2026年网络安全法律法规与标准考核试卷

2026年网络安全法律法规与标准考核试卷一、单选题（本大题共10小题，每小题2分，共20分）1.根据《中华人民共和国网络安全法》规定，关键信息基础设施的运营者应当在网络安全等级保护制度的基础上，每（）至少进行一次网络安全认证和检测。A.半年B.一年C.两年D.三年参考答案：B解题思路：本题考查《中华人民共和国网络安全法》中关于关键信息基础设施安全保护的要求。根据该法第三十六条，关键信息基础设施的运营者除满足网络安全等级保护制度要求外，还应当定期进行网络安全认证和检测。根据《网络安全等级保护条例》（征求意见稿）相关条款，认证和检测周期通常为一年。选项A半年过于频繁，C两年和D三年周期过长，不符合动态安全防护要求。答题要点：关键信息基础设施安全保护要求高于一般信息系统；认证检测周期为一年；动态安全防护原则。2.某企业因未按规定履行网络安全等级保护测评职责，导致其运营的系统被黑客攻击造成重大损失。根据《网络安全等级保护条例》（征求意见稿）规定，该企业可能面临的法律责任不包括（）。A.罚款最高可达1000万元B.对直接负责的主管人员处以5年以下有期徒刑C.吊销相关业务许可证D.责令改正并给予警告参考答案：B解题思路：本题考查网络安全法律责任体系。根据《网络安全等级保护条例》（征求意见稿）第四十五条，违反条例规定，未履行等级保护测评职责的，可处以罚款、吊销许可证、责令改正等行政处罚。罚款上限为1000万元，责令改正和警告属于常见处罚措施。选项B所述刑事责任适用于造成严重后果的犯罪行为，而非一般行政违规。需注意区分行政责任与刑事责任界限。答题要点：区分行政责任与刑事责任；行政处罚种类；等级保护测评责任。3.在网络安全等级保护制度中，系统定级的主要依据不包括（）。A.系统重要程度B.系统受到攻击后的危害程度C.系统建设成本D.系统所处理信息的敏感程度参考答案：C解题思路：本题考查系统定级要素。根据《网络安全等级保护基本要求》GB/T22239-2019，系统定级主要依据三个要素：系统重要程度、受到攻击后的危害程度、所处理信息的敏感程度。建设成本属于项目投资范畴，不影响安全等级划分。需掌握定级要素的法定依据。答题要点：系统定级三要素；法定依据；建设成本与安全等级无关。4.某金融机构采用多因素认证技术保护其核心业务系统。根据《信息安全技术身份识别和认证第3部分：基于证书的认证》GB/T32918.3标准，以下哪项不属于该技术所要求的认证因素（）。A.知识因素B.拥有因素C.生物因素D.行为因素参考答案：D解题思路：本题考查多因素认证技术标准。根据GB/T32918.3标准，认证因素分为三类：知识因素（如密码）、拥有因素（如令牌）、生物因素（如指纹）。行为因素（如步态）虽属生物特征范畴，但该标准未将其列为独立认证因素。需掌握认证因素分类体系。答题要点：多因素认证三要素；GB/T32918.3标准要求；行为因素不属于认证要素。5.根据《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者应当建立健全网络安全监测预警和信息通报制度。其中，监测预警的主要内容包括（）。A.网络攻击行为B.系统漏洞信息C.用户违规操作D.以上所有参考答案：D解题思路：本题考查关键信息基础设施监测预警内容。根据《条例》第十九条，监测预警应覆盖网络攻击行为、系统漏洞、用户违规操作等安全事件。需全面掌握监测预警范畴。答题要点：监测预警法定内容；安全事件类型；全面性要求。6.某政府部门部署了电子政务系统，根据《网络安全等级保护条例》（征求意见稿）要求，该系统应达到的最低安全保护等级是（）。A.三级B.二级C.一级D.五级参考答案：B解题思路：本题考查政务系统定级要求。根据《条例》第十条，政务系统原则上应达到二级保护等级。关键业务系统可提升至三级。政府部门系统属于重要信息系统，最低应为二级。需掌握政务系统定级政策。答题要点：政务系统定级政策；重要信息系统要求；最低等级标准。7.在网络安全等级保护测评过程中，测评机构发现某系统存在高危漏洞但未及时报告。根据《网络安全等级保护测评要求》GB/T28448-2019，测评机构可能面临的法律责任不包括（）。A.被列入失信名单B.没收违法所得C.吊销测评资质D.对直接责任人处以罚款参考答案：B解题思路：本题考查测评机构法律责任。根据GB/T28448-2019及《条例》相关规定，测评机构未履行报告义务可能面临列入失信名单、吊销资质、处罚责任人等处罚，但没收违法所得主要适用于经营性违法行为。需区分不同法律责任类型。答题要点：测评机构法定义务；法律责任种类；没收违法所得适用范围。8.某企业采用云服务架构部署业务系统，根据《网络安全等级保护条例》（征求意见稿）规定，该企业对云上系统的安全保护责任不包括（）。A.云平台安全配置B.数据安全保护C.访问控制策略D.云服务提供商安全责任参考答案：D解题思路：本题考查云安全责任边界。根据《条例》第二十一条，云上系统安全保护遵循"谁运营谁负责"原则，企业负责自身安全配置、数据保护、访问控制等，云服务提供商负责平台安全。需明确责任划分。答题要点：云安全责任原则；企业责任范围；服务商责任范围。9.根据《个人信息保护法》规定，处理个人信息时，以下哪项不属于"最小必要原则"的内涵（）。A.仅收集实现目的所需的最少信息B.不得过度收集C.不得将收集的信息用于约定目的之外D.收集信息前需获得个人明确同意参考答案：D解题思路：本题考查个人信息处理原则。根据《个人信息保护法》第五条，最小必要原则要求收集信息限于实现目的所需，不得过度收集，且不得挪作他用。选项D所述为告知同意原则要求，而非最小必要原则。答题要点：最小必要原则内涵；法定要求；与告知同意原则区别。10.某企业因网络安全事件导致用户个人信息泄露，根据《网络安全法》规定，该企业应当（）向有关部门报告。A.立即B.在事件发生后24小时内C.在事件发生后72小时内D.由省级以上主管部门决定报告时限参考答案：C解题思路：本题考查网络安全事件报告时限。根据《网络安全法》第四十六条，重要信息系统发生网络安全事件的，应当在事件发生后72小时内报告。一般信息系统为24小时。需掌握不同系统报告时限要求。答题要点：网络安全事件报告制度；时限分类；重要信息系统要求。二、填空题（本大题共10小题，每小题2分，共20分）1.《中华人民共和国网络安全法》规定，国家实行网络安全（）制度，对网络运营者履行网络安全保护义务作出明确规定。参考答案：分级保护解题思路：本题考查网络安全法核心制度。根据该法第三条，国家实行网络安全分级保护制度。需掌握网络安全法基本框架。答题要点：网络安全法核心制度；分级保护内涵；法律依据。解析：网络安全分级保护制度是《网络安全法》的基本框架，要求网络运营者根据系统重要程度和受攻击后危害程度确定保护等级，并采取相应安全措施。该制度通过GB/T22239等标准具体化。2.根据《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者应当建立健全网络安全（）和应急响应机制。参考答案：监测预警解题思路：本题考查关键信息基础设施安全要求。根据《条例》第十九条，监测预警是关键信息基础设施安全防护的重要环节。需掌握关键信息基础设施安全防护体系。答题要点：关键信息基础设施安全要求；监测预警作用；应急响应关系。解析：监测预警和应急响应是关键信息基础设施安全防护的两大支柱。监测预警通过实时监控、威胁情报分析等手段发现安全隐患，而应急响应则针对已发生的安全事件进行处置。两者相互支撑，共同构成纵深防御体系。3.《信息安全技术网络安全等级保护基本要求》GB/T22239-2019规定，等级保护测评分为（）和（）两个阶段。参考答案：准备；测评解题思路：本题考查等级保护测评流程。根据GB/T22239-2019附录A，测评分为准备和测评两个阶段。需掌握测评标准流程。答题要点：等级保护测评流程；阶段划分；标准依据。解析：等级保护测评流程严格遵循国家标准，分为准备和测评两个主要阶段。准备阶段包括访谈、文档查阅、资产识别等，测评阶段则通过技术测试、管理检查等方式验证系统安全性。该流程确保测评的系统性和全面性。4.根据《个人信息保护法》规定，处理敏感个人信息应当取得个人的（）同意。参考答案：单独解题思路：本题考查敏感个人信息处理要求。根据该法第三十八条，处理敏感个人信息需取得单独同意。需掌握敏感信息特殊处理规则。答题要点：敏感个人信息处理规则；单独同意要求；法律依据。解析：敏感个人信息涉及个人隐私，处理难度更大，因此《个人信息保护法》要求取得单独同意。单独同意指通过专门方式获得个人明确授权，不得与其他事项捆绑。这是保护个人隐私的重要措施。5.《网络安全等级保护条例》（征求意见稿）规定，网络运营者应当定期开展网络安全（）和（）。参考答案：风险评估；安全检查解题思路：本题考查网络运营者安全义务。根据《条例》第十五条，网络运营者需定期开展风险评估和安全检查。需掌握日常安全防护要求。答题要点：网络运营者安全义务；风险评估作用；安全检查内容。解析：风险评估和安全检查是网络运营者的核心安全义务。风险评估通过识别资产、分析威胁、评估脆弱性等步骤，确定系统安全风险等级；安全检查则通过现场检查、技术测试等方式验证安全措施有效性。两者结合形成动态安全防护机制。6.《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者应当在网络安全事件发生后（）小时内向有关部门报告。参考答案：72解题思路：本题考查关键信息基础设施事件报告时限。根据《条例》第四十二条，重要信息系统事件报告时限为72小时。需掌握不同系统报告要求。答题要点：关键信息基础设施事件报告；时限要求；系统分类。解析：关键信息基础设施安全事件报告制度分为重要信息系统和一般信息系统两类。重要信息系统事件报告时限为72小时，一般信息系统为24小时。该制度确保监管部门及时掌握重大安全态势，为应急处置提供决策依据。7.《信息安全技术身份识别和认证第3部分：基于证书的认证》GB/T32918.3标准规定，认证因素分为（）、（）和（）三类。参考答案：知识；拥有；生物解题思路：本题考查多因素认证标准。根据GB/T32918.3，认证因素分为知识、拥有和生物三类。需掌握认证技术基础。答题要点：多因素认证技术；认证因素分类；标准依据。解析：基于证书的认证属于多因素认证范畴，其安全性建立在多种认证因素基础之上。GB/T32918.3标准将认证因素分为知识因素（如密码）、拥有因素（如令牌）和生物因素（如指纹），要求至少使用两类因素进行认证。这种设计显著提高了身份认证的安全性。8.根据《网络安全等级保护条例》（征求意见稿）规定，网络安全等级保护测评机构应当具备相应的（）和（）。参考答案：资质；能力解题思路：本题考查测评机构要求。根据《条例》第二十九条，测评机构需具备资质和能力。需掌握测评市场准入要求。答题要点：测评机构要求；资质条件；能力标准。解析：网络安全等级保护测评机构作为第三方专业机构，其资质和能力直接影响测评质量。根据《条例》规定，测评机构需获得国家认证认可监督管理委员会颁发的资质证书，并具备相应的技术能力和人员素质。这是确保测评公正性和专业性的重要保障。9.《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的（）。参考答案：直接相关解题思路：本题考查个人信息处理目的要求。根据该法第十七条，处理目的需直接相关。需掌握个人信息处理原则。答题要点：个人信息处理原则；目的相关性；法律依据。解析：《个人信息保护法》强调处理目的的明确性和合理性，并要求处理目的与处理活动直接相关。这意味着企业收集个人信息时必须有合法正当的理由，且收集范围不得超出实现目的所需。这一原则有效防止了个人信息的过度收集和滥用。10.根据《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者应当建立健全网络安全（）和（）。参考答案：监测预警；应急响应解题思路：本题考查关键信息基础设施安全要求。根据《条例》第十九条，监测预警和应急响应是关键信息基础设施安全防护的重要措施。需掌握关键信息基础设施安全防护体系。答题要点：关键信息基础设施安全要求；监测预警作用；应急响应关系。解析：监测预警和应急响应是关键信息基础设施安全防护的两大支柱。监测预警通过实时监控、威胁情报分析等手段发现安全隐患，而应急响应则针对已发生的安全事件进行处置。两者相互支撑，共同构成纵深防御体系。三、判断题（本大题共10小题，每小题2分，共20分）1.根据《中华人民共和国网络安全法》规定，网络运营者发现其网络存在安全风险时，应当立即采取补救措施，并按照规定向有关主管部门报告。（）参考答案：正确解题思路：本题考查网络安全风险报告要求。根据《网络安全法》第三十一条，网络运营者发现安全风险需立即补救并报告。需掌握风险处置流程。答题要点：网络安全风险处置；立即补救义务；报告要求；法律依据。解析：该表述完全符合《网络安全法》规定。网络运营者作为网络安全责任主体，发现安全风险时必须立即采取补救措施消除隐患，同时按照规定向主管部门报告。这是保障网络安全的重要制度安排。法律依据为《网络安全法》第三十一条。2.《信息安全技术网络安全等级保护基本要求》GB/T22239-2019规定，等级保护测评结果分为五个等级，其中三级系统要求最高。（）参考答案：错误解题思路：本题考查等级保护测评结果。根据GB/T22239-2019，测评结果分为五个等级，一级要求最低，五级要求最高。需掌握等级划分标准。答题要点：等级保护测评结果；等级划分；要求梯度；标准依据。解析：该表述错误。根据GB/T22239-2019，等级保护测评结果分为五个等级，一级要求最低，五级要求最高。系统等级越高，安全保护要求越严格。因此三级系统要求低于四级和五级系统。该标准在附录B中详细规定了各等级要求。3.敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。（）参考答案：正确解题思路：本题考查敏感个人信息定义。根据《个人信息保护法》第十四条规定，敏感个人信息定义如此。需掌握敏感信息特征。答题要点：敏感个人信息定义；特征描述；法律依据。解析：该表述完全符合《个人信息保护法》第十四条规定。敏感个人信息因其敏感性，一旦泄露或滥用可能对个人造成严重损害，因此法律对其处理提出更严格的要求。这体现了对个人隐私的特殊保护。4.《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者可以委托第三方机构开展网络安全监测预警服务。（）参考答案：正确解题思路：本题考查关键信息基础设施安全服务。根据《条例》第二十五条，鼓励委托第三方服务。需掌握安全服务市场发展。答题要点：关键信息基础设施安全服务；第三方服务模式；法律依据。解析：该表述符合《条例》规定。随着网络安全专业化发展，关键信息基础设施运营者可以委托第三方机构开展监测预警等安全服务。这有助于提升安全防护能力，促进安全服务市场发展。法律依据为《条例》第二十五条关于鼓励社会化安全服务的表述。5.《信息安全技术身份识别和认证第3部分：基于证书的认证》GB/T32918.3标准要求，基于证书的认证必须使用生物因素作为认证因素。（）参考答案：错误解题思路：本题考查基于证书认证要求。根据GB/T32918.3，认证因素可选。需掌握认证技术标准。答题要点：基于证书认证；认证因素选择；标准要求；技术实现。解析：该表述错误。根据GB/T32918.3标准，基于证书的认证可以采用知识、拥有、生物三类因素中的任意组合，要求至少使用两类因素。是否使用生物因素取决于具体实现方案，标准并未强制要求。这体现了认证技术的灵活性。6.网络安全等级保护测评机构在开展测评前，应当与被测评单位签订书面协议，明确双方权利义务。（）参考答案：正确解题思路：本题考查测评流程要求。根据《网络安全等级保护测评要求》GB/T28448-2019，签订协议是必要环节。需掌握测评规范。答题要点：等级保护测评流程；协议要求；规范依据；法律依据。解析：该表述符合GB/T28448-2019标准要求。测评机构在开展测评前必须与被测评单位签订书面协议，明确双方权利义务、测评范围、保密责任等。这是保障测评顺利进行的重要措施。法律依据为《条例》第二十九条关于测评程序的规定。7.个人信息处理是指对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除等处理活动。（）参考答案：正确解题思路：本题考查个人信息处理定义。根据《个人信息保护法》第三十五条规定，定义如此。需掌握法律术语。答题要点：个人信息处理定义；活动范围；法律依据。解析：该表述完全符合《个人信息保护法》第三十五条规定。个人信息处理涵盖从收集到删除的全生命周期，任何环节都需遵守法律规定。这体现了对个人信息保护的全流程管理理念。8.《关键信息基础设施安全保护条例》（征求意见稿）规定，关键信息基础设施运营者应当建立健全网络安全事件应急预案，并定期组织演练。（）参考答案：正确解题思路：本题考查关键信息基础设施应急要求。根据《条例》第二十二条，应急准备要求如此。需掌握应急管理体系。答题要点：关键信息基础设施应急；预案要求；演练制度；法律依据。解析：该表述符合《条例》规定。关键信息基础设施安全防护必须建立健全应急管理体系，包括制定应急预案、定期组织演练等。这有助于提高应急处置能力，减少安全事件损失。法律依据为《条例》第二十二条关于应急准备的要求。9.《信息安全技术网络安全等级保护基本要求》GB/T22239-2019规定，等级保护测评过程中，测评机构可以对被测评单位网络进行远程测试。（）参考答案：错误解题思路：本题考查等级保护测评方式。根据GB/T28448-2019，现场测试是基本要求。需掌握测评规范。答题要点：等级保护测评方式；测试要求；规范依据；法律依据。解析：该表述错误。根据GB/T28448-2019标准，等级保护测评必须进行现场测试，通过访谈、文档查阅、技术测试等方式全面评估系统安全性。远程测试不能替代现场测试，因为许多安全措施需要现场验证。法律依据为《条例》第二十九条关于测评方式的规定。10.《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。（）参考答案：正确解题思路：本题考查个人信息处理目的要求。根据该法第十七条，处理目的需直接相关。需掌握个人信息处理原则。答题要点：个人信息处理原则；目的相关性；法律依据。解析：该表述完全符合《个人信息保护法》第十七条规定。处理目的的明确性和合理性是个人信息处理的基本原则，且处理活动必须与目的直接相关。这意味着企业收集个人信息时必须有合法正当的理由，且收集范围不得超出实现目的所需。这一原则有效防止了个人信息的过度收集和滥用。四、简答题（本大题共4小题，每小题4分，共16分）1.简述《中华人民共和国网络安全法》中关于关键信息基础设施安全保护的主要内容。参考答案：《中华人民共和国网络安全法》对关键信息基础设施安全保护的主要内容体现在以下几个方面：（1）明确保护义务：要求关键信息基础设施运营者采取技术措施和其他必要措施，保障系统安全稳定运行，防止网络攻击、网络侵入和危害网络安全行为。（2）定级保护要求：要求关键信息基础设施运营者按照网络安全等级保护制度的要求，确定系统安全保护等级，并采取相应保护措施。（3）监测预警制度：要求建立健全网络安全监测预警和信息通报制度，及时发现并处置安全风险。（4）应急响应要求：要求制定应急预案，定期组织演练，提高应急处置能力。（5）安全评估要求：要求定期进行安全评估，及时发现并整改安全隐患。（6）法律责任：明确违反规定的法律责任，包括罚款、吊销许可证、追究刑事责任等。解题思路：本题考查《网络安全法》中关键信息基础设施保护制度。需全面掌握法律规定的保护义务、制度要求、应急措施和法律责任。答题要点：保护义务；定级保护；监测预警；应急响应；安全评估；法律责任。解析：关键信息基础设施安全保护是《网络安全法》的重要内容，涉及多个方面。保护义务要求运营者采取全面措施保障系统安全；定级保护要求遵循等级保护制度；监测预警和应急响应是重要制度安排；安全评估是风险管控手段；法律责任是制度保障。这些内容共同构成了关键信息基础设施安全保护体系。2.根据《个人信息保护法》规定，处理敏感个人信息需要满足哪些特殊条件？参考答案：根据《个人信息保护法》规定，处理敏感个人信息需要满足以下特殊条件：（1）具有特定目的和充分必要性：处理敏感个人信息必须有明确、合理的目的，且不得通过其他方式更少地处理达到目的。（2）取得个人单独同意：处理敏感个人信息必须取得个人的单独同意，不得与其他事项捆绑。（3）采取严格的保护措施：处理敏感个人信息应当采取严格的保护措施，防止信息泄露、篡改、丢失。（4）告知个人处理信息的目的、方式等：应当告知个人处理敏感个人信息的目的、方式、存储期限等。（5）法律规定的其他条件：如涉及跨境传输，需符合相关法律规定。解题思路：本题考查敏感个人信息处理条件。需掌握法律规定的特殊要求。答题要点：特定目的和必要性；单独同意；严格保护；告知义务；其他条件。解析：敏感个人信息因其敏感性，处理条件更为严格。法律要求处理目的必须明确合理且具有必要性；同意必须单独获得；必须采取严格保护措施；需充分告知个人；跨境传输需符合规定。这些条件体现了对个人隐私的特殊保护。3.简述网络安全等级保护测评的基本流程。参考答案：网络安全等级保护测评的基本流程包括以下几个阶段：（1）准备阶段：包括访谈、文档查阅、资产识别、范围确定等，为测评工作奠定基础。（2）测评阶段：包括技术测试和管理检查，验证系统安全性是否满足相应等级要求。（3）报告阶段：编写测评报告，包括测评结果、发现的问题、整改建议等。（4）整改阶段：被测评单位根据测评报告进行整改，提升系统安全性。（5）复查阶段：对整改效果进行复查，确保问题得到有效解决。解题思路：本题考查等级保护测评流程。需掌握标准规定的五个主要阶段。答题要点：准备阶段；测评阶段；报告阶段；整改阶段；复查阶段。解析：等级保护测评流程严格遵循国家标准，分为五个主要阶段。准备阶段是基础，测评阶段是核心，报告阶段是总结，整改阶段是提升，复查阶段是验证。该流程确保测评的系统性和全面性，有助于提升系统整体安全性。4.比较多因素认证与单因素认证在安全性方面的主要差异。参考答案：多因素认证与单因素认证在安全性方面存在显著差异：（1）认证因素数量：单因素认证仅使用一种认证因素（如密码），而多因素认证使用两种或以上认证因素（如密码+令牌）。（2）安全性水平：多因素认证安全性显著高于单因素认证，因为攻击者需要同时获取多种因素才能成功认证。（3）攻击难度：单因素认证一旦密码泄露，账户即被攻破；多因素认证即使密码泄露，仍需其他因素才能成功认证，攻击难度大大增加。（4）适用场景：单因素认证适用于安全性要求较低的场景，如普通网站登录；多因素认证适用于安全性要求较高的场景，如金融系统、关键信息基础设施等。（5）用户体验：单因素认证用户体验较好，操作简单；多因素认证操作相对复杂，但安全性更高。解题思路：本题考查认证技术比较。需掌握两种认证方式在安全性、攻击难度、适用场景和用户体验方面的差异。答题要点：认证因素数量；安全性水平；攻击难度；适用场景；用户体验。解析：认证技术是网络安全的重要手段。多因素认证通过增加认证因素数量显著提高了安全性，攻击难度大大增加。而单因素认证虽然操作简单，但安全性较低。选择哪种认证方式取决于具体场景的安全需求。随着网络安全威胁加剧，多因素认证应用越来越广泛。五、应用题（本大题共4小题，每小题6分，共24分）1.某金融机构部署了核心业务系统，系统处理大量敏感个人信息，并接入互联网。根据《网络安全等级保护条例》（征求意见稿）要求，该系统应达到的最低安全保护等级是多少？请说明理由。参考答案：该系统应达到的最低安全保护等级为三级。理由如下：（1）系统重要性：核心业务系统属于重要信息系统，对金融机构运营至关重要。（2）信息敏感性：系统处理大量敏感个人信息，一旦泄露可能对个人造成严重损害。（3）网络接入：系统接入互联网，面临外部攻击风险更高。根据《网络安全等级保护条例》（征求意见稿）第十条，重要信息系统原则上应达到三级保护等级。因此，该系统应达到三级保护等级，并采取相应安全措施。解题思路：本题考查系统定级。需根据系统重要性、信息敏感性和网络接入情况，结合等级保护条例确定最低等级。答题要点：系统重要性；信息敏感性；网络接入；定级依据；最低等级。解析：系统定级是等级保护工作的基础。该系统作为核心业务系统，重要性高；处理敏感个人信息，敏感性高；接入互联网，风险高。根据等级保护条例，重要信息系统最低应为三级。因此，该系统应达到三级保护等级，并采取相应安全措施，如加强访问控制、数据加密、入侵检测等。2.某政府部门部署了电子政务系统，系统存在多个高危漏洞，但未及时修复。根据《网络安全等级保护条例》（征求意见稿）规定，该政府部门可能面临哪些法律责任？请说明理由。参考答案：该政府部门可能面临以下法律责任：（1）行政处罚：根据《条例》第四十五条，未及时修复高危漏洞可能面临罚款、责令改正等行政处罚。（2）行政处分：根据《条例》第四十七条，直接负责的主管人员可能面临行政处分。（3）刑事责任：如果漏洞被利用造成严重后果，可能构成犯罪，直接负责的主管人员可能面临刑事责任。（4）声誉损失：安全事件可能影响政府部门的公信力，造成声誉损失。