2026年国家网络安全知识竞赛题库及参考答案

2026年国家网络安全知识竞赛题库及参考答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.《中华人民共和国网络安全法》正式施行的时间是（）A.2016年11月7日B.2017年6月1日C.2021年9月1日D.2024年1月1日参考答案：B2.根据《网络数据安全管理条例》，处理100万以上个人信息的处理者，应当每年开展一次数据安全评估，其评估报告应当至少保存（）A.1年B.2年C.3年D.5年参考答案：C3.2025年我国发布的《网络安全等级保护2.0修订版》中，对云计算平台安全扩展要求的核心控制点不包括（）A.云服务商选择B.虚拟网络边界防护C.镜像快照安全管理D.数据出境统一审批参考答案：D4.核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为（）A.机密级B.秘密级C.绝密级D.内部级参考答案：C5.下列哪种行为符合《个人信息保护法》中关于敏感个人信息处理的要求（）A.某商超在未取得单独同意的情况下，采集消费者人脸信息用于会员识别B.某医疗平台经患者书面同意后，收集其病历信息用于疾病诊断C.某教育APP默认开启采集学生精准位置信息，用于日常考勤D.某金融机构未经用户同意，将其征信信息提供给第三方营销机构参考答案：B6.根据GB/T22239-2025《网络安全等级保护基本要求》，第三级系统的安全审计记录留存时间应当不少于（）A.90天B.180天C.6个月D.12个月参考答案：B7.2025年国家互联网应急中心（CNCERT）发布的网络安全态势报告显示，我国境内遭受攻击源占比最高的境外攻击类型是（）A.勒索病毒攻击B.分布式拒绝服务（DDoS）攻击C.钓鱼邮件攻击D.AI深度伪造诈骗攻击参考答案：C8.商用密码应用安全性评估（密评）的开展对象不包括（）A.关键信息基础设施运营者B.三级等保以上的非涉密信息系统C.政务信息系统D.个人用户使用的社交软件参考答案：D9.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过（）A.网络安全等级保护测评B.国家网络安全审查C.商用密码应用安全性评估D.数据安全风险评估参考答案：B10.下列关于AI生成内容安全管理的说法，符合《生成式人工智能服务管理暂行办法》要求的是（）A.生成式AI服务提供者无需对生成内容进行真实性核验B.提供者应当对生成的图片、视频等内容添加可识别的水印标识C.用户使用AI生成内容无需承担任何法律责任D.AI服务可以随意训练含他人知识产权的数据集参考答案：B11.数据出境安全评估的申报主体，当向境外提供10万人以上个人信息，或者累计向境外提供超过（）人以上个人信息，应当申报安全评估。A.1万B.5万C.10万D.100万参考答案：D12.常见的零信任安全架构核心原则不包括（）A.永不信任，始终验证B.最小权限访问C.默认信任内网用户D.持续信任评估参考答案：C13.单位发生网络安全事件后，应当第一时间启动应急预案，按照规定向有关部门报告，其中重大网络安全事件的上报时限不超过（）A.1小时B.2小时C.4小时D.24小时参考答案：A14.下列密码算法中，属于我国商用密码对称加密算法的是（）A.SM2B.SM3C.SM4D.SM9参考答案：C15.针对当前高发的电信网络诈骗，下列做法正确的是（）A.点击短信里陌生链接下载“社保认证”APPB.接到自称公检法的电话，要求将资金转入“安全账户”时立刻转账C.接到96110来电时及时接听，按提示核实涉诈风险D.在社交平台向陌生人透露自己的银行卡验证码参考答案：C16.《关键信息基础设施安全保护条例》明确，关键信息基础设施的运营者应当设置专门安全管理机构，对专门安全管理机构负责人和关键岗位人员进行安全背景审查，审查周期不超过（）A.1年B.2年C.3年D.5年参考答案：C17.下列关于工业控制系统安全的说法，错误的是（）A.工控系统应当尽可能避免直接与互联网连接B.工控系统可以随意使用U盘等移动存储介质拷贝数据C.工控系统应当定期开展漏洞检测和风险评估D.工控系统远程维护应当采用专用加密通道，履行严格审批流程参考答案：B18.2026年我国网络安全宣传周的主题是（）A.网络安全为人民，网络安全靠人民B.共建网络安全，共享网络文明C.筑牢数字屏障，护航强国建设D.安全上网，健康成长参考答案：C19.个人信息处理者处理个人信息时，当用户撤回同意后，下列做法正确的是（）A.继续保留用户所有个人信息用于营销B.停止处理该用户的个人信息，除法律、行政法规规定的留存情形外及时删除C.将用户个人信息匿名化后出售给第三方D.以用户已享受服务为由，拒绝撤回同意申请参考答案：B20.下列关于漏洞管理的说法，符合《网络产品安全漏洞管理规定》的是（）A.任何个人可以随意在公开社交平台发布未公开的高危漏洞细节B.网络产品提供者应当在获知漏洞后90日内完成漏洞修复并发布补丁C.漏洞收集平台可以将收集到的漏洞提供给境外机构D.网络运营者无需对自身系统开展漏洞排查参考答案：B二、多项选择题（共15题，每题2分，每题有2-4个正确答案，多选、少选、错选均不得分）1.我国网络安全法律体系框架包含以下哪些层级的规范性文件（）A.法律，如《网络安全法》《数据安全法》《个人信息保护法》B.行政法规，如《关键信息基础设施安全保护条例》《网络数据安全管理条例》C.部门规章及规范性文件，如《网络安全审查办法》《生成式人工智能服务管理暂行办法》D.国家标准及行业标准，如网络安全等级保护系列标准、商用密码应用与安全性评估系列标准参考答案：ABCD2.网络安全“三同步”原则是指网络运营者在建设、运营网络系统时，应当将安全保护措施与信息系统实现（）A.同步规划B.同步建设C.同步使用D.同步验收参考答案：ABC3.下列属于敏感个人信息的有（）A.生物识别信息（人脸、指纹、虹膜）B.医疗健康信息C.金融账户信息D.行踪轨迹信息参考答案：ABCD4.关键信息基础设施覆盖的重点行业领域包括（）A.公共通信和信息服务B.能源、交通、水利、金融C.公共服务、电子政务D.国防科技工业参考答案：ABCD5.下列属于常见网络安全攻击手段的有（）A.钓鱼邮件攻击B.勒索病毒加密文件C.SQL注入攻击D.社会工程学诈骗参考答案：ABCD6.商用密码应用安全性评估主要从哪几个维度开展评估（）A.总体性B.密码技术应用C.密钥管理D.安全管理参考答案：ABCD7.个人发现网络运营者违反法律规定收集、使用其个人信息的，有权要求网络运营者（）A.删除其个人信息B.更正错误的个人信息C.赔偿精神损失100万元D.公开所有用户的个人信息参考答案：AB8.下列关于AI深度伪造内容的防范措施，正确的有（）A.对可疑视频、音频通过平台官方工具核验数字水印B.涉及转账、汇款等资金操作时，通过多渠道核实对方身份C.随意下载使用未备案的AI换脸软件生成他人肖像内容D.发现深度伪造违法内容及时向网信、公安部门举报参考答案：ABD9.网络安全等级保护的工作流程包括（）A.定级备案B.建设整改C.等级测评D.监督检查参考答案：ABCD10.数据安全治理的核心环节包括（）A.数据分类分级B.数据全生命周期安全防护C.数据安全风险监测与应急处置D.数据安全审计与合规评估参考答案：ABCD11.下列属于《网络安全法》规定的网络运营者安全义务的有（）A.落实网络安全等级保护制度B.制定网络安全事件应急预案C.为公安机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助D.及时处置系统漏洞、计算机病毒、网络攻击等安全风险参考答案：ABCD12.针对青少年网络安全防护，下列做法正确的有（）A.引导青少年不随意透露个人及家庭敏感信息B.家长开启未成年人网络模式，设置合理上网时长C.教育青少年远离网络暴力、网络色情、网络赌博等违法有害内容D.允许青少年随意向陌生主播大额打赏参考答案：ABC13.下列属于移动互联网应用程序（APP）违法违规收集个人信息典型情形的有（）A.未公开个人信息处理规则B.超范围收集与服务功能无关的个人信息C.未经用户同意收集个人信息D.强制用户授权才能使用基础功能参考答案：ABCD14.网络安全事件应急响应的核心阶段包括（）A.准备阶段B.检测与分析阶段C.遏制、根除与恢复阶段D.事后复盘与改进阶段参考答案：ABCD15.我国密码工作的基本原则包括（）A.坚持党管密码B.坚持创新发展C.坚持服务大局D.坚持依法管理参考答案：ABCD三、判断题（共15题，每题1分，对的打√，错的打×）1.网络运营者可以根据业务需要，随意向境外提供境内收集产生的个人信息和重要数据。（）参考答案：×2.所有等级保护三级及以上系统都应当定期开展商用密码应用安全性评估，评估周期不超过1年。（）参考答案：√3.设置密码时，使用“姓名拼音+生日”的组合安全性最高，不需要定期更换。（）参考答案：×4.国家支持网络运营者之间在网络安全信息收集、分析、通报和应急处置等方面开展合作，提高网络运营者的安全保障能力。（）参考答案：√5.在公共场所安装图像采集、个人身份识别设备，不需要设置显著提示标识，可以随意采集信息用于商业营销。（）参考答案：×6.勒索病毒攻击属于网络违法犯罪行为，遭遇勒索病毒攻击后应当第一时间断网隔离，保留证据并向公安机关报案，严禁私自支付赎金。（）参考答案：√7.关键信息基础设施运营者采购网络产品和服务的，应当与提供者签订安全保密协议，明确安全和保密义务与责任。（）参考答案：√8.个人可以随意出租、出借、出售自己的银行卡、电话卡、互联网账号，不需要承担法律责任。（）参考答案：×9.开展网络安全认证、检测、风险评估等活动，应当遵守国家有关规定，不得危害网络安全，不得利用相关活动牟取非法利益。（）参考答案：√10.生成式人工智能服务提供者不需要对训练数据来源的合法性负责。（）参考答案：×11.重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。（）参考答案：√12.公共WiFi环境下，可以随意进行网上银行转账、支付等操作，不存在信息泄露风险。（）参考答案：×13.任何个人和组织不得设立用于实施诈骗，传授犯罪方法，制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组。（）参考答案：√14.网络安全等级保护制度中，第五级为最高保护等级，适用于一旦遭到破坏会对国家安全造成特别严重损害的系统。（）参考答案：√15.企业员工收到疑似钓鱼邮件时，可以随意点击邮件附件、下载可疑文件，不需要向单位安全管理部门报告。（）参考答案：×四、简答题（共3题，每题10分）1.请简要回答《个人信息保护法》中规定的个人信息处理应当遵循的基本原则。参考答案：个人信息处理应当遵循以下核心原则：（1）合法、正当、必要、诚信原则：处理个人信息应当有明确、合理的目的，不得通过误导、欺诈、胁迫等方式处理个人信息，不得过度收集个人信息。（2）目的明确原则：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。（3）最小必要原则：收集个人信息，应当限于实现处理目的的最小范围，不得过度收集。（4）公开透明原则：处理个人信息应当公开处理规则，明示处理的目的、方式和范围。（5）质量原则：处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。（6）责任原则：个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。（7）安全保障原则：个人信息处理者应当采取相应的技术措施和管理措施，确保个人信息处理活动符合法律规定，防止未经授权的访问以及个人信息泄露、篡改、丢失。2.请结合实际，简述单位日常网络安全防护的核心措施。参考答案：单位开展日常网络安全防护应当从管理和技术两个维度落地，核心措施包括：（1）落实网络安全主体责任，明确网络安全第一责任人、专门管理机构和岗位人员，建立健全网络安全管理制度体系，包括人员管理、系统运维、应急处置、数据管理等配套制度。（2）严格落实网络安全等级保护制度，按照系统定级结果开展备案、整改、测评，定期开展风险评估和漏洞扫描，及时修复高危漏洞，落实边界防护、访问控制、安全审计等技术措施。（3）强化数据安全管理，落实数据分类分级要求，对重要数据、敏感个人信息采取加密存储、访问权限管控、数据脱敏、操作审计等防护措施，规范数据出境、数据共享流程，严禁违规向第三方提供敏感数据。（4）开展常态化人员安全培训，定期组织全员网络安全培训，重点针对钓鱼邮件、社会工程学攻击、弱口令、账号权限管理等高频风险点开展实操演练，提升全员安全意识。（5）强化供应链安全管理，采购网络产品和服务应当落实网络安全审查要求，对第三方服务商、外包运维人员开展安全资质审核，签订安全保密协议，明确安全责任。（6）完善应急响应体系，制定覆盖勒索攻击、数据泄露、系统宕机等场景的应急预案，定期开展应急演练，发生安全事件后第一时间启动响应流程，按规定上报主管部门，留存事件证据，做好溯源处置和事后优化。（7）落实商用密码应用要求，在网络通信、数据存储、身份认证等环节规范使用合规商用密码，定期开展密评，保障密码应用安全。3.请简要回答普通公众日常工作生活中的网络安全风险防范要点。参考答案：普通公众日常网络安全防范应当重点关注以下要点：（1）个人信息保护方面：不随意在非正规网站、APP上填写个人身份证号、银行卡号、家庭住址、验证码等敏感信息；谨慎授权APP获取位置、通讯录、摄像头、麦克风等权限，及时关闭非必要权限；不随意在社交平台发布带位置信息、个人敏感信息的内容；不参与陌生的“扫码领礼品”“问卷调查送红包”等活动，避免个人信息被违规收集。（2）账号安全方面：不同平台账号设置独立强密码，采用“大小写字母+数字+特殊符号”组合，避免使用生日、手机号、简单序列等弱密码；重要账号开启双因素认证；不随意出借、出租自己的微信、支付宝、银行卡、电话卡，避免被用于电信诈骗、洗钱等违法犯罪活动。（3）网络交易防诈骗方面：警惕“公检法办案要求转安全账户”“刷单返利”“冒充客服退款”“虚假投资理财”等常见诈骗套路；不点击短信、社交软件中的陌生链接，不下载非官方渠道的APP；涉及转账、汇款操作时务必通过电话、视频等多渠道核实对方身份；接到96110反诈预警来电及时接听，发现诈骗线索及时拨打110报警。（4）终端安全方面：及时更新电脑、手机操作系统和应用版本，安装正规安全防护软件，不随意插入来历不明的U盘、移动硬盘；不随意连接未加密的公共WiFi进行支付、转账等敏感操作；警惕AI深度伪造的音视频内容，核实身份不仅凭单一音视频素材。（5）网络内容安全方面：自觉抵制网络暴力、色情、赌博等违法有害信息，不传播未经证实的网络谣言，不参与网络恶意炒作；引导未成年人安全上网，开启青少年模式，培养良好上网习惯。五、情境分析题（共2题，每题15分）1.某事业单位2026年上线运行的政务服务系统承载了全市230万市民的社保、医保经办数据，系统定级为等保三级，近期单位收到第三方漏洞平台反馈，该系统存在未授权访问漏洞，可批量导出用户身份证号、手机号、医保缴费记录等敏感信息，且单位运维人员为了方便远程运维，私自将系统后台端口映射到公网，未设置访问控制和多因素认证。请结合网络安全相关法律法规，分析该单位存在哪些违规问题，并提出整改措施。参考答案：存在的违规问题：（1）未落实网络安全等级保护安全建设要求：该系统作为等保三级政务系统，未落实访问控制、安全审计、边界防护等基本安全要求，私自将后台端口映射公网且未做访问限制，不符合GB/T22239-2025中三级系统的安全控制点要求。（2）未履行数据安全保护义务：系统存储大量公民个人敏感信息，存在未授权访问漏洞可批量导出数据，未采取加密、访问权限管控、漏洞定期排查等防护措施，存在重大数据泄露风险，违反《数据安全法》《个人信息保护法》中关于个人信息处理者安全保障义务的规定。（3）网络安全管理责任落实不到位：单位未建立规范的运维权限管理流程，运维人员私自开放公网运维端口，缺乏审批机制和操作审计，反映出单位内部网络安全管理制度缺失、人员培训不到位。（4）漏洞管理机制缺失：单位未定期对系统开展漏洞扫描和风险排查，未主动发现高危漏洞，依赖外部机构反馈才获知风险，违反《网络安全法》中关于网络运营者应当及时处置系统漏洞等安全风险的要求。（5）未落实商用密码应用要求：涉及敏感个人信息存储和传输的三级系统，未按要求使用商用密码进行加密保护，未按规定开展密评工作。整改措施：（1）第一时间开展应急处置：立即关闭公网映射的后台端口，对未授权访问漏洞进行临时封堵，排查是否已发生数据泄露事件，留存相关日志记录，若发生数据泄露第一时间上报网信、公安、数据管理等主管部门，按要求告知受影响用户。（2）全面开展安全漏洞整改：组织技术力量或委托第三方测评机构对系统开展全面漏洞排查，彻底修复未授权访问等高危漏洞，重新优化网络架构，通过VPN专用加密通道开展远程运维，配置严格的访问控制策略和多因素认证机制，落实运维操作全程审计。（3）落实等级保护和密评要求：按照等保三级标准重新开展建设整改，完成等级测评；对敏感数据传输、存储环节部署合规商用密码加密措施，按要求完成商用密码应用安全性评估。（4）强化内部安全管理：完善运维审批、权限管理、漏洞排查、人员培训等制度，对相关运维人员开展安全问责，定期组织全员网络安全培训，明确岗位安全责任。（5）建立常态化安全监测机制：部署网络安全态势感知、数据泄露监测平台，对系统访问行为、数据导出操作进行实时监测，定期开展渗透测试、风险评估，每季度开展漏洞排查，及时处置安全风险。2.某企业员工小李收到一封发件人显示为“公司总经理”的工作邮件，邮件称有一份紧急合作项目合同需要查看，要求小李点击邮件内链接下载文档，并扫描文档内的二维码加入项目临时工作群，后续将在群内安排合作方预付款转账事宜。小李点开链接后，浏览器弹出“请输入企业邮箱账号密码验证身份”的提示，小李未仔细核验网址就输入了账号密码，随后按要求扫码加入了微信群，群内“总经理”要求小李将80万元项目预付款转入指定的私人账户，小李操作转账后发现被骗。请分析该案例中存在的风险点，并说明企业和员工应当如何防范此类钓鱼邮件+社会工程学的组合诈骗。参考答案：案例中的风险点：（1）钓鱼邮件伪装性强：攻击者通过伪造企业高管邮箱发送邮件，利用员工对管理层的信任降低警惕性，传播恶意链接。（2）恶意链接窃取账号凭证：链接伪造企业身份验证页面，套取员工企业邮箱账号密码，可进一步窃取企业内部敏感信息。（3）社交场景伪造实施诈骗：诱导员工加入外部微信群，在群内伪装高管身份，利用紧急工作场景要求转账，绕过企业正常财务审批流程。（4）员工安全意识不足：小李未核验邮件发件人真实地址、未确认链接域名合法性，随意输入账