2026年互联网法规与信息安全专业考核试卷及答案

2026年互联网法规与信息安全专业考核试卷及答案一、单项选择题（每题2分，共15题，共30分）1.我国《网络安全法》自何时起正式施行？A.2016年11月7日B.2017年6月1日C.2017年1月1日D.2018年6月1日答案：B解析：《中华人民共和国网络安全法》于2016年11月7日通过，自2017年6月1日起施行。2.下列哪项不属于个人信息处理者处理个人信息应当遵循的原则？A.合法、正当、必要B.诚信原则C.公开、透明原则D.效率优先原则答案：D解析：《个人信息保护法》规定处理个人信息应当遵循合法、正当、必要和诚信原则，公开、透明原则，质量原则、责任原则等，并无“效率优先”原则。3.关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行多少次检测评估？A.一次B.两次C.三次D.不限次数答案：A解析：《网络安全法》第三十八条明确要求每年至少进行一次检测评估。4.根据《数据安全法》，国家建立数据分类分级保护制度。数据分类分级保护的核心依据是？A.数据的重要程度B.数据量大小C.数据所属行业D.数据存储位置答案：A解析：根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。5.在信息安全三要素（CIA）中，C代表什么？A.可用性B.完整性C.机密性D.可控性答案：C解析：CIA即Confidentiality（机密性）、Integrity（完整性）、Availability（可用性）。6.下列哪种加密算法属于对称加密算法？A.RSAB.ECCC.AESD.SM9答案：C解析：RSA、ECC、SM9为非对称加密算法，AES为对称加密算法。7.在网络安全防护中，防火墙的主要功能是？A.查杀病毒B.入侵检测C.网络访问控制D.数据加密答案：C解析：防火墙根据安全策略对网络数据流进行过滤和访问控制，查杀病毒、入侵检测、数据加密并非其核心功能。8.SQL注入攻击最容易导致以下哪类安全问题？A.破坏数据完整性B.破坏数据机密性C.破坏系统可用性D.破坏物理安全答案：B解析：SQL注入主要利用输入漏洞非法获取数据库中的敏感信息，直接威胁数据机密性；虽然也可用于篡改数据，但多数攻击以窃取信息为主。9.根据《密码法》，密码分为核心密码、普通密码和商用密码。其中核心密码、普通密码用于保护什么信息？A.国家秘密B.商业秘密C.个人隐私D.工作秘密答案：A解析：《密码法》规定核心密码、普通密码用于保护国家秘密信息，商用密码用于保护不属于国家秘密的信息。10.下列不属于访问控制模型的是？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.防火墙（FW）答案：D解析：防火墙是一种网络安全设备或技术，用于实施访问控制策略，但本身不是访问控制模型。11.个人信息处理者向境外提供个人信息，除法律、行政法规另有规定外，应当取得个人的什么？A.单独同意B.默示同意C.书面同意D.口头同意答案：A解析：《个人信息保护法》第三十九条规定，向境外提供个人信息应当取得个人的单独同意。12.下列哪项不属于网络运营者应当履行的网络安全保护义务？A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.记录网络运行状态、网络安全事件D.收集所有用户个人信息以便安全审计答案：D解析：网络运营者收集个人信息应遵循合法、正当、必要原则，不得过度收集，更不可仅为安全审计而无差别收集所有用户个人信息。13.在密码学中，哈希函数不具有以下哪项性质？A.单向性B.抗碰撞性C.可逆性D.固定长度输出答案：C解析：哈希函数将任意长度输入映射为固定长度输出，具有单向性和抗碰撞性，不要求可逆，且通常不可逆。14.根据《个人信息保护法》，个人信息不包括什么处理后的信息？A.加密B.去标识化C.匿名化D.假名化答案：C解析：《个人信息保护法》规定个人信息不包括匿名化处理后的信息。15.我国网络安全等级保护制度将网络分为几个安全保护等级？A.三个B.四个C.五个D.六个答案：C解析：网络安全等级保护分为五个安全保护等级，第一级最低，第五级最高。二、多项选择题（每题3分，共10题，共30分。每题至少有两个正确选项，多选、少选、错选均不得分）1.根据《个人信息保护法》，个人信息处理者应当事前进行个人信息保护影响评估的情形包括哪些？A.处理敏感个人信息B.利用个人信息进行自动化决策C.向境外提供个人信息D.处理已公开的个人信息答案：A、B、C解析：《个人信息保护法》第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向境外提供个人信息等情形应当事前进行个人信息保护影响评估。处理已公开个人信息不在强制评估范围内。2.根据《网络安全法》，网络运营者收集、使用个人信息，应当遵循哪些要求？A.合法、正当、必要B.公开收集、使用规则，明示收集、使用信息的目的、方式和范围C.经被收集者同意D.可以不经同意用于任意商业用途答案：A、B、C解析：《网络安全法》第四十一条要求网络运营者收集、使用个人信息应当遵循合法、正当、必要原则，公开规则并明示目的、方式和范围，经被收集者同意。D项明显违法。3.下列哪些行为属于《数据安全法》中定义的“数据处理”活动？A.数据的收集、存储B.数据的使用、加工C.数据的传输、提供D.数据的公开、删除答案：A、B、C、D解析：《数据安全法》规定数据处理包括数据的收集、存储、使用、加工、传输、提供、公开、删除等，上述选项均属于。4.关键信息基础设施的运营者应当履行哪些安全保护义务？A.设置专门安全管理机构和安全管理负责人B.对安全管理负责人和关键岗位人员进行安全背景审查C.定期对从业人员进行网络安全教育、技术培训和技能考核D.对重要系统和数据库进行容灾备份答案：A、B、C、D解析：《网络安全法》第三十四条对关键信息基础设施运营者的安全保护义务作了明确规定，上述四项均属于法定要求。5.以下哪些属于常见的信息安全威胁？A.网络钓鱼B.拒绝服务攻击C.勒索软件D.社会工程学攻击答案：A、B、C、D解析：网络钓鱼、拒绝服务攻击（DoS/DDoS）、勒索软件、社会工程学攻击均为典型信息安全威胁。6.关于公钥密码体制，下列说法正确的有？A.加密密钥公开，解密密钥私有B.可以实现数字签名C.加解密速度通常比对称密码慢D.可用于对称密钥的安全分发答案：A、B、C、D解析：公钥密码体制使用一对密钥，公钥公开、私钥保密，可用于加密、数字签名和密钥分发；由于其数学运算复杂度较高，通常比对称密码加解密速度慢。7.根据《电子商务法》，电子商务经营者应当依法履行哪些义务？A.保障网络安全、稳定运行B.建立健全信用评价制度C.依法收集、使用个人信息D.向监管部门提供所有交易数据答案：A、B、C解析：《电子商务法》规定电子商务经营者应保障网络安全，建立信用评价制度，依法收集、使用个人信息。D项“提供所有交易数据”并非法定无条件义务，仅在依法定程序调取时提供。8.《网络安全法》规定，国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展哪些服务？A.网络安全认证、检测B.风险评估C.用户信息买卖D.安全咨询答案：A、B、D解析：网络安全法鼓励开展认证、检测、风险评估、安全咨询等服务，用户信息买卖属于违法行为。9.在网络安全等级保护中，第三级信息系统通常应当满足哪些基本要求？A.关键设备冗余B.强制访问控制C.安全审计D.入侵防范答案：A、B、C、D解析：等保三级要求较高，关键设备冗余、强制访问控制、安全审计、入侵防范均为基本技术要求。10.根据《个人信息保护法》，下列哪些属于敏感个人信息？A.生物识别信息B.宗教信仰信息C.特定身份信息D.行踪轨迹信息答案：A、B、C、D解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。三、判断题（每题1分，共10题，共10分。正确的写“正确”，错误的写“错误”）1.根据《网络安全法》，网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助，包括提供所有用户通信内容。答案：错误解析：法律要求提供技术支持和协助，但必须依法进行，不得滥用职权侵犯公民合法权利，不要求无条件提供所有通信内容。2.《个人信息保护法》仅适用于在中华人民共和国境内处理自然人个人信息的活动，不适用于境外处理境内自然人个人信息的活动。答案：错误解析：该法还适用于在境外处理境内自然人个人信息，且以向境内自然人提供产品或服务、分析评估境内自然人行为等为目的的活动。3.数字签名可以保证信息的机密性。答案：错误解析：数字签名用于保证消息的完整性、真实性、不可否认性，不能保证机密性；机密性需要通过加密实现。4.对称加密体制中，加密密钥和解密密钥相同或容易互相推导。答案：正确解析：对称加密又称单钥加密，加解密使用同一密钥或实质上可互推的密钥。5.根据《数据安全法》，任何个人和组织都有权对违反数据安全的行为向有关主管部门投诉、举报。答案：正确解析：《数据安全法》明确赋予个人和组织投诉、举报权。6.防火墙可以完全阻止所有网络攻击。答案：错误解析：防火墙只能根据策略过滤部分流量，无法阻止所有攻击，如应用层攻击、内部威胁等。7.《密码法》中的“密码”仅指用于加密信息的算法或产品。答案：错误解析：密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务，分为核心密码、普通密码和商用密码。8.网络运营者收集个人信息时，可以不经同意直接收集，只要事后通过用户协议告知即可。答案：错误解析：收集个人信息依法应当取得个人同意，且需在收集前明确告知目的、方式和范围，不得事后补告知。9.关键信息基础设施的运营者采购网络产品和服务，影响或可能影响国家安全的，应当进行网络安全审查。答案：正确解析：《网络安全法》及《关键信息基础设施安全保护条例》规定此类采购应当经过安全审查。10.零信任安全模型默认内网可信，外网不可信。答案：错误解析：零信任模型默认不信任任何网络，不区分内外网，对所有访问请求持续进行身份验证、授权和加密。四、简答题（每题5分，共4题，共20分）1.简述《个人信息保护法》中个人信息处理者处理个人信息应当遵循的“合法、正当、必要和诚信原则”的含义。答案：(1)合法：处理活动应当符合法律、行政法规的规定，具有合法性基础，不得违法违规处理；(2)正当：处理目的和方式应当正当，不违反公序良俗，不采用欺诈、胁迫等不正当手段；(3)必要：处理个人信息应当限于实现处理目的所必需的最小范围，不得过度收集、过度使用；(4)诚信：遵循诚实信用原则，履行告知义务，不作虚假、误导性描述，不得背信处理。2.简述《数据安全法》确立的数据分类分级保护制度的主要内容。答案：(1)国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及遭受侵害后对国家、公共利益、个人、组织合法权益的危害程度，进行分类分级；(2)制定重要数据目录，对列入目录的数据进行重点保护；(3)各地区、各部门按照国家规定确定本地区、本部门以及相关行业、领域的重要数据具体目录；(4)对核心数据实行严格保护，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据。3.简述公钥密码体制在数字签名中的应用原理。答案：(1)发送方使用自己的私钥对消息的哈希摘要进行加密，生成数字签名；(2)将消息与数字签名一并发送给接收方；(3)接收方使用发送方的公钥对数字签名解密，得到原摘要值；(4)接收方对收到的消息重新计算哈希，若两摘要值一致，则证明消息未被篡改且来源真实；(5)由于只有发送方持有私钥，数字签名具有不可否认性。4.简述我国网络安全等级保护制度的基本流程（主要环节）。答案：(1)定级：网络运营者根据网络的重要程度和危害后果，确定安全保护等级；(2)备案：向所在地公安机关办理备案手续；(3)建设整改：按照相应等级的安全要求，开展安全建设或实施整改；(4)等级测评：由符合资质的测评机构进行安全等级测评；(5)监督检查：公安机关等主管部门依法开展监督检查，确保持续符合等级保护要求。五、案例分析题（每题10分，共1题，共10分）1.某互联网公司运营一款社交App，在用户注册时强制收集用户通讯录、位置信息、相册照片等，且未在隐私政策中明确告知收集目的、方式和范围；后因安全防护不到位，数据库被攻击，导致100万条用户个人信息泄露，包括手机号码、身份证号码、家庭住址等。用户投诉后，监管部门介入调查。问题：(1)该公