2026年DCMM风险防控测评试题及答案

2026年DCMM风险防控测评试题及答案一、单项选择题（每题只有1个正确答案，每题2分，共30分）1.根据新版DCMM数据安全风险防控域的要求，组织开展数据风险识别时，针对生成式AI训练数据集的风险，以下哪项属于第一优先级识别的风险类型？A.数据格式不兼容风险B.训练数据版权侵权与敏感信息泄露风险C.模型参数调优误差风险D.训练算力不足风险答案：B解析：2025年完成修订的新版DCMM国标，将生成式AI等新兴数据应用场景的风险防控纳入框架要求，明确合规类风险为当前监管环境下的第一优先级识别风险，训练数据未获得版权授权、混入未脱敏敏感信息均属于触及《数据安全法》《著作权法》《个人信息保护法》的核心合规风险，因此需要第一优先级识别，其余选项均属于技术开发风险而非数据安全风险，因此B为正确答案。2.DCMM风险防控要求组织建立数据风险分级标准，以下分级逻辑符合DCMM核心要求的是A.仅根据数据量大小划分风险等级B.结合数据敏感程度、影响范围、发生概率三个核心维度划分C.仅根据发生概率划分风险等级D.根据业务部门诉求划分风险等级答案：B解析：DCMM明确要求数据风险分级需要兼顾风险影响程度和发生可能性，数据敏感程度直接决定风险发生后的危害等级，影响范围决定危害的扩散程度，发生概率决定风险暴露的可能性，三个维度结合才能科学划分风险等级，因此B为正确答案。3.依据我国2025年修订的《数据出境安全评估办法》，结合DCMM风险防控要求，组织向境外提供累计超过多少人的个人信息，应当申报数据出境安全评估，并将未申报事项列为最高级数据跨境风险A.10万人B.50万人C.100万人D.1000万人答案：B解析：2025年国家互联网信息办公室完成对《数据出境安全评估办法》的修订，将应当申报出境评估的个人信息数量门槛从100万人调整为50万人，DCMM明确要求将未按规定申报的出境风险列为不可接受风险，对应最高风险等级，因此B为正确答案。4.DCMM要求组织建立数据风险监控机制，针对内部用户数据窃取风险，以下哪项监控手段最符合DCMM三级及以上能力的持续监控要求A.每季度开展一次人工漏洞扫描B.部署UEBA（用户实体行为分析）系统实现实时异常行为告警C.每年开展一次第三方渗透测试D.每月统计一次数据下载量答案：B解析：DCMM三级及以上成熟度要求实现数据风险的实时动态监控，UEBA系统能够通过对用户和实体行为建立基线模型，自动识别异常数据访问、批量下载等窃取行为，满足实时持续监控的要求，其余选项均属于周期性离线监控，无法及时发现正在发生的风险，因此B为正确答案。5.组织开展DCMM风险防控能力建设时，针对第三方数据服务商的数据共享风险，以下哪项防控措施是DCMM明确要求的前置措施A.在合作结束后开展风险评估B.合作过程中不定期检查C.合作前开展数据安全尽职调查D.第三方自行出具安全承诺即可开展合作答案：C解析：DCMM要求第三方数据合作的风险防控遵循前置原则，必须在合作开展前完成对第三方的数据安全能力尽职调查，明确安全责任边界，将相关要求纳入合作合同，从源头防控风险，因此C为正确答案。6.根据DCMM风险防控对风险处置的要求，当发生一般数据安全事件后，组织应当首先完成哪项动作A.直接向监管部门上报，等待监管指示后再处置B.启动应急预案，控制事件影响范围，防止风险扩散C.删除所有涉事数据，掩盖风险痕迹D.不分涉事范围通知所有用户，避免被投诉答案：B解析：DCMM风险处置的核心优先级是先控险再处置上报，发生数据安全事件后第一步必须快速启动应急预案，切断风险传播路径，控制影响范围，避免风险进一步扩散，后续再按照监管要求完成上报、通知用户等流程，因此B为正确答案。7.DCMM框架中，数据风险防控和其他数据管理域的关系，以下描述正确的是A.数据风险防控仅属于数据安全域，和其他数据管理域无关B.数据风险防控贯穿数据全生命周期，嵌入数据战略、数据治理、数据架构、数据质量、数据应用等所有域C.数据风险防控仅需要数据安全部门负责，和业务部门无关D.数据风险防控仅在数据采集阶段开展，其他阶段不需要开展风险防控答案：B解析：DCMM的核心设计思想是全流程全领域的数据管理，风险防控作为基础性管控要求，贯穿从数据战略制定到数据销毁的全生命周期，嵌入所有数据管理域，需要跨部门协同推进，因此B为正确答案。8.针对生成式AI大模型应用中的输出风险，根据DCMM最新的风险防控要求，以下哪项属于输出环节的核心风险防控措施A.不对输出内容做任何审核直接上线B.建立输出内容的敏感信息、违法违规内容的过滤审核机制，留存审核日志C.仅过滤政治敏感内容，其他类型违规内容不做审核D.由用户自行承担所有风险，组织不设置任何防控措施答案：B解析：2025年更新的《生成式人工智能服务管理规范》明确要求大模型服务提供者必须建立内容审核机制，审核日志留存不少于6个月，新版DCMM将该要求纳入风险防控框架，因此B为正确答案。9.DCMM要求组织开展数据风险应急预案演练，频率要求符合DCMM三级能力要求的是A.每五年开展一次B.每年至少开展一次C.每十年开展一次D.不需要固定频率，从未开展过答案：B解析：DCMM数据安全能力成熟度三级明确要求，组织应当每年至少开展一次数据安全风险应急预案演练，根据演练结果更新完善预案内容，因此B为正确答案。10.以下哪项不属于DCMM定义的数据安全风险中的固有风险A.数据本身的敏感属性带来的泄露风险B.业务系统本身存在的未修复漏洞带来的风险C.员工安全意识不足带来的操作风险D.已经部署防护措施后，剩余的未被完全防控的风险答案：D解析：固有风险是组织在未采取任何防控措施之前面临的原始风险，剩余风险是指组织采取防控措施之后仍然残留的风险，不属于固有风险范畴，因此D为正确答案。11.根据DCMM风险防控要求，组织开展数据分类分级后，针对核心数据的风险防控，以下哪项要求是正确的A.核心数据可以任意向内部所有员工开放访问权限B.核心数据需要采取加密、细粒度访问控制、全流程审计等多重防护措施，仅对授权岗位开放最小必要权限C.核心数据不需要定期开展风险评估D.核心数据可以直接存储在公有云对象存储服务，不需要做额外防护答案：B解析：《数据分类分级规则》国家标准明确要求核心数据实行最严格保护，DCMM要求核心数据必须配置多重防护措施，遵循最小权限访问原则，仅授权必要岗位访问，因此B为正确答案。12.DCMM框架下，数据风险评估的输出成果不包括以下哪项A.数据风险清单B.风险处置建议表C.风险等级划分报告D.业务需求说明书答案：D解析：业务需求说明书是业务系统开发阶段的产出文件，核心内容是业务功能需求，不属于数据风险评估的产出成果，因此D为正确答案。13.针对供应链数据安全风险，根据DCMM最新防控要求，以下哪项属于上游硬件供应商的核心数据安全风险A.供应商设备预置后门，窃取用户数据的风险B.供应商定价过高带来的成本风险C.供应商交货延迟带来的项目进度风险D.供应商人员流动带来的人力衔接风险答案：A解析：新版DCMM将供应链数据安全风险纳入重点防控范畴，上游硬件设备预置后门属于典型的数据安全风险，其余选项均属于商务运营风险，不属于数据安全风险范畴，因此A为正确答案。14.当组织的剩余风险评估结果显示，剩余风险超过组织可接受风险阈值时，以下哪项处置措施符合DCMM要求A.直接忽略该风险，不做任何处理B.进一步采取强化防控措施，将风险降低至可接受水平C.将风险转移给第三方后就不再监控管理D.直接关停所有相关业务，彻底规避风险答案：B解析：DCMM风险处置要求，对于超过可接受阈值的风险，首先应当追加防控措施，尽可能降低风险至可接受水平；风险转移后仍然需要持续监控，不能完全放手；关停业务是极端情况下的选择，不是必须采取的措施，因此B为正确答案。15.DCMM要求建立全员数据风险文化，以下哪项做法符合要求A.仅管理层需要了解数据风险，普通员工不需要开展风险培训B.定期开展全员数据安全风险培训，考核培训结果，确保不同岗位掌握对应的风险防控要求C.数据风险是IT部门的事，业务部门不需要参与风险防控D.出现风险事件只处罚一线员工，管理层不承担对应责任答案：B解析：DCMM要求建立全员参与的数据风险防控文化，定期开展分层分类的风险培训，覆盖所有岗位，明确各层级责任，因此B为正确答案。二、多项选择题（每题有2个及以上正确答案，每题4分，共40分）1.根据DCMM风险防控框架，数据风险识别阶段需要覆盖数据全生命周期的哪些环节A.数据采集B.数据存储C.数据加工D.数据传输E.数据销毁F.数据应用答案：ABCDEF解析：DCMM明确要求风险识别必须覆盖从数据采集到数据销毁的全生命周期所有环节，不同环节存在不同类型的数据安全风险，不得遗漏任何环节，因此所有选项均正确。2.以下哪些属于DCMM明确要求的，当前生成式AI场景下的典型数据安全风险A.训练数据爬取带来的版权侵权风险B.训练数据混入未脱敏的个人敏感信息带来的泄露风险C.模型生成内容携带虚假违法信息带来的合规风险D.模型参数被盗取带来的知识产权风险答案：ABCD解析：新版DCMM已经将生成式AI全生命周期各环节的典型风险纳入通用风险清单，以上四类均为当前大模型应用场景下的核心风险，因此所有选项均正确。3.依据DCMM风险处置的要求，常见的风险应对策略包括以下哪几种A.风险规避B.风险降低C.风险转移D.风险接受答案：ABCD解析：DCMM明确要求组织根据风险等级匹配不同的应对策略，通用的风险应对策略为风险规避、风险降低、风险转移、风险接受四种，因此所有选项均正确。4.DCMM风险防控要求，针对个人信息处理活动，哪些场景需要开展个人信息保护影响评估（PIA），并将评估结果纳入风险台账A.处理敏感个人信息B.利用个人信息进行自动化决策C.委托第三方处理个人信息D.向境外提供个人信息答案：ABCD解析：根据《个人信息保护法》的要求，以上四类场景均需要开展个人信息保护影响评估，DCMM要求将PIA结果纳入组织数据风险台账，动态跟踪风险变化，因此所有选项均正确。5.以下哪些措施符合DCMM数据风险监控的要求A.建立风险监控指标体系，明确各指标的风险阈值B.对核心数据的所有访问操作开展全流程审计C.实现高风险行为的实时告警D.定期对风险监控机制的有效性进行评估优化答案：ABCD解析：DCMM三级及以上成熟度要求建立动态风险监控体系，该体系包含四个核心部分，分别是风险监控指标体系、全流程审计、实时告警、定期有效性评估，因此所有选项均正确。6.DCMM要求组织开展第三方数据合作的风险防控，以下哪些要求是正确的A.在合作协议中明确双方的数据安全责任义务B.要求第三方符合国家数据安全合规相关要求C.定期对第三方的数据安全能力进行评估D.合作结束后要求第三方返还或删除所有获取的组织数据答案：ABCD解析：以上要求均覆盖第三方数据合作前、合作中、合作后的全流程防控，符合DCMM对第三方合作风险防控的要求，因此所有选项均正确。7.数据风险治理架构中，根据DCMM要求，以下哪些角色需要承担数据风险防控责任A.董事会B.组织最高管理层C.数据安全管理部门D.各业务部门E.一线岗位员工答案：ABCDE解析：DCMM要求建立分层分级的全员风险责任体系，董事会承担最终管控责任，最高管理层承担日常管理责任，数据安全管理部门牵头推进，业务部门作为数据所有者承担第一防控责任，一线员工承担岗位对应的风险防控责任，因此所有选项均正确。8.以下哪些属于内部人员造成的数据安全风险A.内部员工违规导出敏感数据对外售卖B.内部员工点击钓鱼邮件导致账号被盗C.内部员工误操作删除核心业务数据D.外部黑客攻击攻破系统窃取数据答案：ABC解析：内部人员数据风险包括故意违规操作、无意误操作、内部人员被外部攻陷三类，外部黑客攻击属于外部数据风险，因此正确选项为ABC。9.根据DCMM要求，数据风险评估的方法包括以下哪些A.专家访谈法B.漏洞扫描法C.场景分析法D.定量风险评估法答案：ABCD解析：DCMM允许组织结合自身规模、行业特性选择适配的风险评估方法，以上四种均为当前主流的数据风险评估方法，因此所有选项均正确。10.当发生重大数据安全事件后，按照DCMM和监管要求，组织需要完成以下哪些动作A.按规定时限向监管部门上报事件B.开展事件根因分析，全面排查同类风险隐患C.整改安全漏洞，完善风险防控机制D.对相关责任人开展问责答案：ABCD解析：重大数据安全事件的标准处置流程包含上报、根因分析、整改、问责四个核心环节，均符合DCMM和监管要求，因此所有选项均正确。三、判断题（正确打√，错误打×，每题1分，共10分）1.DCMM要求数据风险防控只需要防控技术风险，不需要防控合规风险和管理风险答案：×解析：DCMM要求数据风险防控覆盖技术、管理、合规三类风险，三类风险同等重要，缺一不可，因此该表述错误。2.组织核心数据的风险评估需要每年至少开展一次，符合DCMM三级能力要求答案：√解析：DCMM明确要求核心数据的风险评估频率不低于每年一次，重要数据不低于每半年一次，因此该表述正确。3.数据风险是动态变化的，因此组织需要定期更新数据风险清单，动态调整风险等级答案：√解析：组织的业务环境、监管要求、技术手段都在不断变化，数据风险也会随之动态变化，DCMM要求建立风险动态更新机制，因此该表述正确。4.只要签订了包含数据安全条款的合作协议，组织就不需要再对第三方服务商的数据安全行为进行监控和检查了答案：×解析：DCMM要求第三方合作过程中，组织需要定期对第三方的数据安全行为开展检查和评估，不能仅依靠协议免除自身的安全责任，因此该表述错误。5.DCMM定义的剩余风险就是采取防控措施后剩余的风险，组织不需要对剩余风险进行监控答案：×解析：剩余风险仍然存在暴露的可能，且防控措施可能随时间推移失效，因此DCMM要求对剩余风险开展持续监控，该表述错误。6.生成式AI训练数据中所有的公开数据都可以免费使用，不存在版权风险答案：×解析：公开数据不等于可以免费商用，未经授权爬取公开内容用于大模型训练仍然可能构成版权侵权，DCMM要求必须识别该类风险，因此该表述错误。7.数据风险防控是数据安全管理部门的责任，业务部门不需要参与答案：×解析：业务部门是数据的产生、使用和管理者，是数据风险防控的第一责任主体，DCMM要求业务部门深度参与风险防控全流程，因此该表述错误。8.组织建立可接受风险阈值是DCMM风险防控的必要前提，不同组织可接受的风险阈值存在差异答案：√解析：不同规模、不同行业、不同风险承受能力的组织，可接受的风险阈值存在差异，DCMM要求组织结合自身实际制定适配的可接受风险阈值，作为风险处置的依据，因此该表述正确。9.数据出境风险只有在向境外直接传输数据的时候才会存在，通过开放云服务、境外远程访问不存在数据出境风险答案：×解析：向境外机构开放境内数据访问权限、将数据存储在境外云服务器都属于隐形数据出境，同样存在合规风险，DCMM要求识别此类隐形风险，因此该表述错误。10.风险应急预案制定完成后不需要更新，可以一直使用答案：×解析：每次风险事件处置完成、每次应急预案演练后，都需要总结问题更新完善应急预案，适配新的风险场景，因此该表述错误。四、案例分析题（每题10分，共20分）1.某国内头部互联网公司，2025年推出自研通用大模型产品，训练阶段使用了爬取的全网公开文本数据，包含超过1200万用户在公开社交平台发布的带个人身份信息的内容，训练前未做脱敏处理，也未对爬取数据的版权授权情况做核查，大模型上线推广后，被多名原创作者起诉，指控大模型训练阶段使用其创作的内容未获得授权，同时大模型输出环节能够生成部分用户的精确个人敏感信息，引发敏感信息泄露风险，监管部门要求该公司按照DCMM风险防控要求完成整改。请结合DCMM要求，回答以下问题：（1）该公司在大模型数据风险防控中存在哪些核心问题？（2）提出符合DCMM要求的整改措施。答案：（1）存在的核心问题：第一，风险识别环节缺失，未按照DCMM全生命周期风险识别要求，识别训练数据采集环节的版权侵权风险、敏感信息混入风险，以及输出环节的敏感信息泄露风险，遗漏核心风险点；第二，风险分级管理不到位，未将上述合规风险列为第一优先级的高等级风险，未匹配对应的防控资源；第三，前置防控措施不到位，在数据采集阶段未开展版权合规核查和敏感信息脱敏处理，不符合DCMM源头防控风险的要求；第四，输出环节风险防控机制缺失，未按照要求建立输出内容的审核过滤机制，导致敏感信息直接输出，引发风险；第五，产品上线前未开展完整的数据安全风险评估，未按照监管要求完成风险排查就上线推广。（2）整改措施：第一，重新开展大模型全生命周期风险识别，梳理覆盖训练数据采集、加工、模型推理、输出全流程的风险清单，将版权侵权、敏感信息泄露风险列为最高等级风险，更新组织风险台账；第二，对现有训练数据集进行全面清洗，移除所有未获得授权的受版权保护内容，对所有个人信息进行全量脱敏，删除不必要的敏感个人信息；第三，建立输出环节的多层级敏感信息、违法违规内容过滤审核机制，对所有输出内容进行审核，留存审核日志不少于6个月，满足监管和DCMM要求；第四，补充完成大模型全流程数据安全风险评估，形成正式的风险评估报告报送监管部门；第五，建立大模型数据风险动态监控机制，每季度开展一次风险排查，定期更新训练数据集的版权合规审查流程；第六，完善大模型数据安全事件应急预案，明确风险事件处置流程，每年开展一次应急演练，提升风险处置能力。2.某大型线下连锁零售企业，拥有超过800万个人消费者的个人信息，2025年企业计划将用户消费行为数据和个人信息共享给合作的第三方营销公司，用于开展精准营销活动，该企业仅和第三方签订了框架合作协议，未明确数据安全相关责任条款，也未对第三方的数据安全能力做任何核查，就将完整的脱敏不彻底的用户数据集提供给了第三方，后续第三方因系统漏洞发生数据泄露事件，导致该企业60万用户的个人信息泄露，引发大规模用户投诉和监管部门