2025年国家网络安全知识竞赛题库附参考答案

2025年国家网络安全知识竞赛题库附参考答案一、单项选择题（共30题，每题只有1个正确答案）1.根据2024年1月1日正式施行的《网络数据安全管理条例》，重要数据处理者应当（）对其数据处理活动开展一次全面数据安全风险评估，评估报告报送相关行业主管部门和同级网信部门留存备查。A.每季度B.每半年C.每年D.每两年2.依据《关键信息基础设施安全保护条例》，运营者应当自行或者委托网络安全服务机构对关键信息基础设施（）至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并将检测评估情况和整改结果报送保护工作部门和公安机关。A.每月B.每季度C.每半年D.每年3.按照《生成式人工智能服务管理暂行办法》及配套安全标准要求，提供具有舆论属性或者社会动员能力的生成式人工智能服务的提供者，应当在服务上线前按照《互联网信息服务算法推荐管理规定》履行（）手续，接受相关主管部门监督。A.网络安全等级保护测评B.算法备案C.工商信息变更D.商标注册4.零信任架构的核心安全原则是（）A.边界防护为主，默认信任内部网络访问B.永不信任，始终验证，最小权限C.以防火墙为核心的访问控制D.仅对外部访问请求进行身份验证5.依据《中华人民共和国反电信网络诈骗法》，电信业务经营者应当依法全面落实电话用户（）登记制度，对监测识别的涉诈异常电话卡用户应当重新进行身份核验，未核验的可以限制、暂停有关电话卡功能。A.真实身份B.业务类型C.使用场景D.缴费信息6.我国数据基础制度建设中明确的“数据三权分置”产权运行机制，指的是建立数据资源持有权、（）、数据产品经营权等分置的产权运行机制，为数据要素安全有序流通提供制度保障。A.数据所有权B.数据加工使用权C.数据跨境传输权D.数据公开权7.根据网络安全等级保护2.0相关标准（GB/T22239-2019），定级为第三级的网络安全等级保护对象，应当至少（）开展一次等级测评，及时发现并整改安全风险隐患。A.每半年B.每年C.每两年D.每三年8.针对近年来高发的勒索病毒攻击事件，下列防护措施中有效性最低的是（）A.定期对重要业务数据进行离线冷备份B.及时更新操作系统和业务软件的安全补丁C.关闭不必要的网络端口，限制服务器横向访问权限D.在终端安装单一特征码查杀的传统杀毒软件且不更新病毒库9.依据《个人信息保护法》，处理敏感个人信息应当取得个人的（），法律、行政法规规定应当取得书面同意的，从其规定。A.单独同意B.默示同意C.概括同意D.事后追认10.网络运营者收集个人信息时，应当遵循（）原则，不得过度收集个人信息，不得收集与提供的服务无关的个人信息。A.最多、最大范围B.最小、必要C.按需、全面D.优先、自愿11.根据《车联网网络安全和数据安全标准体系建设指南》《数据出境安全评估办法》相关要求，智能网联汽车采集的车辆位置、轨迹、车外视频图像等涉及地理信息的重要数据，确需向境外提供的，应当通过（）组织的数据出境安全评估。A.工业和信息化部B.国家互联网信息办公室C.公安部D.交通运输部12.根据《互联网信息服务深度合成管理规定》，深度合成服务提供者提供人脸生成、人脸替换、人声模拟等可能引发公众混淆或者误认的深度合成服务，应当严格落实（）要求，在生成或者编辑的信息内容的合理位置、区域进行显著标识，向公众提示深度合成情况。A.内容审核B.显著标识C.用户实名认证D.算法备案13.网络安全应急响应工作的PDCERF标准流程通常分为六个阶段，依次是准备、检测、（）、根除、恢复、总结。A.上报B.遏制C.备份D.溯源14.依据《网络安全法》，国家实行网络安全（）制度，对网络运营者按照制度要求履行安全保护义务的情况进行监督管理。A.分级保护B.等级保护C.分层防护D.分类监管15.下列密码技术中，属于我国商用密码体系中非对称加密算法的是（）A.AESB.SM2C.SM4D.DES16.关键信息基础设施运营者采购网络产品和服务，影响或者可能影响国家安全的，应当按照《网络安全审查办法》规定，通过（）组织的网络安全审查，未经审查通过的不得采购。A.国家网络安全审查办公室B.工业和信息化部C.公安部网络安全保卫局D.国家市场监督管理总局17.日常工作中收到发件人显示为单位领导的邮件，要求紧急转账到指定账户，并附带了一份带有“机密”标识的附件压缩包，下列处置方式最恰当的是（）A.按照邮件要求尽快完成转账，避免耽误工作B.直接下载附件查看具体要求C.通过电话、当面等线下渠道向领导本人核实邮件真实性，不随意点击附件或链接D.将邮件转发给同事帮忙确认18.根据《工业互联网安全分类分级管理指南（试行）》，涉及民生保障、安全生产、国民经济命脉的三级以上工业互联网平台，应当（）开展一次渗透测试，及时发现并修复高危漏洞。A.每季度B.每半年C.每年D.每两年19.下列关于个人信息保护的做法，错误的是（）A.公共场所安装图像采集设备应当设置显著提示标识B.个人信息处理者因业务需要向第三方提供个人信息的，应当向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息种类，并取得个人单独同意C.房地产开发企业可以随意向装修、中介机构出售业主的姓名、电话、房产信息获取收益D.个人发现个人信息处理者处理的个人信息不准确的，有权请求个人信息处理者更正、补充20.根据《网络产品安全漏洞管理规定》，网络产品提供者发现或者获知所提供网络产品存在安全漏洞后，应当立即采取修补措施，并及时向（）报送漏洞信息，不得在漏洞修补方案发布前擅自公开漏洞细节。A.公安机关B.工业和信息化部网络安全威胁和漏洞信息共享平台C.网信部门D.行业协会21.小张接到自称“某网贷平台客服”的电话，称小张之前注册的网贷账户存在不良征信记录，需要配合注销账户，否则会影响个人征信，要求小张将名下存款转入指定“安全账户”核验资金，小张应当（）A.按照对方要求转账到安全账户B.立即挂断电话，通过官方渠道核实平台账户情况，必要时拨打110报警C.告知对方自己的银行卡号和验证码方便核验D.按照对方指引下载屏幕共享软件配合操作22.根据2023年修订的《商用密码管理条例》，关键信息基础设施运营者应当使用（）对关键信息基础设施进行安全保护，定期开展商用密码应用安全性评估。A.商用密码B.核心密码C.普通密码D.国际通用加密算法23.下列关于云安全责任共担模型的说法，正确的是（）A.云服务商承担全部安全责任，租户无需采取任何安全措施B.云租户承担全部安全责任，云服务商仅提供计算存储资源C.云服务商负责云平台本身的基础设施安全，云租户负责自身部署在云上的业务系统、数据、访问控制等安全D.云服务商和租户各承担50%的安全责任24.针对Wi-Fi网络的安全防护，下列做法风险最高的是（）A.家庭Wi-Fi设置WPA3加密方式，定期修改管理密码B.办公网络采用802.1X身份认证，禁止未经授权的设备接入C.在公共场所随意连接未加密、无认证的免费Wi-Fi进行网银转账、登录支付账户D.关闭Wi-Fi的SSID广播功能，限制MAC地址接入25.根据《数据安全法》，国家建立数据（）制度，对数据实行分类分级保护，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据进行分类分级。A.分类分级保护B.全流程监管C.安全审查D.跨境评估26.下列攻击方式中，属于利用人的心理弱点开展社会工程学攻击的是（）A.SQL注入攻击B.钓鱼邮件仿冒领导要求转账C.DDoS攻击导致服务瘫痪D.利用操作系统缓冲区溢出获取权限27.依据《儿童个人信息网络保护规定》，网络运营者收集、使用、转移、披露不满十四周岁儿童个人信息的，应当取得（）的同意，并应当以显著、清晰的方式告知儿童个人信息处理的相关规则。A.儿童本人B.儿童监护人C.学校D.社区居委会28.防火墙是网络边界防护的核心设备，下列关于防火墙功能的描述，错误的是（）A.可以根据访问控制策略对进出网络的流量进行过滤B.可以部署网络地址转换（NAT）功能，隐藏内部网络地址C.可以完全抵御来自网络内部的恶意攻击和病毒传播D.可以支持VPN功能，为远程访问提供加密通道29.2023年我国发布的《全球人工智能治理倡议》明确提出，发展人工智能应当坚持（）导向，防范人工智能技术滥用风险，保障人类共同福祉。A.效率优先B.安全可控C.盈利优先D.技术至上30.企业开展数据销毁工作时，对于存储过核心商业秘密、重要数据的存储介质，下列处置方式最安全的是（）A.右键删除存储介质内的文件后转作其他用途B.对存储介质进行快速格式化后捐赠给公益机构C.采用物理粉碎、消磁等不可逆方式销毁存储介质，确保数据无法恢复D.将存储介质接入公共互联网进行格式化后丢弃【单项选择题参考答案】1.C2.D3.B4.B5.A6.B7.B8.D9.A10.B11.B12.B13.B14.B15.B16.A17.C18.B19.C20.B21.B22.A23.C24.C25.A26.B27.B28.C29.B30.C二、多项选择题（共15题，每题有2-4个正确答案，多选、少选、错选均不得分）1.依据《网络数据安全管理条例》，网络数据处理者开展数据处理活动应当遵守下列哪些安全义务（）A.建立健全全流程数据安全管理制度，组织开展数据安全教育培训B.采取相应的技术措施和其他必要措施，保障数据安全C.加强风险监测，发现数据安全缺陷、漏洞等风险时，立即采取补救措施D.发生数据安全事件时，立即启动应急预案，及时告知用户并向有关主管部门报告2.下列个人信息中，属于《个人信息保护法》规定的敏感个人信息的有（）A.生物识别信息、宗教信仰、特定身份B.医疗健康、金融账户、行踪轨迹C.不满十四周岁未成年人的个人信息D.个人的姓名、已公开的工作单位信息3.下列关于反电信网络诈骗的防范措施，说法正确的有（）A.不得非法买卖、出租、出借本人的电话卡、银行卡、支付账户B.任何单位和个人不得为他人实施电信网络诈骗提供广告推广、支付结算、技术支持等帮助C.接到“公检法”机关要求将资金转入“安全账户”的电话时，应当配合转账D.下载安装国家反诈中心APP，开启来电预警功能，能够有效识别涉诈电话、短信4.零信任架构的核心能力包括下列哪些选项（）A.身份作为新的安全边界，对所有访问主体进行多因素身份认证B.基于最小权限原则动态授权，根据访问主体的身份、环境、行为动态调整访问权限C.持续信任评估，对访问行为进行持续监测，发现异常及时阻断D.默认信任企业内部网络的所有访问请求，无需进行身份验证5.关键信息基础设施运营者应当履行下列哪些安全保护义务（）A.明确专门的网络安全管理机构和负责人，对网络安全管理负责人和关键岗位人员进行安全背景审查B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份，制定网络安全事件应急预案并定期开展演练D.优先采购安全可信的网络产品和服务，采购网络产品和服务可能影响国家安全的，应当通过网络安全审查6.防范AI深度伪造诈骗的有效措施包括（）A.接到亲友、领导通过视频、语音要求转账、提供敏感信息的，通过多种线下渠道交叉核实身份B.保护好个人人脸、声纹等生物特征信息，不随意在非正规平台上传人脸照片、录制声纹信息C.关注深度合成内容的标识提示，对无标识的“换脸”“拟声”内容提高警惕D.对来源不明的软件、链接不随意点击下载，避免被植入恶意程序窃取个人生物信息7.网络运营者按照等级保护制度要求，应当落实的安全管理和技术措施包括（）A.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施8.下列关于数据出境安全管理的说法，正确的有（）A.关键信息基础设施运营者收集和产生的个人信息和重要数据，应当在境内存储，确需向境外提供的应当依规开展安全评估B.重要数据出境必须通过国家网信部门组织的数据出境安全评估C.处理100万人以上个人信息的个人信息处理者向境外提供个人信息的，应当通过数据出境安全评估D.数据出境无需开展风险评估，可以随意传输到境外任何国家和地区9.勒索病毒的常见传播途径包括（）A.钓鱼邮件携带恶意附件、链接B.利用未修补的高危漏洞（如永恒之蓝）进行主动传播C.移动存储介质（U盘、移动硬盘）交叉感染D.供应链渠道传播，如被植入恶意代码的软件安装包10.企业日常网络安全管理中，符合密码安全使用规范的有（）A.设置长度不少于8位，包含大小写字母、数字、特殊字符的强密码B.不同系统、平台使用不同的密码，避免一个密码多处使用C.每3-6个月定期更换重要系统的登录密码，不将密码记录在公开可见的位置D.为方便记忆，将所有系统密码设置为自己的生日、手机号等容易记忆的字符11.根据《互联网信息服务算法推荐管理规定》，算法推荐服务提供者不得利用算法推荐从事下列哪些违法活动（）A.利用算法屏蔽信息、过度推荐、操纵榜单或者检索结果排序、控制热搜或者精选等干预信息呈现B.利用算法诱导未成年人沉迷网络C.利用算法对消费者实施不合理的差别待遇（即“大数据杀熟”）D.利用算法传播违法和不良信息12.网络安全事件发生后，应急响应工作中应当遵守的原则有（）A.第一时间遏制风险扩散，尽可能降低事件造成的影响和损失B.做好证据留存工作，为后续溯源、追责提供依据C.按照规定及时向网信、公安、行业主管部门上报事件情况，不得瞒报、谎报、迟报D.事件处置完成后及时总结经验教训，完善安全防护措施，避免同类事件再次发生13.下列关于商用密码应用的说法，正确的有（）A.国家鼓励在网络与信息系统中使用商用密码保护网络与信息安全B.关键信息基础设施运营者应当按照法律、行政法规的规定和商用密码应用安全性评估的要求使用商用密码C.商用密码可以用于保护国家秘密信息D.我国商用密码算法体系包括SM2、SM3、SM4、SM9等自主可控的密码算法14.下列属于常见的网络钓鱼攻击手段的有（）A.仿冒官方银行、电商平台的域名，搭建虚假网站诱导用户输入账号、密码B.通过短信发送带有钓鱼链接的虚假中奖、快递异常信息，诱导用户点击填写个人信息C.仿冒企业领导、同事发送邮件，诱导点击恶意附件或转账D.向用户发送带有恶意程序的二维码，诱导用户扫码后窃取账户信息15.个人在日常网络活动中，保护个人信息安全的正确做法有（）A.不随意在非正规网站、APP上填写个人身份证号、银行卡号、手机号等敏感信息B.闲置不用的APP及时注销账户，不随意授权APP获取通讯录、位置、相机等不必要的权限C.随意丢弃含有个人信息的快递单、银行卡交易凭证，不进行信息销毁处理D.不随意向他人透露手机收到的短信验证码、支付密码等信息【多项选择题参考答案】1.ABCD2.ABC3.ABD4.ABC5.ABCD6.ABCD7.ABCD8.ABC9.ABCD10.ABC11.ABCD12.ABCD13.ABD14.ABCD15.ABD三、判断题（共20题，正确请填√，错误请填×）1.根据《网络安全法》规定，网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。2.个人信息处理者可以在未取得个人同意的情况下，随意向第三方提供个人信息。3.勒索病毒攻击中，攻击者通常会加密受害者的文件，要求支付比特币等虚拟货币作为赎金才提供解密密钥，定期离线备份数据是防范勒索病毒的有效措施之一。4.关键信息基础设施运营者发生网络安全事件，导致重要数据泄露的，应当立即启动应急预案，按照规定向有关部门报告，不得隐瞒。5.使用相同的弱密码登录多个网站平台，一旦其中一个平台发生数据泄露，可能导致其他平台的账户也被攻击者登录，即产生“撞库”风险。6.《个人信息保护法》规定，个人有权撤回其对个人信息处理的同意，个人信息处理者应当提供便捷的撤回同意的方式。7.公共场所的免费Wi-Fi都是安全的，可以随意连接进行支付、登录个人账户等操作，不会存在信息泄露风险。8.生成式人工智能服务提供者应当对生成的内容负责，采取有效措施防止生成违法、虚假、有害信息，不得利用生成式AI服务从事危害国家安全、侵犯他人合法权益的活动。9.网络漏洞只需要在系统建设的时候修补一次即可，后续不需要再开展漏洞扫描和修补工作。10.反电信网络诈骗法规定，任何单位和个人不得非法制造、买卖、提供或者使用电话卡批量插入设备、改号电话、虚假主叫设备等涉诈设备。11.等级保护定级为第二级的信息系统，不需要开展等级测评，也不需要到公安机关备案。12.数据安全是数字经济发展的基础，数据处理者应当落实“谁处理、谁负责”的主体责任，保障数据全生命周期安全。13.收到陌生短信附带的链接，只要短信内容显示是熟悉的电商平台、快递公司发送的，就可以随意点击，不需要核实真伪。14.国家支持网络安全技术创新和应用推广，鼓励培养网络安全人才，提高全社会网络安全意识和防护能力。15.企业的网络安全防护只需要采购先进的安全设备就可以实现，不需要建立管理制度和开展人员培训。16.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。17.深度合成技术可以随意用于伪造他人人脸、声音制作搞笑视频发布到网络上，不需要征得他人同意，也不需要添加标识。18.防火墙、入侵检测系统、终端安全管理软件等安全设备配置完成后，不需要定期更新规则和策略，就可以实现永久安全防护。19.个人发现网络运营者违反法律规定收集、使用其个人信息的，有权要求网络运营者删除其个人信息。20.网络安全为人民，网络安全靠人民，维护网络安全是全社会共同的责任，需要政府、企业、社会组织、广大网民共同参与。【判断题参考答案】1.√2.×3.√4.√5.√6.√7.×8.√9.×10.√11.×12.√13.×14.√15.×16.√17.×18.×19.√20.√四、简答题（共4题）1.请结合工作实际，简述《网络安全法》规定的网络运营者应当履行的网络安全等级保护义务有哪些？参考答案：根据《中华人民共和国网络安全法》第二十一条规定，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：一是制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；二是采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；三是采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；四是采取数据分类、重要数据备份和加密等措施；五是履行法律、行政法规规定的其他安全义务。在实际工作中，网络运营者应当对照等级保护对应级别的标准要求，第一时间完成系统定级备案，定期开展等级测评和安全整改，建立健全覆盖人员、技术、管理的安全防护体系，定期开展应急演练和全员网络安全培训，切实提升网络安全防护能力。2.简述防范AI换脸、拟声等深度伪造类电信网络诈骗的主要措施。参考答案：针对AI深度伪造技术被滥用于电信网络诈骗的风险，需要个人、平台、监管多方协同防范：一是个人层面，要注重个人生物信息保护，不在非正规平台、非必要场景上传人脸照片、视频、录制声纹，避免生物特征信息被非法获取用于训练深度伪造模型；要严格落实身份交叉核验，接到亲友、领导通过视频、语音提出的转账、提供敏感信息要求时，通过电话回拨、当面核实、询问只有双方知晓的私密问题等方式交叉验证身份，不仅凭视频画面、声音就轻信对方身份；要提升终端安全防护能力，不随意点击来源不明的链接、下载非正规渠道的APP，避免手机、电脑被植入恶意程序窃取音视频资料；发现疑似深度伪造诈骗线索时，第一时间拨打110报警。二是平台层面，深度合成服务提供者要严格落实内容标识、算法备案、训练数据合法性审核义务，对生成的深度合成内容添加显著可识别标识，建立异常生成行为监测机制，及时发现阻断利用深度合成技术实施诈骗的违法违规行为。三是监管层面，加大对非法获取公民个人生物信息、利用深度合成技术实施诈骗等违法犯罪行为的打击力度，完善深度合成技术监管规则，畅通涉诈线索举报渠道，常态化开展深度伪造诈骗防范宣传，提升公众识别能力。3.简述企业数据安全全生命周期防护的核心环节。参考答案：企业数据安全防护应当覆盖数据采集、存储、传输、使用、加工、提供、公开、销毁全生命周期，核心环节包括：一是数据采集环节，严格遵循合法、正当、必要原则，明确数据采集的目的、范围、方式，不得超范围、超权限采集数据，涉及个人信息采集的应当充分履行告知同意义务。二是数据存储环节，按照数据分类分级要求，对重要数据、核心数据、敏感个人信息采取加密存储、细粒度访问权限控制、同城异地容灾备份等措施，防止数据被未授权访问、泄露、篡改。三是数据传输环节，采用TLS