网络数据安全保密执行能力测试题及答案

网络数据安全保密执行能力测试题及答案一、单项选择题（每题2分，共30题，总计60分）1.根据《中华人民共和国数据安全法》对核心数据的界定，以下描述中符合核心数据法定属性的是（）A.企业日常经营产生的订单流水数据B.关系国家安全、国民经济命脉、重要民生、重大公共利益等国家核心利益的，一旦泄露、篡改、毁损可能严重危害国家安全和公共利益的数据C.政务部门日常办公产生的内部通知文件D.互联网平台收集的普通用户浏览行为数据2.依据《数据出境安全评估办法》，数据处理者向境外提供数据时，以下哪种场景必须向国家网信部门申报正式的数据出境安全评估（）A.单次向境外传输10万条普通非敏感个人信息B.年度累计向境外传输30万条普通个人信息C.处理100万人以上个人信息的数据处理者向境外提供境内收集的个人信息D.向外方合作伙伴传输脱敏后的公开行业统计数据3.某单位标注为“机密★15年”的国家秘密载体，以下关于保密期限的表述正确的是（）A.标注违规，机密级国家秘密法定最长保密期限为20年B.标注违规，机密级国家秘密法定最长保密期限为10年C.标注合规，保密期限到期后该涉密信息自动公开D.标注合规，保密期限到期前必须提前完成解密审核流程4.按照网络数据安全保密管理规范，单位在岗的核心数据运维岗位人员提出离职申请后，相关系统权限必须在（）内完成全部回收注销，同步清空其持有的所有涉密、敏感数据载体A.离职办结当日B.24小时C.7个工作日D.30天5.以下关于个人信息处理的“最小必要”原则落地要求，表述不符合法定规范的是（）A.外卖类APP可以强制用户申请获取手机通讯录权限，否则禁止使用下单功能B.导航类APP只有在用户使用实时路线服务时才临时调取位置信息，后台运行时主动关闭位置采集权限C.金融借贷类APP不得采集用户与借贷审核无关的社交关系信息作为风控判定依据D.医疗类APP采集用户病史信息时，不得超出提供问诊服务必需的信息范围扩大采集项6.发生涉及大量个人信息泄露、核心数据被篡改的数据安全事件后，数据处理者应当在获知事件发生后的（）内向属地网信部门、行业主管部门同步上报事件基本信息，同步启动应急预案止损A.24小时B.48小时C.72小时D.7个工作日7.针对存储有国家秘密信息的涉密计算机，以下操作符合保密管理要求的是（）A.安装无线网卡后连接内部WiFi，提高办公效率B.经单位保密管理部门审批同意后，将同密级的涉密U盘插入设备读取数据C.临时接入互联网下载办公所需的开源软件，下载完成后立刻断开网络D.外接私人存储设备备份工作文档，防止数据丢失8.单位内部标为“内部敏感”的非涉密重要经营数据，以下传输方式符合安全保密要求的是（）A.通过个人微信文件传输助手发送给同部门同事B.使用单位部署的端到端加密内部办公系统传输，全程留痕可追溯C.通过公共邮箱以附件形式发送，设置普通密码作为访问限制D.上传至公共云盘生成公开分享链接，告知同事自行下载9.依据《个人信息保护法》，以下属于敏感个人信息范畴的是（）A.普通用户自行公开的社交平台昵称B.不满十四周岁未成年人的生物识别身份信息C.企业公开公示的工商注册登记信息D.公开可查询的道路违章记录信息10.对外包服务商提供驻场技术服务的过程中，以下管控措施不符合数据安全保密要求的是（）A.外包人员进场前完成背景审查、数据安全保密专项培训，签订保密协议后发放临时访问权限B.外包人员访问核心数据系统的权限设置“双人审批”机制，全程留存操作日志C.允许外包人员使用自带的个人手机对核心数据机房的运行界面拍照记录问题D.外包服务合同终止当日，全部回收其所有系统访问权限，要求其删除持有的所有单位相关数据11.处理海量个人信息的互联网平台，应当定期开展数据安全合规审计，审计周期最长不得超过（）A.半年B.1年C.3年D.5年12.以下数据销毁方式，无法保证存储在机械硬盘中的涉密信息完全无法被恢复的是（）A.使用专业消磁设备对硬盘进行全流程消磁处理B.物理粉碎硬盘盘片至直径1毫米以下的碎片C.对硬盘执行普通删除操作后，向硬盘写入3轮随机覆盖数据D.直接将硬盘格式化后丢弃到办公垃圾桶13.依据《网络安全等级保护条例》，涉及核心数据的信息系统，必须至少落实（）以上等级保护防护要求A.二级B.三级C.四级D.五级14.以下场景中，处理个人信息不需要单独取得相关主体同意的是（）A.为应对突发公共卫生事件，紧急采集居民的行踪轨迹信息开展流调排查B.电商平台为了给用户推送精准营销广告，跨平台共享用户消费记录C.人力资源公司将存储的员工身份证信息出售给第三方征信机构牟利D.房产中介未经用户许可，把业主联系方式转发给装修公司15.涉密信息系统的安全保密产品选型，必须符合（）发布的涉密信息系统专用产品名录要求A.国家网络安全等级保护主管部门B.国家保密行政管理部门C.市场监督管理部门D.行业协会组织16.单位开展数据分级分类工作的首要依据是（）A.数据泄露后可能对国家安全、公共利益、组织权益、个人合法权益造成的危害程度B.数据存储占用的硬盘空间大小C.数据产生的时间先后顺序D.数据使用的频次高低17.针对远程办公场景，以下数据安全管控措施存在明显漏洞的是（）A.使用单位统一配发的经过安全加固的办公终端接入内部系统B.部署专用VPN通道完成身份校验后才能访问内部核心数据资源C.允许员工使用任意公共设备，通过网页浏览器直接登录内部数据管理后台D.远程访问操作全程留痕，所有数据下载行为自动加密审计18.国家秘密的密级发生变更时，以下操作不符合保密管理规定的是（）A.在原涉密载体上同步标注新的密级和保密期限B.直接覆盖原有密级标识，不需要同步告知所有接触过该涉密信息的人员C.同步更新该涉密信息在信息系统中的访问权限策略D.对密级降低后的涉密载体，仍然按照调整后的密级落实对应的管控要求19.以下关于公共区域办公的行为，不存在数据安全保密风险的是（）A.离开工位时，立刻锁定办公终端屏幕，将涉密、敏感纸质文件收入保密柜B.把打印出的内部敏感数据报表临时放在打印机旁，后续回来取C.在开放的公共会议室向外部合作方展示未脱密的核心技术数据D.当着外来访客的面口述单位涉密项目的相关细节20.按照工业和信息化部的相关规定，向社会公众提供服务的APP，不得存在以下哪类违规行为（）A.以不同意非必要权限申请为由，强制拒绝用户使用APP的核心功能B.向用户明确告知个人信息处理规则C.为用户提供个人信息导出、删除的操作通道D.定期公示数据安全合规审计报告二、多项选择题（每题2分，共15题，总计30分，多选少选均不得分）1.以下属于单位数据安全保密执行层面必须建立的核心管理制度的有（）A.数据分级分类管理细则B.涉密载体全生命周期管控规范C.数据安全事件应急预案D.对外数据合作、出境审批流程2.涉密移动存储介质的使用，以下合规要求表述正确的有（）A.严禁涉密U盘接入非涉密信息系统B.不同密级的涉密存储介质禁止交叉混用C.涉密存储介质报废时必须经过专业消磁或物理粉碎处理D.严禁私自将外部普通存储介质带入涉密工作区域使用3.数据安全风险监测的核心预警场景应当覆盖以下哪些维度（）A.非授权人员尝试批量下载核心数据的异常行为B.涉密数据未经过审批擅自向外部公网传输的行为C.内部人员越权访问超出其岗位职责权限的数据资源D.外部黑客发起针对数据服务器的暴力破解、注入攻击行为4.处理大量个人信息的主体，落实个人信息保护影响评估的场景包括（）A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托第三方处理个人信息D.向境外提供个人信息5.针对跨部门数据共享的场景，合规管控要求包括（）A.明确共享数据的范围、用途、使用期限B.共享前开展数据脱敏、去标识化等安全处理操作C.签订数据安全保密协议，明确双方安全责任D.对共享数据的后续使用过程全程开展审计追溯6.以下属于数据安全事件发生后，需要落实的应急处置措施的有（）A.第一时间切断违规数据传输链路，止损控制影响范围扩大B.排查事件根因，溯源受影响的数据主体范围C.按照法定要求向相关主管部门上报事件详情，同步告知受影响用户D.留存所有事件相关操作日志，配合后续监管部门调查处置7.单位数据安全保密培训的覆盖对象应当包括以下哪些群体（）A.正式在岗的所有员工B.驻场外包服务人员、劳务派遣人员C.临时到访的外部参会人员D.实习人员、第三方合作对接人员8.以下行为存在数据泄露风险的有（）A.在社交平台公开讨论单位尚未公开的内部敏感项目信息B.把含有核心经营数据的废旧办公文件直接作为生活垃圾丢弃C.使用私人邮箱收发单位内部敏感工作文档D.在非涉密计算机上存储、处理国家秘密信息9.重要数据的处理者，应当落实的数据安全法定责任包括（）A.明确数据安全负责人和管理机构B.落实数据安全风险监测、应急处置要求C.定期开展数据安全风险评估，向行业主管部门报送评估报告D.所有重要数据全部存储在境外服务器，降低境内合规压力10.以下关于数据脱敏操作的合规要求，表述正确的有（）A.用于对外共享分析的数据集，脱敏后必须保证无法被复原到特定自然人主体B.严禁通过假名化操作替代匿名化，规避个人信息保护相关合规要求C.脱敏处理的操作全程留痕，明确脱敏数据的访问权限D.脱敏后的剩余数据仍然需要按照对应数据级别落实管控要求11.政务部门开展数据共享开放工作时，以下表述符合规范的有（）A.可以开放的公共数据必须经过脱密处理后向社会公众公开B.严禁把涉及国家秘密、商业秘密、个人隐私的政务数据直接对外开放C.建立公共数据开放的分级审核机制，明确开放属性D.对申请使用开放公共数据的主体开展资质核验，明确使用用途12.针对数据安全岗位的人员管理，以下合规措施表述正确的有（）A.对接触核心数据、涉密信息的重点岗位人员定期开展背景审查B.落实定期轮岗、离任审计机制C.签订专项数据安全保密承诺书，明确违规追责条款D.对人员开展常态化数据安全保密考核，考核结果和岗位任职资格挂钩13.以下属于关键信息基础设施运营者必须落实的数据安全特殊保护义务的有（）A.在中华人民共和国境内运营中收集和产生的重要数据的存储应当符合境内存储要求B.定期开展数据安全应急演练C.每年至少开展一次数据安全合规评估D.自主选择境外第三方机构开展数据安全审计，无需经过境内主管部门审批14.以下场景属于违规数据采集行为的有（）A.在用户不知情的背景下，偷偷在后台采集用户的通话记录、短信内容B.超出服务必需范围，擅自采集和提供服务无关的个人信息C.以诱导、欺诈的方式骗取用户同意，采集用户敏感个人信息D.明确告知采集规则后，采集用户自愿提供的必要服务信息15.涉密信息系统投入使用前，必须完成以下哪些流程（）A.通过国家保密行政管理部门授权的测评机构开展的系统保密测评B.拿到保密行政管理部门颁发的涉密信息系统使用许可证C.制定对应的系统保密管理细则，配备专职保密管理人员D.直接对接公共互联网，提升系统访问便捷性三、判断题（每题1分，共10题，总计10分）1.只要不对外传播，使用私人微信、QQ传输单位内部敏感工作文档的行为不存在违规风险。（）2.存储在服务器备份系统中的历史个人信息，超出原定使用期限后，数据处理者可以自行将其用于新的营销用途。（）3.标注为绝密级的国家秘密，保密期限最长可以确定为30年。（）4.员工离职后，单位可以随意公开其留存的个人身份信息、工作履历等相关数据。（）5.面向社会提供服务的人工智能大模型产品，训练数据处理过程中不得非法采集国家核心数据、侵犯他人知识产权和个人信息合法权益。（）6.为了提升工作效率，可以将单位配发的涉密笔记本电脑带回家办公，接入家庭WiFi完成文档处理。（）7.发生数据安全事件后，数据处理者可以自行处置，不需要向监管部门上报，避免受到处罚。（）8.不同级别的数据应当匹配对应的访问权限策略，落实“最小权限、权责匹配”的管控原则。（）9.未经审批，任何个人和单位不得擅自向境外提供境内收集的重要数据和核心数据。（）10.单位内部的保密要害部门区域，应当部署电子门禁、视频监控、手机信号屏蔽装置，防止涉密信息被违规偷拍泄露。（）四、案例分析题（共2题，总计60分）1.某大型出行平台运营部工作人员张某，为了周末居家办公便利，将存储有270万条用户出行轨迹、人脸核验信息、身份证号的核心业务数据Excel库下载到私人电脑后，上传至个人注册的公共云盘空间，还设置了公开访问分享链接发给部门3名同事，后续该工作人员公共云盘账号因为使用弱口令遭到黑客暴力破解，海量用户个人信息被窃取在暗网售卖，引发大量用户集中投诉。请结合现行数据安全保密相关法律法规，指出该事件中涉及的所有违规行为，列明对应的法规依据，给出完整的整改处置方案。2.某涉密科研单位项目负责人李某，为了加快项目测试进度，私自将存储有机密级国家秘密信息的项目测试硬盘从涉密机房带出，到单位附近的私人电脑维修店要求店家对硬盘进行数据恢复操作，店家在恢复数据过程中将涉密项目全部内容私自拷贝留存，后续向境外情报机构售卖牟利，导致涉及国防核心技术的涉密信息大面积泄露。请指出该单位在数据安全保密执行层面存在哪些管控漏洞，列明针对性的长效整改措施。参考答案及解析一、单项选择题答案1.B解析：依据《数据安全法》第二十一条，核心数据特指关系国家安全、国民经济命脉、重要民生、重大公共利益等的高度敏感数据，其余选项均不属于法定核心数据范畴。2.C解析：《数据出境安全评估办法》明确要求处理100万人以上个人信息的数据处理者向境外提供数据，必须申报国家层面的数据出境安全评估，其余选项场景未达到强制评估阈值。3.A解析：《中华人民共和国保密法》规定，机密级国家秘密除特殊法定情形外，最长保密期限为20年，该标注15年符合法定时长范围，但到期前必须完成解密审核，不得自行公开。4.A解析：所有核心岗位人员离职办结当日必须全部回收所有系统权限和数据载体，避免出现权限残留引发的泄露风险。5.A解析：依据《个人信息保护法》的最小必要原则，平台不得强制要求用户提供和核心服务无关的个人信息、申请非必要权限。6.B解析：《数据安全事件报告管理细则》明确要求数据安全事件发生后48小时内必须上报属地相关监管部门。7.B解析：涉密计算机严禁接入任何公共非涉密网络，不得使用私人外接存储设备，仅可经过审批后使用同密级的涉密U盘读写数据。8.B解析：内部敏感数据传输必须使用单位部署的加密内部通道，全程留痕可追溯，禁止通过公网即时通讯工具、公共云盘传输。9.B解析：不满十四周岁未成年人的个人信息属于法定敏感个人信息范畴，其余选项均属于公开或非敏感个人信息。10.C解析：外包人员严禁在核心数据区域使用自带个人电子设备拍照，防止涉密敏感信息被违规记录外传。11.B解析：处理海量个人信息的平台必须每年至少开展一次全面的数据安全合规审计，向社会公示审计结果。12.D解析：普通删除、格式化操作无法完全擦除硬盘内存储的信息，通过专业数据恢复设备可以完整复原，无法保障涉密信息销毁安全。13.B解析：涉及核心数据的信息系统必须至少落实网络安全等级保护三级的防护要求。14.A解析：突发公共卫生应急场景下，为保障自然人生命健康安全处理个人信息，无需单独取得信息主体同意。15.B解析：涉密信息系统使用的安全产品必须纳入国家保密行政管理部门发布的专用产品名录。16.A解析：数据分级分类的核心判定依据是数据泄露后可能造成的危害程度，而非存储大小、生成时间等要素。17.C解析：远程办公场景下严禁使用不可信公共设备直接登录内部数据后台，防止敏感信息被窃取。18.B解析：国家秘密密级变更后，必须同步告知所有曾经接触过该信息的人员，同步调整所有载体和系统的密级标识。19.A解析：离开工位锁定终端、将敏感涉密文件收入保密柜是标准的办公区域安全操作要求。20.A解析：各类面向公众的APP不得强制索取非必要权限，以拒绝提供核心服务的方式胁迫用户同意。二、多项选择题答案1.ABCD2.ABCD3.ABCD4.ABCD5.ABCD6.ABCD7.ABCD8.ABCD9.ABC10.ABCD11.ABCD12.ABCD13.ABC14.ABC15.ABC三、判断题答案1.×2.×3.√4.×5.√6.×7.×8.√9.√10.√四、案例分析题参考答案1.本次事件涉及违规行为包括：第一，工作人员张某违反《个人信息保护法》第三十五条要求，未落实重要数据分类分级管控要求，擅自将海量敏感个人信息下载到私人终端；第二，违反《网络安全法》关于数据传输的管控要求，违规将核心敏感数据上传至第三方公共云存储平台，扩大数据接触风险面；第三，平台数据安全管控体系存在漏洞，未对核心数据下载行为设置审批审计机制，未对员工外发敏感数据的行为开展实时预警；第四，事件发生后平台未第一时间向属地网信部门上报事件详情，也未及