2026年《网络与信息安全管理员》考试模拟练习题(含答案)

2026年《网络与信息安全管理员》考试模拟练习题(含答案)一、单项选择题（每题1分，共20分）1.根据《网络安全等级保护条例》，我国网络安全等级保护将网络和信息系统划分为（）个安全保护等级。A.3B.4C.5D.62.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的（）。A.口头同意B.单独同意C.概括同意D.推定同意3.零信任安全架构的核心原则是（）。A.信任内部，验证外部B.永不信任，始终验证C.一次验证，永久信任D.边界防护，内部可信4.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当对训练数据的（）负责，不得侵害他人合法权益。A.合法性B.公开性C.免费性D.完整性5.按照《国家网络安全事件应急预案》，我国网络安全事件从危害程度由低到高划分为（）四个等级。A.一般、较大、重大、特别重大B.普通、较大、重大、特别重大C.一般、普通、重大、特别重大D.一般、较大、严重、特别严重6.依据我国数据分类分级相关标准，数据的安全等级从高到低划分为（）。A.核心数据、重要数据、一般数据B.核心数据、一般数据、敏感数据C.重要数据、核心数据、一般数据D.敏感数据、重要数据、一般数据7.跨站脚本攻击（XSS）不包含以下哪种类型（）。A.存储型XSSB.反射型XSSC.DOM型XSSD.注入型XSS8.SSH远程登录协议默认使用的端口号是（）。A.21B.22C.23D.809.以下几种备份类型中，恢复时间最短、速度最快的是（）。A.增量备份B.差异备份C.完全备份D.日志备份10.根据《数据出境安全评估办法》，处理（）以上个人信息的个人信息处理者向境外提供个人信息，应当申报数据出境安全评估。A.50万人B.100万人C.150万人D.200万人11.信息安全CIA三元组不包含以下哪项核心属性（）。A.保密性B.完整性C.可用性D.不可否认性12.以下哪种防护措施无法有效防范SQL注入攻击（）。A.对用户输入进行严格过滤转义B.使用预编译语句C.关闭数据库错误信息回显D.开放数据库外网访问权限13.通用漏洞评分系统（CVSS）中，高危漏洞的评分区间是（）。A.0.0-3.9B.4.0-6.9C.7.0-8.9D.9.0-10.014.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当至少（）开展一次网络安全检测评估，并将评估报告报送相关保护工作部门。A.半年B.一年C.两年D.三年15.DNS欺骗攻击的核心目的是（）。A.耗尽服务器DNS服务资源B.将用户请求的域名解析到恶意IP地址C.窃取DNS服务器中的数据D.破坏DNS服务器的硬件16.以下加密算法中，属于非对称加密算法的是（）。A.AESB.RSAC.DESD.3DES17.网络钓鱼攻击最核心的目的是（）。A.消耗用户带宽资源B.窃取用户敏感信息如账号密码、银行卡信息等C.加密用户数据索要赎金D.破坏用户的系统硬件18.等级保护2.0流程中，第一步流程是（）。A.备案B.测评C.定级D.整改19.计算机存储容量单位换算中，1TB等于（）。A.1024MBB.1024GBC.1000MBD.1000GB20.以下哪种身份认证方式属于多因素认证（）。A.仅使用密码登录B.密码加手机验证码登录C.仅使用指纹登录D.仅使用USBKey登录二、多项选择题（每题2分，共20分）1.网络安全等级保护2.0标准中，安全技术要求包含以下哪些层面（）。A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心2.根据《中华人民共和国个人信息保护法》，个人信息处理处理者应当履行以下哪些法定义务（）。A.制定内部管理制度和操作规程B.对个人信息实行分类分级管理C.采取相应的安全技术措施保护个人信息安全D.定期对从业人员进行安全教育和培训3.以下属于DDoS攻击常见类型的有（）。A.TCPSYN洪水攻击B.UDP洪水攻击C.HTTP慢速攻击D.跨站脚本攻击4.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当落实以下哪些网络安全义务（）。A.对训练数据的合法性进行审核，不得侵犯知识产权和他人隐私B.对生成的内容进行违规内容审核，防止生成违法信息C.落实用户个人信息保护要求，不得非法收集用户信息D.建立安全漏洞应急处置机制，及时处置发现的安全漏洞5.数据安全防护的核心技术手段包含以下哪些（）。A.数据分类分级B.数据访问控制C.数据加密D.数据操作审计6.以下属于网络钓鱼攻击常见传播形式的有（）。A.钓鱼邮件B.假冒官方短信C.仿冒官方网站D.AI换脸冒充熟人诈骗7.网络安全应急响应的核心阶段包含以下哪些（）。A.应急准备B.事件检测与研判C.威胁遏制与根除D.业务恢复与复盘总结8.零信任安全架构的核心关键技术包含（）。A.持续身份认证B.微分区隔离C.最小权限访问D.持续风险评估9.根据《关键信息基础设施安全保护条例》，运营者在关键信息基础设施安全保护中应当履行以下哪些义务（）。A.制定网络安全应急预案，定期开展应急演练B.对从业人员进行网络安全教育培训C.定期开展安全检测评估，及时整改安全隐患D.在网络安全事件发生后及时上报，配合监管部门调查10.网络与信息安全管理员应当遵守的职业规范包含以下哪些（）。A.遵守国家法律法规，不得利用技术从事违法活动B.严格保守工作中接触到的国家秘密、商业秘密和个人信息C.诚实守信，不弄虚作假，不得擅自篡改用户数据D.不断提升专业技能，适应安全技术发展要求三、判断题（每题1分，共10分）1.网络安全等级保护2.0仅要求国有企业落实，民营企业不需要遵守。（）2.处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。（）3.零信任架构默认所有内部和外部请求都不可信，所有访问都需要验证授权。（）4.增量备份相比完全备份占用存储空间更小，备份速度更快。（）5.对称加密算法的加密速度比非对称加密算法更快，适合加密大量数据。（）6.我国法律规定，核心数据出境一律禁止，不得向境外提供核心数据。（）7.钓鱼邮件通常会伪装成官方机构、合作伙伴的邮件，诱导用户点击链接或下载附件。（）8.3-2-1备份策略是指：保留3份数据副本，存储在2种不同类型的介质上，1份副本存储在异地离线环境。（）9.只要安装了杀毒软件，就可以完全防范所有勒索病毒攻击。（）10.根据《国家网络安全事件应急预案》，发生重大网络安全事件后，运营者应当在1小时内向属地网信部门和行业主管部门上报。（）四、案例分析题（每题25分，共50分）1.案例背景：某互联网金融公司B公司，注册地为中国境内，运营面向境内用户的小额信贷业务，共积累160万境内个人用户的身份信息、信贷信息，计划与境外某大数据科技公司开展合作，将160万个人用户的信贷数据批量出境到境外服务器用于模型训练。B公司未就本次出境活动申报过安全评估，也未做其他合规备案。问题：（1）B公司本次数据出境活动是否需要申报数据出境安全评估？请说明法律依据。（8分）（2）根据我国现行法律法规，数据出境安全评估的重点审查内容包括哪些？（10分）（3）除数据出境安全评估外，我国合规的数据出境路径还有哪几种？请分别说明适用场景。（7分）2.案例背景：某制造业企业C公司，运营内部生产MES系统和官方门户网站，未按照要求落实网络安全等级保护制度，仅对生产数据做了本地在线备份，未部署离线备份。2025年10月，C公司运维人员收到一封伪装成供应商对账的钓鱼邮件，点击了邮件附件中的压缩包后，终端感染勒索病毒，勒索病毒迅速横向扩散，加密了整个MES生产系统的所有数据，黑客索要500万元比特币赎金，导致C公司停产3天，直接经济损失超过千万元。问题：（1）请分析本次勒索病毒攻击事件发生的主要根源有哪些？（10分）（2）如果C公司发生本次事件后请你作为安全管理员处置，简述正确的应急处置流程。（8分）（3）为防范此类事件再次发生，请提出合理的安全整改措施。（7分）参考答案一、单项选择题1.C2.B3.B4.A5.A6.A7.D8.B9.C10.B11.D12.D13.C14.B15.B16.B17.B18.C19.B20.B二、多项选择题1.ABCDE2.ABCD3.ABC4.ABCD5.ABCD6.ABCD7.ABCD8.ABCD9.ABCD10.ABCD三、判断题1.×（所有运营网络和信息系统的主体都需要按照规定落实等级保护要求，无论所有制性质）2.√3.√4.√5.√6.×（核心数据确需出境的，经过安全评估等合规流程后可以出境，并非一律禁止）7.√8.√9.×（杀毒软件无法防范所有未知勒索病毒，需要结合多层防护体系）10.√四、案例分析题1.参考答案：（1）B公司本次数据出境活动必须申报数据出境安全评估。（2分）法律依据：《数据出境安全评估办法》第五条明确规定，个人信息处理者向境外提供个人信息，符合下列情形之一的，应当申报数据出境安全评估：①处理个人信息达到一百万人以上的；②向境外提供一百万人以上个人信息的；③出境数据包含核心数据或者重要数据的；④国家网信部门规定需要申报评估的其他情形。（4分）本次活动中B公司出境的个人信息数量为160万，符合“处理一百万人以上个人信息向境外提供”的申报要求，因此必须申报。（2分）（2）数据出境安全评估重点审查内容包括：①数据出境的必要性、合法性，是否符合国家法律法规和政策规定；②数据出境对国家安全、公共利益、个人合法权益带来的风险；③境外接收方所在区域的法律政策环境、自身安全保护能力，能否保障出境数据的安全；④数据出境相关协议、合同是否能够有效约束境外接收方，明确数据安全责任和个人权益保障义务；⑤数据处理者已经采取的安全保护措施是否足够防范数据出境后的安全风险。（每个要点2分，共10分）（3）除安全评估外，我国现行合规数据出境路径还有2种：①个人信息出境标准合同备案路径：适用场景：向境外提供个人信息，不符合安全评估申报条件，也不需要通过安全认证的个人信息处理活动，由个人信息处理者与境外接收方签订国家网信部门发布的标准合同，向省级网信部门备案即可，适用于中小规模的常规个人信息出境活动。（3分）②个人信息出境安全认证路径：适用场景：面向境外提供经常性、规律性的个人信息处理服务的运营者，经国家网信部门认可的专业机构认证合格后，可凭认证开展数据出境，适用于跨境业务频繁、标准化程度高的个人信息出境活动。（4分）2.参考答案：（1）本次事件的主要根源包括：①企业主体责任落实不到位，未按照要求落实网络安全等级保护制度，未开展安全测评和隐患整改，基础安全防护体系缺失；（2分）②员工安全意识薄弱，缺乏对钓鱼邮件的识别能力，违规点击不明来源的附件，是本次事件的直接诱因；（2分）③安全防护技术体系部署不到位，未部署邮件安全网关、终端检测与响应系统（EDR）、入侵防御系统等设备，无法提前拦截钓鱼邮件和勒索病毒；（2分）④备份策略不符合安全规范，仅部署了在线本地备份，没有离线异地备份，导致数据被勒索病毒加密后无法正常恢复；（2分）⑤内部访问控制机制缺失，未限制不同区域之间的访问权限，导致勒索病毒从终端快速横向扩散至核心生产系统，扩大了危害范围。（2分）（2）正确的应急处置流程为：①遏制阶段：立即断开被感染终端和核心生产服务器的网络连接，隔离受感染区域，关闭不必要的内部访问权限，防止勒索病毒进一步横向扩散，避免危害扩大；（2分）②上报阶段：按照法律法规要求，在1小时内向属地网信部门、行业主管部门上报事件，若涉及大量个人信息泄露，同步告知受影响用户，不得瞒报、漏报；（2分）③排查根除：溯源入侵路径，排查所有联网终端和服务器的感染情况，彻底清除恶意程序，修复被黑客利用的安全漏洞，切断入侵通道；（2分）④恢复复盘：若有可用备份，优先从干净的备份恢复生产系统和数据，逐步恢复业务运行；事件处置完成后开展全流程复盘，梳理安全隐患，完善安全防护体系和应急预案，总结处置经验。（2分）（3