2026年信息系统安全合规试卷及答案

2026年信息系统安全合规试卷及答案一、单项选择题（每题2分，共40分）1.我国网络安全领域的基础性法律是？A.《中华人民共和国数据安全法》B.《中华人民共和国网络安全法》C.《中华人民共和国个人信息保护法》D.《中华人民共和国密码法》答案B2.《中华人民共和国网络安全法》自何时起施行？A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2019年12月1日答案B3.网络安全等级保护制度中，安全保护等级共分为几级？A.3级B.4级C.5级D.6级答案C4.网络安全等级保护2.0的核心标准《信息安全技术网络安全等级保护基本要求》的标准编号是？A.GB/T22239-2019B.GB/T22240-2019C.GB/T25070-2019D.GB/T28448-2019答案A5.个人信息处理者处理个人信息应当遵循的原则不包括？A.合法、正当、必要B.目的明确C.诚信D.无限收集、自由使用答案D6.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的？A.一般同意B.单独同意C.书面同意D.口头同意答案B解析《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。7.《中华人民共和国数据安全法》确立的数据分类分级保护制度中，数据分为哪三类？A.一般数据、重要数据、核心数据B.内部数据、外部数据C.结构化数据、非结构化数据D.个人数据、公共数据、企业数据答案A8.关键信息基础设施运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行几次检测评估？A.1次B.2次C.3次D.4次答案A9.根据GB/T22240-2019《信息安全技术网络安全等级保护定级指南》，确定等级保护对象安全保护等级的两个定级要素是？A.受侵害的客体和侵害程度B.系统建设成本和维护成本C.系统用户数量和访问量D.系统部署的地理位置答案A10.网络安全等级保护第三级系统的等级测评周期为？A.每半年一次B.每年至少一次C.每两年一次D.每三年一次答案B11.等级测评结论为"基本符合"时，网络运营者应当？A.无需采取任何措施B.对测评发现的问题在规定期限内完成整改C.立即将系统下线D.仅对高风险问题进行修复，中低风险无需处理答案B12.数据出境安全评估的申报主体是？A.个人信息主体B.数据处理者C.境外接收方D.行业协会答案B13.根据《中华人民共和国个人信息保护法》，个人对其个人信息的处理享有？A.知情权、决定权B.仅有知情权C.仅有删除权D.所有权答案A14.信息安全管理体系的国际标准是？A.ISO/IEC20000B.ISO9001C.ISO14001D.ISO/IEC27001答案D15.依据《国家网络安全事件应急预案》，网络安全事件分为几个等级？A.2级B.3级C.4级D.5级答案C解析网络安全事件分为特别重大（Ⅰ级）、重大（Ⅱ级）、较大（Ⅲ级）和一般（Ⅳ级）四个等级。16.根据《中华人民共和国密码法》，用于保护国家秘密的密码是？A.核心密码和普通密码B.商用密码C.对称密码D.非对称密码答案A17.《网络安全法》要求网络运营者按照规定留存相关的网络日志不少于？A.一个月B.三个月C.六个月D.十二个月答案C18.依据《网络安全法》，网络运营者为用户办理网络接入、域名注册服务等入网手续时，应当要求用户提供？A.真实身份信息B.收入证明C.家庭住址D.工作单位答案A19.依据《个人信息保护法》，个人信息保护影响评估报告和处理情况记录应当至少保存几年？A.1年B.2年C.3年D.5年答案C20.根据GB/T22240-2019，定级对象受到破坏后，对公民、法人和其他组织的合法权益造成特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成危害的，其安全保护等级应为？A.第二级B.第三级C.第四级D.第五级答案B二、多项选择题（每题2分，共20分）1.网络安全等级保护2.0"一个中心、三重防护"体系包括？A.安全管理中心B.安全通信网络C.安全区域边界D.安全计算环境答案ABCD2.《网络安全法》规定的网络运营者安全保护义务包括？A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态、网络安全事件的技术措施，并留存网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施答案ABCD3.个人信息处理者处理敏感个人信息，应当满足的条件包括？A.具有特定的目的和充分的必要性B.取得个人的单独同意C.处理不满十四周岁未成年人个人信息的，取得其父母或者其他监护人的同意D.向个人告知处理敏感个人信息的必要性以及对个人权益的影响答案ABCD解析《个人信息保护法》第二十八条至第三十一条对处理敏感个人信息作了严格限定，除特定目的和充分必要性、单独同意、充分告知外，处理不满十四周岁未成年人个人信息还须取得监护人同意，并制定专门的个人信息处理规则。4.以下情形属于数据出境的是？A.将境内运营中收集和产生的数据传输至境外B.将境内运营中收集和产生的数据存储在境外C.境内数据能够被境外的组织、个人查询、调取、下载、导出D.数据仅在境内存储但被境内人员查看答案ABC5.依据《个人信息保护法》，个人信息主体享有的权利包括？A.查阅、复制权B.更正、补充权C.删除权D.要求解释说明处理规则的权利答案ABCD6.关键信息基础设施运营者的安全保护义务包括？A.设置专门安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.每年至少进行一次检测评估D.采购可能影响国家安全的网络产品和服务时通过国家安全审查答案ABCD7.商用密码可用于保护以下哪些信息？A.金融交易数据B.政务信息系统数据C.个人信息D.国家秘密答案ABC解析根据《密码法》，商用密码用于保护不属于国家秘密的信息。保护国家秘密应使用核心密码和普通密码。8.等级保护定级时需要综合考虑的要素是？A.定级对象受到破坏后受侵害的客体B.对受侵害客体的侵害程度C.系统建设投资规模D.系统在线用户数量答案AB9.下列属于个人信息的有？A.姓名、出生日期B.身份证件号码C.行踪轨迹D.匿名化处理后的信息答案ABC解析匿名化处理后的信息无法识别特定自然人，不属于个人信息。10.网络安全等级保护测评结论分为？A.符合B.基本符合C.不符合D.优秀答案ABC三、判断题（每题1分，共10分）1.《网络安全法》适用于在中华人民共和国境内建设、运营、维护和使用网络的行为。答案正确2.网络安全等级保护第三级系统每两年开展一次等级测评即可满足要求。答案错误解析等保三级系统要求每年至少开展一次等级测评。3.个人信息处理者可以以个人不同意处理其个人信息为由，拒绝提供产品或者服务。答案错误解析处理个人信息属于提供产品或者服务所必需的除外，否则不得因个人不同意而拒绝提供产品或者服务。4.《数据安全法》坚持安全与发展并重，鼓励数据依法合理有效利用。答案正确5.商用密码可以用于保护国家秘密。答案错误6.国家网络安全事件应急预案将网络安全事件分为特别重大、重大、较大和一般四个等级。答案正确7.等级保护定级结果只需企业内部确认即可，无需向公安机关备案。答案错误解析第二级及以上网络运营者的定级结果需经专家评审，并报公安机关备案。8.匿名化处理后的信息不属于个人信息。答案正确9.关键信息基础设施运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。答案正确10.信息安全合规工作仅需在系统上线前开展一次即可。答案错误解析信息安全合规应贯穿信息系统规划、建设、运行、废弃的全生命周期，并持续跟踪法律法规变化，动态开展合规工作。四、简答题（每题6分，共18分）1.简述网络安全等级保护2.0"一个中心、三重防护"体系的内涵。答案以安全管理中心为核心，对安全通信网络、安全区域边界、安全计算环境三个层面实施统一管控。安全管理中心负责集中审计、集中管理和集中监测；安全通信网络保障网络传输安全，安全区域边界实现边界访问控制，安全计算环境保障计算设备安全，形成纵深防御体系。2.简述数据分类分级工作的基本步骤。答案（1）梳理数据资产，形成数据资源清单；（2）依据法律法规和行业标准制定数据分类分级规则；（3）按照规则对数据进行分类和定级；（4）对重要数据、核心数据进行标识，实施重点保护；（5）建立动态更新与复核机制，定期对分类分级结果进行审核调整。3.发生个人信息泄露后，个人信息处理者应当如何处理？答案（1）立即采取补救措施，防止危害扩大；（2）通知履行个人信息保护职责的部门，涉及个人权益的还应通知个人；（3）报告内容包括泄露的原因、泄露的信息种类和数量、可能造成的危害、已采取的补救措施以及个人可以采取的减轻危害的措施；（4）配合监管部门的调查处理，并总结经验教训，完善安全防护措施。五、案例分析题（共12分）某公司核心业务系统通过等级保护三级测评，测评中发现以下问题：①系统仍存在5个默认口令账号和多个弱口令；②网络日志留存时间不足3个月，未部署日志审计系统；③机房出入口未部署门禁系统和视频监控；④公司未制定网络安全事件应急预案，也未开展过应急演练。请回答：（1）上述4个问题分别对应等级保护要求中的哪些层面？（4分）（2）针对上述问题提出整改建议。（8分）答案：（1）问题对应层面：①属于安全计算环境（身份鉴别）；②属于安全管理中心（安全审计）及安全计算环境（安全审计）；③属于安全物理环境（物理访问控制）；④属于安全管理制度（应急管理）。（2）整改建议：①立