2026年关键信息基础设施保护政策试题及答案

2026年关键信息基础设施保护政策试题及答案一、单项选择题（本大题共20小题，每小题1.5分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在括号内）1.根据我国《关键信息基础设施安全保护条例》，关键信息基础设施的认定结果应当由保护工作部门报送（）。A.公安部B.国家网信部门C.国务院D.工信部2.关键信息基础设施安全保护工作坚持的综合防护原则是（）。A.重点保护、积极防护、动态监控B.分级保护、动态防护、协同联动C.主动防御、动态防御、纵深防御D.预防为主、防治结合3.运营者采购网络产品和服务，应当按照国家有关规定与提供者签订安全保密协议，明确安全和保密义务与责任。这一规定主要针对的是（）。A.数据跨境传输安全B.供应链安全C.内部人员管理D.物理环境安全4.关键信息基础设施发生重大网络安全事件时，运营者应当按照规定向保护工作部门、（）报告。A.公安机关和国家网信部门B.国家网信部门和国务院C.公安机关和工信部D.行业主管部门和公安机关5.依据《网络安全法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）。A.行业主管部门指定的位置存储B.境内存储C.运营者总部所在地存储D.安全等级保护三级以上的系统存储6.关键信息基础设施的安全保护措施应当与关键信息基础设施（）同步规划、同步建设、同步使用。A.工程建设B.预算编制C.人员招聘D.项目招标7.负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作的是（）。A.国家网信部门B.公安机关C.国务院电信主管部门D.国家保密行政管理部门8.关键信息基础设施运营者应当建立健全网络安全保护制度，至少（）进行一次网络安全检测和风险评估。A.每月B.每季度C.每半年D.每年9.在关键信息基础设施安全保护中，（）是第一责任人，对关键信息基础设施安全负总责。A.网络安全负责人B.主要负责人C.安全管理机构D.安全管理员10.下列不属于关键信息基础设施范围的是（）。A.公共通信和信息服务B.能源C.金融D.一般性商业零售网站11.关键信息基础设施运营者设置专门安全管理机构和安全管理负责人时，该安全管理负责人和关键岗位的人员需具备相应的（）。A.学历背景B.专业技能C.安全从业资质D.工作年限12.个人通过关键信息基础设施实施非法获取、出售或者提供个人信息，违法所得（）元以上的，应当认定为“情节严重”。A.五千B.一万C.五万D.十万13.关键信息基础设施的运营者发现网络产品或服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，并告知（）。A.使用者B.销售商C.提供者D.监管部门14.国家对关键信息基础设施实行（）。A.自愿保护原则B.重点保护原则C.等级保护原则D.备案保护原则15.关键信息基础设施运营者制定的安全事件应急预案，应当定期进行演练，演练频率至少为（）。A.每月一次B.每季度一次C.每半年一次D.每年一次16.未经授权或许可，任何个人和组织不得专门从事侵入关键信息基础设施、干扰关键信息基础设施正常功能、（）的活动。A.窃取网络数据B.破坏网络服务C.修改系统配置D.监控网络流量17.关键信息基础设施运营者采购、使用的网络产品和服务符合国家标准的，在通过安全审查后，可免于再次审查的期限通常为（）。A.1年B.2年C.3年D.无固定期限，视情况而定18.（）应当依照法律、行政法规和国家有关规定，在关键信息基础设施安全保护工作中履行制定本行业、本领域关键信息基础设施安全规划、政策和标准的职责。A.公安机关B.保护工作部门C.国家网信部门D.电信主管部门19.关键信息基础设施发生重大安全事件，运营者未按规定报告的，由有关主管部门依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处（）罚款。A.一万元以上十万元以下B.十万元以上五十万元以下C.五十万元以上一百万元以下D.一百万元以上20.在风险评估中，风险值通常通过计算威胁发生的概率和资产价值的乘积得出，其公式可以表示为（）。A.RB.RC.RD.R二、多项选择题（本大题共10小题，每小题3分，共30分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填在括号内。多选、少选、错选均不得分）1.认定关键信息基础设施的主要考虑因素包括（）。A.遭受破坏后可能对国家安全、国计民生、公共利益造成的危害程度B.遭受破坏后对其他行业、领域可能造成的连锁反应C.该设施在行业、领域中的代表性D.该设施的用户规模E.该设施的市场占有率2.关键信息基础设施运营者除遵守网络安全等级保护制度外，还应当履行下列安全保护义务（）。A.设置专门安全管理机构和安全管理负责人B.对主要负责人和关键岗位人员进行安全背景审查C.定期进行网络安全检测和风险评估D.采购网络产品和服务进行网络安全审查E.数据分类、重要数据备份和加密3.下列属于关键信息基础设施安全保护条例中规定的“保护工作部门”的是（）。A.国家网信部门B.国务院电信主管（对应公共通信、信息服务）C.公安部（对应政法系统）D.中国人民银行（对应金融行业）E.国家能源局（对应能源行业）4.关键信息基础设施运营者应当按照网络安全等级保护制度的要求，保障关键信息基础设施免受干扰、破坏或者未经授权的访问，防止网络数据（）。A.泄露B.丢失C.篡改D.毁损E.非法使用5.关于关键信息基础设施的采购安全审查，下列说法正确的有（）。A.影响或可能影响国家安全的，应当通过网络安全审查B.运营者采购网络产品和服务，应当预判安全风险C.安全审查重点包括产品和服务的安全性、可控性D.安全审查仅针对国外厂商的产品E.未通过安全审查的，不得采购、使用6.关键信息基础设施运营者在数据跨境传输前，应当进行安全评估的情形包括（）。A.含有个人信息B.出售或者向他人提供个人信息C.累计向境外提供1万人以上个人信息D.累计向境外提供10万人以上个人信息E.含有重要数据7.关键信息基础设施发生重大安全事件后的应急处置措施包括（）。A.立即启动应急预案B.采取技术措施防止事态扩大C.保护现场，保留证据D.按规定程序上报E.立即向媒体公布细节8.关键信息基础设施的安全监测与预警体系应当包含（）。A.威胁情报共享B.漏洞信息通报C.攻击行为监测D.异常流量分析E.物理环境监控9.违反《关键信息基础设施安全保护条例》，法律责任的承担方式包括（）。A.责令改正B.警告C.罚款D.责令暂停相关业务E.吊销相关业务许可证10.2026年关键信息基础设施保护政策的发展趋势可能涉及（）。A.人工智能在安全防护中的应用B.量子计算对加密算法的挑战与应对C.跨境数据流动规则的细化D.供应链安全管理的深度强化E.零信任架构的全面推广三、填空题（本大题共15小题，每小题2分，共30分。请将答案填在横线上）1.关键信息基础设施安全保护条例规定，保护工作部门应当根据认定规则，负责组织认定本行业、本领域的关键信息基础设施，及时将认定结果通知____，并通报____。2.关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次____。3.国家网信部门统筹协调有关部门建立____，为关键信息基础设施安全保护提供支撑。4.关键信息基础设施的运营者因业务需要，确需向境外提供个人信息的，应当具备____条件。5.关键信息基础设施发生重大网络安全事件，运营者应当按照规定向保护工作部门、____报告。6.运营者发生合并、分立、解散等情况的，应当及时报告保护工作部门，并按照保护工作部门的要求对____进行处置。7.未经____批准，关键信息基础设施的运营者不得擅自终止运行关键信息基础设施。8.关键信息基础设施的安全检测评估报告应当留存____，以备监管部门检查。9.在重大活动期间，关键信息基础设施运营者应当加强____，并配合有关部门开展安全检查。10.关键信息基础设施运营者应当建立健全____制度，对从业人员进行网络安全教育、技术培训和技能考核。11.国家对关键信息基础设施安全保护工作实行____负责制。12.关键信息基础设施运营者采购网络产品和服务，应当按照国家有关规定与提供者签订____。13.关键信息基础设施的安全保护措施应当与关键信息基础设施____。14.关键信息基础设施运营者应当制定____，并定期进行演练。15._______负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。四、简答题（本大题共5小题，每小题10分，共50分）1.简述关键信息基础设施与一般网络信息系统在安全保护要求上的主要区别。2.根据《关键信息基础设施安全保护条例》，运营者应当履行哪些主要的安全保护义务？3.试分析关键信息基础设施供应链安全的重要性及主要风险点。4.简述关键信息基础设施安全保护中“同步规划、同步建设、同步使用”原则的具体含义及实施意义。5.关键信息基础设施运营者在发生网络安全事件时，应如何进行应急处置和报告？五、综合应用题（本大题共3小题，每小题40分，共120分）1.案例分析：某大型能源企业（属于关键信息基础设施运营者）计划对其核心生产控制系统进行升级改造，涉及采购一套新的工业控制软件。该软件由一家境外科技公司提供。在采购过程中，企业内部对于是否需要进行网络安全审查以及如何部署存在争议。同时，该企业近期发生了一起内部员工违规导出敏感生产数据的事件。（1）请分析该企业采购境外工业控制软件时，应遵循的法律程序和合规要求。（15分）（2）针对内部员工违规导出数据事件，请指出该企业在数据安全管理方面存在的漏洞，并提出整改建议。（15分）（3）若该企业因升级改造导致系统停机运行超过2小时，影响了区域供电稳定，应承担何种法律责任？请结合相关法规进行分析。（10分）2.场景分析与计算：某金融机构被认定为关键信息基础设施运营者。该机构拥有一套核心交易系统，存储了海量用户个人信息和金融交易数据。为评估风险，机构采用了风险矩阵法进行计算。已知资产价值A（分为极高、高、中、低，对应数值为10、7、4、1），威胁发生的概率P（分为极高、高、中、低，对应数值为0.9、0.6、0.3、0.1）。风险值R=（1）若核心交易系统的资产价值为“极高”，遭受DDoS攻击的概率为“高”，请计算该风险值R，并根据风险阈值（假设R≥4为高风险，2≤（2）该机构计划将部分用户交易数据上传至云端进行异地灾备。请分析在数据传输和存储过程中，针对关键信息基础设施的特殊要求，应采取哪些技术和管理措施确保数据安全？（20分）（3）简述该机构在建立网络安全监测预警机制时，应重点关注的指标和异常行为模式。（10分）3.政策论述与架构设计：随着2026年数字化转型深入，某城市智慧城市运行管理中心被列为关键信息基础设施。该中心整合了交通、医疗、应急等多领域数据。（1）请结合“三同步”原则，论述该智慧城市项目在建设周期各阶段的安全工作重点。（15分）（2）针对智慧城市中心面临的APT（高级持续性威胁）攻击风险，设计一套纵深防御体系架构，需包含物理层、网络层、应用层和数据层的关键安全组件或策略。（15分）（3）论述国家建立关键信息基础设施安全监测预警和信息通报制度的重要性，以及运营者如何配合该制度开展工作。（10分）参考答案与解析一、单项选择题1.【答案】B【解析】根据《关键信息基础设施安全保护条例》第十条，保护工作部门应当根据认定规则，负责组织认定本行业、本领域的关键信息基础设施，及时将认定结果通知运营者，并通报国家网信部门。2.【答案】A【解析】关键信息基础设施安全保护工作坚持重点保护、积极防护、动态监控、综合防控的原则。3.【答案】B【解析】该规定主要针对供应链安全，确保采购的产品和服务不包含后门或恶意代码，防止上游风险传递。4.【答案】A【解析】根据《网络安全法》第二十五条，关键信息基础设施发生重大安全事件时，运营者应向保护工作部门、公安机关和国家网信部门报告。5.【答案】B【解析】《网络安全法》第三十七条规定，关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储。6.【答案】A【解析】即“三同步”原则：安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。7.【答案】A【解析】国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。8.【答案】D【解析】《关键信息基础设施安全保护条例》第十七条规定，运营者应当每年至少进行一次网络安全检测和风险评估。9.【答案】B【解析】运营者的主要负责人是关键信息基础设施安全的第一责任人。10.【答案】D【解析】一般性商业零售网站若不属于公共通信、信息服务且破坏后不影响国家安全，通常不属于CII范围。11.【答案】C【解析】需具备国家和行业规定的安全从业资质。12.【答案】C【解析】根据相关司法解释，违法所得五万元以上的属于“情节严重”。13.【答案】C【解析】运营者发现风险时，应立即采取补救措施，并告知提供者（产品/服务提供商）。14.【答案】B【解析】国家对关键信息基础设施实行重点保护原则。15.【答案】D【解析】安全事件应急预案应当每年至少进行一次演练。16.【答案】A【解析】《网络安全法》第二十七条规定，不得从事侵入、干扰、窃取网络数据等危害CII的活动。17.【答案】B【解析】通常网络安全审查的有效期或豁免期设定为2年，具体视审查决定书而定，但行业标准中常以2年作为复评周期。18.【答案】B【解析】保护工作部门负责制定本行业、本领域的安全规划、政策和标准。19.【答案】C【解析】根据《关键信息基础设施安全保护条例》，未按规定报告且拒不改正或导致后果的，处五十万元以上一百万元以下罚款，对直接责任人处一万元以上十万元以下罚款。20.【答案】B【解析】在风险计算中，通常Risk(风险)=Probability(概率)×Impact(影响)，选项B符合此逻辑。二、多项选择题1.【答案】ABCD【解析】认定因素包括危害国家安全程度、连锁反应、行业代表性、用户规模等。市场占有率不是法定认定因素。2.【答案】ABCDE【解析】以上选项均为《网络安全法》及《关键信息基础设施安全保护条例》明确规定的运营者义务。3.【答案】BDE【解析】保护工作部门是指各行业主管部门，如电信主管部门、央行、能源局等。国家网信部门是统筹协调部门，不是单一行业的保护工作部门。4.【答案】ABCD【解析】防止数据泄露、丢失、篡改、毁损是核心目标。5.【答案】ABCE【解析】网络安全审查不仅针对国外产品，也针对可能影响国家安全的国内产品。D错误。6.【答案】DE【解析】根据《数据安全法》及CII相关规定，向境外提供重要数据或累计达到一定数量（如1万人以上）的个人信息需进行安全评估。C选项为10万人以上个人信息需通过网信部门组织的安全评估，但1万人以上个人信息需进行安全评估（可以是自评估或监管评估）。题目问的是“进行安全评估”，DE是明确触发监管评估或严格评估的典型情形。注：根据《数据出境安全评估办法》，关键信息基础设施运营者必须申报安全评估；处理100万人以上个人信息的组织必须申报安全评估。因此，只要CII运营者出境数据，就必须进行安全评估。故E正确，且对于CII运营者，A（含个人信息）若出境也需评估。但在本题中，最准确的选项是DE（特别是E）。考虑到CII运营者出境任何数据都需评估，若选项A含“出境”意图则可选，但题干仅写“含有个人信息”。依据法条，CII运营者向境外提供数据即触发评估。本题选DE最为稳妥。7.【答案】ABCD【解析】应急处置包括启动预案、技术措施、保护现场、保留证据、上报。不应立即向媒体公布细节，以免引发恐慌或被攻击者利用。8.【答案】ABCDE【解析】监测预警体系应覆盖威胁情报、漏洞、攻击、流量、物理环境等多维度。9.【答案】ABCDE【解析】法律责任包括责令改正、警告、罚款、暂停业务、吊销许可证等。10.【答案】ABCDE【解析】AI、量子、跨境数据、供应链、零信任均为2026年及未来的安全发展趋势。三、填空题1.【答案】运营者；公安机关2.【答案】网络安全检测和风险评估3.【答案】网络安全信息共享机制4.【答案】网络安全法、数据安全法等法律规定的（或：国家网信部门会同国务院有关部门规定的）5.【答案】公安机关、国家网信部门6.【答案】关键信息基础设施7.【答案】保护工作部门8.【答案】三年（注：通常检测评估报告保留期不少于3年）9.【答案】网络安全监测10.【答案】人员管理11.【答案】关键信息基础设施安全保护工作12.【答案】安全保密协议13.【答案】同步规划、同步建设、同步使用14.【答案】网络安全事件应急预案15.【答案】国家网信部门四、简答题1.【答案】主要区别包括：（1）保护等级不同：关键信息基础设施通常在网络安全等级保护三级以上，实行重点保护；一般系统通常为二级或以下。（2）保护义务不同：CII运营者除履行等级保护义务外，还需履行特别义务，如设置专门机构、人员背景审查、年度评估、采购审查、数据境内存储等。（3）监管力度不同：CII受到国家网信部门、保护工作部门、公安机关的跨部门协同监管，监管更严格、频繁。（4）后果严重性：CII遭破坏可能危害国家安全、国计民生，一般系统主要影响个体或局部运营。2.【答案】主要安全保护义务包括：（1）建立健全网络安全保护制度和责任制，落实“三同步”。（2）设置专门安全管理机构和安全管理负责人，并对负责人和关键岗位人员进行安全背景审查。（3）定期进行网络安全检测和风险评估（每年至少一次）。（4）履行网络产品和服务采购安全审查义务。（5）保障数据安全，实行数据分类、重要数据备份和加密，在境内存储个人信息和重要数据。（6）制定应急预案并定期演练。（7）发生重大安全事件时按规定报告。（8）配合公安机关、保护工作部门的监督检查和侦查。3.【答案】重要性：CII供应链复杂，上游产品或服务的漏洞、后门可能被利用，导致整个基础设施被控，影响国家安全。主要风险点：（1）产品预置后门或恶意代码。（2）开源组件中的安全漏洞。（3）供应商运维人员违规操作或权限过大。（4）供应链中断（如停止服务）导致业务连续性受损。（5）境外技术依赖带来的“卡脖子”风险或数据跨境传输风险。4.【答案】含义：关键信息基础设施的安全保护措施应当与主体工程同步规划、同步建设、同步使用。实施意义：（1）源头治理：确保安全需求在规划设计阶段即被考虑，避免事后打补丁的高成本和低效率。（2）系统融合：安全设施与业务设施深度融合，提升整体防护效能。（3）合规保障：落实法律法规要求，确保CII全生命周期安全可控。5.【答案】应急处置和报告流程：（1）立即启动应急预案，采取技术措施防止事态扩大，如断开网络连接、启用备份系统。（2）保护现场，保留日志、数据等证据，便于后续溯源。（3）组织内部力量进行应急处置，必要时联系外部专业机构支援。（4）按照规定程序，在事件发生后立即（通常1小时内）向保护工作部门、公安机关、国家网信部门报告。（5）事件处置结束后，总结经验教训，形成报告并上报，落实整改措施。五、综合应用题1.【答案】（1）法律程序和合规要求：该企业采购境外软件属于CII采购行为。根据《网络安全法》和《网络产品和服务安全审查办法》：1.必须预判安全风险，并向网络安全审查办公室申报网络安全审查。2.审查重点包括产品和服务的安全性、可控性，以及供应中断对业务连续性的影响。3.在通过审查前，不得采购、使用该软件。4.签订安全保密协议，明确安全责任。（2）数据安全漏洞及整改建议：漏洞：访问控制策略不完善，缺乏数据防泄漏（DLP）手段，员工权限过大，缺乏审计监控。整改建议：1.实施最小权限原则，收回不必要的访问权限。2.部署数据防泄漏系统，对敏感数据导出进行监控和阻断。3.加强内部人员安全背景审查和定期安全培训。4.建立详细的操作审计日志，定期分析异常行为。（3）法律责任：根据《关键信息基础设施安全保护条例》，若因管理不善导致系统停机影响区域供电，属于“导致危害网络安全等后果”。主管部门可责令改正，给予警告，并处五十万元以