2026年网络与数据安全知识竞赛题库及答案

2026年网络与数据安全知识竞赛题库及答案一、单项选择题（共30题，每题1分）1.2025年12月正式施行的《网络数据安全管理条例》明确，处理多少人以上个人信息的数据处理者应当按照国家有关规定设立数据安全负责人和管理机构？答案：CA.10万人B.50万人C.100万人D.200万人2.依据《中华人民共和国密码法》，用于保护国家秘密信息的密码类别为？答案：AA.核心密码、普通密码B.核心密码、商用密码C.普通密码、商用密码D.普通密码、专用密码3.数据安全防护中，针对静态存储的敏感数据采用的“数据脱敏”技术，下列哪项属于不可逆脱敏方式？答案：BA.数据替换B.哈希加盐C.掩码遮蔽D.格式保留加密4.等保2.0标准体系中，第三级以上信息系统应当至少多长时间进行一次等级测评？答案：AA.每年B.每两年C.每三年D.每半年5.下列哪种攻击方式主要通过伪造合法网站地址、仿冒官方页面诱导用户输入账号密码等敏感信息？答案：DA.DDoS攻击B.SQL注入攻击C.零日漏洞攻击D.钓鱼攻击6.依据《个人信息保护法》，处理敏感个人信息应当取得个人的何种同意？答案：BA.概括同意B.单独同意C.默示同意D.事后追认同意7.我国网络安全等级保护制度将网络分为几个安全保护等级？答案：CA.3个B.4个C.5个D.6个8.下列哪项不属于《数据安全法》规定的数据全生命周期安全管理环节？答案：DA.数据收集B.数据存储C.数据销毁D.数据交易的广告宣传9.零信任安全架构的核心原则是？答案：AA.永不信任、始终验证B.边界防护、内部可信C.一次认证、全程通行D.优先防护、事后追溯10.企业发生数据泄露事件后，应当最迟在多少小时内向属地网信、公安部门报告事件情况？答案：CA.8小时B.12小时C.24小时D.72小时11.常见的密码存储最佳实践是？答案：BA.明文存储用户密码B.加盐哈希存储用户密码C.对称加密存储用户密码D.Base64编码存储用户密码12.下列哪项属于《关键信息基础设施安全保护条例》认定的关键信息基础设施运营者（CIIO）核心义务？答案：AA.每年至少开展一次网络安全应急演练B.将所有数据存储在境内服务器C.采购网络产品无需进行安全审查D.无需向公安机关报备系统拓扑结构13.针对移动办公场景，下列哪种行为存在重大数据安全风险？答案：DA.使用企业统一配发的加密办公终端B.通过企业VPN访问内部业务系统C.办公文件开启溯源水印D.连接公共无密码WiFi传输内部涉密文档14.漏洞管理流程中，CVSS评分达到多少分以上的属于高危漏洞，需在72小时内完成修复？答案：BA.6.0分B.7.0分C.8.0分D.9.0分15.下列哪种加密算法属于非对称加密算法？答案：CA.AESB.SM4C.SM2D.DES16.依据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当对生成的内容进行审核，留存网络日志不少于多久？答案：BA.3个月B.6个月C.12个月D.24个月17.数据分类分级工作中，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的个人信息属于哪一级数据？答案：AA.重要数据B.一般数据C.核心数据D.公开数据18.下列哪项防御手段无法有效抵御勒索病毒攻击？答案：DA.定期离线备份核心业务数据B.及时更新系统及应用安全补丁C.关闭非必要的网络端口和共享权限D.打开陌生邮件附件前先用杀毒软件快速扫描19.网络安全事件应急预案中，针对大规模用户个人信息泄露事件，属于哪一级响应范畴？答案：CA.Ⅳ级（一般）B.Ⅲ级（较大）C.Ⅱ级（重大）D.Ⅰ级（特别重大）20.下列关于App个人信息收集的说法，符合合规要求的是？答案：BA.用户不同意打开位置权限就无法使用基础聊天功能B.收集人脸信息前单独弹出授权提示，明确告知使用目的和范围C.默认开启通讯录读取权限，用户关闭后每次启动都强制弹窗要求开启D.将收集的用户行为数据直接共享给第三方广告平台无需告知用户21.数据出境安全评估中，数据处理者向境外提供多少人以上个人信息需要申报国家网信部门组织的安全评估？答案：AA.100万人B.50万人C.10万人D.1万人22.下列哪种身份认证方式的安全强度最高？答案：DA.静态密码登录B.短信验证码登录C.指纹识别登录D.USBKey+动态口令双因素登录23.企业内部数据权限管理应遵循的核心原则是？答案：BA.最大权限原则B.最小必要原则C.职级匹配原则D.开放共享原则24.下列哪项行为违反《网络安全法》关于网络运营者的安全义务要求？答案：CA.对系统账号实行实名认证B.记录用户操作日志留存6个月以上C.为提升服务效率，将后台管理员账号密码共享给外包运维人员统一使用D.制定网络安全事件应急预案25.针对供应链安全风险，企业采购第三方网络产品和服务时，下列做法错误的是？答案：DA.签署网络安全责任协议，明确供应商安全义务B.对采购的产品进行上线前安全检测C.建立供应商安全能力评估机制D.直接使用供应商提供的默认管理员账号部署系统26.SM3密码杂凑算法生成的哈希值长度是？答案：AA.256比特B.128比特C.512比特D.1024比特27.下列哪种场景不属于个人信息的匿名化处理？答案：BA.去除数据中所有可识别特定自然人的信息，且无法复原B.将用户姓名替换为编号，但通过后台映射表可以还原到具体用户C.对数据集进行扰动处理，结合其他公开信息无法识别到特定个人D.将个人信息聚合为群体统计指标，无法定位到单个自然人28.网页防篡改系统主要防护的是哪类安全风险？答案：CA.数据库被拖库B.服务器被植入木马C.网站页面被恶意替换发布违法信息D.用户账号被暴力破解29.依据《汽车数据安全管理若干规定（试行）》，智能网联汽车收集的车外视频、图像数据，确需向境外提供的，应当通过以下哪项程序？答案：BA.企业自行评估后即可出境B.通过国家网信部门组织的数据出境安全评估C.向省级网信部门备案即可出境D.委托第三方机构出具合规报告即可出境30.下列哪项属于社会工程学攻击的典型特征？答案：AA.利用人的心理弱点骗取信任获取敏感信息B.利用系统漏洞直接入侵服务器C.通过大流量攻击瘫痪目标网站D.破解加密文件获取核心数据二、多项选择题（共15题，每题2分，多选、少选、错选均不得分）1.《中华人民共和国数据安全法》明确的数据处理活动包含以下哪些环节？答案：ABCDA.数据收集、存储B.数据使用、加工C.数据传输、提供D.数据公开、销毁2.下列哪些属于敏感个人信息范畴？答案：ABCDA.生物识别信息、宗教信仰信息B.医疗健康信息、金融账户信息C.行踪轨迹信息D.不满十四周岁未成年人的个人信息3.网络安全“三同步”原则是指网络设施和信息系统建设过程中，安全保护措施应当与主体工程？答案：ABCA.同步规划B.同步建设C.同步使用D.同步运维4.下列哪些技术措施可以有效防范SQL注入攻击？答案：ABDA.使用参数化查询语句B.对用户输入内容进行特殊字符过滤C.将数据库和Web服务器部署在同一台物理机上D.最小化数据库账号的操作权限5.企业数据分类分级工作应当遵循以下哪些原则？答案：ABCDA.合法合规原则B.就高从严原则C.动态调整原则D.分类施策原则6.下列哪些行为违反个人信息保护的合规要求？答案：ACDA.过度收集与业务功能无关的个人信息B.为履行法定职责必要范围内处理个人信息无需取得个人同意C.采用强制捆绑授权方式要求用户一次性同意所有个人信息收集请求D.在用户注销账号后，仍留存用户个人信息用于营销推送7.勒索病毒的常见传播途径包括？答案：ABCDA.钓鱼邮件携带恶意附件B.利用未修复的高危漏洞自动传播C.被植入木马的盗版软件安装包D.未做访问控制的内网共享文件夹8.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同有关部门组织的国家安全审查，审查重点包括？答案：ABCDA.产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或者破坏的风险B.产品和服务供应中断对关键信息基础设施业务连续性的危害C.产品和服务提供者遵守中国法律、行政法规、部门规章情况D.产品和服务的安全性、开放性、透明性、来源的多样性9.零信任架构的核心技术组件包括？答案：ABCDA.身份治理与访问管理（IAM）B.软件定义边界（SDP）C.微隔离（Micro-segmentation）D.持续信任评估引擎10.下列关于数据备份的说法，正确的有？答案：ABDA.核心业务数据应当遵循3-2-1备份原则：3份数据副本、2种存储介质、1份离线异地备份B.备份数据应当定期开展恢复演练，验证备份可用性C.备份数据存储在和生产系统同一集群的存储服务器上即可满足安全要求D.重要数据备份的恢复点目标（RPO）和恢复时间目标（RTO）应当匹配业务连续性要求11.工业互联网场景下的数据安全风险主要包括？答案：ABCDA.工业控制设备存在大量老旧漏洞且难以及时打补丁B.工业协议普遍缺乏身份认证和加密机制C.生产网与办公网边界打通后易被横向渗透攻击D.工业运维账号权限过大易引发内部数据泄露12.下列哪些属于网络安全运营工作的常态化内容？答案：ABCDA.实时监测网络攻击和异常访问行为B.定期开展漏洞扫描和渗透测试C.对员工开展常态化网络安全培训D.定期更新安全策略和防护规则13.数据出境的合法路径包括？答案：ABCA.通过国家网信部门组织的数据出境安全评估B.经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.企业内部制定数据出境审批流程即可14.下列哪些属于常见的内部数据泄露风险隐患？答案：ABCDA.员工通过个人邮箱、即时通讯工具传输内部敏感文件B.离职员工未被及时回收系统访问权限C.开发测试环境使用生产环境真实用户数据且未做脱敏处理D.办公终端未设置锁屏密码、未开启终端数据防泄漏（DLP）管控15.商用密码应用安全性评估（密评）的核心评估维度包括？答案：ABCDA.密码算法、密码技术合规性B.密码产品、密码服务合规性C.密码管理体系建设情况D.密码应用对网络和数据的安全保障有效性三、判断题（共20题，每题1分）1.《网络安全法》规定，任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。答案：正确2.个人信息处理者可以在未告知用户的情况下，将收集的个人信息用于算法推荐服务。答案：错误3.数据加密可以完全防止数据泄露事件发生。答案：错误4.关键信息基础设施发生重大网络安全事件，运营者应当立即启动应急预案，并按照规定向有关主管部门报告。答案：正确5.公共WiFi环境下，只要不输入银行卡密码等敏感信息，就不会存在个人信息泄露风险。答案：错误6.重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。答案：正确7.弱口令问题属于低风险问题，不会引发严重的网络安全事件。答案：错误8.处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。答案：正确9.部署防火墙、入侵检测系统等边界防护设备后，就可以完全抵御外部网络攻击。答案：错误10.数据脱敏后的数据可以随意对外提供，不需要进行安全管控。答案：错误11.国家对密码实行分类管理，商用密码用于保护不属于国家秘密的信息。答案：正确12.企业为了提升办公效率，可以将内部业务系统的访问权限设置为全员开放。答案：错误13.发生个人信息泄露事件，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。答案：正确14.开源软件不存在安全漏洞，可以放心在生产环境中直接使用。答案：错误15.网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。答案：正确16.敏感个人信息的处理规则无需在隐私政策中单独列明，和一般个人信息规则合并说明即可。答案：错误17.DDoS攻击的主要目的是窃取目标服务器上存储的敏感数据。答案：错误18.企业应当对接触敏感数据的岗位人员开展背景调查，并签订安全保密协议。答案：正确19.只要在本地完成数据处理，就不会涉及数据出境风险。答案：错误20.网络安全是技术部门的职责，和其他部门员工没有关系。答案：错误四、简答题（共3题，每题10分）1.请简述数据安全分类分级的核心流程及不同级别数据的基本管控要求。答案：（1）核心流程：①资产梳理：全面盘点本单位全量数据资产，明确数据来源、字段内容、存储位置、流转路径、责任部门等基础信息；②规则制定：结合国家及行业分类分级标准，结合自身业务属性制定分类分级规则，其中数据级别从高到低分为核心数据、重要数据、一般数据、公开数据四级；③数据打标：按照分类分级规则对每类数据集进行级别判定和类别标识，形成数据资产目录；④动态更新：根据业务调整、政策更新、数据流转场景变化定期对数据级别进行复评调整，新产生的数据第一时间完成分类分级。（4分）（2）管控要求：①核心数据：实行最高等级管控，仅允许特定授权人员在严格审批下访问，全流程加密、操作全量留痕，原则上禁止出境、禁止跨场景共享，离线备份需专人专柜管理；②重要数据：实行严格管控，访问需遵循最小权限原则，传输、存储必须采用商用密码加密，定期开展安全风险评估，出境需通过官方安全评估，共享需经安全部门审批；③一般数据：实行常规管控，根据业务需要设置访问权限，可在单位内部按流程流转，对外提供需经过脱敏处理；④公开数据：可经审批后对外公开发布，定期核查内容准确性和发布渠道安全性。（6分）2.请结合日常办公场景，列举至少5种常见的网络钓鱼诈骗特征及防范要点。答案：常见特征：（1）发件人地址仿冒官方域名，如将官方域名的字母替换为相似字符（如将“”替换为“”），或使用非官方的个人邮箱、境外邮箱发送通知类邮件；（2）邮件内容制造紧迫感，如以“账号异常需立即验证”“工资补贴待领取”“涉密文件请查收”等话术诱导用户点击链接或下载附件；（3）链接地址仿冒官方登录页面，域名与官方地址存在细微差异，页面视觉设计与官方页面高度相似，诱导用户输入账号密码；（4）附件携带恶意程序，附件名称多为“通知.docx.exe”“工资表.zip”等可执行文件或带宏病毒的Office文档；（5）即时通讯场景下仿冒领导、同事账号，以“紧急转账”“发送客户敏感资料”为由要求员工执行高风险操作。（5分）防范要点：（1）核实发件人身份，收到可疑邮件、消息第一时间通过电话、当面等方式和对方确认，不随意点击陌生链接、下载陌生附件；（2）访问业务系统时手动输入官方域名，不通过邮件、陌生消息推送的链接跳转登录；（3）办公终端开启宏病毒防护，不打开Office文档的非信任宏程序，及时更新系统和杀