2026年网络安全与信息保护知识测试题及答案

2026年网络安全与信息保护知识测试题及答案一、单项选择题（每题2分，共30分。每题只有1个正确答案，错选、不选均不得分）1.根据2024年正式实施的《网络数据安全管理条例》，重要数据处理者应当至少（）开展一次数据安全风险评估，评估报告及整改情况应当报送属地网信部门和行业主管部门。A.每半年B.每年C.每两年D.每三年2.根据2025年修订发布的《生成式人工智能服务管理规定》，生成式AI服务提供者应当对用户的服务使用日志、输入指令、生成内容进行留存，留存期限不得少于（），法律法规另有规定的从其规定。A.3个月B.6个月C.12个月D.24个月3.根据《数据出境安全评估办法》，个人信息处理者向境外提供个人信息，累计向境外提供（）以上敏感个人信息的，应当向省级网信部门申报数据出境安全评估。A.1万条B.10万条C.50万条D.100万条4.智能网联汽车在中国境内运营中收集和产生的核心数据、重要数据应当依法存储在中国境内，确需向境外提供的，应当（）。A.获得用户单独同意即可传输B.经行业主管部门备案即可传输C.经过数据出境安全评估后方可传输D.采用加密传输通道即可传输5.2026年全球逐步推广应用抗量子密码算法，该类算法主要针对的安全风险是（）。A.DDoS攻击导致的服务中断B.量子计算机对现有非对称加密算法的破解C.钓鱼攻击导致的账号失窃D.供应链攻击导致的系统被植入后门6.根据《深度合成服务管理规定》，深度合成服务提供者提供可能导致公众混淆或误认的深度合成服务的，应当在生成内容的合理位置添加不可移除的（）标识，方便公众识别和监管溯源。A.水印B.防伪C.溯源D.免责7.下列选项中，不属于《个人信息保护法》规定的敏感个人信息的是（）。A.公民的行踪轨迹信息B.公民的医疗健康记录C.公民的姓名+常用手机号组合D.不满14周岁未成年人的生物识别信息8.2026年AI驱动的钓鱼攻击成为企业面临的主要安全风险之一，下列不属于AI钓鱼邮件典型特征的是（）。A.内容高度贴合收件人日常工作场景，无明显语法错误B.附件嵌入AI生成的伪造上级语音指令，要求员工执行操作C.发件人邮箱后缀与企业官方域名完全一致D.诱导员工点击高仿官方域名的链接，输入办公系统账号密码9.根据网络安全等级保护2.0制度要求，第三级及以上等级的网络运营者应当至少（）开展一次等级保护测评。A.每半年B.每年C.每两年D.每三年10.企业收集员工个人信息用于考勤管理时，下列做法符合合规要求的是（）。A.将人脸生物识别作为唯一的考勤验证方式B.未经员工同意将考勤数据共享给第三方人力资源公司C.员工离职后立即删除其所有考勤相关的个人信息D.考勤数据存储在境外的云服务器中无需备案11.下列关于个人信息可携带权的说法，不符合《个人信息保护法》规定的是（）。A.个人有权要求个人信息处理者将其个人信息转移至其指定的其他处理者B.处理者应当按照国家网信部门规定的格式提供可转移的个人信息C.个人提出可携带权申请的，处理者可以收取高额的技术服务费用D.处理者应当在15个工作日内响应个人的可携带权申请12.2026年勒索软件攻击呈现AI赋能特征，下列不属于应对AI勒索攻击的有效措施的是（）。A.定期对重要数据进行离线异地备份B.部署基于AI的异常流量检测系统，识别攻击前兆C.为所有终端安装未经认证的开源破解版杀毒软件D.建立勒索攻击应急响应预案，定期开展演练13.根据《个人信息保护法》，个人信息处理者处理不满14周岁未成年人个人信息的，应当取得（）的同意。A.未成年人本人B.未成年人的父母或者其他监护人C.未成年人所在学校D.属地民政部门14.某电商平台2026年推出“精准预测消费需求”功能，通过分析用户的浏览记录、消费记录、社交关系数据生成用户的消费偏好画像，下列做法符合合规要求的是（）。A.未告知用户即开展画像分析用于推送个性化广告B.向用户提供关闭个性化推送的选项C.将用户的消费偏好画像出售给第三方商家D.拒绝用户查看其个人消费偏好画像的申请15.网络运营者发生网络安全事件后，应当按照应急预案及时处置，并在（）内向属地网信部门、行业主管部门报告，告知可能受到影响的用户。A.12小时B.24小时C.48小时D.72小时===单项选择题答案及解析===1.答案：B。解析：《网络数据安全管理条例》第三十二条明确规定，重要数据处理者应当每年开展一次数据安全风险评估，评估报告及整改情况报送相关监管部门。2.答案：B。解析：2025年修订的《生成式人工智能服务管理规定》优化了日志留存要求，从原暂行办法的3个月调整为6个月，满足溯源和监管需求。3.答案：A。解析：《数据出境安全评估办法》第四条规定，向境外提供敏感个人信息累计超过1万条的，应当申报数据出境安全评估。4.答案：C。解析：《智能网联汽车数据安全管理若干规定》要求，境内运营收集的重要数据、核心数据出境必须经过安全评估，不得随意出境。5.答案：B。解析：抗量子密码算法又称后量子密码算法，是抵御量子计算机对RSA、ECC等现有非对称加密算法的破解风险的核心技术，2026年已在金融、政务等领域规模化应用。6.答案：C。解析：《深度合成服务管理规定》要求深度合成内容必须添加不可移除的溯源标识，防范深度伪造内容引发的诈骗、造谣等违法活动。7.答案：C。解析：姓名+常用手机号组合属于一般个人信息，行踪轨迹、医疗健康、不满14周岁未成年人的生物识别信息均属于敏感个人信息，处理需满足更严格的合规要求。8.答案：C。解析：AI钓鱼邮件通常使用高仿域名而非完全一致的官方域名，完全一致的官方域名发出的邮件为官方正规邮件，不属于钓鱼邮件范畴。9.答案：B。解析：网络安全等级保护2.0制度规定，第三级网络每年开展一次测评，第四级网络每半年开展一次测评。10.答案：C。解析：人脸生物识别不得作为唯一考勤方式，考勤数据共享需获得员工同意，境内收集的员工个人信息存储在境外需申报数据出境评估，员工离职后删除其个人信息符合最小必要存储要求。11.答案：C。解析：个人信息处理者响应可携带权申请不得收取高额费用，只能收取必要的工本费用。12.答案：C。解析：未经认证的开源破解版杀毒软件本身可能包含恶意代码，无法抵御AI勒索攻击，反而会增加安全风险。13.答案：B。解析：《个人信息保护法》规定，处理不满14周岁未成年人个人信息的，必须取得其监护人的单独同意。14.答案：B。解析：个性化推送必须向用户提供关闭选项，画像分析用于广告推送需告知用户，不得出售用户画像，用户有权查看其个人画像信息。15.答案：B。解析：《网络安全法》《网络安全事件报告管理办法》规定，网络运营者发生安全事件后应当在24小时内上报监管部门。二、多项选择题（每题3分，共30分。每题有2个及以上正确答案，错选、少选、多选均不得分）1.下列属于《网络安全法》规定的网络运营者应当履行的安全保护义务的有（）。A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，留存网络日志不少于6个月D.采取数据分类、重要数据备份和加密等措施2.根据2025年修订的《生成式人工智能服务管理规定》，生成式AI服务提供者应当履行的算法安全义务包括（）。A.对生成的内容进行事前审核、事后巡查，防范违法违规内容生成B.对注册用户进行真实身份信息认证，落实实名制要求C.定期向网信部门提交算法安全评估报告，及时报备算法迭代调整情况D.不得利用生成式AI制作、复制、发布、传播违法违规信息3.下列属于个人信息主体依法享有的权利的有（）。A.查阅、复制其个人信息B.要求更正、补充不准确的个人信息C.要求个人信息处理者删除其个人信息D.要求个人信息处理者对其个人信息处理规则进行解释说明4.2026年全球网络攻击呈现的新特征包括（）。A.AI赋能的勒索软件攻击自动化程度提升，攻击精准度大幅提高B.针对供应链的攻击从软件供应商延伸至AI大模型训练数据供应链C.量子试探性攻击增多，针对现有加密体系的破解尝试频次上升D.深度伪造技术用于社交工程攻击，伪造高管语音、视频的诈骗案件增多5.处理重要数据的个人信息处理者应当设立的责任岗位包括（）。A.数据安全主要负责人，统筹数据安全管理工作B.数据安全管理专门机构，负责日常数据安全运维C.个人信息保护负责人，负责个人信息保护合规工作D.应急响应专员，负责网络安全事件的处置工作6.下列属于网络安全等级保护2.0制度中第三级网络必须落实的安全措施的有（）。A.部署入侵检测、入侵防御系统，防范网络攻击B.落实双人双岗的运维管理制度，重要操作双人复核C.每年至少开展一次等级保护测评D.对重要数据进行异地备份，防范数据丢失7.下列关于数据出境的说法，符合法律法规要求的有（）。A.处理100万人以上个人信息的处理者向境外提供个人信息的，应当申报数据出境安全评估B.数据出境安全评估的有效期为2年，有效期届满需要继续出境的应当重新申报C.出境的数据不得包含国家秘密、核心数据，确需出境的需经过保密审查D.个人信息处理者可以通过与境外接收方订立标准合同的方式向境外提供个人信息，无需申报评估8.下列场景中，个人信息处理者需要获得个人单独同意的有（）。A.处理敏感个人信息B.公开个人信息C.向第三方提供个人信息D.将个人信息用于境外传输9.下列关于智能网联汽车数据处理的说法，符合合规要求的有（）。A.不得默认开启座舱内外的音视频采集功能，采集前应当获得用户单独同意B.不得将座舱采集的乘客音视频数据用于自动驾驶算法训练之外的其他用途C.车辆位置、行驶轨迹等重要数据应当存储在境内，确需出境的应当申报安全评估D.可以将车主的联系方式、驾驶习惯数据出售给保险公司用于保费定价10.下列防范个人信息泄露的做法，正确的有（）。A.不同平台使用不同的账号密码，避免密码复用B.不随意点击陌生链接、下载陌生附件，防范钓鱼攻击C.谨慎授权APP获取通讯录、位置、摄像头等敏感权限，不用时及时关闭D.不随意在公开平台发布身份证、手机号、家庭住址等敏感个人信息===多项选择题答案及解析===1.答案：ABCD。解析：四个选项均属于《网络安全法》第二十一条规定的网络运营者应当履行的安全保护义务。2.答案：ABCD。解析：2025年修订的《生成式人工智能服务管理规定》明确要求生成式AI服务提供者落实内容审核、实名制、算法备案、违法内容防控等义务，四个选项均符合要求。3.答案：ABCD。解析：《个人信息保护法》第四章明确规定个人享有查阅权、复制权、更正权、删除权、解释权等权利，四个选项均正确。4.答案：ABCD。解析：2026年AI、量子计算、深度合成等技术的普及推动网络攻击呈现上述四项新特征，是当前网络安全防护的重点方向。5.答案：ABCD。解析：《网络数据安全管理条例》要求重要数据处理者明确数据安全负责人、管理机构、个人信息保护负责人、应急响应人员等岗位责任，四个选项均正确。6.答案：ABCD。解析：四个选项均属于网络安全等级保护2.0第三级系统的强制要求。7.答案：ABC。解析：D选项错误，符合数据出境安全评估申报条件的，即使订立标准合同也必须申报评估，只有不符合申报条件的才可以通过标准合同、认证等方式出境。8.答案：ABCD。解析：《个人信息保护法》规定，处理敏感个人信息、公开个人信息、向第三方提供个人信息、个人信息出境均需要获得个人的单独同意。9.答案：ABC。解析：D选项错误，出售车主数据用于保费定价需要获得车主的单独同意，不得未经同意出售。10.答案：ABCD。解析：四个选项均属于普通用户防范个人信息泄露的有效做法。三、判断题（每题1分，共10分。正确打√，错误打×）1.生成式AI服务提供者可以在用户协议中以小字标注授权条款，默认获得用户上传的输入数据用于模型训练的权限。（）2.不满16周岁未成年人的个人信息属于敏感个人信息，处理时需要获得其监护人的同意。（）3.网络运营者收到个人提出的个人信息删除申请后，应当在15个工作日内响应并处理，法律法规另有规定的从其规定。（）4.抗量子密码算法可以完全抵御量子计算机对现有RSA、ECC等加密算法的破解风险。（）5.深度合成服务提供者生成的深度合成内容的溯源标识可以被普通用户轻易移除，不影响合规性。（）6.企业可以将员工的人脸生物识别信息作为考勤的唯一验证方式，无需提供其他替代验证方案。（）7.数据出境安全评估的有效期为2年，有效期内数据处理用途、境外接收方等发生变化的，应当重新申报评估。（）8.个人信息保护影响评估应当每年开展一次，评估报告应当留存至少3年。（）9.任何组织和个人不得利用深度合成技术制作、发布虚假新闻信息，不得损害他人肖像权、名誉权等合法权益。（）10.遭遇网络诈骗后，应当第一时间联系银行冻结账户，同时向公安机关报案，无需向网信部门报告。（）===判断题答案及解析===1.答案：×。解析：用户输入数据用于模型训练的授权必须以显著方式告知用户，获得用户的单独同意，不得通过格式条款默认授权。2.答案：×。解析：只有不满14周岁未成年人的个人信息属于敏感个人信息，不满16周岁的普通个人信息不属于敏感个人信息。3.答案：√。解析：《个人信息保护法》配套实施细则明确规定，个人信息处理者应当在15个工作日内响应个人的权利申请。4.答案：√。解析：抗量子密码算法是基于量子计算机无法快速破解的数学问题设计的，能够有效抵御量子计算攻击。5.答案：×。解析：《深度合成服务管理规定》要求溯源标识必须是不可移除的，可被轻易移除的标识不符合合规要求。6.答案：×。解析：人脸生物识别属于敏感个人信息，不得作为唯一考勤方式，必须为员工提供其他替代验证方案。7.答案：√。解析：《数据出境安全评估办法》规定数据出境安全评估有效期为2年，重大事项发生变化的应当重新申报。8.答案：√。解析：《个人信息保护法》要求处理敏感个人信息、向境外提供个人信息等场景应当开展个人信息保护影响评估，处理100万人以上个人信息的处理者应当每年开展一次，评估报告留存不少于3年。9.答案：√。解析：《深度合成服务管理规定》明确禁止利用深度合成技术制作虚假新闻、侵害他人合法权益。10.答案：×。解析：个人或单位遭遇网络诈骗后，除了联系银行、报案外，涉及网络安全事件的还应当向属地网信部门报告。四、案例分析题（每题15分，共30分）（一）案例背景：2026年3月，某互联网公司推出一款AI写真生成服务，用户上传个人正面照片即可生成不同风格的数字写真，该公司在用户注册协议的末尾以小字体标注“用户上传的所有照片及生成内容授权本公司永久免费用于大模型训练，用户不得撤销该授权”，未以任何其他方式告知用户该授权事项；同时，该公司生成的AI写真内容未添加任何溯源标识，部分用户利用该服务生成的仿冒他人肖像的内容被用于网络诈骗；此外，该公司未经申报将用户上传的120万条包含人脸信息的照片数据传输给其位于新加坡的关联公司用于模型优化。问题：1.指出该公司存在的违法违规点（7分）2.给出符合法律法规要求的整改方案（8分）===案例（一）参考答案===1.违法违规点：（1）未以显著方式告知用户上传的照片将用于模型训练，以格式条款默认获得用户授权且禁止用户撤销，违反《个人信息保护法》关于敏感个人信息处理应当获得单独同意、用户有权撤回授权的规定，人脸信息属于敏感个人信息，处理必须履行单独告知义务。（2分）（2）生成的AI写真属于深度合成内容，未按照要求添加不可移除的溯源标识，导致生成的仿冒肖像内容被用于诈骗，违反《深度合成服务管理规定》的溯源要求。（2分）（3）向境外提供120万条人脸敏感个人信息，未按照《数据出境安全评估办法》的要求申报数据出境安全评估，属于违法出境行为。（2分）（4）未落实内容审核义务，对用户生成的仿冒他人肖像的违法内容未及时拦截处置，违反《生成式人工智能服务管理规定》的内容审核义务。（1分）2.整改方案：（1）修改用户协议，将模型训练授权条款以弹窗、加粗等显著方式告知用户，单独获得用户同意，不得将授权作为用户使用服务的前置条件，同时为用户提供撤回授权的通道，撤回后立即删除用户相关的训练数据。（2分）（2）优化深度合成内容生成流程，对所有生成的AI写真内容添加不可移除的溯源标识，明确标注内容为AI生成，同步建立内容审核机制，对仿冒他人肖像的违法内容及时拦截，禁止生成和传播。（2分）（3）立即停止向新加坡关联公司传输用户人脸数据，督促境外关联公司删除已经传输的所有用户数据，确需向境外提供数据用于模型训练的，按照要求向省级网信部门申报数据出境安全评估，获批后方可传输。（2分）（4）开展全面的数据安全风险评估和个人信息保护影响评估，梳理全流程的数据处理合规漏洞，将评估报告和整改情况报送属地网信部门，同步对用户做好告知和解释工作，对权益受损的用户依法承担赔偿责任。（2分）（二）案例背景：2026年6月，某智能网联汽车生产企业推出新款新能源汽车，车辆默认开启座舱音视频采集功能，自动采集驾驶员面部表情、车内乘客对话、车辆行驶轨迹等数据，用于提升自动驾驶算法性能，企业未以任何方式告知车主上述数据采集规则；同时，该企业将采集的20万条车主行踪轨迹数据定期传输至其位于美国的服务器用于算法优化，未申报任何出境审批；此外，该企业未经车主同意将车主的驾驶习惯、车辆行驶区域等数据打包出售给多家保险公司，用于保费定价参考