2026年(网络空间安全)数据脱敏技术试题及答案

2026年(网络空间安全)数据脱敏技术试题及答案一、单项选择题（每题2分，共20分）1.在数据脱敏领域，静态数据脱敏与动态数据脱敏的主要区别在于：A.脱敏算法的复杂度不同B.脱敏发生的时间点和数据状态不同C.适用的数据类型不同（如结构化与非结构化）D.脱敏后数据是否可逆不同答案：B。静态数据脱敏针对非生产环境中的静态存储数据，在数据使用前进行脱敏；动态数据脱敏则针对生产环境中的动态查询请求，在数据访问时实时进行脱敏，两者核心区别在于脱敏发生的时间点和数据所处的状态（静态存储vs.动态流动）。2.以下哪种数据脱敏技术属于不可逆脱敏？A.加密脱敏（使用密钥可解密）B.哈希脱敏（加盐哈希）C.替换脱敏（如用虚构值替换真实值）D.掩码脱敏（如只显示后四位）答案：B。加盐哈希是一种单向加密函数，理论上不可逆，无法从哈希值恢复原始数据。A选项加密脱敏通常可逆；C和D选项的替换与掩码虽然可能不可逆，但其不可逆性取决于具体实现（如替换映射表是否保留），而加盐哈希在密码学上被设计为不可逆，是典型的不可逆脱敏技术。3.在实施数据脱敏时，确定脱敏规则优先级的最关键原则通常是：A.数据的使用频率B.数据的存储成本C.数据的安全分类与敏感级别D.数据处理的技术复杂度答案：C。数据的安全分类与敏感级别（如公开、内部、秘密、绝密）是制定脱敏策略的基础，高敏感级别数据需要更严格、更优先的脱敏规则，这是数据安全治理的核心要求。4.对于“身份证号码”这类具有固定格式的敏感信息，最常用且保持部分格式的脱敏方法是：A.整体加密B.随机替换C.部分掩码（如显示前六位和后四位，中间用*代替）D.数据泛化（如只保留出生年份）答案：C。部分掩码可以在隐藏核心敏感信息（如顺序码）的同时，保留部分有业务意义的信息（如地址码和出生日期码的一部分），兼顾了安全性与部分业务可用性。5.差分隐私技术在数据脱敏或发布中的应用，其主要贡献是：A.大幅提高了数据脱敏的处理速度B.提供了严格的数学隐私保护度量，能抵抗背景知识攻击C.保证了脱敏后数据的完全可用性D.简化了脱敏系统的部署流程答案：B。差分隐私通过向查询结果或数据集中添加精心控制的噪声，为个人隐私泄露风险提供了一个可量化的、严格的数学上界。即使攻击者拥有除目标记录外的所有其他记录信息（背景知识），也无法可靠地推断出目标记录的信息。6.在数据脱敏过程中，“保持数据关联性”指的是：A.不同字段使用相同的脱敏算法B.脱敏后数据仍能保持原有的业务逻辑或外键关联C.脱敏过程与数据备份同步进行D.原始数据与脱敏数据存储在同一数据库中答案：B。保持数据关联性是为了确保脱敏后的数据在测试、开发等环境中仍然能够保持其原有的业务逻辑关系（如客户ID与订单记录的一致性），避免因脱敏导致数据逻辑混乱，影响非生产环境的使用价值。7.K-匿名化模型要求在一个数据集中，任意一条记录至少与其他（）条记录在准标识符上不可区分。A.KB.K-1C.K+1D.1答案：B。K-匿名化要求发布的数据中，在准标识符集合上，每一条记录都至少与其他（K-1）条记录完全相同，从而使得个体记录以至少1/K的概率隐藏于一个群体中。8.下列哪项不是动态数据脱敏系统（DDM）的典型部署方式？A.代理网关模式B.数据库插件模式C.基于API的中间件模式D.数据批量导出后处理模式答案：D。数据批量导出后处理属于静态数据脱敏（SDM）的典型流程。动态数据脱敏（DDM）强调实时性，通常以代理网关、数据库内置插件或API中间件等形式部署在生产数据库的访问链路上。9.对于非结构化数据（如PDF文档、图片）中的敏感信息脱敏，通常首先需要：A.直接应用加密算法B.使用正则表达式进行匹配C.进行内容识别与定位（如使用OCR、NLP技术）D.将文件整体替换答案：C。非结构化数据中的敏感信息没有固定的存储结构，因此脱敏的第一步是识别和定位敏感内容，这需要借助光学字符识别（OCR）、自然语言处理（NLP）、图像识别等技术将非结构化信息转化为可处理的结构化或半结构化信息，再对识别出的敏感字段进行脱敏处理。10.在评估数据脱敏效果时，以下哪个指标用于衡量脱敏后数据对特定分析任务的有用性？A.不可逆性B.残留风险C.数据效用D.处理吞吐量答案：C。数据效用是衡量脱敏后数据在特定应用场景（如软件开发测试、数据分析训练）下保持其使用价值程度的指标。高数据效用意味着脱敏数据在支持业务流程或分析任务方面仍接近原始数据。二、多项选择题（每题3分，共15分，全部选对得满分，漏选得部分分，错选不得分）1.以下哪些属于常用的数据脱敏算法或技术？（）A.替换（Substitution）B.洗牌（Shuffling）C.数值扰动（NoiseAddition）D.同态加密（HomomorphicEncryption）E.数据合成（DataSynthesis）答案：A,B,C,E。A、B、C、E都是典型的数据脱敏技术。同态加密是一种允许在加密数据上直接进行计算的密码学技术，它主要提供数据使用时的隐私保护，而非以产生不可逆或假名化数据供下游直接使用为主要目的的脱敏技术，通常被归类为隐私增强计算技术，与传统的脱敏技术范畴有所区别。2.在制定数据脱敏策略时，必须考虑的因素包括：（）A.法律法规与合规性要求（如GDPR、个保法）B.数据的业务用途和所需的数据效用级别C.脱敏技术的性能开销和对生产系统的影响D.敏感数据的识别与分类结果E.脱敏操作人员的个人偏好答案：A,B,C,D。A、B、C、D都是制定科学、有效的脱敏策略时必须综合考虑的核心因素。E选项，操作人员个人偏好不是制定策略的客观依据。3.静态数据脱敏（SDM）的典型应用场景包括：（）A.将生产数据库数据脱敏后导入测试环境B.实时响应用户的在线查询并隐藏部分字段C.在数据仓库中为不同角色提供不同粒度的数据视图D.为数据分析师提供用于建模的训练数据集E.在应用程序界面即时屏蔽显示的手机号码答案：A,D。A和D是静态数据脱敏的典型场景，涉及对数据副本进行事前的、批量的脱敏处理。B、C、E均涉及实时、按策略的数据访问控制与变形，属于动态数据脱敏或数据访问控制的范畴。4.关于数据脱敏与数据加密的区别，正确的描述有：（）A.脱敏的主要目的是保护隐私，常不可逆或难以逆转；加密的主要目的是保障机密性，通常可逆。B.脱敏后的数据通常可直接用于非生产环境；加密后的数据必须解密才能使用。C.两者在技术实现上完全独立，没有交集。D.加密强度通常高于脱敏，因此可以完全替代脱敏。E.脱敏更关注数据内容本身的变形，而加密关注数据格式的转换。答案：A,B。A和B准确描述了两者的核心目的和使用场景差异。C错，两者有交集（如加密可作为某些脱敏手段）；D错，加密数据无法直接用于分析测试，且密钥管理负担重，不能简单替代脱敏；E表述不准确，两者都涉及数据格式变化，但目的和方式不同。5.一个健壮的数据脱敏解决方案应具备以下哪些特性？（）A.敏感数据自动发现与分类B.灵活、可定制的脱敏规则引擎C.完整的脱敏过程审计与日志记录D.支持多种数据源和目标（关系型数据库、NoSQL、文件等）E.脱敏后数据质量的验证与评估功能答案：A,B,C,D,E。所有选项都是一个成熟、健壮的企业级数据脱敏解决方案应具备的关键特性，涵盖了从发现、处理到审计、验证的全流程。三、填空题（每空1分，共10分）1.数据脱敏的两个核心目标是：______和______。答案：保护敏感隐私信息、维持数据可用性（或业务可用性）。2.L-多样性模型是对______模型的增强，它要求每个等价类中，敏感属性至少有______个“表现良好”的值。答案：K-匿名化、L。3.在实施掩码脱敏时，若想保持字符类型不变（如数字仍替换为数字，字母替换为字母），常采用______字符集进行替换。答案：同类型（或同类字符）。4.数据脱敏的生命周期通常包括：数据发现与分类、______、脱敏规则设计、______、脱敏作业执行、审计与监控。答案：风险评估（或敏感度定级）、脱敏技术选型。5.对于需要保持统计特性（如均值、方差）的数值型数据脱敏，可以考虑使用______技术。答案：数据扰动（或噪声添加，或差分隐私）。6.在数据库中进行动态数据脱敏，可以通过创建专门的______或使用______功能来实现对不同用户或角色返回不同内容。答案：脱敏视图（或视图）、行级安全策略（或列级权限控制）。四、简答题（每题5分，共25分）1.简述在数据共享场景下，使用数据脱敏技术相较于直接共享原始数据的主要优势。答案：主要优势包括：①降低隐私泄露风险：直接共享原始数据可能导致个人身份信息（PII）、商业机密等敏感信息泄露，脱敏能有效去除或替换这些信息。②满足合规要求：许多法律法规（如《网络安全法》、《个人信息保护法》、GDPR）要求对共享、公开的数据进行去标识化或匿名化处理，脱敏是实现合规的重要手段。③扩大数据可用范围：经过适当脱敏的数据可以在更广泛的内外部团队（如测试、研发、第三方分析）中使用，打破数据孤岛，促进数据价值挖掘，同时控制风险。④减少数据滥用可能：脱敏降低了数据本身的敏感度，从而减少了数据被恶意利用的潜在危害。2.什么是“准标识符”？它在隐私保护数据发布（如K-匿名化）中起什么作用？答案：准标识符是指那些本身不能唯一标识个人，但通过与其他信息结合或链接就可能识别出个人身份的数据属性集合，例如邮政编码、出生日期、性别等。在隐私保护数据发布中，准标识符是攻击者可能利用的背景知识或外部数据源进行链接攻击的关键。K-匿名化等模型的核心处理对象就是准标识符，通过对准标识符进行泛化、抑制等操作，使得数据集中每条记录在准标识符上的取值无法与少数个体关联，从而防止个人被重新识别。3.列举三种保持数据参照完整性的脱敏方法，并简要说明。答案：①一致性替换：对同一原始值，无论出现在哪个表、哪个字段，都替换为相同的假值。例如，将真实客户姓名“张三”在所有表中统一替换为假名“李四A”。②基于映射的脱敏：建立原始值到脱敏值的全局映射表，确保每次替换都查询同一映射表，保证跨表、跨字段的一致性。③可逆加密（在特定受控环境下）：使用相同的密钥和算法对关联字段进行加密，解密后仍能恢复关联关系。但需注意，可逆加密通常不用于不可信环境下的数据脱敏。4.简述动态数据脱敏（DDM）在防止内部越权数据访问方面的作用机制。答案：动态数据脱敏（DDM）通过在用户发起数据访问请求时，实时根据预定义的策略（基于用户身份、角色、上下文、数据敏感度等）对查询结果进行改写或变形，从而防止内部人员越权查看敏感数据。其作用机制是：当低权限用户或在不适当的上下文（如非工作时间、非授权IP）访问生产数据库时，DDM系统拦截查询结果，并依据策略将敏感字段（如薪资、身份证号）进行掩码、替换或隐藏，仅返回脱敏后的数据。这样，即使该用户能够成功连接到数据库并执行查询，其看到的也是经过处理、降低了敏感度的数据，从而实现了在数据访问层面的细粒度权限控制。5.在进行数据脱敏项目时，为什么需要业务部门的深度参与？答案：业务部门的深度参与至关重要，原因在于：①准确识别敏感数据：业务人员最清楚哪些数据具有商业价值或个人隐私属性，是敏感数据分类的关键输入。②定义数据效用需求：不同业务场景（如测试、分析、报表）对数据保真度（格式、分布、关联性）的要求不同，业务部门需明确“可用”的标准。③制定合理的脱敏规则：脱敏的强度、方式（如全掩码、部分掩码、泛化）需平衡安全风险与业务需要，这需要业务部门确认脱敏后数据是否仍支持业务流程。④验证脱敏效果：脱敏后的数据需要业务部门进行验收测试，确保其能满足预期用途。缺乏业务参与，可能导致脱敏过度（数据无用）或不足（风险仍在）。五、应用题（第1题10分，第2题10分，第3题10分，共30分）1.【设计题】某银行需要将核心交易系统的部分客户数据脱敏后，提供给外部合作机构进行联合风险建模。数据表结构如下：`客户表(CUSTOMERS):CUST_ID(主键),NAME,ID_CARD,PHONE,GENDER,BIRTH_DATE,CITY,CREDIT_SCORE``交易表(TRANSACTIONS):TRANS_ID,CUST_ID(外键),TRANS_DATE,AMOUNT,MERCHANT_TYPE`要求：设计一套脱敏方案，需满足（1）满足《个人信息保护法》对个人信息去标识化的要求；（2）脱敏后的数据仍能支持合作机构进行客户信用评分与消费行为模式的关联分析。请列出关键字段的脱敏技术选型及理由。答案：关键字段脱敏设计如下：`NAME`：采用一致性假名化替换。理由：直接标识符，必须去标识化。一致性替换可以保持同一客户在不同表中的关联（`CUST_ID`已脱敏情况下，可通过假名逻辑关联）。`ID_CARD`：采用部分掩码（如保留前六位行政区划和出生年月日中的年份，其余用*代替）或泛化为“出生年份”和“性别”（因其已包含在独立字段中）。理由：属于敏感个人身份信息，需严格脱敏。保留部分信息可能有助于分析地域或年代特征，但需评估残留风险。更安全的做法是整体替换为随机符合格式的假号码。`PHONE`：整体替换为随机符合格式的假号码，或仅保留国家代码和前缀。理由：直接标识符，且与个人强关联，需彻底变形。`GENDER`：保留原值。理由：一般不属于直接标识符，且是重要的分析维度，脱敏可能影响分析结果。`BIRTH_DATE`：泛化为年龄区间（如20-30岁）或出生年代（如1990s）。理由：精确出生日期是准标识符，与`CITY`、`GENDER`等结合可能重识别个人。泛化能在保护隐私的同时保留年龄层分析价值。`CITY`：泛化为更大的地理区域（如省份）。理由：准标识符，精确城市信息与其它信息结合可能导致重识别。泛化至省份层级可降低风险，同时保留地域分析能力。`CREDIT_SCORE`：可保留原值，或添加微小随机噪声（需保证整体分布不变）。理由：是风险建模的核心变量，需最大程度保持数据真实性。若担心极值暴露个体，可采用差分隐私添加可控噪声。`CUST_ID`：采用一致性假名化替换（生成新的随机唯一ID）。理由：主键/外键，是关联两表的关键。必须进行一致性替换以保证`TRANSACTIONS`表与`CUSTOMERS`表的关联逻辑不被破坏。`TRANS_DATE`：可保留年月，将日泛化为周几或上中下旬；或对日期施加微小随机偏移（如±1-2天）。理由：精确交易日期是准标识符。泛化或扰动可以在保护时间模式隐私的同时，支持按时间段（月、周）或消费周期（工作日/周末）的分析。`AMOUNT`：保留原值，或进行微扰动（如添加符合特定分布的噪声）。理由：关键分析字段，过度脱敏会严重影响建模效果。若担心通过罕见大额交易重识别客户，可对极端值进行处理。`MERCHANT_TYPE`：保留原值或适当归并大类。理由：重要的行为分析维度，通常不直接标识个人。此外，需确保两个表同步脱敏，使用相同的`CUST_ID`映射表。方案实施前需进行隐私风险评估，特别是对`BIRTH_DATE`、`CITY`、`TRANS_DATE`等准标识符的泛化粒度进行评估。2.【分析题】某公司对员工电话号码字段（11位数字）采用了一种简单的脱敏规则：将中间4位替换为“**”。例如敏为138**5678。（1）分析这种脱敏方法可能存在的安全风险。（2）假设攻击者知道目标员工的姓名和部门（这些是可公开或容易获取的信息），他可能如何利用有限的背景知识尝试还原部分电话号码？答案：（1）可能存在的安全风险包括：残留可识别性：手机号前三位（网络识别号）和中间四位（地区编码）的组合有时能缩小号码归属地范围，后四位（用户号码）是关键识别部分。暴露后四位仍存在被猜测或通过其他渠道关联的风险。易受枚举攻击：攻击者可以针对已知的前三位（如138）和后四位（5678），对中间四位（从0000到9999）进行暴力枚举尝试，总共只有10000种可能性。在自动化脚本和一定时间内，这种攻击是可行的。关联攻击：如果攻击者从其他数据源（如旧数据库泄露、社交媒体资料）获得了该员工的部分电话号码片段（如前7位或后8位），与这个脱敏格式结合，可能完全还原号码。格式暴露：固定的脱敏格式（保留前3后4）本身向攻击者揭示了原始数据的格式和脱敏策略。（2）攻击者可能采取以下步骤：步骤1：通过公司公开通讯录、部门邮件列表或社交网络，获取目标员工的姓名和所属部门。步骤2：利用已知信息，尝试从其他渠道（如已泄露的行业数据库、过往未脱敏的公开记录、社交媒体个人资料）查找该员工的电话号码片段。例如，可能找到一条旧记录显示该员工号码为“138????5678”，其中“?”表示未知。步骤3：将找到的片段（138????5678）与脱敏数据（138****5678）进行比对。如果格式匹配（都是前3后4可见），攻击者可以高度确信这是同一个号码。步骤4：结合其他背景知识，如知道该员工大概在某年入职，当时的公司统一配号可能有特定号段（中间四位有规律），从而进一步缩小中间四位的猜测范围，甚至直接确定。步骤5：如果无法从外部获得片段，攻击者可以进行有限的枚举攻击。例如，如果知道公司为某个部门统一办理了连号的手机段，攻击者可以尝试该段内有限的号码组合。3.【综合题】阅读以下关于“差分隐私”在数据脱敏中应用的简要描述，回答问题。描述：某市政府希望发布一份详细的交通流量数据集供研究机构使用，数据包含每条道路在不同时间段的车辆通行数量。直接发布精确计数可能导致推断出特定车辆（如VIP车辆）的出行规律。技术团队计划采用差分隐私技术，在每条道路的计数上添加拉普拉斯噪声。（1）差分隐私的核心参数ε（epsilon）在此场景中代表什么？ε值的大小对数据的“隐私保护强度”和“数据效用”分别有何影响？（2）请简述在此场景下，技术团队应如何大致确定一个合理的ε值？需要考虑哪些因素？答案：（1）ε（隐私预算）代表隐私