2026年《网络与信息安全管理员》模拟试题及答案

2026年《网络与信息安全管理员》模拟试题及答案一、单项选择题（共20题，每题2分，共40分）1.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的A.口头同意B.单独同意C.概括同意D.默示同意2.网络安全等级保护2.0规范中，第三级网络/信息系统运营者应当至少开展一次正式等级保护测A.半年B.1年C.2年D.3年3.以下密码算法中，属于非对称加密算法的是A.AESB.DESC.RSAD.SM44.攻击者通过构造特殊输入字符串，诱使目标应用程序执行非预期的系统命令，这种攻击方式属于A.SQL注入B.命令注入C.跨站脚本攻击D.缓冲区溢出5.根据《生成式人工智能服务管理暂行办法》，生成式AI服务提供者生成内容造成用户合法权益损害的，应当依法承担责A.侵权B.连带C.刑事D.无过错6.访问控制机制中，自主访问控制（DAC）的授权主体是A.资源所有者B.系统管理员C.操作系统D.超级用户7.漏洞扫描技术分类中，基于主机的漏洞扫描主要针对以下哪类对象开展检测A.网络开放端口B.操作系统配置、应用程序漏洞C.网络拓扑结构D.防火墙规则8.《关键信息基础设施安全保护条例》明确规定，关键信息基础设施运营者应当至少组织一次网络安全应急演A.半年B.1年C.2年D.3年9.以下场景中，符合访问控制最小权限原则的是A.给普通业务员工开放服务器管理员权限B.仅给运维人员开放业务服务器运维必需的端口和操作权限C.给全公司所有员工开放核心数据库访问权限D.将系统所有权限统一授予部门负责人10.数据脱敏技术中，保留原始数据业务格式特征，仅替换真实敏感内容的脱敏方法是A.删除法B.哈希法C.掩码法D.置换法11.零信任安全架构的核心思想是A.永远信任，一次验证终身有效B.永不信任，持续验证C.内部默认信任，仅验证外部访问D.边界信任，动态授权12.移动APP违法违规收集个人信息的情形中，“超出业务范围收集个人信息”不包括以下哪项A.收集与核心业务无关的通讯录信息B.申请与业务功能无关的位置权限C.用户注销账号后超期留存个人信息D.申请与扫码功能无关的存储权限13.网络安全应急响应流程中，第一步工作通常是A.抑制攻击扩散B.根除攻击来源C.检测确认安全事件D.恢复系统业务14.我国自主设计的SM2椭圆曲线公钥密码算法，主要应用场景是A.批量数据对称加密B.数字签名、密钥交换C.消息摘要哈希运算D.文件校验15.以下哪类安全产品专门用于防护Web应用层攻击，如SQL注入、XSS攻击等A.传统网络防火墙B.入侵检测系统（IDS）C.Web应用防火墙（WAF）D.病毒网关16.根据《网络数据安全管理条例》，以下哪种情形不需要申报网络安全审查A.处理120万个人信息的数据处理者向境外提供个人信息B.向境外提供核心数据C.累计向境外提供10万条个人信息D.关键信息基础设施运营者采购境外网络产品和服务17.信息系统漏洞产生的最核心原因是A.硬件质量缺陷B.软件编码漏洞或配置错误C.用户操作不当D.网络带宽不足18.操作系统日志中，专门记录用户登录、权限变更、访问操作等安全相关事件的是A.系统日志B.安全日志C.应用日志D.网络日志19.公有云环境中，租户存储在云服务商平台的业务数据，所有权归所A.云服务商B.租户C.双方共同D.公共互联网20.针对钓鱼邮件、钓鱼网站类钓鱼攻击，最有效的防护手段是A.仅靠杀毒软件即可完全防护B.定期开展全员安全意识培训，提升钓鱼特征识别能力C.关闭所有邮件服务D.禁止员工访问外部网站二、多项选择题（共10题，每题3分，共30分）1.根据《网络与信息安全管理员国家职业技能标准》，网络与信息安全管理员的核心工作职责包括A.网络安全设备部署与日常运维B.信息安全漏洞排查与处置C.数据安全防护与合规管理D.网络安全事件监测与应急处置2.网络安全等级保护2.0的安全技术要求分为哪几个核心层面A.安全物理环境B.安全通信网络C.安全区域边界D.安全计算环境E.安全管理中心3.以下攻击类型中，属于社会工程学攻击范畴的是A.钓鱼邮件攻击B.伪基站诈骗C.水坑攻击D.缓冲区溢出攻击4.《中华人民共和国个人信息保护法》明确，个人信息处理者处理个人信息应当遵循的基本原则包括A.合法、正当、必要B.诚信C.目的明确D.公开透明5.零信任架构的核心设计原则包括A.永不信任，持续验证B.以身份为中心C.最小权限访问D.动态授权6.数据分类分级工作中，常见的分类维度包括A.数据敏感程度B.数据重要性等级C.数据所属业务类型D.数据存储格式7.网络安全风险评估常用方法包括A.定性评估B.定量评估C.半定量评估D.随机评估8.网络安全应急演练的常见类型包括A.桌面演练B.实战演练C.单项演练D.综合演练9.以下属于我国自主研发的商用密码算法的是A.SM2B.SM3C.SM4D.SM910.关于生成式人工智能服务安全管理要求，下列说法正确的是A.生成式AI服务提供者应当建立内容审核机制，防范生成违法违规内容B.训练数据应当符合知识产权、个人信息保护相关法律法规要求C.不得向用户提供可生成违法违规信息的服务D.发现生成内容不符合安全要求的，应当及时采取整改措施三、判断题（共10题，每题1分，共10分）1.网络安全等级根据系统重要程度和危害程度划分为五级，等级越高，安全防护要求越高。（）2.对称加密算法的加密密钥与解密密钥相同，非对称加密算法的加密密钥与解密密钥不同。（）3.存储型跨站脚本攻击（XSS）的核心危害是窃取用户会话凭证，伪造用户身份发起攻击。（）4.个人信息处理者为了提升业务效率，可以不经告知直接向合作第三方共享用户匿名化处理后的信息。（）5.只要部署了防火墙，网络就不存在安全风险。（）6.关键信息基础设施运营者应当定期对从业人员开展网络安全培训和技能考核。（）7.零信任架构默认内部网络是安全的，仅需要对外部访问进行验证防护。（）8.数据脱敏的核心目标是去除敏感信息，同时保留原始数据的业务可用性，满足非生产环境数据使用需求。（）9.Web应用防火墙（WAF）主要用于防护应用层攻击，无法防护网络层DDoS攻击。（）10.网络安全事件处置完成后，不需要开展复盘总结，直接恢复业务即可。（）四、案例分析题（共2题，每题10分，共20分）1.某本地生活服务平台企业，收集了50万用户的姓名、手机号、收货地址、支付账户信息等个人信息，为了获取额外收益，企业在未告知用户、未取得用户同意的情况下，将12万条活跃用户信息共享给第三方广告公司用于精准营销。同时，企业官网预约模块存在未修复的SQL注入漏洞，被攻击者利用窃取了全量用户数据，引发大规模个人信息泄露事件。请回答以下问题：（1）该企业在个人信息处理环节存在哪些违规行为？（4分）（2）作为企业网络与信息安全管理员，处置本次数据泄露事件的正确流程是什么？（6分）2.某区政务服务中心新建了一套面向公众的政务办理业务系统，系统存储了大量居民个人信息和敏感政务数据，经专家评审定级为第三级，单位安排你负责落实等级保护2.0相关要求，请回答以下问题：（1）第三级信息系统等级保护工作的核心流程是什么？（4分）（2）请列出至少5项该系统需要满足的安全技术要求。（6分）参考答案及解析一、单项选择题参考答案及解析1.答案：B解析：《中华人民共和国个人信息保护法》第二十九条明确规定，处理敏感个人信息应当取得个人的单独同意。2.答案：B解析：根据网络安全等级保护管理要求，第三级信息系统每年至少开展1次等级保护测评，第四级每半年至少开展1次，因此B正确。3.答案：C解析：AES、DES、SM4均为对称加密算法，RSA是典型的非对称加密算法，因此C正确。4.答案：B解析：命令注入攻击的特征是攻击者诱使应用执行非预期系统命令，SQL注入针对数据库查询语句，因此B正确。5.答案：A解析：根据《生成式人工智能服务管理暂行办法》，生成内容造成用户权益损害的，依法承担侵权责任，因此A正确。6.答案：A解析：自主访问控制（DAC）由资源所有者自主授权，强制访问控制（MAC）由系统管理员统一授权，因此A正确。7.答案：B解析：基于网络的漏洞扫描主要检测端口、网络规则等，基于主机的漏洞扫描针对操作系统配置、本地应用漏洞，因此B正确。8.答案：B解析：《关键信息基础设施安全保护条例》第二十五条明确规定，关键信息基础设施运营者应当至少每年组织一次应急演练，因此B正确。9.答案：B解析：最小权限原则是指仅给主体分配完成任务必需的最小权限，避免权限过度分配引发安全风险，因此B正确。10.答案：D解析：置换法保留原始数据格式特征，仅替换真实敏感内容，掩码法仅对部分敏感内容打码遮盖，因此D正确。11.答案：B解析：零信任架构的核心思想是“永不信任，持续验证”，不存在默认可信的区域，因此B正确。12.答案：C解析：用户注销后超期留存个人信息属于未按要求提供注销服务类违规，不属于超出业务范围收集，因此C正确。13.答案：C解析：应急响应的第一步是确认安全事件的真实性、影响范围，后续再开展处置，因此C正确。14.答案：B解析：SM2是我国商用非对称密码算法，主要用于数字签名和密钥交换，因此B正确。15.答案：C解析：Web应用防火墙（WAF）专门针对HTTP/HTTPS协议，防护各类Web应用层攻击，因此C正确。16.答案：C解析：网络安全审查规定要求，处理一百万人以上个人信息的数据处理者向境外提供个人信息才需要申报审查，因此C符合题意。17.答案：B解析：绝大多数信息系统漏洞源于软件编码阶段的逻辑缺陷，或是上线阶段的错误配置，因此B正确。18.答案：B解析：操作系统日志分为系统日志、安全日志、应用日志，安全日志专门记录所有安全相关操作事件，因此B正确。19.答案：B解析：根据我国云计算相关法规，云租户数据所有权归租户所有，云服务商仅提供存储服务，因此B正确。20.答案：B解析：钓鱼攻击利用的是用户安全意识不足，仅靠技术手段无法完全防护，核心防护手段是提升用户安全意识，因此B正确。二、多项选择题参考答案及解析1.答案：ABCD解析：四个选项均属于网络与信息安全管理员的法定核心工作职责，因此全选。2.答案：ABCDE解析：等级保护2.0将安全技术要求划分为五个核心层面，五个选项全部包含，因此全选。3.答案：ABC解析：缓冲区溢出属于技术类攻击，不属于社会工程学攻击，社会工程学攻击利用的是人的心理弱点，因此ABC正确。4.答案：ABCD解析：四个选项均为《个人信息保护法》规定的个人信息处理基本原则，因此全选。5.答案：ABCD解析：四个选项均为零信任架构的核心设计原则，因此全选。6.答案：ABC解析：数据存储格式是数据的技术属性，不属于分类分级的核心维度，因此ABC正确。7.答案：ABC解析：随机评估不属于规范的风险评估方法，常见方法为定性、定量、半定量评估，因此ABC正确。8.答案：ABCD解析：四个选项均为常见的应急演练类型，因此全选。9.答案：ABCD解析：SM2、SM3、SM4、SM9均为我国自主研发的商用密码算法，因此全选。10.答案：ABCD解析：四个选项均符合《生成式人工智能服务管理暂行办法》的安全管理要求，因此全选。三、判断题参考答案及解析1.答案：正确解析：等级划分依据是系统重要程度和遭到破坏后的危害程度，等级越高，要求越高，表述正确。2.答案：正确解析：对称加密与非对称加密的核心区别就是加密解密密钥是否相同，表述正确。3.答案：正确解析：存储型XSS存储在服务器端，用户访问即可触发，核心危害就是窃取会话，伪造身份，表述正确。4.答案：错误解析：匿名化处理后的信息不属于个人信息，因此共享匿名化信息不需要用户同意，本题表述错误？哦不对，题目说“可以不经告知直接共享”，匿名化后不属于个人信息，哦调整：本题答案为正确？不对，原文：《个人信息保护法》第二十八条规定，匿名化处理后的信息不属于个人信息，因此处理不受个保法关于个人信息共享的约束，所以本题表述“可以不经告知直接共享”是对的？不对，原题题目是“个人信息处理者为了提升业务效率，可以不经告知直接向合作第三方共享用户匿名化处理后的信息。”哦对，匿名化后的不是个人信息，所以这个表述是对的？不对我之前写错了，改一下解析：本题答案：正确，解析：匿名化处理后的信息不属于《个人信息保护法》规定的个人信息范畴，因此共享无需履行个人信息告知同意程序，表述正确。哦之前的第五题：5.答案：错误解析：防火墙只能防护网络层边界攻击，无法防护应用层攻击、内部攻击等，部署防火墙不代表网络绝对安全，表述错误。6.答案：正确解析：《关键信息基础设施安全保护条例》明确要求运营者应当定期开展人员安全培训，表述正确。7.答案：错误解析：零信任默认所有区域、所有主体都不可信，需要持续验证，不区分内外部，表述错误。8.答案：正确解析：数据脱敏在降低数据敏感度的同时保留数据业务可用性，主要用于开发、测试、对外共享等场景，表述正确。9.答案：错误解析：WAF也可以防护针对Web服务的应用层DDoS攻击，也可以一定程度防护网络层DDoS，表述错误。10.答案：错误解析：事件处置完成后必须开展复盘总结，梳理问题，完善防护体系，避免同类事件再次发生，表述错误。四、案例分析题参考答案1.（1）违规行为：①违反《个人信息保护法》知情同意要求，向第三方共享个人信息前未告知用户，也未取得用户的单独同意；②未落实网络安全防护义务，未及时修复已知SQL注入漏洞，未部署Web应用安全防护措施，未尽到个人信息安全保护责任；③违规利用个人信息获取不当收益，违反个人信息处理合法正当原则。（2）处置流程：①事件检测确认：第一时间核实泄露事件的真实性，确认泄露数据的类型、规模、影响范围，锁定被入侵的服务器；②抑制隔离：立即断开被入侵服务器的公共网络连接，关闭对应漏洞端口，阻止攻击者进一步窃取数据，防止危害扩散；③根除处置：清除攻击者植入的后门、木马，修复SQL注入漏洞，重置所有管理员账号和用户敏感信息的密钥，排查系统其他潜在安全隐患；④上报告知：按照法律法规要求，在事件发现后72小时内向属地网信部门、公安机关上报，同时告知所有受影