2026年网络及数据安全意识培训考核题(附答案)

2026年网络及数据安全意识培训考核题(附答案)一、单项选择题（共20题，每题2分，共40分。每题只有1个正确答案）1.2025年修订并于2026年1月1日正式施行的______，是我国针对网络数据安全管理的核心行政法规，明确了数据分级分类、数据出境、重要数据保护等核心要求。A.《网络安全法》B.《网络数据安全管理条例》C.《个人信息保护法》D.《数据安全法》2.员工使用生成式AI工具（含通用大模型、行业垂直大模型）处理工作内容时，以下行为符合安全要求的是______。A.输入内部未公开的产品研发参数，让AI生成优化方案B.上传未脱敏的10万条客户联系信息，让AI生成营销话术C.对拟输入AI的工作内容做脱密处理，仅输入公开可披露的非敏感信息D.用AI破解公司内部测试系统的弱口令，提升测试效率3.依据2025年修订的《个人信息保护法》，以下不属于敏感个人信息范畴的是______。A.公民的生物识别信息（含人脸、虹膜、步态特征）B.公民的宗教信仰、医疗健康、金融账户信息C.不满18周岁未成年人的所有个人信息D.公民公开在社交平台发布的个人求职简历4.零信任架构是2026年国内企业普遍落地的网络安全防护体系，其核心原则是______。A.默认内部所有访问主体可信，仅对外部访问做验证B.永不信任、始终验证，对所有访问主体做持续权限校验C.仅对核心系统访问做验证，非核心系统可免验证访问D.仅对跨区域访问做验证，同办公区访问可免验证5.2026年主流勒索病毒的典型特征是“双重勒索”，具体指______。A.同时加密终端和服务器数据，要求两份赎金B.既加密本地数据，又盗取核心数据，不支付赎金就公开泄露数据C.同时向企业和企业的客户索要赎金D.加密数据后要求用数字货币和法定货币双重支付赎金6.依据数据分级分类管理要求，企业数据分为核心数据、重要数据、一般数据三级，其中______泄露会直接触发国家级网络安全事件响应机制。A.核心数据B.重要数据C.一般数据D.以上全部7.2026年AI生成式钓鱼攻击占所有钓鱼攻击的72%，以下不属于AI钓鱼典型特征的是______。A.邮件内容完全匹配收信人的工作场景、历史沟通习惯，无明显错别字B.仿冒上级、客户身份的语音附件，音色、语气与被仿冒人高度一致C.邮件域名、发件人地址与官方地址存在明显拼写错误D.生成的钓鱼网站界面与官方系统完全一致，无明显UI漏洞8.依据2026年生效的《重要数据出境安全评估办法》，企业处理的重要数据出境前，应当向______提请安全评估，通过后方可出境。A.属地县级网信部门B.属地省级网信部门C.国家网信部门D.属地市级公安部门9.企业公务新能源汽车的车联网数据（含行驶轨迹、驾驶行为数据、车内录音数据）属于重要数据，以下行为符合安全要求的是______。A.为了提升导航精度，默认将车辆行驶数据同步至境外第三方导航服务商B.车辆维修时，直接将车联网系统的全部权限开放给第三方维修机构C.对车联网数据做加密存储，仅授权必要的运维人员按最小权限访问D.在公开的二手车交易平台出售公务车时，不删除车联网系统存储的历史数据10.依据2026年国内企业普遍执行的终端安全管理规范，员工办公账号的口令符合安全要求的是______。A.口令长度8位，仅含小写字母和数字，连续2年未更换B.口令长度12位，包含大小写字母、数字、特殊字符，每90天更换一次C.为了方便记忆，将口令设置为公司名称加员工生日D.将办公账号口令共享给同部门同事，方便其代处理工作11.员工故意泄露企业核心数据，造成严重后果的，最高可面临______的刑事处罚。A.3年以下有期徒刑B.3年以上7年以下有期徒刑C.7年以上有期徒刑D.拘役并处罚金12.依据2025年修订的《个人信息保护法》，企业处理不满14周岁未成年人个人信息的，应当取得______的单独同意。A.未成年人本人B.未成年人的监护人C.未成年人所在学校D.属地民政部门13.员工发现公司内部业务系统存在高危漏洞时，应当在______内上报企业安全管理部门，不得私自利用漏洞牟利或者对外泄露漏洞信息。A.24小时B.72小时C.1周D.1个月14.企业将敏感数据存储在公有云服务平台时，以下行为符合安全要求的是______。A.直接上传明文存储的核心研发数据，依赖云服务商的安全防护能力B.对敏感数据做端侧加密后再上传，密钥由企业自行保管C.将云平台的管理权限共享给第三方服务商，方便其做系统运维D.使用免费公有云存储核心数据，节省企业成本15.员工在社交平台发布内容时，以下行为符合安全要求的是______。A.拍摄内部会议现场照片，打码后发布到朋友圈B.发布公司未公开的新产品外观照片，配文“即将上线敬请期待”C.仅发布公开可披露的对外宣传内容，不涉及任何内部未公开信息D.吐槽公司内部管理问题，附带公司内部系统的界面截图16.企业采购第三方软件服务时，应当将______作为采购的前置条件，避免供应链安全风险。A.软件服务的价格B.软件服务的功能丰富度C.软件服务的安全测评合格报告D.软件服务商的行业知名度17.企业发生重大数据安全事件后，应当在______内上报属地网信部门和公安部门，不得迟报、瞒报、谎报。A.2小时B.4小时C.8小时D.24小时18.企业与第三方机构开展数据合作时，采用______技术可以实现“数据可用不可见”，无需向第三方提供原始数据即可完成联合计算。A.数据脱敏B.隐私计算C.数据加密D.数据备份19.境外员工访问企业境内核心业务系统时，以下行为符合安全要求的是______。A.使用公网免费VPN直接访问核心系统B.走企业专用的加密专线，经过多因素认证后访问核心系统C.将核心系统的账号密码共享给境外合作机构，方便其访问D.直接将核心系统的全部数据下载到境外本地终端存储20.企业对外发布使用AI生成的内容时，以下行为符合安全要求的是______。A.直接发布AI生成的内容，无需审核B.对AI生成的内容做涉密、敏感信息审核，确认无风险后再发布C.标注AI生成标识即可，无需审核内容D.仅审核内容的正确性，无需审核是否包含涉密信息二、多项选择题（共10题，每题3分，共30分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.员工使用生成式AI工具时，以下属于禁止行为的有______。A.输入国家秘密、企业核心数据、未脱敏个人信息B.利用AI生成钓鱼邮件、恶意代码等违法内容C.利用AI爬取企业内部未公开的信息D.使用企业授权的垂直大模型处理非敏感工作内容2.2026年网络钓鱼的常见载体包括______。A.AI生成的仿冒上级、客户的邮件、短信B.短视频平台、社交平台内嵌的钓鱼链接C.AI生成的仿冒官方客服的语音电话D.公共共享文档内嵌的恶意外链3.以下属于企业重要数据范畴的有______。A.数量超过10万条的公民个人信息B.企业未公开的核心算法、研发技术资料C.企业未公开的年度财务报表、投融资信息D.企业对外公开的宣传手册4.企业发生数据安全事件后的正确处置流程包括______。A.第一时间采取技术措施遏制事件扩散，避免泄露范围扩大B.排查事件根源，评估影响范围和损失程度C.按要求上报监管部门，及时通知受影响的个人和机构D.复盘事件漏洞，完成整改优化，避免同类事件再次发生5.零信任架构的落地措施包括______。A.所有访问主体必须经过多因素认证B.按最小权限原则分配账号权限，权限随岗位变动动态调整C.对所有访问行为做持续监控和验证，发现异常立即终止权限D.对业务系统做微隔离，避免单个系统被攻破后横向扩散6.处理个人信息应当遵循的基本原则包括______。A.合法、正当、必要和诚信原则B.最小必要原则，仅处理实现目的的最少个人信息C.公开透明原则，公开个人信息处理规则D.质量保障原则，避免个人信息不准确、不完整7.防范勒索病毒攻击的有效措施包括______。A.定期对核心数据做离线备份，备份数据与生产网络物理隔离B.不点击不明来源的链接、附件，不扫描不明二维码C.终端安装EDR防护软件，及时更新系统补丁D.关闭服务器不必要的端口和服务8.企业重要数据和个人信息出境的合法路径包括______。A.依照国家网信部门的规定通过安全评估B.取得国家网信部门认定的个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方签订合同D.直接通过公网传输，无需履行任何手续9.员工离职时，企业应当落实的安全管理要求包括______。A.回收所有业务系统、办公系统的账号权限B.要求员工删除本地存储的所有企业工作数据C.与员工签署离职保密承诺，明确保密义务和违约责任D.交接所有涉密、敏感的纸质和电子资料10.2026年我国新增的网络安全违法违规情形包括______。A.未经允许使用AI技术批量爬取公开的个人信息用于牟利B.故意泄露生成式AI训练数据中包含的未公开敏感信息C.违规将车联网收集的公民行驶轨迹、生物识别数据传输到境外D.未按要求对生成式AI生成的违法内容做审核过滤三、判断题（共15题，每题1分，共15分。正确打√，错误打×）1.员工因工作需要，可以使用私人U盘拷贝企业重要数据带回家办公。（）2.只要终端安装了杀毒软件和EDR防护系统，就不会被勒索病毒感染。（）3.在企业内部工作群发送未脱敏的客户身份证号、手机号属于数据违规行为。（）4.生成式AI工具生成的内容不存在涉密风险，可以直接对外发布。（）5.零信任架构下，内部员工访问核心业务系统无需额外验证身份。（）6.发现同事在社交平台发布企业未公开的敏感信息时，仅需要提醒其删除，无需上报企业安全部门。（）7.企业公共WiFi没有设置访问限制，可以用来传输个人银行账户、密码等敏感信息。（）8.企业数据分级分类结果是静态的，完成分级分类后不需要定期更新。（）9.个人信息经过匿名化处理后，不属于个人信息范畴，无需按个人信息保护要求管理。（）10.发生数据安全事件后，为了避免影响企业声誉，可以先隐瞒不报，内部处置完成后再决定是否上报。（）11.公务车的车联网数据属于重要数据，未经审批不得向任何第三方提供。（）12.多因素认证指的是采用至少两种不同维度的验证方式，例如“密码+短信验证码”“密码+人脸验证”。（）13.使用免费云盘存储企业核心研发资料，只要设置了强口令就是安全的。（）14.与第三方机构开展数据合作时，仅需要签署业务合作合同，无需约定数据安全责任。（）15.员工的办公终端安装了企业的EDR防护系统后，可以随意访问境外违法违规网站。（）四、案例分析题（共2题，每题7.5分，共15分）1.案例背景：2026年7月，某公司市场部员工小张收到一封AI生成的仿冒公司总经理的邮件，邮件内容称“现有重要客户需要最新的Q3全量客户合作名单，请在1小时内发送到指定邮箱xxx@”，邮件语气、行文风格与总经理完全一致，无任何拼写错误，发件人显示为总经理的常用邮箱别名。小张未做任何核实，直接将包含12万条客户姓名、手机号、合作金额的未脱敏名单发送到了指定邮箱，随后发生客户信息泄露事件，造成230名客户被诈骗，企业被监管部门罚款280万元。请回答：（1）小张的行为存在哪些违规之处？（2）收到此类邮件后的正确处置流程是什么？2.案例背景：2026年9月，某跨境电商企业为了优化境外用户的推荐算法，未向监管部门提请安全评估，直接将境内收集的210万条用户消费记录、收货地址、生物识别信息通过公网传输到境外的算法中心，被属地网信部门巡查发现，依法处以500万元罚款，相关责任人被追究刑事责任。请回答：（1）该企业的行为违反了哪些法律法规要求？（2）此类数据出境的正确操作流程是什么？附：参考答案一、单项选择题1.B2.C3.D4.B5.B6.A7.C8.B9.C10.B11.C12.B13.A14.B15.C16.C17.B18.B19.B20.B二、多项选择题1.ABC2.ABCD3.ABC4.ABCD5.ABCD6.ABCD7.ABCD8.ABC9.ABCD10.ABCD三、判断题1.×私人U盘无安全防护，易造成数据泄露，禁止拷贝重要数据2.×杀毒软件无法防范未知的零日漏洞攻击，仍需做好其他防护措施3.√未脱敏客户敏感信息不得在无权限的群体中传播4.×AI生成内容可能隐含训练数据中的涉密信息，必须审核后发布5.×零信任架构下所有访问主体都需要做身份验证，无默认可信主体6.×发现敏感信息泄露风险必须第一时间上报安全部门，避免风险扩大7.×公共WiFi易被窃听，禁止传输敏感信息8.×数据分级分类需要随业务变化动态更新，至少每年评审一次9.√匿名化处理后无法识别到特定自然人，不属于个人信息10.×数据安全事件必须按要求时限上报，迟报瞒报会面临更严重的处罚11.√车联网数据属于重要数据，对外提供必须经过审批12.√多因素认证要求不同维度的验证方式，避免单一验证被破解13.×免费云盘服务商无安全责任承诺，核心数据存在泄露风险14.×第三方数据合作必须签署专门的数据安全协议，明确双方责任15.×访问违法违规网站易被植入恶意代码，即使安装防护系统也存在风险四、案例分析题1.（1）小张的违规之处：①未遵守