2026年网络与数据安全培训考核题（附答案）

2026年网络与数据安全培训考核题（附答案）一、单项选择题（共20题，每题2分，合计40分）1.根据2025年1月正式实施的《网络数据安全管理条例》，核心数据的认定主体是（）A.县级以上网信部门B.设区的市级以上网信部门C.省级以上网信部门会同有关行业主管部门D.国家网信部门会同国务院有关部门2.处理1000万人以上个人信息的数据处理者，应当（）开展一次个人信息保护影响评估并留存评估报告，且留存期限不少于三年。A.每6个月B.每12个月C.每18个月D.每24个月3.按照《生成式人工智能服务管理暂行办法》（2025修订版）要求，生成式AI服务提供者对训练数据来源合法性审核的留存日志保存期限不得少于（）A.1年B.2年C.3年D.5年4.某单位开展数据分类分级工作，下列不属于敏感个人信息的是（）A.员工的医疗健康记录B.用户的金融账户交易明细C.公开可查的企业法定代表人姓名D.不满14周岁未成年人的行踪轨迹5.等保2.0三级系统要求的入侵检测措施部署位置是（）A.仅核心交换机端口B.互联网出口、核心服务区边界、重要终端区域C.仅服务器区前端D.仅办公网出口6.数据出境安全评估中，数据处理者向境外提供重要数据的，应当向（）申报安全评估。A.所在地县级网信部门B.所在地设区市级网信部门C.所在地省级网信部门D.国家网信部门7.企业员工日常办公时，下列密码设置符合安全规范的是（）A.使用企业简称+出生年月（如XXgs199001）B.使用连续字符+特殊符号组合（如Qaz!2wsx@3edc）C.所有系统统一使用同一密码，降低记忆成本D.使用个人身份证号后6位8.钓鱼邮件的典型识别特征不包括（）A.发件人地址为企业官方域名后缀B.邮件内容包含诱导点击的未知链接，要求输入账号密码C.附件为后缀名.exe、.scr的可执行文件，且文件名伪装成“工资条”“考核通知”D.邮件语气紧迫，要求“1小时内完成操作否则冻结账户”9.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者（CIIO）应当（）至少开展一次网络安全应急演练。A.每季度B.每半年C.每年D.每两年10.以下属于数据泄露事件的是（）A.经审批后，合规向合作方提供脱敏后的用户消费数据用于行业分析B.内部运维人员私自将未脱敏的20万条客户手机号、住址信息拷贝至个人U盘C.公开发布经去标识化处理、无法复原到特定个人的统计数据D.按照监管部门要求，报送业务经营相关数据11.零信任架构的核心安全理念是（）A.网络边界内的所有访问默认可信B.持续验证，永不信任，最小权限C.只需要对外部访问者做身份认证D.依靠防火墙即可实现全场景安全防护12.企业在收集用户个人信息时，下列做法符合《个人信息保护法》要求的是（）A.强制要求用户授权通讯录权限才能使用基础浏览功能B.以默认勾选同意的方式获取用户个人信息处理授权C.公开个人信息处理规则，明示处理目的、方式和范围D.收集与提供服务无关的用户社交关系信息用于精准营销13.下列关于数据脱敏的说法，错误的是（）A.静态脱敏适用于数据外发、测试环境数据供给等场景B.动态脱敏适用于生产环境运维、业务系统数据访问场景C.替换、屏蔽、扰乱、泛化是常用的脱敏手段D.只要对手机号做中间四位打码处理，就属于不可复原的严格脱敏，适用于所有外发场景14.企业发生个人信息泄露事件，应当立即采取处置措施，并按照规定及时告知（）和受影响的个人。A.公安机关、网信部门B.所有合作企业C.企业全体员工D.行业协会15.下列移动存储介质使用行为符合安全规范的是（）A.将私人U盘接入单位涉密服务器拷贝数据B.单位配发的专用加密U盘仅在单位内部合规终端使用，不接入公共网络设备C.临时借用外来人员的U盘拷贝单位内部未公开的项目资料D.废弃存储敏感数据的硬盘直接卖给废品回收站16.按照等保测评要求，第三级网络安全等级保护对象应当（）开展一次等级测评。A.每半年B.每年C.每两年D.每三年17.下列关于APT攻击的描述，正确的是（）A.APT攻击是无差别广撒网的普通病毒攻击，攻击目标不固定B.APT攻击通常具有长期潜伏、针对性强、攻击手段复杂的特点，多瞄准高价值目标C.安装普通杀毒软件即可完全防御APT攻击D.APT攻击只会攻击政府部门，不会对普通企业造成影响18.员工在办公过程中遇到陌生自称“上级单位监管人员”的电话，要求立即提供单位核心业务数据、系统账号密码，正确的做法是（）A.按照对方要求立刻提供相关资料B.通过单位内部正式流程核验对方身份，确认审批手续齐全后再按规提供C.添加对方私人微信，将数据直接发送到微信D.让对方直接找前台要资料19.数据安全生命周期管理的环节顺序正确的是（）A.采集、存储、传输、处理、交换、销毁B.存储、采集、传输、交换、处理、销毁C.采集、传输、存储、交换、处理、销毁D.传输、采集、存储、处理、销毁、交换20.生成式AI工具在企业内部使用时，下列行为合规的是（）A.将未公开的核心技术方案、客户敏感信息输入公域AI工具生成文案B.使用经单位审批通过的私有化部署AI工具，输入非敏感办公资料辅助完成工作C.将标注“内部涉密”的项目评审报告输入公共大模型进行润色D.用公域AI工具生成涉企业敏感信息的宣传稿后直接发布二、多项选择题（共10题，每题3分，合计30分，多选、少选、错选均不得分）1.个人信息处理者处理个人信息时，应当遵循的原则包括（）A.合法、正当、必要、诚信原则B.目的明确、最小必要原则C.公开透明原则D.权责一致原则2.日常办公中存在数据安全风险的行为有（）A.将含敏感信息的文件通过个人微信、QQ传输B.离开工位时不锁定电脑屏幕，文件随意摊放在桌面C.及时更新操作系统、办公软件的安全补丁D.把系统账号密码写在便签上贴在显示器边框上3.下列属于网络与数据安全“三同步”要求的是（）A.同步规划B.同步建设C.同步使用D.同步报废4.企业数据分类分级工作中，按照数据遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全、公共利益、个人或组织合法权益造成的危害程度，数据一般分为（）A.核心数据B.重要数据C.一般数据D.公开数据5.下列关于勒索病毒的防范措施，说法正确的有（）A.定期对重要数据进行离线备份，做好备份介质的隔离存储B.不打开来历不明的邮件附件，不访问非正规网站C.关闭不必要的端口和共享权限，及时修复系统漏洞D.安装终端安全防护软件并保持病毒库更新6.个人在个人信息处理活动中享有的权利包括（）A.知情、决定权B.查阅、复制、转移权C.更正、补充、删除权D.要求解释说明个人信息处理规则的权利7.数据出境的合规路径包括（）A.通过国家网信部门组织的数据出境安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.直接将数据传输至境外合作方服务器无需履行任何手续8.企业开展网络安全应急演练的核心目的包括（）A.检验应急预案的实用性和可操作性B.提升应急处置队伍的响应能力和协同水平C.发现现有安全防护体系的短板和漏洞D.完成考核任务即可，不需要落地整改发现的问题9.下列属于网络安全等级保护2.0规定的安全要求维度的有（）A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心10.针对员工账号安全的管理要求，下列说法正确的有（）A.禁止账号共用、转借，落实“一人一账号”管理要求B.对核心系统账号开启双因素认证（密码+短信/令牌/生物特征）C.员工离职、岗位调整时，及时回收、调整对应系统的账号权限D.临时开通的外部访问账号，设置最长访问有效期，到期自动回收权限三、判断题（共10题，每题1分，合计10分）1.数据处理者委托第三方处理数据的，不需要对第三方的数据处理活动进行监督，所有安全责任由第三方自行承担。（）2.只要经过去标识化处理的数据，就可以随意对外提供，不需要履行任何审批手续。（）3.关键信息基础设施发生网络安全事件，运营者应当按照网络安全事件应急预案及时处置，并按照规定向有关主管部门报告。（）4.为了工作方便，可以将单位内部办公系统的账号密码告知合作方人员，让其自行登录查询资料。（）5.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。（）6.公共场合连接未加密的免费Wi-Fi时，可以放心登录手机银行、企业办公系统进行操作，不存在安全风险。（）7.个人信息处理者可以在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，但是个人明确拒绝的除外。（）8.企业内部的安全漏洞扫描工作会影响业务运行，因此每3年开展一次即可。（）9.销毁存储敏感数据的介质时，应当采用消磁、物理粉碎等不可逆方式，确保数据无法被恢复。（）10.发现个人信息被违规处理时，个人只有向法院起诉这一种维权渠道。（）四、简答题（共2题，每题10分，合计20分）1.结合2026年企业网络与数据安全防护实际，简述员工日常办公过程中需要落实的核心数据安全行为规范。2.简述当企业发生疑似数据泄露事件时，现场第一发现人应当采取的应急处置步骤。以下为参考答案一、单项选择题答案1.D解析：根据《网络数据安全管理条例》第十九条规定，核心数据由国家网信部门会同国务院有关部门统筹组织各地区、各部门按照数据分类分级保护制度认定，省级网信部门负责会同行业主管部门认定本行政区域内的重要数据。2.B解析：《个人信息保护法》第五十五条、五十六条及2025年配套实施细则明确，处理超过1000万个人信息的处理者，应当每年至少开展一次个人信息保护影响评估，评估报告及处理记录留存期限不少于3年。3.C解析：2025年修订的《生成式人工智能服务管理暂行办法》第十二条规定，生成式AI服务提供者应当对训练数据来源合法性审核记录、生成日志、用户投诉记录留存不少于3年。4.C解析：根据《个人信息保护法》第二十八条，敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；企业法定代表人的公开登记信息属于依法公开的非敏感信息。5.B解析：等保2.0三级系统入侵检测要求为：在互联网边界、核心业务区边界、重要终端部署区域部署入侵检测/防御系统，对网络攻击行为、异常流量进行实时监测和告警。6.D解析：《数据出境安全评估办法》第四条明确，数据处理者向境外提供重要数据、关键信息基础设施运营者和处理100万人以上个人信息的处理者向境外提供个人信息等情形，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。7.B解析：安全密码应当满足8位以上长度，包含大小写字母、数字、特殊符号组合，避免使用连续字符、个人相关信息，且不同系统应当设置独立密码，定期更换。8.A解析：正规企业官方邮件发件人应为企业备案域名后缀，伪造发件人域名、诱导点击未知链接、携带恶意可执行附件、制造紧迫感胁迫操作均是钓鱼邮件的典型特征。9.C解析：《关键信息基础设施安全保护条例》第二十四条规定，运营者应当每年至少开展一次网络安全应急演练，并定期对从业人员进行网络安全教育、技术培训和技能考核。10.B解析：数据泄露是指未经授权的数据获取、拷贝、传输行为，经合规审批的数据报送、脱敏数据使用、公开统计数据发布均属于合规数据处理行为。11.B解析：零信任架构打破传统边界信任模型，核心逻辑是“永不信任、持续验证、最小权限”，对每一次访问请求都进行身份、环境、权限的动态校验，不默认任何网络区域内的访问为可信访问。12.C解析：《个人信息保护法》明确要求，个人信息处理者不得以个人不同意处理非必要信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息应当取得个人单独、明确的同意，禁止默认勾选、强制授权、超范围收集。13.D解析：仅对手机号中间四位打码属于轻度脱敏，如果结合其他关联数据（如姓名、消费记录、地理位置）仍有可能复原到特定个人，针对重要数据外发场景，需采用不可逆的去标识化、匿名化脱敏手段，且需经过脱敏效果验证。14.A解析：《个人信息保护法》第五十七条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门（网信、公安等）和个人。15.B解析：单位加密存储介质应当专盘专用，禁止接入无安全防护的公共设备、私人设备；存储敏感数据的废弃介质应当进行不可逆销毁，禁止随意售卖、丢弃。16.B解析：《网络安全等级保护条例》规定，第三级以上网络的运营者应当每年至少开展一次等级测评，第二级网络应当每两年开展一次等级测评。17.B解析：APT攻击即高级可持续威胁攻击，具有攻击目标明确、潜伏周期长、攻击手段复合、危害程度高的特点，攻击对象涵盖政府、大型企业、关键基础设施等所有高价值数据持有主体，普通终端杀毒软件无法实现完全防御，需结合威胁情报、流量监测、零信任架构等多层防护体系。18.B解析：针对索要敏感数据、系统权限的陌生请求，必须通过单位内部正式沟通渠道核验对方身份，确认对应审批流程完整后，严格按照数据提供的最小必要原则执行，禁止通过私人社交渠道传输内部敏感数据。19.A解析：数据安全生命周期覆盖从数据产生到销毁的全流程，依次为数据采集、数据存储、数据传输、数据处理、数据交换共享、数据销毁六个核心环节，全流程需落实对应安全管控措施。20.B解析：公域生成式AI工具的输入数据会进入服务提供者的训练数据集，存在敏感信息泄露风险，企业内部使用AI工具应当选用经安全评估、私有化部署的合规版本，禁止向公域AI工具输入核心数据、涉密信息、客户敏感信息。二、多项选择题答案1.ABCD解析：《个人信息保护法》第五条至第九条明确，个人信息处理应当遵循合法正当诚信、目的明确最小必要、公开透明、权责一致、质量保障等原则。2.ABD解析：通过私人社交软件传输敏感信息、离开工位不锁屏、账号密码明文张贴均属于高风险行为，及时更新安全补丁是合规安全行为。3.ABC解析：网络安全“三同步”是指网络设施、信息系统建设应当与安全保护措施同步规划、同步建设、同步使用。4.ABC解析：根据《网络数据安全管理条例》，数据按照危害程度分为核心数据、重要数据、一般数据三级，公开数据属于按公开属性划分的类别，不属于分级维度的法定分类。5.ABCD解析：勒索病毒防范需构建“备份+防护+监测+响应”体系，定期离线备份、终端防护、漏洞修复、恶意内容拦截均是核心防范措施。6.ABCD解析：《个人信息保护法》第四章明确，个人在个人信息处理活动中享有知情决定、查阅复制、更正补充、删除、转移、要求解释规则等法定权利。7.ABC解析：当前我国数据出境的三大合规路径为数据出境安全评估、个人信息保护认证、标准合同备案，所有数据出境行为均需履行对应合规手续，禁止擅自向境外传输数据。8.ABC解析：应急演练的核心目标是检验预案、锻炼队伍、排查风险，演练后需针对发现的问题制定整改清单，限期闭环整改，避免“演而不改”。9.ABCDE解析：等保2.0技术要求包含安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个维度，同时配套安全管理机构、人员、建设、运维等管理要求。10.ABCD解析：账号安全管理需落实一人一账号、最小权限、双因素认证、全生命周期管理要求，人员变动及时调整权限，临时账号设置有效期自动回收，禁止账号共用转借。三、判断题答案1.×解析：《数据安全法》第二十九条明确，开展数据处理活动委托第三方的，应当与第三方约定数据保护责任义务，对第三方的数据处理活动进行监督，委托方承担数据安全的主体责任。2.×解析：去标识化数据仍属于可通过技术手段结合其他数据复原到特定个人的数据，不属于完全匿名化数据，对外提供仍需履行审批、合规评估手续。3.√解析：《关键信息基础设施安全保护条例》第十八条规定，运营者应当建立健全网络安全事件应急预案，定期开展演练，发生事件后及时处置并向主管部门报告。4.×解析：企业系统账号实行实名制管理，禁止转借共用，外部人员需要访问系统的，应当单独开通临时权限，明确访问范围和有效期。5.√解析：《数据安全法》第二十七条规定，重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。6.×解析：未加密的公共免费Wi-Fi存在流量监听、钓鱼热点等风险，接入后禁止登录敏感系统、进行资金交易操作，防止账号、数据被窃取。7.√解析：《个人信息保护法》第二十七条规定，个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。处理已公开的个人信息对个人权益有重大影响的，应当依法取得个人同意。8.×解析：企业应当至少每季度开展一次漏洞扫描，高危漏洞应当在发现后24小时内启动修复，重大节假日前、重要活动保障期应当加频开展漏洞排查。9.√解析：存储核心数据、重要数据、敏感个人信息的存储介质废弃时，应当采用消磁、物理粉碎等不可逆方式销毁，建立销毁台账，禁止采用格式化、删除文件等可恢复方式处理。10.×解析：个人发现个人信息被违规处理的，可以向网信、公安、市场监管等部门投诉举报，也可以向人民法院提起诉讼，存在多元维权渠道。四、简答题答案1.员工日常办公需落实的核心数据安全行为规范包括：（1）账号安全层面：严格落实一人一账号要求，不转借、共用系统账号，密码设置符合复杂度要求并定期更换，核心系统开启双因素认证，离岗立即锁定电脑屏幕，不将账号密码记录在便签、即时通讯软件等易被窃取的位置。（2）数据操作层面：严格按照岗位职责权限访问数据，不越权查询、拷贝、下载敏感数据；数据传输、外发必须履行分级审批流程，通过单位合规的加密传输通道发送，禁止通过个人微信、QQ、个人邮箱、私人网盘等渠道传输工作敏感数据；使用生成式AI工具辅助办公时，仅使