2025年数据安全风险评估培训试题集锦

2025年数据安全风险评估培训试题集锦一、单项选择题（共20题，每题1分，共20分。每题的备选项中，只有1个最符合题意）1.根据《网络数据安全管理条例》（国务院令第790号，2024年10月1日施行）要求，重要数据处理者应当自识别出重要数据之日起（）个工作日内，将重要数据目录报设区的市级以上网信部门和有关主管部门备案。A.5B.10C.15D.302.根据GB/T43697-2024《数据安全技术数据分类分级规则》，数据安全分级判定的核心要素不包括（）。A.影响对象B.影响程度C.影响路径D.影响范围3.根据《网络数据安全管理条例》要求，重要数据处理者应当至少（）开展一次全面数据安全风险评估，评估报告留存期限不少于（）。A.每半年；2年B.每年；3年C.每两年；3年D.每年；5年4.根据国家网信办《促进和规范数据跨境流动规定》（2024年3月22日施行），下列哪种数据出境情形无需申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证（）。A.向境外提供重要数据B.累计向境外提供10万人以上个人信息（不含敏感个人信息）C.为订立、履行个人作为一方当事人的合同所必需向境外提供个人信息D.累计向境外提供1万人以上敏感个人信息5.在数据安全风险评估的资产识别环节，针对大模型训练语料库资产，下列攻击行为属于破坏数据完整性、可直接导致模型输出偏差或有害内容的是（）。A.语料库未加密存储导致训练数据批量泄露B.攻击者在公开爬取的语料中注入恶意投毒样本C.语料库访问日志留存时长不足6个月D.语料中包含未取得授权的版权内容6.在公共数据授权运营场景的风险评估中，属于监管明确划定的核心红线管控要求的是（）。A.运营主体的数据产品收益率不得低于行业平均水平B.授权运营过程中不得直接向市场主体提供原始公共数据C.运营平台的系统响应速度不得超过2秒D.公共数据授权运营的服务费用完全由市场自主定价、无价格管控7.数据安全风险评估中常用的STRIDE威胁模型不包含下列哪类威胁（）。A.仿冒B.抵赖C.信息泄露D.数据脱敏8.根据《个人信息保护法》要求，处理敏感个人信息、向境外提供个人信息、利用个人信息进行自动化决策等场景，应当提前开展个人信息保护影响评估，评估报告留存期限不少于（）。A.1年B.2年C.3年D.5年9.在第三方数据服务商准入风险评估中，下列属于一票否决项的是（）。A.服务商成立时间不满3年B.服务商近3年发生过重大数据安全事件且未完成闭环整改C.服务商报价低于行业平均水平30%D.服务商未取得ISO27001信息安全管理体系认证10.在数据安全风险评估的外部威胁监测环节，针对暗网的常规监测内容不包括（）。A.本企业泄露数据的私下交易信息B.针对本企业的攻击团伙招募信息C.本企业公开披露的年度报告信息D.攻击团伙持有的本企业系统权限售卖信息11.根据《网络数据安全管理条例》要求，处理（）以上个人信息的数据处理者，应当参照重要数据处理者履行法定安全保护义务。A.10万人B.50万人C.100万人D.1000万人12.数据安全风险评估中，关于脆弱性识别的范畴，下列表述正确的是（）。A.外部黑客组织的勒索攻击属于技术脆弱性B.企业数据安全管理制度缺失属于管理脆弱性C.内部员工违规导出客户数据属于管理脆弱性D.第三方合作方越权访问内部数据属于技术脆弱性13.数据全生命周期风险评估应当覆盖各处理环节，下列环节不属于全生命周期评估范畴的是（）。A.数据收集B.数据存储C.数据销毁D.数据系统采购招标14.在API安全专项风险评估中，下列不属于高风险隐患的是（）。A.接口未做身份校验，可未授权访问核心业务数据B.接口未设置请求频率限制，可被恶意爬虫批量拖取数据C.接口返回字段遵循最小必要原则，仅返回业务必需的数据项D.接口传输未采用加密协议，数据明文传输可被链路窃听15.针对数据存储安全的风险评估中，下列存储方式不符合核心数据保护要求的是（）。A.核心数据存储于境内国密算法加密的专属存储集群B.核心数据存储节点设置多因素身份认证、全程操作审计C.核心数据备份存储于境外公有云节点，提升容灾能力D.核心数据的访问权限设置双人审批、最小权限分配机制16.关于数据安全风险评估与等级保护测评的关系，下列表述正确的是（）。A.数据安全风险评估可以完全替代等级保护测评B.等级保护测评中的数据安全测评要求是数据安全风险评估的重要参考依据C.完成三级等保测评的系统无需再开展数据安全风险评估D.数据安全风险评估仅需针对非结构化数据开展，结构化数据库的测评由等保覆盖17.根据《生成式人工智能服务管理暂行办法》及配套安全要求，生成式AI服务提供者开展数据安全风险评估时，不需要覆盖的评估域是（）。A.训练数据来源合法性B.训练数据标注合规性C.模型推理算力的能耗水平D.用户输入信息的存储与保护合规性18.在数据安全事件应急能力评估中，要求企业发生一般数据安全事件后，应当在（）小时内向属地网信部门和行业主管部门上报事件基本情况。A.1B.8C.24D.7219.针对企业员工数据安全意识的评估中，下列行为不属于高风险违规行为的是（）。A.将包含客户个人信息的工作文件通过个人微信传输给外部合作方B.使用个人公有云盘存储企业核心商业秘密和重要数据C.在钓鱼邮件演练中点击钓鱼链接并输入工作账号密码D.经审批后通过企业内部加密传输系统向合作方发送脱敏后的业务数据20.采用隐私计算技术开展跨机构数据合作的场景中，关于风险评估的要求表述正确的是（）。A.使用隐私计算技术可完全豁免数据安全风险评估义务B.隐私计算技术的应用可降低数据泄露风险，但仍需对技术方案有效性、数据合作合规性开展评估C.隐私计算场景下不存在数据安全风险，无需评估D.隐私计算场景的风险评估仅需核查技术算法可靠性，无需核查业务合规性二、多项选择题（共15题，每题2分，共30分。每题的备选项中，有2个或2个以上符合题意，至少有1个错项，错选本题不得分，少选时所选的每个正确选项得0.5分）1.根据《网络数据安全管理条例》，重要数据处理者年度数据安全风险评估应当包含的核心内容有（）。A.数据处理活动的合规情况B.数据安全管理制度、技术措施建设运行情况C.数据安全风险点及对应的整改措施D.数据安全事件应急处置预案建设与演练情况E.企业年度经营业绩完成情况2.数据出境安全风险评估的重点核查事项包括（）。A.数据出境的目的、范围、方式的合法性、正当性、必要性B.出境数据的规模、种类、敏感程度，是否包含重要数据C.境外接收方的数据安全保护能力、责任义务约定是否充分D.数据出境后被篡改、泄露、非法利用的风险E.个人信息权益维护渠道是否通畅3.数据安全风险评估中，属于威胁识别范畴的有（）。A.外部黑客组织针对企业数据库的勒索攻击B.内部员工违规批量导出客户敏感信息C.系统组件存在未修补的高危远程代码执行漏洞D.第三方合作方越权访问企业内部数据存储系统E.核心数据库的访问权限配置错误，普通员工可直接访问4.2025年企业数据安全风险评估需重点覆盖的新兴高风险场景包括（）。A.生成式AI模型训练与推理服务B.公共数据授权运营开发C.工业互联网平台数据采集与应用D.车联网数据采集与跨机构共享E.企业内部公开信息的官网发布5.数据分类分级工作是风险评估的基础，根据GB/T43697-2024要求，数据从高到低的法定层级划分包括（）。A.核心数据B.重要数据C.一般数据D.公开数据E.内部数据6.个人信息处理场景的风险评估中，属于敏感个人信息范畴、需按最高等级防护要求管控的有（）。A.生物识别信息B.金融账户信息C.医疗健康信息D.行踪轨迹信息E.未成年人个人信息7.针对大模型训练语料的风险评估，需重点核查的合规要点有（）。A.训练语料来源是否合法，涉及个人信息的是否符合个人信息保护要求B.训练语料是否经过内容安全审核，是否包含违法违规信息C.训练语料是否涉及第三方知识产权，是否取得相应授权D.训练语料是否经过投毒检测，是否存在恶意注入的偏差样本E.训练语料的存储服务器硬件配置是否满足算力要求8.数据供应链安全风险评估中，需重点核查的环节包括（）。A.第三方开源组件的安全漏洞与后门风险B.云服务商的数据存储安全保障能力C.数据合作方的数据安全保护能力与责任划分D.硬件设备供应链中存在的预置后门风险E.办公设备采购的供应商报价水平9.数据安全风险评估的标准实施流程包括（）。A.评估准备B.资产识别与梳理C.风险识别与分析D.风险等级评价E.风险处置建议与报告输出10.针对数据存储环节的风险评估，需重点核查的管控措施有（）。A.数据存储加密措施落地情况B.数据备份与容灾机制建设情况C.存储介质的全生命周期管控情况D.数据访问权限的最小权限分配情况E.存储集群的设备品牌选型情况11.下列情形中，属于法定必须开展专项数据安全风险评估的有（）。A.处理重要数据或核心数据的系统上线运行前B.开展涉及10万人以上个人信息的对外共享、合作活动C.数据处理活动发生重大变更，可能影响数据安全的D.发生重大数据安全事件后，对现有数据安全体系开展评估E.企业内部OA系统版本常规迭代升级12.数据安全风险评估中，风险等级通常划分为四级，对应不同的处置优先级，下列表述符合四级风险管控要求的有（）。A.极低风险：可接受风险，无需额外采取管控措施B.低风险：需纳入日常风险管控清单，定期跟踪C.中风险：需制定整改计划，在3个月内完成整改D.高风险：需限期1个月内完成整改，采取临时管控措施降低风险E.极高风险：需立即启动应急管控，7个工作日内制定整改方案，优先消除风险13.关于数据脱敏措施的有效性评估，下列表述正确的有（）。A.去标识化后的数据无法通过任何关联手段重新识别到特定个人B.数据脱敏需根据数据应用场景选择合适的脱敏算法，防止过度脱敏影响数据使用C.脱敏后的数据需开展重识别风险测试，验证脱敏效果D.涉及敏感个人信息的对外数据合作，必须通过脱敏措施降低泄露风险E.只要对姓名、身份证号做打码处理，就满足脱敏要求，无需开展重识别验证14.企业内部数据安全管理体系的风险评估中，需核查的管理类要素有（）。A.数据安全组织架构与岗位职责设置情况B.数据安全管理制度、操作规程的建设与落地情况C.员工数据安全培训与考核开展情况D.数据安全事件应急预案与演练开展情况E.核心业务系统的防火墙部署情况15.数据销毁环节的风险评估中，符合安全要求的做法有（）。A.存储过核心数据的硬盘采用物理粉碎方式销毁，全程留痕记录B.云存储上的数据删除后，通过多轮覆写确保数据无法被恢复C.存储过敏感个人信息的办公电脑转售时，仅做简单的文件删除操作D.数据销毁过程安排双人监督，留存销毁记录与影像资料E.过期的业务纸质数据统一交给废品回收站处理，无需做粉碎处理三、判断题（共10题，每题1分，共10分。请判断每题表述的正误，正确的填“√”，错误的填“×”）1.处理个人信息规模不满10万人的小微企业，无需履行个人信息保护基本义务，也不需要开展任何数据安全风险评估。（）2.核心数据因承载国家安全、国计民生相关核心利益，在风险评估中若识别出目录不清、权限管控宽松等问题，无论是否发生实际泄露事件，都应当判定为极高风险隐患。（）3.生成式AI服务开展数据安全风险评估时，仅需对训练语料开展评估，用户上传的推理输入信息、模型生成的输出信息不属于评估范围。（）4.企业委托第三方机构开展数据安全风险评估的，数据安全主体责任随之转移至第三方机构，企业不再对评估结果的真实性、合规性负责。（）5.数据安全风险评估中，风险值的通用计算逻辑为“资产价值×威胁发生可能性×脆弱性严重程度”，据此可将风险划分为不同等级。（）6.利用隐私计算技术实现“数据可用不可见”的跨机构数据合作，不会产生任何数据安全风险，无需开展专项评估。（）7.重要数据处理者应当设置专门的数据安全管理机构和负责人，该要求属于风险评估中管理脆弱性识别的核心核查项。（）8.从公共互联网公开爬取的个人信息，因信息已经公开，可直接用于大模型训练，无需取得个人同意，也不需要评估个人权益影响。（）9.数据安全风险评估工作不是一次性工作，应当结合业务变更、威胁演化、监管要求更新定期开展，实现动态化风险管控。（）10.API接口是2025年数据泄露的高风险攻击面，在风险评估中应当将所有对外提供服务的API接口纳入核查范围，重点核查未授权访问、批量爬取、过度返回字段等问题。（）四、简答题（共4题，每题5分，共20分）1.简述2025年企业开展数据安全风险评估需重点覆盖的三类新兴数据处理场景及对应的核心风险点。2.根据《网络数据安全管理条例》要求，简述重要数据处理者年度数据安全风险评估应当包含的核心内容。3.简述数据安全风险评估中风险值的计算逻辑，以及四级风险等级的基本判定标准。4.简述第三方数据合作（含委托处理、共享、授权运营）场景下，开展供应商数据安全准入评估需要核查的核心要件。五、案例分析题（共2题，每题10分，共20分）1.某省级医疗健康平台2025年上线AI辅助问诊功能，平台累计存储1200万条用户就诊记录、健康档案、基因检测数据，其中包含280万条传染病史、精神疾病就诊记录等敏感个人信息。2025年3月，该平台拟与某AI科技公司合作，将脱敏后的健康数据用于医疗大模型训练，前期内部排查发现以下问题：一是平台提供的脱敏数据未去除患者就诊唯一ID、精确到社区的地理位置标签，通过关联公开挂号平台信息可重新识别到具体个人；二是AI科技公司计划将训练完成的医疗大模型接口开放给其境外合作医疗机构调用，未履行任何数据出境相关程序；三是本次合作未开展专项数据安全风险评估，仅由信息部门做了常规系统漏洞扫描；四是双方合作协议中未明确AI科技公司的数据存储期限、二次加工权限、数据泄露后的责任划分与赔偿机制。请结合数据安全风险评估相关规范，指出该平台在本次合作中存在的风险点，并提出对应的整改方向。2.某大型汽车制造企业2025年完成工业互联网平台建设，平台连接12个生产基地的3.2万台生产设备，采集存储了核心生产工艺参数、供应链采购数据、260万车联网车主的行驶轨迹与座舱数据。在年度数据安全风险评估中发现以下问题：一是企业未按最新分类分级标准开展数据梳理，将核心生产工艺参数标注为一般内部数据，未将相关数据纳入重要数据目录向监管部门备案；二是平台对外开放的车联网数据查询API接口存在未授权访问漏洞，第三方合作服务商无需身份校验即可直接下载近3个月的车主行驶轨迹数据；三是企业将车主个人信息同步给合作保险公司用于精准营销，仅在用户注册协议中用格式条款作出模糊提示，未取得用户单独同意；四是企业供应链管理系统使用了一款境外开源数据管理组件，经技术检测该组件存在隐蔽后门，可自动将采集的生产数据上传至境外未知服务器。请结合数据安全风险评估规范，判定上述4项问题对应的风险等级并说明依据，同时提出风险处置的优先级排序建议。参考答案一、单项选择题1.C2.C3.B4.C5.B6.B7.D8.C9.B10.C11.C12.B13.D14.C15.C16.B17.C18.B19.D20.B二、多项选择题1.ABCD2.ABCDE3.ABD4.ABCD5.ABC6.ABCDE7.ABCD8.ABCD9.ABCDE10.ABCD11.ABCD12.ABCDE13.BCD14.ABCD15.AD三、判断题1.×2.√3.×4.×5.√6.×7.√8.×9.√10.√四、简答题1.答题要点：（1）生成式AI训练与推理场景，核心风险包括训练数据来源不合法、语料被恶意投毒、用户推理输入的敏感信息泄露、模型输出违规内容、训练数据知识产权侵权；（2）公共数据授权运营场景，核心风险包括原始公共数据违规外泄、运营主体资质不符合要求、脱敏加工不到位导致敏感信息泄露、公共数据被违规用于牟利、数据收益分配不合规；（3）工业/车联网数据场景，核心风险包括生产核心参数被窃取影响产业链安全、车联网敏感个人信息泄露、供应链组件后门导致数据出境、设备侧数据采集超范围。（每点1.7分，答全3类场景及核心风险得5分）2.答题要点：（1）数据分类分级落实情况，特别是重要数据目录梳理与备案情况；（2）数据安全管理体系建设情况，包括组织架构、制度、人员配备；（3）数据安全技术措施建设运行情况，包括加密、访问控制、审计、监测；（4）数据处理活动全流程合规情况，包括收集、存储、使用、加工、传输、提供、公开、删除各环节；（5）数据安全风险隐患排查与整改情况；（6）数据安全事件应急预案建设与演练情况；（7）数据出境合规情况。（答出5个核心要点即可得5分）3.答题要点：风险值计算以资产价值为基础，结合威胁发生的可能性、资产脆弱性的严重程度三个维度乘积测算，即风险值=资产价值×威胁可能性×脆弱性严重程度。（2分）四级风险判定标准：极低风险为风险值低于20，风险可接受，无需额外管控；低风险为风险值20-40，属于可容忍风险，纳入日常管控；中风险为风险值40-60，需制定整改计划限期整改；高风险为风险值60-80，需限期1个月整改并采取临时管控；极高风险为风险值高于80，需立即采取管控措施优先整改。（3分）4.答题要点：（1）资质核查：核查第三方的数据安全资质、近3年数据安全事件记录、合规履约能力；（2）能力核查：核查第三方的数据安全管理制度、技术防护体系、人员管控能力、应急处置能力；（3）合规核查：核查第三方数据处理方案的