2026年《网络安全及信息安全》知识考试题库（附答案）

2026年《网络安全及信息安全》知识考试题库（附答案）（总分100分，考试时间90分钟）一、单选题（共20题，每题1分，共20分）1.根据2025年正式实施的《网络数据安全管理条例》，关键信息基础设施运营者在我国境内收集和产生的重要数据，确需向境外提供的，应当（）A.直接向境外传输B.报省级网信部门审批C.依法通过国家网信部门组织的安全评估D.仅需进行企业内部风险评估答案：C2.生成式人工智能服务提供者应当按照《生成式人工智能服务管理暂行办法》要求，对生成的内容进行标识，以下不属于强制标识范围的是（）A.AI生成的深度合成新闻音视频B.AI生成的用于个人学习的手绘草稿C.AI生成的虚假政务公告图片D.AI生成的涉及公众人物的合成语音答案：B3.2026年国家要求的网络安全等级保护第三级系统，定期开展等级测评的频率是（）A.每年至少一次B.每两年至少一次C.每三年至少一次D.每五年至少一次答案：A4.以下属于“零信任”网络安全架构核心原则的是（）A.默认信任内部网络所有主体B.基于网络位置划分信任边界C.永不信任、始终验证D.仅在首次访问时进行身份认证答案：C5.量子密钥分发（QKD）技术的核心安全特性是（）A.密钥传输速度比传统加密快10倍以上B.密钥被窃听时会被通信双方感知C.可以完全替代现有非对称加密算法D.不需要额外的硬件设备即可部署答案：B6.依据《个人信息保护法》，处理不满（）周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。A.12B.14C.16D.18答案：B7.以下不属于2026年常见的大模型prompt注入攻击方式的是（）A.提示词越狱：引导大模型忽略安全规则输出违规内容B.间接注入：在上传的文档中嵌入恶意指令诱导大模型执行C.多轮对话注入：通过多轮上下文隐藏恶意指令绕过检测D.SQL注入：通过输入SQL语句窃取大模型训练数据答案：D8.网络运营者发生数据泄露事件后，应当在（）内向履行网络安全保护职责的部门报告。A.24小时B.48小时C.72小时D.7天答案：C9.以下密码算法中，属于我国自主研发的商用密码哈希算法的是（）A.SM2B.SM3C.SM4D.RSA-3072答案：B10.工业控制系统（ICS）安全中，“纵深防御”架构的第一层防护是（）A.工业防火墙隔离控制层与信息层B.操作员站的终端杀毒软件C.物理访问控制，禁止无关人员进入工控机房D.PLC设备的固件定期升级答案：C11.依据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当自行或者委托网络安全服务机构对其关键信息基础设施的安全性和可能存在的风险（）至少进行一次检测评估。A.每季度B.每半年C.每年D.每两年答案：C12.以下属于数据分类分级中“核心数据”范畴的是（）A.企业公开的招聘信息B.未公开的国家事务重大决策信息C.企业内部员工通讯录D.可公开的行业统计数据答案：B13.2026年主流的抗量子加密算法（PQC）中，主要用于数字签名场景的是（）A.CRYSTALS-KyberB.CRYSTALS-DilithiumC.NTRUD.SABER答案：B14.以下关于Web3.0安全风险的描述，错误的是（）A.私钥泄露会直接导致数字资产被盗，且难以追回B.智能合约漏洞是去中心化应用（DApp）最常见的安全风险C.链上交易匿名性强，所有交易都无法被追踪D.钓鱼攻击是普通Web3.0用户面临的主要风险之一答案：C15.网络安全事件分级中，造成10人以上死亡，或者100人以上重伤，或者1亿元以上直接经济损失的，属于（）网络安全事件。A.一般B.较大C.重大D.特别重大答案：D16.企业开展数据出境活动时，以下哪种情形不需要申报数据出境安全评估（）A.关键信息基础设施运营者向境外提供重要数据B.处理100万人以上个人信息的个人信息处理者向境外提供个人信息C.企业向境外提供1万条非敏感个人信息用于海外业务合作D.自2023年1月1日起累计向境外提供10万人个人信息答案：C17.以下不属于云原生安全防护范畴的是（）A.容器镜像漏洞扫描B.Kubernetes集群RBAC权限管控C.传统物理防火墙端口配置D.微服务之间的零信任访问控制答案：C18.深度合成技术生成的以下内容中，不需要显著标识的是（）A.AI生成的虚拟主播新闻播报B.AI生成的用于内部测试的产品宣传图C.AI换脸生成的影视剧片段D.AI生成的模拟政府工作人员的政策解读视频答案：B19.以下关于漏洞管理的要求，错误的是（）A.发现高危漏洞后应当立即向有关部门报告，不得擅自向境外披露B.可以在未获得授权的情况下对政务系统进行漏洞扫描C.漏洞修复应当遵循“高危漏洞72小时内修复”的基本要求D.漏洞相关信息不得作为普通商品在网络上交易答案：B20.生成式人工智能服务提供者应当按照国家有关规定，对用户进行（）A.匿名身份认证B.基于手机号的实名认证C.基于身份证件的真实身份信息认证D.不需要身份认证答案：C二、多选题（共15题，每题2分，共30分，多选、少选、错选均不得分）1.以下属于2026年我国网络安全法律法规体系组成部分的有（）A.《网络安全法》B.《数据安全法》C.《个人信息保护法》D.《网络数据安全管理条例》答案：ABCD2.零信任架构的核心技术组件包括（）A.持续信任评估引擎B.最小权限访问控制策略C.微隔离D.安全访问服务边缘（SASE）答案：ABCD3.以下属于个人敏感信息范畴的有（）A.生物识别信息B.宗教信仰信息C.行踪轨迹信息D.未成年人的个人信息答案：ABCD4.生成式AI服务面临的典型安全风险包括（）A.训练数据泄露导致企业商业秘密外泄B.生成虚假信息引发网络谣言C.被用于生成恶意代码、钓鱼邮件等攻击工具D.算法歧视导致输出内容违反公平原则答案：ABCD5.关键信息基础设施的保护范围包括（）A.公共通信和信息服务领域的重要系统B.能源、交通、水利、金融等重要行业的核心业务系统C.电子政务系统D.国防科技工业领域的重要系统答案：ABCD6.商用密码应用安全性评估（密评）的评估对象包括（）A.采用商用密码进行保护的关键信息基础设施B.网络安全等级保护第三级及以上的信息系统C.面向公众提供服务的政务信息系统D.处理重要数据的信息系统答案：ABCD7.以下属于量子计算对现有网络安全体系带来的挑战的有（）A.可快速破解RSA、ECC等传统非对称加密算法B.可大幅降低哈希算法的碰撞抗性C.可破解现有大部分数字签名算法D.可直接穿透传统防火墙的防护答案：ABC8.工业控制系统安全与普通信息系统安全的差异包括（）A.工控系统可用性优先级高于保密性B.工控系统补丁升级需要严格测试，不能随意停机更新C.工控系统使用的协议多为专用协议，缺乏内置安全机制D.工控系统不需要进行身份认证答案：ABC9.数据安全治理的核心流程包括（）A.数据分类分级B.数据安全风险评估C.数据全生命周期安全防护D.数据安全审计与追溯答案：ABCD10.以下属于网络钓鱼攻击新形态的有（）A.AI生成的高度仿真的熟人语音诈骗B.针对企业员工的AI生成高仿钓鱼邮件C.深度合成的虚假客服视频诈骗D.伪造的企业内部即时通讯消息钓鱼答案：ABCD11.云原生安全的“左移”理念包括（）A.在软件开发阶段就集成安全检测能力B.在容器镜像构建阶段进行漏洞扫描C.在CI/CD流水线中嵌入安全校验环节D.安全防护从运行阶段向开发、测试阶段延伸答案：ABCD12.依据《网络安全法》，网络运营者应当履行的安全保护义务包括（）A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施答案：ABCD13.以下属于数据出境合法路径的有（）A.通过国家网信部门组织的数据出境安全评估B.按照国家网信部门的规定经专业机构进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务D.法律、行政法规或者国家网信部门规定的其他条件答案：ABCD14.网络安全应急响应的核心阶段包括（）A.准备阶段B.检测与分析阶段C.遏制、根除与恢复阶段D.总结与改进阶段答案：ABCD15.以下属于2026年我国网络安全等级保护制度要求的有（）A.第二级系统应当每两年至少进行一次等级测评B.第三级系统应当每年至少进行一次等级测评C.第四级系统应当每半年至少进行一次等级测评D.第五级系统应当根据特殊安全需求实施专门保护答案：ABCD三、判断题（共10题，每题1分，共10分）1.生成式人工智能服务提供者可以根据用户需求，生成模仿国家机关工作人员名义发布的虚假信息，只要明确标注是AI生成即可。（）答案：×2.企业向境外提供公开的个人信息时，不需要履行数据出境相关审批程序。（）答案：×3.零信任架构下，即使是企业内部网络的访问请求，也需要进行持续的身份验证和权限校验。（）答案：√4.商用密码SM4算法属于对称加密算法，可用于数据的加密存储和传输。（）答案：√5.发现网络安全漏洞后，可以先在境外安全论坛上披露漏洞细节，再向国内有关部门报告。（）答案：×6.个人信息处理者可以在未明确告知用户的情况下，自动收集用户的精准行踪轨迹信息用于商业营销。（）答案：×7.工业控制系统的安全防护可以直接照搬普通信息系统的防护方案，不需要进行适配调整。（）答案：×8.深度合成服务提供者对使用其服务生成的内容不承担任何责任，全部责任由使用者承担。（）答案：×9.量子密钥分发技术可以完全解决数据传输过程中的窃听风险，且无法被破解。（）答案：×10.关键信息基础设施运营者的负责人是本单位关键信息基础设施安全保护工作的第一责任人。（）答案：√四、简答题（共4题，每题5分，共20分）1.请简述2025年实施的《网络数据安全管理条例》中，数据分类分级的基本框架及各级数据的保护要求。答案：数据分为核心数据、重要数据、一般数据三级：（1）核心数据：指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据，实行最严格的保护制度，未经批准不得向境外提供，境内存储、传输、处理需符合国家专项安全要求；（2）重要数据：指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据，需定期开展风险评估，向境外提供需通过国家网信部门安全评估；（3）一般数据：指除核心数据、重要数据以外的数据，由数据处理者自行采取常规安全防护措施，保障数据安全。2.请简述生成式人工智能服务提供者应当履行的安全义务。答案：（1）落实算法安全主体责任，建立健全算法安全治理机制，对生成式人工智能服务进行安全评估；（2）对训练数据进行安全审核，防止训练数据包含违法违规内容，避免侵犯他人知识产权、个人信息等合法权益；（3）建立内容审核机制，对生成的内容进行核验，防止生成违法违规内容；（4）按照国家有关规定对生成的内容进行显著标识，防止公众混淆；（5）建立用户投诉举报、申诉处理机制，及时处理用户反馈的安全问题。3.请简述零信任架构与传统边界安全架构的核心差异。答案：（1）信任基础不同：传统边界架构默认信任内部网络主体，基于网络位置划分信任边界；零信任架构遵循“永不信任、始终验证”原则，不默认信任任何主体，与网络位置无关；（2）访问控制粒度不同：传统架构基于IP、端口进行粗粒度控制，零信任基于身份、上下文、风险进行细粒度最小权限控制；（3）验证机制不同：传统架构仅在首次访问时进行验证，零信任对所有访问请求进行持续的身份验证和信任评估，动态调整权限；（4）防护范围不同：传统架构仅防护边界，零信任覆盖网络、应用、数据、终端等全栈安全，实现全链路防护。4.请简述企业发生数据泄露事件后的应急处置流程。答案：（1）事件研判：第一时间启动应急预案，确认泄露的数据类型、范围、影响程度，排查泄露原因；（2）风险遏制：立即采取技术措施切断泄露路径，防止泄露范围进一步扩大，对受损系统进行隔离；（3）信息上报：在72小时内向履行网络安全保护职责的部门报告事件情况，涉及个人信息泄露的，应当及时告知受影响的个人；（4）事件处置：对泄露的数据进行追踪，清除已泄露的违法公开数据，修复系统漏洞，恢复系统正常运行；（5）事后复盘：对事件原因进行全面分析，完善安全防护措施，对相关责任人进行处理，形成事件处置报告上报监管部门。五、案例分析题（共2题，每题10分，共20分）1.某互联网企业2026年上线了一款生成式AI绘图工具，用户输入关键词即可生成对应图片。上线后出现以下问题：部分用户上传包含商业秘密的设计图作为参考图，工具生成的图片泄露了参考图中的商业秘密；有用户利用该工具生成假冒的政府公文图片并在网络传播，造成不良影响；还有用户反映该工具生成的图片侵犯了多位画师的著作权。请结合相关法律法规，分析该企业存在的安全问题及整改措施。答案：存在的安全问题：（1）未建立训练数据及用户输入数据的安全审核机制，未对用户上传的参考图进行敏感信息检测，导致商业秘密泄露；（2）内容审核机制不完善，未对生成的违法违规内容进行拦截，未落实生成内容标识要求，导致假冒政府公文图片传播；（3）未对训练数据的知识产权合规性进行审核，未建立知识产权保护机制，侵犯他人著作权。整改措施：（1）完善用户输入数据检测机制，对用户上传的参考图进行敏感信息、商业秘密检测，明确告知用户参考图的存储、使用规则，不得将用户上传的非公开数据用于模型训练；（2）建立内容审核模型，对生成的内容进行违法违规内容拦截，对生成的公文、新闻等公共属性内容进行显著标识，建