2026年数据安全意识培养培训模拟试卷（附答案）

2026年数据安全意识培养培训模拟试卷（附答案）一、单项选择题（共20题，每题1.5分，总计30分）1.依据GB/T45665-2025《政务数据安全脱敏规范》要求，以下哪类数据不属于可直接对外公开的脱敏后政务数据？（）A.隐去完整身份证号、仅保留前6位行政区划代码与后4位校验位的常住人口统计数据B.替换手机号中间4位为*号的企业办事联系人公示信息C.保留精确到社区级地理位置的居民患病就医统计台账D.隐去银行卡完整卡号、仅保留发卡行标识与后4位的惠民补贴发放汇总数据2.某国企员工2026年在处理核心商密数据时，以下哪种操作符合《中央企业商业秘密保护规定（2025修订）》的要求？（）A.将核心商密文件存储于个人实名认证的公有云盘便于居家加班访问B.通过单位统一部署的商密加密终端传输文件，且设置文件打开次数、有效期与水印溯源C.因临时办公需要，用个人微信将核心商密文件片段发送给同事后立即撤回D.为提高工作效率，将核心商密文件的解密密码贴在办公电脑显示器边框3.2026年我国全面落地的《生成式人工智能服务数据安全合规指引》明确，员工使用公域生成式AI工具时，以下哪类行为是明确禁止的？（）A.输入公开可查的行业标准文本请求AI优化文档格式B.输入未公开的项目投标核心报价、客户隐私信息生成汇报材料C.输入已脱敏的公开运营统计数据生成可视化分析图表D.输入通用的制度模板请求AI优化文字表述4.根据2026年更新的钓鱼攻击特征库，以下哪种邮件特征属于高风险钓鱼邮件？（）A.发件人地址为单位官方域名后缀，内容为人力资源部发布的节假日放假通知B.邮件标题为“【紧急】你的工资账户异常，请24小时内点击链接核验身份”，发件域名为单位域名的形近字变体C.邮件附件为IT部门统一推送的系统升级补丁，数字签名验证通过D.邮件内容为部门内部周会纪要，发件人为部门负责人实名认证的企业邮箱账号5.企业数据分类分级工作中，依据《数据安全技术数据分类分级规则》（GB/T43697-2024），一旦泄露会对单个自然人合法权益造成轻微影响、对组织权益无实质影响的数据，应当划定为哪一级？（）A.1级（公开数据）B.2级（内部数据）C.3级（敏感数据）D.4级（核心数据）6.员工离职时的数据安全操作规范中，以下哪种行为是合规的？（）A.将自己工作期间整理的客户联系方式拷贝到个人U盘带走，作为后续求职的业绩证明B.清空自己办公电脑上的所有工作文件后再交还IT部门C.按流程办理数据权限注销、所有工作数据完整移交对接同事、签署离职数据保密承诺D.把个人工作期间积累的内部操作手册上传到互联网文档平台赚取积分7.关于办公终端的密码设置要求，2026年网络安全等级保护2.0三级系统对应的终端密码策略，以下哪项符合规范？（）A.密码长度不低于8位，包含大小写字母、数字、特殊字符三类以上组合，每90天更换一次，不得与近5次历史密码重复B.密码可设置为123456、生日等便于记忆的组合，无需定期更换C.为避免忘记密码，可将终端密码告知关系较好的同事代为操作D.终端无需设置开机密码，仅设置屏幕保护密码即可8.以下哪种存储介质可以用于存储3级（敏感）数据？（）A.个人未经单位备案的移动硬盘B.单位统一采购、加密登记、绑定使用人身份的专用U盘C.公共打印店的公用电脑存储盘D.家庭公用的平板电脑存储9.当员工发现疑似数据泄露事件时，正确的第一处置流程是？（）A.先自己尝试查找泄露原因，确认造成损失后再上报B.第一时间通过单位内部数据安全应急上报通道告知信息安全部门，不擅自处置、不随意传播相关信息C.立即把泄露事件发到部门工作群，提醒大家注意D.隐瞒泄露情况，避免被追究责任10.关于公共场所办公的数据安全要求，以下哪种行为是正确的？（）A.在高铁站、咖啡店等公共区域连接无密码的免费WiFi处理内部敏感业务B.离开办公座位时，锁屏电脑、收好印有敏感信息的纸质文件，不随意放置C.开远程会议时，在公共场合大声讨论核心商密内容，不采取屏蔽措施D.因为临时需要，让旁边不认识的人帮忙照看打开着内部系统的电脑11.依据《个人信息保护法》合规要求，2026年企业处理员工个人信息时，以下哪种行为是违法的？（）A.为发放工资需要，在员工知情同意的前提下收集员工银行卡号信息B.为实现考勤管理，在办公区域安装摄像头且明确公示监控范围，不安装在卫生间、更衣室等隐私区域C.偷偷收集员工的私人聊天记录、浏览网页记录用于员工绩效考评D.在员工离职后，按法律规定的最短留存期限保留劳动合同相关信息，到期后及时删除12.关于纸质敏感数据的销毁，以下哪种方式是合规的？（）A.直接扔到办公室的普通垃圾桶B.卖给废品回收站C.用单位统一配置的碎纸机做碎末化处理，或交由有保密销毁资质的机构集中销毁D.攒到一定数量后作为生活废品焚烧13.以下哪类行为不属于数据安全违规的“内鬼”风险行为？（）A.经审批通过后，为配合监管部门执法调取所需的业务数据B.绕过单位数据权限管控系统，批量导出客户个人信息出售给第三方营销机构C.违规为外部人员提供内部系统的访问账号、密码D.擅自修改业务数据，为不符合资质的主体开通业务权限谋取利益14.2026年普及的零信任数据访问架构中，核心访问逻辑是？（）A.只要接入单位内部网络，就可以自由访问所有数据资源B.永不信任、始终验证，对每次数据访问都做身份核验、权限校验、环境检测，最小权限分配C.领导干部的账号可以不受权限限制访问所有层级的数据D.外部合作方接入网络后，无需额外审批就可以访问共享数据库15.关于数据备份的要求，核心业务数据的备份策略应当满足？（）A.无需备份，数据存储在服务器上就不会丢失B.采用“3-2-1”备份策略：3份数据副本、2种存储介质、1份异地离线备份，且定期做恢复演练C.只在个人电脑上做一份本地备份即可D.每年备份一次，备份数据无需验证可用性16.员工在收到带附件的陌生邮件时，以下哪种处置方式是正确的？（）A.直接双击打开附件查看内容B.先核实发件人身份，通过杀毒软件扫描附件无风险后，再在沙箱环境中打开，不随意启用附件中的宏代码C.直接回复邮件询问对方是谁D.把附件转发给其他同事帮忙查看是否安全17.根据《网络数据安全管理条例》（2025年正式实施）要求，处理100万人以上个人信息的数据处理者，应当履行的特定义务不包括以下哪项？（）A.明确数据安全负责人，设立专门的数据安全管理机构B.定期开展数据安全风险评估，评估报告至少留存3年C.发生个人信息泄露时，无需告知监管部门与用户，自行处置即可D.每年向社会公开数据安全保护责任履行情况报告18.以下关于公共Wi-Fi的风险描述，错误的是？（）A.不法分子搭建的仿冒公共Wi-Fi可以窃取用户传输的账号、密码等敏感信息B.连接公共Wi-Fi时，尽量不要进行网银转账、登录内部业务系统等操作C.所有公共Wi-Fi都是安全的，可以随意连接传输敏感数据D.连接公共Wi-Fi时，应当关闭文件共享功能，避免被他人访问本地文件19.企业开展数据安全意识培训的核心目标是？（）A.为了应付监管部门的检查，走个形式B.构建“人人有责、人人参与”的数据安全防线，降低人为因素导致的数据安全风险C.为了处罚违规员工，制定处罚依据D.给员工增加工作负担，没有实际意义20.当你发现同事存在违规拷贝敏感数据的行为时，正确的做法是？（）A.事不关己高高挂起，假装没看见B.及时提醒同事纠正违规行为，若对方拒不改正，第一时间向数据安全管理部门举报C.帮同事隐瞒，避免他被处罚D.跟着同事一起拷贝数据留存备用二、多项选择题（共10题，每题2分，总计20分，多选、少选、错选均不得分）1.以下属于2026年企业常见的数据安全人为风险点的有（）A.弱密码、密码复用导致账号被破解B.钓鱼邮件点击导致终端被植入木马C.敏感数据随意通过微信、QQ等公网即时通讯工具传输D.离职员工权限未及时注销导致数据被越权访问E.纸质敏感文件随意丢弃导致信息泄露2.依据数据全生命周期安全管理要求，数据处理活动的环节包括以下哪些？（）A.数据收集B.数据存储C.数据使用D.数据加工E.数据传输F.数据提供G.数据公开H.数据销毁3.员工在使用企业即时通讯工具时，以下哪些行为是违规的？（）A.在工作群中发送核心商密文件、客户批量隐私信息B.私自添加外部人员进入内部工作群C.未经审批将内部聊天记录、文件截图转发到外部社交平台D.用企业通讯工具传播与工作无关的低俗信息、木马链接E.按审批流程在工作群中发布内部周知的非敏感工作通知4.关于个人信息处理的合法基础，以下哪些情形符合《个人信息保护法》的要求？（）A.取得个人的单独同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需E.为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息5.以下哪些场景容易发生数据泄露事件？（）A.员工将带有敏感数据的文件上传到个人云盘备份B.打印敏感文件时未及时取走，被无关人员捡拾C.办公电脑未安装杀毒软件、未及时更新系统补丁，被黑客攻破D.参加外部行业会议时，随意连接现场不安全的Wi-Fi登录内部系统E.废弃的硬盘、U盘等存储介质未做消磁处理，直接丢弃6.数据脱敏的常用技术手段包括以下哪些？（）A.替换：将敏感字段替换为虚拟值、掩码（如手机号中间4位替换为*）B.截断：仅保留必要字段内容，截断完整敏感信息（如身份证号仅保留前6位与后4位）C.扰动：对数值型敏感数据加入随机偏移量，保证统计特征可用但无法定位到单个主体D.加密：对敏感字段做加密存储，仅授权人员可解密查看E.泛化：降低数据精度，如将精确门牌号泛化到街道级、将具体年龄泛化到年龄段7.数据安全事件发生后，应当第一时间采取的应急处置措施包括（）A.立即断开涉事终端的网络连接，防止风险扩散B.保留事件现场的所有日志、文件等证据，不擅自删除相关记录C.按流程上报数据安全管理部门，说明事件发生的时间、涉及的数据范围、可能的影响D.配合安全部门开展溯源排查，如实反馈相关操作情况E.自行重装系统，清除操作痕迹避免被追责8.以下关于第三方合作方的数据安全管理要求，说法正确的有（）A.与第三方签订数据安全保密协议，明确数据安全责任边界B.给第三方分配的系统权限遵循最小必要原则，到期及时回收C.定期对第三方的数据访问行为做审计，发现异常操作及时阻断D.为了合作方便，直接给第三方开放全量数据库的访问权限E.合作结束后，督促第三方彻底销毁合作过程中获取的所有本单位敏感数据9.日常办公中，以下哪些行为符合屏幕安全防护要求？（）A.办公电脑设置自动屏幕锁，离开座位超过5分钟自动锁屏B.处理敏感数据时，调整屏幕角度，避免无关人员从旁窥视C.给办公屏幕安装防窥膜，处理高密级数据时启用D.远程会议共享屏幕时，提前关闭无关的敏感文档、弹窗，避免误露信息E.长期离开座位时不锁屏，方便回来快速进入工作状态10.以下属于员工数据安全法定责任与义务的有（）A.遵守所在单位的数据安全管理制度与操作规范B.接受数据安全培训，掌握本职岗位所需的数据安全防护技能C.发现数据安全风险、事件及时上报D.不得非法获取、出售、泄露工作中接触到的敏感数据E.对自己的工作账号、密码负责，不转借他人使用三、判断题（共10题，每题1分，总计10分）1.为了工作方便，可以将单位内部的业务系统账号、密码借给外部合作单位的人员使用。（）2.只要文件设置了密码，就可以随意通过个人邮箱发送敏感工作文件。（）3.个人信息处理者应当采取必要措施，保障个人信息的安全，防止信息泄露、篡改、丢失。（）4.数据分类分级工作只是信息安全部门的职责，普通业务岗位员工不需要参与。（）5.使用U盘在单位内网终端和个人外网终端之间交叉拷贝文件，是传播勒索病毒的高风险行为。（）6.经过匿名化处理的个人信息，无法识别到特定自然人且不能复原的，不属于个人信息范畴。（）7.看到社交平台上发布的不实单位内部信息，可以随意转发传播，不需要核实来源。（）8.对核心业务数据做异地备份时，备份介质应当存储在与生产中心物理距离符合容灾要求的场地，避免同一场地灾害导致数据全部丢失。（）9.员工在工作中收集到的客户个人信息，属于个人劳动成果，可以私自留存用于个人副业。（）10.数据安全是一个持续的过程，不是一次性的工作，需要全员在日常工作中时刻保持安全意识。（）四、简答题（共2题，每题10分，总计20分）1.请结合自身岗位实际，简述日常工作中需要遵守的至少8条数据安全操作规范。2.假设你在办公时点击了钓鱼邮件的恶意附件，发现终端异常弹窗、文件被加密，疑似发生勒索病毒攻击与数据泄露风险，请简述完整的应急处置步骤。五、案例分析题（共1题，总计20分）某省属国企市场部员工张某2026年3月为了提高方案撰写效率，将手头正在编制的、尚未公开的省级重点项目投标文件（涉及投标报价、核心技术参数、客户内部需求等核心商密信息，且包含参与项目对接的120名客户的身份证号、手机号、职务等个人信息）输入某境外公域生成式AI工具，要求AI优化方案排版、补充内容。张某使用的AI工具未在我国网信部门完成生成式AI服务备案，且其用户协议明确约定用户输入内容可用于AI模型训练、可向第三方提供。此外，张某为了居家加班方便，还将该投标文件存储在个人未加密的公有云盘，且云盘密码为其常用的“Zhang123456”，该密码已在2025年的某互联网平台数据泄露事件中被公开。后经安全部门监测，该投标文件被境外IP非法访问，相关客户个人信息在暗网被出售，造成企业投标失利直接经济损失2300万元，且引发120名客户的个人信息权益投诉，被监管部门立案调查。请结合数据安全相关法规与管理要求，回答以下问题：（1）张某的行为存在哪些数据安全违规点？（12分）（2）针对该类风险，企业应当从哪些方面完善数据安全管理机制？（8分）参考答案一、单项选择题1.C2.B3.B4.B5.A6.C7.A8.B9.B10.B11.C12.C13.A14.B15.B16.B17.C18.C19.B20.B二、多项选择题1.ABCDE2.ABCDEFGH3.ABCD4.ABCDE5.ABCDE6.ABCDE7.ABCD8.ABCE9.ABCD10.ABCDE三、判断题1.×2.×3.√4.×5.√6.√7.×8.√9.×10.√四、简答题1.参考答案要点（答满8条且符合岗位实际即可得分，示例）：（1）严格遵守企业数据分类分级管理要求，按数据级别匹配对应存储、传输、使用权限，不越权访问与岗位无关的数据；（2）妥善保管个人工作账号、密码、数字证书等身份凭证，设置符合强度要求的密码，定期更换，不转借他人、不跨平台复用密码；（3）不使用个人微信、QQ、个人邮箱、未备案公有云盘等公网渠道传输、存储3级及以上敏感数据与核心商密数据，统一使用单位审批的加密办公系统；（4）不随意点击陌生邮件的链接、附件，不访问非法、高风险网站，终端安装统一部署的杀毒软件并及时更新补丁；（5）离开办公座位及时锁屏电脑，敏感纸质文件妥善保管，打印、复印敏感文件及时取走，废弃敏感纸质文件按要求粉碎销毁；（6）不在公共Wi-Fi环境下登录内部业务系统、处理敏感数据，不在公共场所大声讨论涉密、涉敏工作内容，远程会议共享屏幕提前规避敏感信息泄露；（7）使用生成式AI工具时，严格遵守企业AI使用规范，不输入未公开的商密信息、客户个人信息、内部敏感数据，仅使用经单位审批备案的AI工具；（8）发现数据安全风险、疑似泄露事件第一时间通过官方渠道上报，不擅自处置、不隐瞒、不随意传播相关信息；（9）离职时按流程注销所有系统权限，完整移交全部工作数据，不拷贝、留存任何企业敏感数据，严格遵守保密协议约定；（10）存储介质（U盘、移动硬盘等）使用统一备案的加密介质，不在内外网终端之间交叉混用，废弃存储介质按要求消磁销毁，不随意丢弃。2.参考答案要点：（1）第一时间断网：立即拔掉终端网线、断开Wi-Fi连接，避免勒索病毒横向扩散到同网络的其他终端、服务器，防止更多数据被加密或外传；（2）不擅自处置：不要重启电脑、不要自行重装系统、不要随意删除文件或点击弹窗里的“解密”“缴纳赎金”链接，保留所有操作痕迹与病毒样本，避免破坏溯源证据；（3）快速上报：第一时间拨打单位数据安全应急热线、通过内部应急通道联系信息安全部门，清晰说明事件发生时间、点击的邮件来源、当前终端的异常表现、终端存储的数据敏感级别、是否连接过内部业务系统等关键信息；（4）现场配合：在安全部门人员到场前，不随意操作终端，若有外接存储介质连接在终端上，不要拔出，做好标识等待排查；（5）溯源整改：配合安全部门开展病毒查杀、溯源排查，确认病毒传播范围、是否存在数据外传情况，按要求重置相关账号密码、修复系统漏洞，完成整改后经安全部门确认方可重新接入网络；（6）复盘总结：参与事件复盘分析，主动学习同类风险的识别技能，避免后续再次发生同类问题。五、案例分析题（1）张某的违规点（每点2分，答满6点即得12分）：①违反生成式AI使用管理规定，违规使用未在境内完成备案的境外公域AI工具，输入核心商密与客户个人敏感信息，造成数据被AI平台违规收集、用于模型训练，直接导致数据泄露风险；②违反核心商密数据存储管理要求，擅自将核心商密文件、敏感个人信息存储在个人未加密公有云盘，未使用单位统一配置的加密存储系统；③违反密码安全管理规范，使用弱密码且跨平台复用已泄露的密码，导致云盘账号被轻易破解，造成文件被非法访问；④违反最小权限与数据保密要求，未对核心商密文