2026年信息技术安全相关试题及答案

2026年信息技术安全相关试题及答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.2026年我国正式落地实施的《网络数据安全管理条例》中，明确要求处理多少用户规模以上个人信息的网络数据处理者，应当每年开展至少一次数据安全评估，并向设区的市级以上网信部门报送评估报告？A.10万人B.50万人C.100万人D.1000万人答案：C。解析：《网络数据安全管理条例》第二十七条明确，处理100万人以上个人信息的网络数据处理者，属于重要数据处理者范畴，需每年开展至少一次数据安全评估并报送属地网信部门。2.针对近年来大模型训练数据泄露、生成式内容违规问题，我国于2025年11月正式施行的《生成式人工智能服务安全基本要求》中，规定生成式AI服务提供者留存用户对话日志的期限不得少于多少天？A.30天B.60天C.90天D.180天答案：B。解析：《生成式人工智能服务安全基本要求》明确日志留存要求，用于追溯违法违规内容传播责任，留存期限不得少于60天，涉及国家安全的日志需按相关法律规定长期留存。3.2026年主流商用密码体系中，以下哪种算法属于我国自主研发的抗量子公钥密码算法，已纳入GM/T0108-2025标准？A.RSA-4096B.SM2-256C.SM9D.毕昇-1（LAC）答案：D。解析：毕昇-1（LAC）是我国自主研发的格基抗量子公钥密码算法，2025年正式纳入商用密码标准体系，用于应对量子计算对传统公钥密码的破解风险；RSA为非国密传统公钥算法，SM2、SM9为传统非抗量子国密算法。4.按照2026年最新修订的《网络安全等级保护基本要求》（GB/T22239-2025），第三级以上网络运营者应当在发现重大网络安全事件后多少小时内，向属地公安机关网安部门报送事件初步报告？A.1小时B.2小时C.4小时D.8小时答案：A。解析：GB/T22239-2025修订版将重大网络安全事件的报送时限从原来的2小时压缩至1小时，同时要求24小时内报送事件处置进展，72小时内报送完整事件调查报告。5.攻击者通过在大模型多轮对话中植入隐藏语义触发指令，绕过模型安全对齐机制，诱导模型输出恶意内容或执行未授权操作，这种2026年高发的攻击方式被称为？A.SQL注入B.提示注入（PromptInjection）C.跨站脚本攻击D.中间人攻击答案：B。解析：提示注入是针对生成式AI的特有攻击方式，其中多轮隐蔽提示注入是2026年大模型安全防护的核心风险点，攻击者通过拆分恶意指令、编码嵌入等方式绕过内容安全检测。6.零信任架构在2026年已成为政务、金融领域的标配安全架构，以下哪项不属于零信任的核心原则？A.永不信任，始终验证B.最小权限访问C.基于网络边界划分信任域D.动态访问控制答案：C。解析：零信任架构打破了传统基于网络边界的信任模型，不再以网络位置作为信任判断依据，默认所有访问主体都处于不可信状态，需对每一次访问请求进行持续验证。7.2026年针对智能网联汽车的安全测试规范中，要求车载T-BOX（远程信息处理器）必须支持以下哪种国密算法实现车云通信加密？A.SM4B.AES-256C.3DESD.RC4答案：A。解析：《智能网联汽车车云通信安全技术要求》明确要求车云通信必须采用SM4对称加密算法传输控制指令和敏感数据，禁止使用AES-256以外的非国密算法，RC4、3DES等弱加密算法需全面淘汰。8.企业在开展数据出境活动时，按照2026年最新监管要求，以下哪种情形不需要申报数据出境安全评估？A.向境外提供100万人以上个人信息B.向境外提供10万人以上敏感个人信息C.关键信息基础设施运营者向境外提供个人信息D.通过国家网信部门认证的个人信息保护机构传输非敏感个人信息答案：D。解析：按照《个人信息出境标准合同办法》及2025年修订版，通过国家网信部门认可的个人信息保护认证路径出境的非敏感个人信息，无需单独申报数据出境安全评估，其余三种情形均属于法定必须申报评估的范畴。9.以下哪种2026年高发的恶意软件主要针对工业控制系统（ICS），通过篡改PLC控制逻辑引发生产安全事故？A.勒索病毒B.逻辑炸弹C.挖矿木马D.间谍软件答案：B。解析：2025年至2026年全球累计发生17起针对能源、制造行业工控系统的逻辑炸弹攻击，攻击者提前在PLC中植入恶意逻辑，在特定时间触发后篡改阀门、电机等设备的控制参数，引发生产安全事故。10.按照《关键信息基础设施安全保护条例》2025年修订版，关键信息基础设施运营者的网络安全第一责任人是？A.企业网络安全部门负责人B.企业法定代表人或主要负责人C.属地网信部门负责人D.企业技术负责人答案：B。解析：修订后的条例明确关键信息基础设施运营者主要负责人（法定代表人、实际控制人）是网络安全第一责任人，对本单位网络安全和数据安全负总责，将安全责任落实情况纳入个人履职考核。11.在量子通信技术商用落地的2026年，以下关于量子密钥分发（QKD）的说法正确的是？A.QKD可以实现绝对安全的通信，无需任何附加安全措施B.QKD能够解决通信链路中所有的窃听问题，无需进行身份认证C.QKD可以检测到密钥传输过程中的窃听行为，结合一次一密加密可实现理论上的无条件安全D.QKD的传输距离不受光纤损耗限制，可以实现跨洋无中继通信答案：C。解析：量子密钥分发基于量子不可克隆定理，能够检测到密钥传输过程中的窃听行为，但需要配合身份认证机制避免中间人攻击，且受光纤损耗限制，2026年商用无中继QKD传输距离最高为1200公里。12.2026年我国全面推行的电子证照安全体系中，电子证照的防伪核心是基于以下哪种技术实现的？A.数字水印B.国密SM2数字签名C.二维码防伪D.人脸识别核验答案：B。解析：全国统一电子证照系统采用SM2数字签名作为核心防伪机制，所有电子证照必须由发证机关通过国密证书签名，验证时通过公钥校验签名合法性，可有效防范伪造、篡改风险。13.以下哪种漏洞类型属于2026年Web应用最高发的高危漏洞，据CNCERT统计占所有Web高危漏洞的37%？A.未授权访问漏洞B.注入类漏洞（含SQL注入、NoSQL注入）C.跨站请求伪造漏洞D.目录遍历漏洞答案：B。解析：据国家互联网应急中心2025年网络安全态势报告，注入类漏洞占Web高危漏洞总量的37%，其中大模型API接口的提示注入、向量数据库注入占比逐年上升。14.企业部署EDR（端点检测与响应）系统时，2026年主流EDR产品普遍采用的核心检测技术是？A.基于特征码匹配的病毒查杀B.基于行为分析和AI模型的异常检测C.基于黑名单的进程拦截D.基于文件哈希的信誉检测答案：B。解析：2026年EDR产品已全面从传统特征查杀转向基于用户行为基线、AI大模型异常分析的检测技术，可有效识别未知恶意软件、无文件攻击等新型威胁，特征码匹配仅作为辅助检测手段。15.按照2026年实施的《移动互联网应用程序个人信息保护管理规定》，APP不得在用户未主动触发相关功能时申请以下哪种权限？A.网络访问权限B.位置权限（精确位置）C.通知权限D.存储读取权限答案：B。解析：规定明确要求，精确位置、摄像头、麦克风、通讯录等敏感权限必须在用户主动触发对应功能（如导航、扫码、语音通话）时才能申请，禁止APP启动时一次性索要所有敏感权限。16.以下哪种生物特征识别技术在2026年被明确不得作为金融支付的唯一验证方式？A.3D人脸识别B.指纹识别C.声纹识别D.静脉识别答案：C。解析：《金融科技安全规范》2025版明确，声纹识别受环境噪音、用户身体状态影响误判率较高，且易被AI语音合成绕过，不得单独作为支付、大额转账的身份验证方式，需结合密码、人脸等其他验证因子。17.2026年供应链安全领域要求企业对采购的商用软件必须开展SBOM校验，SBOM指的是？A.软件安全检测报告B.软件物料清单C.软件漏洞修复清单D.软件采购合同清单答案：B。解析：软件物料清单（SoftwareBillofMaterials，SBOM）是记录软件所有组件、依赖库、开源代码的清单，通过SBOM可以快速排查开源组件漏洞、防范供应链投毒攻击，2026年政府采购软件必须提供符合国家标准的SBOM清单。18.当企业发生个人信息泄露事件，涉及1000人以上敏感个人信息泄露时，按照最新监管要求，企业应当在事件通知用户的同时，报送以下哪个部门？A.属地市场监督管理部门B.属地网信部门和公安机关C.属地工业和信息化部门D.属地通信管理局答案：B。解析：《个人信息保护法》配套实施细则明确，发生1000人以上个人信息泄露或100人以上敏感个人信息泄露事件，需在1小时内报送属地网信部门和公安机关，并以短信、站内信等可触达的方式告知受影响用户。19.以下关于2026年数据安全分类分级要求的说法，错误的是？A.数据分为公开数据、内部数据、敏感数据、核心数据四级B.核心数据仅允许在经国家认证的涉密网络中处理和传输C.敏感数据的访问必须留存至少6个月的操作日志D.公开数据无需采取任何安全防护措施答案：D。解析：即便是公开数据，企业也需保障数据的完整性、可用性，防止公开数据被篡改引发误导，例如官方公开的政务信息、企业公开的产品信息需防篡改，并非无需任何防护。20.2026年针对深度伪造内容的治理要求，以下哪种场景不需要对生成内容添加显性或隐性标识？A.利用AI生成的新闻报道内容B.利用AI生成的影视剧特效内容C.利用AI换脸制作的短视频内容D.利用AI生成的虚拟主播直播内容答案：B。解析：《深度合成内容管理规定》明确，影视剧特效、动画制作等场景中，AI生成的非现实内容若不涉及对特定自然人的仿真模拟，无需强制添加标识；涉及公共信息发布、新闻传播、可能引发公众混淆的内容必须添加显著标识。二、多项选择题（共10题，每题2分，每题有2-4个正确答案，多选、少选、错选均不得分）1.2026年我国网络安全监管要求中，关键信息基础设施运营者必须落实的安全义务包括？A.每半年开展一次网络安全应急演练B.每年至少开展一次网络安全等级保护测评C.优先采购安全可信的网络产品和服务D.采购网络产品和服务可能影响国家安全的，应当通过国家网络安全审查答案：BCD。解析：关键信息基础设施运营者应当每年至少开展一次网络安全应急演练，每半年演练是针对金融、能源等特定行业的更高要求，并非所有关基运营者的通用义务；其余三项均为《关键信息基础设施安全保护条例》明确的法定义务。2.以下哪些属于2026年针对大模型安全的核心防护措施？A.训练数据来源合法性审核，防范训练数据侵权、包含恶意内容B.模型输出内容安全过滤，建立多级内容审核机制C.提示注入攻击检测，对用户输入指令进行语义识别和风险校验D.训练数据留存10年以上，满足监管追溯要求答案：ABC。解析：生成式AI服务提供者需留存训练数据来源记录，但无需留存全量训练数据10年，仅需留存日志记录不少于3年；其余三项均为大模型安全防护的核心要求。3.以下哪些密码算法属于我国商用密码标准体系中的合规算法？A.SM2椭圆曲线公钥密码算法B.SM3密码杂凑算法C.SM4分组密码算法D.SHA-1哈希算法答案：ABC。解析：SHA-1属于已被破解的弱哈希算法，2026年已全面禁止在政务、金融等重要领域使用；SM2、SM3、SM4是我国商用密码核心算法，属于合规算法范畴。4.企业防范勒索病毒攻击的有效措施包括？A.定期对核心业务数据进行离线备份，定期开展备份恢复演练B.关闭不必要的网络端口，严格限制RDP、SSH等远程管理端口的访问范围C.及时修补操作系统、业务系统的高危漏洞，尤其是永恒之蓝等常见勒索病毒利用的漏洞D.为所有终端安装防病毒软件，及时更新病毒库答案：ABCD。解析：以上四项均为防范勒索病毒攻击的基础且有效措施，据CNCERT统计，90%以上的勒索病毒攻击成功案例都是由于未落实以上基础防护措施导致的。5.2026年个人信息保护要求中，处理敏感个人信息需要满足的条件包括？A.具有特定的目的和充分的必要性B.取得个人的单独同意C.告知敏感个人信息处理的必要性以及对个人权益的影响D.必须对敏感个人信息进行加密存储答案：ABCD。解析：《个人信息保护法》明确规定，处理敏感个人信息需满足特定目的、充分必要性，取得单独同意，履行告知义务，同时必须采取加密、去标识化等安全技术措施保障敏感个人信息安全。6.以下哪些情形属于2026年重点打击的电信网络诈骗关联违法犯罪行为？A.非法贩卖公民个人信息为诈骗分子提供目标人群数据B.搭建GOIP、VOIP设备为诈骗分子提供通信中转服务C.非法买卖银行卡、电话卡为诈骗分子提供资金结算渠道D.开发、销售深度伪造工具为诈骗分子提供身份冒充技术支持答案：ABCD。解析：2025年《反电信网络诈骗法》修订后，将深度伪造技术支持、非法提供大模型诈骗话术生成服务等纳入打击范围，以上四项均属于电信网络诈骗关联违法犯罪行为，依法追究刑事责任。7.零信任架构落地过程中，需要构建的核心能力包括？A.身份统一管理能力，实现所有用户、设备、应用的身份唯一标识B.持续信任评估能力，基于访问行为、设备状态、环境风险动态调整信任等级C.最小权限授权能力，基于访问主体的业务需求授予刚好满足工作需要的访问权限D.边界防火墙防护能力，通过下一代防火墙实现内外网的完全隔离答案：ABC。解析：零信任架构不以网络边界作为信任基础，“内外网完全隔离”是传统边界安全模型的思路，不属于零信任的核心能力；其余三项均为零信任架构落地的核心能力要求。8.以下关于数据脱敏的说法，正确的是？A.数据脱敏是对敏感数据进行变形处理，实现敏感数据在非生产环境可用但不可还原真实信息B.开发测试环境使用生产数据时，必须对敏感字段进行脱敏处理C.静态脱敏适用于数据外发、测试数据集提供等场景D.动态脱敏适用于生产环境不同权限用户访问敏感数据时的实时脱敏展示答案：ABCD。解析：以上四项均为数据脱敏的正确表述，静态脱敏是对数据集进行批量变形后交付使用，动态脱敏是在用户访问数据时根据权限实时对敏感字段进行遮蔽处理。9.2026年工业互联网安全防护要求中，工业控制系统需要落实的防护措施包括？A.工控网络与办公网络之间部署工业防火墙，实现逻辑隔离B.工控设备禁止使用默认口令，定期更新设备固件修补高危漏洞C.工控系统生产数据跨网传输时必须通过单向网闸，禁止从办公网直接向工控网下发控制指令D.工控网络中可以直接接入普通办公终端进行日常运维答案：ABC。解析：工控网络接入运维终端必须采用专用运维终端，且经过严格的安全检测、审批流程，禁止直接接入普通办公终端，防范恶意程序从办公网传播到工控网络；其余三项均为工控安全防护的基本要求。10.网络安全事件应急响应的基本流程包括？A.准备阶段：建立应急响应团队、制定应急预案、准备应急工具B.检测与分析阶段：发现异常事件、分析事件性质、评估影响范围C.遏制、根除与恢复阶段：隔离受影响系统、清除恶意程序、恢复业务正常运行D.事后复盘阶段：总结事件原因、完善防护措施、开展相关人员培训答案：ABCD。解析：网络安全应急响应全流程分为准备、检测分析、遏制根除恢复、事后复盘四个核心阶段，形成闭环管理，持续提升安全防护能力。三、判断题（共10题，每题1分，对打√，错打×）1.2026年企业使用开源软件时，无需考虑开源组件的许可证风险，可以随意将开源软件用于商业产品开发。（×）解析：开源软件受著作权法保护，不同开源许可证有不同的使用要求，例如GPL许可证要求基于开源代码修改的衍生作品必须开源，若企业未遵守许可证要求可能面临知识产权侵权风险。2.抗量子密码算法可以抵御所有类型的量子计算攻击，部署后无需再进行密码算法升级。（×）解析：当前商用抗量子密码算法是基于格、编码等数学难题设计，可抵御通用量子计算机的Shor算法攻击，但不排除未来数学分析方法突破、专用量子计算机发展带来的破解风险，需要持续迭代密码算法体系。3.个人信息处理者在取得用户同意后，可以任意向第三方提供用户的个人信息。（×）解析：向第三方提供个人信息时，除取得用户单独同意外，还需告知第三方的名称、联系方式、处理目的、处理方式和个人信息种类，同时对第三方的个人信息处理活动进行监督，且提供的个人信息需满足最小必要原则。4.漏洞是指网络产品和服务存在的可能被攻击者利用的安全缺陷，企业发现网络产品存在高危漏洞后，应当及时联系产品厂商修复漏洞。（√）解析：《网络产品安全漏洞管理规定》明确，网络产品提供者和网络运营者都有漏洞修复责任，发现高危漏洞后应当及时采取修补措施，防范漏洞被攻击者利用。5.多因素认证可以大幅提升身份认证安全性，只要采用两种以上认证因子就可以完全避免账号被盗风险。（×）解析：多因素认证可以提升账号安全性，但无法完全避免账号被盗，例如攻击者通过钓鱼网站窃取用户的密码和短信验证码，或者利用SIM卡劫持获取短信验证码，依然可以绕过双因素认证，需要结合异常登录检测等措施进一步提升安全性。6.数据加密存储后就绝对安全，即使数据被窃取攻击者也无法获取原始数据。（×）解析：加密存储的安全性依赖于密钥的安全管理，如果密钥被攻击者获取，加密数据依然可以被解密还原，因此数据加密必须配套完善的密钥管理体系，采用国密级密钥管理系统保障密钥安全。7.关键信息基础设施运营者采购涉及国家安全的网络产品和服务，必须通过国家网络安全审查，未经审查不得采购使用。（√）解析：《网络安全审查办法》明确，关键信息基础设施运营者采购网络产品和服务，影响或可能影响国家安全的，必须申报网络安全审查，审查通过后方可采购使用。8.深度伪造内容只要添加了标识就可以随意传播，不受内容合规要求限制。（×）解析：即使添加了深度合成标识，内容本身也必须符合法律法规要求，不得含有违法违规、侵害他人合法权益的内容，标识仅用于提示公众内容为AI生成，不免除内容提供者的合规责任。9.企业内部的安全培训没有实际作用，只要部署足够的安全设备就能防范所有网络攻击。（×）解析：据统计，70%以上的网络攻击成功案例都是由于员工安全意识不足导致的钓鱼邮件点击、弱口令、违规外联等问题，安全培训是提升员工安全意识、防范社工攻击的核心措施，与安全技术防护同等重要。10.网络安全是动态的而非静态的，企业需要建立持续监测、动态响应的安全运营体系，而非一次性部署安全设备就可以一劳永逸。（√）解析：网络攻击手段持续演变，漏洞不断出现，不存在绝对安全的系统，必须通过持续的安全运营、监测预警、漏洞修复、应急响应来动态提升安全防护能力。四、简答题（共3题，每题10分）1.请简述2026年企业开展数据分类分级工作的核心流程及注意事项。参考答案：企业数据分类分级工作是数据安全防护的基础，核心流程包括：（1）数据资产梳理：全面盘点企业所有业务系统中的数据资产，明确数据存储位置、数据规模、责任部门、数据流转路径，形成完整的数据资产清单，覆盖生产、办公、客户服务等全场景数据。（3分）（2）分类分级规则制定：按照国家《数据安全技术数据分类分级指南》要求，结合行业特性，将数据按照业务属性分为用户个人信息、业务经营数据、系统运行数据、公开信息等类别，再根据数据遭到篡改、泄露、非法利用后对国家安全、公共利益、企业利益、用户权益的影响程度，将数据划分为核心数据、敏感数据、内部数据、公开数据四级，明确每一级数据的判定标准。（3分）（3）数据打标与落地：对梳理完成的数据资产按照分类分级规则进行标注，将分类分级标签嵌入数据全生命周期流转过程，在数据存储、传输、使用、共享、销毁环节按照标签匹配对应安全防护策略。（2分）注意事项：一是分类分级需要业务部门共同参与，不能仅由安全部门独立开展，避免分类分级与业务实际脱节；二是要建立分类分级动态更新机制，当业务调整、新数据类型产生时及时更新标签；三是核心数据、敏感数据必须明确具体责任人，落实“谁管业务谁管数据、谁管数据谁负责安全”的责任机制。（2分）2.请简述2026年企业防范大模型应用安全风险的主要措施。参考答案：随着大模型在企业办公、客户服务、研发等场景的普及，需要从以下维度落实安全防护：（1）训练与语料安全：企业私有化部署大模型时，必须对训练语料进行合法性审核，避免训练数据包含涉密信息、版权侵权内容、敏感违规内容，防范训练数据投毒导致模型输出错误或恶意内容；涉及企业内部敏感数据用于模型微调时，必须对敏感数据进行去标识化处理，签订数据安全保密协议。（3分）（2）模型本身安全防护：部署提示注入检测模块，对用户输入的指令进行语义解析，识别拆分编码、恶意诱导类提示词，防止绕过安全对齐机制；设置模型输出阈值，对高风险内容进行拦截，建立“AI初审+人工复核”的内容审核机制，避免生成违规内容、泄露内部敏感信息。（3分）（3）应用场景安全管控：严格控制大模型的插件调用、系统访问权限，按照最小权限原则开放能力，禁止大模型直接访问核心业务数据库、下发生产系统操作指令；对员工使用大模型的行为进行审计，禁止员工将企业涉密文档、客户敏感信息输入公有大模型，防范数据泄露；对大模型生成的代码、方案等内容进行安全校验，避免引入存在漏洞的代码、错误业务指令。（2分）（4）合规管控：面向公众提供大模型服务的企业需按照监管要求履行算法备案、安全评估义务，对生成的违规内容承担主体责任，留存用户交互日志满足追溯要求。（2分）3.请简述2026年我国网络安全等级保护2.0（修订版）与旧版相比的核心变化。参考答案：2025年发布的等级保护2.0修订版（GB/T22239-2025）针对新技术新应用风险对防护要求进行了更新，核心变化包括：（1）扩展了防护对象范围：将生成式AI服务、智能网联汽车车联网系统、工业互联网平台、量子通信系统等新场景纳入等级保护覆盖范围，针对不同场景制定了专项防护要求，例如明确大模型服务的数据安全、内容安全、算法安全防护指标。（3分）（2）提升了事件响应和报送要求：将三级以上系统重大安全事件的初步报送时限从2小时压缩至1小时，要求企业建立7*24小时安全监测机制，部署入侵检测、流量分析等技术手段提升威胁发现能力，明确要求三级以上系统必须部署EDR、零信任访问等新型安全防护能力。（3分）（3）强化了数据安全要求：将数据安全防护要求独立成章，明确不同等级系统的数据分类分级、加密存储、数据脱敏、数据出境管控要求，要求三级以上系统必须采用国密算法对敏感数据进行加密保护，每年开展至少一次数据安全风险评估。（2分）（4）优化了供应链安全要求：明确三级以上系统采购的软硬件产品必须提供SBOM清单，排查开源组件漏洞，禁止采购存在已知高危漏洞未修复的产品，对供应链供应商开展定期安全评估，防范供应链投毒风险。（2分）五、案例分析题（共1题，20分）某省级三甲医院2026年计划上线AI辅助诊疗系统，同时对现有HIS（医院信息系统）、EMR（电子病历系统）进行升级，系统存储有300万条患者就诊记录、病历信息、医保信息，其中包含大量患者的身份证号、疾病诊断记录、医保支付信息等敏感个人信息。系统升级后计划开放互联网问诊端口，患者可以通过小程序在线问诊、查询病历、缴纳费用。同时医院拟与某AI技术企业合作，将100万份匿名化处理后的病历数据提供给AI企业用于辅助诊疗大模型训练。请结合2026年网络安全和数据安全相关监管要求，回答以下问题：1.该医院的HIS/EMR系统应当按照网络安全等级保护第几级进行防护？需要落实哪些核心安全防护义务？（10分）2.医院将病历数据提供给AI企业用于模型训练时，需要满足哪些合规要求？（10分）参考答案：1.（1）该医院HIS/EMR系统存储有300万条患者敏感个人信息，且属于医疗领域关键信息基础设施相关系统，一旦遭到破坏、数据泄露会严重危害公共利益、损害患者合