2026年数据安全试题及答案

2026年数据安全试题及答案一、单项选择题（每题2分，共20分）1.《中华人民共和国数据安全法》正式施行的时间是？A.2021年6月10日B.2021年9月1日C.2021年11月1日D.2022年1月1日答案：B解析：2021年6月10日为该法颁布日，2021年9月1日为施行日；2021年11月1日是《个人信息保护法》的施行日，注意区分。2.根据《数据安全法》，数据分类分级的主要依据是？A.数据的经济价值高低B.数据的存储位置和技术架构C.数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或非法利用，对国家安全、公共利益或个人、组织合法权益造成的危害程度D.数据的格式和所属系统类型答案：C解析：数据分类分级以数据的重要程度和危害程度为核心标准，而非技术属性或经济价值，这是开展数据安全工作的基础。3.下列算法中，属于对称加密算法的是？A.RSAB.AESC.ECCD.Diffie-Hellman答案：B解析：AES是典型的对称分组密码；RSA、ECC和Diffie-Hellman均属于公钥密码体制，加密与解密使用不同密钥。4.关于MD5算法，下列说法正确的是？A.是一种对称加密算法，可以还原原始明文B.是一种哈希算法，输出固定长度摘要且不可逆C.可以直接用于口令的安全存储而无需加盐D.是一种数字签名算法，用于身份认证答案：B解析：MD5是哈希算法，不可逆。但其存在碰撞和快速破解风险，存储口令应采用bcrypt、scrypt等加盐慢哈希算法，不能直接使用MD5。5.根据《个人信息保护法》，下列哪项属于敏感个人信息？A.学历信息B.手机号C.生物识别信息D.电子邮箱地址答案：C解析：生物识别信息属于敏感个人信息。行踪轨迹、金融账户、医疗健康、不满14周岁未成年人个人信息等也属于敏感个人信息；手机号在一般情形下属于个人信息，不属于敏感个人信息。6.自主访问控制（DAC）模型的核心特点是？A.系统根据安全标签强制比较主体和客体的安全级别B.资源的属主可以自主决定将访问权限授予其他主体C.通过角色来管理用户权限D.由系统管理员统一集中管理全部权限答案：B解析：DAC允许资源属主自主授权；A描述的是强制访问控制（MAC），C描述的是基于角色的访问控制（RBAC）。7.下列哪项不属于常用的数据脱敏方法？A.替换B.混洗C.截断D.数据加密答案：D解析：数据脱敏是在保留数据可用性的前提下对敏感字段进行遮蔽或变换，结果一般不需还原；数据加密属于可逆的保密措施，不属于脱敏。8.数据备份的"3-2-1"原则是指？A.1份生产数据、2份备份副本、3个地点存放B.至少3份数据副本、存储在2种不同介质上、其中1份在异地存放C.3种存储介质、2份备份副本、1个数据中心D.3道安全防线、2种备份方式、1个灾备中心答案：B解析："3-2-1"原则是业界公认的备份基准：3份副本、2种介质、1份异地，以抵御介质故障和区域性灾难。9.根据《个人信息保护法》，关键信息基础设施运营者向境外提供个人信息和重要数据，应当通过？A.本单位内部审批B.国家网信部门组织的数据出境安全评估C.第三方机构的安全认证D.与境外接收方签订标准合同答案：B解析：关键信息基础设施运营者向境外提供个人信息和重要数据，以及处理重要数据的个人信息处理者向境外提供个人信息，须经国家网信部门组织的数据出境安全评估。10.某App收集用户好友列表用于个性化推荐，下列哪一做法违反了个人信息处理的最小必要原则？A.仅收集实现推荐功能所必需的好友关系信息B.用户明确同意后收集其位置信息用于本地天气服务C.以"不授权收集好友列表就无法使用该App"为由强迫用户授权D.提供撤回同意的便捷途径答案：C解析：以拒绝提供核心服务为要挟强迫用户授权，超出实现处理目的的最小范围，属于典型违规收集行为。二、判断题（每题2分，共20分）1.《数据安全法》所称数据，是指任何以电子或者非电子形式对信息的记录。答案：正确2.对个人信息进行匿名化处理后，该信息仍属于个人信息，继续适用《个人信息保护法》。答案：错误解析：匿名化后的信息无法识别特定自然人，不属于个人信息。注意区分"匿名化"与"去标识化"，去标识化后的信息仍属于个人信息。3.对称加密算法加解密速度快，更适合海量数据的机密性保护，实际系统中常与非对称加密结合使用。答案：正确解析：混合加密用非对称算法安全传递会话密钥，用对称算法加密业务数据，兼顾安全性与效率。4.数据安全风险评估只需在系统上线前进行一次即可。答案：错误解析：数据安全风险随业务、系统与威胁环境动态变化，应当在数据处理活动全生命周期内定期开展评估。5.数据脱敏可以完全替代数据加密。答案：错误解析：脱敏服务于开发测试、统计分析等场景，降低敏感数据暴露面；加密服务于存储与传输的机密性保护，二者定位不同、不可相互替代。6.根据GDPR，向欧盟境内数据主体提供服务并收集其个人数据的境外企业，也受GDPR管辖。答案：正确解析：GDPR具有域外效力，包含向欧盟境内提供商品或服务、监控数据主体行为等情形。7.数据销毁仅有彻底删除存储介质上所有数据这一种方式。答案：错误解析：还可采取多次覆写、消磁、物理粉碎、加密密钥销毁等方式，具体手段应根据数据级别与介质类型确定。8.关键信息基础设施运营者在我国境内运营中收集和产生的个人信息和重要数据，应当在境内存储。答案：正确解析：确需向境外提供的，应当依法通过国家网信部门组织的数据出境安全评估，法律另有规定的除外。9.数据分类分级的结果一旦确定，应当长期保持不变。答案：错误解析：数据级别应根据数据用途、敏感程度及外部环境的变化及时复核调整，并配套相应的访问控制与保护措施。10.日志记录与安全审计是数据安全事后追溯和事件调查的重要基础。答案：正确三、简答题（每题5分，共20分）1.简述数据安全的内涵及其核心目标。答案：（1）数据安全是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。（2）核心目标体现为CIA三要素：机密性，即数据不被未授权主体访问或泄露；完整性，即数据在存储、传输和处理过程中不被篡改或破坏；可用性，即授权主体能够及时、可靠地访问和使用数据。2.简述数据分类分级的一般实施步骤。答案：（1）数据资产梳理：识别数据源、数据项、存储位置及数据量，建立数据资产清单。（2）制定分类分级标准：依据法律法规和行业规范，结合业务属性确定分类维度和分级规则。（3）数据分类：按业务领域、主体类型等维度对数据资产进行归类。（4）数据分级：根据数据遭到破坏后对国家安全、公共利益或个人权益的危害程度，划分核心数据、重要数据、一般数据等层级。（5）标识与备案：对各级数据加注标识并编制目录，按规定向主管部门备案。（6）动态更新：建立常态化复核与变更机制，保证分级结果与数据状态一致。3.简述对称加密与非对称加密的主要区别。答案：（1）密钥数量：对称加密加解密使用同一密钥；非对称加密使用公钥和私钥组成的密钥对。（2）加解密速度：对称加密运算量小、速度快；非对称加密运算复杂、速度慢。（3）安全性：对称加密的密钥需安全分发，密钥管理困难；非对称加密私钥无需传输，密钥分发问题易于解决。（4）典型应用：对称加密适用于海量数据加密，非对称加密适用于密钥交换、数字签名和身份认证。实际系统中通常采用两者结合的混合加密方案。4.简述数据脱敏的常见方法及其适用场景。答案：（1）替换：用虚构值替换真实值，如用随机姓名替代真实姓名，适用于高仿真度要求场景。（2）混洗：在同列数据内随机交换取值，可保持字段值的分布特征，适用于统计分析场景。（3）截断：截取字段的部分内容，如保留身份证号后四位，适用于日志展示和隐私保护场景。（4）掩码：对敏感字符以特定符号遮蔽，如手机号中间四位显示为星号，适用于前台业务展示。（5）加密/令牌化：以不可逆令牌或密文替代原文，适用于保留数据关联关系的场景。实际运用中需根据数据用途与合规要求选择合适方法。四、案例分析题（每题20分，共40分）1.某电商平台将用户明文口令和手机号批量存储在公有云数据库中，未开启访问日志，也未对敏感字段加密。后因运维人员账号口令泄露，攻击者通过该账号进行SQL注入攻击，窃取了约3000万条用户数据，并在暗网出售。请回答：（1）分析该案例中平台存在的主要数据安全问题；（2）从数据全生命周期角度提出整改措施；（3）指出该平台可能违反的法律法规及应承担的法律责任。答案：（1）主要问题包括：①敏感数据明文存储，未采取加密、脱敏等安全措施；②访问控制薄弱，运维账号权限过大且缺少多因素认证；③未启用日志记录与安全审计，导致攻击行为无法及时发现和追溯；④存在SQL注入等应用层漏洞，反映安全开发与漏洞管理缺失；⑤缺少数据安全风险评估和监测预警机制。（2）全生命周期整改措施：采集环节，遵循最小必要原则，减少非必要敏感信息收集。存储环节，口令采用加盐慢哈希存储，个人敏感字段加密存储，落实数据分级分类管理。使用环节，实施最小权限管理并引入多因素认证，对敏感数据查询实行脱敏展示。传输环节，启用TLS等加密通道。共享环节，规范数据导出流程并留存审批记录。销毁环节，按制度对过期数据进行安全删除。同时，建立全链路日志审计、入侵检测与数据泄露监测预案，定期开展安全评估和应急演练。（3）该平台违法了《数据安全法》《个人信息保护法》《网络安全法》。未履行数据安全保护义务，未对敏感数据采取加密等措施，未建立日志审计和风险评估制度，可被责令改正、警告、没收违法所得、罚款；情节严重的，可被责令暂停相关业务、停业整顿、吊销相关业务许可证或营业执照，对直接负责的主管人员和其他直接责任人员处以罚款，并可能承担相应的民事赔偿责任；构成犯罪的，依法追究刑事责任。解析：本题的采分点在于：能结合案例中明文存储、账号泄露、无日志审计、SQL注入四个具体缺陷作答；整改措施需覆盖数据全生命周期各环节，体现分级保护与纵深防御思路；法律责任部分需准确对应"三法"，并区分行政责任中的整改、罚款、吊销执照等梯度。2.某跨国车企在中国境内运营中收集了大量用户个人信息、车辆行踪轨迹和道路环境数据。该公司拟将上述数据全部传输至境外总部数据中心进行存储和分析，理由是需要"全球统一运营管理"。请回答：（1）根据我国法律，该公司的数据出境行为需要满足哪些法定条件？（2）为该企业制定合规的数据出境方案；（3）对可能涉及的重要数据，企业还应履行哪些特殊义务？答案：（1）该企业向境外提供个人信息和重要数据，一般需满足：具有合法的处理目的并取得个人单独同意（向境外提供敏感个人信息时需单独同意）；开展个人信息保护影响评估；通过国家网信部门组织的数据出境安全评估或采用法律允许的其他途径（如签订标准合同、通过个人信息保护认证）；向个人告知境外接收方的名称、联系方式、处理目的和方式等。（2）合规方案：①进行数据盘点与分类分级，区分一般个人信息、敏感个人信息与重要数据；②对拟出境数据开展安全评估并形成评估报告；③需经安全评估的，向国家网信部门申报并取得通过结论；④与境外总部签订数据处理协议或标准合同，明确双方数据安全责任；⑤向用户告知跨境传输的具体情况并取得有效同意；⑥建立数据出境日志，配合主管部门的监督检查，定期开展再评估。