2025年数据安全与信息保护能力考试试卷及答案

2025年数据安全与信息保护能力考试试卷及答案1.单项选择题（每题1分，共20分。每题只有一个正确答案，请将正确选项字母填入括号内）1.1根据《数据安全法》第三十一条，关键信息基础设施运营者采购网络产品或服务，影响国家安全的，应当通过（）。A.网络安全审查  B.商用密码检测  C.等级保护测评  D.数据出境评估答案：A1.2在GB/T379182019《信息安全技术数据出境安全评估指南》中，对“个人信息”进行出境评估时，首要判定依据是（）。A.数据量级  B.数据是否经匿名化  C.数据是否被加密  D.数据是否可被重新识别答案：D1.3某云服务商通过同态加密技术向客户提供密文计算服务，该场景下最主要降低的风险是（）。A.传输窃听  B.云服务商内部泄露  C.终端木马  D.域名劫持答案：B1.4差分隐私技术中，对同一查询多次添加独立拉普拉斯噪声，其隐私预算消耗（）。A.线性累加  B.平方累加  C.取最大值  D.不消耗答案：A1.5零信任架构的核心原则是（）。A.先连接后认证  B.默认信任内网  C.持续验证、动态授权  D.以防火墙为边界答案：C1.6在Linux系统中，若文件权限为“rwrr”，则文件所有者不具备的权限是（）。A.读  B.写  C.执行  D.删除答案：C1.7某数据库表采用AES256列级加密，密钥托管在HSM中，当执行“SELECTFROMTWHEREencrypted_column='plain_value'”时，最合理的优化方案是（）。A.在密文上建索引  B.使用确定性加密  C.关闭查询缓存  D.提升HSM带宽答案：B1.8《个人信息保护法》规定，处理敏感个人信息应取得个人的（）。A.明示同意  B.书面同意  C.单独同意  D.默示同意答案：C1.9在SSL/TLS握手过程中，用于协商对称密钥的首要消息是（）。A.ClientHello  B.ServerHello  C.Certificate  D.Finished答案：A1.10某企业采用OAuth2.0授权码模式，授权码有效期推荐设置为（）。A.1分钟  B.10分钟  C.2小时  D.24小时答案：B1.11依据《网络安全审查办法》，运营者申报审查时提交的风险自评估报告应重点说明（）。A.上市融资计划  B.数据被篡改的可能性  C.数据被外国政府控制的风险  D.源代码质量答案：C1.12在Kubernetes中，为Pod设置SecurityContext的runAsNonRoot字段为true，其主要目的是（）。A.禁止容器以root身份运行  B.关闭特权模式  C.启用SELinux  D.限制CPU配额答案：A1.13根据ISO/IEC27701:2019，对控制者而言，新增“隐私控制”应整合进（）。A.信息安全风险评估  B.业务连续性计划  C.现有ISMS  D.财务审计流程答案：C1.14某日志系统需保存用户操作痕迹以备审计，依据《网络安全法》，日志留存期限不少于（）。A.1个月  B.3个月  C.6个月  D.12个月答案：C1.15在WindowsServer中，若需强制启用BitLocker且不允许用户关闭，应使用的策略路径是（）。A.计算机配置→管理模板→系统→BitLocker驱动器加密→操作系统驱动器→启用BitLocker  B.用户配置→管理模板→网络→网络连接  C.计算机配置→Windows设置→安全设置→本地策略→用户权限分配  D.计算机配置→管理模板→系统→电源管理答案：A1.16采用SHA256对消息进行数字签名时，签名对象实际是（）。A.原始消息  B.消息的SHA256值  C.消息拼接时间戳  D.随机数答案：B1.17在数据分类分级中，若某数据泄露会造成企业“重大经济损失+声誉严重受损”，则其最低级别应为（）。A.公开级  B.内部级  C.秘密级  D.机密级答案：C1.18某APP在隐私政策中写明“收集设备MAC地址用于广告推荐”，但未提供关闭选项，违反的合规基线是（）。A.最小必要原则  B.公开透明原则  C.质量保障原则  D.责任明确原则答案：A1.19在RSA密钥对生成时，若e=3且模数n长度不足1024位，则最可能遭受的攻击是（）。A.低指数广播攻击  B.选择密文攻击  C.时序攻击  D.碰撞攻击答案：A1.20当使用IPSecESP隧道模式时，新IP头中的协议字段值为（）。A.50  B.51  C.6  D.17答案：A2.多项选择题（每题2分，共20分。每题有两个或两个以上正确答案，多选、少选、错选均不得分）2.1以下属于《数据安全法》规定的“数据处理”活动的是（）。A.收集  B.存储  C.使用  D.删除  E.传输答案：ABCDE2.2关于Kerberos协议，下列描述正确的有（）。A.依赖对称加密  B.使用TGT实现单点登录  C.采用公钥证书进行身份验证  D.时间戳防重放  E.默认端口88答案：ABDE2.3以下技术可实现数据库“静态脱敏”的有（）。A.格式保持加密  B.令牌化  C.同态加密  D.数据遮蔽  E.可逆置换答案：ABDE2.4在零信任参考架构NISTSP800207中，核心逻辑组件包括（）。A.策略引擎  B.策略管理员  C.策略执行点  D.SIEM  E.数据湖答案：ABC2.5关于国密算法，下列配对正确的有（）。A.SM2—椭圆曲线公钥加密  B.SM3—哈希  C.SM4—分组密码  D.SM9—标识密码  E.SM1—非对称加密答案：ABCD2.6以下日志中，可用于溯源“横向移动”攻击的有（）。A.Windows事件ID4624  B.Windows事件ID4672  C.Windows事件ID4768  D.Linuxauth.log  E.VPN登录日志答案：ABCDE2.7在数据生命周期中，属于“数据销毁”阶段安全控制的有（）。A.消磁  B.覆写  C.加密擦除  D.物理粉碎  E.降级存储答案：ABCD2.8关于隐私计算中的“联邦学习”，下列说法正确的有（）。A.原始数据不出域  B.交换模型参数  C.需防止模型逆向  D.需同态加密支持  E.可抵御投毒攻击答案：ABC2.9以下属于《关键信息基础设施安全保护条例》定义的“关键业务”判断标准的有（）。A.用户规模  B.数据重要性  C.业务中断影响范围  D.是否盈利  E.是否跨省答案：ABC2.10在Android13中，获取设备精准定位需声明的权限有（）。A.ACCESS_FINE_LOCATION  B.ACCESS_COARSE_LOCATION  C.ACCESS_BACKGROUND_LOCATION  D.CAMERA  E.RECORD_AUDIO答案：AC3.填空题（每空2分，共20分）3.1在SHA256压缩函数中，共有______轮，每轮使用______个消息字。答案：64，643.2根据《个人信息保护法》第五十五条，处理个人信息达到国家网信部门规定数量的，应当指定______负责人，并将其姓名及联系方式报告主管部门。答案：个人信息保护3.3在Linuxcapabilities机制中，允许进程修改系统时间的capability名称是______。答案：CAP_SYS_TIME3.4当TLS1.3使用AES256GCM时，其认证标签长度为______字节。答案：163.5在数据库行列加密中，若使用确定性加密，则同一明文在不同时间加密产生的密文______（相同/不同）。答案：相同3.6零信任网络中，用于描述“主体对客体访问权限动态判定结果”的术语简称______。答案：PE（PolicyDecision）3.7依据《网络安全等级保护定级指南》，若系统被破坏会对社会秩序和公共利益造成特别严重损害，则其等级保护级别应定为______级。答案：四3.8在IPv6中，用于提供端到端机密性和完整性的扩展头名称是______。答案：ESP3.9当使用RSAOAEP填充时，其哈希函数通常选用______算法。答案：SHA2563.10在数据脱敏技术中，将“张三”替换为“张”的方法称为______脱敏。答案：遮蔽4.判断题（每题1分，共10分。正确打“√”，错误打“×”）4.1在差分隐私中，隐私预算ε越小，数据可用性越高。  答案：×4.2国密SM4算法属于分组密码，其分组长度为128位。  答案：√4.3依据《数据出境安全评估办法》，数据出境评估结果为“不通过”的，可在整改后再次申报。  答案：√4.4WindowsEFS加密文件被移动到FAT32分区后，加密属性仍然保持。  答案：×4.5在OAuth2.0隐式授权模式中，访问令牌直接通过浏览器重定向URI片段返回。  答案：√4.6同态加密算法一定支持无限次密文乘法运算。  答案：×4.7Kubernetes的Secret对象默认使用etcd加密存储。  答案：×4.8根据ISO/IEC27040，存储介质销毁的“加密擦除”方式适用于所有场景。  答案：×4.9在TLS1.3中，RSA密钥交换已被移除。  答案：√4.10《网络数据安全管理条例（征求意见稿）》提出，日活超1亿的大型平台处理重要数据需每年开展数据审计。  答案：√5.简答题（封闭型，每题5分，共15分）5.1简述“数据最小化原则”在个人信息处理中的三项具体要求。答案：1.收集类型应限于实现处理目的的最小必要范围；2.收集数量应限于实现处理目的的最小必要额度；3.保存期限应为实现处理目的所必需的最短时间，到期后应删除或匿名化。5.2列出零信任架构中“持续信任评估”需采集的三类动态信号，并各举一例。答案：1.主体身份信号：用户多因素认证结果；2.环境上下文信号：终端设备安全补丁级别；3.行为异常信号：登录地理位置偏离常驻地超过300公里。5.3说明数据库透明加密（TDE）与列级加密的差异，并指出各适合的场景。答案：TDE在存储层对数据文件整体加密，对应用透明，适合防止物理磁盘丢失导致泄露；列级加密对敏感字段单独加密，支持细粒度访问控制，适合防止DBA等内部人员越权查看明文。6.简答题（开放型，每题10分，共20分）6.1某跨国企业拟将中国子公司产生的业务数据通过加密隧道传输至欧盟总部进行大数据分析。请结合《数据安全法》《个人信息保护法》及GDPR，阐述其应履行的合规步骤及技术要点。答案要点：1.识别数据类型，区分个人信息、重要数据、敏感个人信息；2.开展数据出境风险自评估，重点评估境外接收方数据保护水平、法律冲突、政府调取风险；3.对个人信息取得数据主体单独同意，对敏感个人信息进行明示告知并取得书面同意；4.向省级网信部门申报数据出境安全评估，提交自评估报告、合同、用户同意材料；5.与欧盟总部签署SCC（标准合同条款），约定数据用途、保存期限、再转移条件、数据主体权利；6.采用端到端AES256GCM加密，密钥托管在中国境内HSM，确保欧盟接收方仅得密文；7.建立数据泄露响应双通道，72小时内分别向中欧监管机构报告；8.每年开展第三方审计，审计报告留档3年；9.设置数据删除SLA，分析完成后30天内删除原始数据并出具销毁证明；10.建立用户撤回同意机制，撤回后24小时内停止传输并删除境外已传数据。6.2某政务云采用微服务架构，需对外提供“社保查询”API。请设计一套基于零信任的数据安全访问方案，涵盖身份、网络、工作负载、数据四层，并给出威胁缓解表。答案要点：1.身份层：采用国密SM2双证书+FIDO2硬件Key，实现用户、设备、服务三重身份；2.网络层：所有微服务间通信强制mTLSTLS1.3，启用SPIFFEID进行服务身份绑定，边界部署API网关进行流量清洗；3.工作负载层：容器运行时启用gVisor，禁止特权容器，镜像签名验证，使用OPAGatekeeper实施准入策略，限制容器间横向移动；4.数据层：社保敏感字段采用格式保持加密（FPE）+令牌化，数据库启用TDE，密钥通过KMS轮换，API响应字段按用户角色动态脱敏；5.威胁缓解表：a.中间人攻击→mTLS证书绑定；b.重放攻击→JWT+时间戳+nonce；c.容器逃逸→gVisor+Seccomp；d.横向移动→微隔离+最小权限；e.数据泄露→FPE+脱敏+审计日志；f.密钥窃取→HSM+SM2密钥分割；g.拒绝服务→API网关限流+验证码；h.内部滥用→堡垒机+4A审计；i.合规风险→等保2.0三级+国密改造；j.数据残留→内存清零+容器销毁。7.应用题（综合类，25分）7.背景：某电商平台“618”大促期间，发现大量用户收货地址被批量导出。已知系统架构：前端APP→CDN→API网关→微服务（订单服务、用户服务）→MySQL主从；用户服务含“收货地址”表，字段：id、user_id、mobile、address、id_card_no。问题：（1）给出事件溯源的完整取证步骤（5分）；（2）指出导致泄露的三种可能技术漏洞并给出验证方法（6分）；（3）设计一套“收货地址”数据全生命周期加密与访问控制方案，要求支持运维人员无法查看明文、开发测试使用脱敏数据、BI系统可统计区域分布但无法还原个体地址（10分）；（4）列出对涉事责任方的处罚依据及条款（4分）。答案：（1）取证步骤：1.立即冻结用户服务容器镜像，保存运行时内存dump；2.从API网关拉取7天访问日志，筛选/exportAddress、/batchQuery接口；3.对比用户服务数据库binlog，定位异常select语句及源IP；4.检查WAF规则命中记录，确认是否绕过；5.镜像流量回溯，使用Zeek提取HTTPbody，查看是否包含id_card_no明文；6.比对运维堡垒机录像，确认是否有人工批量操作；7.将上述日志、镜像、录像