2026年网络与信息安全法律知识考试试题及答案

2026年网络与信息安全法律知识考试试题及答案一、单项选择题（每题1分，共30分）1.我国网络安全领域的基础性法律是（）。A.《中华人民共和国数据安全法》B.《中华人民共和国网络安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国密码法》答案：B2.根据《网络安全等级保护条例》，网络安全等级保护的等级共分为（）级。A.三B.四C.五D.六答案：C3.关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险（）至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。A.每半年B.每年C.每两年D.每三年答案：B4.根据《个人信息保护法》，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、（）、删除等活动。A.共享B.公开C.交易D.转移答案：B解析：《个人信息保护法》第四条明确列举了个人信息处理的法定活动类型，其中“公开”是独立的处理环节，共享、交易均属于“提供”范畴的具体形式。5.下列选项中，不属于敏感个人信息的是（）。A.生物识别信息B.宗教信仰信息C.医疗健康信息D.工作单位信息答案：D6.根据《数据安全法》，国家建立数据（）保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。A.分类分级B.等级保护C.风险评估D.安全审查答案：A7.关键信息基础设施运营者向境外提供在我国境内运营中收集和产生的重要数据的，应当通过（）。A.个人信息出境标准合同备案B.数据出境安全评估C.个人信息保护认证D.跨境数据传输备案答案：B8.根据《反电信网络诈骗法》，（）承担反诈工作的主体责任，应当建立健全反电信网络诈骗内部控制机制和安全责任制度。A.公安机关B.电信业务经营者C.网络服务提供者D.电信业务经营者、银行业金融机构、非银行支付机构、互联网服务提供者答案：D9.国家对密码实行分类管理。密码分为核心密码、普通密码和（）。A.商用密码B.民用密码C.行业密码D.专用密码答案：A10.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者对生成内容的合规性承担主体责任，这一要求体现的基本原则是（）。A.谁主管谁负责B.谁运营谁负责C.谁使用谁负责D.谁开发谁负责答案：B解析：生成式人工智能服务提供者即服务的运营主体，需对服务过程中生成的内容承担直接责任，对应“谁运营谁负责”的网络治理基本原则。11.根据《网络安全等级保护条例》，第三级以上网络的运营者应当自网络投入使用之日起（）日内，到所在地设区的市级以上公安机关备案。A.10B.15C.30D.60答案：C12.个人信息处理者处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。A.10B.12C.14D.16答案：C13.根据《数据安全法》，国家建立数据安全审查制度，对影响或者可能影响（）的数据处理活动进行国家安全审查。A.网络安全B.公共利益C.国家安全D.数据安全答案：C14.网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。这里的“网络运营者”不包括下列哪类主体？A.网络所有者B.网络管理者C.网络使用者D.网络服务提供者答案：C解析：《网络安全法》第七十六条明确，网络运营者是指网络的所有者、管理者和网络服务提供者，普通网络使用者不属于法定的网络运营者范畴。15.根据《个人信息保护法》，个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送（）。A.公安机关B.网信部门C.履行个人信息保护职责的部门D.市场监管部门答案：C解析：个人信息保护实行分行业监管，不同领域的个人信息保护监管职责由对应部门承担，因此需报送履行个人信息保护职责的部门，而非单一的网信部门。16.根据《关键信息基础设施安全保护条例》，关键信息基础设施认定规则由（）制定。A.国务院B.国家网信部门C.国务院公安部门D.国家网信部门会同国务院有关部门答案：D17.根据《数据出境安全评估办法》，数据出境安全评估结果有效期为（）年。A.1B.2C.3D.5答案：C18.根据《反电信网络诈骗法》，电信业务经营者应当依法全面落实电话用户（）信息登记制度。A.真实身份B.实名认证C.身份核验D.实名备案答案：A19.商用密码用于保护（）的信息。A.国家秘密B.商业秘密C.不属于国家秘密D.个人隐私答案：C解析：商用密码的适用范围是所有不属于国家秘密的信息，不仅包括商业秘密，还涵盖个人信息、公共数据等各类非涉密信息，B选项表述过于狭窄。20.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当按照（）的要求，对使用者进行真实身份信息认证。A.网络安全等级保护制度B.网络实名制C.关键信息基础设施保护制度D.个人信息保护制度答案：B21.网络运营者违反《网络安全法》第四十七条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的，由有关主管部门责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处（）罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。A.十万元以上五十万元以下B.二十万元以上一百万元以下C.五十万元以上二百万元以下D.一百万元以上五百万元以下答案：A22.根据《个人信息保护法》，情节严重的个人信息处理违法行为，最高可处（）的罚款。A.五百万元B.一千万元C.五千万元或者上一年度营业额百分之五D.一亿元或者上一年度营业额百分之十答案：C23.根据《数据安全法》，违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处（）罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。A.一百万元以上五百万元以下B.二百万元以上一千万元以下C.五百万元以上五千万元以下D.一千万元以上一亿元以下答案：B24.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者的主要负责人对本单位关键信息基础设施安全保护（）。A.负主要责任B.负总责C.负直接责任D.负领导责任答案：B25.根据《网络安全等级保护条例》，第三级网络的运营者应当（）开展一次等级测评。A.每半年B.每年C.每两年D.每三年答案：B26.个人信息处理者向境外提供个人信息，下列情形中无需通过国家网信部门组织的数据出境安全评估的是（）。A.关键信息基础设施运营者向境外提供个人信息B.处理100万人以上个人信息的处理者向境外提供个人信息C.一次性向境外提供1万条非敏感个人信息D.向境外提供1万条以上敏感个人信息答案：C解析：根据《个人信息出境安全评估办法》，关键信息基础设施运营者出境个人信息、处理100万人以上个人信息的处理者出境个人信息、出境10万人以上个人信息或1万人以上敏感个人信息的，均需通过国家网信部门组织的安全评估；1万条非敏感个人信息可通过签订标准合同、个人信息保护认证等其他合规路径出境。27.根据《反电信网络诈骗法》，下列哪项不属于互联网服务提供者的反诈义务？A.对涉诈互联网账号进行处置B.对涉诈应用程序进行下架C.协助公安机关调取涉诈证据D.对所有用户进行反诈培训答案：D28.根据《密码法》，核心密码、普通密码属于（）。A.国家秘密B.商业秘密C.工作秘密D.个人隐私答案：A29.生成式人工智能服务提供者的训练数据不包含下列哪项要求？A.数据来源合法B.不得侵害他人知识产权C.不得包含个人信息D.符合社会主义核心价值观答案：C解析：生成式AI训练数据可以包含个人信息，但需符合《个人信息保护法》规定的处理规则，如取得同意、具备合法性基础等，并非绝对禁止包含个人信息。30.网络安全事件发生的风险增大时，省级以上人民政府有关部门应当按照规定的权限和程序，并根据网络安全风险的特点和可能造成的危害，采取相应措施。下列哪项不属于法定措施？A.要求有关部门、机构和人员及时收集、报告有关信息B.组织有关部门、机构和专业人员，对网络安全风险信息进行分析评估C.关闭所有存在风险的网络服务D.向社会发布网络安全风险预警，发布避免、减轻危害的措施答案：C二、多项选择题（每题2分，共30分。多选、少选、错选均不得分）1.根据《网络安全法》的定义，网络安全保障网络数据的哪些核心属性？A.保密性B.完整性C.可用性D.可控性答案：ABC解析：《网络安全法》第七十六条明确规定，网络安全是指通过采取必要措施保障网络数据的完整性、保密性、可用性的能力，可控性并非法律明确规定的核心属性。2.下列主体中，属于《个人信息保护法》规定的“个人信息处理者”的有（）。A.收集用户个人信息的电商平台B.为电商平台提供云存储服务的云服务商（仅提供存储服务，不接触用户数据内容）C.处理员工个人信息的企业人力资源部门D.接受委托处理个人信息的第三方数据公司答案：AC解析：个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的个人或者组织。A选项电商平台自主决定收集用户信息的目的和方式，属于处理者；C选项企业人力资源部门代表企业自主处理员工个人信息，属于处理者；B选项仅提供存储服务的云服务商属于受托处理，不决定处理目的和方式；D选项接受委托的第三方属于受托方，而非处理者。3.根据《数据安全法》，数据处理活动包括数据的收集、存储、使用、加工、传输、提供、公开等，其中的“数据”包括下列哪些类型？A.以电子方式记录的信息B.以非电子方式记录的信息C.国家秘密数据D.个人信息数据答案：ABCD解析：《数据安全法》第三条规定，本法所称数据，是指任何以电子或者其他方式对信息的记录。因此电子和非电子形式的信息均属于数据范畴，国家秘密数据、个人信息数据均是数据的具体类型。4.关键信息基础设施运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份D.制定网络安全事件应急预案，并定期进行演练答案：ABCD解析：根据《网络安全法》第三十四条及《关键信息基础设施安全保护条例》第十五条至第二十条，上述四项均为关键信息基础设施运营者的法定安全保护义务。5.根据《网络安全等级保护条例》，下列网络的安全保护等级不低于第三级的有（）。A.县级人民政府机关的核心电子政务系统B.地市级以上人民政府机关的核心电子政务系统C.所有关键信息基础设施D.用户量超过1亿人的大型互联网平台运营者的核心业务系统答案：BCD解析：根据《网络安全等级保护条例》及配套的等级保护定级指南，地市级以上政府核心电子政务系统、所有关键信息基础设施、用户量超1亿人的大型互联网平台核心业务系统的保护等级均不低于第三级；县级政府核心电子政务系统一般定为第二级。6.个人信息处理者处理个人信息的合法性基础包括（）。A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件所必需答案：ABCD解析：《个人信息保护法》第十三条明确规定了个人信息处理的七项合法性基础，上述四项均属于法定情形。7.根据《反电信网络诈骗法》，反电信网络诈骗工作的基本原则包括（）。A.以人民为中心B.统筹发展和安全C.源头治理、综合治理D.齐抓共管、群防群治答案：ABCD解析：《反电信网络诈骗法》第四条明确规定了反电信网络诈骗工作的基本原则，上述四项均包含在内。8.数据出境活动的合规路径包括（）。A.通过国家网信部门组织的数据出境安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.由境外接收方出具合规承诺函答案：ABC解析：根据《数据安全法》《个人信息保护法》及相关配套规定，我国数据出境的法定合规路径包括安全评估、个人信息保护认证、标准合同三种，境外接收方单方承诺不构成独立的合规路径。9.根据《密码法》，下列密码类型中，用于保护国家秘密信息的有（）。A.核心密码B.普通密码C.商用密码D.民用密码答案：AB解析：《密码法》第七条规定，核心密码、普通密码用于保护国家秘密信息；商用密码用于保护不属于国家秘密的信息，没有“民用密码”这一法定分类。10.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当履行的义务包括（）。A.落实算法安全主体责任B.对生成内容进行审核C.对使用者进行真实身份信息认证D.不得生成任何涉及个人信息的内容答案：ABC解析：根据《生成式人工智能服务管理暂行办法》，生成式AI服务提供者需落实算法安全主体责任、开展内容审核、落实实名制认证等义务；并未禁止生成涉及个人信息的内容，只要符合个人信息保护相关法律规定即可，因此D选项错误。11.下列选项中，属于我国网络安全事件分级的有（）。A.特别重大网络安全事件B.重大网络安全事件C.较大网络安全事件D.一般网络安全事件答案：ABCD解析：根据《国家网络安全事件应急预案》，网络安全事件分为特别重大、重大、较大、一般四个等级，对应四级响应机制。12.根据《个人信息保护法》，个人对其个人信息享有的权利包括（）。A.知情权、决定权B.查阅权、复制权C.更正权、删除权D.可携带权答案：ABCD解析：《个人信息保护法》第四章明确规定了个人在个人信息处理活动中的权利，包括知情决定权、查阅复制权、更正补充权、删除权、可携带权等，上述四项均属于法定权利。13.关键信息基础设施安全保护工作的部门（以下简称保护工作部门）的职责包括（）。A.制定本行业、本领域关键信息基础设施安全规划B.组织认定本行业、本领域的关键信息基础设施C.对关键信息基础设施运营者的安全保护工作进行监督检查D.直接运营关键信息基础设施答案：ABC解析：根据《关键信息基础设施安全保护条例》，保护工作部门负责制定本行业领域安全规划、组织认定关键信息基础设施、开展监督检查等职责；关键信息基础设施由运营者自行运营，保护工作部门不直接运营，因此D选项错误。14.根据《数据安全法》，国家建立数据分类分级保护制度，将数据分为（）。A.一般数据B.重要数据C.核心数据D.敏感数据答案：ABC解析：《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据的重要程度分为一般数据、重要数据和核心数据三个层级；敏感数据属于个人信息保护领域的分类，不属于数据安全法的分类层级。15.根据《网络安全等级保护条例》，网络运营者应当履行的等级保护义务包括（）。A.按规定开展定级备案B.落实安全保护措施，完成建设整改C.按规定开展等级测评D.接受公安机关的监督检查答案：ABCD解析：网络运营者作为等级保护的责任主体，需完成定级备案、建设整改、等级测评等全流程工作，并配合监管部门的监督检查，上述四项均为运营者的法定等级保护义务。三、判断题（每题1分，共10分）1.《网络安全法》仅适用于在我国境内开展的网络运营活动，境外的网络活动一律不适用。答案：错误解析：《网络安全法》第二条规定了境内适用的一般原则，但针对境外的网络攻击、破坏等危害我国国家安全和公共利益的活动，依据本法第七十五条的规定仍可追究法律责任，并非一律不适用。2.个人信息处理者可以在未经个人同意的情况下，为履行法定职责所必需处理个人信息。答案：正确3.关键信息基础设施运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。答案：正确4.根据《数据安全法》，数据交易中介服务机构提供数据交易服务时，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。答案：正确5.第三级网络的运营者应当每两年开展一次等级测评。答案：错误解析：根据《网络安全等级保护条例》，第三级网络的运营者应当每年开展一次等级测评，第四级网络每半年开展一次。6.个人信息保存期限应当为实现处理目的所必要的最短时间。答案：正确7.商用密码只能用于保护商业秘密，不能用于保护个人信息。答案：错误解析：商用密码用于保护不属于国家秘密的信息，包括商业秘密、个人信息等各类非国家秘密信息，并非仅能保护商业秘密。8.根据《反电信网络诈骗法》，任何单位和个人不得非法买卖、出租、出借电话卡、物联网卡、电信线路、短信端口、银行账户、支付账户、互联网账号等。答案：正确9.生成式人工智能服务提供者可以根据用户需求，生成任何形式的内容，无需进行审核。答案：错误10.数据出境安全评估结果的有效期为2年。答案：错误解析：根据《数据出境安全评估办法》，数据出境安全评估结果的有效期为3年。四、案例分析题（每题10分，共30分）1.案例：2026年3月，某市网信部门接到用户举报，称某大型电商平台“优品购”存在过度收集个人信息的行为。经调查核实：（1）“优品购”APP在用户注册时，强制要求用户提供人脸信息、通讯录信息，否则无法注册使用基础购物功能；（2）“优品购”将收集到的用户消费记录、浏览偏好等个人信息，未经用户同意即提供给第三方广告公司用于精准营销；（3）“优品购”未公开个人信息保护负责人的联系方式，也未向监管部门报送相关信息。请结合《个人信息保护法》的相关规定，回答下列问题：（1）“优品购”的上述行为分别违反了哪些法律规定？（2）针对上述违法行为，监管部门可以作出哪些行政处罚？答案：（1）违法行为对应法律规定：①强制收集人脸信息、通讯录用于基础购物功能，违反了《个人信息保护法》的最小必要原则，即处理个人信息应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式；人脸信息属于敏感个人信息，处理敏感个人信息应当取得个人的单独同意，且需具有特定的目的和充分的必要性。（3分）②未经用户同意向第三方提供个人信息用于精准营销，违反了《个人信息保护法》关于个人信息对外提供的规定，个人信息处理者向其他个人信息处理者提供个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。（3分）③未公开个人信息保护负责人联系方式且未报送监管部门，违反了《个人信息保护法》关于个人信息保护负责人的规定，处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，公开其联系方式，并将相关信息报送履行个人信息保护职责的部门。（2分）（2）行政处罚：监管部门可责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。（2分）解析：本题核心考点为个人信息处理的基本原则、敏感个人信息的特殊保护规则、个人信息对外提供的同意规则以及个人信息保护负责人制度。判断关键在于区分一般个人信息与敏感个人信息的处理要求，明确对外提供个人信息需单独同意的法定要求。2.案例：某省电网公司（经认定为关键信息基础设施运营者）于2026年5月发生一起网络安全事件，因运维人员违规操作导致核心电力调度系统遭到黑客侵入，造成部分区域供电中断2小时，影响用户1.2万户。事件发生后，该公司未在规定时间内向有关主管部门报告，自行处置后才向当地电力监管部门报备，且未保留完整的事件日志。请结合《网络安全法》《关键信息基础设施安全保护条例》的相关规定，回答下列问题：（1）该电网公司在事件处置过程中存在哪些违法行为？（2）关键信息基础设施运营者发生网络安全事件后，应当履行哪些法定报告义务？答案：（1）违法行为：①运维人员违规操作导致核心系统被侵入，反映出该公司未履行关键信息基础设施安全保护义务，未建立健全安全管理制度和操作规程，未对从业人员进行充分的安全教育和技能培训，违反了《关键信息基础设施安全保护条例》关于运营者安全保护义务的规定。（3分）②事件发生后未在规定时间内向主管部门报告，违反了《网络安全法》及《关键信息基础设施安全保护条例》关于网络安全事件报告的规定，关键信息基础设施发生网络安全事件后，运营者应当立即启动应急预案，及时处置并按规定向有关主管部门报告。（3分）③未保留完整的事件日志，违反了《网络安全法》关于网络日志留存的规定，网络运营者应当按照规定留存相关的网络日志不少于六个月。（2分）（2）法定报告义务：关键信息基础设施发生较大及以上网络安全事件时，运营者应当立即启动应急预案，采取处置措施防止危害扩大，保存相关记录，并在事件发生后2小时内向保护工作部门和公安机关报告；保护工作部门和公安机关接到报告后，应当按规定上报。同时，