2026年基层数据安全管理考试题（含答案）

2026年基层数据安全管理考试题（含答案）一、单项选择题（本大题共15小题，每小题2分，共30分。每小题只有一个最符合题意的选项。）1.根据《中华人民共和国数据安全法》，数据安全工作的首要原则是（）。A.促进数据开发利用B.保障数据安全C.维护国家安全、公共利益和个人合法权益D.坚持安全与发展并重2.基层单位在收集个人信息时，下列做法符合《个人信息保护法》要求的是（）。A.以“默认勾选”方式获得用户同意B.通过一次性告知所有事项获取概括授权，后续处理不再单独告知C.基于公共安全事由，在履行法定职责所必需的范围内直接收集，无需另行取得个人同意D.为了提升用户体验，将收集的个人信息用于未告知的推荐算法场景3.某乡镇政府办公楼内一台连接政务内网的终端被植入木马，该木马试图将内网数据打包外传。按照数据安全事件分级标准，此类事件通常属于（）。A.特别重大数据安全事件（I级）B.重大数据安全事件（II级）C.较大数据安全事件（III级）D.一般数据安全事件（IV级）4.在数据分类分级管理中，以下哪一类数据一旦泄露，可能对国家安全造成危害？（）A.商业秘密数据B.个人健康生理信息C.重要数据D.公共数据5.基层单位使用云服务存储政务数据时，以下哪种做法正确？（）A.将核心政务数据存储在境外公有云平台，以降低本地硬件成本B.选择通过国家网络安全审查的云服务商，并签订数据安全保护协议C.为便于共享，将所有数据设置为公共读权限D.使用个人免费网盘备份政务数据6.依据GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，第三级及以上信息系统每年应至少开展（）次等级测评。A.1B.2C.3D.47.某村卫生室将患者电子病历数据（包含身份证号、诊断信息）以明文形式存储在没有访问控制的共享文件夹中。该行为主要违反了以下哪项安全管理要求？（）A.数据加密要求B.最小权限原则C.数据备份要求D.日志留存要求8.关于数据安全风险评估，下列表述正确的是（）。A.风险评估只需在系统上线前进行一次B.风险评估应当由系统运维人员自行完成，无需第三方参与C.重要数据处理者应当定期开展风险评估，并向有关主管部门报送风险评估报告D.风险评估结果无需向监管部门报告，仅内部存档即可9.在处理涉及个人敏感信息（如生物识别、医疗健康、金融账户等）时，依据《个人信息保护法》，应当取得个人的（）。A.一般同意B.书面同意C.单独同意D.默示同意10.以下哪种口令设置方式安全性最高？（）A.使用连续数字“12345678”B.使用生日加姓名拼音组合，如“zhangsan19900101”C.使用包含大小写字母、数字和特殊字符的12位随机字符串，如“Kp#9mQ!x2@Lz”D.使用多个系统共用同一个简单密码11.基层单位向外提供数据时，应当事先进行（）。A.数据脱敏处理B.数据压缩处理C.数据格式转换D.数据冗余处理12.关于数据备份策略，RPO（恢复点目标）指的是（）。A.从灾难发生到业务恢复所需的时间B.灾难发生时允许丢失的数据量（即数据可恢复到的时间点）C.备份数据保存的时长D.备份作业执行的频率13.某单位员工将涉密文件通过微信“文件传输助手”从办公电脑发送到个人手机，该行为属于（）。A.正常办公行为，不涉及违规B.违规外联，可能导致敏感数据泄露C.数据备份行为，有助于数据保存D.数据共享行为，符合信息化办公趋势14.依据《数据出境安全评估办法》，以下哪种情形需要申报数据出境安全评估？（）A.数据处理者向境外提供重要数据B.数据处理者向境外提供一般个人信息（非敏感，且数量较少）C.数据处理者向境内机构提供数据，但该机构为外资企业D.数据处理者将数据存储在境内，但境外人员可远程访问该境内系统15.基层单位发现数据安全漏洞后，最恰当的处理流程是（）。A.隐瞒不报，自行修复后不记录B.立即修复，修复完成后补记日志C.按照应急预案采取补救措施，并按照规定向有关主管部门报告D.等待上级部门巡检发现后再处理二、多项选择题（本大题共5小题，每小题3分，共15分。每小题有两个或两个以上符合题意的选项，多选、少选、错选均不得分。）16.依据《数据安全法》，国家建立数据安全审查制度，以下哪些情形属于数据安全审查的重点范围？（）A.影响或者可能影响国家安全的数据处理活动B.运营者采购网络产品和服务，可能影响国家安全的C.数据处理者开展一般性商业分析活动D.运营者在境外上市，可能影响国家安全的17.基层单位在开展数据安全培训时，培训内容应至少包括（）。A.数据安全法律法规和标准规范B.本单位数据安全管理制度和操作规程C.数据安全风险识别与防范技能D.数据泄露事件的应急处置流程18.关于数据脱敏技术，以下说法正确的有（）。A.数据脱敏是降低数据敏感度的有效手段B.动态脱敏是在数据使用过程中实时进行脱敏处理C.静态脱敏是在数据存储或导出前一次性完成脱敏D.数据脱敏后可以完全替代访问控制措施19.以下哪些属于基层单位常见的数据安全风险？（）A.运维人员权限过大，缺乏操作审计B.移动存储介质（U盘）管理失控，公私混用C.第三方运维人员远程维护时未采取管控措施D.老旧设备报废时未对存储介质进行彻底销毁20.发生数据泄露事件后，单位在应急处置中应当做到（）。A.立即启动应急预案，采取技术和管理措施阻断泄露扩大B.及时向本单位数据安全管理部门报告C.根据相关规定向行业主管或网信部门报告D.为避免负面影响，先内部处理完毕再对外报告三、填空题（本大题共10小题，每小题2分，共20分。请将正确答案填写在横线上。）21.《中华人民共和国数据安全法》自__________年____月____日起施行。22.数据分类分级应当遵循__________原则，即对不同类别和级别的数据采取不同的安全保护措施。23.依据《个人信息保护法》，处理个人信息前应当以显著方式、清晰易懂的语言向个人告知处理目的、处理方式、处理的个人信息种类和保存期限等事项，并取得个人的__________。24.在数据安全管理制度中，“三员分立”通常是指系统管理员、__________和__________三个角色相互独立、相互制约。25.依据网络安全等级保护2.0标准，安全计算环境中对数据保密性的要求之一是：采用__________技术保证重要数据存储时的保密性。26.数据生命周期管理通常包括数据采集、存储、__________、使用、__________、销毁等环节。27.基层单位应当建立数据安全应急响应机制，制定数据安全__________，并定期组织__________。28.对于承载重要数据的信息系统，应当合理规划备份策略，建议采用“__________”备份策略，即同时保存本地备份、同城备份和异地备份。29.数据出境活动中，关键信息基础设施运营者向境外提供个人信息和重要数据时，应当依法进行__________。30.数据安全审计日志的保存期限不得少于____个月，涉及关键信息基础设施的日志保存时间不得少于____个月。四、判断题（本大题共8小题，每小题2分，共16分。正确的打“√”，错误的打“×”。）31.基层单位自行收集的数据，所有权归基层单位所有，可以不经批准随意对外提供。（）32.数据安全仅仅是指防止数据被窃取和篡改，不涉及数据合规使用问题。（）33.对数据实施加密存储后，即使数据库被拖库，攻击者也无法直接获取明文信息，因此可以完全依赖加密技术保障数据安全。（）34.单位员工在离职时，应注销其所有系统账号，并收回其持有的移动存储介质和加密设备。（）35.为了简化管理流程，可以允许同一员工同时担任数据安全管理员和系统运维管理员。（）36.数据安全事件发生后，如果已经向公安机关报案，则无需再向网信部门报告。（）37.采用数据脱敏技术处理后的测试数据，可以用于开发测试环境，降低敏感数据暴露风险。（）38.云计算环境下，数据安全责任完全由云服务商承担，云租户无需履行数据安全管理义务。（）五、简答题（本大题共4小题，每小题10分，共40分。）39.简述数据分类分级的实施步骤，并说明基层单位在开展数据分类分级工作时应注意哪些关键问题。40.列举至少四种常见的数据加密技术类型，并分别说明其在基层数据安全管理中的典型应用场景。41.请阐述最小权限原则的含义，并结合基层单位实际，说明在账号权限管理、数据访问控制、运维操作管理等场景中如何落实该原则。42.当发现单位内部系统发生数据泄露事件时，作为基层数据安全管理人员，请描述完整的应急处置流程。六、案例分析题（本大题共2小题，第43题14分，第44题15分，共29分。）43.某街道办事处建设了一套“智慧社区综合管理平台”，该平台收集了辖区内居民的基本信息（姓名、身份证号、住址）、车辆信息、人脸识别记录以及部分弱势群体的帮扶记录。平台运维由第三方科技公司承担，并部署在公有云上。【问题】（1）请分析该平台在数据安全管理方面可能存在的风险点。（至少列举5个，5分）（2）针对上述风险，请提出相应的安全管理措施。（5分）（3）该街道办若要向某商业机构提供脱敏后的小区人口统计分析数据用于商业选址，是否合规？请说明理由。（4分）44.某县医院信息科接到网络安全监测预警，发现医院业务内网中一台影像归档和通信系统（PACS）服务器正在向境外未知IP地址持续传输数据。经初步排查，该服务器上存储有大量患者的CT、MRI影像数据及检查报告（包含患者姓名、身份证号、病情描述）。【问题】（1）请判断该事件的性质，并说明该事件涉及哪些类型的数据。（5分）（2）作为信息科负责人，请制定一份应急处置方案，包含具体步骤和职责分工。（6分）（3）事后调查发现，事件起因是PACS系统供应商在远程运维时使用弱口令，且未开启双因素认证。请从管理和技术两个层面提出整改措施。（4分）（以下为参考答案）参考答案一、单项选择题（每题2分，共30分）1.C解析：依据《数据安全法》第三条，数据安全是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。首要原则是维护国家安全、公共利益和个人合法权益。2.C解析：A项“默认勾选”属于无效同意；B项概括授权不符合单独告知要求；D项超出告知范围处理个人信息违反目的限制原则。C项符合《个人信息保护法》第十八条关于法定职责豁免同意的规定。3.C解析：该事件未造成大规模数据泄露，仅发现木马且尚未完全外传，按《数据安全法》及数据安全事件分级指南，属于较大数据安全事件（III级）。4.C解析：依据《数据安全法》第二十一条，国家建立数据分类分级保护制度，对“重要数据”予以重点保护。重要数据一旦泄露，可能危害国家安全、国计民生、公共利益。5.B解析：核心政务数据不得存储在境外；云服务商应通过安全审查并签订协议；所有数据设置公共读权限违反最小授权原则；个人免费网盘不具备安全保障能力，均不符合要求。6.A解析：GB/T22239-2019要求第三级及以上系统每年至少开展一次等级测评，第二级系统建议每两年一次。7.B解析：患者电子病历包含个人敏感信息，任何无关人员均可访问，明显违反最小权限原则。题干未涉及加密、备份、日志等环节。8.C解析：依据《数据安全法》第三十条，重要数据处理者应当定期开展风险评估，并向有关主管部门报送风险评估报告。A项错误（应定期开展）；B项错误（鼓励第三方参与）；D项错误（必须报送）。9.C解析：《个人信息保护法》第二十九条要求处理敏感个人信息应当取得个人的单独同意，法律、行政法规另有规定的除外。10.C解析：A、B为弱口令；D为口令复用，风险高；C为复杂随机口令，安全性最高。11.A解析：向外提供数据前应进行脱敏处理，去除可直接识别个人身份的标识，降低泄露风险。压缩、格式转换、冗余处理均不能降低数据敏感度。12.B解析：RPO指恢复点目标，即灾难发生时允许丢失的最大数据量；RTO指恢复时间目标。A项描述的是RTO。13.B解析：通过即时通讯工具传输涉密或内部敏感文件属于违规外联行为，可能导致数据泄露。微信“文件传输助手”传输链路未经审批，且数据流向个人设备脱离管控。14.A解析：依据《数据出境安全评估办法》第四条，向境外提供重要数据需要申报安全评估。B项未达数量门槛（一般个人信息未超过10万人）；C项为境内提供，不属出境；D项属境外访问，需根据具体情况判断，若构成数据出境，则需评估，但A为最直接需申报情形。15.C解析：发现漏洞应立即补救并按规定报告。A项隐瞒不报违法；B项不报告违规；D项被动等待延误处置时机。二、多项选择题（每题3分，共15分）16.A、B、D解析：依据《数据安全法》第二十四条，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。C项一般商业分析不在审查范围内。A、B、D均属于可能影响国家安全的情形。17.A、B、C、D解析：数据安全培训应涵盖法律法规、内部制度、风险识别技能和应急流程，以上四项均为必训内容。18.A、B、C解析：脱敏可降低敏感度；动态脱敏实时处理；静态脱敏在存储或导出前一次性完成。D项错误，脱敏不能替代访问控制，两者互为补充。19.A、B、C、D解析：运维权限过大、U盘失控、第三方远程运维风险、设备报废未销毁介质均属于基层单位高频数据安全风险。20.A、B、C解析：应急处置应第一时间阻断扩散、内部上报、按规定外部报告。D项错误，数据泄露事件不得隐瞒不报或拖延报告。三、填空题（每题2分，共20分）21.2021；9；122.分级保护（或差异化保护）23.同意24.安全审计员；安全保密管理员25.加密26.传输；加工（或共享、流转，答出任意合理环节即可）27.应急预案；应急演练（或演练）28.两地三中心29.数据出境安全评估（或安全评估）30.6；12（或答6个月；12个月）四、判断题（每题2分，共16分）31.×解析：数据权属归国家或集体（依法依规），基层单位仅有管理使用权，对外提供须经审批。32.×解析：数据安全还包括合规使用、数据流转合法等，防止泄露只是其中一环。33.×解析：加密是重要防护手段，但还需结合访问控制、审计、密钥管理等措施，不能完全依赖。34.√解析：离职人员应即刻注销所有账号，收回介质和设备，防止遗留访问权。35.×解析：“三员分立”要求安全管理员、系统管理员、审计员三者分离，不能兼任。36.×解析：向公安机关报案是刑事或治安程序，向网信部门报告是监管义务，两者并行不悖。37.√解析：脱敏数据可用于开发测试，降低敏感数据在非生产环境中的暴露风险。38.×解析：云安全遵循责任共担模式，云租户须对其数据安全、账号管理、应用安全负责。五、简答题（每题10分，共40分）39.参考答案：实施步骤：（1）数据资产盘点：全面梳理本单位所有数据资源，建立数据资产清单，明确数据来源、类型、存储位置、共享范围、责任人。（2）制定分类分级规则：依据国家及行业标准，结合本单位业务特点，制定数据分类分级细则。数据分类通常按业务域（如人口、社保、医疗、地理等）划分；数据分级一般分为核心数据、重要数据、一般数据三级，敏感级别可进一步细分。（3）数据定级打标：对照分级规则，对每一类数据资产进行定级，并在系统中进行标签标识。（4）差异化安全策略：根据数据级别，制定和实施相应的安全保护措施。核心数据重点防护（加密、强审计、专人管理），重要数据加强防护，一般数据常规防护。（5）动态更新与复核：定期对数据资产清单和定级结果进行复核更新，确保与实际业务一致。关键问题：（1）避免“一刀切”定级：不能简单将所有数据都定为高等级，也不应遗漏重要数据。（2）跨部门数据权属协调：数据来源涉及多个部门时，需明确责任主体，协同定级。（3）与业务实际结合：分类分级要贴合基层业务场景，避免脱离实际的“为分类而分类”。（4）落实责任到人：每项数据资产应有明确的责任人负责日常安全管理和合规使用。40.参考答案：（1）静态数据加密（存储加密）：对数据库、文件服务器中的敏感数据在写入存储前进行加密。应用场景：基层单位的政务数据库（居民信息、企业信息）、电子档案、备份介质加密。（2）传输加密（链路加密）：使用SSL/TLS、IPSecVPN等技术对数据在网络上传输过程进行加密。应用场景：远程访问政务系统、跨部门数据交换、移动办公接入。（3）字段级加密（列级加密）：仅对数据库中的敏感字段（如身份证号、手机号）进行加密，非敏感字段不加密，平衡安全性与查询性能。应用场景：含大量个人信息的业务表。（4）文件级加密（透明加密）：对指定文件类型（如Excel、Word）进行透明加解密，授权用户打开时自动解密，离开环境后无法读取。应用场景：基层单位内部共享的敏感文档管理。（5）全盘加密（磁盘加密）：对整块硬盘进行加密，防止设备丢失或送修时数据被直接读取。应用场景：笔记本电脑、移动工作站、报废硬盘处理。41.参考答案：含义：最小权限原则是指任何用户、程序或进程只应拥有完成其任务所必需的最小权限，不得授予超出工作需要的额外权限。其核心是“够用即可”，以减少因权限滥用或账号失陷导致的数据泄露风险。落实措施：（1）账号权限管理：按岗位职责配置账号权限，严格审批流程。定期（至少每季度）复查账号权限，及时回收离职、调岗人员的账号权限。禁止共享账号，实行“一人一号”。（2）数据访问控制：建立数据访问审批机制，按“需要知道”原则授权。对敏感数据实行分级授权，普通员工仅可访问工作职责范围内数据。实施动态访问控制，如基于角色的访问控制（RBAC），并辅以属性访问控制（ABAC）细化策略。（3）运维操作管理：运维人员使用临时权限（如堡垒机授权、工单审批后开放），操作过程全程录屏审计。禁止运维人员直接操作生产数据库中的敏感数据，必要时使用脱敏后的测试数据。实施双人操作复核，高危操作需审批后方可执行。42.参考答案：（1）立即隔离与止损：第一时间断开受影响系统与网络的连接（断网、关停服务、防火墙封堵），防止数据继续外泄。同时保留现场证据，包括系统日志、网络流量包、进程快照等，避免破坏原始数据。（2）启动应急响应预案：召集数据安全应急小组，明确分工（技术处置、沟通联络、法律合规、后勤保障）。（3）事件定级与报告：初步判断事件影响范围和严重程度，根据规定在事件发生后规定时限内（一般不超过2小时）向本单位数据安全管理部门和行业主管、网信部门报告。（4）技术分析与溯源：由技术人员配合专业安全机构排查攻击路径、漏洞原因，分析泄露数据类型和数量。对受影响数据进行排查，确认数据泄露范围。（5）通知相关方与告知个人：根据规定，若数据泄露可能对个人权益造成危害，应及时通知相关个人，告知其风险及应对建议。（6）恢复与加固：修复漏洞，升级安全设备策略，修改所有相关账号口令，重建系统或恢复至安全备份点。加强日志审计和监控告警。（7）事后总结与整改：编写事件复盘报告，分析根本原因，提出整改措施，开展全员安全培训，防止类似事件再次发生。按规定向监管部门报送完整的处置报告。六、案例分析题（共29分）43.参考答案：（1）风险点（答出任意5点，每点1分，共5分）：①数据收集范围过大：收集人脸识别、弱势群体帮扶记录等敏感信息，可能超出业务必需范围，违反“最小够用”原则。②数据存储安全风险：部署在公有云上，若未对云上数据进行加密和访问控制，存在数据被非法访问或泄露风险。③第三方运维管理风险：运维由第三方承担，若未签署保密协议、未实施运维操作审计，存在数据被违规导出或滥用风险。④数据共享合规风险：向商业机构提供数据（即使脱敏），可能未进行安全评估或匿名化处理不彻底，存在重新识别个人身份风险。⑤数据生命周期管理不完善：缺少数据销毁、超期清理机制，历史数据长期留存，增加泄露风险。⑥访问控制风险：平台可能缺乏分级授权机制，内部工作人员可越权查看敏感信息。（2）安全管理措施（每点1分，共5分，答出任意5点即可）：①最小化收集：对平台收集的数据项进行梳理，取消非必要的数据采集，对人脸识别等敏感信息应单独告知并获得明确授权。②数据加密与访问控制：对云端存储数据进行加密，实施基于角色的访问控制，对敏感数据（帮扶记录、人脸数据）实行专人专权管理。③第三方管理：与运维公司签订保密协议和安全责任书，明确数据安全责任边界；要求运维方通过堡垒机操作，全程审计留痕；定期对运维方进行安全评估。④数据共享合规：对外提供数据前，进行匿名化处理并开展安全评估，确保无法重新识别个人身份；履行审批程序，记录共享日志。⑤完善数据生命周期管理：建立数据保存期限制度，到期数据按流程彻底销毁；制定数据备份和恢复计划。⑥安全监测与审计：部署日志审计系统，对平台访问行为进行监测告警，定期开展安全风险评估和渗透测试。（3）判断：合规性需谨慎判断，分为两种情况（4分）：①若该街道办提供的数据经过彻底的匿名化处理（无法识别特定个人身份，且不可复原），则不属于《个人信息保护法》所规范的个人信息处理活动，不涉及向第三方提供个人信息，合规风险较低，但仍需评估该数据是否属于公共数据，以及是否符合公共数据授权运营管理规定。②若脱敏数据仍可通过与其他数据结合重新识别个人身份（如通过住址、年龄等组合定位到具体个人），则该数据仍属于个人信息或衍生个人信息，向商业机构提供属于对外提供个人信息，需要取得个人单独同意，或进行匿名化处理，并开展数据安全风险评估。若数据被认定为重要数据，还需经过更严格的审批，不得擅自提供。综合来看，未经审批和评估，直接向商业机构提供数据的行为不合规，须完成匿名化处理、合法性评估和内部审批后方可实施。44.参考答案：（1）事件性质与数据类型（5分）：性质：该事件属于重大数据泄露事件（II级），属于数据窃取/数据外泄类安全事件。原因：涉及大量患者敏感健康信息和身份信息外传至境外，影响范围大，危害严重。涉及数据类型：①个人敏感信息：患者姓名、身份证号（个人身份信息），CT/MRI影像、检查报告（个人健康生理信息）。②医疗健康数据：影像及诊断报告属于医疗健康数据，受《数据安全法》和《个人信息保护法》双重约束。③可能涉及重要数据：若数据量达到一定规模或涉及特定人群（如特殊疾病患者），可能被认定为重要数据或核心数据。（2）应急处置方案（共