2026年《网络与信息安全管理员》考试模拟练习题含参考答案

2026年《网络与信息安全管理员》考试模拟练习题含参考答案一、单项选择题（每题1分，共20分）1.根据我国网络安全等级保护现行制度要求，网络安全等级保护的标准定级流程是（）A.自主定级→主管部门核准→专家评审→公安机关备案B.自主定级→专家评审→主管部门审核同意→公安机关备案C.公安机关定级→专家评审→主管部门核准→备案D.专家定级→自主确认→主管部门备案→公安机关审核2.《中华人民共和国个人信息保护法》规定，处理敏感个人信息应当取得个人的（）A.口头同意B.概括同意C.单独同意D.无需同意3.零信任安全架构的核心思想是（）A.内网自动信任，外网重点防控B.永不信任，始终验证C.基于IP地址授予访问权限D.一次认证永久授权4.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当对哪类内容开展安全审核（）A.仅用户输入信息B.仅AI生成内容C.用户输入信息和AI生成内容D.仅用户个人敏感信息5.以下加密算法中，属于非对称加密算法的是（）A.AESB.RSAC.DESD.MD56.SSH远程管理服务默认占用的端口号是（）A.21B.22C.80D.4437.容灾备份指标中，RTO指的是（）A.恢复点目标B.恢复时间目标C.运行时间目标D.服务可用性目标8.根据《网络安全法》要求，网络运营者留存网络安全日志的期限不得少于（）A.3个月B.6个月C.12个月D.24个月9.网络钓鱼攻击本质上属于哪类攻击（）A.社会工程学攻击B.缓冲区溢出攻击C.DDoS攻击D.勒索病毒攻击10.以下哪项是网络与信息安全管理员的核心日常工作职责（）A.系统安全监控、漏洞处置、安全事件响应B.核心业务系统开发C.单位行政管理D.人力资源考核11.《数据安全法》规定，哪类主体对其处理的数据安全负责（）A.监管部门B.数据处理者C.数据提供者D.行业协会12.等保2.0中，三级信息系统的等级测评频率要求是（）A.每半年一次B.每年一次C.每两年一次D.每三年一次13.以下攻击中，不属于DDoS攻击类型的是（）A.SYN洪水攻击B.DNS放大攻击C.SQL注入攻击D.UDP洪水攻击14.勒索病毒加密文件后，攻击者通常会要求受害者支付什么来获取解密密钥（）A.法定货币B.虚拟加密货币C.数字证书D.用户信息15.计算机信息系统中，存储的涉密信息被非授权用户获取，这种安全事件属于（）A.完整性破坏B.可用性破坏C.保密性破坏D.不可否认性破坏16.根据《数据出境安全评估办法》，以下哪种情形不需要申报数据出境安全评估（）A.关键信息基础设施运营者向境外提供个人信息B.处理50万个人信息的处理者向境外提供8千条敏感个人信息C.处理120万个人信息的处理者向境外提供个人信息D.核心数据向境外提供17.以下哪种身份认证方式属于多因素认证（）A.仅密码登录B.仅指纹登录C.密码+短信验证码登录D.仅人脸登录18.Web应用常见漏洞中，SQL注入漏洞产生的核心原因是（）A.未对用户输入进行合法性过滤校验B.服务器端口开放错误C.弱口令D.日志留存不足19.等保2.0新增的核心技术组件是（）A.物理安全防护B.安全管理中心C.应用安全防护D.主机安全防护20.网络运营者制定网络安全事件应急预案后，对重要网络的应急预案演练频率要求至少为（）A.每半年一次B.每年一次C.每两年一次D.每三年一次单项选择题参考答案及解析1.B解析：我国等级保护遵循自主定级原则，标准流程为：确定定级对象→初步自主定级→专家评审→主管部门审核同意→向属地公安机关备案，因此B正确。2.C解析：《个人信息保护法》明确规定，处理敏感个人信息应当取得个人的单独同意，因此C正确。3.B解析：零信任打破传统基于网络边界的信任模型，核心思想为“永不信任，始终验证”，动态对访问主体进行身份校验，按需授予最小权限，因此B正确。4.C解析：《生成式人工智能服务管理暂行办法》要求，生成式人工智能服务提供者应当对用户输入信息和生成内容进行安全审核，防范违法违规内容传播，因此C正确。5.B解析：AES、DES属于对称加密算法，MD5属于哈希摘要算法，RSA是典型的非对称加密算法，因此B正确。6.B解析：SSH默认端口为22，FTP默认21，HTTP默认80，HTTPS默认443，因此B正确。7.B解析：RTO（RecoveryTimeObjective）即恢复时间目标，指业务中断后恢复运行可接受的最长时间；RPO为恢复点目标，指灾难发生后可接受的最大数据丢失量，因此B正确。8.B解析：《网络安全法》第二十一条明确规定，网络运营者留存网络安全日志不得少于六个月，因此B正确。9.A解析：网络钓鱼通过伪装成可信机构或个人诱导用户泄露账号密码等敏感信息，本质是利用人的心理弱点实施的社会工程学攻击，因此A正确。10.A解析：网络与信息安全管理员的核心职责包括网络安全监控、漏洞扫描与修复、日志审计、安全事件处置、应急预案演练等，因此A正确。11.B解析：《数据安全法》规定，数据处理者对其处理的数据安全承担主体责任，因此B正确。12.B解析：等保制度要求，二级信息系统每两年测评一次，三级信息系统每年测评一次，四级信息系统每半年测评一次，因此B正确。13.C解析：SQL注入是针对Web应用数据库的注入攻击，不属于DDoS（分布式拒绝服务攻击），SYN洪水、DNS放大、UDP洪水都是典型DDoS攻击类型，因此C正确。14.B解析：勒索病毒攻击者通常要求受害者支付比特币等虚拟加密货币，难以追溯交易轨迹，因此B正确。15.C解析：信息安全三要素中，保密性指信息不被未授权主体获取，完整性指信息不被未授权篡改，可用性指信息可被授权主体正常访问，因此涉密信息被非授权获取属于保密性破坏，C正确。16.B解析：《数据出境安全评估办法》规定，应当申报评估的情形包括：关键信息基础设施运营者出境个人信息、处理100万人以上个人信息出境、出境10万人以上个人信息或1万人以上敏感个人信息、核心数据出境；选项中仅8千条敏感个人信息出境未达到1万标准，不需要申报，因此B正确。17.C解析：多因素认证要求结合两个及以上不同维度的认证因子，密码属于知识因子，短信验证码属于持有因子，密码+短信验证码属于双因素认证（多因素认证的一种），其余选项都仅有一种认证因子，因此C正确。18.A解析：SQL注入漏洞的核心成因是开发人员未对用户输入的SQL语句参数进行过滤校验，攻击者可构造恶意SQL语句执行非授权操作，因此A正确。19.B解析：等保1.0分为五个技术层面，等保2.0在技术层面新增安全管理中心，实现集中监控、统一分析、协同响应，因此B正确。20.B解析：《网络安全法》要求，重要网络运营者应当每年至少开展一次网络安全事件应急演练，因此B正确。二、多项选择题（每题2分，共20分，多选、少选、错选均不得分）1.根据《中华人民共和国个人信息保护法》，以下属于敏感个人信息的有（）A.生物识别信息B.不满十四周岁未成年人的个人信息C.医疗健康信息D.行踪轨迹信息2.网络安全等级保护2.0中，技术层面的安全要求包括以下哪些模块（）A.物理安全B.网络安全C.主机安全D.应用安全E.数据安全F.安全管理中心3.数据安全防护的常见措施包括以下哪些（）A.数据加密存储B.数据脱敏C.访问控制D.数据备份4.以下属于网络与信息安全管理员日常工作内容的有（）A.安全漏洞扫描与修复B.系统安全日志审计C.入侵检测与告警处置D.网络安全管理制度编制5.常见的Web应用安全漏洞包括（）A.SQL注入B.跨站脚本攻击（XSS）C.命令注入D.未授权访问6.根据《数据出境安全评估办法》，以下哪些情形的数据出境需要申报安全评估（）A.核心数据出境B.关键信息基础设施运营者向境外提供个人信息C.处理100万以上个人信息的处理者向境外提供个人信息D.向境外提供1.2万条敏感个人信息7.网络安全事件应急响应的标准流程包括以下哪些阶段（）A.检测与发现B.隔离与遏制C.根除与修复D.跟踪与复盘8.以下属于社会工程学攻击类型的有（）A.钓鱼邮件B.伪基站诈骗C.水坑攻击D.拖库攻击9.对称加密算法的特点包括（）A.加密解密速度快B.密钥分发安全难度高C.适合加密大体积数据D.加密强度高于非对称加密10.等保2.0的“一个中心三重防护”中，三重防护指的是（）A.安全管理中心防护B.区域边界防护C.通信网络防护D.计算环境防护多项选择题参考答案及解析1.ABCD解析：《个人信息保护法》规定，敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息，因此全选。2.ABCDEF解析：等保2.0技术层面安全要求包括物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复、安全管理中心六个模块，因此全选。3.ABCD解析：数据加密存储可防止数据明文泄露，数据脱敏可降低敏感数据泄露风险，访问控制可限制非授权访问，数据备份可应对数据丢失风险，四项都是常见数据安全防护措施，因此全选。4.ABCD解析：四项都属于网络与信息安全管理员的常规工作范畴，因此全选。5.ABCD解析：四项都是OWASP公布的常见Web应用高危安全漏洞，因此全选。6.ABCD解析：四项均符合《数据出境安全评估办法》规定的应当申报安全评估的情形，因此全选。7.ABCD解析：标准网络安全事件应急响应流程分为：检测发现安全事件、隔离遏制攻击扩散、根除攻击源修复漏洞、事后跟踪验证复盘总结，因此全选。8.ABC解析：拖库攻击是攻击者入侵数据库窃取数据的技术攻击，不属于社会工程学攻击，钓鱼邮件、伪基站诈骗、水坑攻击都是利用社会工程学原理实施的攻击，因此ABC正确。9.ABC解析：对称加密算法的加密解密速度远快于非对称加密，适合加密大体积数据，但对称加密要求加密解密使用相同密钥，密钥分发的安全难度高；加密强度和算法类型无关，合理长度密钥下对称加密强度可满足安全要求，因此ABC正确。10.BCD解析：等保2.0“一个中心三重防护”架构中，一个中心指安全管理中心，三重防护分别是通信网络防护、区域边界防护、计算环境防护，因此BCD正确。三、判断题（每题1分，共10分，正确选√，错误选×）1.经过匿名化处理后的个人信息，不属于《个人信息保护法》规制的个人信息范畴。（）2.零信任架构允许内网IP地址访问所有内部资源，无需二次验证。（）3.《网络安全法》规定，关键信息基础设施运营者应当对其从业人员进行网络安全教育、技术培训和技能考核。（）4.哈希算法可以用于数据完整性校验，无法还原原始数据。（）5.DDoS攻击的主要目的是获取系统敏感数据。（）6.HTTPS协议通过SSL/TLS加密传输内容，比HTTP安全性更高。（）7.防火墙可以防范所有基于网络的攻击。（）8.数据备份的3-2-1原则指：至少保留3份数据副本、存储在2种不同介质、1份存储在异地。（）9.弱口令是指长度短、复杂度低容易被破解的口令，是常见的安全风险点。（）10.网络与信息安全管理员可以随意泄露单位的网络拓扑和安全配置信息。（）判断题参考答案及解析1.√解析：《个人信息保护法》明确，匿名化处理后的信息不属于个人信息，不适用本法，因此正确。2.×解析：零信任核心是永不信任，无论访问主体来自内网还是外网，都需要进行动态身份验证，因此错误。3.√解析：《网络安全法》对关键信息基础设施运营者的人员安全管理要求明确规定，因此正确。4.√解析：哈希算法是单向摘要算法，输出固定长度摘要，无法从摘要还原原始数据，主要用于完整性校验，因此正确。5.×解析：DDoS攻击（分布式拒绝服务攻击）的核心目的是通过大流量或恶意请求耗尽目标系统资源，导致目标无法正常提供服务，不是为了获取敏感数据，因此错误。6.√解析：HTTPS是HTTP加SSL/TLS加密，可对传输内容进行加密，防止内容被窃听篡改，安全性远高于明文传输的HTTP，因此正确。7.×解析：防火墙是基础网络安全防护设备，只能防范基于规则的已知攻击，无法防范应用层漏洞攻击、内部攻击等多种攻击类型，因此错误。8.√解析：数据备份的3-2-1原则是行业通用的容灾备份标准原则，描述正确。9.√解析：弱口令是当前最常见的安全风险之一，容易被暴力破解导致未授权访问，描述正确。10.×解析：网络拓扑、安全配置属于单位敏感安全信息，网络与信息安全管理员负有保密义务，不得随意泄露，因此错误。四、案例分析题（共2题，每题25分，共50分）案例1A公司是国内中型电商平台，注册用户超过120万，存储了用户姓名、手机号、收货地址、身份证号、银行卡号等信息，其中敏感个人信息累计超过6万条。2025年A公司计划和境外某市场研究机构合作，将用户消费行为数据和个人信息出境用于跨境消费趋势分析。开展合作前，A公司安全部门开展内部安全巡检，发现三个问题：①平台用户个人中心接口存在未授权访问漏洞，攻击者无需登录即可构造请求获取任意用户的个人信息；②15名运营管理人员的账号使用“123456”“admin”等弱口令，且未开启多因素认证；③平台系统日志仅留存了45天，未按要求留存。问题：1.针对本次巡检发现的三个问题，请分别给出整改措施（12分）2.A公司本次向境外提供个人信息是否需要申报数据出境安全评估？请说明依据（8分）3.根据《个人信息保护法》，A公司处理用户敏感个人信息应当满足哪些要求（5分）案例1参考答案1.各问题整改措施如下：（1）未授权访问漏洞整改：①立即上线临时防护规则，在Web应用防火墙（WAF）拦截恶意请求；②修复漏洞，对接口增加身份认证和权限校验，仅允许用户本人访问自身信息；③对漏洞利用情况进行排查，确认是否发生数据泄露，如发生泄露及时告知受影响用户，并按要求向网信、公安部门报告；④对全平台所有接口开展全面漏洞扫描，排查同类风险。（4分）（2）弱口令与多因素认证问题整改：①强制要求所有弱口令用户立即更换符合复杂度要求的强口令；②对所有管理账号强制开启多因素认证；③定期开展弱口令扫描排查，建立弱口令定期清理机制；④对员工开展账号安全培训，提升安全意识。（4分）（3）日志留存问题整改：调整日志存储配置，留存不少于6个月的系统日志和访问日志，满足《网络安全法》的要求，建立日志定期转储归档机制，保障日志可追溯查询。（4分）2.A公司本次数据出境需要申报数据出境安全评估（2分）。依据《数据出境安全评估办法》，满足以下任意一种情形的应当申报安全评估：①处理一百万人以上个人信息的个人信息处理者向境外提供个人信息；②向境外提供一万人以上敏感个人信息。A公司注册用户超过120万，符合第一项要求，且出境的敏感个人信息超过6万条，符合第二项要求，因此必须申报安全评估。（6分）3.A公司处理敏感个人信息应当满足：①具有特定的目的和充分的必要性；②取得个人的单独同意；③制定内部处理规则和程序；④采取严格的安全保护措施；⑤按照法律、行政法规的规定履行告知义务。（5分）案例2B单位是某地市政务服务单位，上线了面向公众的政务服务平台，定级为三级等保对象，存储本地130万办事群众的个人信息。2025年B单位委托第三方测评机构开展等级测评，发现以下问题：①平台Web服务器存在8个高危漏洞、12个中危漏洞，距离上次漏洞修复已经超过6个月；②