2025年金融数据安全管理规范考核试题及答案（银行专用）

2025年金融数据安全管理规范考核试题及答案（银行专用）一、单项选择题（共20题，每题1分，满分20分）1.根据《金融数据安全数据分类分级要求》（JR/T0197-2020），下列数据中属于银行业金融机构核心数据的是（）A.单个个人客户的开户基本信息B.单家分支机构的月度信贷业务统计数据C.支撑国家金融宏观调控的全国性银行业运行统计数据D.已公开的银行年度社会责任报告数据2.根据《个人金融信息保护技术规范》（JR/T0171-2020），下列个人金融信息中属于C3类（最高敏感等级）的是（）A.个人客户姓名B.个人客户预留手机号C.个人客户指纹识别信息D.个人客户开户行名称3.金融数据访问控制的核心原则之一是最小权限原则，下列表述符合规范要求的是（）A.为提升运维效率，应为运维人员开放核心系统全量权限B.仅为用户分配完成岗位职责所必需的最小范围权限C.为方便内部协作，多个关联岗位可共用同一个系统账号D.为应对突发故障，应为所有员工预先开放核心数据访问权限4.根据《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》，银行业金融机构对客户交易记录的最低保存期限为（）A.自交易记账之日起至少3年B.自交易记账之日起至少5年C.自客户销户之日起至少10年D.永久保存5.根据《数据出境安全评估办法》，银行业金融机构向境外提供下列哪类数据，必须向国家互联网信息办公室申报数据出境安全评估（）A.80万条境内个人客户C2类个人金融信息B.120万条境内个人客户个人金融信息C.已公开的境内分支机构工商注册信息D.10万条境内中小微企业客户授信信息6.银行业金融机构与第三方机构开展数据合作过程中，金融数据安全的第一责任主体是（）A.第三方合作机构B.银行业金融机构C.合作双方共同承担D.行业监管部门7.根据《网络安全等级保护条例》，国有大型商业银行的全国性核心业务系统应当达到的网络安全保护等级是（）A.第二级B.第三级C.第四级D.第五级8.银行业金融机构处理敏感金融数据完成业务需求后，对存储敏感数据的物理存储介质应当采取的销毁方式是（）A.简单删除文件后转卖B.格式化后继续内部使用C.消磁或物理粉碎D.分区后出借第三方使用9.根据《中华人民共和国个人信息保护法》，下列哪类个人金融信息的收集不需要取得个人信息主体的同意（）A.为履行反洗钱法定职责收集客户身份信息B.为开展精准营销收集客户消费偏好信息C.为提升授信额度收集客户征信信息D.为开通手机银行收集客户生物识别信息10.银行业金融机构应当对数据安全管理工作开展一次全面合规审计的最低频率是（）A.每半年一次B.每年一次C.每两年一次D.每三年一次11.根据《金融数据安全数据安全生命周期规范》，下列哪个阶段不属于金融数据全生命周期安全管理的范畴（）A.数据收集B.数据存储C.数据销毁D.数据产权交易12.下列选项中，不属于银行业金融机构特权账号的是（）A.核心业务系统超级管理员账号B.数据库运维账号C.普通客户经理客户查询账号D.核心设备系统管理员账号13.根据《银行业金融机构数据治理指引》，银行业金融机构数据安全管理的第一责任人是（）A.首席信息官B.首席数据安全官C.分管数据工作副行长D.银行法定代表人或主要负责人14.银行业金融机构对核心数据进行备份应当遵循的核心原则是（）A.本地同介质备份B.异地异介质备份C.第三方存储备份D.云端集中备份15.下列行为中，符合个人金融信息使用规范要求的是（）A.超出与客户约定的范围使用客户个人金融信息开展营销B.经过客户单独同意后，将客户个人金融信息共享给合作机构C.银行客户经理为冲业绩将掌握的客户信息出售给第三方D.为完成开户任务，强制收集客户的通讯录信息16.某银行发生数据安全事件后，经排查认定，该事件导致120万条个人敏感金融信息泄露，对区域金融稳定造成一定影响，该事件应当定级为（）A.一般数据安全事件B.较大数据安全事件C.重大数据安全事件D.特别重大数据安全事件17.根据金融数据安全管理规范，下列哪个岗位是大中型银行业金融机构应当设立的专职数据安全管理岗位（）A.首席经济学家B.首席风险官C.首席数据安全官D.首席合规官18.银行业金融机构监测数据异常访问行为时，应当将下列哪类访问行为作为监测重点（）A.普通柜员日均10笔的客户信息查询B.特权账号的非工作时间异常访问C.信贷客户经理对本行存量客户的信息查询D.客服人员对预约开户客户的信息核验19.银行业金融机构收集个人金融信息应当遵循的首要原则是（）A.最大收集原则B.最小必要原则C.全面覆盖原则D.效率优先原则20.核心数据是银行业金融机构最高等级的敏感数据，下列关于核心数据存储的要求，表述正确的是（）A.核心数据必须存储在境内，确需出境的应当经过安全评估B.核心数据可以存储在境外服务器，只要做好加密即可C.核心数据不需要加密存储，只要做好访问控制即可D.核心数据可以交由境外第三方机构存储管理二、多项选择题（共10题，每题2分，满分20分）1.根据《中华人民共和国数据安全法》，银行业金融机构作为数据处理者，应当履行的数据安全保护义务包括（）A.建立健全全流程数据安全管理制度B.组织开展数据安全教育培训C.采取技术措施和其他必要措施保障数据安全D.定期开展数据安全风险评估E.发生数据安全事件及时处置并按规定上报2.根据《个人金融信息保护技术规范》，下列关于个人金融信息收集的表述，正确的有（）A.收集个人金融信息应当遵循最小必要原则，不得收集与业务无关的信息B.收集C3类敏感个人金融信息应当取得个人信息主体的单独同意C.不得通过捆绑业务功能强制收集客户的非必要个人金融信息D.收集个人金融信息应当明确告知客户信息收集的目的、方式和范围E.为提升业务效率，可以不经同意收集客户生物识别信息用于营销3.金融数据全生命周期安全管理涵盖下列哪些阶段（）A.数据收集、数据存储B.数据使用、数据加工C.数据传输、数据提供D.数据公开、数据销毁E.数据入境、数据出境4.下列数据中，属于银行业金融机构重要数据范畴的有（）A.5万条个人客户身份信息B.未公开的全行信贷资产质量统计数据C.核心业务系统的运行日志D.已对外发布的银行招聘信息E.单笔1000万元以上企业信贷的审批数据5.根据金融数据安全管理规范，银行业金融机构用户账号管理应当符合下列哪些要求（）A.坚持一人一号，实名登记B.不得共享、转借账号C.特权账号应当最小化配置D.员工调岗、离职应当及时收回账号权限E.定期对所有账号的权限进行复核调整6.银行业金融机构发生数据安全事件后，应当立即采取的应急处置措施包括（）A.切断攻击路径，冻结涉事账号，防止影响扩大B.排查事件影响范围，确认泄露数据的数量和类型C.按照规定及时向监管部门、网信部门上报D.告知受影响客户相关风险，提供必要的保护措施E.开展事件复盘，完善安全管理制度，避免类似事件再次发生7.根据《数据安全法》，下列哪些行为是禁止银行业金融机构实施的（）A.非法买卖、泄露金融数据B.依照法律规定向监管机构提供数据C.超出授权范围访问、使用金融数据D.未经评估向境外提供核心数据E.按照规定开展数据风险评估8.银行业金融机构与第三方科技公司开展合作时，应当在合作协议中明确约定的数据安全条款包括（）A.数据安全保护责任划分B.数据使用范围和用途限制C.数据泄露后的赔偿责任D.合作终止后数据的销毁或返还要求E.第三方机构对数据的自主处置权限9.下列关于个人金融信息存储的要求，表述正确的有（）A.个人敏感金融信息存储应当进行加密处理B.客户身份资料和交易记录应当满足最低保存期限要求C.境内收集的个人金融信息应当存储在境内，法律法规另有规定的除外D.可以将客户敏感金融信息交由未通过安全评估的境外机构存储E.存储个人金融信息的服务器应当定期开展安全漏洞扫描10.银行业金融机构数据安全考核应当纳入的考核范畴包括（）A.董事会对高级管理层的绩效考核B.高级管理层对部门负责人的绩效考核C.部门对普通员工的绩效考核D.对第三方合作机构的合作评价E.仅需要纳入对科技部门的考核，不需要纳入其他部门三、判断题（共10题，每题1分，满分10分）1.银行业金融机构可以获得客户口头同意后，收集客户的指纹信息用于身份验证。（）2.银行业金融机构法定代表人是本机构数据安全管理的第一责任人。（）3.境内收集产生的核心数据不得随意出境，确需出境的必须经过国家网信部门的安全评估。（）4.为提升工作效率，多个客户经理可以共用同一个业务系统账号查询客户信息。（）5.银行业金融机构核心数据备份应当遵循异地异介质备份原则。（）6.第三方合作终止后，第三方机构可以自行留存银行提供的客户金融信息用于自身业务开发。（）7.银行业金融机构应当每年至少开展一次全面的数据安全风险评估。（）8.银行可以根据业务需要，将客户的个人金融信息用于约定用途以外的营销活动，不需要再次获得客户同意。（）9.数据安全事件发生后，银行业金融机构应当按照规定及时上报，不得迟报、瞒报、漏报。（）10.银行业金融机构新上线核心业务系统，应当在上线前开展数据安全风险评估。（）四、案例分析题（共2题，每题25分，满分50分）1.案例一：A银行是一家区域性城商行，2024年为拓展线上消费信贷业务，与第三方互联网营销公司B公司签订合作协议，约定由B公司为A银行引流获客，A银行向B公司开放合作引流客户的进度查询权限，A银行给B公司的客户经理张某某分配了业务系统查询账号。合作开展3个月后，银保监会属地监管分局接到客户投诉，称大量客户个人信息被泄露，频繁接到违规信贷营销电话。经排查发现，B公司张某某利用A银行分配的查询账号，累计下载了15万条合作客户的姓名、手机号、信贷额度等个人金融信息，出售给第三方催收团伙，A银行未对该账号的查询行为进行任何异常监测，该行为持续半年才被发现。问题：（1）本次事件中A银行在数据安全管理方面存在哪些违规问题？（12分）（2）A银行应当采取哪些整改措施防范此类风险再次发生？（13分）2.案例二：某股份制商业银行C银行计划将其2010-2020年积累的150万条个人客户交易数据脱敏后提供给境外某高校开展金融研究，C银行分管行长认为只是脱敏后的研究数据，不需要申报安全评估，直接安排部门发送给了境外高校。问题：（1）C银行的本次数据出境行为是否符合监管要求？请说明理由。（10分）（2）如果C银行确需要提供该批数据出境，应当履行哪些合规程序？（15分）参考答案及解析一、单项选择题1.答案：C解析：根据《金融数据安全数据分类分级要求》，核心数据是指一旦被篡改、泄露、非法利用，会危害国家金融安全、经济安全、社会公共利益的数据，支撑国家宏观调控的全国性银行业运行统计数据属于核心数据范畴；A选项属于重要数据，B选项属于区域性重要数据，D选项属于公开数据，因此C正确。2.答案：C解析：《个人金融信息保护技术规范》将个人金融信息按敏感程度分为C1（公开类）、C2（敏感类）、C3（核心敏感类），其中生物识别信息、银行卡密码、征信报告等属于C3类最高敏感等级信息，因此C正确。3.答案：B解析：最小权限原则是指仅为用户分配完成岗位职责必需的最小范围权限，是数据访问控制的核心原则，ACD选项均违反最小权限原则，因此B正确。4.答案：B解析：根据《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》，客户交易记录自交易记账之日起至少保存5年，客户销户后仍需满足最低保存期限要求，因此B正确。5.答案：B解析：根据《数据出境安全评估办法》，向境外提供100万人以上个人信息的，应当申报出境安全评估，B选项符合该情形，因此B正确。6.答案：B解析：根据《银行业金融机构数据治理指引》，银行业金融机构作为金融数据的控制者，对数据全生命周期安全承担第一责任，不能因合作转移责任，因此B正确。7.答案：C解析：网络安全等级保护分为五级，全国性银行核心业务系统属于涉及国家金融安全的核心基础设施，应当符合第四级保护要求，因此C正确。8.答案：C解析：敏感金融数据销毁必须采用不可恢复的销毁方式，消磁或物理粉碎可以彻底清除数据，避免数据泄露，因此C正确。9.答案：A解析：根据《个人信息保护法》，为履行法定职责义务处理个人信息，不需要取得个人同意，反洗钱是银行法定职责，因此A正确。10.答案：B解析：根据金融数据安全管理规范，银行业金融机构应当每年至少开展一次全面的数据安全合规审计，因此B正确。11.答案：D解析：金融数据全生命周期包括收集、存储、使用、加工、传输、提供、公开、销毁八个环节，数据产权交易不属于常规生命周期管理范畴，因此D正确。12.答案：C解析：特权账号是指拥有系统高级管理权限的账号，普通客户经理查询账号属于普通业务权限，不属于特权账号，因此C正确。13.答案：D解析：根据《银行业金融机构数据治理指引》，银行法定代表人或主要负责人是数据安全管理的第一责任人，因此D正确。14.答案：B解析：核心数据备份应当遵循异地异介质备份原则，防范区域性灾害导致的数据丢失，因此B正确。15.答案：B解析：经过客户单独同意后共享个人金融信息符合监管要求，ACD选项均违反个人金融信息使用规范，因此B正确。16.答案：C解析：根据《金融数据安全数据安全事件分级规范》，泄露100万条以上个人敏感金融信息，对区域金融稳定造成影响的，属于重大数据安全事件，因此C正确。17.答案：C解析：银保监会要求大中型银行业金融机构应当设立首席数据安全官专职负责数据安全管理工作，因此C正确。18.答案：B解析：特权账号权限高，非工作时间异常访问是高风险行为，应当作为监测重点，ACD选项属于正常业务访问，因此B正确。19.答案：B解析：收集个人金融信息应当遵循最小必要原则，不得收集与业务无关的信息，因此B正确。20.答案：A解析：根据《数据安全法》《个人信息保护法》，境内收集产生的核心数据应当存储在境内，确需出境的必须经过安全评估，因此A正确。二、多项选择题1.答案：ABCDE解析：《数据安全法》第二十七条明确规定了数据处理者的上述全部安全保护义务，因此全选。2.答案：ABCD解析：E选项错误，生物识别属于C3类敏感信息，必须取得个人单独同意，且不得超出约定范围用于营销，因此ABCD正确。3.答案：ABCD解析：金融数据全生命周期安全管理涵盖收集、存储、使用、加工、传输、提供、公开、销毁八个阶段，数据出入境属于数据跨境管理范畴，不属于生命周期基础阶段，因此ABCD正确。4.答案：ABCE解析：已对外发布的招聘信息属于公开数据，不属于重要数据，其余选项均属于银行业重要数据范畴，因此ABCE正确。5.答案：ABCDE解析：上述五项均符合银行业金融机构账号管理的规范要求，因此全选。6.答案：ABCDE解析：上述五项均属于数据安全事件应急处置的必要流程，因此全选。7.答案：ACD解析：BE选项是合法合规行为，ACD选项均是《数据安全法》明确禁止的行为，因此ACD正确。8.答案：ABCD解析：E选项错误，第三方机构不得拥有对银行数据的自主处置权限，必须符合银行的安全管理要求，因此ABCD正确。9.答案：ABCE解析：D选项错误，境内收集的个人敏感信息不得存储在未通过安全评估的境外机构，因此ABCE正确。10.答案：ABCD解析：E选项错误，数据安全考核应当覆盖全机构所有部门和员工，以及合作第三方，因此ABCD正确。三、判断题1.答案：×解析：指纹信息属于C3类敏感个人金融信息，收集必须取得个人的单独同意，且需要有可追溯的同意记录，口头同意不符合规范要求，因此本题错误。2.答案：√解析：根据《银行业金融机构数据治理指引》，法定代表人或主要负责人是数据安全第一责任人，因此本题正确。3.答案：√解析：核心数据出境必须经过安全评估，符合《数据安全法》和数据出境管理规定，因此本题正确。4.答案：×解析：银行业务系统账号必须坚持一人一号，不得共用转借，因此本题错误。5.答案：√解析：异地异介质备份是核心数据备份的核心要求，防范单点故障导致的数据丢失，因此本题正确。6.答案：×解析：合作终止后第三方机构必须返还或销毁银行提供的客户数据，不得自行留存，因此本题错误。7.答案：√解析：根据监管要求，银行业金融机构应当每年至少开展一次全面数据安全风险评估，因此本题正确。8.答案：×解析：超出约定用途使用个人金融信息，必须再次取得客户同意，因此本题错误。9.答案：√解析：及时如实上报数据安全事件是银行的法定责任，不得迟报瞒报漏报，因此本题正确。10.答案：√解析：新系统上线前应当开展数据安全风险评估，排查安全隐患，符合规范要求，因此本题正确。四、案例分析题1.案例一参考答案：（1）A银行存在的违规问题：①第三方合作数据安全管理违规：未对合作第三方的业务行为进行有效监督，未在协议中明确约定数据使用的禁止性条款，未落实数据安全第一责任（4分）；②账号权限管理违规：给第三方合作人员分配了超出其业务需要的查询权限，未限制该账号的查询范围和下载权限，未落实最小权限原则（4分）；③异常监测不到位：未建立异常访问监测机制，未对该账号的批量下载、高频查询等异常行为进行监测预警，导致违规行为持续半年才被发现（4分）。（2）整改措施：①立即处置事件：冻结涉事账号，排查泄露信息的范围、影响程度，及时向属地监管部门、网信部门上报事件情况，如实告知受影响客户相关风险，配合公安机关开展调查（3分）；②完善第三方合作管理制度：重新修订合作协议，明确数据使用权限、安全责任和违约条款，对全行所有第三方合作项目开展全面数据安全风险排查，清退不合规合作方（3分）；③优化账号权限管理：对所有第三方合作账号的权限进行重新复核，严格落