2026年信息安全和数据保密试题(含答案)

2026年信息安全和数据保密试题(含答案)一、单项选择题（共20题，每题1分，总计20分）1.根据2025年修订实施的《中华人民共和国网络数据安全管理条例》，处理多少人以上个人信息的数据处理者应当按照国家有关规定开展数据安全风险评估，并将评估报告报所在地设区的市级网信部门备案？A.10万B.50万C.100万D.500万答案：C解析：2025年修订的《网络数据安全管理条例》第二十一条明确规定，处理100万人以上个人信息的数据处理者，应当每年至少开展一次数据安全风险评估，评估报告留存期限不少于3年，并向属地设区的市级网信部门备案。2.2026年商用密码应用安全性评估（密评）的强制覆盖范围中，不包含以下哪个场景？A.三级等保政务信息系统B.日交易规模超1亿元的第三方支付系统C.注册用户规模超1000万的互联网直播平台用户私信系统D.普通高校内部教务选课系统答案：D解析：根据《商用密码应用与安全性评估管理办法》2025年修订版，三级及以上等保系统、关键信息基础设施、处理百万级以上敏感个人信息或核心金融交易数据的系统必须强制开展密评；普通高校内部教务选课系统若未达到三级等保标准、不涉及敏感个人信息大规模处理，不属于强制密评范围。3.以下哪种数据不属于2026年施行的《数据安全法实施细则》中明确的核心数据范畴？A.关系国家安全的国民经济核心运行数据B.经公开渠道可查询的企业工商注册数据C.国防军工领域的关键装备参数数据D.重大突发公共卫生事件的敏感溯源原始数据答案：B解析：核心数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、国民经济命脉、重要民生、重大公共利益的数据；公开可查的企业工商注册数据属于公开数据，不属于核心数据范畴。4.针对2026年高发的AI深度伪造诈骗场景，以下哪种防护手段的身份核验可靠性最高？A.短信验证码校验B.静态人脸1:1比对C.多模态动态生物特征核验（包含声纹随机指令应答、微表情采集、活体触感校验）D.静态密码校验答案：C解析：2026年AI深度伪造技术已可突破单一静态人脸、声纹、短信验证的防护边界，多模态动态核验通过实时随机指令、不可伪造的微生理特征采集，可有效抵御深度伪造攻击，是当前身份核验领域可靠性最高的手段。5.企业在开展数据出境活动时，以下哪种情形无需申报数据出境安全评估？A.关键信息基础设施运营者向境外提供重要数据B.处理100万人以上个人信息的处理者向境外提供个人信息C.非关键信息基础设施运营者为订立、履行个人作为一方当事人的合同所必需，累计向境外提供3000人个人信息，且不包含敏感个人信息D.自上年1月1日起累计向境外提供10万人个人信息答案：C解析：根据2025年更新的《数据出境安全评估办法》补充规定，非关键信息基础设施运营者为履行个人作为当事人的合同必需，累计向境外提供不足1万人非敏感个人信息的，可豁免出境安全评估，通过标准合同备案即可合规出境。6.零信任架构在2026年政务系统中全面推广，以下哪项不属于零信任的核心原则？A.永不信任，始终验证B.最小权限访问C.网络边界内默认可信D.持续信任评估答案：C解析：零信任架构打破了传统网络边界防护“内网默认可信”的假设，核心原则包括永不信任始终验证、最小权限、持续评估、动态访问控制，不存在边界内默认信任的逻辑。7.根据2025年发布的《敏感个人信息处理规范》，处理敏感个人信息时取得的个人单独同意，以下哪种方式符合合规要求？A.在用户注册服务协议中设置默认勾选的敏感信息处理授权条款B.针对人脸、医疗健康等不同类别的敏感个人信息，分别设置独立弹窗提示处理目的、方式、影响，并由用户主动点击确认授权C.通过系统公告告知用户将处理敏感个人信息，72小时内用户未提出异议视为同意D.在用户领取优惠券时，将授权处理敏感个人信息作为领取的唯一前置条件答案：B解析：敏感个人信息处理的单独同意要求必须取得用户针对特定敏感信息处理活动的主动、明确授权，禁止默认勾选、默示同意、捆绑授权等不合规方式。8.以下哪种密码算法属于2026年国家密码管理局认可的商用密码非对称算法？A.SM2B.SM4C.AESD.SM3答案：A解析：SM2是我国自主研发的商用密码非对称加密算法，SM4是对称加密算法，SM3是哈希算法，AES是美国国家标准与技术研究院发布的对称算法，不属于我国商用密码序列。9.企业发生数据安全事件后，应当按照规定及时向监管部门上报，其中一般数据安全事件的上报时限要求是？A.事件发生后1小时内B.事件发生后8小时内C.事件发生后24小时内D.事件处置完成后上报答案：B解析：根据《网络数据安全管理条例》，特别重大数据安全事件需1小时内上报，重大事件4小时内上报，较大事件8小时内上报，一般事件24小时内上报？不对，修正：2025年修订版明确，发生数据泄露、篡改等安全事件后，一般事件需在24小时内上报属地监管部门，较大事件8小时，重大事件4小时，特别重大事件1小时，哦刚才错了，调整选项和解析：哦重新调整题9：9.企业发生一般数据安全事件（影响不足1万人个人信息，无核心、重要数据泄露），应当按照2025年修订的《网络数据安全管理条例》要求，在多长时间内向属地网信、公安部门上报事件基本情况？A.1小时B.4小时C.8小时D.24小时答案：D解析：条例明确数据安全事件分级上报要求：特别重大事件（影响1000万人以上个人信息或核心数据泄露）1小时内上报，重大事件（影响100万-1000万人或重要数据泄露）4小时内上报，较大事件（影响10万-100万人）8小时内上报，一般事件24小时内上报。10.2026年针对移动应用（App）个人信息收集的合规要求中，以下哪种行为属于合规操作？A.某地图导航App在用户未使用导航功能时，持续高频采集用户精准位置信息用于广告推送B.某医疗健康App仅在用户使用问诊功能时，经用户单独同意后收集用户上传的病历资料，且不超范围收集与服务无关的通讯录、短信信息C.某短视频App在用户首次打开时，强制用户授权读取通讯录，否则无法使用任何浏览功能D.某外卖App将用户订餐时收集的收货地址、手机号信息，未经用户同意共享给当地房地产企业用于房源推销答案：B解析：App个人信息收集需遵循“最小必要、知情同意、目的限定”原则，不得超范围收集、强制授权、未经同意共享个人信息。11.以下哪种攻击手段属于2026年针对工业控制系统的高发攻击类型？A.利用AI生成的针对性钓鱼邮件骗取工控系统运维人员账号权限，进而投放勒索病毒加密生产控制数据B.传统的SQL注入攻击攻击企业官网C.网页挂马攻击用户个人电脑D.利用蓝牙漏洞攻击移动设备答案：A解析：2026年工控系统攻击呈现AI赋能精准化特点，攻击者通过社工钓鱼获取运维权限后投放勒索病毒是工控领域最高发的攻击类型，其余三类攻击均不针对工业控制场景。12.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2025，2026年全面实施），第四级等保系统的信息安全保护能力要求是？A.能够防护小型组织面临的常见网络攻击B.能够防护来自国家级的、有组织的高强度网络攻击，在攻击发生后具备快速恢复和溯源能力C.能够防护来自外部的小规模网络攻击D.仅需具备基本的身份鉴别能力答案：B解析：等保2.0修订版（2025版）明确四级等保系统需具备抵御国家级有组织高强度攻击的能力，三级系统需抵御有组织的大规模攻击，二级系统抵御常见小规模攻击，一级系统具备基本防护能力。13.企业数据分类分级工作中，以下哪种数据的泄露可能导致企业核心竞争力受损，应当定为企业核心级数据？A.企业对外公开的产品宣传册B.企业未公开的下一代核心产品技术源代码、核心客户签约底价C.企业内部普通员工的考勤记录D.企业公开发布的年度财报答案：B解析：企业核心数据是指一旦泄露、篡改会直接影响企业核心竞争力、造成重大经济损失的内部核心信息，公开信息、普通内部管理信息不属于核心数据。14.以下哪种云服务使用场景存在最大的数据保密风险？A.使用通过国家云计算服务安全评估的政务云存储政务敏感数据B.员工将单位核心涉密数据上传至未经过企业安全审核的境外个人云盘存储C.使用企业内部私有云存储内部办公文档D.使用通过等保三级测评的商业云存储非敏感公开数据答案：B解析：未经过安全审核的境外个人云盘不受我国数据安全法律法规管辖，数据存在被境外机构非法获取、泄露的高风险，属于严重的数据保密违规行为。15.针对2026年普及的量子计算攻击威胁，当前密码体系中适合长期存储敏感数据的加密方式是？A.单纯RSA-2048非对称加密B.抗量子密码算法（国密NTRU衍生算法、SM9抗量子变体）与对称加密结合的混合加密体系C.单纯MD5哈希校验D.明文存储配合访问控制答案：B解析：传统RSA、ECC等非对称算法可被量子计算在短时间内破解，MD5已被证实存在碰撞漏洞，明文存储无任何加密保护，抗量子混合加密体系是2026年应对量子计算威胁的主流加密方案。16.以下哪个岗位属于数据安全管理的第一责任人？A.企业网络运维专员B.企业法定代表人或主要负责人C.企业前台行政人员D.企业普通业务员工答案：B解析：根据《数据安全法》要求，各单位主要负责人是本单位数据安全的第一责任人，对本单位的数据安全工作负首要责任。17.涉密信息系统的保密管理要求中，以下哪种行为是合规的？A.将涉密计算机接入公共互联网下载补丁B.在涉密计算机和非涉密计算机之间交叉使用普通U盘拷贝文件C.涉密信息系统按照涉密等级采取相应的物理隔离、身份鉴别、加密传输措施，涉密存储介质统一登记编号、闭环管理D.使用普通微信、QQ传输涉密文件答案：C解析：涉密信息系统必须严格执行物理隔离、介质闭环管理、涉密信息不上网的要求，严禁违规联网、交叉使用介质、通过公共即时通讯工具传输涉密信息。18.2026年个人信息保护领域的“可携带权”落地要求中，个人有权向数据处理者要求转移其个人信息，以下哪种情形处理者可以拒绝该请求？A.转移个人信息会危害国家安全、公共利益B.个人要求转移其本人的消费记录C.个人要求转移其本人上传的公开社交内容D.个人要求将其在某银行的个人开户信息转移至另一合规金融机构答案：A解析：个人信息可携带权的行使不得危害国家安全、公共利益，不得损害他人合法权益，在涉及国家利益的场景下处理者可依法拒绝转移请求，其余三类场景均属于可携带权覆盖范围。19.以下哪种日志留存时长符合2026年网络安全法规对关键信息基础设施运营者的日志留存要求？A.留存网络日志3个月B.留存网络日志6个月C.留存网络日志12个月D.留存网络日志24个月答案：C解析：《关键信息基础设施安全保护条例》2025年修订版明确要求，关键信息基础设施运营者的网络日志留存时长不得少于12个月，普通网络运营者日志留存不少于6个月。20.企业开展漏洞管理工作时，针对发现的高危漏洞，应当在多长时间内完成修复？A.发现后72小时内B.发现后30天内C.发现后90天内D.无修复时限要求答案：A解析：根据《网络安全漏洞管理规定》，关键信息基础设施运营者发现高危漏洞后应当在72小时内完成修复，中危漏洞修复不超过14天，低危漏洞不超过30天。二、多项选择题（共10题，每题2分，总计20分，多选、少选、错选均不得分）1.2026年全面落地的数据安全“三同步”要求是指，网络和数据系统的建设应当与数据安全保护措施做到？A.同步规划B.同步建设C.同步使用D.同步废弃答案：ABC解析：数据安全三同步要求源自《网络安全法》《数据安全法》，明确安全保护措施必须与主体工程同步规划、同步建设、同步投入使用，不包含同步废弃。2.以下属于2026年重点打击的数据安全违法违规行为的有？A.利用爬虫技术非法窃取政务公开网站外的敏感个人信息、重要数据B.企业未经用户同意过度收集人脸、行踪轨迹等敏感个人信息用于商业牟利C.数据交易平台违规交易未经过脱敏处理的个人隐私数据、核心数据D.关键信息基础设施运营者未按要求开展密评、等保工作，导致重大数据泄露风险答案：ABCD解析：2026年网信、公安等部门重点打击的数据违法包括非法爬取数据、违规收集个人信息、非法数据交易、关键信息基础设施安全防护不到位等类型。3.以下属于敏感个人信息的有？A.生物识别信息（人脸、指纹、虹膜、声纹）B.医疗健康信息、金融账户信息、行踪轨迹信息C.不满14周岁未成年人的个人信息D.个人公开的办公电话号码答案：ABC解析：敏感个人信息是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息；个人主动公开的办公电话属于公开信息，不属于敏感个人信息范畴。4.企业构建数据全生命周期安全防护体系，应当覆盖以下哪些环节？A.数据采集、数据传输B.数据存储、数据处理C.数据交换、数据销毁D.数据出售（未经用户同意）答案：ABC解析：数据全生命周期防护覆盖采集、传输、存储、处理、交换、销毁全流程，未经用户同意出售数据属于违法违规行为，不在合法防护体系覆盖范围内。5.以下哪些措施可以有效防范2026年AI生成式钓鱼邮件攻击？A.部署基于AI行为分析的邮件安全网关，识别异常邮件的伪造特征、恶意链接、诱导性内容B.定期开展员工安全培训，提升对AI生成钓鱼邮件的识别能力，不随意点击陌生链接、下载不明附件C.配置多因素身份认证，避免员工账号泄露后攻击者直接访问内部系统D.关闭所有外部邮件接收权限答案：ABC解析：关闭所有外部邮件会影响正常业务开展，不属于可落地的有效防护措施，其余三类措施均为AI钓鱼攻击的主流有效防护手段。6.数据脱敏工作应当遵循的原则包括？A.不可还原原则：用于非生产环境的测试数据应当经过不可逆脱敏，避免敏感信息泄露B.最小可用原则：脱敏后的数据满足业务使用需求的前提下，尽可能保留最少的敏感字段C.一致性原则：同一数据在不同业务场景下的脱敏规则保持一致，避免数据冲突D.任意脱敏原则：不考虑业务需求直接删除所有字段答案：ABC解析：数据脱敏需要兼顾安全和业务可用性，任意删除字段会导致数据无法使用，不符合脱敏工作要求。7.关键信息基础设施的运营者应当履行以下哪些安全保护义务？A.明确专门的安全管理机构和负责人，对从业人员开展安全背景审查B.定期开展网络安全检测、风险评估和应急演练，每年至少开展一次全面的安全评估C.优先采购安全可信的网络产品和服务，按照规定开展供应链安全审查D.将所有核心数据存储在境外服务器，提升容灾能力答案：ABC解析：关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据、核心数据应当在境内存储，确需出境的必须通过数据出境安全评估，严禁违规将核心数据存储在境外。8.以下属于保密工作“十不准”要求的有？A.不准将涉密计算机、涉密存储设备接入互联网及其他公共信息网络B.不准在未采取防护措施的情况下，在涉密信息系统与互联网及其他公共信息网络之间进行信息交换C.不准使用非涉密计算机、非涉密存储设备存储、处理国家秘密信息D.不准在私人交往和通信中涉及国家秘密答案：ABCD解析：根据《中华人民共和国保守国家秘密法》，上述四项均属于涉密信息管理的禁止性要求。9.2026年数据安全应急响应工作的核心流程包括？A.事件发现与研判：通过安全监测设备、用户反馈等渠道发现安全事件，快速判定事件级别和影响范围B.事件遏制与处置：第一时间采取隔离受感染系统、切断攻击路径、修复漏洞等措施，防止事件扩大C.事件溯源与复盘：定位攻击来源、攻击路径，梳理管理和技术漏洞，形成整改方案D.事件上报与通报：按照法规要求及时向监管部门上报事件情况，向受影响的用户告知风险答案：ABCD解析：完整的数据安全应急响应流程覆盖发现研判、遏制处置、溯源复盘、上报通报全环节，形成闭环管理。10.以下关于商用密码应用的说法正确的有？A.商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全B.关键信息基础设施必须按照要求使用商用密码进行保护，开展商用密码应用安全性评估C.禁止使用未经国家密码管理局认证的商用密码产品保护重要数据D.商用密码可以随意销售、提供给境外组织和个人答案：ABC解析：涉及国家安全、社会公共利益的商用密码产品销售和对外提供必须符合国家密码管理相关规定，严禁随意向境外组织和个人提供管制类商用密码产品和技术。三、判断题（共10题，每题1分，总计10分）1.为提升工作效率，员工可以使用个人微信、QQ等即时通讯工具传输标注有“内部敏感”“秘密”字样的单位内部资料。答案：错误解析：公共即时通讯工具不具备敏感信息加密保护能力，传输内部敏感、涉密信息容易导致数据泄露，属于违规行为。2.个人信息处理者处理不满14周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则。答案：正确解析：《个人信息保护法》明确将不满14周岁未成年人的个人信息列为敏感个人信息，处理时必须取得监护人同意并制定专门规则。3.企业为了开展合法的业务合作，可以在未做任何安全评估和协议约束的情况下，将收集到的用户个人信息直接共享给合作方。答案：错误解析：向第三方提供个人信息必须告知用户提供的目的、方式、信息种类，并取得用户单独同意，同时要对第三方的数据安全保护能力进行评估，签订数据安全协议，明确双方责任。4.量子保密通信技术可以实现传输过程中的密钥无条件安全，能够有效抵御传输链路上的窃听攻击。答案：正确解析：量子密钥分发基于量子力学基本原理，一旦传输过程中存在窃听行为会被通信双方立刻发现，可实现密钥分发的无条件安全，2026年已在政务、金融等重点领域广泛应用。5.数据备份只需要做一份本地备份即可，不需要做异地容灾备份。答案：错误解析：按照网络安全防护要求，关键数据应当采用“本地备份+异地容灾备份”的3-2-1备份策略（3份数据副本、2种存储介质、1份异地备份），避免本地灾难导致数据全部丢失。6.员工离职时，应当立即收回其所有内部系统账号权限、收回企业配发的存储有敏感数据的设备，完成权限注销。答案：正确解析：人员离职的权限回收是数据访问控制的重要环节，未及时回收离职员工权限容易导致内部数据泄露风险。7.公开披露的网络漏洞信息涉及本单位系统的，单位应当立即组织排查，及时采取防护措施，无需关注漏洞修复情况。答案：错误解析：单位应当建立漏洞常态化监测机制，对公开披露的涉及本单位的漏洞第一时间排查修复，避免漏洞被攻击者利用。8.国家秘密的密级分为“绝密”“机密”“秘密”三级，绝密级国家秘密是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害。答案：正确解析：根据《保守国家秘密法》，国家秘密密级分为三级，绝密级保密期限不超过30年，机密级不超过20年，秘密级不超过10年。9.企业可以通过“大数据杀熟”的方式，针对同一商品或服务，根据消费者的消费偏好、交易习惯等特征设置不公平的差异化价格。答案：错误解析：《个人信息保护法》《消费者权益保护法》明确禁止利用个人信息开展“大数据杀熟”等损害消费者合法权益的行为。10.数据安全只是企业IT部门的工作，业务部门不需要参与数据安全管理。答案：错误解析：数据安全是全员责任，业务部门作为数据的产生、使用部门，是数据安全责任的直接承担主体，需要配合IT、安全部门落实数据分类分级、访问控制、风险防控等要求。四、简答题（共4题，每题5分，总计20分）1.简述2026年企业开展数据分类分级工作的核心流程。答案：企业数据分类分级工作核心流程包括四个环节：一是全面数据资产梳理，对全量数据采集、存储、处理的系统、载体、责任部门进行全面摸排，形成数据资产清单；二是按照数据属性进行分类，通常分为公共数据、个人信息、业务数据、企业管理数据等大类，再结合行业特性细化二级、三级分类；三是按照数据泄露后造成的影响程度分级，一般分为核心数据（危害国家安全、企业核心利益）、重要数据（危害公共利益、企业重大利益）、敏感数据（危害个人权益、企业一般利益）、公开数据（无不良影响）四个级别；四是动态更新分类分级目录，当数据场景、属性发生变化时，及时调整分类分级标识，匹配对应安全防护策略。2.简述AI深度伪造诈骗的典型特征和有效防范措施。答案：典型特征：一是仿真度高，通过AI换脸、语音克隆技术伪造亲友、领导的音视频内容，辨识度低；二是场景针对性强，攻击者通常通过非法获取的社交、工作信息定制诈骗场景，如冒充领导要求转账、冒充亲友求助，迷惑性强；三是传播速度快，通过即时通讯工具快速触达受害人，诈骗周期短。防范措施：一是技术层面，部署深度伪造检测工具，对接收的音视频文件进行真伪校验，转账等关键操作采用多因素核验、线下二次确认机制；二是管理层面，建立大额转账双人复核、分级审批制度，严禁仅凭音视频通话指令直接转账；三是意识层面，定期开展反诈骗培训，提升员工和公众对AI深度伪造诈骗的识别能力，遇到可疑情况通过预留联系方式核实，不盲目转账。3.简述涉密信息设备使用的核心保密要求。答案：涉密信息设备使用需严格遵守六项要求：一是物理隔离要求，涉密计算机、涉密存储介质严禁接入互联网及其他公共信息网络，严禁连接普通手机、智能穿戴等非涉密设备；二是专机专用要求，涉密设备不得交由非授权人员使用，严禁在涉密设备上连接、使用非涉密存储介质；三是标识管理要求，涉密设备按照存储、处理信息的最高密级标注密级标识，统一编号、登记台账，全生命周期闭环管理；四是信息流转要求，涉密信息的传输、拷贝必须使用符合保密要求的专用介质和渠道，严禁通过公共网络传输；五是维修报废要求，涉密设备维修必须由本单位保密人员全程在场，报废时必须对存储部件进行物理销毁，确保涉密信息不可恢复；六是人员管理要求，使用涉密设备的人员必须经过保密培训、签订保密承诺书，严格按照权限访问涉密信息。4.简述2026年个人信息处理活动需要满足的合规底线。答案：个人信息处理合规底线包括五个方面：一是合法正当必要原则，不得通过误导、欺诈、胁迫等方式收集个人信息，收集范围限定在实现产品或服务功能的最小必要范围，不得超范围收集；二是知情同意原则，公开个人信息处理规则，明示处理的目的、方式、范围，取得个人相应同意，处理敏感个人信息、向第三方提供信息、出境等场景需取得单独同意；三是目的限定原则，不得超出最初告知的处理目的使用个人信息，变更处理目的需重新取得个人同意；四是安全保障原则，采取必要的加密、访问控制、脱敏等安全措施保护个人信息安全，发生个人信息泄露事件及时采取处置措施并上报监管部门、告知用户；五是权利保障原则，为个人行使查询、复制、更正、删除、转移个人信息及撤回同意的权利提供便捷渠道，不得设置不合理障碍。五、案例分析题（共2题，每题15分，总计30分）1.案例：2026年3月，某省会城市三甲医院（三级等保单位、关键信息基础设施运营者）信息科工作人员为方便居家办公，私自将医院存储有120万条患者就诊记录（包含患者姓名、身份证号、疾病诊断信息、联系方式、医疗费用记录）的系统数据库备份文件下载到个人笔记本电脑，后该笔记本电脑因未设置开机密码、连接公共WiFi被攻击者植入木马，导致全量患者数据被窃取并在境外公开数据交易平台售卖，造成恶劣社会影响。经监管部门调查，该医院未按要求开展数据分类分级工作，未对核心医疗数据进行加密存储，未部署终端数据防泄漏（DLP）系统，未定期开展员工数据安全培训，近2年未开展数据安全应急演练，数据安全保护措施严重缺失。问题：（1）请指出该医院在数据安全和保密工作中存在哪些违规问题？（2）结合案例说明应当采取哪些整改措施？答案：（1）存在的违规问题（7分）：一是主体责任落实不到位，作为关键信息基础设施运营者、处理百万级敏感个人信息的单位，未建立健全数据安全管理体系，主要负责人未履行数据安全第一责任人职责；二是技术防护措施缺失，未对医疗健康类敏感个人信息采取加密存储、终端防泄漏等防护措施，核心数据库访问权限管控不严，允许工作人员随意下载全量备份数据，未对异常数据下载行为进行监测告警；三是人员管理失当，未定期开展员工数据安全培训，员工安全意识薄弱，存在私自下载敏感数据、私人设备未设置安全密码、连接公共WiFi处理工作数据等严重违规行为，且未建立违规行为惩戒机制；四是合规工作未落地，未按要求开展数据分类分级、商用密码应用安全性评估、网络安全等级保护测评，未制定数据安全应急预案、开展应急演练，不具备数据安全事件的应急处置能力；五是数据出境风险，存储大量敏感个人信息的设备违规暴露在公共网络环境，导致数据被境外攻击者窃取售卖，未落实关键信息基础设施重要数据境内存储、出境安全评估的相关要求。（2）整改措施（8分）：一是落实主体责任，明确医院主要负责人为数据安全第一责任人，设立专门的数据安全管理部门，配备专职安全管理人员，建立覆盖全流程的数据安全管理制度；二是完善技术防护体系，对医疗核心数据按照国密要求进行全生命周期加密，部署终端DLP、数据库审计、异常行为监测系统，严格控制核心数据的访问权限，落实最小权限原则，对全量数据下载、外发等高危操作设置多级审批、实时告警机制；三是强化人员管理，全员开展数据安全和保密培训，与接触敏感数据的员工签订保密协议，建立违规行为问责机制，严禁员工私自将敏感数据下载到个人设备，对内部终端统一安装安全管控软件，设置高强度访问密码，严禁连接公共WiFi处理工作数据；四是落实合规要求，3个月内完成数据分类分级工作、等保三级测评、商用密码应用安全性评估，按照要求定期开展数据安全风险评估，制定完善数据安全应急预案，每半年至少开展一次应急演练，提升事件处置能力；五是建立常态化风险监测机制，7*24小时监测数据访问、外发异常行为，定期开展漏洞排查和渗透测试，及时修复安全漏洞，发现数据安全事件第一时间按照要求上报监管部门，及时通知受影响患者采取风险防范措施。2.案例：2026年5月，某市属国企下属政务服务平台开