2026年数据安全与隐私保护信息安全意识培训试卷（附答案）

2026年数据安全与隐私保护信息安全意识培训试卷（附答案）一、单项选择题（共15题，每题2分，总计30分）1.依据2025年正式施行的《网络数据安全管理条例》，以下哪类数据不属于核心数据范畴？（）A.关系国家安全、国民经济命脉的重要数据B.经公众同意公开的个人地理位置信息C.涉及重大公共利益的关键信息基础设施运行数据D.一旦泄露可能引发社会大规模动荡的民生保障数据答案：B解析：核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等数据，经公众同意公开的个人地理位置信息属于一般个人信息，不属于核心数据范畴。2.某企业员工为方便居家办公，私自将存储有1200条客户敏感个人信息的工作文档上传至个人公有云盘，该行为违反了数据全生命周期管理中哪一环节的安全要求？（）A.数据采集B.数据传输C.数据存储D.数据销毁答案：C解析：将工作敏感数据违规存储至非企业授权的公有云平台，属于数据存储环节的违规操作，可能导致数据泄露风险。3.根据GB/T35273-2020《信息安全技术个人信息安全规范》2025年修订版，处理敏感个人信息时，以下哪项不是法定必需的告知内容？（）A.处理敏感个人信息的必要性B.处理敏感个人信息对个人权益的影响C.个人信息处理者的年度营收情况D.敏感个人信息的处理方式和保存期限答案：C解析：处理敏感个人信息需向个人告知处理的必要性、对个人权益的影响、处理方式、保存期限等内容，处理者年度营收与个人权益无直接关联，不属于法定告知范畴。4.以下关于2026年主流AI生成式工具的数据安全风险，说法错误的是？（）A.输入涉密工作内容至公共AI工具可能导致训练数据泄露B.AI生成的内容可能存在训练数据中的个人信息未脱敏问题C.企业内部部署的私有化AI工具完全不存在数据泄露风险D.使用AI工具处理客户信息时需提前获得信息主体授权答案：C解析：私有化部署的AI工具若存在权限配置不当、日志留存不规范、模型漏洞等问题，仍可能存在数据泄露风险，不存在绝对安全的系统。5.员工收到发件人显示为“公司IT运维部”的邮件，内容称“系统升级需点击链接重置OA密码，否则24小时内账号冻结”，以下哪种处置方式最恰当？（）A.立即点击链接按提示输入账号密码完成重置B.转发邮件给部门同事提醒大家尽快操作C.通过企业内部通讯录联系IT运维部核实邮件真实性D.回复邮件询问对方具体操作细节答案：C解析：此类邮件属于典型的钓鱼邮件，未知链接可能窃取账号凭证，最安全的方式是通过官方可信渠道核实信息真伪，切勿随意点击链接或转发扩散。6.按照《个人信息保护法》要求，个人信息处理者停止提供产品或者服务时，对个人信息的正确处理方式是？（）A.直接删除所有个人信息，无需告知个人B.除法律、行政法规规定的留存期限外，应当主动删除个人信息C.将个人信息转售给合作第三方弥补经营损失D.永久留存所有个人信息以备后续业务复用答案：B解析：个人信息处理者停止提供产品或服务时，除法律法规另有规定的留存要求外，应当主动删除个人信息，不得违规转售或超期留存。7.以下哪种口令设置方式符合2026年企业信息安全管理规范要求？（）A.使用姓名拼音+出生年份作为口令，如zhangsan2000B.所有工作系统使用统一口令方便记忆C.使用长度12位以上，包含大小写字母、数字、特殊字符的无规律组合，且每90天更换一次D.将口令写在便签上贴在电脑显示器边框方便查看答案：C解析：弱口令、统一口令、明文记录口令均存在重大安全风险，符合规范的口令需满足复杂度要求、定期更换，且不得明文存储或记录。8.跨部门共享涉及20万条以上用户敏感个人信息的数据集时，以下哪项流程是必需的？（）A.仅需数据提供部门负责人签字同意即可共享B.完成数据安全风险评估，经数据安全管理部门审批，签署数据共享协议明确双方安全责任C.直接通过微信将数据集压缩包发送给对接人D.对数据集进行部分脱敏后即可自由共享，无需审批答案：B解析：大规模敏感个人信息共享必须履行风险评估、审批流程，签署协议明确责任，严禁未审批违规传输、共享敏感数据。9.办公电脑出现不明弹窗提示“检测到120个系统漏洞，立即点击下载修复工具查杀”，以下处置方式正确的是？（）A.点击弹窗内的“立即修复”按钮下载工具B.关闭弹窗，通过企业统一部署的终端安全管理系统进行漏洞扫描和修复C.自行在百度搜索下载第三方杀毒软件查杀D.暂时忽略，等电脑出现卡顿再处理答案：B解析：不明弹窗多为恶意软件诱导下载链接，系统漏洞修复应通过企业官方授权的终端安全工具完成，严禁私自下载来源不明的软件。10.关于离职员工的数据安全管理，以下做法错误的是？（）A.离职当天回收所有工作系统账号权限、办公设备B.要求离职员工签署离职数据安全承诺书，明确保密义务C.允许离职员工拷贝个人工作期间编写的项目文档到私人存储设备留存D.对离职员工的工作设备进行数据擦除或合规回收，未留存敏感数据违规外泄风险答案：C解析：工作期间产生的项目文档属于企业资产，严禁离职员工私自拷贝留存，必须按流程回收权限、核查设备、明确保密责任。11.以下哪项场景属于数据最小必要原则的合规实践？（）A.外卖APP注册时强制要求用户读取通讯录权限、开启精确位置永久授权B.社区门禁系统采集住户的人脸信息、血型、病史、宗教信仰等信息C.线上会议系统仅在用户发起屏幕共享时申请屏幕录制权限，结束后自动关闭D.电商平台默认勾选同意将用户浏览记录共享给100家以上合作营销机构答案：C解析：数据最小必要原则要求仅收集、使用实现产品/服务功能必需的最少数据，不得超范围收集、强制授权无关权限。12.当员工发现发生个人信息泄露事件时，应当第一时间向哪个部门报备？（）A.部门行政文员B.公司数据安全管理部门或应急响应团队C.自己的直接上级即可，无需上报其他部门D.当地媒体曝光事件答案：B解析：数据泄露事件需第一时间上报企业专职数据安全管理或应急响应部门，按预案开展处置，不得瞒报、迟报或擅自对外披露。13.以下关于办公区域数据安全防护的做法，正确的是？（）A.离开工位时不锁定电脑屏幕，方便回来继续办公B.将打印有客户敏感信息的纸质文件随意堆放在桌面C.外来人员进入办公区域由接待人员全程陪同，禁止单独进入核心数据机房、文档存储区D.在会议室白板上书写核心项目涉密内容后，会议结束直接离开不擦除答案：C解析：离开工位需锁屏、敏感纸质文件需入柜上锁、涉密书写内容需及时擦除，外来人员需全程陪同，严禁进入核心敏感区域。14.依据《数据出境安全评估办法》，以下哪种情况无需申报数据出境安全评估？（）A.关键信息基础设施运营者向境外提供100万人以上个人信息B.非关键信息基础设施运营者向境外提供10万人个人信息（其中含1000条敏感个人信息）C.企业通过内部跨境办公系统向境外总部传输已脱敏、无法识别特定个人且不能复原的匿名化数据D.向境外提供关系国家安全的核心数据答案：C解析：匿名化数据不属于个人信息范畴，传输匿名化数据无需申报数据出境安全评估，其余选项均属于法定需申报评估的情形。15.以下关于隐私政策的说法，正确的是？（）A.隐私政策一经发布不得修改B.隐私政策应当以清晰易懂的语言告知用户个人信息处理规则，不得使用模糊表述C.用户同意隐私政策后不得撤回同意D.隐私政策可以默认用户同意所有个人信息处理规则，无需主动勾选确认答案：B解析：隐私政策需清晰易懂、可根据业务更新依规修改，用户有权撤回同意，不得默认勾选授权，需保障用户的知情权和选择权。二、多项选择题（共10题，每题3分，总计30分，多选、少选、错选均不得分）1.敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，以下属于敏感个人信息的有？（）A.生物识别信息、医疗健康信息B.金融账户信息、行踪轨迹信息C.不满十四周岁未成年人的个人信息D.个人的姓名、公开的工作单位职务信息答案：ABC解析：公开的姓名、工作单位职务信息属于一般个人信息，其余选项均属于法定敏感个人信息范畴。2.以下哪些行为存在数据泄露安全风险？（）A.在公共咖啡馆使用未加密公共Wi-Fi登录企业ERP系统处理客户订单B.将带有拍摄、录音功能的智能手表带入涉密会议场所C.使用个人微信、QQ传输企业未公开的产品研发数据D.定期对办公终端进行病毒查杀、系统补丁更新答案：ABC解析：未加密公共Wi-Fi存在数据窃听风险，智能设备带入涉密场所可能被远程控制窃密，私人即时通讯工具传输工作敏感数据易导致信息外泄，定期更新补丁属于合规安全操作。3.企业开展数据安全风险评估时，应当覆盖以下哪些内容？（）A.数据处理活动是否合法合规B.数据安全保护措施是否有效C.数据泄露、毁损、丢失等风险点及应对措施D.数据处理活动可能对个人权益、公共利益造成的影响答案：ABCD解析：数据安全风险评估需覆盖处理活动合规性、防护措施有效性、风险点及应对、权益影响等全维度内容，确保风险可控。4.针对AI工具的合规使用，员工应当遵守以下哪些要求？（）A.严禁输入国家秘密、工作秘密、企业商业秘密及客户敏感个人信息至公共AI工具B.使用企业授权的内部AI工具处理工作数据时，严格按照权限范围操作，不越权获取数据C.对AI生成的内容进行真实性、合规性核验，避免生成内容包含侵权信息或敏感数据D.私自使用公共AI工具生成企业对外发布的官方公告内容，无需审核直接发布答案：ABC解析：使用AI工具处理工作内容需遵守保密要求、权限要求，对生成内容进行核验，对外发布内容需履行审核流程，严禁私自生成并直接发布官方内容。5.数据销毁环节的合规操作包括以下哪些？（）A.对存储过涉密数据的硬盘进行物理粉碎，确保数据无法恢复B.对需销毁的纸质敏感文件使用碎纸机粉碎，不随意丢弃至普通垃圾桶C.删除电脑上的敏感文件后清空回收站，即视为完成数据永久销毁D.委托第三方机构销毁数据时，签署保密协议，全程监销并留存销毁记录答案：ABD解析：仅删除文件并清空回收站无法彻底清除数据，可通过数据恢复工具还原，不属于合规销毁方式，其余选项均符合数据销毁安全要求。6.钓鱼邮件通常具备以下哪些特征？（）A.发件人邮箱域名与官方域名存在细微差异，如将公司官方域名“”伪造成“”B.邮件内容制造紧迫感，要求收件人在限定时间内点击链接、下载附件或提供敏感信息C.邮件附件名称带有诱惑性，如“工资调整通知.exe”“年终奖发放名单.docm”D.邮件正文标注清晰的官方联系电话、办公地址，与企业公开信息完全一致答案：ABC解析：钓鱼邮件常通过伪造域名、制造紧迫感、发送恶意附件等方式诱导用户操作，官方真实邮件的域名、联系信息均与公开渠道一致，无诱导性恶意内容。7.个人在个人信息处理活动中享有哪些法定权利？（）A.知情权、决定权B.查阅、复制、更正、补充个人信息的权利C.删除个人信息、撤回同意的权利D.要求个人信息处理者对个人信息处理规则进行解释说明的权利答案：ABCD解析：以上选项均为《个人信息保护法》明确规定的个人在个人信息处理活动中享有的法定权利。8.以下关于账号权限管理的做法，符合安全要求的有？（）A.按照最小权限原则为员工分配工作系统账号权限，不超范围授权B.员工岗位调整时，及时调整对应系统权限，回收原岗位的访问权限C.临时借调人员的账号设置使用期限，到期自动回收权限D.为方便工作，将自己的工作账号借给外部门同事使用答案：ABC解析：工作账号仅限本人使用，严禁转借他人，账号权限需遵循最小必要、动态调整、到期回收的管理原则。9.当发生数据安全事件时，应急响应的正确流程包括以下哪些环节？（）A.第一时间断开受影响设备的网络连接，防止风险扩散，保留相关证据B.立即上报企业数据安全管理部门，不得私自隐瞒或擅自处置C.配合应急响应团队开展事件溯源、影响范围评估、漏洞修复工作D.事件处置完成后，按规定向监管部门上报事件情况，及时告知受影响的个人答案：ABCD解析：数据安全事件处置需遵循“及时止损、快速上报、配合溯源、依规上报”的原则，全流程合规开展应急工作。10.以下哪些场景符合商用密码应用要求？（）A.传输核心数据、敏感个人信息时使用SM2/SM3/SM4等国密算法进行加密保护B.对存储在服务器中的敏感个人信息进行字段级加密存储，密钥由专人按规范管理C.使用MD5这种已被破解的哈希算法对用户支付密码进行加密存储D.远程访问企业内部网络时，使用符合国密要求的VPN进行加密连接答案：ABD解析：MD5算法存在碰撞漏洞，已不满足安全防护要求，不得用于敏感信息加密，核心、敏感数据传输存储需使用合规的商用密码算法进行保护。三、判断题（共10题，每题1分，总计10分）1.匿名化处理后的信息仍然属于个人信息，处理时需遵守个人信息保护相关法律法规要求。（）答案：错误解析：匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程，匿名化后的信息不属于个人信息。2.为了提升工作效率，员工可以将企业客户的手机号、消费记录等信息导出后存储在私人手机中，方便随时联系客户。（）答案：错误解析：客户敏感信息属于企业资产，严禁私自导出、存储至私人设备，存在数据泄露风险。3.企业收集个人信息时，不得强迫个人同意处理其个人信息，不得通过捆绑服务、默认勾选等方式变相强制授权。（）答案：正确解析：个人信息处理需取得个人自愿、明确的同意，不得强制授权或捆绑授权。4.收到来历不明的U盘时，可以先插入办公电脑查看里面的内容，确认无问题后再使用。（）答案：错误解析：来历不明的U盘可能植入恶意程序，插入办公电脑可能导致终端被控制、数据被窃取，严禁私自接入未知移动存储设备。5.数据处理者应当对数据处理活动的全流程承担安全主体责任，不能通过协议约定将数据安全责任完全转移给合作第三方。（）答案：正确解析：数据安全主体责任由数据处理者承担，与第三方合作时需明确双方责任，但不得免除自身法定安全责任。6.员工在社交平台发布工作相关内容时，可以随意提及未公开的项目信息、客户信息，只要不涉及国家秘密就没有安全风险。（）答案：错误解析：未公开项目信息、客户信息属于企业商业秘密或敏感个人信息，随意在社交平台发布可能导致信息泄露，违反保密要求。7.敏感个人信息的处理只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理。（）答案：正确解析：该内容为《个人信息保护法》对敏感个人信息处理的法定要求。8.企业进行数据备份时，仅需备份核心数据，备份数据无需进行加密保护，且不用定期开展恢复测试。（）答案：错误解析：备份数据同样需采取加密等安全保护措施，且需定期开展恢复测试，确保备份数据可用、安全。9.个人发现自己的个人信息被企业违规处理时，有权要求企业删除其个人信息，企业不得以内部流程为由拒绝履行法定义务。（）答案：正确解析：个人享有删除权，符合法定删除情形时，个人信息处理者应当及时删除个人信息。10.数据安全防护只是IT部门和数据安全部门的职责，普通员工不需要承担数据安全责任。（）答案：错误解析：数据安全是全体员工的共同责任，每个员工都需遵守数据安全管理要求，履行岗位对应的安全防护义务。四、简答题（共2题，每题15分，总计30分）1.请结合日常办公场景，列举至少8项员工应当遵守的数据安全与隐私保护行为规范。参考答案：（1）账号权限管理：严格保管个人工作账号口令，不转借他人，使用符合复杂度要求的口令并定期更换，离岗时及时锁定电脑屏幕，岗位变动时主动配合权限调整，离职时配合完成账号回收；（2）数据传输管理：不使用微信、QQ、个人邮箱等非授权渠道传输工作敏感数据、商业秘密和客户个人信息，内部敏感数据传输使用企业指定的加密传输通道；（3）数据存储管理：不将工作敏感数据私自存储至个人公有云盘、私人手机、私人U盘等非授权存储介质，敏感电子文件存储至企业统一授权的加密存储系统，敏感纸质文件入柜上锁，不随意摆放；（4）终端安全管理：不私自卸载企业统一部署的终端安全防护软件，不随意下载安装来源不明的软件，不接入来历不明的移动存储设备，及时更新系统补丁，发现终端异常（如异常弹窗、运行卡顿、未知进程）第一时间上报IT部门；（5）邮件安全管理：警惕钓鱼邮件，不随意点击未知发件人邮件中的链接、下载不明附件，核实邮件真实性通过官方内部渠道，不转发来源不明的可疑邮件；（6）外部交流管理：不在社交媒体、公开场合、私人聚会中谈论未公开的企业项目信息、客户信息、商业秘密，发布工作相关内容前履行内容审核流程，不泄露敏感信息；（7）第三方对接管理：对外提供企业数据、客户信息前严格履行审批流程，不违规向合作方、外部人员提供超出合作范围的敏感数据，合作过程中签署保密协议，明确双方数据安全责任；（8）应急事件处置：发现数据泄露、终端感染病毒、钓鱼邮件攻击等安全事件时，第一时间采取断网等止损措施，保留相关证据，立即上报数据安全管理部门，不隐瞒、不擅自处置，配合开展事件溯源和整改工作；（9）AI工具使用管理：不使用未授权的公共AI工具处理涉密、敏感工作内容，使用企业授权的AI工具时严格遵守使用规范，不输入超出权限范围的敏感数据，对AI生成内容进行合规核验后再使用。2.某企业员工小李在处理客户投诉时，不慎将包含2000条客户姓名、手机号、消费记录、身份证号后四位的表格通过客户服务群误发送给12名外部客户，且超过2分钟无法撤回，请结合数据安全事件应急处置要求，说明小李及企业应当采取的正确处置步骤。参考答案：该事件属于一般敏感个人信息泄露事件，需严格按照应急预案开展处置，具体步