2025年度大数据安全管理人员考试试卷及答案

2025年度大数据安全管理人员考试试卷及答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度，对哪一类数据实行重点保护？A.一般企业经营数据B.关系国家安全、国民经济命脉、重要民生、重大公共利益等数据C.普通个人信息D.公开政务数据2.根据GB/T41479-2022《数据分类与分级指南》，我国数据分级的核心依据是：A.数据的存储体量大小B.数据产生所属的行业领域C.数据遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益或者个人、组织合法权益造成的危害程度D.数据的采集成本大小3.根据《数据出境安全评估办法》，处理达到以下哪一规模个人信息的运营者向境外提供个人信息，应当主动申报数据出境安全评估？A.50万人B.100万人C.150万人D.200万人4.以下不属于数据安全风险评估核心内容的是：A.数据全生命周期各环节的安全隐患排查B.数据分类分级的准确性验证C.现有安全防护措施的有效性测评D.数据的商业价值评估5.数据脱敏处理中，能够最大程度保留数据可用性，同时通过添加噪声打乱原始敏感数据，防止个人信息被识别的技术是：A.截断B.差分隐私C.替换D.删除6.零信任架构在大数据安全访问控制中的核心原则是：A.一次验证，永久信任B.从不信任，永远验证，最小权限C.基于网络位置自动信任D.内部访问默认全部信任7.根据《网络数据安全管理条例》，运营者应当对其收集的用户信息严格保密，以下哪一项做法符合合规要求？A.经用户同意后，可以向第三方提供用户的个人信息B.企业经营需要可以任意使用收集到的用户个人信息C.可以未经用户同意将用户个人信息共享给关联企业D.为了提高精度可以过度收集用户个人信息8.针对生成式人工智能服务的训练数据安全管理，下列做法符合合规要求的是：A.任意抓取公开平台的个人信息用于训练，无需获得用户同意B.仅使用合法合规来源的训练数据，对训练数据开展知识产权、个人信息侵权审核C.训练数据无需留存安全审计记录D.只要是公开数据就可以直接用于商业性AI训练9.以下哪一项不属于重要数据识别应当考虑的核心要素？A.数据是否涉及国家利益、公共利益B.数据泄露后是否会危害国家安全、公共利益C.数据的商业价值高低D.数据是否影响个人、组织合法权益10.核心数据的存储要求，下列表述正确的是：A.核心数据应当在境内存储，确需出境的应当通过安全评估B.核心数据可以根据业务需要自由存储在境外C.核心数据只要脱敏就可以存储在境外D.核心数据不需要特殊存储要求11.大数据安全审计的核心目的是：A.降低数据存储成本B.记录数据全生命周期的访问、操作行为，便于追溯安全事件、排查风险C.提升数据处理速度D.增加数据的可用范围12.以下哪一种技术不属于隐私计算的主流技术路径？A.联邦学习B.安全多方计算C.明文数据共享D.可信执行环境13.数据全生命周期安全管理，不包含以下哪个环节的安全防护？A.数据采集B.数据存储、加工C.数据传输、提供D.数据的纳税申报14.根据《个人信息保护法》，处理敏感个人信息应当取得个人的：A.口头同意B.单独同意C.推定同意D.无需同意15.当发生数据安全事件时，运营者应当按照规定及时将事件情况通知：A.仅需要通知内部管理层，不需要告知外部B.只要通知用户就可以，不需要通知监管部门C.履行数据安全监管职责的部门和受影响的用户D.只需要通知公安部门，不需要通知其他主体16.以下哪一项属于大数据平台常见的安全风险？A.未授权访问导致敏感数据泄露B.数据备份导致数据冗余C.数据加密导致存储成本增加D.安全审计导致访问速度下降17.数据安全应急预案的核心作用是：A.应付监管检查，不需要实际演练B.在发生数据安全事件时能够快速响应，降低事件危害，恢复业务C.增加企业管理制度数量，完善制度体系D.对外宣传企业安全能力18.下列关于数据重标识风险的表述，正确的是：A.脱敏后的个人信息不存在重标识风险，可以自由使用B.重标识风险是指脱敏后的非敏感数据，结合其他公开信息可以重新识别出特定自然人的风险C.重标识风险仅存在于公开数据中，对企业内部数据没有影响D.重标识风险不需要防控，不会带来安全问题19.重要数据的风险评估频率要求，合规的做法是：A.至少每年开展一次风险评估B.从不开展风险评估C.十年开展一次即可D.只有发生事件才需要评估20.大数据安全管理人员开展合规自查的核心内容不包含：A.数据采集环节是否合规，是否存在过度采集问题B.数据共享环节是否取得合法授权C.员工的考勤情况是否符合公司制度D.数据存储、出境环节是否符合监管要求二、多项选择题（每题2分，共30分，多选、少选、错选均不得分）1.大数据安全管理人员应当履行的核心岗位职责包括：A.制定并落实本单位数据安全管理制度、操作规程B.组织开展本单位数据分类分级、重要数据和核心数据识别工作C.组织开展数据安全风险评估，及时排查和处置数据安全隐患D.组织开展内部数据安全合规培训，牵头开展数据安全应急演练2.我国现行数据安全领域的核心法律法规包括：A.《中华人民共和国数据安全法》B.《中华人民共和国个人信息保护法》C.《网络安全法》D.《网络数据安全管理条例》3.数据全生命周期安全风险主要包括：A.数据采集环节过度收集敏感信息、未履行告知义务的合规风险B.数据存储环节漏洞未修复导致数据泄露的安全风险C.数据共享环节未授权提供、违规出境的风险D.数据销毁环节不彻底导致敏感数据流出的风险4.我国数据安全分级一般将数据划分为哪几个层级？A.公开数据B.一般数据C.重要数据D.核心数据5.数据脱敏常用的技术方法包括：A.替换法B.掩码屏蔽法C.差分隐私D.K-匿名6.数据出境的合法合规路径包括以下哪几种？A.申报国家数据出境安全评估B.依法完成个人信息保护认证C.签订国家网信部门发布的标准合同D.经用户口头同意即可任意出境7.零信任架构在大数据安全防护中的核心组成部分包括：A.持续身份验证B.动态权限管控C.安全审计与监控D.默认信任内部访问8.生成式人工智能服务中，训练数据安全管理要求包括：A.训练数据来源应当合法合规，不得侵犯知识产权、个人信息权益B.应当对训练数据进行内容安全审核，不得包含违法违规内容C.应当留存训练数据的访问、处理日志，留存时间不少于六个月D.对于训练数据中包含的个人信息，应当依法取得个人同意，采取去标识化等安全措施9.下列属于敏感个人信息的是：A.生物识别、宗教信仰B.特定身份、医疗健康C.金融账户、行踪轨迹D.不满十四周岁未成年人的个人信息10.数据安全应急响应处置的核心流程包括：A.事件监测与发现，第一时间启动应急预案B.事件研判与定级，采取技术措施控制风险范围，防止泄露扩大C.按照规定时限通知监管部门和受影响用户D.事件调查与整改，开展事后风险评估，完善防护体系11.重要数据安全保护的核心措施包括：A.对重要数据进行识别和目录管理，上报监管部门B.对重要数据访问进行身份鉴别和权限管控C.定期开展重要数据安全风险评估D.对重要数据存储进行加密备份12.隐私计算技术应用于大数据场景的核心优势是：A.能够实现数据可用不可见，在不共享原始明文数据的前提下开展联合建模计算B.降低数据共享的合规风险C.完全消除所有数据安全风险D.可以充分挖掘多方数据的价值，同时保护各方数据权益13.企业开展数据安全风险评估应当包含哪些核心内容？A.数据分类分级结果的准确性验证B.数据全生命周期各环节安全防护措施的有效性测评C.数据安全管理制度的合规性审查D.数据安全事件应急预案的可操作性评估14.下列做法不符合数据安全合规要求的是：A.企业为了精准营销，过度收集用户的位置信息、通讯录信息，未告知用户收集用途B.未经用户同意将用户个人信息共享给第三方广告公司C.将核心数据存储在境外云服务器，未申报安全评估D.定期开展数据安全合规自查和应急演练15.大数据平台的访问控制措施包括：A.基于角色的权限分配（RBAC）B.最小权限原则分配访问权限C.多因素身份认证D.对敏感数据访问进行动态二次验证三、判断题（每题1分，共10分，正确打√，错误打×）1.根据我国数据安全相关规定，核心数据应当在境内存储，确需向境外提供的，应当通过数据出境安全评估。（）2.脱敏后的个人信息不存在任何安全风险，可以任意对外提供和使用。（）3.大数据安全管理仅需要防护存储环节，不需要关注采集、加工、共享等其他环节。（）4.处理敏感个人信息应当取得个人的单独同意，不能通过默认勾选等方式推定同意。（）5.零信任架构认为默认不存在可信的内部和外部网络，所有访问请求都需要经过验证和授权。（）6.运营者发生数据安全事件后，应当及时通知监管部门和受影响用户，不得隐瞒、迟报、漏报。（）7.企业处理个人信息，应当遵循最小必要原则，不得过度收集个人信息。（）8.联邦学习属于隐私计算技术的一种，能够实现多方不交换原始数据的前提下联合训练模型。（）9.大数据安全管理人员不需要掌握最新的监管政策，只需要会操作技术工具即可。（）10.重要数据是指对国家安全、公共利益、个人和组织合法权益有重要影响的数据，应当实行重点保护。（）四、案例分析题（每题20分，共40分）1.案例一：国内某头部出行科技企业，成立于2015年，累计服务国内用户超过3.2亿人，业务覆盖全国所有一二三线城市，该企业处理的数据包含用户个人身份信息、出行轨迹信息、全国交通枢纽流量数据、重点区域人流热力数据等，经识别该企业数据目录中包含12类重要数据。2024年该企业计划拓展东南亚市场，拟将收集的国内120万用户个人信息同步存储到位于新加坡的第三方云平台，用于当地业务AI出行模型的训练。请结合上述案例回答以下问题：（1）该企业本次数据出境活动是否需要申报国家数据出境安全评估？请说明依据。（6分）（2）作为企业大数据安全管理人员，针对本次数据出境活动，你应当开展哪些前期合规工作？（8分）（3）数据出境后，应当采取哪些持续安全管理措施保障数据安全？（6分）2.案例二：某国内连锁美妆零售企业，拥有线下门店超过1500家，线上微信小程序商城累计注册会员超过1200万人，企业为了开展精准营销，收集了会员的姓名、手机号、生日、消费记录、收货地址等信息，部分会员还授权了位置信息。2024年11月，企业第三方开发的小程序存在未授权访问漏洞，黑客通过漏洞下载了近800万条会员信息，企业安全运维人员在漏洞被利用3天后才发现异常，发现后未第一时间上报监管部门，也未通知受影响会员，一周后大量会员接到诈骗电话，事件曝光后引发公众舆情，监管部门对企业立案调查。请结合上述案例回答以下问题：（1）该企业在数据安全管理方面存在哪些违规问题？（8分）（2）作为企业大数据安全管理人员，发现数据泄露事件后应当按照什么流程开展应急处置？（12分）参考答案一、单项选择题参考答案1.B2.C3.B4.D5.B6.B7.A8.B9.C10.A11.B12.C13.D14.B15.C16.A17.B18.B19.A20.C二、多项选择题参考答案1.ABCD2.ABCD3.ABCD4.BCD5.ABCD6.ABC7.ABC8.ABCD9.ABCD10.ABCD11.ABCD12.ABD13.ABCD14.ABC15.ABCD三、判断题参考答案1.√2.×3.×4.√5.√6.√7.√8.√9.×10.√四、案例分析题参考答案1.案例一参考答案（1）该企业本次数据出境活动需要申报国家数据出境安全评估。依据：根据《数据出境安全评估办法》规定，两个核心条件满足其一即需要申报评估：一是处理重要数据的运营者向境外提供数据；二是处理100万人以上个人信息的运营者向境外提供个人信息。本案例中，该企业既持有并向境外提供重要数据，同时出境的个人信息规模达到120万人，双重满足应当申报数据出境安全评估的要求，因此必须完成申报并通过评估后才可开展数据出境活动。（2）前期合规工作主要包括：①梳理完整的出境数据资产清单，完成数据分类分级标注，明确出境数据中重要数据、核心数据、个人信息的范围和规模，初步确认合规出境路径；②开展事前数据安全风险自评估，梳理出境数据在传输、存储、境外使用全流程的安全风险，形成符合要求的自评估报告；③按照《数据出境安全评估申报指南》要求准备全套申报材料，向企业所在地省级网信部门提交申报，配合监管部门完成评估核查；④对出境的个人信息和敏感数据提前采取脱敏、端到端加密等安全防护措施，与境外接收方签订符合标准要求的数据安全责任协议，明确双方的数据安全保护责任、义务，约定数据用途和流转限制。（3）持续安全管理措施包括：①每半年对境外接收方的数据安全保护能力、实际防护措施落实情况开展一次核查，要求对方定期上报数据安全状态，发现接收方安全能力下降或存在违规使用行为的，及时暂停数据使用甚至收回数据；②对出境数据的访问、传输、修改操作全流程留痕审计，建立异常访问监测机制，一旦发现非授权访问、批量下载等异常行为立即触发告警并处置；③每年开展一次出境数据专项安全风险评估，更新风险清单和防控措施，按照监管要求定期向网信部门上报出境数据安全管理情况，发生数据安全事件的第一时间启动应急响应并上报。2.案例二参考答案（1）该企业存在的违规问题包括：①数据安全主体责任落实不到位，未建立常态化的系统漏洞排查和风险监测机制，对第三方开发的小程序未开展上线前安全检测，导致高危漏洞长期存在被黑客利用；②数据安全事件监测预警能力缺失，漏洞被利用三天后才发现异常，错过最佳处置时间，导致泄露范围扩大；③违反数据安全事件上报规定，发现泄露后未按照要求及时上报监管部门，也未告知受影响用户，迟报瞒报导致发生次生精准诈骗事件，危害进一步扩大；⑤数据安全管理制度