医疗数据安全与隐私保护培训考试试卷

医疗数据安全与隐私保护培训考试试卷一、单项选择题（每题1分，共20分）1.根据《中华人民共和国数据安全法》，数据安全是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。下列哪项属于医疗数据安全的核心目标？A.提升数据的经济价值B.保障数据的机密性、完整性、可用性C.实现数据的无限共享D.简化数据访问流程答案B2.医疗数据中，下列哪一类数据属于敏感个人信息？A.患者姓名B.患者联系电话C.患者病历中的健康生理信息D.患者就诊科室答案C3.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的：A.一般同意B.单独同意C.口头同意D.默示同意答案B解析个人信息保护法第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。4.医疗机构在进行数据去标识化处理后，仍可能通过关联分析识别出个人身份。下列哪项措施能更有效降低再识别风险？A.仅删除姓名B.仅删除身份证号C.结合匿名化技术并实施风险评估D.仅删除联系电话答案C5.医疗数据分级分类管理中，以下哪类数据通常被划分为最高级别？A.医院公开的科室介绍B.患者基因检测数据C.医院床位数统计D.药品采购价格答案B6.当发生医疗数据泄露事件时，医疗机构应当在多少小时内向主管部门报告？A.12小时B.24小时C.48小时D.72小时答案B解析根据《网络安全法》及相关规定，发生网络安全事件后，运营者应当在24小时内向有关主管部门报告。7.下列哪种访问控制模型适用于需要根据医务人员岗位职责动态调整数据访问权限的场景？A.自主访问控制（DAC）B.强制访问控制（MAC）C.基于角色的访问控制（RBAC）D.基于属性的访问控制（ABAC）答案D解析ABAC可以根据主体属性、资源属性、环境条件等动态决策，更适合复杂多变的医疗数据访问场景。8.医疗数据加密传输时，常用的安全协议是：A.HTTPB.FTPC.TLS/SSLD.SMTP答案C9.对医疗数据备份的基本要求是：A.每天备份即可，无需验证B.定期备份并验证恢复有效性C.仅备份重要服务器，终端可不备份D.备份数据可存储在任何介质上答案B10.医务人员在离开工作电脑前，正确的做法是：A.让电脑保持登录状态，方便同事使用B.锁定屏幕或注销登录C.直接关闭显示器D.不需要做任何操作答案B11.下列哪项行为违反了医疗数据安全规定？A.经授权查询患者病历用于临床诊疗B.将患者影像资料导出用于学术会议，但已去除姓名和身份证号C.在内部科研平台上使用经过审批的脱敏数据集D.通过个人邮箱将患者原始检验报告发送给合作单位答案D12.医疗数据全生命周期管理包括哪些环节？A.采集、存储、使用、共享、销毁B.采集、存储、使用、传输、发布C.采集、存储、处理、分析、利用D.采集、存储、加工、传输、公开答案A解析数据生命周期通常包括采集、存储、使用、加工、传输、提供、公开、删除等环节，选项A更符合医疗行业常见表述。13.关于电子病历的访问留痕，下列做法正确的是：A.仅记录访问时间，不记录操作人员B.记录操作人员、访问时间、操作内容及数据范围C.仅记录操作内容，不记录患者信息D.仅记录成功访问的日志，失败尝试可不记录答案B14.医疗数据存储介质报废时，应采取的措施是：A.直接丢弃B.格式化后转赠他人C.使用专业工具进行数据擦除或物理销毁D.简单删除文件答案C15.对于患者隐私保护，以下哪项告知内容不属于隐私政策应当包含的要素？A.收集个人信息的目的和方式B.个人信息的保存期限C.个人行使权利的途径D.医院每日门诊量统计答案D16.医疗机构向第三方提供患者健康数据用于药物研发，下列做法符合规定的是：A.无需患者同意，因为数据已脱敏B.经患者单独同意，并签订数据使用协议C.只要不透露姓名即可随意提供D.由科室主任自行决定提供答案B17.下列哪项不是防止医疗数据泄露的有效技术措施？A.部署数据防泄露（DLP）系统B.对敏感数据实施加密存储C.所有员工使用统一弱口令方便记忆D.实施网络隔离和访问控制答案C18.医疗数据安全事件应急响应流程的正确顺序是：A.检测→抑制→根除→恢复→总结B.抑制→检测→根除→恢复→总结C.检测→根除→抑制→恢复→总结D.恢复→检测→抑制→根除→总结答案A19.关于医疗数据出境，下列说法正确的是：A.任何医疗数据均不得出境B.重要数据出境需进行安全评估C.患者个人信息出境无需任何审批D.经科室主任同意即可出境答案B解析根据《数据出境安全评估办法》，重要数据出境应当通过安全评估；个人信息出境需符合法定条件。20.以下哪项属于对医疗数据安全的日常管理措施？A.每季度开展一次数据安全培训B.定期修改系统口令，并启用多因素认证C.将数据备份磁带随意放置在机房角落D.允许外来人员自由进入机房答案B二、多项选择题（每题2分，共20分）1.下列属于医疗数据安全威胁来源的有：A.内部人员故意泄露B.黑客攻击C.数据存储介质故障D.员工误操作答案ABCD2.医疗数据脱敏的常用方法包括：A.替换B.置乱C.泛化D.删除或掩码答案ABCD3.根据《个人信息保护法》，个人对其个人信息享有以下哪些权利？A.查阅、复制权B.更正、补充权C.删除权D.要求解释说明处理规则答案ABCD解析个人信息保护法第四章规定了个人在个人信息处理活动中的权利，包括知情权、决定权、查阅复制权、更正补充权、删除权等。4.医疗机构在开展数据安全培训时，培训内容应包括：A.相关法律法规和制度B.数据安全技术基础C.典型泄露案例警示教育D.应急处置流程答案ABCD5.关于医疗数据的使用，以下行为符合安全规范的有：A.经授权在科研项目中分析脱敏后的病历数据B.将患者数据存储在医院指定的加密移动硬盘中C.使用个人云盘备份患者数据D.在数据使用完成后及时删除临时副本答案ABD6.医疗数据安全风险评估的步骤包括：A.资产识别B.威胁识别C.脆弱性识别D.风险分析和评价答案ABCD7.下列哪些措施可以增强医疗系统的身份认证安全？A.采用密码和短信验证码双因素认证B.设置密码复杂度要求并定期更换C.使用指纹或人脸识别等生物特征认证D.允许共享账号以便应急答案ABC8.医疗数据安全事件报告内容应包括：A.事件发生的时间和地点B.涉及的数据类型和数量C.已采取的措施D.可能造成的影响答案ABCD9.关于医疗数据存储加密，下列说法正确的有：A.应对数据库中的敏感字段进行加密B.密钥与加密数据应分开存储C.加密算法可选择国密SM4等D.所有数据均需高强度加密，无需考虑性能答案ABC解析加密会带来性能开销，需要根据数据敏感度和业务需求平衡，并非所有数据都需高强度加密。10.医疗数据安全等级保护定级时，通常考虑的因素包括：A.数据的重要程度B.遭到破坏后对公民、社会、国家的影响C.业务系统的规模D.医院等级答案ABC三、判断题（每题1分，共10分）1.患者姓名、身份证号、住址、电话号码等个人信息只要去除姓名，就可以随意对外提供。答案错误2.医疗数据匿名化后，即使与其他数据结合也无法识别特定个人，因此不属于个人信息。答案正确解析匿名化处理后的信息不属于个人信息，但需确保达到法律要求的匿名化标准。3.医务人员为了方便记忆，可以使用自己的生日作为系统密码。答案错误4.医疗机构应当对数据安全负责人、关键岗位人员进行安全背景审查。答案正确5.所有医疗数据都应当永久保存。答案错误6.数据安全应急预案制定后，无需演练，只要保存好即可。答案错误7.医疗数据共享时，通过签订数据使用协议，可以明确双方的安全责任。答案正确8.医院官方网站发布的健康科普文章中的案例，无需经过患者授权即可使用真实病历资料。答案错误9.数据安全事件发生后，为了减少负面影响，可以隐瞒不报。答案错误10.对医疗数据实施最小够用原则，是指只收集和处理与业务目的直接相关的必要数据。答案正确四、简答题（每题5分，共20分）1.简述医疗数据分级分类管理的基本思路。答案首先对医疗数据进行全面梳理，识别数据类型和敏感程度；然后依据法律法规和行业标准，按照数据对个人权益、公共利益、国家安全的影响程度进行分级（如核心数据、重要数据、一般数据），对不同级别的数据制定相应的保护措施和管理要求；最后建立动态更新机制，定期复核数据级别。2.列举至少三种医疗数据访问控制的具体措施。答案(1)基于角色的访问控制，按岗位职责分配权限；(2)最小权限原则，仅授予完成工作所必需的最小权限；(3)定期权限复审，及时回收离岗、转岗人员的权限；(4)使用多因素认证加强身份核验。3.什么是数据脱敏？在医疗数据使用中为什么需要脱敏？答案数据脱敏是指对敏感数据通过替换、掩码、泛化等技术处理后，使其在保留一定统计特征的同时无法直接识别到具体个人。医疗数据包含大量患者隐私，脱敏可以降低数据在科研、教学、共享等场景中泄露个人隐私的风险，同时满足合规要求。4.当发现患者病历数据被非授权访问时，应立即采取哪些处置措施？答案(1)立即阻断访问，断开相关账户或网络连接；(2)保护现场，保存日志和证据；(3)评估泄露的数据范围和可能影响；(4)按照应急预案向上级和主管部门报告；(5)通知受影响患者并协助其采取保护措施；(6)分析原因并制定整改方案，防止再次发生。五、案例分析题（每题15分，共30分）1.某医院信息科接到报告，一名医生在未授权的情况下，通过科室共用账号多次查询多名患者的病历资料，并将部分截图通过微信发送给外部人员。经调查，该账号密码长期未修改且为简单口令。请回答：(1)该事件暴露了医院在数据安全管理方面存在哪些问题？(2)结合案例，提出至少四项改进措施。答案：(1)存在的问题：①账号管理不规范，存在共用账号现象，无法定位到具体操作人；②口令策略薄弱，密码简单且长期未修改，容易被猜解或冒用；③访问控制不严格，未按最小权限原则限制医生查询范围；④审计监督缺失，未及时发现异常查询行为；⑤员工数据安全意识不足，未遵守数据保密规定。(2)改进措施：①实行一人一账号，禁止共用账号，并启用多因素认证；②制定并落实强口令策略，要求定期更换密码；③基于角色和岗位细化访问权限，落实最小授权；④建立异常行为监测机制，对批量、非工作时段查询等行为进行预警；⑤加强员工数据安全培训，签订保密协议，明确违规责任；⑥部署数据防泄露（DLP）系统，对敏感数据外发进行管控和审计。解析：本题考察对数据安全管理制度、技术措施和人员管理的综合理解。答题时需结合案例中的具体线索，如“共用账号”“简单口令”“微信外发”等，指出管理、技术、人员三方面的漏洞。2.某医疗科研团队计划开展一项基于5万例患者电子病历的疾病预测模型研究。患者数据包括姓名、身份证号、诊断、用药记录、检验指标等。研究方案计划将数据导出至科研服务器，并可能将部分结果与合作单位共享。请回答：(1)该研究在数据使用前，应当完成哪些合规性工作？(2)在数据共享给合作单位时，应采取哪些安全措施？答案：(1)合规性工作：①开展数据安全影响评估，明确数据使用目的、范围和安全风险；②向患者履行告知义务并取得知情同意，或通过伦理委员会审查豁免/简化同意；③对数据进行去标识化处理，删除姓名、身份证号等直接标识符；④制定数据使用和存储方案，限定数据仅用于研究目的；⑤