2026年数据安全基础知识测试题及答案

2026年数据安全基础知识测试题及答案一、单项选择题（共20题，每题1分，每题只有1个正确答案）1.我国《数据安全法》明确的数据处理活动全生命周期覆盖环节，下列表述完整准确的是（）A.数据收集、存储、使用、加工、传输、提供、公开B.数据采集、存储、使用、加工、传输、交易、公开C.数据收集、存储、使用、加工、转移、提供、披露D.数据采集、留存、使用、加工、传输、提供、公开答案：A解析：《中华人民共和国数据安全法》第三条第三款明确规定，数据处理包括数据的收集、存储、使用、加工、传输、提供、公开等环节，是我国数据安全监管的核心覆盖范围。2.按照《数据安全法》规定的国家数据分类分级保护制度，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的核心数据，对应保护级别为（）A.一般数据B.重要数据C.核心数据D.敏感个人信息答案：C解析：我国数据分类分级框架将数据分为一般数据、重要数据、核心数据三级，其中核心数据是关系国家安全、国民经济命脉、重要民生、重大公共利益等的最高敏感等级数据，需执行最严格的保护要求。3.2025年正式实施的《网络数据安全管理条例》中，要求处理多少人以上个人信息的数据处理者，应当按照国家有关规定设立首席数据安全官（CDSO）？（）A.10万人B.50万人C.100万人D.200万人答案：C解析：《网络数据安全管理条例》第二十七条明确，处理100万人以上个人信息的数据处理者，应当设立首席数据安全官，负责统筹数据安全管理工作，直接向主要负责人报告。4.个人信息处理者基于个人同意处理个人信息的，该同意应当满足的法定要求不包括（）A.个人在充分知情的前提下自愿、明确作出B.个人有权随时撤回其同意，撤回同意不影响撤回前基于同意已进行的处理活动效力C.处理不满十四周岁未成年人个人信息的，应当取得未成年人本人的明示同意D.个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意答案：C解析：根据《个人信息保护法》第三十一条，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，而非未成年人本人同意。5.下列数据安全技术中，能够同时实现数据传输保密性、数据完整性校验、身份真实性认证的核心技术是（）A.对称加密技术B.非对称加密技术C.哈希校验技术D.数字水印技术答案：B解析：非对称加密技术采用公钥、私钥配对机制，公钥加密的数据仅对应私钥可解密（保障保密性），私钥签名的内容可通过公钥验证发送方身份（保障身份真实性），结合摘要算法可验证内容未被篡改（保障完整性）。对称加密仅能保障保密性，哈希仅能做完整性校验，数字水印主要用于版权溯源。6.数据安全风险评估工作中，针对“数据泄露后可能造成的影响范围、损失程度”的量化分析环节属于（）A.资产识别B.脆弱性识别C.威胁识别D.影响分析答案：D解析：数据安全风险评估的标准流程为资产梳理与赋值、威胁识别、脆弱性识别、影响分析、风险等级判定，其中影响分析专门评估安全事件发生后对组织、用户、公共利益乃至国家安全造成的实际损害程度。7.下列关于数据出境安全评估的表述，符合2026年现行监管要求的是（）A.所有向境外提供个人信息的行为都必须通过国家网信部门组织的数据出境安全评估B.处理10万人以上个人信息的处理者向境外提供个人信息，必须申报数据出境安全评估C.关键信息基础设施运营者收集和产生的重要数据出境，必须申报数据出境安全评估D.数据出境安全评估结论有效期为1年，有效期届满需重新申报答案：C解析：根据《数据出境安全评估办法》，关键信息基础设施运营者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的，必须申报数据出境安全评估；其他主体向境外提供个人信息达到100万人个人信息或1万人敏感个人信息门槛的才需申报评估，评估结论有效期为3年。8.零信任架构作为当前主流的数据安全防护框架，其核心原则是（）A.网络边界内的所有访问行为默认可信B.永不信任，始终验证，最小权限C.基于安全域划分实现访问控制D.部署防火墙、入侵检测系统即可实现全链路防护答案：B解析：零信任架构打破了传统边界安全“内网默认可信”的假设，核心逻辑是对每一次数据访问请求都进行身份、环境、权限的多维度持续验证，仅授予访问主体完成当前操作所需的最小数据权限。9.下列场景中，属于个人信息处理者可不经个人同意合法处理个人信息的法定情形是（）A.电商平台为提升用户消费体验，向合作营销方共享用户消费记录用于精准广告推送B.医疗机构为应对突发公共卫生事件，按照卫生健康部门要求提供确诊病例的相关行程数据C.企业为优化内部管理，收集员工的宗教信仰、血型等信息建立员工健康档案D.社交平台为开展用户画像分析，收集用户的聊天记录、浏览偏好等数据用于内容推荐答案：B解析：《个人信息保护法》明确，为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需的，个人信息处理者可处理个人信息不需取得个人同意；其余三个选项均不属于法定豁免同意情形，且收集宗教信仰等敏感个人信息需取得单独同意。10.数据脱敏技术是数据开发利用场景下的核心防护手段，下列脱敏规则中，属于不可逆脱敏的是（）A.将手机号中间4位替换为*号，保留号段归属地信息B.将身份证号前6位行政区划、后4位顺序码保留，中间出生日期位替换为*C.通过SHA-256算法对用户姓名、身份证号组合值进行哈希映射生成唯一用户标识D.将测试环境中的用户真实收货地址替换为同一城市的虚拟地址答案：C解析：不可逆脱敏是指脱敏后的数据无法通过技术手段还原为原始数据，SHA-256等加密哈希算法属于单向运算，无法从哈希值逆推原始数据，属于不可逆脱敏；掩码、替换等方式若保留格式和部分可关联信息，属于可逆或可还原的脱敏方式。11.重要数据处理者应当按照规定定期开展数据安全风险评估，并将风险评估报告报送相关主管部门，该评估的法定开展周期为（）A.每季度一次B.每半年一次C.每年至少一次D.每两年一次答案：C解析：根据《数据安全法》及配套规范，重要数据处理者应当每年至少开展一次数据安全风险评估，评估内容包括数据处理全流程安全状况、风险隐患、防护措施有效性等，评估报告需报送同级网信部门和行业主管部门。12.下列数据泄露事件的处置流程，顺序符合规范要求的是（）①第一时间采取技术措施封堵泄露源头，控制影响范围②对泄露事件的原因、影响范围、涉及数据类型和数量开展溯源调查③按照规定向网信、公安等监管部门报送事件情况④及时告知受影响的用户并提供权益保护措施⑤完成事件整改，完善防护机制A.①②③④⑤B.②①③④⑤C.①③②④⑤D.①②④③⑤答案：A解析：数据安全事件处置的首要原则是止损优先，因此第一步必须是控制泄露源头防止损害扩大，随后开展溯源调查固定证据、明确影响，之后按法定时限向监管部门报告，再同步向受影响用户履行告知义务，最后完成闭环整改。13.差分隐私技术的核心作用是（）A.在数据统计分析场景下，通过添加噪声避免单个用户的个体信息被从聚合结果中逆向识别B.对数据库中的敏感字段进行加密存储，防止拖库后数据直接泄露C.对数据的访问操作进行全程审计，识别异常访问行为D.实现数据跨域流转过程中的身份可信认证答案：A解析：差分隐私是隐私计算的核心技术之一，通过在数据集的查询、统计结果中添加适量的可控噪声，使得攻击者无法通过多次查询的差异反推出特定个体的具体信息，解决数据价值挖掘和个人隐私保护的平衡问题。14.按照《个人信息保护法》规定，敏感个人信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，下列不属于敏感个人信息的是（）A.生物识别信息、医疗健康信息B.金融账户、行踪轨迹信息C.不满十四周岁未成年人的个人信息D.个人的工作单位、电子邮箱信息答案：D解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；普通工作单位、常规电子邮箱属于一般个人信息，不属于敏感个人信息范畴。15.数据分类分级工作的核心基础是（）A.部署数据防泄漏（DLP）系统B.开展全量数据资产梳理和确权C.制定数据安全应急预案D.与员工签订数据安全保密协议答案：B解析：数据分类分级的前提是全面掌握组织内所有数据的来源、类型、量级、流转路径、责任主体、使用场景，只有完成全量数据资产梳理和权责确认，才能科学准确地按照规则对数据进行分类和定级，是所有数据安全防护工作的基础。16.下列访问控制机制中，最符合数据最小权限原则的是（）A.给所有部门开放全量业务数据库的查询权限B.按照员工岗位的实际工作需要，分配仅能完成职责内操作所需的最小数据权限，且权限有效期与岗位任职周期绑定C.给中层以上管理人员开放所有业务系统的数据导出权限D.为减少运维复杂度，所有员工使用统一的公共账号访问业务数据答案：B解析：最小权限原则要求访问主体仅能获得完成当前工作任务所必需的最小范围、最短时长、最低操作粒度的权限，禁止超出工作需求的权限开放，杜绝公共账号共享、过度授权等风险。17.企业开展数据开发测试工作时，下列做法符合数据安全要求的是（）A.直接将生产环境的真实用户数据拷贝到测试环境中使用，提高测试准确性B.对生产数据完成脱敏、去标识化处理后，经安全部门审批才可导入测试环境，且测试环境与生产环境做网络隔离C.开发人员可以自行从生产环境导出所需的业务数据用于功能调试D.测试环境无需设置访问控制，方便开发人员快速调试代码答案：B解析：生产环境包含大量真实敏感数据，未经审批和脱敏不得流入开发测试环境，且开发测试环境需与生产环境做严格的逻辑或物理隔离，禁止开发人员私自导出生产数据，测试环境同样需落实身份认证、权限控制等安全要求。18.下列关于数据备份的做法，不符合数据安全容灾要求的是（）A.按照3-2-1备份策略，即至少3份数据副本、存储在2种不同介质、其中1份异地离线存放B.对核心业务数据执行实时增量备份、每日全量备份，定期开展备份数据恢复演练C.所有数据备份仅存储在生产服务器的同一块硬盘的不同文件夹中D.核心数据的异地备份距离生产场地距离不小于100公里，防止区域性自然灾害导致数据全损答案：C解析：将备份数据存储在同一服务器同一块硬盘上，一旦发生硬盘损坏、服务器被ransomware攻击加密、机房火灾等情况，备份数据会与原始数据同时损坏，完全无法起到容灾作用，不符合备份安全基本要求。19.员工日常办公过程中，下列行为存在数据安全风险的是（）A.收到来源不明的邮件附件时，先通过杀毒软件扫描再确认是否打开B.离开工位时锁定电脑屏幕，将印有敏感业务数据的纸质文件锁入文件柜C.为方便居家办公，将包含客户核心信息的业务数据上传到个人云盘存储D.不在微信、QQ等即时通讯工具中传输公司未公开的经营数据和敏感客户信息答案：C解析：个人云盘属于未经企业安全认证的第三方存储平台，上传敏感业务数据会导致数据脱离企业安全管控范围，存在数据泄露、被第三方爬取的风险，属于明确禁止的办公行为。20.根据《刑法》相关规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节特别严重的，可处（）有期徒刑，并处罚金。A.三年以下B.三年以上七年以下C.七年以上十年以下D.十年以上答案：B解析：《刑法》第二百五十三条之一侵犯公民个人信息罪规定，情节特别严重的，处三年以上七年以下有期徒刑，并处罚金，“情节特别严重”一般指出售或者提供行踪轨迹信息被他人用于犯罪、造成被害人死亡重伤等严重后果、违法所得5万元以上等情形。二、多项选择题（共15题，每题2分，每题有2个及以上正确答案，多选、少选、错选均不得分）1.我国数据安全治理体系的核心上位法包括（）A.《中华人民共和国数据安全法》B.《中华人民共和国个人信息保护法》C.《中华人民共和国网络安全法》D.《中华人民共和国密码法》答案：ABCD解析：我国网络与数据安全领域的核心法律框架即“三法一典”，包含《网络安全法》《数据安全法》《个人信息保护法》《密码法》，是各行业、各主体开展数据安全工作的根本法律遵循。2.数据安全防护的“三同步”原则是指数据安全防护措施应当与信息系统、数据处理活动（）A.同步规划B.同步建设C.同步使用D.同步验收答案：ABC解析：“三同步”要求来自《网络安全法》《数据安全法》的明确规定，即网络运营者、数据处理者在建设信息系统、开展数据处理活动时，应当将安全保护措施同步规划、同步建设、同步使用，避免“重功能、轻安全”的滞后防护问题。3.下列属于常见的数据安全威胁的有（）A.外部黑客通过SQL注入、漏洞攻击等方式拖库窃取数据B.内部员工违规导出、出售敏感业务数据C.ransomware（勒索软件）攻击加密核心业务数据索要赎金D.数据存储介质老化、损坏导致数据永久性丢失答案：ABCD解析：数据安全威胁既包括外部恶意攻击、内部人员作恶等人为威胁，也包括硬件故障、自然灾害等非人为威胁，覆盖数据的保密性、完整性、可用性三个核心安全属性的所有风险来源。4.数据处理者在收集个人信息时，应当履行的告知义务内容包括（）A.个人信息处理者的名称或者姓名和联系方式B.个人信息的处理目的、处理方式，处理的个人信息种类、保存期限C.个人行使法定权利的方式和程序D.个人信息处理的收费标准答案：ABC解析：根据《个人信息保护法》，个人信息处理者在收集个人信息时需以显著方式、清晰易懂的语言告知法定事项，个人信息处理本身不得违法违规收费，收费标准不属于法定告知范畴。5.隐私计算技术是实现数据“可用不可见”的核心技术集合，下列属于主流隐私计算技术方向的有（）A.联邦学习B.安全多方计算C.可信执行环境（TEE）D.明文数据共享答案：ABC解析：隐私计算技术体系包含基于密码学的联邦学习、安全多方计算、同态加密，以及基于硬件隔离的可信执行环境等技术路径，核心目标是在不流出原始明文数据的前提下完成数据价值的计算和流通；明文数据共享不符合“可用不可见”的特征。6.下列属于数据防泄漏（DLP）系统核心功能的有（）A.对终端、网络、存储系统中的敏感数据进行自动识别和标记B.监控和阻断员工违规通过邮件、U盘、即时通讯工具外发敏感数据的行为C.对敏感数据的流转路径进行全程审计溯源D.直接替代防火墙、杀毒软件实现全系统安全防护答案：ABC解析：数据防泄漏系统的核心定位是针对敏感数据的流转、外发行为进行管控，无法替代边界防火墙、终端杀毒软件等基础安全产品的功能。7.企业开展数据安全培训，应当覆盖的人员群体包括（）A.企业高层管理人员、首席数据安全官B.研发、运维、数据分析等技术岗位人员C.销售、客服、人力资源等接触客户、员工数据的业务岗位人员D.保洁、安保等外包服务人员答案：ABCD解析：数据安全是全员责任，所有可能接触到企业数据、进入办公区域的人员都需要接受对应等级的数据安全培训，外包人员、后勤人员也可能因物理访问权限接触到敏感数据，需纳入培训范围。8.下列数据出境路径中，符合我国现行监管要求的有（）A.通过国家网信部门组织的数据出境安全评估后向境外提供数据B.经专业机构完成个人信息保护认证后向境外提供个人信息C.与境外接收方签订国家网信部门制定的标准合同，按规定完成备案后向境外提供个人信息D.直接通过境外会议软件共享屏幕展示核心业务数据答案：ABC解析：我国当前个人信息和重要数据出境的合法路径共三条：通过数据出境安全评估、获得个人信息保护认证、签订标准合同并备案；通过境外软件擅自共享核心数据属于违规数据出境行为。9.数据生命周期各环节中，需要落实对应安全管控措施的环节包括（）A.数据采集环节：遵循最小必要原则，不超范围采集数据，落实采集源真实性校验B.数据存储环节：对敏感数据加密存储，落实访问控制、备份容灾措施C.数据使用环节：落实权限管控、操作审计，通过脱敏、隐私计算等技术降低使用环节泄露风险D.数据销毁环节：对存储过敏感数据的介质进行不可逆销毁，防止数据被恢复答案：ABCD解析：数据全生命周期覆盖从采集到销毁的所有环节，每个环节都存在对应的安全风险，需针对性建立管控措施，实现全流程安全覆盖。10.下列情形中，属于数据安全违规行为、需要承担法律责任的有（）A.未按规定开展数据分类分级，未对重要数据、核心数据采取必要保护措施B.发生大规模个人信息泄露事件后隐瞒不报，未及时采取补救措施C.过度收集个人信息、强制用户同意非必要的个人信息处理权限D.未经用户同意向第三方提供用户的敏感个人信息用于商业牟利答案：ABCD解析：以上行为均违反《数据安全法》《个人信息保护法》相关规定，视情节轻重可能承担民事赔偿责任、行政责任，构成犯罪的还需承担刑事责任。11.数据安全审计日志应当记录的核心内容包括（）A.数据访问的主体身份（谁在访问）B.访问的时间、IP地址、终端环境（什么时间、从哪里访问）C.访问的数据对象、操作类型（查/改/删/导出等，访问了什么数据、做了什么操作）D.操作的结果（成功/被拦截）答案：ABCD解析：数据安全审计日志需要满足溯源可查的基本要求，必须完整记录访问全链路的主体、时间、地点、对象、行为、结果六个要素，日志本身需留存不少于6个月，且不得被篡改、删除。12.针对勒索软件攻击，下列防护措施有效的有（）A.及时安装操作系统、业务系统的安全补丁，关闭不必要的端口和服务B.严格落实权限管控，禁止普通终端使用管理员权限，限制共享文件夹的访问范围C.定期离线备份核心业务数据，定期开展备份恢复验证D.打开来源不明的邮件附件，点击陌生链接下载软件答案：ABC解析：来源不明的附件、陌生链接是勒索软件最主要的传播渠道，随意点击打开会大幅增加感染风险，属于明确禁止的高风险行为。13.首席数据安全官的核心法定职责包括（）A.组织制定并实施本单位的数据安全管理制度、操作规程和应急预案B.组织开展数据安全风险评估、安全教育培训C.统筹数据安全技术防护体系建设，保障数据安全经费投入D.发生数据安全事件时牵头开展应急处置，按规定向监管部门报告答案：ABCD解析：根据《网络数据安全管理条例》要求，首席数据安全官直接对数据处理者的主要负责人负责，承担本单位数据安全管理的全流程统筹职责，以上选项均为法定职责范畴。14.下列关于去标识化和匿名化的表述，正确的有（）A.去标识化是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程，去标识化后的信息仍属于个人信息B.匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程，匿名化后的信息不属于个人信息，可不受个人信息保护规则约束C.仅将用户的姓名替换为随机ID就可以达到匿名化的要求D.去标识化的数据如果结合其他辅助信息重新识别到特定自然人，仍需按照个人信息进行保护答案：ABD解析：仅替换姓名为随机ID的处理方式，若结合消费记录、手机号、行为特征等辅助信息仍可识别到特定个人，未达到匿名化“无法识别且不能复原”的法定标准。15.企业与外部合作方开展涉及数据处理的合作时，应当落实的数据安全管理要求有（）A.合作前对合作方的数据安全能力进行尽职调查和评估，明确双方的数据安全责任边界B.签订数据安全协议，明确数据处理的目的、范围、方式，以及数据保护要求、违约责任C.向合作方提供数据时遵循最小必要原则，仅提供合作必需的最小范围数据，对敏感数据先进行脱敏处理D.合作过程中对合作方的数据使用行为进行监督审计，合作结束后要求合作方删除所有留存的我方数据答案：ABCD解析：对外数据合作是数据泄露的高风险场景，必须覆盖事前评估、合同约束、最小权限提供、事中监督、事后销毁的全流程管控，避免合作方越权使用、泄露数据。三、判断题（共15题，每题1分，对打√，错打×）1.数据安全仅指防止数据被外部人员窃取，内部员工访问使用数据不存在安全风险。（×）解析：内部人员违规操作、权限滥用、恶意倒卖数据是数据泄露的核心风险来源，统计显示超过40%的数据安全事件与内部人员有关。2.个人信息处理者提供的产品或者服务存在不同处理目的的，必须取得个人对所有处理目的的“一揽子同意”，否则不得提供服务。（×）解析：个人信息处理者不得通过捆绑授权、强制一揽子同意的方式要求用户同意非必要的个人信息处理活动，个人有权单独同意或拒绝特定目的的处理活动。3.核心数据、重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。（√）解析：《数据安全法》第二十七条明确规定了重要数据、核心数据处理者的主体责任要求。4.员工因工作需要将敏感数据传输给合作方时，可以使用个人邮箱、个人即时通讯账号发送，无需走公司审批流程。（×）解析：对外传输敏感数据必须经过部门负责人、数据安全管理部门审批，通过企业认证的安全传输渠道发送，禁止使用私人渠道传输工作敏感数据。5.为了方便记忆，所有业务系统的账号密码可以设置为统一的简单密码，如123456、公司名加生日。（×）解析：简单密码、重复密码极易被暴力破解，需设置复杂度符合要求（长度不少于8位，包含大小写字母、数字、特殊符号）的独立密码，开启多因素认证。6.数据安全是技术部门的职责，业务部门不需要参与数据安全管理工作。（×）解析：数据安全是“业务谁主管、安全谁负责”，业务部门作为数据的产生、使用部门，是数据安全的第一责任线，需在业务流程中落实安全要求，不能将责任全部推给技术部门。7.收集个人信息时，即使个人明确拒绝收集非必要信息，也不能拒绝为用户提供核心产品服务。（√）解析：根据《个人信息保护法》，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。8.存放在公司内部服务器上的数据不需要做备份，只有存储在云端的数据才需要备份。（×）解析：无论数据存储在本地还是云端，都面临硬件故障、攻击、误操作等风险，都需要按照容灾要求落实备份机制。9.发现个人信息处理活动存在较大安全风险或者发生个人信息安全事件的，个人信息处理者应当立即采取补救措施，并按规定通知监管部门和受影响个人。（√）解析：这是《个人信息保护法》第五十七条明确规定的事件处置要求。10.加密技术可以解决所有数据安全问题，只要部署了加密系统就不会发生数据泄露。（×）解析：加密技术是重要的数据安全防护手段，但如果存在密钥管理不当、权限失控、内部人员违规等问题，即使数据加密仍可能发生泄露，数据安全需要管理、技术、人员多维度措施协同。11.重要数据的处理者向境外提供重要数据，必须经过数据出境安全评估，不得擅自向境外司法或执法机构提供存储于我国境内的数据。（√）解析：根据《数据安全法》第三十六条，非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。12.对于已经公开的企业经营数据、个人公开的社交媒体信息，处理时不需要考虑任何数据安全问题。（×）解析：即使是公开信息，若汇聚处理后可能危害国家安全、公共利益，或者未经同意处理公开的个人信息超出合理范围，仍属于违法违规处理行为。13.废弃的硬盘、U盘等存储介质，直接扔到垃圾桶即可，不需要做专业消磁或物理销毁。（×）解析：普通删除、格式化操作无法彻底清除存储介质上的数据，通过技术手段仍可恢复，存储过敏感数据的废弃介质必须经过消磁、物理粉碎等不可逆销毁处理，防止数据被恶意恢复获取。14.最小权限原则不仅适用于内部员工，也适用于系统账号、API接口、第三方合作方的权限分配。（√）解析：所有数据访问主体，包括人、系统、接口、合作方，都需要遵循最小权限原则，避免过度授权带来的风险。15.开展数据处理活动应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。（√）解析：这是《数据安全法》第八条规定的数据处理活动基本原则。四、简答题（共3题，每题10分）1.请简述我国数据分类分级保护制度的核心内容和落地要求。参考答案：我国数据分类分级保护制度的核心框架来自《数据安全法》第二十一条，核心内容包括：（1）国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；（2）国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护；（3）关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。落地要求包括：①组织需完成全量数据资产梳理，按照行业分类指南对数据进行业务维度分类，结合影响对象、影响程度完成数据级别判定，形成本单位的数据分类分级目录；②针对不同级别数据制定差异化的防护策略，一般数据落实基础防护，重要数据落实专人负责、定期风险评估、出境评估等要求，核心数据实行严格的访问控制、全链路审计、容灾备份等最高等级防护；③定期对分类分级目录进行更新，当数据的使用场景、敏感程度发生变化时及时调整级别和防护措施。2.请简述企业发生数据泄露事件后的法定应急处置流程。参考答案：企业发生数据安全事件后，需严格按照以下流程开展处置：（1）止损控制：第一时间启动应急预案，通过阻断攻击IP、隔离受感染系统、关停违规权限、封堵系统漏洞等方式控制事件扩大，防止更多数据泄露；（2）溯源研判：组织技术力量开展事件溯源，明确事件发生的原因、攻击路径、涉及的数据类型、敏感级别、数量、影响范围和可能造成的损害；（3）事件上报：按照《网络安全事件报告管理办法》要求，在事件发生后1小时内（重大事件）向属地网信、公安、行业主管部门初报事件情况，后续及时续报处置进展，不得迟报、瞒报、漏报；（4）用户告知：根据数据泄露的影响程度，按照法律要求以邮件、短信、站内信等有效方式及时告知受影响用户，告知内容包括泄露的信息类型、可能造成的危害、已采取的补救措施、用户可采取的防范措施、企业联系方式等；（5）整改优化：事件处置完成后，全面排查安全隐患，完善防护技术措施和管理制度，对相关责任人进行追责，组织全员开展警示培训，避免同类事件再次发生；（6）配合监管调查：主动向监管部门提供事件相关证据和处置情况，配合监管部门的调查和整改要求。3.请列举日常办公场景中至少8种常见的数据安全风险行为。参考答案：日常办公中常见的数据安全风险行为包括：①使用个人邮箱、个人微信/QQ等私人即时通讯工具传输公司敏感业务数据、客户信息；②将工作账号密码转借他人使用，或设置过于简单的密码、不开启多因素认证；③离开工位不锁定电脑屏幕，敏感纸质文件随意摆放在桌面不收纳；④私自将敏感业务数据上传到个人云盘、私人存储设备留存；⑤在开发测试环境直接使用未脱敏的生产真实数据；⑥随意点击来源不明的邮件链接、附件，下载安装非官方渠道的软件导致终端感染病毒、勒索软件；⑦账号权限申请时过度申请不必要的数据访问权限，岗位调整、离职后不及时注销账号权限；⑧未经审批私自向外部合作方、第三方机构提供公司未公开的经营数据、客户数据；⑨废弃的存储敏感数据的硬盘、U盘、纸质文件不做专业销毁，直接丢弃或作为废品出售；⑩在公开场所、社交媒体随意谈论公司未公开的业务信息、敏感数据，拍照拍摄包含敏感信息的屏幕、文件发朋友圈；⑪绕过公司安全管控措施，私自搭建代理、翻墙访问境外网站，或在办公网络中私接无线路由器等设备；⑫对业务数据无备份机制，或备份数据不做恢复验证，发生故障后无法找回数据。五、案例分析题（共1题，20分）某国内大型电商平台2026年3月被曝发生数据泄露事件，经事后调查发现：该平台某运维人员为了方便居家办公，私自将包含2000万条用户收货地址、联系方式、消费记录的数据库备份文件下载到个人笔记本电脑中，该个人电脑未安装企业终端安全防护软件，设置的开机密码为“123456”，后该电脑因点击钓鱼邮件附件感染木马，备份文件被黑客窃取并在境外网络公开售卖。事件发生后，该平台为避免影响品牌声誉，第一时间删除了服务器上的操作日志，未向监管部门报告事件，也未通知受影响用户，直到有用户收到精准诈骗后经媒体曝光事件才被公众知晓。经监管部门核查，该平台未按规定设立首席数据安全官，未开展过全员数据安全培训，数据库操作权限未做最小化管控，所有运维人员都拥有全量数据库的下载、导出权限，也未部署