NCP网络合规从业者认证考试试卷

NCP网络合规从业者认证考试试卷考试时长：90分钟满分：100分考试形式：闭卷考生须知：1.本试卷共四大题，全部内容为必答题，总分100分；2.答题前请准确填写姓名、单位、准考证号等考生信息；3.所有答案均需书写在答题区域内，超出范围作答无效。一、单项选择题（共20题，每题2分，共40分）每题只有一个正确答案，请将正确选项填入对应答题位置1.网络运营者开展网络活动，应当遵守的核心首要原则是（）A.高效便民原则B.合法合规原则C.盈利优先原则D.自由开放原则2.根据《网络安全法》规定，我国网络安全工作的方针是（）A.积极利用、科学发展、依法管理、确保安全B.统筹规划、统一标准、分级管理、全面防护C.安全第一、预防为主、综合治理、持续改进D.依法治理、保障安全、促进发展、服务大局3.下列不属于个人敏感信息的是（）A.生物识别信息B.居住住址C.银行卡密码D.面部特征信息4.网络运营者收集、使用个人信息，应当遵循的原则不包括（）A.合法B.正当C.必要D.无限留存5.关键信息基础设施运营者应当对重要系统和数据进行（），定期开展安全评估。A.免费开放B.等级保护测评C.随意迭代D.对外共享6.个人信息保存期限应当遵循的要求是（）A.永久保存B.业务必要最短期限C.三年以上D.五年以上7.发生个人信息泄露事件后，网络运营者首要工作是（）A.隐瞒事件B.及时补救并告知用户、上报监管部门C.仅内部记录D.自行处理无需上报8.网络等级保护制度中，二级信息系统对应的防护要求是（）A.自主保护B.重点保护C.强制保护D.专项保护9.下列行为中，属于违规网络操作的是（）A.定期更换办公系统密码B.私自搭建外网服务器传输内部数据C.封堵闲置网络端口D.定期查杀终端病毒10.根据《数据安全法》，数据处理活动应当坚持（）为主的风险防控原则。A.事后处置B.事前预防C.容错宽松D.自由管控11.网络日志留存的法定最低期限是（）A.30天B.60天C.90天D.180天12.下列不属于关键信息基础设施行业的是（）A.公共通信B.能源电力C.小型个体商铺D.交通运输13.个人行使个人信息删除权时，网络运营者应当（）A.无条件拒绝B.依法及时响应并处理C.拖延处理D.选择性处理14.网络安全事件应急处置的首要目标是（）A.挽回经济损失B.消除安全隐患、恢复系统正常运行C.追究人员责任D.上报舆情信息15.企业开展数据跨境传输前，针对重要数据应当完成（）A.安全评估B.公开公示C.无需审核直接传输D.内部备案即可16.办公场景中，关于内部数据传输规范说法正确的是（）A.可随意用私人U盘拷贝内部数据B.涉密数据需走专用审批流程传输C.私人微信可传输工作涉密数据D.外网邮箱可发送内部敏感文件17.下列属于网络安全物理防护措施的是（）A.防火墙部署B.机房门禁管控C.病毒查杀D.访问权限设置18.针对未成年人个人信息，网络运营者应当遵循（）原则。A.最大化收集B.最小必要、特殊保护C.随意使用D.无需告知19.网络运营者终止服务的，应当提前（）公示，妥善留存、清理用户数据。A.十日B.三十日C.六十日D.九十日20.数据分类分级的核心目的是（）A.增加工作流程B.精准防控数据安全风险C.应付检查D.统一数据格式二、判断题（共10题，每题1分，共10分，对的打√，错的打×）1.网络运营者可以默认用户同意，自动收集用户个人信息。（）2.所有网络信息系统都必须落实网络安全等级保护制度。（）3.普通企业非重要数据的处理活动，无需遵守数据安全相关法律法规。（）4.发生网络安全风险隐患时，企业可自行判断是否处置，无需上报监管部门。（）5.个人有权查询、更正自己被收集的个人信息。（）6.机房无人值守时，无需关闭闲置设备和网络端口。（）7.重要数据应当在境内存储，确需出境的需完成安全评估。（）8.员工可以将工作账号、密码转借同事临时使用。（）9.网络日志应当完整留存，不得篡改、删除、伪造。（）10.针对突发网络安全事件，企业无需制定应急预案，临时处置即可。（）三、简答题（共3题，每题10分，共30分）1.简述网络运营者在个人信息保护工作中的核心义务。2.简述网络安全等级保护工作的基本流程。3.企业发生数据泄露安全事件后，标准化应急处置步骤有哪些？四、案例分析题（共1题，20分）案例背景：某互联网服务企业，为提升用户服务体验，在未明确告知用户、未获取用户单独同意的前提下，自动收集用户手机号、定位信息、浏览记录等个人信息，且未对用户数据进行分类分级管理，网络日志仅留存15天。某日，企业服务器被非法入侵，大量用户敏感信息泄露，企业未第一时间告知用户，也未向网信、公安等监管部门上报，仅私下修复系统漏洞。后续该事件被媒体曝光，引发用户投诉和社会舆情。问题：1.该企业在日常网络合规运营中，存在哪些违规行为？（10分）2.结合相关法律法规，说明该企业应当承担的整改措施及合规优化方案。（10分）参考答案及评分标准一、单项选择题（每题2分，共40分）1.B2.A3.B4.D5.B6.B7.B8.A9.B10.B11.C12.C13.B14.B15.A16.B17.B18.B19.B20.B二、判断题（每题1分，共10分）1.×2.√3.×4.×5.√6.×7.√8.×9.√10.×三、简答题（每题10分，共30分，要点齐全即可得分）1.网络运营者个人信息保护核心义务（1）告知义务：收集使用个人信息前，明确告知用户收集范围、用途、留存期限等核心内容；（2分）（2）同意义务：获取用户自愿、明确同意，不得强制、默认收集个人信息；（2分）（3）最小必要义务：仅收集业务必需的个人信息，不超范围、超权限收集；（2分）（4）安全防护义务：采取技术和管理措施，保障个人信息安全，防范泄露、篡改、丢失；（2分）（5）响应与补救义务：及时处理用户查询、更正、删除申请，发生泄露及时补救、告知、上报。（2分）2.网络安全等级保护基本流程（1）定级：根据系统重要性、服务范围、数据等级，确定安全保护等级；（2分）（2）备案：向属地公安监管部门提交定级材料，完成系统备案；（2分）（3）建设整改：依据对应等级防护标准，完善技术、管理安全措施；（2分）（4）等级测评：委托第三方测评机构开展合规测评，出具测评报告；（2分）（5）监督检查：配合监管部门常态化监督检查，持续优化安全防护体系。（2分）3.数据泄露事件标准化应急处置步骤（1）风险研判：第一时间核查泄露数据范围、类型、影响用户数量，评估风险等级；（2分）（2）应急阻断：立即封堵漏洞、隔离风险系统，终止数据泄露行为；（2分）（3）隐患排查：全面排查系统漏洞、权限隐患、设备风险，彻底清除安全隐患；（2分）（4）告知上报：及时告知受影响用户，同步向网信、公安等监管部门上报事件详情；（2分）（5）复盘整改：梳理事件成因，完善安全制度和防护措施，建立长效防控机制。（2分）四、案例分析题（20分）1.企业存在的违规行为（10分）（1）违规收集个人信息：未明确告知用户、未获取用户同意，超范围收集用户敏感信息，违反个人信息合法、正当、必要原则；（3分）（2）未落实数据分类分级制度：未对用户数据进行分级管理，无差异化防护措施；（2分）（3）网络日志留存不达标：日志留存15天，低于法定90天最低留存期限；（2分）（4）应急处置违规：数据泄露后未告知用户、未上报监管部门，未履行法定应急义务。（3分）2.整改措施及合规优化方案（10分）（1）即时整改：立即梳理个人信息收集范围，关