2026年网络及数据安全意识培训考核题及答案

2026年网络及数据安全意识培训考核题及答案一、单项选择题（共20题，每题2分，共40分。每题只有1个正确答案）1.2026年某企业市场部员工为优化方案撰写效率，计划使用公域生成式AI工具处理相关材料，以下操作符合安全要求的是（）A.上传未公开的产品定价核心参数供AI生成报价方案B.导入包含10万条客户手机号、住址的列表供AI生成客户回访话术C.将已公开的行业政策文档、无敏感信息的公开产品宣传材料上传至AI工具辅助生成文案D.上传公司涉密的业务发展规划供AI优化逻辑框架正确答案：C解析：依据2025年正式实施的《生成式人工智能服务管理办法》，公域AI平台使用者不得上传国家秘密、核心数据、重要数据、敏感个人信息至未通过安全评估的第三方AI平台，选项A、B、D涉及的内容均属于敏感及涉密数据，严禁上传公域AI平台，仅公开无敏感信息的材料可用于公域AI辅助办公。2.依据2025年修订的《数据分类分级指引》，数据从高到低分为核心数据、重要数据、一般数据、敏感个人信息四个等级，以下属于核心数据的是（）A.企业员工的考勤记录B.关系国家主权、安全、经济命脉的关键行业核心运行参数C.企业的年度公开财务报表D.消费者的收货地址信息正确答案：B解析：核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据，一旦泄露会直接危害国家主权、安全和公共利益，选项B符合核心数据定义；A属于一般数据，C属于公开数据，D属于敏感个人信息。3.随着量子计算技术商用化落地，2026年针对传统加密算法的量子攻击风险持续提升，企业应对量子攻击的首要安全措施是（）A.继续使用RSA2048传统非对称加密算法B.全面替换为SM2、SM3、SM4等国密算法，逐步部署抗量子加密体系C.取消所有数据加密环节降低运算压力D.仅对存储数据加密，传输数据无需加密正确答案：B解析：RSA等传统非对称加密算法可被成熟量子计算机快速破解，国密算法是我国自主可控的加密标准，目前已具备抗量子攻击的升级版本，是应对量子攻击风险的核心技术路径，选项A、C、D均存在重大安全隐患。4.依据2024年修订的《数据出境安全评估办法》，以下哪种情形不需要向网信部门申报数据出境安全评估（）A.出境数据包含重要数据B.累计向境外提供10万人以上个人信息C.累计向境外提供1万人以上敏感个人信息D.境内企业向境外全资子公司传输无敏感信息的公开宣传材料正确答案：D解析：《数据出境安全评估办法》明确要求，涉及重要数据出境、累计提供10万人以上个人信息、1万人以上敏感个人信息出境的必须申报安全评估，公开无敏感信息的宣传材料不属于监管要求的评估范畴，可按内部流程合规传输。5.2026年AI生成式钓鱼攻击成为主流攻击手段，以下关于深度伪造钓鱼攻击的识别方式错误的是（）A.收到领导AI合成的语音转款要求时，直接按照语音指令操作B.核对发件人邮箱后缀是否为官方正式域名，非官方后缀直接判定为钓鱼C.涉及资金划转、敏感数据提供的需求，必须通过预留手机号回拨核实D.检查邮件附件是否为exe、scr等可执行格式，陌生可执行附件严禁打开正确答案：A解析：AI深度伪造技术可1:1复刻他人语音、视频特征，仅凭语音、视频无法确认身份，涉及资金、敏感数据的需求必须通过多渠道交叉验证，A选项操作会导致资金诈骗风险。6.依据《汽车数据安全管理规定（2025修订版）》，新能源汽车收集的包含道路高精地图坐标、车辆行驶轨迹、车内语音记录的数据属于（）A.一般数据B.重要数据C.核心数据D.公开数据正确答案：B解析：车联网运行数据涉及公共安全、地理信息安全，一旦泄露会危害公共利益，属于重要数据范畴，处理此类数据必须遵守最小必要、境内存储、出境审批的相关要求。7.2026年零信任架构已成为企业网络安全防护的标配，零信任的核心基本原则是（）A.默认信任内部网络所有终端B.永不信任、始终验证、最小权限C.只要账号密码正确就授予全部访问权限D.外部终端一律禁止访问内部系统正确答案：B解析：零信任架构打破传统边界防护的“默认内部可信”逻辑，核心原则是对所有访问主体、访问请求执行持续身份验证，仅授予完成任务所需的最小权限，有效应对边界被突破后的内部攻击风险。8.依据《个人信息保护法（2024修订版）》，以下属于核心敏感个人信息，处理时必须取得个人单独书面同意的是（）A.个人姓名B.个人手机号C.人脸、虹膜、基因等生物识别信息D.个人收货地址正确答案：C解析：生物识别信息属于唯一不可替换的个人身份标识，一旦泄露会直接导致个人身份被冒用、财产受损，监管明确要求处理此类信息必须取得个人单独书面同意，不得捆绑授权。9.某企业技术部门计划使用内部业务数据训练私有化AI大模型，以下操作不符合安全要求的是（）A.对训练数据中的敏感个人信息进行脱敏、去标识化处理B.未经过数据安全评估和审批，直接将训练后的AI模型对外开源C.建立训练数据的全流程审计机制，记录所有数据调用、处理操作D.对AI模型输出内容设置敏感信息过滤机制正确答案：B解析：使用内部数据训练的AI模型可能存在训练数据泄露风险，对外开源前必须完成数据安全评估，确认无敏感数据泄露隐患，经审批通过后方可对外发布，B选项操作会导致内部敏感数据泄露。10.针对工业互联网终端的安全防护，以下操作符合规范的是（）A.为了提升运行效率，直接关闭工控终端的杀毒软件B.收到漏洞预警后，第一时间直接给所有工控设备安装最新补丁C.工控网络与办公网络执行物理隔离，所有远程维护必须通过零信任加密通道接入D.为方便管理，所有工控设备使用统一的弱密码正确答案：C解析：工控系统直接关系生产安全，必须执行严格的边界隔离，远程接入必须使用加密认证通道，A选项关闭杀毒软件会导致恶意代码入侵风险，B选项直接安装补丁可能导致工控系统宕机，需提前完成兼容性测试，D选项弱密码会导致设备被非法控制。11.企业发现内部核心业务数据在暗网公开售卖时，第一步应采取的措施是（）A.直接联系暗网平台要求删除数据B.立即启动网络安全事件应急响应预案，开展影响研判C.第一时间公开通报数据泄露事件D.自行联系黑客购买删除权限正确答案：B解析：发现数据泄露后需第一时间启动应急预案，先研判泄露范围、影响程度，固定证据后再按流程上报监管、通知相关受影响主体，A、D选项操作属于违规行为，C选项未经过评估直接公开会引发次生风险。12.依据企业数据安全管理规范，核心数据销毁的审批层级要求是（）A.仅需部门负责人审批即可B.需业务部门、数据管理部门、安全管理部门三级审批C.无需审批，直接物理销毁即可D.仅需安全管理部门审批即可正确答案：B解析：核心数据销毁属于高风险操作，必须执行三级审批机制，全程留痕审计，确保销毁过程可追溯、数据不可恢复。13.跨部门共享重要数据时，必须签署的核心法律文件是（）A.业务合作协议B.数据安全共享协议，明确数据使用范围、安全责任、销毁要求C.保密协议即可D.无需签署文件，直接传输正确答案：B解析：跨部门重要数据共享必须明确双方安全责任，约定数据使用的最小范围、使用期限、到期销毁要求，避免数据被超范围使用引发泄露风险。14.2026年混合办公模式普及，员工远程访问内部办公系统的合规方式是（）A.使用公共免费VPN接入内网B.直接将内部系统端口映射到公网访问C.使用公司统一配发的零信任VPN，经过多因子认证后接入D.用个人电脑直接访问内网系统，无需安全检测正确答案：C解析：公共VPN存在流量窃听风险，公网映射端口会导致系统被攻击，远程办公必须使用公司合规的零信任接入通道，经过身份核验后按最小权限访问内部资源。15.依据《未成年人网络数据保护细则（2025版）》，处理14周岁以下未成年人个人信息时，必须满足的要求是（）A.只需获得未成年人本人同意即可B.必须获得未成年人监护人的单独同意C.可以默认捆绑授权，无需单独告知D.可以随意向第三方提供未成年人数据正确答案：B解析：未成年人属于无民事行为能力或限制民事行为能力人，处理其个人信息必须取得监护人的单独同意，不得捆绑授权，不得超范围使用。16.员工发现公司业务系统存在高危漏洞时，以下操作符合规范的是（）A.直接在社交媒体公开漏洞详情，提醒公司修复B.第一时间上报公司网络安全管理部门，按流程配合修复C.私下联系外部安全人员验证漏洞有效性D.利用漏洞获取内部数据证明漏洞存在正确答案：B解析：依据2024年修订的《网络安全漏洞管理规定》，发现漏洞需向所属单位或监管部门上报，不得私自公开、利用或向第三方泄露漏洞信息，否则将承担法律责任。17.企业采购第三方商用软件时，必须完成的前置安全动作是（）A.直接安装使用，无需检测B.开展软件供应链安全检测，排查恶意代码、后门等风险C.要求软件供应商出具安全承诺即可D.优先选择低价软件，无需考虑安全资质正确答案：B解析：2026年供应链攻击已成为主流攻击手段，采购第三方软件必须完成安全检测，确认无风险后方可上线使用，避免因供应链漏洞引发系统性安全问题。18.企业将核心业务数据存储至公有云平台时，需选择满足哪项资质要求的云服务商（）A.只需获得云服务经营许可即可B.通过网络安全等级保护三级认证，且数据安全能力成熟度达到三级以上C.存储价格最低的服务商D.境外云服务商正确答案：B解析：存储核心业务数据的云服务商必须满足等保三级及以上要求，且具备合规的数据安全管理能力，不得选择未通过境内安全认证的境外云服务商存储重要数据。19.以下哪种行为属于“大数据杀熟”，违反《个人信息保护法》相关规定（）A.新老用户购买同一产品时，基于浏览记录向老用户收取更高价格B.向新用户发放专属优惠券C.根据用户消费等级提供差异化增值服务D.对不同区域用户执行差异化定价正确答案：A解析：基于用户个人信息实施不合理的差异化定价属于大数据杀熟，是监管明确禁止的违法行为，B、C、D属于合法的正常商业运营行为。20.企业违反《数据安全法》相关规定，造成核心数据泄露且情节严重的，最高可处罚款金额为（）A.100万元B.1000万元C.上一年度销售额的5%，最高5000万元D.500万元正确答案：C解析：《数据安全法》明确规定，情节严重的数据安全违法事件，可处上一年度销售额5%以下罚款，最高不超过5000万元，同时对直接责任人处10万元以上100万元以下罚款。二、多项选择题（共10题，每题3分，共30分。多选、少选、错选均不得分）1.企业员工使用生成式AI工具的安全红线包括（）A.不得上传国家秘密、核心数据、重要数据至公域AI平台B.不得上传敏感个人信息至未通过安全评估的AI平台C.不得利用AI工具生成恶意代码、钓鱼邮件等违法内容D.对外发布AI生成内容前必须完成合规审核，避免侵权、涉密风险正确答案：ABCD解析：以上内容均为《生成式人工智能服务管理办法》明确要求的使用者义务，违反上述要求将承担相应法律责任。2.以下属于重要数据范畴的是（）A.关键信息基础设施的运行日志B.10万条以上消费者的消费记录、位置信息C.工业企业的核心生产工艺参数D.政务服务平台的办事人员敏感信息正确答案：ABCD解析：重要数据是指一旦泄露会危害公共利益、经济安全的数据，以上选项内容均符合重要数据的界定标准。3.2026年AI驱动的钓鱼攻击新形态包括（）A.深度伪造领导语音、视频实施资金诈骗B.AI生成高仿官方网站页面窃取账号密码C.AI生成个性化钓鱼邮件，内容匹配受害人工作场景大幅提升迷惑性D.AR仿真钓鱼链接，扫描二维码后直接植入恶意程序正确答案：ABCD解析：以上均为2026年已出现的主流AI钓鱼攻击手段，员工需提高识别能力，涉及敏感操作必须交叉验证身份。4.企业数据安全管理的“三权分立”原则要求设置的三类岗位为（）A.系统管理员B.安全管理员C.安全审计员D.业务操作员正确答案：ABC解析：数据安全管理三权分立要求系统管理员、安全管理员、安全审计员权限分离，避免单一账号权限过高引发数据泄露风险。5.零信任架构的核心能力包括（）A.统一身份治理，所有访问主体具备唯一身份标识B.持续信任评估，对访问行为、终端环境实时监测C.最小权限授权，仅授予完成任务所需的最小访问权限D.动态访问控制，根据风险等级实时调整访问权限正确答案：ABCD解析：以上均为零信任架构的核心能力，可有效应对内外部网络攻击风险。6.个人信息处理的合法基础包括（）A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需正确答案：ABCD解析：以上内容均为《个人信息保护法》明确规定的个人信息处理合法基础，满足任意一项即可合规处理个人信息。7.网络安全事件应急响应的核心流程包括（）A.预警监测：发现异常事件第一时间预警B.研判处置：分析事件类型、影响范围，采取隔离、止损等措施C.上报溯源：按要求上报监管部门，开展攻击溯源D.复盘整改：总结事件原因，完善防护体系正确答案：ABCD解析：应急响应需执行全流程闭环管理，最大程度降低事件影响，避免同类事件重复发生。8.跨境数据流动的合规路径包括（）A.通过国家网信部门组织的数据出境安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务D.随意传输，无需审批正确答案：ABC解析：以上三项为《数据出境安全评估办法》明确的三类合法跨境数据流动路径，未通过上述流程的跨境数据传输属于违法行为。9.工业互联网安全防护的核心要点包括（）A.工控网络与办公网络物理隔离，严格限制跨网访问B.工控终端执行白名单管理，禁止安装未授权软件C.定期开展漏洞扫描，补丁安装前完成兼容性测试D.所有操作全程留痕审计，异常操作实时告警正确答案：ABCD解析：工业互联网防护需优先保障生产安全，以上措施可有效降低攻击、误操作引发的生产中断风险。10.违反网络安全、数据安全相关法律法规可能承担的责任类型包括（）A.行政责任：包括罚款、停业整顿、吊销相关资质等B.民事责任：赔偿个人、企业因数据泄露造成的损失C.刑事责任：情节严重构成犯罪的，承担有期徒刑、罚金等刑事责任D.无需承担责任正确答案：ABC解析：网络安全、数据安全相关违法行为需承担多维度法律责任，情节严重的将追究刑事责任。三、判断题（共15题，每题1分，共15分。正确打√，错误打×）1.为方便工作，可以使用个人邮箱、微信、抖音等公共平台传输公司重要数据。（）正确答案：×解析：公共平台无数据安全防护能力，传输重要数据会导致泄露风险，必须使用公司指定的加密传输渠道。2.生成式AI工具的输出内容无需审核即可直接对外发布。（）正确答案：×解析：AI生成内容可能存在涉密、侵权、虚假信息等问题，对外发布前必须完成人工审核。3.量子加密通信链路无法被窃听。（）正确答案：×解析：量子加密通信的核心是窃听行为会被实时发现，而非无法被窃听，一旦发现窃听可及时切换链路避免数据泄露。4.匿名化处理后的个人信息仍然属于个人信息范畴。（）正确答案：×解析：匿名化处理是指无法识别到特定自然人且无法复原的处理方式，处理后的数据不属于个人信息，去标识化处理后的数据仍属于个人信息范畴。5.新能源车企可以随意向第三方提供用户的行车数据、车内语音记录。（）正确答案：×解析：行车数据属于重要数据和敏感个人信息，向第三方提供必须获得用户单独同意，符合法定要求且经过安全评估。6.收到疑似钓鱼邮件后，可以先点击链接查看内容确认是否为钓鱼。（）正确答案：×解析：钓鱼链接可能携带恶意代码，点击后会导致终端被控制、账号被盗，疑似钓鱼邮件需直接上报安全管理部门核实。7.公司内部WiFi可以随意连接外来人员的终端，还可以开启热点共享给外部人员使用。（）正确答案：×解析：内部WiFi接入内部网络，外来终端接入可能导致内网被入侵，禁止随意接入外部终端、共享内部WiFi。8.核心数据只需在本地备份即可，无需异地备份。（）正确答案：×解析：核心数据需执行“三地五中心”备份策略，本地、异地、灾备中心多份备份，避免自然灾害、本地故障导致数据丢失。9.算法推荐服务提供者可以根据用户的消费能力、浏览记录实施差异化定价。（）正确答案：×解析：该行为属于大数据杀熟，违反《个人信息保护法》《算法推荐管理规定》相关要求，属于违法行为。10.发现公司系统被黑客攻击后，第一时间直接断开所有网络连接。（）正确答案：×解析：直接断网可能破坏攻击证据，影响溯源分析，需先研判攻击范围，在不破坏证据的前提下采取隔离止损措施。11.涉密内容可以用普通手机拍摄、传输。（）正确答案：×解析：普通手机存在被窃听、泄露风险，涉密内容严禁使用普通手机拍摄、传输，必须使用涉密设备。12.网络安全和数据安全只是安全部门的责任，和普通员工无关。（）正确答案：×解析：网络安全和数据安全是全员责任，每个员工都是数据安全的第一责任人。13.密码只要自己记得住就行，使用弱密码、长期不修改密码也没关系。（）正确答案：×解析：弱密码、长期未修改的密码是账号被盗的首要风险点，必须使用8位以上包含大小写、数字、特殊字符的强密码，每3个月更换一次。14.AI生成的深度伪造内容只要不涉及违法就可以随意传播。（）正确答案：×解析：深度伪造内容涉及他人肖像权、名誉权的，需取得权利人授权后方可传播，否则将承担民事侵权责任。15.公共场合的免费WiFi可以用来登录公司办公系统、处理敏感工作。（）正确答案：×解析：公共免费WiFi存在流量窃听风险，登录办公系统会导致账号密码、敏感数据泄露，处理工作必须使用公司合规网络或手机流量。四、案例分析题（共3题，每题5分，共15分）1.案例：某电商企业运营人员李某，为了提升用户分层运营效率，未经过数据安全审批，将包含150万条用户手机号、消费记录、人脸特征的敏感个人信息数据集上传至公域生成式AI平台，要求AI生成用户画像。半个月后该AI平台发生数据泄露，上述数据集被黑客上传至暗网公开售卖，造成大量用户收到诈骗电话，被监管部门立案调查。问题：（1）李某的行为存在哪些违规点？（2）该企业应采取哪些整改措施？参考答案：（1）违规点：①违反数据分类分级管理要求，私自导出敏感个人信息数据集；②未经过数据安全审批，擅自将敏感个人信息上传至未通过安全评估的第三方公域平台；③未对第三方平台的安全能力进行评估，未尽到数据安全保护义务。（2）整改措施：①立即启动应急响应预案，研判泄露影响范围，固定相关证据；②按要求上报网信、公安等监管部门，第一时间通知受影响用户采取风险防范措施；③完善生成式AI使用管理制度，明确AI工具使用的审批流程、数据范围，严禁上传敏感数据至公域AI平台；④开展全员数据安全专项培训，强化员工安全意识；⑤部署数据泄露监测系统，对敏感数据