2026年国家网络安全试题及答案

2026年国家网络安全试题及答案一、单项选择题（共20题，每题1分，共20分。每题只有1个正确答案，多选、错选、不选均不得分）1.根据2025年正式实施的《生成式人工智能服务安全基本要求》，面向公众提供服务、处理个人信息量级超过100万条的生成式AI产品上线前应完成（）级安全评估，取得合规资质后方可上线运营。A.1B.2C.3D.4答案：C解析：《生成式人工智能服务安全基本要求》按照服务覆盖范围、数据处理量级、风险等级将生成式AI安全评估分为三级，面向公众提供服务的高风险生成式AI产品需通过三级安全评估，方可投入商业化运营。2.依据《关键信息基础设施安全保护条例（2026修订版）》，关键信息基础设施（以下简称“关基”）运营者对自身运营的关基系统开展等级保护测评的频次不得低于（）。A.每季度1次B.每半年1次C.每年1次D.每两年1次答案：B解析：2026年修订版《条例》强化了关基系统的动态防护要求，将原有的年度测评要求调整为每半年至少开展1次等级保护测评，涉及能源、交通、金融等核心领域的关基系统每季度应开展1次专项安全检测。3.按照《网络数据安全管理条例（2025年实施）》的分类分级要求，以下不属于核心数据范畴的是（）。A.国家政务服务平台存储的公民生物识别信息库B.军工单位未公开的武器装备研发参数C.电网企业的核心调度运行数据D.电商平台收集的100万条普通用户收货地址答案：D解析：核心数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会直接危害国家安全、公共利益的数据，选项D中普通用户收货地址属于一般个人信息，纳入重要数据范畴，不属于核心数据。4.2026年全面推行的网络安全等级保护3.0体系，新增的核心防护维度是（）。A.主机安全B.应用安全C.人工智能安全D.网络安全答案：C解析：等保3.0体系在原有等保2.0的物理安全、网络安全、主机安全、应用安全、数据安全五大防护维度基础上，新增人工智能安全、量子通信安全、工业互联网场景化安全三大专项防护维度，适配新型数字技术应用的安全需求。5.依据《数据出境安全评估办法（2025修订版）》，重要数据出境安全评估结果的有效期为（），有效期届满需继续出境的应重新申报评估。A.1年B.2年C.3年D.5年答案：B解析：修订后的《办法》明确，重要数据出境评估有效期为2年，核心数据出境评估有效期为1年，有效期内出境数据的规模、类型、接收方等发生实质性变化的，需重新申报评估。6.根据2025年更新的《网络产品安全漏洞管理规定》，网络产品提供者发现其产品存在高危、超危漏洞后，需在（）小时内完成漏洞验证并向工信部、网信办等主管部门上报。A.12B.24C.48D.72答案：B解析：新版《规定》压缩了漏洞上报时限，高危、超危漏洞需在发现后24小时内上报主管部门，中低危漏洞需在72小时内上报，严禁任何组织或个人向境外机构、组织、个人提供未公开的漏洞信息。7.按照《车联网网络安全和数据安全保护管理办法（2025年实施）》，智能网联汽车采集的人脸、行车轨迹等敏感个人信息，存储期限不得超过（），法律法规另有规定的除外。A.3个月B.6个月C.1年D.车辆报废期答案：B解析：办法明确，智能网联汽车采集的敏感个人信息仅可用于车辆功能实现必要用途，存储期限不得超过6个月，确需延长存储期限的需单独取得个人明示同意，并向属地网信部门报备。8.依据《个人信息保护法》司法解释（2026年发布），以下不属于敏感个人信息范畴的是（）。A.公民的基因信息B.公民的行踪轨迹C.公民的社交账号公开动态（未设置访问权限且不涉及敏感内容）D.公民的生物识别信息答案：C解析：司法解释明确，个人在公开平台主动发布的、未设置访问权限且不涉及敏感内容的公开动态不属于敏感个人信息，但若涉及行踪轨迹、生物识别等内容的，仍按照敏感个人信息实施保护。9.2026年我国推行的政务领域量子加密通信网络中，核心密钥的更新频次不得低于（）。A.每小时1次B.每天1次C.每周1次D.每月1次答案：A解析：政务量子加密通信网络的核心密钥采用一次一密+小时级滚动更新机制，确保加密传输的信息无法被量子计算破解，涉及核心政务数据传输的密钥需实现实时更新。10.以下行业领域的运营单位，不属于关基重点认定范围的是（）。A.城市供水供气企业B.普通短视频内容平台C.全国性银行D.铁路运输企业答案：B解析：关基认定重点覆盖公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域，普通内容平台若未涉及公共服务核心职能的，不纳入关基认定范围。11.生成式AI服务提供者在训练模型时，以下做法符合合规要求的是（）。A.未经授权使用他人享有著作权的文字作品训练B.对训练数据进行敏感信息过滤、来源溯源审核C.采集未成年人个人信息训练未取得监护人同意D.使用非法获取的国家秘密数据训练答案：B解析：生成式AI训练数据需落实来源审核、敏感信息过滤、知识产权核验三项核心要求，其余选项均属于违规行为。12.工业互联网控制网与办公网之间的安全隔离应采用（）设备，避免控制网被入侵。A.普通防火墙B.单向网闸C.路由器D.虚拟专用网络答案：B解析：工业互联网控制网与办公网必须采用单向数据传输的网闸设备实现物理隔离，禁止采用普通防火墙、VPN等逻辑隔离设备，防止外部攻击渗透至控制层。13.关基运营者发生网络安全事件，造成核心系统中断超过（）小时的，需在1小时内上报省级及以上网信部门。A.1B.2C.4D.8答案：B解析：关基安全事件上报要求明确，核心系统中断超过2小时、造成10万条以上个人信息泄露的，属于重大网络安全事件，需在1小时内完成上报。14.对重要数据进行共享使用时，以下哪种脱敏方式属于不可恢复的强脱敏（）。A.字符替换B.掩码遮挡C.字段删除D.范围泛化答案：C解析：字段删除属于不可恢复的强脱敏方式，其余三种方式均可通过技术手段还原原始数据，仅适用于低风险的数据共享场景。15.境外机构在我国境内提供跨境互联网服务的，需在我国境内设置专门的安全管理机构，且安全负责人必须是（）。A.中国国籍公民B.常住中国的境外公民C.全球范围内的专业安全人员D.无明确要求答案：A解析：跨境互联网服务安全管理要求明确，境内安全负责人必须为中国国籍公民，且常驻境内，负责配合主管部门开展安全检查、事件处置等工作。16.三级以上等级保护系统使用的商用密码，需通过（）级以上密码管理部门的安全认证。A.县B.市C.省D.国家答案：C解析：三级以上等保系统使用的商用密码产品需通过省级以上密码管理部门的安全认证，关基系统使用的核心密码产品需通过国家级密码管理部门认证。17.面向未成年人提供的网络服务，需强制设置未成年人模式，且非法定节假日每日服务时长不得超过（）。A.1小时B.1.5小时C.2小时D.3小时答案：B解析：《未成年人网络保护条例》2025年修订版明确，非法定节假日未成年人使用网络服务的时长不得超过1.5小时/天，法定节假日不得超过3小时/天。18.关基运营者采购网络产品和服务，涉及供应链安全审查的，审查周期一般不超过（），特殊情况可延长60天。A.30天B.60天C.90天D.180天答案：C解析：供应链安全审查工作规范明确，一般审查周期为90天，涉及核心领域、风险复杂的审查可延长60天。19.以下关于网络威胁情报共享的做法，符合规定的是（）。A.向境外机构共享包含用户隐私的威胁情报B.未经主管部门批准向行业外共享涉密威胁情报C.经主管部门批准后向行业内共享非涉密威胁情报D.利用共享的威胁情报对未授权系统开展渗透测试答案：C解析：威胁情报共享需遵循合规、必要、最小范围原则，不得泄露国家秘密、个人隐私，不得用于非法活动。20.网络运营者违反数据安全管理规定，造成核心数据泄露的，最高可处上一年度营业额的（）罚款。A.1%B.5%C.10%D.20%答案：C解析：《数据安全法》配套处罚细则明确，造成核心数据泄露的，处上一年度营业额5%以上10%以下罚款，情节严重的责令停业整顿、吊销相关资质。二、多项选择题（共10题，每题2分，共20分。每题至少2个正确答案，多选、少选、错选均不得分）1.依据《生成式人工智能服务管理条例（2026年实施）》，生成式AI服务提供者应当履行的安全义务包括（）A.对生成内容进行实时审核，避免生成违法违规内容B.建立训练数据来源审核机制，确保训练数据合规C.对用户进行真实身份信息认证，落实溯源要求D.建立用户投诉受理机制，及时处置违法内容举报答案：ABCD解析：条例明确生成式AI服务提供者需落实内容审核、数据合规、身份认证、用户响应四项核心义务，全流程管控安全风险。2.等保3.0体系中，人工智能安全防护的核心要求包括（）A.模型训练数据安全防护B.模型输出内容安全管控C.模型抗攻击防护D.模型可解释性验证答案：ABCD解析：人工智能安全防护覆盖模型训练、输出、运行全生命周期，要求可解释、可管控、可防护、可追溯。3.以下属于核心数据范畴的是（）A.未公开的国家宏观经济调控预案B.军用机场的位置及调度数据C.重大公共卫生事件的核心诊疗信息库D.城市轨道交通运行调度核心数据答案：ABCD解析：四类数据一旦泄露均会直接危害国家安全、公共利益，均纳入核心数据管理范畴。4.关基运营者应当落实的“三化六防”防护要求包括（）A.实战化、体系化、常态化B.动态防御、主动防御C.纵深防御、精准防护D.整体防控、联防联控答案：ABCD解析：“三化六防”是关基保护的核心要求，三化指实战化、体系化、常态化，六防为上述选项中的六项防御要求。5.重要数据出境前，应当满足的前置条件包括（）A.完成数据分类分级认定，明确数据等级B.开展数据出境风险自评估C.涉及个人信息的取得个人单独同意D.通过国家网信部门组织的数据出境安全评估答案：ABCD解析：四项均为重要数据出境的必备前置条件，未满足任意一项的不得出境。6.以下关于网络漏洞管理的说法正确的是（）A.发现超危漏洞后24小时内上报主管部门B.不得在漏洞公开前向任何境外机构泄露漏洞信息C.网络产品提供者应当及时向用户发布漏洞修复补丁D.个人可私自利用漏洞对任意网站进行渗透测试答案：ABC解析：未经授权开展渗透测试属于非法入侵计算机信息系统行为，涉嫌违法，D选项错误。7.车联网运营者应当落实的安全防护要求包括（）A.对车控指令采用端到端加密传输B.定期对车载系统进行安全升级C.不得默认开启车内音频、视频采集功能D.采集的车辆位置核心数据不得违规出境答案：ABCD解析：四项均为车联网安全管理的明确要求，未落实的将面临行政处罚。8.工业互联网安全防护的“三层两域”架构中，三层指的是（）A.设备层B.控制层C.应用层D.网络层答案：ABC解析：三层指设备层、控制层、应用层，两域指生产网域、办公网域。9.以下属于我国网络安全事件应急响应等级的是（）A.特别重大（Ⅰ级）B.重大（Ⅱ级）C.较大（Ⅲ级）D.一般（Ⅳ级）答案：ABCD解析：我国网络安全事件分为四个响应等级，对应不同的处置流程和上报要求。10.个人信息处理者处理敏感个人信息，应当满足的要求包括（）A.取得个人的单独同意B.公开处理的必要性以及对个人权益的影响C.限定处理的最小范围D.指定专门的个人信息保护负责人答案：ABCD解析：四项均为敏感个人信息处理的法定要求，未落实的将按照《个人信息保护法》予以处罚。三、判断题（共10题，每题1分，共10分。对打√，错打×）1.面向企业内部提供服务的生成式AI产品，无需开展任何安全评估即可上线。（×）解析：面向内部服务的生成式AI产品若处理重要数据的，仍需开展企业内部安全评估，涉及核心数据的需报主管部门备案。2.关基运营者的核心系统数据一律不得出境。（×）解析：核心数据确需出境的，需经国家网信部门牵头的专项安全评估通过后方可出境，并非一律禁止。3.等保3.0体系适用于量子通信、生成式AI等新型技术系统的等级保护定级测评。（√）4.网络运营者收集用户个人信息时，可默认勾选同意选项获取用户授权。（×）解析：必须取得用户明示同意，不得采用默认勾选、捆绑授权等方式获取个人信息处理授权。5.漏洞披露平台可在未征得产品提供者同意的情况下，公开未修复的超危漏洞信息。（×）解析：漏洞披露需遵循负责任披露原则，未修复的漏洞不得公开，需等产品提供者发布补丁后7个工作日后方可公开。6.智能网联汽车的车控系统安全等级应不低于等保三级。（√）解析：车控系统属于关基范畴，安全等级不得低于三级。7.核心数据的处理活动应当全程留痕，保存日志不得少于6个月。（×）解析：核心数据处理日志保存期限不得少于3年。8.境外机构不得在我国境内运营面向公众的生成式AI服务。（×）解析：境外机构在境内设立实体、符合安全要求、取得合规资质的，可运营相关服务。9.政务服务平台收集的公民个人信息，不得用于与政务服务无关的用途。（√）10.网络安全事件发生后，运营者可自行决定是否向社会发布事件相关信息，避免引发恐慌。（×）解析：重大网络安全事件的信息发布需由主管部门统一开展，运营者不得私自发布不实信息。四、简答题（共3题，每题10分，共30分）1.简述《网络数据安全管理条例（2025年实施）》中，重要数据出境的必备条件。答案：（1）分类分级认定：数据处理者已完成数据分类分级工作，明确出境数据属于重要数据范畴，未纳入核心数据管理（核心数据出境需开展专项评估）；（2）风险自评估：已按照要求完成数据出境风险自评估，评估内容包括出境数据的规模、范围、类型、敏感程度，接收方的安全防护能力，数据出境后被篡改、泄露、滥用的风险等，自评估报告有效期为6个月；（3）个人授权：涉及个人信息出境的，已单独取得个人明示同意，且明确告知个人数据出境后的风险、接收方信息、个人权利救济渠道等内容；（4）协议约束：已与境外接收方签订数据安全保护协议，明确接收方的安全防护义务、数据存储期限、数据使用范围、违约责任，以及出现安全事件后的应急处置要求等；（5）官方评估：已通过国家网信部门组织的数据出境安全评估，取得数据出境安全评估通知书，评估结果有效期为2年，有效期内出境数据的规模、类型、接收方等发生变化的，需重新申报评估。（以上每条2分，答全得10分）2.简述关基运营者在生成式AI技术应用场景下的核心安全防护要求。答案：（1）准入管控：引入生成式AI技术前需开展专项安全评估，评估内容包括模型的安全性、训练数据合规性、应用场景的风险等级，涉及核心业务系统的AI应用需报行业主管部门备案后方可上线；（2）数据防护：严禁使用核心数据、未公开的业务敏感数据作为生成式AI模型的训练数据，AI应用处理的数据需采用脱敏、加密等技术防护手段，避免数据泄露；（3）输出管控：建立AI输出内容的人工+技术双重审核机制，对涉及业务决策、公共服务的AI输出内容需经过人工核验后方可使用，避免AI生成错误内容引发安全风险；（4）抗攻击防护：针对模型窃取、提示词注入、数据投毒等AI专项攻击建立监测预警机制，定期开展AI应用安全渗透测试，及时修复安全漏洞；（5）应急处置：建立AI安全事件专项应急预案，发生AI生成违法内容、数据泄露等安全事件后，需立即暂停AI应用运行，开展处置工作，并在2小时内上报主管部门。（以上每条2分，答全得10分）3.简述等保3.0体系相较于等保2.0的核心升级点。答案：（1）防护范围拓展：在原有传统信息系统、工业控制系统等防护对象基础上，新增生成式AI系统、量子通信系统、车联网系统、元宇宙应用系统等新型技术系统的等级保护要求，覆盖所有数字场景；（2）防护维度升级：在原有五大防护维度基础上，新增人工智能安全、量子安全、场景化专项安全三大防护维度，适配新型技术的安全风险特征；（3）测评要求优化：将原有静态测评调整为动态+静态结合的测评模式，三级以上系统需每季度开展一次动态安全测评，引入实战化攻防演练作为测评的核心指标，占比不低于40%；（4）供应链防护强化：新增网络产品和服务供应链安全专项要求，三级以上系统采购的核心软硬件产品需通过国家供应链安全审查，避免供应链攻击风险；（5）责任机制完善：明确运营者的主要负责人为等级保护工作的第一责任人，未落实等级保护要求的，除对单位处罚外，对主要负责人个人也需处以罚款、职业禁入等处罚。（以上每条2分，答全得10分）五、案例分析题（共2题，每题10分，共20分）案例一背景：2026年3月，某智能网联汽车企业运营的车联网平台被黑客入侵，黑客利用平台未修复的SQL注入漏洞，窃取了120万条用户敏感个人信息（包含人脸信息、行车轨迹、家庭住址等），同时黑客获取了部分车型的车控系统权限，可远程控制车辆的刹车、油门系统，引发多起车辆失控事故，造成2人受伤，直接经济损失超过5000万元。经监管部门核查，该企业的车联网平台定级为等保三级，上一次等级保护测评是2024年10月，未按照要求每半年开展一次测评，平台存在的SQL注入漏洞已经存在超过8个月未修复，也未向主管部门上报漏洞信息，收集的用户敏感个人信息存储期限超过2年，未按照要求定期删除。问题：1.该企业违反了哪些法律法规的相关规定？（4分）2.监管部门可对该企业作出哪些处罚？（3分）3.该企业应采取哪些整改措施？（3分）答案：1.违反的法规：①《关键信息基础设施安全保护条例》，未按照要求每半年开展等保测评，未及时修复安全漏洞；②《网络数据安全管理条例》，未落实敏感个人信息存储期限要求，数据安全防护措施不到位导致数据泄露；③《网络产品安全漏洞管理规定》，未及时上报存在的高危漏洞，未及时修复漏洞；④《车联网网络安全和数据安全保护管理办法》，未落实车控系统安全防护要求，未对用户敏感个人信息实施合规管理。（每条1分，共4分）2.处罚：①没收违法所得，处上一年度营业额5%以上10%以下罚款；②责令暂停相关车型的销售、暂停车联网平台相关服务，直至安全隐患消除；③对企业主要负责人、直接负责的主管人员处上一年度收入50%以下罚款，终身禁止从事车联网行业相关管理工作。（每条1分，共3分）3.整改措施：①立即修复平台存在的安全漏洞，对车控系统开展全面安全检测，升级安全防护设备，阻断黑客入侵路径；②立即删除超期存储的用户敏感个人信息，向受影响的用户告知数据泄露情况，做好风险提示和用户权益保障工作；③建立漏洞常态化排查机制，发现漏洞24小时内上报主管部门并及时修复，每半年开展一次等级保护测评，完善数据全生命周期安全管理制度。（每条1分，共3分）案例二背景：2026年5月，某地级市政务服务管理局引入某科技公司开发的生成式AI智能客服系统，用于为群众提供办事咨询服务。系统上线1个月后，有群众反映AI客服提供的社保办理、不动产登记等办事指南存在错