2026年信息技术人员网络安全知识测试试题及答案

2026年信息技术人员网络安全知识测试试题及答案一、单项选择题（共20题，每题1分，共20分。每题只有1个正确答案）1.根据2025年10月1日正式施行的《网络数据安全管理条例》（国务院令第789号），重要数据处理者应当至少每（）开展一次数据安全风险评估，并将评估报告报送有关主管部门。A.半年B.1年C.2年D.3年2.2024年OWASP发布的《Web应用安全Top10风险榜单》中，新增的生成式AI相关风险类别是（）。A.不安全的身份验证B.软件和数据完整性故障C.不安全的生成式AI交互D.服务器端请求伪造3.零信任架构的核心原则不包括以下哪项（）。A.永不信任B.始终验证C.最小权限D.边界防护4.根据《个人信息出境安全评估办法》，个人信息处理者累计向境外提供（）以上敏感个人信息的，应当向国家网信部门申报安全评估。A.1千人B.1万人C.10万人D.100万人5.以下哪种攻击方式属于利用生成式AI技术实施的新型网络钓鱼攻击是（）。A.伪造公函钓鱼B.深度伪造领导语音钓鱼C.水坑攻击D.跨站脚本攻击6.量子密钥分发（QKD）的信息论安全性基于以下哪项物理原理（）。A.量子纠缠B.量子不可克隆定理C.量子叠加态D.量子隧穿效应7.网络安全等级保护3.0试点工作在等保2.0框架基础上，新增的核心防护维度是（）。A.物理安全B.网络安全C.生成式AI服务安全D.应用安全8.企业内部部署生成式AI代码辅助工具时，以下哪项措施最能有效防止核心代码泄露（）。A.为员工开放全量代码库访问权限B.对上传至AI模型的代码进行脱敏和敏感信息过滤C.直接调用公网第三方AI服务接口D.不保留员工使用日志9.以下关于SOAR（安全编排自动化与响应）核心功能的描述，错误的是（）。A.安全事件自动编排处置B.威胁情报自动聚合分析C.替代人工完成所有安全运营工作D.响应流程自动化执行10.根据《生成式人工智能服务管理办法（2025年修订）》，提供面向公众的生成式AI服务的，应当按照国家有关规定履行（）手续。A.算法备案B.工商登记C.税务登记D.消防备案11.以下哪种认证方式属于多因素认证（MFA）的范畴（）。A.用户名+密码B.指纹+人脸C.密码+短信验证码D.门禁卡+工牌12.数据分类分级工作中，重要数据的核心判定标准是（）。A.企业员工的姓名、手机号B.企业公开的招聘信息C.关系国家安全、国民经济命脉、重要民生和重大公共利益的数据D.企业内部办公流程文档13.2024年OWASP发布的《API安全Top10风险榜单》中，位列首位的风险是（）。A.对象级别授权失效B.注入攻击C.数据泄露D.速率限制不当14.企业遭受勒索病毒攻击后，以下哪种处置方式是错误的（）。A.立即断开受感染主机的网络连接B.支付赎金以快速恢复业务C.留存攻击证据，开展溯源分析D.使用干净备份恢复系统15.零信任架构中，用于持续验证用户身份和设备安全状态、执行访问控制决策的核心组件是（）。A.防火墙B.IDS/IPSC.策略决策点（PDP）/策略执行点（PEP）D.路由器16.根据《网络安全法》，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每（）至少进行一次检测评估。A.半年B.1年C.2年D.3年17.以下哪种技术可用于检测深度伪造内容（）。A.防火墙规则匹配B.入侵检测系统C.生物特征一致性分析D.反病毒软件18.企业数据安全治理中，数据脱敏的核心目的是（）。A.加密存储数据B.提升数据可用性C.在数据使用过程中保护敏感信息不被泄露D.提高数据处理效率19.网络供应链安全的防护范围是（）。A.仅针对软件供应链B.仅针对硬件供应链C.涵盖硬件、软件、服务等全链条的安全防护D.仅针对第三方运维服务20.网络安全事件应急响应PDCERF模型中，第二个阶段是（）。A.准备B.检测与分析C.遏制D.恢复二、多项选择题（共10题，每题2分，共20分。每题有2个及以上正确答案，多选、少选、错选均不得分）1.根据《网络数据安全管理条例（2025年施行）》，重要数据处理者应当履行的义务有（）。A.明确数据安全负责人和管理机构B.每年至少开展一次数据安全风险评估C.重要数据出境应当依法申报数据安全评估D.建立数据安全应急处置机制，定期开展应急演练2.零信任架构在企业办公场景的落地要点包括（）。A.以身份为核心的访问控制B.最小权限授权C.持续信任评估D.动态访问控制3.生成式AI服务在企业内部部署时，需要管控的安全风险有（）。A.敏感数据泄露风险B.生成内容的合规风险C.模型被越狱攻击风险D.供应链安全风险4.网络安全等级保护3.0试点工作重点强化的安全领域有（）。A.生成式AI服务安全B.量子通信安全防护C.数据要素流通安全D.传统物理环境安全5.以下攻击方式中，属于社会工程学攻击的有（）。A.深度伪造语音诈骗B.钓鱼邮件C.水坑攻击D.SQL注入6.数据分类分级的核心流程包括（）。A.数据梳理B.分类标识C.分级判定D.动态调整7.根据《关键信息基础设施安全保护条例》，关键信息基础设施运营者应当履行的安全保护义务包括（）。A.设置专门安全管理机构和安全管理负责人B.定期对从业人员进行网络安全教育、技术培训和技能考核C.对重要系统和数据库进行容灾备份D.制定网络安全事件应急预案，并定期进行演练8.以下关于量子加密技术的描述，正确的有（）。A.量子密钥分发（QKD）可以实现信息论安全的密钥协商B.后量子密码算法是为了抵御量子计算对传统公钥密码的破解C.量子加密可以完全替代传统加密技术D.量子加密技术已经全面应用于所有网络场景9.API安全防护的核心措施包括（）。A.身份认证与授权B.输入校验与过滤C.速率限制D.访问日志审计10.企业发生数据泄露事件后，应当履行的法定义务有（）。A.立即采取补救措施，防止危害扩大B.按照规定及时告知受影响的用户C.及时向网信、公安等有关部门报告D.配合有关部门的调查处理三、判断题（共10题，每题1分，共10分。正确打“√”，错误打“×”）1.零信任架构要求对所有访问请求默认不信任，访问主体身份验证通过后仍需持续验证其安全状态。（）2.重要数据通过标准合同方式出境的，无需向网信部门备案。（）3.生成式AI训练数据只要是公开来源的，就可以随意用于模型训练，不构成侵权。（）4.网络安全等级保护制度要求，第三级信息系统应当每年至少开展一次等级测评。（）5.量子密钥分发技术可以抵御量子计算的攻击，实现信息论层面的无条件安全。（）6.企业内部员工的个人设备接入内部网络时，因属于内部人员设备，无需进行安全检查。（）7.SOAR技术可以完全替代安全运营人员的工作，实现全自动化处置所有安全事件。（）8.根据《个人信息保护法》，处理敏感个人信息应当取得个人的单独同意。（）9.深度伪造技术仅能伪造视频内容，无法伪造语音和文本内容。（）10.静态数据脱敏后的数据无法恢复为原始敏感数据，可用于测试、开发等非生产环境。（）四、简答题（共4题，每题5分，共20分）1.简述《网络数据安全管理条例（2025年施行）》中重要数据处理者的核心安全义务。2.简述零信任架构的三大核心原则，并说明其在企业远程办公场景的落地价值。3.简述企业内部部署生成式AI服务时，应当采取的核心安全管控措施。4.简述网络安全事件应急响应PDCERF模型的核心流程及各阶段核心工作。五、案例分析题（共2题，每题15分，共30分）案例一某大型装备制造企业为关键信息基础设施运营者，2026年1月上线内部生成式AI研发辅助平台，面向全体研发人员开放代码片段上传、工艺文档AI辅助生成功能。2026年4月，企业安全团队监测到暗网出现其核心数控系统的工艺代码片段售卖信息，经溯源确认：一是某研发人员为提升工作效率，将包含核心工艺参数的全量代码上传至AI平台用于代码补全，该平台未对上传数据进行脱敏过滤，且平台训练数据集存在未授权访问漏洞，外部攻击者通过API接口越权下载了近3个月内上传的所有训练数据；二是该AI平台由第三方技术服务商开发部署，企业未对服务商开发过程进行安全管控，平台上线前未开展等级保护测评，也未纳入关键信息基础设施安全保护范围；三是企业该AI平台的访问日志仅留存15天，无法溯源攻击者的完整入侵路径。问题：1.结合相关法律法规，分析该事件中企业存在哪些违规行为？（7分）2.针对上述问题，提出具体的整改措施。（8分）案例二某省级政务服务单位2025年完成政务服务平台升级，平台承载全省1200万条公民个人信息，属于等保三级系统。2026年2月，该单位遭受供应链攻击：攻击者通过入侵第三方运维服务商的办公系统，获取了该单位VPN账号（静态口令，无多因素认证），通过VPN接入单位内部网络后，利用内部网络边界防护默认信任内部访问的缺陷，横向移动至核心数据库服务器，窃取了15万条公民敏感个人信息（含身份证号、社保信息），并将数据传输至境外服务器。事件发生后3天才被运维人员发现，且未按规定上报。问题：1.分析该单位在网络安全防护和管理中存在哪些问题？（6分）2.结合零信任架构，提出针对性的整改方案。（9分）参考答案及评分标准一、单项选择题（每题1分，共20分）1.B2.C3.D4.B5.B6.B7.C8.B9.C10.A11.C12.C13.A14.B15.C16.B17.C18.C19.C20.B二、多项选择题（每题2分，共20分）1.ABCD2.ABCD3.ABCD4.ABC5.ABC6.ABCD7.ABCD8.AB9.ABCD10.ABCD三、判断题（每题1分，共10分）1.√2.×3.×4.√5.√6.×7.×8.√9.×10.√四、简答题（每题5分，共20分）1.参考答案：（1）组织管理义务：明确数据安全负责人和管理机构，配备与数据处理活动相适应的专业人员（1分）；（2）风险评估义务：每年至少开展一次数据安全风险评估，评估报告及整改情况报送有关主管部门（1分）；（3）数据出境义务：重要数据出境应当依法申报数据安全评估，不得擅自出境（1分）；（4）应急处置义务：建立数据安全应急处置机制，定期开展应急演练，发生数据安全事件时立即处置并上报（1分）；（5）审计追溯义务：建立数据安全审计制度，留存数据处理活动记录不少于3年（1分）。评分标准：答出5点即可得满分，表述合理可酌情给分。2.参考答案：三大核心原则：①永不信任：默认不信任任何内部或外部的访问主体、设备和资源（1分）；②始终验证：对所有访问请求进行全流程的身份认证、设备状态校验、环境感知（1分）；③最小权限：仅授予访问主体完成当前任务所需的最小权限，且权限动态调整（1分）。落地价值：解决远程办公场景下传统边界防护的局限性，破解边界模糊带来的内部网络风险，防止账号被盗后引发横向移动问题，保障远程访问的安全性和数据保密性（2分）。评分标准：核心原则3分，落地价值2分，表述合理可酌情给分。3.参考答案：（1）准入管控：将AI服务纳入企业安全管理体系，明确安全责任主体，上线前开展算法安全评估（1分）；（2）数据管控：对上传至AI模型的数据进行敏感信息识别、脱敏过滤，禁止核心敏感数据上传至训练集（1分）；（3）模型管控：落实模型越狱攻击防护，定期开展模型安全检测，防止模型被诱导生成违法违规内容（1分）；（4）访问管控：落实身份认证与权限管控，基于最小权限原则授权，全量访问日志留存不少于6个月（1分）；（5）供应链管控：对AI服务提供商开展安全评估，签订安全责任协议，明确数据安全边界（1分）。评分标准：答出5点即可得满分，表述合理可酌情给分。4.参考答案：PDCERF模型分为6个阶段：（1）准备阶段：组建应急响应团队、制定应急预案、开展应急演练、部署安全防护设备基线配置（1分）；（2）检测与分析阶段：监测安全告警信息，分析事件类型、影响范围、危害程度（1分）；（3）遏制阶段：采取措施阻断攻击路径，防止事件扩大，如断开受感染主机网络、临时关闭漏洞利用入口（1分）；（4）根除阶段：清除攻击残留恶意代码、修复漏洞、加固系统配置（0.5分）；（5）恢复阶段：逐步恢复受影响的系统和业务，验证恢复后系统的安全性（0.5分）；（6）跟踪与反馈阶段：总结事件经验教训，优化应急预案，完善安全防护措施（1分）。评分标准：答出6个阶段及核心工作即可得满分，表述合理可酌情给分。五、案例分析题（每题15分，共30分）案例一参考答案：1.违规行为（7分）：（1）违反《关键信息基础设施安全保护条例》：未将生成式AI研发辅助平台纳入关键信息基础设施安全保护范围，未落实关键信息基础设施安全保护义务（2分）；（2）违反《网络安全法》《网络安全等级保护条例》：平台上线前未开展等级保护测评，未落实等级保护安全要求，存在未授权访问高危漏洞（2分）；（3）违反《网络数据安全管理条例》：未落实重要数据保护义务，未对上传至AI平台的重要工艺数据进行脱敏管控，未开展数据安全风险评估，访问日志留存期限不符合不少于3年的法定要求（2分）；（4）违反《生成式人工智能服务管理办法（2025年修订）》：未落实生成式AI服务安全管理责任，未对第三方服务商开展安全管控，未履行算法安全评估义务（1分）。评分标准：答出4点即可得满分，结合法规表述合理可酌情给分。2.整改措施（8分）：（1）管理体系整改：将AI平台纳入关键信息基础设施保护范围，明确数据安全负责人和安全管理机构，建立AI服务全生命周期安全管理制度（2分）；（2）技术防护整改：修复AI平台未授权访问漏洞，部署敏感数据脱敏过滤系统，对上传数据进行自动识别与拦截，禁止核心工艺参数等重要数据进入训练集；落实API安全防护，强化身份认证、访问控制、速率限制等机制（2分）；（3）供应链管理整改：对第三方服务商开展全面安全评估，签订安全责任协议，明确数据安全责任边界，对平台开发过程进行全流程安全管控（2分）；（4）运营运维整改：按等保三级要求开展等级保护测评，补齐等保合规短板；建立全量访问日志留存机制，日志留存期限不少于6个月；每半年开展一次数据安全风险评估，每季度组织一次数据安全应急演练（2分）。评分标准：答出4点即可得满分，措施具体可行可酌情给分。案例二参考答案：1.存在问题（6分）：（1）身份认证管理不到位：VPN账号使用静态口令，未部署多因素认证，账号容易被窃取（1分）；（2）边界防护存在缺陷：采用传统边界防护思路，默认信任内部访问，攻击者接入后即可横向移动，缺乏内部细粒度访问控制（1分）；（3）供应链安全管理缺失：未对第三方运维服务商进行安全管