2026年网络与数据安全专业考核试题（附答案）

2026年网络与数据安全专业考核试题（附答案）一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.我国2025年修订实施的《网络数据安全管理条例》明确，处理（）以上个人信息的数据处理者，应当每年开展一次数据安全评估，评估报告向设区的市级网信部门备案。A.10万人B.50万人C.100万人D.200万人2.依据GB/T43697-2024《数据安全技术数据分类分级规则》，核心数据的损害影响对象是指？A.自然人合法权益B.组织合法权益C.公共利益D.国家安全3.零信任架构“永不信任、始终验证”的核心实现机制中，以下哪项不属于核心控制组件？A.策略决策点（PDP）B.策略执行点（PEP）C.入侵检测系统（IDS）D.持续信任评估引擎4.量子密钥分发（QKD）技术中，BB84协议的安全性核心基于什么物理原理？A.量子不可克隆定理B.量子纠缠超距作用C.海森堡测不准原理D.波粒二象性5.按照《个人信息保护法》要求，处理敏感个人信息应当取得个人的（）同意。A.单独B.书面C.明示D.单独且明示6.数据泄露应急响应流程中，第一步应当开展的工作是？A.影响范围评估B.证据固定与溯源C.事件发现与研判D.漏洞修补与加固7.后量子密码算法中，NIST于2024年正式标准化的通用加密算法CRYSTALS-Kyber基于以下哪类数学难题？A.格密码难题B.椭圆曲线离散对数难题C.多变量多项式难题D.哈希签名难题8.数据安全治理框架中，DSMM（数据安全能力成熟度模型）的最高成熟度等级是？A.持续优化级B.量化控制级C.充分定义级D.组织保障级9.API安全场景中，针对“对象级授权漏洞（BOLA）”的最有效防护手段是？A.API接口频率限制B.基于主体身份的资源访问权限校验C.请求参数签名校验D.接口流量内容审计10.依据《关键信息基础设施安全保护条例》，运营者应当至少（）对本单位关键信息基础设施网络安全和数据安全进行一次检测评估。A.每季度B.每半年C.每年D.每两年11.以下哪项技术不属于隐私计算技术范畴？A.联邦学习B.同态加密C.差分隐私D.对称加密12.跨域数据传输场景中，“数据可用不可见”的核心实现目标是指？A.数据传输过程加密B.数据不出域前提下实现价值挖掘C.数据脱敏后传输D.数据访问留痕审计13.攻击者通过收集公开社交平台发布的员工入职信息、项目文档片段，拼凑获取企业内部系统架构信息的攻击方式属于？A.社会工程学攻击B.开源情报（OSINT）攻击C.钓鱼攻击D.侧信道攻击14.数据分类分级工作中，以下哪类数据不属于重要数据范畴？A.影响国民经济运行的能源、交通领域运行数据B.未脱敏的百万级普通消费者购物记录C.涉及国家地理信息的高精度测绘数据D.大型互联网平台掌握的百万级青少年用户行为数据15.零信任架构下的微隔离技术，核心作用是？A.实现南北向流量的访问控制B.实现东西向流量的细粒度访问控制C.实现网络边界的入侵防御D.实现域名解析的安全防护16.按照等保2.0三级要求，网络日志、数据访问日志的留存时间不得少于？A.3个月B.6个月C.12个月D.18个月17.以下哪项不属于数据出境安全评估的强制性申报情形？A.关键信息基础设施运营者向境外提供个人信息B.处理100万人以上个人信息的处理者向境外提供个人信息C.自上年1月1日起累计向境外提供1万人敏感个人信息D.自上年1月1日起累计向境外提供10万人个人信息18.攻击者利用AI生成的仿真语音冒充企业高管，要求财务人员紧急转账的攻击方式属于？A.深度伪造（Deepfake）攻击B.鱼叉式钓鱼攻击C.供应链攻击D.勒索软件攻击19.数据生命周期安全管理中，数据销毁环节对于磁性存储介质，最彻底的销毁方式是？A.低级格式化B.消磁处理C.物理粉碎D.多次覆写20.企业数据安全风险评估中，以下哪项不属于管理层面的风险点？A.未建立数据安全责任考核机制B.数据存储加密算法使用不符合国家标准C.未定期开展数据安全应急演练D.数据访问权限未定期梳理审计答案：1-5：CDCAD；6-10：CAABC；11-15：DBBBB；16-20：BCACB二、多项选择题（共10题，每题2分，多选、少选、错选均不得分）1.我国网络与数据安全领域现行的“三法一条例”指的是以下哪些法律法规？A.《网络安全法》B.《数据安全法》C.《个人信息保护法》D.《网络数据安全管理条例》E.《关键信息基础设施安全保护条例》2.零信任架构的核心设计原则包括？A.身份是访问控制的核心边界B.默认拒绝所有访问请求C.最小权限分配D.持续信任评估与动态访问控制E.依赖网络区域划分实现安全隔离3.重要数据识别的核心参考维度包括？A.数据覆盖的地域范围与群体规模B.数据关联的行业领域重要程度C.数据泄露、篡改、损毁后的影响程度D.数据的开放共享程度E.数据的存储介质类型4.隐私计算技术在金融数据跨机构融合场景的典型应用包括？A.跨机构联合风控建模B.跨机构反欺诈协查C.客户精准营销的标签联合计算D.客户明文交易数据的跨机构共享E.普惠金融场景的联合信贷审批5.数据泄露事件发生后，运营者应当依法向监管部门上报的内容包括？A.事件发生的时间、原因、初步研判的影响范围B.涉及的数据类型、数量、敏感程度C.已经采取的处置措施与效果D.事件责任人的初步认定结果E.后续整改与风险防控方案6.AI大模型训练数据的安全合规要求包括？A.训练数据来源合法，不侵犯知识产权与个人信息权益B.涉及个人信息的训练数据需取得合规授权C.训练数据需开展内容安全审核，防范违法违规内容注入D.训练数据可以随意爬取公开互联网内容E.训练数据中的敏感信息需经过脱敏、去标识化处理7.API安全的核心防护能力要求包括？A.API资产的自动发现与梳理B.异常访问行为的实时检测与拦截C.接口参数的合规校验D.接口数据传输过程的全链路加密E.接口访问日志的全量留存与审计8.数据出境的合法路径包括？A.通过国家网信部门组织的数据出境安全评估B.经专业机构认证的个人信息保护认证C.按照标准合同范本与境外接收方订立个人信息出境标准合同D.法律法规规定的其他路径E.直接通过公网传输加密后出境9.勒索软件攻击的典型防御措施包括？A.定期对重要数据进行离线备份B.及时修补系统与应用高危漏洞C.严格限制不必要的文件共享与端口开放D.定期开展员工钓鱼邮件防范培训E.部署EDR、NDR等端点与网络检测响应工具10.企业数据安全治理组织架构的核心角色包括？A.数据安全管理委员会（决策层）B.数据安全管理部门（管理层）C.各业务部门的数据安全专员（执行层）D.内部审计与风控部门（监督层）E.外部第三方测评机构（执行层）答案：1.ABCD；2.ABCD；3.ABC；4.ABCE；5.ABCDE；6.ABCE；7.ABCDE；8.ABCD；9.ABCDE；10.ABCD三、判断题（共10题，每题1分，对打√，错打×）1.去标识化处理后的个人信息，无法再识别到特定自然人，因此不属于个人信息范畴。（×）解析：去标识化是指通过处理使个人信息在不借助额外信息的情况下无法识别特定自然人，结合额外信息仍可识别的，仍属于个人信息。2.零信任架构完全替代传统网络边界防护设备后，可彻底杜绝所有网络攻击。（×）解析：零信任是动态访问控制的安全理念，可大幅降低攻击面，但无法完全杜绝所有攻击。3.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。（√）4.同态加密技术支持在加密数据上直接进行计算，计算结果解密后与明文计算结果一致。（√）5.企业内部员工访问核心生产数据库时，因为处于内部可信网络，不需要进行二次身份验证。（×）解析：零信任理念下不存在默认可信网络，所有访问核心资源的请求都需要持续验证。6.数据安全分类分级工作完成后可长期使用，不需要动态调整。（×）解析：数据的级别会随着数据汇聚、加工、时效性变化动态调整，需定期更新分类分级目录。7.关键信息基础设施发生重大数据安全事件时，运营者应当立即启动应急预案，并在24小时内向属地网信、公安部门上报。（×）解析：依据《关键信息基础设施安全保护条例》，重大事件需在1小时内上报。8.差分隐私技术通过在数据中添加适量噪声，使得攻击者无法通过查询结果反推个体信息。（√）9.第三方合作方获取企业授权使用数据时，不需要签订数据安全协议，只需做好访问日志审计即可。（×）解析：涉及数据对外合作的，必须签订数据安全协议，明确双方安全责任。10.数据安全风险评估是一次性工作，通过等保测评后不需要定期开展。（×）解析：数据安全风险是动态变化的，需每半年或每年定期开展评估，重大变更时及时开展专项评估。四、简答题（共4题，每题5分）1.请简述数据全生命周期各阶段的核心安全防护要点。参考答案：（1）数据采集阶段：落实“最小必要”原则，明确采集范围与授权合规性，对采集渠道进行安全加固，防范采集过程的数据窃听、篡改，敏感数据采集需获得用户单独同意（1分）；（2）数据传输阶段：采用国密算法（SM2/SM3/SM4等）对传输数据加密，建立跨网传输的审批机制，对传输链路进行完整性校验，防范传输过程的数据泄露与篡改（1分）；（3）数据存储阶段：落实分类分级存储要求，敏感数据、核心数据采用加密存储，建立数据备份与容灾机制，定期开展备份恢复验证，严格控制存储介质的访问权限（1分）；（4）数据处理使用阶段：基于最小权限原则分配访问权限，敏感数据处理采用脱敏、去标识化、隐私计算等技术，对数据操作行为全程留痕审计，防范越权访问、违规批量导出等风险（1分）；（5）数据提供与公开阶段：建立对外数据提供的审批机制，开展安全评估，明确接收方的安全责任，数据公开前开展合规审查，防止敏感数据、重要数据违规公开；（6）数据销毁阶段：建立数据销毁审批机制，根据存储介质类型采用覆写、消磁、物理粉碎等方式彻底销毁，对销毁过程全程监督留痕，避免数据残留泄露（1分）。2.请简述当前AI大模型应用面临的主要数据安全风险类型。参考答案：（1）训练数据合规风险：训练数据来源不合法，存在侵犯知识产权、违规收集个人信息、包含违法违规内容等问题，导致模型上线后面临合规处罚（1分）；（2）数据泄露风险：训练阶段的敏感数据、用户交互过程中输入的敏感信息可能通过模型记忆效应，在后续问答中被诱导输出，造成商业秘密、个人信息泄露（1分）；（3）投毒攻击风险：攻击者在训练数据或微调数据中注入恶意样本、后门指令，导致模型输出错误内容、触发恶意行为，影响业务安全（1分）；（4）推理阶段的数据滥用风险：攻击者通过提示词注入、越狱等手段，诱导大模型生成钓鱼代码、恶意软件、违法违规内容，将大模型作为攻击工具（1分）；（5）数据出境风险：用户输入的敏感信息、重要数据传输至境外大模型服务节点，未履行数据出境合规手续，导致合规风险（1分）。3.请简述企业开展数据分类分级工作的核心实施流程。参考答案：（1）前期筹备：成立分类分级工作小组，明确责任部门与人员，梳理本单位业务系统、数据资产现状，学习行业分类分级规范与国家标准（1分）；（2）规则制定：结合国家法律法规、行业监管要求与本单位业务实际，制定分类分级规范，明确分类维度（如业务域、数据主题）、分级判定标准（一般数据、重要数据、核心数据的判定阈值）、责任分工（1分）；（3）资产梳理：对全量数据资产进行盘点，梳理数据项、数据规模、存储位置、责任部门、流转路径、开放共享情况等信息，形成数据资产清单（1分）；（4）分级判定：对照分级标准，结合数据泄露、篡改、损毁后的影响对象与影响程度，逐类逐项判定数据级别，对拟认定的重要数据、核心数据组织业务、安全、法务等部门联合评审，形成分类分级目录（1分）；（5）动态更新与落地：建立分类分级动态更新机制，当数据属性、业务场景、监管要求变化时及时调整级别，将分类分级结果嵌入访问控制、加密、审计等安全管控策略，实现分级保护（1分）。五、案例分析题（共2题，每题15分）1.案例背景：某省级政务服务平台（关键信息基础设施运营者）2026年3月发生一起数据泄露事件，经初查：平台负责第三方接口维护的技术人员张某违规将查询接口的测试密钥发布到公开代码仓库，攻击者利用该密钥调用接口，批量爬取了平台存储的230万条群众社保、不动产登记等个人信息，其中包含12万条群众身份证号、银行卡号等敏感个人信息；事件发生后，平台运维部门3天后才发现异常流量，未第一时间启动应急响应，也未及时告知受影响群众，后续被属地网信部门通报处罚。请结合案例回答以下问题：（1）请指出该平台在数据安全管理与技术防护中存在的主要问题。（8分）（2）针对上述问题，提出具体的整改防控措施。（7分）参考答案：（1）存在的主要问题：①人员安全管理不到位：未建立密钥全生命周期管理机制，测试密钥与生产密钥未隔离，员工安全意识不足，违规将内部密钥上传至公开代码仓库，未对员工开展常态化数据安全培训（2分）；②API安全防护缺失：未对接口资产进行梳理与监测，未配置接口访问频率限制、异常行为检测能力，攻击者批量调用接口爬取数据时未及时触发告警，未对接口返回的敏感数据进行脱敏处理（2分）；③监测预警与应急响应机制失效：未建立7*24小时数据安全监测机制，流量异常、批量数据导出行为未被及时发现，应急响应流程不健全，事件发生后未按规定时间上报监管部门，也未及时履行个人信息泄露告知义务（2分）；④数据安全合规要求未落实：作为关键信息基础设施运营者，未定期开展数据安全风险评估与渗透测试，未对敏感个人信息采取加密、去标识化等防护措施，访问控制策略未落实最小权限原则，测试账号拥有生产数据的全量查询权限（2分）。（2）整改防控措施：①健全人员与密钥管理机制：立即轮换所有平台密钥，实现生产、测试环境密钥物理隔离，建立密钥定期轮换、使用审计机制，将代码安全检测纳入发布流程，防止敏感信息泄露至公开渠道；定期开展全员数据安全培训，尤其是技术、运维岗位的安全意识培训，明确违规行为的追责机制（2分）；②补全API安全防护能力：对全平台API资产开展全面梳理，形成API资产清单，为每个接口配置身份认证、权限校验、频率限制、异常流量检测规则，对接口返回的敏感个人信息进行动态脱敏，拦截批量爬取、越权访问等异常行为（2分）；③完善监测预警与应急响应体系：部署数据安全态势感知平台，对核心数据的访问、导出、调用行为进行全量审计与实时监测，配置异常行为告警规则；修订数据安全应急预案，明确事件上报流程、处置责任，定期开展应急演练，事件发生后第一时间启动响应、固定证据，按要求上报监管部门并告知受影响用户（2分）；④落实数据安全分级保护要求：按照数据分类分级标准完成全量数据梳理，对敏感个人信息、重要数据落实存储加密、访问权限最小化配置，每季度开展一次数据安全风险评估与渗透测试，及时发现并修复安全漏洞，切实履行关基运营者的数据安全保护责任（1分）。2.案例背景：某全国性股份制商业银行计划联合本地3家城商行、2家保险公司开展跨机构联合风控项目，项目目标是在不输出各方客户明文数据的前提下，联合构建反欺诈模型，识别跨机构的多头借贷、骗保等风险；项目涉及的各机构数据均包含客户身份信息、信贷记录、投保理赔记录等敏感个人信息，部分数据属于金融领域重要数据。请结合案例回答以下问题：（1）该项目开展跨机构数据融合时，应当优先采用哪类技术实现“数据可用不可见”？请列举至少2种具体技术路径并说明其适用场景。（7分）（2）该项目在数据安全合规层面需要履行哪些法定程序，落实哪些核心管控要求？（8分）参考答案：（1）应当优先采用隐私计算技术实现“数据可用不可见”的目标，具体技术路径包括：①联邦学习技术：适用于跨机构联合建模场景，各参与方数据不出本地，通过加密传输模型中间参数的方式协同训练模型，不需要交换原始客户明文数据，可有效支撑联合风控、反欺诈模型的训练需求，适合本项目中多方联合构建反欺诈模型的场景（3分）