2026年DCMM合规评估要求试题及答案

2026年DCMM合规评估要求试题及答案一、单项选择题（共20题，每题2分，共40分）1.根据2026年DCMM合规评估最新申报要求，以下符合申报主体基本条件的是（）A.任何登记注册的市场主体均可直接申报，无运营时间要求B.申报主体已完成数据治理体系建设并实际运行不少于6个月C.申报三级及以上成熟度无需提供网络安全等级保护测评报告D.申报主体无需明确专职数据安全责任人，可由运维人员兼职2.根据2026年DCMM合规评估成熟度分级要求，“数据战略规划获得组织高层批准并正式对内发布”是哪一级成熟度的强制合规要求（）A.1级（初始级）B.2级（受管理级）C.3级（稳健级）D.4级（量化管理级）3.2026年DCMM三级及以上成熟度评估中，要求必须设立的跨部门最高数据治理决策机构是（）A.数据治理委员会B.信息中心C.法务合规部D.首席财务官办公室4.在DCMM数据安全能力域合规评估中，处理超过100万人个人信息的组织，需满足以下哪项强制要求（）A.每年度开展一次个人信息保护影响评估并留存报告B.每两年开展一次个人信息保护影响评估即可C.无需向监管部门报送个人信息保护相关情况D.评估报告仅需公开，无需内部留存5.某跨境经营企业申报DCMM三级合规评估，企业日常需向境外提供境内收集的用户数据，根据2026年DCMM合规评估要求，以下做法符合要求的是（）A.仅与境外接收方签订数据处理合同即可出境B.如达到数据出境安全评估申报标准，需完成国家网信部门的出境评估后方可通过评估C.出境数据无需提前开展数据安全影响评估D.少量个人信息出境可以直接操作，无需备案6.根据2026年DCMM合规评估要求，以下哪类数据属于组织核心数据范畴，需要纳入重点治理和评估（）A.组织内部公开的行政通知B.支撑组织核心业务运行、一旦泄露会危害国家安全公共利益或者组织核心利益的数据C.已经公开的企业招聘信息D.员工个人已经公开的社交账号信息7.DCMM数据架构能力域评估中，三级成熟度要求组织建立以下哪项核心文档（）A.仅核心业务系统的数据库表结构，不需要全局数据模型B.覆盖组织核心业务数据的统一数据模型和数据分布图C.不需要数据架构文档，由开发人员自行管理即可D.仅需要逻辑数据模型，不需要物理数据模型8.根据2026年DCMM评估细则更新要求，组织申报哪一级成熟度需要强制设立首席数据官（CDO）岗位（）A.1级B.2级C.3级D.5级（优化级）及4级（量化管理级）9.以下关于DCMM数据标准能力域的要求，说法正确的是（）A.二级成熟度要求组织已经建立核心业务数据的统一数据标准并落地执行B.任何成熟度都不需要建立数据标准C.数据标准只能由技术部门制定，业务部门不需要参与D.数据标准制定后不允许更新调整10.某组织开展DCMM评估，数据质量能力域中发现核心数据存在错误，根据三级要求，以下哪项处理符合规定（）A.建立问题台账，定期整改，跟踪闭环B.不需要整改，只要发现问题就可以C.只需要通报业务部门，不需要跟踪结果D.要求错误率必须降至0，否则不通过评估11.根据2026年DCMM合规评估与网络安全等级保护衔接要求，三级及以上DCMM评估要求组织的核心业务系统至少通过以下哪项等保测评（）A.等保1级B.等保2级C.等保3级D.不需要等保测评12.在数据生存周期管理能力域评估中，以下哪项不属于数据生存周期的合法核心环节（）A.数据创建B.数据存储C.数据销毁D.未经授权的数据对外售卖13.根据《数据安全法》要求，2026年DCMM评估将数据分类分级作为哪一级成熟度的强制要求（）A.二级及以上B.仅五级C.仅四级D.不需要强制要求14.某政务部门申报DCMM三级评估，根据2026年评估要求，政务数据开放需要满足以下哪项要求（）A.按照政务数据开放目录，区分无条件开放、有条件开放，落实开放合规要求B.所有政务数据都必须无条件开放C.所有政务数据都不允许开放D.开放前不需要做安全评估15.在数据应用能力域评估中，三级成熟度要求组织做到以下哪项（）A.建立数据共享开放机制，支撑业务决策和创新应用B.数据仅能存储，不允许开发利用C.数据应用不需要合规审核，只要业务需要就可以用D.仅对外提供数据盈利，不需要内部应用16.以下关于DCMM合规评估证书有效期的说法，符合2026年最新要求的是（）A.证书有效期3年，到期前需要重新评估换证B.证书永久有效C.证书有效期1年D.证书有效期5年，不需要换证17.组织开展DCMM自评估，根据2026年要求，自评估报告需要至少多久开展一次（）A.每年一次B.每五年一次C.仅申报时做一次即可D.不需要定期开展自评估18.针对生成式人工智能服务组织，2026年DCMM评估要求训练数据管理需要满足以下哪项要求（）A.建立训练数据来源合规审核机制，明确知识产权和个人信息合规要求B.可以随意爬取公开网络数据，不需要审核C.训练数据不需要版本管理D.训练数据中的个人信息不需要处理可以直接用19.根据2026年DCMM评估要求，数据安全能力域中核心数据需要至少多久做一次全量安全审计（）A.每季度一次B.每年一次C.每五年一次D.不需要审计20.DCMM合规评估中，以下哪项不符合客观性要求，会直接导致评估不通过（）A.申报主体提供虚假的制度文档和运行记录B.申报主体提供真实的运行记录C.评估机构现场核查所有制度D.申报主体配合评估机构现场访谈二、多项选择题（共10题，每题3分，共30分）1.根据2026年DCMM合规评估要求，下列属于DCMM八大核心能力域的有（）A.数据战略B.数据治理C.数据运营D.数据生存周期E.数据安全2.2026年DCMM三级合规评估中，对数据分类分级工作的强制要求包括（）A.建立了符合国家分类分级标准的组织内部数据分类分级规则B.完成了组织核心数据和重要数据的识别和定级C.核心数据和重要数据落实了差异化的安全防护措施D.数据分类分级结果不需要更新，一旦确定永久有效3.针对开展生成式人工智能服务的申报主体，2026年DCMM合规评估新增的要求包括（）A.训练数据来源合法，不存在知识产权侵权行为B.训练数据中的个人信息已经按照要求做去标识化或者匿名化处理C.建立了训练数据合规审核机制和版本管理制度D.公开训练数据的全部内容供用户核查4.根据2026年DCMM合规评估要求，数据治理组织架构需要明确的角色包括（）A.数据治理决策层B.数据治理管理层C.数据治理执行层D.数据治理监督层5.数据安全能力域中，三级成熟度要求建立的机制包括（）A.数据访问权限控制机制B.数据备份恢复机制C.数据安全事件应急响应机制D.数据泄露主动告知机制6.根据最新监管要求，2026年DCMM评估中需要核查的合规性文件包括（）A.网络安全等级保护测评报告B.个人信息保护影响评估报告C.数据出境安全评估批复文件（如有出境需求）D.数据治理制度体系文件7.以下关于DCMM成熟度分级，说法正确的有（）A.1级为初始级，数据治理无统一规划，分散开展B.2级为受管理级，组织已经有统一的数据治理规划，部分能力域已经落地C.3级为稳健级，数据治理已经跨部门落地，有明确的制度和流程D.5级为优化级，能够持续优化数据治理体系，支撑业务创新8.数据质量能力域的核心评估指标包括（）A.数据准确性B.数据完整性C.数据一致性D.数据时效性9.申报DCMM评估，组织需要提前做的准备工作包括（）A.梳理组织数据管理现状，开展自评估B.完善数据治理制度和流程，落地运行满要求周期C.整理相关证明材料，包括制度文档、运行记录、合规报告等D.不需要准备，直接申报即可10.根据2026年DCMM合规评估要求，下列属于违规情形，会导致评估不通过的有（）A.申报主体近三年发生重大数据安全事件，未完成整改B.申报主体存在数据造假、提供虚假材料等行为C.申报主体未按要求落实数据分类分级要求D.申报主体核心数据未落实安全防护措施三、判断题（共10题，每题1分，共10分）1.2026年DCMM合规评估要求，申报二级成熟度的组织必须设立首席数据官岗位。（）2.DCMM评估仅适用于企业，不适用于政府部门和事业单位。（）3.2026年DCMM评估要求，所有申报二级及以上成熟度的组织都必须完成数据分类分级工作。（）4.数据标准制定完成后，需要定期复审更新，适应业务变化。（）5.DCMM合规评估不要求核查组织的数据安全合规情况，只核查管理制度。（）6.核心数据必须落实比一般数据更严格的安全防护要求，这是DCMM评估的强制要求。（）7.数据出境只要不涉及国家秘密，就不需要申报出境安全评估。（）8.DCMM三级成熟度要求数据治理体系已经在组织跨部门落地运行，不是仅停留在制度层面。（）9.生成式人工智能的训练数据不需要纳入DCMM数据治理范围。（）10.DCMM评估证书到期后，不需要重新评估，自动延续有效期。（）四、案例分析题（共2题，每题10分，共20分）1.某区域性城市商业银行计划于2026年申报DCMM三级成熟度合规评估，组织现状如下：（1）该行数据治理工作由信息科技部单独牵头，未设立跨部门的数据治理决策机构，由信息科技部总经理兼任数据负责人；（2）该行编制了全行数据战略规划，仅在信息科技部内部公示，未提交行董事会审批发布；（3）该行核心业务系统存储的520万个人客户信息中，经抽样检查发现重复、错误客户信息占比约11.7%，未建立定期数据质量检核和整改机制，也未形成年度数据质量报告；（4）该行全年处理超过500万自然人的个人信息，近两年未开展个人信息保护影响评估，上一次评估为2023年；（5）该行境外股东为某国际金融集团，每月向境外总部报送境内客户交易统计数据，涉及近10万条客户个人信息，达到了数据出境安全评估申报标准，未申报数据出境安全评估也未做备案。问题：（1）请指出该行现状中不符合DCMM三级合规评估要求的所有问题；（6分）（2）针对上述问题列出可落地的整改方案。（4分）2.国内某生成式人工智能服务企业，现有员工210人，累计服务用户超过800万人，计划申报2026年DCMM二级成熟度评估，该企业现状为：（1）训练数据主要来源于公开网络爬取，未对数据来源合法性进行审核，部分训练数据使用了他人享有著作权的文字、图片内容，未获得授权；（2）训练数据中包含大量可识别到特定自然人的个人信息，未做去标识化处理，也未开展个人信息保护影响评估；（3）该企业建立了基础的数据管理制度，明确了技术部门负责数据管理，未制定数据安全应急响应预案；（4）针对用户提出的个人信息删除、更正申请，未建立标准化的响应和处理机制。问题：请结合DCMM二级合规评估要求，指出该企业存在的合规缺失，并给出符合要求的整改方向。参考答案及解析一、单项选择题参考答案及解析1.参考答案：B解析：2026年DCMM合规评估结合最新的评估工作规范更新了申报基本条件，明确要求申报主体完成数据治理体系建设并实际运行不少于6个月，三级及以上申报需提供近12个月内有效的网络安全等级保护测评报告，且必须明确专职数据安全责任人，因此A、C、D选项错误，B选项正确。2.参考答案：B解析：DCMM成熟度分级中，1级初始级没有统一的数据战略规划，数据战略规划获得组织高层批准并对内正式发布是2级受管理级的强制要求，因此B选项正确。3.参考答案：A解析：2026年DCMM评估细则明确要求，三级及以上成熟度必须设立跨部门的最高数据治理决策机构即数据治理委员会，不得由单一技术部门承担决策职能，避免数据治理“重技术、轻业务”的问题，因此A选项正确。4.参考答案：A解析：根据《个人信息保护法》要求，处理一百万人以上个人信息的个人信息处理者，应当每年开展个人信息保护影响评估，2026年DCMM评估将该法定要求纳入强制合规核查项，因此A选项正确。5.参考答案：B解析：根据《数据出境安全评估办法》，达到申报标准的数据出境必须完成国家网信部门的安全评估，2026年DCMM评估将出境合规性作为核心核查项，未满足合规要求直接不予通过评估，因此B选项正确，A、C、D均不符合监管要求。6.参考答案：B解析：DCMM评估中核心数据的定义为支撑组织核心业务运行，一旦篡改、泄露、丢失会危害国家安全、公共利益、组织核心利益或者个人合法权益的数据，只有B选项符合核心数据的定义，因此B正确。7.参考答案：B解析：DCMM三级成熟度数据架构能力域要求建立覆盖核心业务的全局统一数据模型和数据分布图，同时涵盖逻辑模型和物理模型，满足跨系统数据整合的需求，因此B正确，A、C、D错误。8.参考答案：D解析：2026年DCMM评估细则要求，四级及五级成熟度需要强制设立首席数据官岗位，进入组织高层管理序列，三级只要求明确专职数据负责人，不强制要求设立CDO岗位，因此D正确。9.参考答案：A解析：二级及以上DCMM评估要求建立核心业务数据的统一数据标准，制定过程需要业务部门和技术部门共同参与，且需要定期更新适配业务变化，因此只有A正确。10.参考答案：A解析：DCMM三级数据质量能力域要求建立问题整改闭环管理机制，不强制要求核心数据错误率降为0，只要求建立持续改进机制，因此A正确。11.参考答案：C解析：2026年DCMM评估与等保2.0衔接要求，核心业务系统涉及重要数据或者大量个人信息的，申报三级DCMM要求核心系统至少通过等保三级测评，因此C正确。12.参考答案：D解析：数据生存周期包括数据创建、获取、存储、维护、使用、共享、销毁等合法环节，未经授权的数据对外售卖属于违规行为，不属于合法的核心环节，因此D正确。13.参考答案：A解析：根据《数据安全法》要求，2026年DCMM评估将数据分类分级明确为二级及以上成熟度的强制要求，所有申报二级及以上的组织都必须完成分类分级工作，因此A正确。14.参考答案：A解析：政务数据开放按照“无条件开放、有条件开放、不予开放”三类分类管理，开放前需要做安全合规评估，因此只有A正确。15.参考答案：A解析：三级成熟度数据应用能力域要求建立合规的数据共享开放机制，支撑业务决策和创新发展，因此A正确，B、C、D不符合要求。16.参考答案：A解析：2026年DCMM合规评估证书有效期为3年，到期前3个月需要申请复核或者重新评估换证，因此A正确。17.参考答案：A解析：要求申报二级及以上的组织每年开展一次DCMM自评估，形成自评估报告留存，因此A正确。18.参考答案：A解析：2026年DCMM评估针对生成式AI新增训练数据合规要求，要求建立来源审核、知识产权核查、个人信息合规处理、版本管理机制，因此A正确，B、C、D错误。19.参考答案：B解析：DCMM数据安全能力域要求核心数据每年至少开展一次全量安全审计，因此B正确。20.参考答案：A解析：申报主体提供虚假材料属于严重违规行为，直接判定评估不通过，因此A正确。二、多项选择题参考答案及解析1.参考答案：ABDE解析：DCMM国家标准核心能力域为数据战略、数据治理、数据架构、数据标准、数据质量、数据安全、数据应用、数据生存周期共八个，数据运营不属于DCMM规定的核心能力域，因此正确答案为ABDE。2.参考答案：ABC解析：数据分类分级结果需要至少每年更新一次，或者在业务发生重大变化、监管要求更新时及时调整，因此D错误，ABC符合强制要求。3.参考答案：ABC解析：生成式AI训练数据涉及大量知识产权和敏感个人信息，不需要也不允许公开全部训练数据内容，因此D错误，ABC为2026年评估新增的合规要求。4.参考答案：ABCD解析：2026年DCMM评估要求数据治理组织架构需要明确决策、管理、执行、监督四层角色，权责清晰，避免推诿，因此ABCD都正确。5.参考答案：ABCD解析：三级成熟度数据安全能力域要求建立权限控制、备份恢复、应急响应、泄露告知等全流程安全管理机制，满足数据安全防护的法定要求，因此ABCD都正确。6.参考答案：ABCD解析：2026年DCMM评估需要核查的文件包括制度体系、等保测评报告、个人信息保护影响评估报告、出境合规批复文件等，因此ABCD都正确。7.参考答案：ABCD解析：DCMM成熟度从低到高分为初始级、受管理级、稳健级、量化管理级、优化级五个等级，四个选项描述均符合分级定义，因此ABCD都正确。8.参考答案：ABCD解析：数据质量的六大核心特性包括准确性、完整性、一致性、时效性、唯一性、相关性，四个选项均属于核心评估指标，因此ABCD都正确。9.参考答案：ABC解析：申报DCMM评估需要提前完成自评估、体系建设落地运行、证明材料整理等准备工作，因此ABC正确，D错误。10.参考答案：ABCD解析：近三年发生重大数据安全事件未整改、提供虚假申报材料、未落实分类分级要求、核心数据未落实安全防护措施都属于严重违规情形，直接判定评估不通过，因此ABCD都正确。三、判断题参考答案及解析1.参考答案：×解析：只有四级及以上成熟度才要求强制设立首席数据官，二级不强制要求设立该岗位，因此本题错误。2.参考答案：×解析：DCMM评估适用于各类组织，包括企业、政府部门、事业单位和社会团体，因此本题错误。3.参考答案：√解析：2026年DCMM评估根据《数据安全法》要求，将数据分类分级明确为二级及以上成熟度的强制要求，因此本题正确。4.参考答案：√解析：数据标准需要适配业务发展和监管要求的变化，定期复审更新，因此本题正确。5.参考答案：×解析：DCMM评估不仅核查管理制度，还要核查实际合规运行情况，重点核查数据安全合规性落地效果，因此本题错误。6.参考答案：√解析：数据分类分级防护要求核心数据落实更严格的安全管理措施，是DCMM评估的核心强制要求，因此本题正确。7.参考答案：×解析：达到出境评估申报标准的，即使不涉及国家秘密也需要申报安全评估，因此本题错误。8.参考答案：√解析：三级稳健级要求数据治理体系已经在组织跨部门落地运行，不是停留在制度纸面，因此本题正确。9.参考答案：×解析：2026年DCMM评估已经将生成式AI训练数据纳入数据治理范围，要求落实合规管理要求，因此本题错误。10.参考答案：×解析：证书有效期为3年，到期需要重新评估或者复核换证，不能自动延续有效期，因此本题错误。四、案例分析题参考答案1.（1）不符合要求的问题：①组织架构不符合要求：三级DCMM明确要求设立跨部门的数据治理委员会作为最高决策机构，该行仅由信息科技部单独牵头，未设立跨部门决策机构，权责划分不符合要求；（1.5分）②数据战略不符合要求：数据战略规划需要获得组织最高管理层审批并在全行发布，该行仅在科技部内部公示，未提交董事会审批发布，不符合二级及以上成熟度要求；（1.5分）③数据质量不符合要求：三级DCMM要求建立核心数据定期检核、问题整改机制，每年形成正式的数据质量评估报告，该行未建立相关机制，也未按要求形成报告，不符合要求；（1分）④个人信息保护不符合要求：该行处理超过100万个人信息，法定要求每年开展一次个人信息保护影响评估，该行上一次评估为2023年，近两年未开展，不符合合规要求；（1分）⑤数据出境不符合要求：该行出境数据已经达到法定申