2026年数据安全知识试题及答案

2026年数据安全知识试题及答案一、单项选择题（共20题，每题2分）1.根据《中华人民共和国数据安全法》规定，（）统筹协调全国数据安全相关工作，负责国家数据安全工作的推进落实。A.中央网络安全和信息化委员会B.国家数据安全工作协调机制C.国务院发展改革部门D.国家安全机关2.国家对数据实行分类分级保护制度，其中（）是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，会对国家安全、公共利益造成严重危害的数据。A.核心数据B.重要数据C.一般数据D.敏感个人信息3.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者训练数据处理活动应当遵守法律法规，尊重知识产权和个人权益，以下做法不符合要求的是（）。A.对训练数据来源的合法性进行审核B.获得知识产权权利人的授权后使用受著作权保护的数据训练模型C.直接爬取公开平台的个人信息用于训练未获得用户同意D.对训练数据中的个人信息进行去标识化处理，降低泄露风险4.关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据的出境活动，应当按照（）的要求进行安全评估。A.《数据出境安全评估办法》B.《个人信息出境标准合同办法》C.《网络安全等级保护条例》D.《关键信息基础设施安全保护条例》5.处理个人信息应当取得个人同意，以下情形中不需要取得个人同意的是（）。A.为订立、履行个人作为一方当事人的合同所必需B.公开个人信息主体自行发布的所有个人信息C.为满足商业营销定向推送需求处理个人信息D.转让已收集的个人信息给第三方合作机构6.数据处理者开展重要数据处理活动，应当按照规定至少（）开展一次数据安全风险评估，并将风险评估报告报送有关主管部门。A.半年B.一年C.两年D.三年7.根据《个人信息保护法》，敏感个人信息不包括以下哪一项？（）A.生物识别B.医疗健康C.宗教信仰D.个人职业信息8.某企业向境外提供120万人的个人信息，按照《数据出境安全评估办法》的要求，该企业应当（）。A.自行组织出境，无需申报B.申报数据出境安全评估C.签订标准合同即可D.通过个人信息保护认证即可9.我国数据安全管理的核心目标是（）。A.保障数据自由流动，实现数据价值最大化B.保障数据安全，促进数据开发利用和健康流动C.禁止数据出境，保护国家数据主权D.限制企业处理个人信息，保护个人权益10.根据《网络安全等级保护条例》，第三级以上网络运营者应当（）对网络数据安全进行一次等级测评。A.每半年B.每年C.每两年D.每三年11.发生数据安全事件，数据处理者应当按照规定及时告知利益相关方并向（）报告。A.有关主管部门B.公安机关C.市场监管部门D.网信部门12.根据《数据安全法》定义，以下不属于数据处理活动的是（）。A.数据收集B.数据存储C.数据交易中介服务D.数据的立法监管13.国家建立数据安全（）机制，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。A.审查B.风险评估C.监测预警D.应急处置14.处理敏感个人信息应当取得个人的（）同意。A.口头B.默认C.单独D.书面15.某互联网平台为提升推送精准度，在用户注销账号后继续留存用户的个人信息用于大数据分析，且无法律另行规定，该行为属于（）。A.合规行为，因为数据已经收集可以二次利用B.不合规行为，用户注销后应当依法删除用户的个人信息C.只要不对外泄露就合规D.只要匿名化处理后就合规16.以下关于核心数据的说法，错误的是（）。A.核心数据原则上应当在境内存储B.核心数据确需向境外提供的，应当进行安全评估C.核心数据对国家安全影响重大，需实行最严格保护D.核心数据仅涉及国家机关数据，企业不会接触核心数据17.根据《数据安全法》，开展数据交易活动，数据交易服务机构应当要求数据提供方说明（），审核交易双方的身份，并留存审核、交易记录。A.数据内容B.数据来源C.数据量级D.数据格式18.个人要求数据处理者对其个人信息行使查阅、复制权利的，数据处理者（）。A.可以收取定额服务费B.无正当理由应当免费提供服务C.可以拒绝符合条件的申请D.要求用户必须提供纸质申请才受理19.以下哪种情形不属于侵犯个人信息权益的行为？（）A.未经同意收集未成年人个人信息用于商业推广B.匿名化处理后的公开数据用于公益性科研研究C.出售用户的住宿记录给第三方营销公司D.超范围收集用户的通讯录信息20.根据国家数据局2025年发布的《数据要素安全流通指引》，数据流通交易过程中，（）对流通数据来源的合法性承担主要责任。A.数据提供方B.交易平台C.数据需求方D.监管部门二、多项选择题（共10题，每题3分，多选、少选、错选均不得分）1.根据《数据安全法》，我国数据分类分级保护制度将数据划分为哪几个法定级别？（）A.核心数据B.重要数据C.一般数据D.敏感数据E.公开数据2.数据处理者在开展数据处理活动中，应当履行的法定义务包括（）A.建立健全全流程数据安全管理制度B.组织开展数据安全宣传教育培训C.落实数据安全保护责任D.对数据实施分级分类保护E.定期开展数据安全风险评估3.重要数据识别判定的核心维度包括（）A.数据泄露后对国家安全的危害程度B.数据泄露后对公共利益的危害程度C.数据泄露后对个人或组织合法权益的危害程度D.数据的经济价值量级E.数据产生的行业领域4.根据《生成式人工智能服务管理暂行办法》，生成式人工智能服务提供者应当履行的个人信息保护义务包括（）A.告知用户个人信息处理的规则B.满足用户对个人信息更正、删除等权利请求C.不得非法留存用户输入的个人信息D.不得向未成年人提供任何个性化推荐服务E.对训练数据中的个人信息采取去标识化等安全防护措施5.我国现行规则下，数据出境的合法途径包括以下哪几种？（）A.通过国家网信部门组织的数据出境安全评估B.完成个人信息保护专业认证C.签订国家网信部门发布的标准合同D.只要不涉及敏感数据即可自由出境E.企业内部审批通过即可出境6.以下关于个人信息处理的基本原则，说法正确的有（）A.处理个人信息应当遵循合法、正当、必要和诚信原则B.处理个人信息应当具有明确、合理的目的，并与处理目的直接相关C.应当采取对个人权益影响最小的方式处理个人信息D.收集个人信息应当限于实现处理目的的最小范围，不得过度收集E.公开处理规则，明示处理个人信息的目的、方式和范围7.数据安全事件发生后，数据处理者应当采取的处置措施包括（）A.立即启动应急预案，采取补救措施防止危害扩大B.及时告知受到威胁的利益相关方风险情况C.按照规定时限向有关主管部门报告D.隐瞒事件信息避免影响企业声誉E.事后开展复盘，完善安全管理制度8.关键信息基础设施运营者应当履行的数据安全义务包括（）A.对境内收集产生的重要数据进行境内存储B.定期对从业人员开展数据安全教育培训C.定期开展风险评估，向主管部门报送风险评估报告D.建立健全数据容灾备份制度，保障数据完整性可用性E.重要数据确需出境的必须申报安全评估9.以下哪些行为属于危害数据安全的违法行为？（）A.非法窃取、买卖公民个人信息B.未经安全评估向境外提供核心数据C.未经授权访问、篡改破坏他人重要数据D.为合法科研使用匿名化处理的公开数据E.拒不配合有关部门开展数据安全监督检查10.数据要素市场化流通应当遵循的安全原则包括（）A.数据来源可追溯B.数据去向可监控C.数据安全可审计D.权益责任可落实E.开放共享无限制三、判断题（共10题，每题1分，正确打√，错误打×）1.《中华人民共和国数据安全法》既适用于我国境内的数据处理活动，也适用于境外损害我国国家安全、公共利益或公民合法权益的数据处理活动。（）2.任何数据都必须存储在我国境内，不得向境外提供。（）3.处理不满十四周岁未成年人个人信息应当取得未成年人父母或者其他监护人的单独同意。（）4.数据处理者可以基于商业开发需求，任意公开他人个人信息开发大数据产品。（）5.重要数据处理者应当明确专门的数据安全负责人和管理机构，落实数据安全保护责任。（）6.经过匿名化处理的信息不属于个人信息，处理匿名化信息不受《个人信息保护法》约束。（）7.企业只要取得用户同意，就可以将收集的用户敏感个人信息出售给第三方获利。（）8.重要数据处理的风险评估报告仅需要企业内部留存，无需报送主管部门。（）9.国家机关为履行法定职责处理个人信息，不需要遵守《个人信息保护法》的要求。（）10.生成式人工智能服务提供者应当对用户生成的内容进行审核，防范违法有害数据传播。（）四、简答题（共3题，每题10分）1.简述我国数据分类分级保护制度的核心内容。2.根据《个人信息保护法》，简述个人信息处理者处理个人信息的法定免责情形。3.简述数据处理者发生数据安全事件后的规范应急处置流程。五、案例分析题（共1题，20分）国内某头部生成式人工智能企业A公司，为提升大模型训练效果，未经用户同意爬取了国内多个公开社交平台的5000余万条用户个人信息，包括用户姓名、头像、地理位置、社交关系、公开评论等内容，爬取后未对个人信息做去标识化处理，直接全部用于大模型训练。A公司未建立专门的数据安全管理制度，也未按照规定开展数据安全风险评估，未明确数据安全负责人，服务器长期存在未修复的安全漏洞，最终导致200余万条爬取的用户个人信息泄露，被用户集体举报至国家网信部门。请结合上述案例回答以下问题：1.A公司在本次数据处理活动中存在哪些违反法律法规的行为？（10分）2.结合《数据安全法》《个人信息保护法》《生成式人工智能服务管理暂行办法》，说明A公司应当承担哪些法律责任？（10分）参考答案一、单项选择题1.B2.B3.C4.A5.A6.B7.D8.B9.B10.B11.A12.D13.A14.C15.B16.D17.B18.B19.B20.A二、多项选择题1.ABC2.ABCDE3.ABC4.ABCE5.ABC6.ABCDE7.ABCE8.ABCDE9.ABCE10.ABCD三、判断题1.√2.×3.√4.×5.√6.√7.×8.×9.×10.√四、简答题1.我国数据分类分级保护制度的核心内容如下：（1）制度定位：该制度是《数据安全法》确立的我国数据安全保护体系的基础核心制度，是开展数据安全保护工作的基本依据。（2分）（2）分级标准：根据数据发生安全事件后，对国家安全、公共利益、个人或组织合法权益的危害程度，将数据划分为三个法定等级：①核心数据：指发生安全事件后会对国家安全、公共利益造成特别严重危害的数据，实行最严格的保护制度，原则上境内存储，确需出境必须通过严格安全评估；②重要数据：指发生安全事件后会对国家安全、公共利益造成严重危害的数据，实行严格保护，定期开展风险评估；③一般数据：指除核心数据、重要数据以外的其他数据，根据风险程度采取对应保护措施。（6分）（3）实施要求：由国家数据安全工作协调机制统筹制定全国统一的分类分级规则和重要数据目录，各地区各部门组织开展本领域本地区重要数据识别，数据处理者按照分类分级结果落实对应安全保护措施。（2分）2.根据《个人信息保护法》，个人信息处理者的法定免责情形包括：（1）在个人明确同意的范围内合理处理个人信息的；（2分）（2）合理处理个人自行公开或其他已经合法公开的个人信息，除非个人明确拒绝处理或该处理对其合法权益造成重大损害的；（2分）（3）为订立、履行个人作为一方当事人的合同所必需，或者依照合法制定的劳动规章制度开展人力资源管理所必需的；（2分）（4）为履行法定职责、法定义务所必需，或者应对突发公共卫生事件、紧急保护自然人生命财产安全所必需的；（2分）（5）法律、行政法规规定的其他不需要承担责任的情形。（2分）3.数据安全事件的规范应急处置流程如下：（1）初步研判：通过监测系统、用户举报、监管通报等渠道发现事件后，第一时间判定事件性质、影响范围、危害程度，确认事件等级；（2分）（2）启动预案：激活单位数据安全事件应急预案，通知应急处置小组到位，明确各岗位处置责任；（2分）（3）控制处置：第一时间采取技术措施阻断攻击源、修复漏洞，防止事件危害扩大，恢复受损数据，将危害降到最低；（2分）（4）告知报告：及时将事件情况、潜在风险、已采取的措施告知受影响的个人和利益相关方，按照法律法规要求在规定时限内向主管部门报告，不得隐瞒、缓报；（2分）（5）复盘整改：事件处置完成后，开展全流程复盘，分析事件根源，完善安全管理制度和技术防护措施，对责任人问责，组织全员安全培训，避免同类事件再次发生。（2分）五、案例分析题1.A公司存在的违法违规行为如下：（1）违反个人信息处理规则：A公司未经用户同意爬取5000万条用户个人信息用于商业性大模型训练，违反了《个人信息保护法》规定的“处理个人信息应当取得个人同意”“合法正当必要”原则，也超出了公开个人信息合理使用的范围；同时未对个人信息采取去标识化等必要安全防护措施，未尽到个人信息安全保障义务。（4分）（2）违反生成式人工智能训练数据管理要求：根据《生成式人工智能服务管理暂行办法》，服务提供者应当对训练数据来源的合法性进行审核，保护个人信息权益，A公司未审核来源合法性，未经授权爬取个人信息用于训练，不符合法定要求。（2分）（3）未履行数据安全管理义务：A公司处理百万量级以上个人信息，属于重要数据处理者，未建立健全数据安全管理