球范围内出现多起利用该漏洞攻击企业内网服务器的事件。16.针对儿童个人信息的处理，下列说法正确的是？（）A.处理不满14周岁未成年人个人信息的，应当取得未成年人本人同意B.儿童个人信息属于敏感个人信息，处理前应当取得未成年人父母或者其他监护人的同意C.互联网平台可默认开启儿童账号的内容个性化推荐功能D.儿童个人信息的保存期限不得超过3年参考答案：B解析：《个人信息保护法》第三十一条规定，个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，不满十四周岁未成年人的个人信息属于敏感个人信息。17.企业开展日常网络安全漏洞排查时，对于发现的存在于核心业务系统的高危漏洞，应当在多长时间内完成修复？（）A.24小时内B.72小时内C.7天内D.30天内参考答案：A解析：根据《网络安全漏洞管理规定》，对于影响核心业务系统、可能导致大规模数据泄露或业务中断的高危漏洞，运营者应当在24小时内采取修复或临时防护措施，72小时内完成彻底修复。18.下列哪种场景下的数据处理活动，不属于《数据安全法》规定的重要数据处理范畴？（）A.能源领域实时采集的电网运行调度数据B.交通领域汇聚的城市主干道实时交通流量数据C.电商平台记录的用户普通订单收货地址（累计不足10万条）D.医疗卫生领域存储的百万级人口基因测序数据参考答案：C解析：重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用等，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据，普通电商个人订单数据不属于重要数据范畴。19.下列关于零信任架构的核心原则，说法错误的是？（）A.永不信任，始终验证B.默认所有访问主体都不可信C.基于网络边界位置授予访问权限D.最小权限分配参考答案：C解析：零信任架构打破了传统基于网络边界的信任模型，不再以“内网/外网”作为信任判断依据，而是对每一次访问请求进行持续身份验证、权限动态调整，实现最小权限访问。20.根据《反电信网络诈骗法》，电信业务经营者应当依法全面落实电话用户哪项制度，对涉诈异常电话卡用户进行重新核验？（）A.实名登记B.套餐备案C.信用分级D.流量监测参考答案：A解析：《反电信网络诈骗法》第九条规定，电信业务经营者应当依法全面落实电话用户真实身份信息登记制度，对监测识别的涉诈异常电话卡用户应当重新进行实名核验，根据风险等级采取有区别的、相应的核验措施。二、多项选择题（共15题，每题2分，多选、少选、错选均不得分）1.我国网络安全工作的“三同步”原则是指，网络运营者在规划、建设网络时，应当同步落实网络安全保护措施，具体包括？（）A.同步规划B.同步建设C.同步使用D.同步运维参考答案：ABC解析：《网络安全法》第三十三条明确，建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。2.下列哪些属于《网络安全法》规定的网络运营者应当履行的安全保护义务？（）A.制定内部安全管理制度和操作规程B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，留存相关网络日志不少于6个月D.对所有用户的聊天内容进行实时监控参考答案：ABC解析：网络运营者不得非法监控用户通信内容，网络日志留存不得少于6个月是法定强制要求。3.敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，下列属于敏感个人信息的有？（）A.生物识别信息B.医疗健康信息C.金融账户信息D.行踪轨迹信息参考答案：ABCD解析：《个人信息保护法》第二十八条明确，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。4.关键信息基础设施涵盖的重点行业领域包括以下哪些？（）A.公共通信和信息服务B.能源、交通、水利C.金融、公共服务、电子政务D.国防科技工业参考答案：ABCD解析：《关键信息基础设施安全保护条例》第二条规定，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。5.下列哪些属于常见的电信网络诈骗手段？（）A.冒充公检法机关工作人员要求用户转账至“安全账户”B.以“刷单返利”为诱饵诱导用户小额投入后骗取大额资金C.假冒客服以“商品质量问题理赔”为由诱导用户点击钓鱼链接输入银行卡信息D.冒充单位领导通过微信、QQ要求财务人员紧急转账参考答案：ABCD解析：以上四类均为近年来高发的电信网络诈骗类型，2025年全国公安机关破获的电诈案件中，刷单返利、虚假投资理财、冒充客服、冒充公检法四类案件占比超过70%。6.企业防范勒索病毒攻击，应当落实下列哪些防护措施？（）A.定期对核心业务数据进行离线备份，定期开展备份恢复演练B.及时更新系统、应用补丁，关闭不必要的端口和服务C.严格限制核心业务服务器的访问权限，关闭默认共享文件夹D.对员工开展钓鱼邮件识别培训，避免点击陌生来源的附件和链接参考答案：ABCD解析：勒索病毒攻击主要通过钓鱼邮件、漏洞利用、弱口令爆破等方式入侵，落实离线备份、补丁更新、权限管控、员工培训四项措施可防范90%以上的勒索病毒攻击风险。7.商用密码应用安全性评估（密评）的对象包括下列哪些？（）A.关键信息基础设施B.等保三级及以上的网络与信息系统C.政务信息系统D.面向公众服务的互联网网站参考答案：ABC解析：《商用密码应用安全性评估管理办法》要求，关键信息基础设施、等保三级及以上系统、国家政务信息系统应当依法开展商用密码应用安全性评估，未达到密码应用要求的不得投入运行。8.下列哪些行为属于《数据安全法》明确禁止的违法数据处理活动？（）A.未经主管机关批准，向境外司法或执法机构提供存储于我国境内的数据B.非法交易、泄露核心数据、重要数据C.爬取其他平台公开的数据用于合法的学术研究D.对数据安全事件隐瞒不报、迟报谎报参考答案：ABD解析：《数据安全法》第三十六条规定，非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据；爬取公开数据用于合法学术研究不属于禁止范畴。9.个人发现网络运营者违反法律规定处理其个人信息的，有权行使下列哪些权利？（）A.要求删除其个人信息B.要求更正错误的个人信息C.要求查阅、复制其个人信息D.直接关停网络运营者的服务参考答案：ABC解析：《个人信息保护法》赋予个人对其个人信息的查阅、复制、更正、删除、撤回同意、可携带等权利，个人无权直接关停运营者服务，可向监管部门投诉举报。10.网络安全等级保护2.0标准体系涵盖的防护对象包括下列哪些？（）A.传统信息系统B.云计算平台C.大数据平台D.物联网系统、工业控制系统参考答案：ABCD解析：等保2.0将防护范围从传统IT系统扩展到云计算、大数据、物联网、工业互联网、移动互联五大新兴领域，实现了对所有网络和信息系统的全覆盖。11.下列关于网络安全漏洞处置的说法，正确的有？（）A.网络产品提供者发现其产品存在安全漏洞的，应当及时采取补救措施，按照规定向有关部门报告B.任何组织或者个人不得设立专门用于发布网络攻击工具、交易漏洞利用代码的平台C.从事漏洞挖掘活动的人员不得在漏洞修复前向社会公开漏洞细节和利用方法D.黑客可以将获取的政务系统漏洞出售给境外机构获取报酬参考答案：ABC解析：《网络安全漏洞管理规定》明确，漏洞挖掘应当遵守法律法规，不得利用漏洞从事危害网络安全的活动，不得向境外组织非法提供涉及我国关键信息基础设施的漏洞信息。12.下列哪些属于人工智能应用面临的典型安全风险？（）A.深度伪造技术被用于制作虚假视频实施诈骗B.训练数据泄露导致用户隐私信息被逆向还原C.算法偏见导致歧视性决策结果D.大模型被诱导生成违法有害内容参考答案：ABCD解析：生成式人工智能快速发展带来的深度伪造、数据泄露、算法歧视、内容滥用等风险是2026年网络安全领域的重点防护方向。13.机关单位日常办公中，下列哪些行为存在失泄密风险？（）A.用非涉密计算机存储、处理涉密文件B.用连接互联网的微信、QQ传输涉密工作信息C.将涉密U盘接入普通互联网计算机拷贝文件D.在涉密会议室使用开启无线联网功能的智能设备录音、拍照参考答案：ABCD解析：以上行为均违反保密管理规定，是导致党政机关涉密信息泄露的高发风险点。14.根据《网络安全审查办法》，网络安全审查重点评估的风险因素包括？（）A.产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险B.产品和服务供应中断对关键信息基础设施业务连续性的危害C.产品和服务提供者遵守中国法律、行政法规、部门规章情况D.核心数据、重要数据或者大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险参考答案：ABCD解析：《网络安全审查办法》第十条明确了网络安全审查需重点评估的9类风险因素，以上选项均属于法定评估范畴。15.青少年安全使用网络，应当养成下列哪些良好习惯？（）A.不随意点击陌生链接、下载非官方渠道的应用B.不向陌生网友透露个人及家庭的隐私信息C.不参与网络暴力，不随意转发未经证实的网络信息D.控制上网时长，警惕网络游戏、直播平台的非理性消费参考答案：ABCD解析：以上选项均为青少年网络安全素养的核心要求，是校园网络安全教育的重点内容。三、判断题（共10题，每题1分）1.个人信息处理者处理个人信息，只要取得个人同意，就可以不受任何限制地使用个人信息。（）参考答案：×解析：处理个人信息即使取得个人同意，也应当遵循合法、正当、必要原则，不得超出约定的处理目的和范围。2.只要安装了杀毒软件，终端设备就不会被黑客攻击。（）参考答案：×解析：杀毒软件仅能防范已知恶意程序，无法防御零日漏洞攻击、社会工程学攻击等新型威胁，还需结合补丁更新、权限管控、安全意识提升等综合防护措施。3.关键信息基础设施运营者发生网络安全事件，应当立即启动应急预案，按照规定向有关主管部门报告，不得迟报、谎报、瞒报、漏报。（）参考答案：√解析：该要求出自《关键信息基础设施安全保护条例》第二十七条。4.企业可以随意收集员工的人脸、指纹等生物信息用于考勤，无需履行告知同意程序。（）参考答案：×解析：生物识别信息属于敏感个人信息，处理员工生物信息应当向员工告知处理目的、方式、保存期限，并取得员工单独同意。5.为了方便记忆，可以将电子邮箱、办公系统、网上银行等多个账号设置为同一个密码。（）参考答案：×解析：多账号使用同一密码会导致“一次泄露、全部失守”的风险，不同账号应当设置独立的高强度密码，建议使用密码管理器管理账号密码。6.网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。（）参考答案：√解析：该要求出自《网络安全法》第二十八条。7.经过匿名化处理的个人信息，无法识别特定自然人且不能复原的，其处理活动不需要再取得个人同意。（）参考答案：√解析：《个人信息保护法》第四条明确，匿名化处理后的信息不属于个人信息范畴，处理过程无需征得个人同意。8.公共WiFi环境下，不建议进行网上银行转账、移动支付等敏感操作，防范数据被窃听风险。（）参考答案：√解析：公共WiFi缺乏足够的安全加密措施，攻击者可通过搭建伪造WiFi、流量嗅探等方式窃取用户传输的账号密码、支付验证码等敏感信息。9.生成式人工智能服务提供者对其生成的内容不承担任何责任，所有责任由用户自行承担。（）参考答案：×解析：《生成式人工智能服务管理暂行办法》明确，生成式AI服务提供者应当对生成内容的合法性负责，落实内容安全主体责任。10.网络安全等级保护是国家网络安全的基本制度，所有网络运营者都应当依法履行等级保护义务。（）参考答案：√解析：根据《网络安全法》第二十一条，国家实行网络安全等级保护制度，所有网络运营者均需按照等级保护制度要求落实安全防护措施。四、情景简答题（共4题，每题12.5分）1.某企业员工小张在办公时收到一封发件人显示为“公司人力资源部”的邮件，邮件主题为“2026年员工薪资调整方案通知”，附件为名为“薪资调整名单.exe”的可执行文件，邮件正文要求员工点击附件查看个人调整结果，且要求3个工作日内反馈意见，否则视为无异议。请指出该场景中存在的3个以上网络安全风险点，并说明员工应当如何正确处置。参考答案：（1）存在的风险点：①发件人存在伪造可能，鱼叉式钓鱼邮件常通过仿冒内部部门邮箱地址投递恶意程序；②附件为.exe可执行文件，正常办公文档不会使用可执行程序格式，极大概率为木马病毒程序，一旦点击会导致终端被入侵、内网数据被窃取；③邮件以“薪资调整”为高诱导性内容，利用员工好奇心降低警惕，属于典型的社会工程学攻击手段；④未经过内部办公系统正式下发通知，通过邮件直接要求点击可执行文件，不符合企业内部文件发布的常规流程。（2）正确处置方式：①不要点击附件、不要下载运行陌生来源的可执行程序，立即关闭邮件；②通过企业内部通讯录直接联系人力资源部核实该邮件真实性，不要直接回复可疑邮件；③将可疑邮件作为垃圾邮件上报给企业IT安全部门，由安全人员对邮件来源、附件进行恶意样本检测；④日常办公中养成识别钓鱼邮件的习惯，对陌生邮件的附件、链接保持警惕，不随意点击来源不明的程序文件。2.某三甲医院作为本地医疗卫生领域的关键信息基础设施运营者，存储了超过500万条患者的诊疗记录、基因信息、医保信息等数据，计划将部分anonymized（去标识化）的临床科研数据通过专线传输至境外合作的医学研究机构用于罕见病联合研究。请结合《数据安全法》《数据出境安全评估办法》相关规定，说明该医院在开展上述数据出境活动前应当履行哪些法定程序，日常数据安全管理中应当落实哪些核心义务。参考答案：（1）数据出境前应当履行的法定程序：①首先识别拟出境数据的属性，其中患者基因信息、大规模诊疗记录属于医疗卫生领域重要数据，去标识化的科研数据如果经过评估可能危害国家安全、公共利益的，也需纳入重要数据管理范畴；②该医院作为关键信息基础设施运营者，向境外提供个人信息和重要数据的，应当提前向国家网信部门申报数据出境安全评估，提交数据出境风险自评估报告、与境外接收方签订的法律文件等材料，经评估通过后方可开展数据出境活动；③与境外合作机构签订数据安全协议，明确数据处理的目的、范围、方式，数据安全保护责任，以及数据泄露后的应急处置和责任追究条款；④对拟出境的科研数据进行严格的去标识化、脱敏处理，去除所有可识别特定个人的信息字段，确保数据无法被逆向还原到具体自然人。（2）日常数据安全管理核心义务：①建立健全全流程数据安全管理制度，设立首席数据安全官，明确数据安全岗位职责，定期开展数据安全风险评估；②对存储的患者敏感个人信息采取加密、访问权限控制、操作审计等技术防护措施，核心医疗数据定期开展离线备份；③定期对医护人员、信息部门工作人员开展数据安全培训，防范内部人员违规泄露患者数据；④制定数据安全事件应急预案，发生数据泄露事件后立即启动响应，及时向卫生健康主管部门、网信部门、公安机关报告，并告知受影响的患者。3.某政务服务平台近期发现平台服务器遭受大流量DDoS攻击，同时监测到有攻击者尝试利用SQL注入漏洞窃取平台存储的企业和群众办事数据，部分页面被篡改植入涉诈跳转链接。请结合网络安全应急响应流程，说明该平台运营单位应当采取哪些应急处置措施，后续应当从哪些方面强化防护能力。参考答案：（1）应急处置措施：①第一时间启动网络安全应急预案，按照事件分级要求向上级政务管理部门、网信部门、公安机关报告事件情况，不得隐瞒事件；②对遭受DDoS攻击的业务入口紧急接入流量清洗设备，过滤恶意攻击流量，保障政务服务正常访问，避免业务长时间中断影响群众办事；③对被篡改的页面第一时间进行下线处理，移