2026年网络安全基础治理能力测试题及答案

2026年网络安全基础治理能力测试题及答案一、单项选择题（共15题，每题2分，共30分）1.依据《网络数据安全管理条例》（2025年修订版），处理多少人以上个人信息的数据处理者应当每年开展一次数据安全风险评估，并向设区的市级以上网信部门报送评估报告？（）A.10万B.50万C.100万D.200万答案：C。解析：《网络数据安全管理条例》（2025年修订版）第二十七条明确规定，处理100万人以上个人信息的数据处理者应当每年开展一次数据安全风险评估，评估报告需留存3年以上，并报送属地网信部门。2.2026年全国网络安全基础治理的核心考核指标中，地市级公共互联网IPv6流量占比需达到多少以上？（）A.60%B.75%C.85%D.95%答案：B。解析：根据《IPv6规模部署和应用2026年工作安排》要求，2026年底地市级及以上公共互联网IPv6流量占比需达到75%，县级行政区占比不低于65%，固定网络终端IPv6地址获取率达到90%以上。3.关键信息基础设施运营者（CIIO）应当在发生重大网络安全事件后多长时间内向行业主管部门和属地网信部门进行首次报告？（）A.10分钟B.30分钟C.1小时D.2小时答案：A。解析：依据《关键信息基础设施安全保护条例实施细则（2025年版）》，CIIO发生重大及以上网络安全事件时，应当在10分钟内通过网络安全事件应急指挥平台进行首次快报，后续每30分钟报送一次事件进展，处置完成后7个工作日内提交完整复盘报告。4.下列哪项不属于2026年网络安全基础治理要求的“三化六防”中“六防”的核心范畴？（）A.防攻击B.防泄露C.防垄断D.防瘫痪答案：C。解析：“三化六防”体系中“三化”指实战化、体系化、常态化，“六防”指防攻击、防泄露、防窃取、防篡改、防瘫痪、防劫持，防垄断属于市场监管领域范畴，不属于网络安全技术防护要求。5.依据GB/T22239-2025《信息安全技术网络安全等级保护基本要求》，等保2.0三级系统的入侵检测能力要求不包括以下哪项？（）A.检测网络攻击行为并告警B.对攻击源IP进行自动永久封禁C.定期更新入侵检测规则库D.对异常流量进行溯源分析答案：B。解析：等保三级要求入侵检测系统能够检测攻击行为并告警、定期更新规则库、支持异常流量溯源，但自动永久封禁IP存在业务误拦截风险，要求支持按需临时封禁并经人工审核后执行长期封禁策略，不允许系统自动执行永久封禁操作。6.2026年国家网络安全威胁监测预警体系中，橙色预警对应的安全威胁等级为？（）A.一级（特别重大）B.二级（重大）C.三级（较大）D.四级（一般）答案：B。解析：网络安全威胁预警等级从高到低分为红色（一级，特别重大）、橙色（二级，重大）、黄色（三级，较大）、蓝色（四级，一般），橙色预警发布后，相关单位需启动二级应急响应，2小时内完成重点系统隐患排查。7.个人信息处理者处理不满多少周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意？（）A.12B.14C.16D.18答案：B。解析：《个人信息保护法》第二十八条明确规定，处理不满14周岁未成年人个人信息属于敏感个人信息处理行为，必须取得监护人的明示同意，且需制定专门的个人信息处理规则。8.下列哪种漏洞属于2026年网络安全漏洞分类中的“高危零日漏洞”？（）A.公开披露超过90天但未修复、CVSS评分≥7.0的漏洞B.未公开披露、无官方补丁、CVSS评分≥9.0的漏洞C.已公开披露、存在利用代码、CVSS评分≥8.0的漏洞D.已发布补丁但未修复、CVSS评分≥6.0的漏洞答案：B。解析：根据《网络安全漏洞管理规定（2025修订版）》，零日漏洞指未被软件厂商知晓、未公开披露、无官方修复补丁的漏洞，其中CVSS评分≥9.0的零日漏洞被定级为高危零日漏洞，需在发现后24小时内向国家网络与信息安全信息通报中心报送。9.企业网络安全基础治理中，口令管理要求不包括以下哪项？（）A.核心系统管理员口令长度不低于12位，包含大小写字母、数字、特殊字符B.普通员工账号口令每90天更换一次，最近5次口令不得重复C.所有系统必须开启双因子认证D.禁止明文存储口令，口令需采用SM3或以上强度哈希算法加盐存储答案：C。解析：2026年网络安全基础治理要求核心业务系统、远程访问系统、管理员账号必须开启双因子认证，普通内部办公非涉密系统可根据业务场景选择适配的身份认证方式，不强制所有系统开启双因子认证。10.依据《工业互联网安全分类分级管理指南（2026版）》，联网工业企业中达到第三级（较高风险）的企业，应当每多久开展一次全面的工业互联网安全评估？（）A.每半年B.每年C.每两年D.每三年答案：A。解析：工业互联网企业安全等级从低到高分为一级（低风险）、二级（一般风险）、三级（较高风险）、四级（极高风险），其中三级企业每半年开展一次全面安全评估，四级企业每季度开展一次评估，二级企业每年开展一次，一级企业每两年开展一次。11.数据出境安全评估中，处理多少个人信息的处理者向境外提供个人信息必须通过国家网信部门组织的安全评估？（）A.累计向境外提供10万人个人信息B.累计向境外提供50万人个人信息C.累计向境外提供100万人个人信息D.累计向境外提供200万人个人信息答案：C。解析：《数据出境安全评估办法》规定，处理100万人以上个人信息的处理者向境外提供个人信息，或累计向境外提供10万人个人信息、1万人敏感个人信息的，必须申报数据出境安全评估。12.下列哪项不属于网络安全应急预案必须包含的核心内容？（）A.应急响应组织架构和职责分工B.不同等级事件的处置流程和响应时限C.应急技术支撑团队的人员薪酬标准D.事后复盘和整改提升机制答案：C。解析：应急预案核心内容包括组织架构、事件分级、处置流程、保障措施、复盘机制等，人员薪酬属于企业内部人力资源管理范畴，不属于应急预案必备内容。13.2026年反电信网络诈骗治理要求中，互联网服务提供者应当对涉案电话号码关联的互联网账号采取的处置措施不包括？（）A.对涉诈账号立即采取限制功能、暂停服务措施B.建立涉诈账号关联主体黑名单，限制其5年内办理新的互联网账号C.将涉诈线索及时推送公安机关D.对所有用户的聊天内容进行全量人工审核答案：D。解析：互联网服务提供者需对涉诈账号采取分级处置、黑名单管理、线索推送等措施，但全量人工审核聊天内容不符合个人信息保护要求，应当通过算法识别+重点审核的方式开展涉诈内容治理，不得无差别全量人工审核用户通信内容。14.网络安全等级保护工作中，第三级以上网络的运营者应当每年至少开展几次等级保护测评？（）A.1次B.2次C.3次D.4次答案：A。解析：《网络安全等级保护条例》规定，第三级网络每年至少开展1次等级保护测评，第四级网络每半年至少开展1次测评，第五级网络按照国家专门要求开展测评。15.下列关于开源软件安全治理的要求，表述错误的是？（）A.企业应当建立开源软件资产台账，明确开源组件、版本、许可证信息B.上线前需对开源软件进行漏洞检测，禁止使用存在高危未修复漏洞的开源组件C.开源软件可以直接引入生产环境，无需经过安全审核D.应当跟踪开源组件官方漏洞通告，及时修复存在的安全隐患答案：C。解析：2026年网络安全供应链治理要求明确规定，所有引入生产环境的开源软件必须经过安全审核、漏洞检测、许可证合规性校验，建立全生命周期的开源组件管理台账，禁止未经审核直接引入开源组件。二、多项选择题（共10题，每题3分，共30分，多选、少选、错选均不得分）1.2026年网络安全基础治理“三清三关”专项行动中，“三清”指的是？（）A.清资产：梳理全量网络资产、数据资产、供应链资产台账B.清漏洞：完成高危及以上漏洞的闭环修复C.清后门：清除恶意程序、隐蔽账号、非法接入通道D.清人员：清退所有外包网络安全运维人员答案：ABC。解析：“三清三关”专项行动中“三清”指清资产、清漏洞、清后门，“三关”指关闭不必要的端口和服务、关闭不必要的公网访问权限、关闭弱口令和默认账号，外包人员经合规备案后可参与运维工作，不属于清退范畴。2.关键信息基础设施安全保护要求中，运营者应当落实的主体责任包括？（）A.建立健全网络安全管理制度和责任制B.保障网络安全资金投入，投入占信息化投入比例不低于10%C.每年至少开展1次实战化网络安全应急演练D.对重要系统和数据进行容灾备份答案：ABCD。解析：依据《关键信息基础设施安全保护条例》，CIIO需落实管理责任制、保障安全投入（其中安全投入占信息化投入比例不低于10%为2026年硬性考核指标）、定期开展应急演练、落实数据容灾备份等主体责任。3.下列属于敏感个人信息的有？（）A.生物识别信息（人脸、指纹、声纹）B.医疗健康信息、金融账户信息C.行踪轨迹信息D.个人姓名、公开的工作单位信息答案：ABC。解析：敏感个人信息指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息，公开的工作单位和姓名属于一般个人信息。4.网络安全事件处置的核心流程包括？（）A.监测预警：实时监测安全威胁，及时发布预警信息B.应急响应：接报事件后快速启动响应，开展止损处置C.溯源分析：定位攻击源、攻击路径、影响范围D.整改恢复：修复系统漏洞、恢复业务运行、完善防护措施答案：ABCD。解析：网络安全事件全生命周期处置流程包括监测预警、接报研判、应急响应、溯源分析、整改恢复、复盘总结六个核心环节，四个选项均为核心流程内容。5.2026年供应链安全治理要求中，企业应当对供应商开展的安全管理措施包括？（）A.采购前对供应商开展网络安全资质审核B.合同中明确供应商的网络安全责任和违约条款C.定期对供应商提供的产品和服务开展安全检测D.要求供应商对其提供的产品存在的漏洞及时修复答案：ABCD。解析：网络安全供应链管理要求覆盖采购前审核、合同约定、上线检测、运行期维护全流程，四个选项均为必备管理措施。6.下列关于数据分类分级保护的表述，正确的有？（）A.数据分为一般数据、重要数据、核心数据三级B.核心数据实行最严格的保护措施，原则上不得向境外提供C.重要数据处理者应当明确数据安全负责人和管理机构D.一般数据无需采取任何保护措施答案：ABC。解析：我国数据分类分级制度将数据分为一般数据、重要数据、核心数据三个等级，核心数据实行最高等级保护，重要数据处理者需落实专门管理责任，一般数据需采取基本的安全保护措施，并非无需保护。7.下列属于常见的网络攻击手段的有？（）A.钓鱼邮件攻击B.勒索病毒攻击C.分布式拒绝服务（DDoS）攻击D.SQL注入攻击答案：ABCD。解析：钓鱼邮件属于社会工程学攻击手段，勒索病毒属于恶意代码攻击，DDoS属于拒绝服务攻击，SQL注入属于应用层攻击，均为当前高发的网络攻击类型。8.企业网络安全培训工作要求包括？（）A.新员工入职必须开展网络安全培训并考核合格B.全体员工每年至少开展1次网络安全通识培训C.技术岗位人员每半年开展1次专业安全技能培训D.培训内容无需结合最新威胁动态，固定使用3年前的课件即可答案：ABC。解析：网络安全培训需覆盖新员工入职培训、全员通识培训、技术人员专项培训，培训内容应当及时更新，结合最新的威胁态势、攻击案例、制度要求，不得使用长期未更新的陈旧课件。9.下列哪些行为属于违反网络安全法律法规的行为？（）A.未经用户同意收集个人位置信息B.未履行网络安全等级保护义务，系统存在高危漏洞导致数据泄露C.为电信网络诈骗活动提供互联网接入支持D.按照规定留存网络日志不少于6个月答案：ABC。解析：依据《网络安全法》要求，网络日志需留存不少于6个月，D选项属于合规行为；未经同意收集个人信息、未落实等保义务导致泄露、为诈骗提供支持均属于违法行为，需承担相应法律责任。10.2026年智能家居网络安全治理要求包括？（）A.智能家居设备不得设置默认弱口令，首次使用必须强制修改初始密码B.设备采集的用户音视频数据不得未经同意上传云端C.设备应当支持持续的固件安全更新，更新机制需经过安全校验D.允许厂商随意获取用户家庭网络中其他设备的通信数据答案：ABC。解析：智能家居设备安全要求禁止默认弱口令、规范用户数据收集、支持安全固件更新，不得随意收集用户家庭网络中其他设备的非必要数据，D选项属于违规收集数据行为，不符合治理要求。三、判断题（共10题，每题1分，共10分）1.网络运营者可以根据业务需要随意收集用户个人信息，无需告知用户收集使用规则。（）答案：×。解析：依据《个人信息保护法》，个人信息处理必须遵循合法、正当、必要、诚信原则，明确告知用户信息收集使用规则并取得同意，不得超范围收集个人信息。2.发生网络安全事件后，运营者应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告，不得迟报、瞒报、漏报。（）答案：√。3.企业为了提高运维效率，可以将所有服务器的远程访问端口直接开放在公网上，无需设置访问控制策略。（）答案：×。解析：远程管理端口原则上不得直接开放在公网，确需开放的应当设置IP白名单、开启双因子认证、配置访问审计策略，避免被攻击者暴力破解。4.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。（）答案：√。5.弱口令是导致企业网络被入侵的最常见原因之一，常见弱口令包括123456、admin、生日、手机号等。（）答案：√。据国家网络与信息安全信息通报中心统计，2025年处置的网络入侵事件中，42%的事件是由于弱口令被暴力破解导致的。6.企业可以将收集到的用户个人信息随意出售给第三方营销机构，获取收益。（）答案：×。解析：未经用户单独同意，个人信息处理者不得向第三方提供、出售用户个人信息，违规行为将面临最高5000万元或上一年度营业额5%的罚款。7.网络安全防护是技术部门的工作，和其他业务部门、普通员工没有关系。（）答案：×。解析：网络安全是全员责任，业务部门需落实本业务条线的安全管理要求，普通员工需遵守安全管理制度，防范钓鱼邮件、弱口令等风险，形成全员防护体系。8.备份数据应当和生产系统存储在同一机房同一存储设备中，方便需要时快速恢复。（）答案：×。解析：重要数据备份应当遵循“3-2-1”备份原则，即3份数据副本、2种存储介质、1份异地离线备份，避免机房故障、勒索病毒攻击导致备份和生产数据同时损坏。9.安装杀毒软件后就可以完全抵御所有网络攻击，无需再采取其他防护措施。（）答案：×。解析：杀毒软件只能防范已知恶意程序，无法防御零日漏洞攻击、社会工程学攻击、配置错误导致的安全风险，需构建纵深防御体系。10.任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。（）答案：√。四、简答题（共2题，每题15分，共30分）1.请结合2026年网络安全基础治理要求，简述地市级政务服务系统应当落实的核心网络安全防护措施。参考答案：（1）落实等级保护制度：政务服务系统属于重要信息系统，应当定级为等保三级，每年开展1次等级保护测评，落实物理安全、网络安全、主机安全、应用安全、数据安全、管理安全六个层面的等保基本要求（3分）。（2）数据安全保护：建立政务数据分类分级台账，对身份证号、手机号、房产信息、社保信息等敏感个人信息和重要政务数据采取加密存储、访问控制、数据脱敏、操作审计等防护措施，数据出境必须经过安全评估，政务数据共享需严格审批流程（3分）。（3）实战化防护能力：部署防火墙、入侵检测/防御系统、Web应用防火墙、抗DDoS设备、终端安全管理系统、日志审计系统、态势感知平台，实现对网络攻击的实时监测、告警、处置，重点防御SQL注入、跨站脚本、勒索病毒、钓鱼邮件等常见攻击（3分）。（4）应急响应能力：制定完善的网络安全应急预案，明确事件分级、处置流程、责任分工，每半年开展1次实战化应急演练，建立7×24小时安全值班制度，发生重大事件10分钟内上报属地网信部门，定期开展数据备份和恢复演练，核心业务RTO（恢复时间目标）不超过4小时，RPO（恢复点目标）不超过30分钟（3分）。（5）供应链和人员管理：采购的网络产品和服务需符合国家网络安全标准，关键产品需通过安全认证，定期对供应商开展安全评估；建立全员网络安全培训制度，技术人员具备相应的安全运维能力，管理人员明确安全责任，运维账号实行最小权限原则，开启双因子认证，每季度开展弱口令排查、漏洞扫描，高危漏洞72小时内完成修复（3分）。2.请简述企业如何构建全流程的网络数据泄露防护体系，满足2026年数据安