2026年信息安全法律法规与政策模拟试卷

2026年信息安全法律法规与政策模拟试卷考试时间：120分钟总分：100分答题要求：请将所有答案填写在答题纸指定区域，在试卷上作答无效。一、单项选择题（共15题，每题1分，共15分。每题只有1个正确答案，请将正确答案的字母填在答题纸对应位置）1.2025年3月1日正式施行的《生成式人工智能服务管理条例》，从我国法律层级划分来看属于（）A.基本法律B.行政法规C.部门规章D.地方性法规2.根据2024年10月1日施行的《网络数据安全管理条例》，统筹协调全国网络数据安全保护和监督管理工作的主管部门是（）A.公安部B.工业和信息化部C.国家互联网信息办公室D.国家市场监督管理总局3.根据2025年修订施行的《数据出境安全评估办法》，数据处理者通过国家网信部门组织的数据出境安全评估后，评估结果的有效期为（）A.1年B.2年C.3年D.5年4.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者（以下简称“关基运营者”）应当自行或者委托具备资质的网络安全服务机构，对其关键信息基础设施的安全性和风险状况每年至少开展（）检测评估。A.1次B.2次C.3次D.4次5.根据2024年1月1日施行的《未成年人网络保护条例》，网络游戏服务提供者应当对未成年人参与网络游戏的时长进行限制，其中法定节假日每日累计游戏时长不得超过（）A.1小时B.1.5小时C.3小时D.4小时6.根据《中华人民共和国个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当取得（）的同意。A.未成年人本人B.未成年人的父母或者其他监护人C.未成年人就读的学校D.未成年人住所地的居民委员会7.我国网络安全等级保护制度将网络的安全保护等级从低到高划分为（）个级别。A.3B.4C.5D.68.根据《网络数据安全管理条例》，数据处理者擅自向境外提供重要数据，情节特别严重的，最高可处以（）罚款。A.100万元B.500万元C.1000万元D.5000万元9.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，将数据划分为一般数据、重要数据和（）三个核心层级。A.核心数据B.敏感数据C.涉密数据D.关键数据10.根据2025年修正施行的《中华人民共和国网络安全法》，网络运营者未履行网络安全等级保护义务，导致发生重大网络安全事件的，对直接负责的主管人员和其他直接责任人员最高可处以（）罚款。A.10万元B.50万元C.100万元D.500万元11.下列选项中，不属于个人信息处理法定基本原则的是（）A.合法、正当、必要、诚信原则B.目的限定原则C.公开透明原则D.效益最大化原则12.根据《生成式人工智能服务管理条例》，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展（），并履行算法备案手续。A.安全评估B.等级测评C.合规审计D.风险监测13.根据2025年正式施行的《工业和信息化领域数据安全管理办法》，工业和信息化领域核心数据目录由（）制定并公布。A.国家互联网信息办公室B.工业和信息化部C.省级工业和信息化主管部门D.全国性行业协会14.根据《个人信息保护法》，处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定（），负责监督个人信息处理活动及安全保护措施落实情况。A.网络安全管理员B.个人信息保护负责人C.合规专员D.数据保护官15.根据《网络安全事件报告管理办法》，发生特别重大网络安全事件的，事件发生单位应当在事件发现后（）内完成初次报告。A.1小时B.2小时C.4小时D.24小时二、多项选择题（共10题，每题2分，共20分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据《关键信息基础设施安全保护条例》，下列行业和领域中，属于关键信息基础设施重点保护范围的有（）A.公共通信和信息服务B.能源、交通、水利C.金融、公共服务D.电子政务2.根据《个人信息保护法》，下列属于敏感个人信息范畴的有（）A.生物识别、宗教信仰信息B.特定身份、医疗健康信息C.金融账户、行踪轨迹信息D.不满十四周岁未成年人的个人信息3.根据我国现行数据安全法律法规，个人信息出境的法定合法路径包括（）A.通过国家网信部门组织的数据出境安全评估B.经专业机构按照国家规定进行个人信息保护认证C.按照国家网信部门制定的标准合同与境外接收方订立合同D.与境外接收方自行协商订立保密协议4.根据《网络数据安全管理条例》，数据处理者处理重要数据时，应当履行的安全保护义务有（）A.明确数据安全负责人和管理机构，落实数据安全责任B.每年至少开展一次全面的数据安全风险评估C.依照规定实行数据安全审计D.所有重要数据必须在境内存储5.根据《生成式人工智能服务管理条例》，生成式人工智能服务提供者不得生成、传播含有下列哪些内容的违法信息（）A.危害国家安全、荣誉和利益的内容B.煽动颠覆国家政权、推翻社会主义制度的内容C.宣扬淫秽色情、暴力恐怖的内容D.侵害他人知识产权的内容6.下列关于我国网络安全等级保护制度的表述，正确的有（）A.网络运营者应当按照等级保护制度要求履行安全保护义务B.第三级以上网络的运营者应当每年开展一次等级测评C.等级测评工作由公安机关直接负责实施D.等保2.0标准覆盖云计算、移动互联、物联网、工业控制系统等场景7.根据《数据安全法》，下列关于政务数据安全保护的说法，正确的有（）A.国家机关委托他人建设、维护电子政务系统应当经过严格批准B.国家机关应当与受托方签订保密协议，明确数据安全义务C.受托方可以根据业务需要留存、使用政务数据D.国家机关应当定期对政务数据系统开展安全检测评估8.根据《未成年人网络保护条例》，网络产品和服务提供者应当履行的未成年人保护义务有（）A.建立健全未成年人网络保护合规制度B.配备专门的未成年人网络保护工作人员C.针对未成年人设置时间管理、权限管理、消费管理功能D.不得向未成年人提供诱导其沉迷的产品和服务9.根据《数据出境安全评估办法》，下列情形中，数据处理者应当主动申报数据出境安全评估的有（）A.关基运营者向境外提供个人信息B.数据处理者向境外提供重要数据C.处理100万人以上个人信息的数据处理者向境外提供个人信息D.自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息10.根据《工业和信息化领域数据安全管理办法》，工业和信息化领域数据处理者的下列行为中，属于违法违规行为的有（）A.未按照规定建立数据安全管理制度B.未按照规定开展数据分类分级工作C.未按照规定报送数据安全风险评估报告D.未按照规定对从业人员开展数据安全教育培训三、判断题（共10题，每题1分，共10分。正确的填“√”，错误的填“×”）1.《网络数据安全管理条例》仅适用于我国境内的网络数据处理活动，境外的网络数据处理活动一律不适用本条例。（）2.关基运营者采购网络产品和服务，可能影响国家安全的，应当按照国家有关规定进行网络安全审查。（）3.个人信息的处理包括收集、存储、使用、加工、传输、提供、公开、删除等全流程环节。（）4.生成式人工智能服务提供者只要保证生成内容不侵权，训练数据可以不需要取得权利人授权。（）5.发生数据安全事件后，数据处理者应当立即采取处置措施防止危害扩大，并按照规定向有关主管部门报告。（）6.网络安全等级保护测评是自愿性服务，网络运营者可以根据自身需求决定是否开展。（）7.不满十六周岁未成年人的个人信息属于敏感个人信息。（）8.数据出境安全评估有效期届满需要继续开展数据出境活动的，数据处理者应当在有效期届满6个月前重新申报评估。（）9.生成式人工智能服务提供者应当对用户的输入信息、生成内容日志进行留存，留存期限不得少于6个月。（）10.政务数据开放应当遵循公正、公平、便民原则，所有政务数据都应当无条件向社会开放。（）四、简答题（共4题，每题8分，共32分）1.简述《网络数据安全管理条例》中数据处理者处理重要数据时应当履行的核心安全保护义务。2.简述我国数据出境的三类法定路径及各自适用情形。3.简述2025年施行的《生成式人工智能服务管理条例》中生成式人工智能服务提供者的主要合规义务。4.简述关键信息基础设施与网络安全等级保护第三级以上网络的区别与联系。五、案例分析题（共2题，第1题11分，第2题12分，共23分）（一）2025年7月，甲市互联网信息办公室接到群众举报，称本地某大型生鲜电商平台A公司（注册用户规模超2200万，2024年被行业主管部门认定为关键信息基础设施运营者）发生大规模用户个人信息泄露事件。经监管部门立案调查，A公司未落实网络安全等级保护第三级要求，其用户核心数据库存在弱口令漏洞且未按要求定期开展安全检测，导致境外黑客组织于2025年6月入侵系统，窃取了527万条用户个人信息，包括姓名、手机号、收货地址、支付记录等字段，其中涉及12.3万条不满14周岁未成年人的个人信息。泄露数据被不法分子在境外暗网论坛售卖，A公司于2025年6月28日发现异常后，未及时向监管部门报告，也未告知受影响用户，直至7月3日举报出现后才被动回应。请结合上述材料和相关法律法规，回答下列问题：1.A公司的行为违反了哪些法律法规的具体规定？（4分）2.监管部门可以对A公司及其相关责任人作出哪些行政处罚？（4分）3.A公司应当采取哪些补救措施履行数据安全主体责任？（3分）（二）2025年10月，乙省网信办联合省市场监管局、省版权局开展生成式人工智能服务专项整治行动，发现本省某科技公司B开发运营的“智绘AI”绘画服务平台存在多项违法违规行为：一是该平台属于具有舆论属性的生成式AI服务，但未按规定开展安全评估和算法备案；二是平台训练数据中使用了1.2万幅国内插画师的原创作品，未取得权利人授权，涉嫌侵犯著作权；三是平台未建立健全内容审核机制，导致部分用户生成的图片含有淫秽色情、宣扬民族仇恨等违法内容，累计传播量超5万次；四是B公司未经用户单独同意，将收集的102万条用户生成关键词、使用偏好、设备信息等个人信息提供给境外某广告公司用于精准营销，且未申报数据出境安全评估。请结合上述材料和相关法律法规，回答下列问题：1.B公司的行为违反了哪些法律法规的规定？（5分）2.监管部门可以依法采取哪些监管和处罚措施？（4分）3.B公司应当如何开展全面合规整改？（3分）参考答案及评分标准一、单项选择题（每题1分，共15分）1.B2.C3.C4.A5.C6.B7.C8.C9.A10.C11.D12.A13.B14.B15.A二、多项选择题（每题2分，共20分）1.ABCD2.ABCD3.ABC4.ABC5.ABCD6.ABD7.ABD8.ABCD9.ABCD10.ABCD三、判断题（每题1分，共10分）1.×2.√3.√4.×5.√6.×7.×8.√9.√10.×四、简答题（每题8分，共32分）1.【参考答案】根据《网络数据安全管理条例》，数据处理者处理重要数据时应当履行以下核心义务：（1）组织架构与责任落实：明确数据安全负责人和管理机构，落实数据安全保护责任（2分）；（2）制度与流程建设：制定并实施数据安全操作规程、人员管理、应急处置等管理制度（2分）；（3）风险评估：每年至少开展一次全面的数据安全风险评估，评估报告及整改情况留存备查（2分）；（4）安全审计：依照法律、行政法规的规定实行数据安全审计，确保数据处理活动可追溯（2分）。（若答出重要数据目录申报、关基运营者重要数据境内存储等特定主体义务可酌情给分，但总分不超过8分）2.【参考答案】我国数据出境的三类法定路径及适用情形如下：（1）数据出境安全评估：适用于关键信息基础设施运营者向境外提供数据、数据处理者向境外提供重要数据、处理100万人以上个人信息的数据处理者向境外提供个人信息、累计向境外提供达到规定数量的个人信息或敏感个人信息等情形，由国家网信部门组织评估，是监管强度最高的路径（3分）；（2）个人信息保护认证：适用于数据处理者业务规模较小、未达到安全评估门槛，且希望通过专业机构认证增强数据出境可信度的情形，由具备资质的专业机构按照国家有关规定开展认证（2分）；（3）个人信息出境标准合同：适用于未达到安全评估门槛的个人信息出境情形，数据处理者应当与境外接收方订立国家网信部门制定的标准合同，明确双方的权利义务（2分）。三类路径均为法定路径，数据处理者应当根据自身业务情况选择对应路径，未通过法定路径的数据出境属于违法违规行为（1分）。3.【参考答案】根据《生成式人工智能服务管理条例》，服务提供者应当履行以下主要合规义务：（1）资质与备案义务：提供具有舆论属性或者社会动员能力的生成式AI服务的，应当开展安全评估并履行算法备案手续（2分）；（2）训练数据合规义务：训练数据应当合法取得，不得侵犯他人知识产权、个人信息权益等合法权益，建立训练数据审核机制（2分）；（3）内容安全义务：建立健全内容审核机制，不得生成、传播违法违规内容，对生成内容的真实性、准确性采取必要管控措施（2分）；（4）用户权益保护义务：落实个人信息保护要求，不得过度收集用户信息，建立用户投诉举报机制，留存用户输入及生成日志不少于6个月（1分）；（5）应急处置义务：建立健全网络安全事件应急处置机制，发生安全事件时及时处置并报告监管部门（1分）。4.【参考答案】（1）区别：①认定标准不同：网络安全等级保护第三级以上网络是根据网络的重要程度、遭破坏后的危害程度划分的技术等级；关键信息基础设施是基于行业属性、公共利益影响程度认定的重要设施，覆盖多个重点行业和领域（2分）；②监管主体不同：等级保护由公安机关统筹监管；关键信息基础设施由行业主管部门认定，网信部门统筹协调，多部门协同监管（2分）；③保护要求不同：关基运营者除需落实等级保护要求外，还需履行更高层级的安全保护义务，如每年至少一次检测评估、网络安全审查、重要数据境内存储等（2分）。（2）联系：①等级保护是关基保护的基础，关键信息基础设施的安全保护等级不低于第三级（1分）；②两者均为我国网络安全法律体系中的核心制度，共同构成网络安全防护体系（1分）。五、案例分析题（共23分）（一）【参考答案】1.违反的法律法规规定：①违反《网络安全法》《网络安全等级保护条例》关于网络安全等级保护的规定，未落实三级等保要求，数据库存在安全漏洞且未定期检测（1分）；②违反《数据安全法》《网络数据安全管理条例》关于数据安全保护的规定，未履行数据安全保护义务，导致大规模数据泄露（1分）；③违反《个人信息保护法》关于个人信息保护的规定，未保障个人信息安全，且涉及未成年人敏感个人信息，未履行未成年人个人信息特殊保护义务（1分）；④违反《网络安全事件报告管理办法》《数据安全法》关于事件报告的规定，发现数据泄露后未及时向监管部门报告，也未告知受影响用户（1分）。2.行政处罚：①对A公司：责令改正，给予警告，没收违法所得；可以并处一百万元以下罚款，情节严重的处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证（2分）；②对直接负责的主管人员和其他直接责任人员：处十万元以上一百万元以下罚款（2分）。3.补救措施：①立即采取技术措施封堵安全漏洞，防止泄露范围进一步扩大，全面排查系统安全隐患（1分）；②及时告知受影响用户个