2026年国家网络安全知识题库及答案

2026年国家网络安全知识题库及答案一、单项选择题（共25题，每题只有1个正确答案）1.根据2025年1月1日正式施行的《网络数据安全管理条例》，国家建立数据分类分级保护制度，其中关系国家安全、国民经济命脉、重要民生、重大公共利益等，一旦遭到泄露、篡改、损毁将对国家安全造成特别严重危害的数据属于（），依法实行最严格的管理制度。A.核心数据B.重要数据C.敏感个人信息D.一般数据2.按照《信息安全技术生成式人工智能服务安全基本要求》（GB/T45656-2025），生成式人工智能服务提供者开展训练数据治理应当遵循（）原则，不得收集与服务功能无关的个人信息，不得非法留存可识别特定自然人的原始敏感个人信息。A.告知-同意B.最小必要C.公开透明D.利益优先3.根据《计算机信息网络国际联网安全保护管理办法》要求，网络接入单位应当自网络正式联通之日起（）日内，到所在地省、自治区、直辖市人民政府公安机关指定的受理机关办理备案手续。A.15B.30C.45D.604.网络安全等级保护制度中，第三级网络运营者应当（）至少开展1次等级测评，第四级网络运营者应当每半年至少开展1次等级测评，及时发现并整改安全隐患。A.每年B.每两年C.每三年D.每季度5.根据《个人信息出境标准合同办法》及2025年发布的配套备案指引，个人信息处理者通过订立标准合同方式向境外提供个人信息的，应当在标准合同生效之日起（）个工作日内向所在地省级网信部门完成备案。A.5B.10C.15D.306.以下哪类行为不属于2025年以来国家网信办、公安部明确重点整治的电信网络诈骗新型违法违规行为？A.利用AI换脸、AI语音克隆技术冒充亲友、单位领导实施诈骗B.通过虚拟货币、数字藏品等匿名交易渠道转移诈骗赃款C.高校联合属地公安部门面向在校学生开展反诈宣传进校园活动D.利用非法获取的快递面单、医疗就诊记录开展精准诈骗7.根据《商用密码管理条例》（2023修订），关键信息基础设施运营者应当使用（）对存储、传输的核心数据、重要数据进行加密保护，定期开展商用密码应用安全性评估。A.核心密码B.普通密码C.商用密码D.自研非公开加密算法8.按照《汽车数据安全管理若干规定（试行）》要求，智能网联汽车生产企业、运营者收集车内驾乘人员的人脸、声纹、心率等生物识别信息，应当取得（）的单独同意，不得设置默认授权、强制捆绑授权等不合理收集规则。A.车辆所有人B.驾乘人员个人C.车辆实际使用人D.车辆所属运营单位9.根据《网络安全审查办法》，网络安全审查工作机制成员单位在开展审查时，判断网络产品和服务、数据处理活动是否影响国家安全的核心考量因素不包括以下哪一项？A.产品和服务被非法控制、干扰、中断，导致关键信息基础设施业务中断的风险B.产品和服务研发人员的平均薪酬水平与人员流动率C.数据处理活动中核心数据、重要数据被窃取、泄露、毁损、非法利用的风险D.产品和服务供应中断对关键信息基础设施连续性运行的影响程度10.按照《国家网络安全事件应急预案》要求，发生大范围用户信息泄露事件，涉及受影响用户超过1000万，或造成直接经济损失超过10亿元，或对国家安全、社会秩序造成特别严重影响的网络安全事件，属于（）级特别重大网络安全事件。A.ⅠB.ⅡC.ⅢD.Ⅳ11.企业在使用开源软件开展信息系统研发建设时，以下哪项操作不符合网络安全供应链管理规范要求？A.在引入开源组件前开展漏洞扫描与开源许可证合规审查B.建立开源软件全生命周期管理台账，持续跟踪官方发布的漏洞预警与补丁信息C.直接从非官方第三方论坛下载破解版开源组件接入核心业务系统D.对上线运行的开源组件定期开展渗透测试，在业务窗口期及时修复高危漏洞12.日常办公场景中处理单位内部敏感工作信息时，以下哪种行为符合网络安全管理规范？A.将敏感工作文件上传至个人云盘存储，方便居家办公时访问B.使用单位统一配发的加密移动存储介质拷贝敏感文件，并做好访问权限管控C.通过私人微信、QQ等即时通讯工具将敏感文件直接发送给外部合作方D.将废弃的纸质敏感文件直接丢入公共垃圾桶，未做粉碎消磁处理13.根据《网络数据安全管理条例》，处理重要数据的网络数据处理者，应当（）开展一次全面数据安全风险评估，形成风险评估报告报送属地网信部门和对应行业主管部门。A.每半年B.每年C.每两年D.每三年14.针对生成式人工智能服务的提示词注入攻击，是指攻击者通过构造特殊的输入指令，绕过模型内置的安全防护规则，诱导模型生成违法违规内容、泄露敏感信息或执行恶意操作，以下哪种防护措施无法有效抵御此类攻击？A.对用户输入内容进行前置安全过滤，建立恶意指令特征库识别攻击行为B.强化模型安全对齐训练，提升模型对恶意诱导指令的识别与拒答能力C.开放模型底层系统调用接口的全部权限，允许用户直接访问训练数据集D.建立输出内容多轮审核机制，对突破防护生成的违规内容及时拦截处置15.根据《个人信息保护法》对个人敏感信息的界定，以下哪类信息不属于个人敏感信息范畴？A.生物识别、宗教信仰、特定身份信息B.医疗健康、金融账户、行踪轨迹信息C.一旦泄露可能危害自然人人身、财产安全或人格尊严的信息D.自然人自行在社交平台公开的昵称、公开工作单位信息16.根据《中华人民共和国反电信网络诈骗法》，任何单位和个人不得非法制造、买卖、提供或者使用可用于实施电信网络诈骗活动的设备、软件，以下哪类设备属于依法管制的涉诈设备？A.经国家电信主管部门批准接入公用电信网的企业级语音网关设备B.可实现多卡批量拨叫、远程控制、突破电话卡实名制管控的GOIP、VOIP设备C.个人日常使用的普通智能手机D.企业用于正规客户服务、经过备案的呼叫中心系统17.网络运营者落实网络安全等级保护第三级防护要求时，以下哪项不属于必须落实的技术防护措施？A.在网络边界部署访问控制、入侵检测、恶意代码防范等安全设备B.对重要业务数据采取本地备份与异地容灾措施，保障数据可用性C.对所有访问系统的用户进行身份鉴别，涉及核心操作的环节采用多因素认证D.将系统最高权限开放给全体运维人员，允许任意时间、任意地点远程登录操作18.工业企业开展生产控制网络安全防护时，应当遵循“安全分区、网络专用、横向隔离、纵向认证”的工控安全防护原则，以下哪项操作不符合工控安全管理要求？A.在生产控制区与管理信息区之间部署工业防火墙，禁止未经授权的跨区访问B.直接将工控系统接入公共互联网方便厂商远程调试，不设置任何访问控制策略C.对工控设备的操作日志进行全量留存，定期审计异常操作与违规访问行为D.定期对工控系统开展漏洞排查，在停机维护窗口期安装经兼容性测试的安全补丁19.根据《中华人民共和国密码法》，国家对密码实行分类管理，其中（）用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用该类密码保护网络与信息安全。A.核心密码B.普通密码C.商用密码D.专用涉密密码20.用户在日常使用网络账号时，以下哪种密码设置与使用方式的安全性最高？A.使用自己的生日、手机号等容易记忆的字符作为密码B.使用“123456”“admin”等通用简单密码，减少记忆负担C.使用包含大小写字母、数字、特殊符号的8位以上长密码，并配合开启多因素认证D.所有网络平台的账号使用同一套密码，避免遗忘21.根据《未成年人网络保护条例》，网络游戏服务提供者应当严格落实未成年人网络游戏防沉迷要求，不得在每日（）时间段向未成年人提供网络游戏服务。A.20:00至次日8:00B.21:00至次日8:00C.22:00至次日8:00D.23:00至次日8:0022.根据《数据出境安全评估办法》，数据处理者向境外提供数据时，以下哪种情形不需要向国家网信部门申报数据出境安全评估？A.关键信息基础设施运营者收集和产生的个人信息、重要数据出境B.处理100万人以上个人信息的数据处理者向境外提供个人信息C.非关键信息基础设施运营者累计向境外提供10万人非敏感个人信息，且未包含重要数据D.自上一年度1月1日起累计向境外提供100万人个人信息或1万人敏感个人信息23.钓鱼邮件是攻击者传播恶意程序、窃取账号信息的常用手段，以下关于钓鱼邮件识别的说法错误的是？A.钓鱼邮件常伪造发件人身份，冒充领导、同事、合作单位发送B.钓鱼邮件常使用“紧急通知”“工资调整”“中标公示”等诱导性标题吸引用户点击C.钓鱼邮件携带的附件、链接往往植入恶意程序，点击后可能导致设备被控、信息泄露D.只要是带有附件的电子邮件都是钓鱼邮件，应当直接全部删除24.根据《中华人民共和国网络安全法》，以下哪种网络行为属于合法合规的网络安全活动？A.经信息系统所有者书面授权，在授权范围内开展渗透测试与漏洞检测工作B.使用黑客工具扫描公共互联网上的信息系统，发现漏洞后公开售卖获利C.在未获得授权的情况下登录他人网络账号，查看他人隐私信息D.故意传播计算机病毒、勒索软件等恶意程序，影响他人网络正常运行25.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过（）。A.产品质量检测B.网络安全审查C.运行性能测试D.系统兼容性评估单项选择题参考答案：1.A2.B3.B4.A5.B6.C7.C8.B9.B10.A11.C12.B13.B14.C15.D16.B17.D18.B19.C20.C21.C22.C23.D24.A25.B二、多项选择题（共15题，每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据《网络数据安全管理条例》，网络数据处理者开展数据处理活动应当遵守的基本原则包括（）。A.坚持合法、正当、必要的原则，不得过度收集数据B.尊重社会公德、遵守公序良俗与科技伦理，不得危害国家安全、公共利益C.落实数据安全保护责任，采取技术措施和其他必要措施保障数据安全D.保护个人信息权益，不得非法收集、使用、加工、传输他人个人信息2.根据《关键信息基础设施安全保护条例》，关键信息基础设施覆盖以下哪些重点行业和领域？（）A.公共通信和信息服务、能源、交通、水利行业B.金融、公共服务、电子政务领域C.国防科技工业领域D.其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统3.根据《生成式人工智能服务管理暂行办法》，面向公众提供服务的生成式人工智能提供者应当履行的安全义务包括（）。A.落实网络安全等级保护制度，建立健全内容安全审核机制B.对训练数据来源合法性负责，不得侵害他人知识产权与个人信息合法权益C.对生成的违法违规内容及时采取处置措施，防止信息扩散D.设置便捷的用户投诉举报渠道，及时处置公众反馈的违法生成内容4.根据《个人信息保护法》，以下哪些行为属于法律明确禁止的侵害个人信息权益的行为？（）A.超出用户同意范围收集与提供服务无关的个人信息，存在过度收集行为B.通过“大数据杀熟”方式，对同一商品或服务向不同交易条件的用户设置不合理差别价格C.在用户不知情、未同意的情况下，将个人信息提供给第三方用于商业营销D.处理生物识别、医疗健康、金融账户等敏感个人信息未取得用户单独同意5.日常办公场景中，以下哪些行为存在明确的网络安全风险隐患？（）A.离开工位时不锁定电脑屏幕，允许无关人员操作办公系统B.使用私人U盘随意拷贝单位内部数据，未经过病毒查杀直接接入办公网络C.将办公系统账号密码转借同事使用，不履行权限报备流程D.收到陌生发件人发送的邮件附件，未经过病毒查杀直接打开运行6.根据《反电信网络诈骗法》，电信业务经营者、金融机构、互联网服务提供者应当履行的反诈风险防控义务包括（）。A.严格落实电话卡、银行卡、互联网账号实名制要求，杜绝虚假实名、冒名开户B.建立异常账户和可疑交易监测机制，及时识别、拦截涉诈信息与资金流转C.按照规定向公安机关移送涉诈违法犯罪线索，配合案件侦办工作D.对识别出的涉诈异常电话卡、银行卡、互联网账号，依法采取限制功能、暂停服务等处置措施7.我国网络安全等级保护工作的核心工作流程包括以下哪些环节？（）A.系统定级、备案B.安全建设整改C.等级测评D.运营维护与监督检查8.根据《汽车数据安全管理若干规定（试行）》，智能网联汽车运营者开展车联网数据处理活动应当遵守的安全要求包括（）。A.收集个人信息应当取得用户同意，遵循最小必要原则，不得收集与车辆服务无关的个人信息B.车联网场景下的重要数据应当依法在境内存储，确需出境的应当通过数据出境安全评估C.不得违规收集驾乘人员隐私信息，不得在用户不知情的情况下开启车内录音、录像设备D.对收集的车外视频、图像数据进行匿名化处理，不得非法识别可特定化的自然人信息9.发生网络安全事件后，涉事单位应当第一时间启动应急预案，采取以下哪些应急处置措施防止危害扩大？（）A.及时切断攻击入侵路径，隔离受感染的设备和系统，控制风险横向扩散B.全面留存攻击证据，包括攻击日志、恶意样本、攻击路径记录等，配合监管部门开展调查C.按照规定时限向属地网信、公安、行业主管部门报告事件情况，不得迟报、瞒报、谎报D.在安全风险可控的前提下，及时修复安全漏洞，恢复受损系统与数据的正常运行10.商用密码应用与安全性评估（简称“密评”）是落实密码法要求的重要制度，以下哪些系统属于应当定期开展密评的对象？（）A.关键信息基础设施B.网络安全等级保护第三级及以上的非涉密信息系统C.面向公众提供服务的政务信息系统D.处理国家绝密级信息的涉密信息系统11.根据《互联网信息服务深度合成管理规定》，以下关于深度伪造（深度合成）技术应用的说法，符合法律法规要求的有（）。A.禁止利用深度合成技术制作、传播虚假新闻信息，扰乱社会公共秩序B.利用深度合成技术制作涉及他人肖像、声音的内容，应当取得权利人的明确同意，不得侵害他人人格权益C.提供可能引发公众混淆的深度合成服务时，应当对生成内容添加显著标识，保障公众知情权D.经权利人同意后，可利用深度合成技术制作反诈宣传、科普教育等公益内容12.企业开展网络供应链安全管理时，应当对以下哪些环节的安全风险进行全流程管控？（）A.采购环节：对供应商安全资质、产品安全能力进行前置审查B.研发环节：对自研代码、开源组件、接入的第三方SDK开展安全检测C.上线环节：对系统开展全面安全测试，杜绝高危漏洞带险上线D.运维环节：持续跟踪供应链产品的漏洞预警，及时安装安全补丁，定期开展供应链安全评估13.公众日常使用移动互联网应用（App）时，以下哪些做法可以有效保护个人信息安全？（）A.从官方正规应用商店下载App，不随意点击陌生链接、扫描陌生二维码下载安装包B.首次打开App时仔细阅读权限申请说明，拒绝App申请的与服务功能无关的权限C.不在陌生App、陌生网站中输入身份证号、银行卡号、短信验证码等敏感信息D.及时注销不再使用的App账号，不随意授权App读取通讯录、精准位置、相册等敏感权限14.根据《未成年人网络保护条例》，网络产品和服务提供者应当履行的未成年人保护义务包括（）。A.不得向未成年人提供诱导其沉迷的产品和服务，严格落实防沉迷要求B.建立健全网络欺凌信息处置机制，严禁对未成年人实施网络欺凌C.不得通过网络向未成年人传播淫秽、色情、暴力、邪教、迷信等有害信息D.合理设置未成年人网络付费服务限额，不得为未满8周岁的未成年人提供付费交易服务15.零信任是当前网络安全防护的重要技术架构理念，以下关于零信任架构核心理念的说法正确的有（）。A.打破传统“内网即安全”的信任假设，默认不信任任何内外部用户、设备、应用B.对所有访问请求进行持续身份验证和信任评估，实现“永不信任、始终验证”C.严格遵循最小权限原则，仅授予用户完成本职工作所需的最小访问权限D.取消所有网络边界防护措施，完全不需要对访问行为进行安全管控多项选择题参考答案：1.ABCD2.ABCD3.ABCD4.ABCD5.ABCD6.ABCD7.ABCD8.ABCD9.ABCD10.ABC11.ABCD12.ABCD13.ABCD14.ABCD15.ABC三、判断题（共20题，正确填√，错误填×）1.根据《网络数据安全管理条例》，任何组织和个人都有权对违反网络数据安全管理规定的行为向网信部门和有关主管部门投诉举报，接到投诉举报的部门应当依法及时处理。（）2.关键信息基础设施运营者可以根据业务需要，将存储在境内的核心数据、重要数据随意传输至境外服务器存储，无需履行任何审批或评估程序。（）3.生成式人工智能服务提供者仅需要提供技术服务，不需要对用户输入的提示词和生成的内容进行审核，用户利用服务生成违法内容的责任全部由用户自行承担。（）4.个人信息处理者处理个人信息应当取得个人同意，但为履行法定职责或者法定义务所必需、为应对突发公共卫生事件所必需等法定情形下，不需要取得个人同意即可处理个人信息。（）5.为提高工作沟通效率，可以将单位内部的涉密文件、敏感工作信息发布到微信朋友圈、短视频平台等公开社交平台。（）6.电信网络诈骗分子冒充公检法机关工作人员，要求受害人将名下资金转入所谓“安全账户”接受审查的行为是典型诈骗手法，我国公检法机关从未设立所谓“安全账户”。（）7.网络安全等级保护制度是我国网络安全领域的基础性制度，所有网络运营者都应当按照等级保护要求，根据系统定级落实相应的安全保护义务。（）8.商用密码可以直接用于保护国家秘密信息，不需要经过国家密码管理部门的批准。（）9.智能网联汽车在道路测试、商业化运营过程中收集的高精度地理信息、重要交通设施信息属于重要数据范畴，应当依法在境内存储，不得违规出境。（）10.收到陌生号码发送的短信称“您的快递丢失可申请理赔，请点击链接填写银行卡信息领取赔款”，应当直接点击链接，按照页面提示输入银行卡号、验证码申请理赔。（）11.开展网络安全漏洞检测、渗透测试等活动，只要是出于帮助企业发现漏洞的善意目的，不需要获得信息系统所有者的正式授权即可开展。（）12.关键信息基础设施运营者应当每年至少开展1次网络安全应急演练，提升从业人员对突发网络安全事件的应急处置能力。（）13.个人信息处理者在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，设置显著的提示标识，所收集的个人图像、身份识别信息原则上只能用于维护公共安全的目的，取得个人单独同意的除外。（）14.为了减少登录操作流程，可以将办公系统账号设置为自动保存密码，借给外单位人员登录使用不需要向单位网信部门报备。（）15.提供人脸生成、人脸替换、语音克隆等可能导致公众混淆的深度合成服务，应当按照规定对生成内容添加可溯源的隐式标识和易于识别的显式标识，避免公众将合成内容误判为真实信息。（）16.企业发生用户个人信息泄露事件后，为避免影响企业声誉，可以不向监管部门报告，也不告知受影响用户，自行开展内部处置即可。（）17.根据《网络安全法》规定，网络运营者为用户办理网络接入、域名注册、固定电话、移动电话入网手续，或者提供信息发布、即时通讯等服务时，应当要求用户提供真实身份信息，落实网络实名制要求。（）18.在商场、餐馆等公共场所连接未设置密码的免费Wi-Fi时，可以放心登录网上银行、手机支付账户进行转账操作，不存在信息泄露风险。（）19.国家鼓励网络安全技术研发和推广应用，支持网络安全人才培养，建立健全网络安全保障体系，提升全社会网络安全保护能力。（）20.不满14周岁未成年人的个人信息属于敏感个人信息，网络产品和服务提供者收集未成年人个人信息的，应当取得未成年人父母或者其他监护人的同意，并制定专门的个人信息处理规则。（）判断题参考答案：1.√2.×3.×4.√5.×6.√7.√8.×9.√10.×11.×12.√13.√14.×15.√16.×17.√18.×19.√20.√四、简答题（共5题）1.简述《网络数据安全管理条例》确立的数据分类分级保护制度的核心内容。2.机关、企事业单位在日常工作中应当从哪些方面落实网络安全主体责任，防范网络安全事件发生？3.社会公众在日常工作生活中应当掌握哪些防范电信网络诈骗的实用技巧？4.面向公众提供服务的生成式人工智能提供者应当履行哪些内容安全与数据安全主体责任？5.简述零信任安全架构的核心理念，以及在企业网络防护中推广零信任架构的现实意义。简答题参考答案：1.《网络数据安全管理条例》确立的数据分类分级保护制度核心内容包括四个层面：一是分级标准明确，按照数据一旦遭到篡改、破坏、泄露、非法获取或利用，对国家安全、公共利益、个人或组织合法权益造成的危害程度，将数据从低到高分为一般数据、重要数据、核心数据三个级别，实行差异化保护；二是核心数据从严保护，国家建立核心数据目录，对关系国家安全、国民经济命脉、重要民生、重大公共利益的核心数据实行最严格的管理措施，严格限制核心数据的访问、传输、出境权限，严禁未经授权处理核心数据；三是重要数据重点保护，由各行业主管部门制定本行业、本领域重要数据目录，要求处理重要数据的单位明确数据安全负责人和专门管理机构，每年开展数据安全风险评估，重要数据出境必须通过数据出境安全评估；四是一般数据合规保护，数据处理者对日常运营中收集产生的一般数据，按照法律法规要求采取基本防护措施，在保障数据安全的前提下促进数据合法流通利用。2.机关、企事业单位落实网络安全主体责任需重点做好六方面工作：一是健全责任体系，明确单位主要负责人为网络安全第一责任人，建立覆盖全业务流程的网络安全管理制度，配备与业务规模相匹配的专职或兼职网络安全管理人员；二是落实等级保护要求，按照业务系统的定级结果及时完成备案，对照等保标准开展安全建设整改，定期开展等级测评，落实访问控制、入侵防范、恶意代码查杀、数据加密等技术防护措施；三是强化数据安全管控，建立数据分类分级管理台账，对重要数据、敏感个人信息采取权限管控、加密存储、定期备份等措施，严格规范数据收集、存储、使用、加工、传输、提供、公开、出境全流程管理；四是常态化开展宣传培训，定期组织员工开展网络安全知识培训和应急演练，重点普及钓鱼邮件识别、弱口令整改、敏感信息保护等实用技能，提升员工安全防范意识；五是加强供应链安全管理，对采购的网络产品、服务，以及研发过程中使用的开源组件、第三方SDK开展前置安全检测，建立供应链漏洞跟踪响应机制，防范供应链攻击风险；六是完善应急处置机制，制定覆盖各类常见场景的网络安全应急预案，发生网络安全事件后第一时间启动响应，控制风险扩散，按规定向监管部门报告，及时修复漏洞恢复业务正常运行。3.公众防范电信网络诈骗需重点掌握四方面技巧：一是牢记“三不一多”核心原则，即未知链接不点击、陌生来电不轻信、个人信息不透露、转账汇款多核实，坚决杜绝未经核实直接转账的行为；二是熟悉新型诈骗手法，重点警惕AI换脸/AI语音克隆冒充亲友或领导诈骗、冒充公检法要求转“安全账户”诈骗、刷单返利诈骗、虚假投资理财诈骗、虚假快递理赔/购物退款诈骗、“征信修复”“注销校园贷”诈骗等常见手法，遇到类似情况通过官