2026年网络安全合规践行试题及参考答案

2026年网络安全合规践行试题及参考答案1.根据2025年修订的《生成式人工智能服务管理暂行办法》，提供生成式人工智能服务的主体对生成内容的版权合规责任，下列说法正确的是（）A.训练数据来源合法即可，生成内容产生的侵权责任由用户承担B.生成式AI服务提供者应当对生成内容侵犯他人知识产权的情况承担无过错责任C.生成式AI服务提供者应当明确告知用户生成内容的知识产权归属规则，不得通过格式条款不合理排除自身的版权审核义务D.生成式AI生成内容只要未标注AI生成，服务提供者就必须承担全部侵权责任2.根据《网络安全等级保护条例》（2025年正式实施版）及关键信息基础设施安全保护相关要求，关键信息基础设施运营者应当将其核心业务系统的网络安全保护等级不低于（）A.二级B.三级C.四级D.五级3.根据2025年网信办修订的《个人信息出境标准合同办法》，处理超过（）人的敏感个人信息的运营者，开展个人信息出境活动必须通过安全评估，不得通过订立标准合同或者认证方式出境。A.1万B.10万C.50万D.100万4.根据《工业和信息化部国家互联网信息办公室国家发展和改革委员会关于印发<工业数据分类分级指南（2025年修订）>》的要求，一旦泄露会对国家安全、公共利益造成严重损害的工业数据属于（）A.一级数据B.二级数据C.三级数据D.核心数据5.根据《移动互联网应用程序信息服务管理规定（2024修订）》，下列关于APP收集个人信息的行为，符合合规要求的是（）A.天气类APP申请获取用户通讯录权限用于个性化广告推送B.出行服务类APP将收集到的用户行程信息共享给第三方风控企业，并提前在隐私政策中单列取得用户单独同意C.电商平台APP要求用户必须同意收集人脸信息方可注册使用账号D.办公类APP默认勾选同意收集用户通讯录用于拓展人脉，用户取消勾选不影响使用6.关键信息基础设施发生运营主体变更、核心业务系统调整的，运营者应当在变更调整完成后（）个工作日内向保护工作部门报告，重新开展认定。A.10B.15C.30D.607.根据《网络安全事件应急预案（2025修订）》，发生造成100万以上用户个人信息泄露的网络安全事件，属于哪一级事件（）A.特别重大事件B.重大事件C.较大事件D.一般事件8.根据《网络数据安全管理条例》，网络运营者留存网络日志的期限不得少于（），法律法规另有规定的从其规定。A.6个月B.12个月C.18个月D.24个月9.处理超过（）的重要数据处理者，应当每年开展至少一次全面的网络安全合规审计，并将审计报告报送所在地网信部门。A.10万人以上个人信息B.100万条以上个人信息C.10TB以上重要数据D.100TB以上重要数据10.根据我国生成式AI监管要求，面向社会公众提供生成式人工智能服务的，应当按照规定完成（）后，方可提供服务。A.安全评估B.算法备案C.版权登记D.资质申请11.根据《数据安全法》配套实施细则，重要数据处理者应当明确数据安全负责人和管理机构，下列说法正确的是（）A.数据安全负责人可以由企业法务兼任，无需满足专业能力要求B.数据安全负责人应当由企业主要负责人兼任C.数据安全负责人应当具有相关专业能力和管理权限，对企业数据安全工作直接负责D.数据安全负责人变更无需向监管部门报告12.关键信息基础设施运营者采购涉及网络安全的境外产品和服务，应当通过哪一项合规审查（）A.网络安全审查B.等级保护测评C.数据出境安全评估D.算法备案13.根据《未成年人网络保护条例》，处理不满（）周岁未成年人个人信息，应当取得未成年人的父母或者其他监护人的单独同意，法律法规另有规定的除外。A.12B.14C.16D.1814.根据《网络产品安全漏洞管理规定（2025修订）》，网络产品提供者发现产品存在高危安全漏洞后，应当在（）小时内向相关主管部门报告，并及时告知用户，采取补救措施。A.24B.48C.72D.1215.根据《个人信息保护法》规定，未履行个人信息保护义务情节特别严重的，最高可处上一年度营业额（）的罚款。A.1%B.5%C.10%D.20%二、多项选择题1.根据《网络安全法》《数据安全法》《个人信息保护法》及2024-2025年出台的配套监管细则，下列主体中按规定应当开展数据安全风险评估的有（）A.处理100万条以上个人信息的互联网平台运营者B.开展个人信息出境活动的运营者C.处理重要数据的关键信息基础设施运营者D.发生数据安全事件的运营者2.下列关于生成式人工智能服务合规要求，说法正确的有（）A.生成式AI服务提供者应当对训练数据进行合法性审核，不得使用侵犯他人合法权益的内容训练模型B.生成式AI服务提供者应当对用户输入信息进行审核，不得为用户生成违法违规内容提供服务C.生成式AI生成的内容可能造成公众误解的，应当进行显著标注，区分AI生成内容和人类原创内容D.提供面向公众的生成式AI聊天服务，应当留存用户聊天记录不少于6个月，配合监管部门调查。3.关键信息基础设施运营者应当履行的特殊合规义务包括（）A.定期开展网络安全检测和风险评估，每年至少开展一次全面评估B.每年向网信部门和行业保护工作部门报送安全风险评估报告C.对核心业务系统和重要数据库进行异地容灾备份D.设置专门的安全管理机构和专职安全管理人员，对从业人员开展安全背景审查。4.下列个人信息处理行为中，不需要取得个人单独同意的情形包括（）A.为订立、履行个人作为一方当事人的合同所必需，处理必要的个人信息B.为履行法定监管职责或者法定义务所必需的处理活动C.应对突发公共卫生事件，为保护自然人的生命健康和财产安全所必需D.在合法公开渠道获取的个人信息，处理行为未侵害个人重大利益，且符合法律规定。5.APP申请收集个人信息权限，下列哪些行为属于违规的过度索权行为（）A.核心功能无关的强制权限申请，比如纯工具类短视频APP要求获取位置权限，关闭权限后无法使用视频播放功能B.非必要的敏感权限申请，比如本地笔记类APP强制要求获取通讯录权限才能使用基础编辑功能C.一次性申请多个与核心功能无关的权限，用户不全部授权就无法启动APPD.仅申请与核心功能相关的必要权限，用户不授权非必要权限不影响核心功能使用。6.根据《数据分类分级规则》国家标准（2025版），下列数据中属于核心数据范畴的有（）A.关系国家安全的重要能源、矿产资源储备分布数据B.未公开的国家重大经济运行调控数据C.超过100万人的普通个人信息集合D.关系重大公共利益的水利、交通、电力领域核心运行数据7.企业构建网络安全合规管理体系，应当建立完善的核心管理制度包括（）A.数据分类分级管理制度B.个人信息保护内部管理制度C.网络安全漏洞发现上报和处置管理制度D.网络安全事件应急响应制度8.下列关于我国个人信息出境合规路径的说法，正确的有（）A.个人信息出境可以选择安全评估、标准合同备案、个人信息保护认证三种合法路径B.关键信息基础设施运营者开展个人信息出境活动，必须申报网络安全审查和个人信息出境安全评估C.处理超过100万人个人信息的运营者开展个人信息出境，必须进行出境安全评估D.处理个人信息规模未达到安全评估要求的运营者，可以选择订立标准合同备案或者个人信息保护认证方式开展出境活动9.企业年度网络安全合规自查工作中，应当重点核查的内容包括（）A.个人信息收集的合法性，是否存在过度收集、未经同意收集敏感个人信息的情况B.个人信息共享和公开的合规性，是否取得用户的单独同意C.重要数据和核心数据的存储合规性，是否按照监管要求实现本地化存储D.算法应用的合规性，是否存在算法歧视、算法滥用、侵害用户权益的问题10.发生个人信息泄露安全事件后，运营者应当采取的正确处置措施包括（）A.立即启动应急响应预案，采取技术封堵、数据加密等补救措施控制影响范围B.按照法定时限要求向所在地网信部门和行业主管部门报告事件情况C.及时告知受影响的用户事件发生时间、泄露内容、潜在危害和已经采取的防护措施D.为避免品牌声誉受损，优先隐瞒事件，自行完成修复后再对外公布。三、判断题1.处理个人信息的，只要提前在隐私政策中进行了概括告知，就可以默认取得用户同意，无需针对特定处理活动取得单独同意。（）2.关键信息基础设施运营者采购境外提供的网络产品和服务，涉及国家安全和数据安全风险的，必须进行网络安全审查。（）3.生成式AI服务提供者可以直接将用户输入的对话内容用于模型训练，无需提前取得用户同意。（）4.所有重要数据都必须存储在中华人民共和国境内，不得向境外提供或者在境外存储。（）5.网络安全合规是企业技术部门的专属责任，业务部门和法务部门无需参与合规建设。（）6.用户撤回对个人信息处理的同意后，个人信息处理者可以无需删除用户个人信息，只要停止后续处理即可。（）7.网络运营者留存的网络日志不得篡改、不得泄露、不得出售或者非法向他人提供，应当采取安全措施保障日志安全。（）8.提供算法推荐服务的互联网应用，应当向用户提供不针对个人特征的替代推荐选项，或者提供一键关闭算法推荐服务的选项。（）9.核心数据出境只要通过安全评估获批，就可以不受限制的向境外提供。（）10.符合中小企业划型标准的企业，处理个人信息规模不足10万条的，可以不设立专职数据安全负责人，仅明确专人负责数据安全工作即可。（）四、案例分析题案例一：国内头部生成式人工智能企业A，推出面向公众免费使用的AI聊天服务，为了迭代优化模型效果，A企业在未告知用户、未取得用户明确同意的前提下，将所有用户在对话过程中输入的内容，直接纳入自有模型的训练数据集，用于版本更新训练。同时，A企业未对生成内容进行AI标注区分，有用户通过A企业的聊天服务生成了抄袭某知名作家原创长篇小说的内容，该作家起诉A企业侵权，A企业主张生成内容是用户自主要求生成的，自身仅提供技术服务，不承担侵权责任。此外，A企业推出的AI绘图服务，在用户协议中约定所有AI生成内容的版权归用户所有，A企业不承担任何与生成内容相关的版权侵权责任。问题：（1）A企业将用户对话内容用于模型训练的行为是否符合合规要求？请说明理由。（2）A企业对生成内容侵犯第三方知识产权的行为是否应当承担责任？请说明理由。（3）A企业通过用户协议格式条款免除自身全部版权责任的行为是否合法？请说明理由。案例二：国内某区域连锁零售企业B，在全国开设230家线下生鲜门店，自主开发了B品牌生鲜配送APP，为了完成总部下达的拉新转化率KPI，B企业设置注册规则要求：新用户必须授权APP获取通讯录权限，否则无法完成注册使用核心配送服务。同时，B企业在用户注册页面默认勾选同意“将用户购物偏好、位置信息共享给第三方广告公司用于精准营销”，用户手动取消勾选不影响注册流程。2025年12月店庆活动期间，B企业推出刷脸领百元优惠券活动，共收集了12.6万名会员的人脸信息，活动结束后，B企业未删除收集到的人脸信息，将其存储在未加密的内部服务器中，用于后续会员身份识别。2026年2月，B企业服务器被黑客攻击，导致52.7万名用户的姓名、电话、收货地址等个人信息泄露，B企业管理层担心泄露事件影响品牌声誉和门店客流，决定隐瞒该事件，仅技术部门自行修复漏洞，未向监管部门报告，也未告知受影响的用户。问题：（1）请指出B企业在个人信息保护合规方面存在哪些违规行为？（2）B企业隐瞒个人信息泄露事件、未履行报告告知义务的行为违反了哪些合规要求，应当承担怎样的法律责任？参考答案一、单项选择题1.C2.B3.A4.C5.B6.C7.B8.B9.D10.B11.C12.A13.B14.B15.B二、多项选择题1.ABCD2.ABCD3.ABCD4.ABCD5.ABC6.ABD7.ABCD8.ABCD9.ABCD10.ABC三、判断题1.×2.√3.×4.×5.×6.×7.√8.√9.×10.√四、案例分析题案例一参考答案：（1）A企业的行为不符合合规要求。理由：根据《个人信息保护法》《生成式人工智能服务管理暂行办法》的相关规定，处理个人信息应当遵循合法、正当、必要和诚信原则，明确公开处理规则，针对不同处理目的分别取得用户同意。用户提供对话内容是为了获取AI聊天服务，A企业将对话内容用于模型训练，属于与提供聊天服务无关的新的个人信息处理活动，该处理活动直接涉及用户个人信息权益，应当明确告知用户处理目的、方式，取得用户的主动、明确同意，A企业未履行告知和同意义务，擅自将用户输入内容用于模型训练，违反了个人信息保护和生成式AI监管的合规要求。（2）A企业应当承担相应的侵权责任。理由：生成式AI服务提供者负有法定的审核义务，应当对训练数据的合法性进行审核，对生成内容可能存在的侵权风险进行合理防控。根据现行著作权法和生成式AI监管规则，A企业作为服务提供者，未尽到训练数据版权审核义务，导致生成内容侵犯第三方著作权，应当根据其过错程度承担相应的侵权责任，不能以生成内容由用户发起请求为由免除自身法定责任。如果A企业明知训练数据中包含侵权内容仍予以使用，还应当承担连带侵权责任。（3）A企业的格式条款不合法。理由：根据《民法典》《消费者权益保护法》的规定，提供格式条款的一方不得通过格式条款不合理免除自身应当承担的法定责任，此类格式条款属于无效条款。A企业作为生成式AI服务提供者，对训练数据和生成内容的版权审核是法律明确规定的义务，不能通过用户协议的格式条款将该义务转移给用户，免除自身责任，因此该条款无效，不具有法律约束力。案例二参考答案：（1）B企业在个人信息保护方面存在多处违规，具体包括：第一，违反个人信息最小必要原则，过度索权。通讯录权限与生鲜配送APP的注册、核心配送功能无关，B企业强制要求用户授权通讯录权限才能使用核心功能，属于典型的违规过度索权，违反《个人信息保护法》《移动互联网应用程序信息服务管理规定》中关于个人信息处理最小必要的要求。第二，违规取得个人信息处理同意。B企业默认勾选用户同意共享个人信息给第三方广告公司，个人信息共享给第三方应当取得用户的主动、明确同意，默认勾选不属于有效同意，违反了个人信息同意规则的要求。第三，违规留存和存储敏感个人信息。人脸信息属于