2026年数据安全防护与网络安全管理试题（附答案）

2026年数据安全防护与网络安全管理试题（附答案）一、单项选择题（共20题，每题1分，每题的备选项中，只有1个最符合题意）1.根据2025年修订实施的《网络数据安全管理条例》，核心数据的存储、处理、跨境传输活动，应当由（）统筹开展常态化安全评估，评估周期最长不得超过？A.省级网信部门，6个月B.国家网信部门，12个月C.行业主管部门，6个月D.地市级网信部门，12个月2.《信息安全技术网络安全等级保护基本要求》（GB/T22239-2025，等保2.5版本）中，第四级系统对个人信息、重要数据的全生命周期加密要求覆盖的环节是？A.存储、传输B.存储、传输、使用C.收集、存储、传输、使用、共享D.收集、存储、传输、处理、共享、销毁3.2026年普遍落地的数据出境安全评估“白名单”机制中，以下哪类数据不属于可免予常规评估、直接通过备案出境的范畴？A.不涉及敏感个人信息的跨国企业内部HR常规管理数据B.经去标识化处理、无法识别特定主体且不能复原的公开数据集C.跨境贸易中必要的非敏感订单、物流基础信息D.涉及关键信息基础设施运行日志的运维数据4.零信任架构在2026年政务、金融等重点行业的部署要求中，核心原则不包含以下哪一项？A.永不信任、始终验证B.最小权限动态授权C.边界防护优先D.全链路行为持续审计5.根据《关键信息基础设施安全保护条例》配套的2026年执法指引，运营者发生关键信息基础设施中断服务超过（）小时，属于特别重大网络安全事件，需第一时间启动一级响应？A.2B.4C.6D.126.以下哪项技术不属于2026年数据安全防护领域重点推广的核心技术应用方向？A.数据沙箱与可用不可见计算B.基于大模型的异常行为UEBA分析C.静态边界防火墙规则固化D.全链路数据流转水印溯源7.个人信息处理者处理不满（）周岁未成年人个人信息的，按照2025年修订的《未成年人网络保护条例》要求，应当取得监护人的单独同意，且存储期限最长不得超过实现处理目的所必需的最短时限？A.12B.14C.16D.188.企业开展数据分类分级工作时，按照《信息安全技术数据分类分级规则》（GB/T43697-2024）要求，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据，应定级为？A.一般数据B.重要数据C.核心数据D.敏感个人信息9.2026年网络安全实战攻防演练中，针对大模型应用的常见攻击路径“提示注入+数据投毒”的核心防御措施不包括？A.部署输入输出内容过滤网关B.训练数据全流程脱敏与毒化样本检测C.开放模型训练接口的公网访问权限D.建立大模型输出结果的人工复核兜底机制10.根据《网络安全漏洞管理规定》2025年修订版，网络产品、服务提供者发现存在高危漏洞的，应当在（）小时内报送工业和信息化部网络安全威胁和漏洞信息共享平台，并同步启动修复？A.24B.48C.72D.9611.以下哪种数据销毁方式不符合2026年涉密数据、核心数据销毁的合规要求？A.采用经国家保密部门认证的消磁设备对磁性存储介质进行消磁B.对固态硬盘执行多次覆写操作后直接作为二手设备流转C.对存储介质进行物理粉碎，粉碎颗粒直径不超过1毫米D.委托具备涉密数据销毁资质的第三方机构开展销毁，留存全流程录像和销毁凭证12.数据泄露事件应急响应的“黄金1小时”处置流程中，第一优先级的动作是？A.对外发布事件公告B.切断泄露路径、控制影响范围C.开展内部责任倒查D.评估事件造成的经济损失13.根据2026年实施的《生成式人工智能服务安全基本要求》，提供生成式AI服务的提供者，对用户输入信息和使用记录的留存期限不得少于？A.3个月B.6个月C.12个月D.24个月14.企业部署数据防泄漏（DLP）系统时，以下哪类检测规则的误报率最低、防护精准度最高？A.基于关键字匹配的内容检测B.基于正则表达式的格式检测C.基于数据分类分级标签的语义检测D.基于文件后缀名的类型检测15.关键信息基础设施运营者采购网络产品和服务，与提供者签订安全保密协议的核心要求不包括？A.明确产品和服务供应的中断应急预案B.要求提供者不得设置恶意程序、后门C.约定提供者可以远程访问系统运维数据无需审批D.明确安全审查相关责任与风险承担机制16.以下哪种个人信息处理场景，不需要取得个人的单独同意？A.处理敏感个人信息用于精准营销B.向第三方公开个人信息C.为实现公共卫生事件应急处置必需处理个人信息D.将个人信息传输至境外接收方17.2026年网络安全保险的核心保障范围中，不包含以下哪项赔付责任？A.数据泄露事件产生的用户通知、信用监控成本B.企业未按要求开展等保测评产生的行政罚款C.勒索攻击导致的解密服务合理支出D.网络安全事件导致的第三方业务损失赔偿18.针对物联网设备安全，2026年强制实施的入网安全要求不包括？A.设备出厂需具备唯一身份标识B.默认口令需强制用户首次登录修改C.支持固件的安全加密更新D.强制开放设备远程调试端口便于运维19.数据安全治理体系建设中，“谁管业务、谁管数据、谁管安全”的责任落实机制，第一责任人是？A.企业网络安全部门负责人B.企业法定代表人或主要负责人C.企业IT运维部门负责人D.企业数据使用部门经办人员20.以下哪项不属于2026年常态化开展的网络安全监测预警“三同步”要求？A.同步规划安全监测能力B.同步建设安全防护措施C.同步开展违规数据爬取变现D.同步运行安全响应机制二、多项选择题（共10题，每题2分，每题的备选项中，有2个或2个以上符合题意，至少有1个错项；错选不得分，少选所选每个选项得0.5分）1.2026年数据出境的合法路径包含以下哪些？A.通过国家网信部门组织的数据出境安全评估B.经专业机构开展个人信息保护认证C.与境外接收方签订符合标准范本的出境数据处理合同D.对数据进行去标识化处理后直接通过公网传输2.等保2.5版本相比原等保2.0，新增的重点安全要求覆盖哪些领域？A.生成式人工智能应用安全B.数据安全全生命周期防护C.物联网、工业控制系统场景安全D.供应链安全与可信验证3.零信任架构落地的核心技术组件包含以下哪些？A.身份治理与访问控制（IAM）B.软件定义边界（SDP）C.微隔离技术D.持续信任评估引擎4.以下属于敏感个人信息范畴的有哪些？A.生物识别信息、医疗健康信息B.金融账户信息、行踪轨迹信息C.不满14周岁未成年人的个人信息D.个人公开的社交平台日常动态5.企业应对勒索攻击的有效防护措施包含以下哪些？A.定期开展核心数据的离线异地备份B.关闭不必要的公网端口与RDP、SSH等远程服务暴露面C.部署终端检测与响应（EDR）系统，拦截异常加密行为D.收到勒索邮件后第一时间支付赎金换取解密密钥6.数据分类分级工作的全流程包含以下哪些环节？A.数据资产梳理B.分类维度划分、级别判定C.分类分级结果审核、标识落地D.动态更新与定期复核7.关键信息基础设施运营者应当履行的安全保护义务包含以下哪些？A.明确专门安全管理机构，配备专职安全管理人员B.每年至少开展一次网络安全应急演练C.采购网络产品和服务按要求开展网络安全审查D.定期开展风险评估，评估报告报送相关主管部门8.大模型应用面临的典型安全风险包含以下哪些？A.训练数据侵权与敏感信息泄露B.生成有害、违法违规内容C.提示注入攻击导致的越权操作D.模型被滥用实施网络诈骗9.网络安全事件应急响应的核心流程包含以下哪些环节？A.事件监测与预警B.事件研判与上报C.处置与溯源D.复盘与整改优化10.以下符合2026年个人信息保护合规要求的做法有哪些？A.遵循最小必要原则收集个人信息，不超范围收集与服务无关的信息B.提供便捷的个人信息查询、更正、删除、撤回同意的渠道C.在隐私政策中使用大量专业晦涩术语，不向用户明示个人信息处理规则D.处理敏感个人信息前充分告知必要性及对个人权益的影响，取得单独同意三、判断题（共10题，每题1分，正确选√，错误选×）1.核心数据、重要数据必须在境内存储，因业务需要确需出境的，必须通过国家网信部门组织的安全评估，任何机构不得通过任何形式违规出境。（）2.等保测评结论为“基本符合”的系统，运营单位无需对不符合项进行整改即可正常运行。（）3.企业对收集的个人信息进行匿名化处理后，形成的数据集仍属于个人信息范畴，需严格遵守个人信息保护相关要求。（）4.零信任架构完全替代传统边界防护设备后，企业不需要再部署防火墙、入侵检测等基础安全设备。（）5.数据安全负责人和网络安全负责人可以由同一人担任，且需具备相应的安全管理专业能力。（）6.开展网络安全攻防演练时，攻击方可以直接对目标系统的核心业务数据进行删除、修改操作，验证防护能力。（）7.第三方服务商为企业提供云服务、运维服务时，企业不需要对其访问内部数据的权限进行管控，由服务商自行负责安全即可。（）8.针对AI生成的内容，服务提供者应当按照要求添加显式或隐式的内容标识，防止生成内容被用于违法活动。（）9.企业发生数据泄露事件后，若涉及用户个人信息不足1000条，可以不向主管部门报告，也不告知受影响用户。（）10.企业定期开展员工网络安全培训，提升全员钓鱼邮件识别、弱口令整治等安全意识，是网络安全管理的基础性工作。（）四、简答题（共3题，每题10分，共30分）1.简述2026年企业构建数据安全全生命周期防护体系的核心环节及各环节关键管控要求。2.简述关键信息基础设施运营者在供应链安全管理方面需要落实的核心措施。3.简述企业遭遇勒索病毒攻击后的标准化应急处置流程。五、案例分析题（共2题，每题20分，共40分）1.某区域商业银行2026年计划上线智能客服大模型应用，模型训练数据包含近10年的客户业务咨询记录、客户身份信息、账户交易摘要数据，对外提供智能客服服务时可直接对接客户账户查询、转账等功能接口。项目上线前，安全部门开展合规评估时发现以下问题：①训练数据未经过分类分级和脱敏处理，包含大量客户身份证号、银行卡号、交易密码留存记录；②大模型接口未做访问控制，公网用户无需身份验证即可直接调用；③未建立大模型输出内容审核机制，存在被提示注入诱导泄露客户信息、执行违规转账的风险；④客户咨询数据计划同步传输至境外合作的大模型技术服务商做模型优化，未履行任何数据出境合规程序。问题：（1）请指出该项目存在的网络安全与数据安全违规点（10分）；（2）结合2026年最新合规要求，提出针对性整改方案（10分）。2.某省级政务服务平台2026年在攻防演练中被攻击队突破，攻击路径如下：攻击队首先通过员工钓鱼邮件获取了普通政务办事人员的办公终端权限，通过终端横向移动获取了运维区堡垒机的弱口令账号，随后通过堡垒机未做权限限制的文件上传功能，上传webshell获取了核心数据库服务器权限，批量拖库涉及300万条公民个人信息的政务数据，包括身份证号、手机号、社保缴纳记录、不动产登记信息等，整个攻击过程持续8小时未被平台安全监测系统发现。经事后排查，该平台虽通过等保三级测评，但存在以下问题：①员工年度网络安全培训覆盖率仅30%，未定期开展钓鱼演练；②堡垒机存在通用弱口令，运维权限未按最小原则分配，普通办事人员账号可访问核心数据库；③安全监测规则3年未更新，未对异常数据批量下载、webshell上传等行为设置告警；④核心数据未做加密存储，数据库未配置访问审计策略；⑤数据备份策略为同机房每日备份，无离线备份机制。问题：（1）请分析该事件中平台在网络安全管理、数据安全防护方面存在的核心问题（10分）；（2）结合该事件提出体系化的整改优化措施（10分）。参考答案一、单项选择题1.B2.D3.D4.C5.A6.C7.B8.B9.C10.A11.B12.B13.B14.C15.C16.C17.B18.D19.B20.C二、多项选择题1.ABC2.ABCD3.ABCD4.ABC5.ABC6.ABCD7.ABCD8.ABCD9.ABCD10.ABD三、判断题1.√2.×3.×4.×5.√6.×7.×8.√9.×10.√四、简答题1.答：数据安全全生命周期防护体系覆盖收集、存储、传输、处理、共享、销毁6个核心环节，各环节管控要求如下：（1）数据收集环节：严格遵循最小必要、合法正当原则，明确数据收集的范围、用途，严禁超范围、过度收集数据；收集敏感个人信息、重要数据时严格履行告知同意程序，对收集来源开展合法性校验，杜绝非法渠道获取数据。（2）数据存储环节：按照数据分类分级结果落实差异化存储策略，核心数据、重要数据、敏感个人信息采用国密算法加密存储；建立数据存储冗余备份机制，核心数据落实“三地三中心”备份与定期恢复校验；明确存储介质全生命周期管理要求，严禁涉密介质违规外联。（3）数据传输环节：内部跨区域、外部跨主体传输重要数据、敏感数据采用加密传输通道，公网传输需通过VPN、专线等可信链路，严禁明文传输核心数据；对跨网数据传输配置内容审计、流量监控策略，拦截违规数据外发行为。（4）数据处理环节：落实最小权限访问控制，处理核心数据、敏感数据需经过分级审批，采用数据沙箱、隐私计算等技术实现“数据可用不可见”；对数据处理操作开展全量日志审计，定期排查异常处理行为；开展数据清洗、加工时严防数据泄露、篡改风险。（5）数据共享环节：建立数据对外共享审批机制，明确共享数据的范围、用途、安全责任，对共享接收方开展安全能力评估；共享敏感数据需采用脱敏、水印溯源等防护措施，签订数据安全协议明确接收方防护责任；严禁未经审批对外共享核心数据、重要数据。（6）数据销毁环节：建立数据销毁审批流程，根据数据级别匹配对应的销毁方式，核心数据、涉密数据采用物理粉碎、消磁等不可逆销毁方式；委托第三方销毁时需核验资质，留存全流程销毁凭证与记录，严禁未做有效处理的存储介质流入二手市场。2.答：关键信息基础设施运营者供应链安全管理需落实以下核心措施：（1）采购前安全管控：建立网络产品和服务采购安全准入机制，将安全能力、安全资质作为采购核心评审指标，采购影响或可能影响国家安全的产品和服务时，严格按照要求申报网络安全审查，严禁采购未通过安全审查的产品服务。（2）合同约束机制：与供应商签订正式安全保密协议，明确供应商不得设置后门、恶意程序，不得擅自留存、泄露、使用运营者数据的责任；明确产品和服务供应中断、出现高危漏洞时的应急响应、修复时限要求，约定安全事件发生后的责任承担与赔偿机制；明确供应商远程运维的审批、审计要求，严禁供应商无审批访问核心系统。（3）上线前安全检测：产品和服务上线前，开展源代码审计、漏洞检测、后门排查等安全验证工作，对软硬件产品开展可信验证，确保不存在恶意代码、已知高危漏洞后方可上线投入使用。（4）运行期间动态管控：建立供应商动态评估机制，定期对供应商的安全能力、服务连续性开展评估；及时跟进供应商发布的安全补丁、漏洞通报，在规定时限内完成高危漏洞修复；对供应商访问系统的操作开展全量审计，严格控制供应商账号的访问权限与有效期，临时运维账号到期立即回收。（5）供应中断应急预案：针对核心产品、核心服务制定供应链中断应急预案，提前储备替代方案，定期开展供应链中断应急演练，避免因供应商断供、服务终止导致关键业务中断。3.答：企业遭遇勒索病毒攻击后需按照以下标准化流程处置：（1）第一时间隔离止损：发现终端、服务器感染勒索病毒后，立即断开受感染设备的网络连接，避免病毒横向扩散到其他业务系统；暂时关闭存在被利用风险的公网端口、共享文件夹，控制加密范围进一步扩大，严禁重启受感染设备避免破坏解密线索。（2）事件研判上报：立即组织安全技术团队开展病毒样本分析，确定病毒变种类型、加密范围、感染路径、影响业务范围，初步评估事件等级；按照要求及时向属地网信、公安、行业主管部门上报事件情况，严禁迟报、瞒报。（3）排查溯源与风险清除：通过流量日志、终端日志排查攻击入口，封堵钓鱼邮件、弱口令、漏洞等攻击路径；对全网设备开展全面病毒查杀，清除残留的恶意程序、后门账号，确保所有感染点全部清理完毕，避免病毒二次爆发。（4）数据恢复与业务重启：优先从离线、异地备份中恢复核心业务数据，恢复前对备份数据进行病毒检测，确认无感染后逐步重启业务系统；若无有效备份，可联系公安部门、专业安全机构对接解密资源，严禁擅自向攻击者支付赎金，避免二次勒索。（5）复盘整改：业务恢复后第一时间开展事件复盘，分析防护体系存在的短板，针对性开展补丁更新、权限收敛、员工安全培训、备份机制优化等整改工作，形成事件复盘报告报送主管部门，避免同类事件再次发生。五、案例分析题1.答：（1）存在的核心违规点：①数据安全合规层面：未按照数据分类分级要求对训练数据进行分级管控，训练数据包含客户银行卡号、交易密码等敏感个人信息甚至核心金融数据，未开展脱敏处理，存在严重的数据泄露风险；将客户数据传输至境外未履行数据出境安全评估、个人信息保护认证或标准合同备案程序，违反数据出境合规要求；未建立训练数据安全管控机制，违规留存客户交易密码等不应收集的敏感信息，违反个人信息收集最小必要原则。②网络安全防护层面：大模型服务接口未落实身份验证、访问控制措施，公网可直接调用，存在被恶意调用、攻击的风险；未建立大模型输入输出内容审核机制，存在提示注入攻击漏洞，可能导致客户信息泄露、违规转账等重大资金风险；未按照生成式人工智能服务安全要求落实安全评估、内容标识、日志留存等法定责任。③个人信息保护层面：将客户咨询记录用于大模型训练未告知客户并取得相应同意，侵犯客户个人信息权益；未建立大模型服务的风险防控机制，可能导致客户财产安全、信息安全权益受损。（2）整改方案：①数据安全合规整改：第一时间对所有训练数据开展全面梳理和分类分级，删除违规留存的客户交易密码等非必要数据，对身份证号、银行卡号、交易信息等敏感个人信息采用国密算法脱敏处理，实现训练数据的去标识化、匿名化；严格履行数据出境合规程序，若确需向境外服务商传输数据，根据数据量级申报数据出境安全评估或完成标准合同备案，落实数据出境安全防护措施，严禁未履行程序违规出境。②网络安全防护整改：在大模型接口部署身份认证、访问控制策略，仅允许经过身份验证的行内客户、客服人员访问接口，全面关闭公网无权限访问通道；部署大模型安全网关，建立输入提示词检测、输出内容审核机制，拦截提示注入攻击和违规信息输出，对涉及转账、账户信息查询等高危操作设置二次身份验证和人工复核流程；按照等保2.5、生成式AI安全要求落实安全防护措施，对大模型服务开展安全评估，建立全流程操作日志审计机制，日志留存不少于6个月。③个人信息保护整改：修订隐私政策，明确告知客户将咨询记录用于智能客服模型训练的用途、范围，为客户提供拒绝将其个人信息用于模型训练的便捷渠道；建立大模型服务常态化安全监测机制，定期开展漏洞排查、攻防演练，及时发现处置安全风险，保障客户信息和资金安全。2.答：（1）存在的核心问题：①网络安全管理体系缺位：人员安全意识培训不到位，培训覆盖率不足，未定期开展钓鱼邮件演练，导致员工成为攻击突破口；安全责任未落实，运维账号权限管理混乱，未遵循最小权限原则，普通人员账号可访问核心数据库；安全运营能力不足，监测规则长期未更新，无法及时发现webshell上传、批量数据拖库等异常行为，攻击过程持续8小时未被发现。②技术防护体系存在短板：边界防护、终端防护能力不足，未对堡垒机等核心运维系统做访问控制，存在通用弱口令等低级漏洞，导致攻击者可轻易横向移动获取核心权限；核心数据未按要求加密存储，数据库未配置访问审计策略，无法对异常访问、批量下载行为进行告警和溯源；数据备份