2026年数据安全笔试题库及答案

2026年数据安全笔试题库及答案一、单项选择题（每题1分，共20分）1.《中华人民共和国数据安全法》自何时起施行？A.2021年6月10日B.2021年9月1日C.2021年11月1日D.2022年1月1日2.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度，负责统筹协调有关部门制定重要数据目录的是（）。A.国家数据安全工作协调机制B.工业和信息化部C.国家市场监督管理总局D.国务院办公厅3.处理个人信息时，“最小必要原则”是指（）。A.只收集与业务目的直接相关的、最少量的个人信息B.收集所有信息后统一脱敏处理C.尽量多收集信息以便后续拓展业务D.只收集用户主动提交的信息4.下列技术中，适合用于保护静态存储数据机密性的是（）。A.AES-256B.MD5C.SHA-1D.Base645.数据脱敏的主要目的是（）。A.减少数据存储空间B.提高数据查询性能C.在非生产环境中降低敏感数据泄露风险D.替代所有数据加密措施6.RBAC的含义是（）。A.基于角色的访问控制B.基于属性的访问控制C.基于策略的访问控制D.基于风险的访问控制7.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得（）。A.个人的一般同意B.个人的单独同意C.个人的默示同意D.企业内部的审批同意8.数据备份“3-2-1”策略通常指（）。A.3份数据、2种不同介质、1份异地存放B.3个机房、2条链路、1个存储C.3次验证、2次恢复、1次归档D.3天增量、2周全量、1月归档9.下列选项中，不属于数据生命周期典型阶段的是（）。A.采集B.存储C.交易D.销毁10.存储用户口令时，最合理的做法是（）。A.明文存储B.使用SHA-1不加盐存储C.使用带随机盐的PBKDF2、bcrypt等慢哈希算法存储D.使用Base64编码后存储11.依据《个人信息出境标准合同办法》，通过签订标准合同向境外提供个人信息的，个人信息处理者应在标准合同生效之日起（）内向所在地省级网信部门备案。A.5个工作日B.10个工作日C.15个工作日D.30个工作日12.根据《中华人民共和国网络安全法》，网络运营者留存网络日志的时间不得少于（）。A.3个月B.6个月C.1年D.3年13.某企业将员工身份证号码与普通业务数据未分类混合存储，从数据安全角度看，主要违反了（）。A.数据分类分级制度B.数据加密制度C.数据备份制度D.安全审计制度14.为高价值系统管理账号增加二次认证，下列风险抵御能力最强的方案是（）。A.密码+短信验证码B.密码+硬件安全密钥（如FIDO2）C.仅使用密码D.密码+密保问题15.发生数据泄露事件后，下列应急响应做法错误的是（）。A.立即断开受影响系统的网络连接B.保留原始日志和内存转储C.删除相关系统日志以保护隐私D.通知安全团队启动应急流程16.数据安全风险评估中，“残余风险”是指（）。A.尚未被识别的风险B.采取安全措施后仍然存在的风险C.可以通过商业保险完全转移的风险D.可以接受为零的风险17.我国网络安全等级保护制度将网络安全保护等级分为（）。A.3级B.4级C.5级D.6级18.依据网络安全等级保护有关要求，第四级网络系统每年应至少开展（）等级保护测评。A.1次B.2次C.3次D.4次19.下列做法中，能最有效防止SQL注入攻击的是（）。A.对用户输入进行URL编码B.使用参数化查询或预编译语句C.仅依靠WAF而不修复应用漏洞D.过滤用户输入中的空格和引号20.数据安全能力成熟度模型（DSMM）将能力等级划分为（）。A.3级B.4级C.5级D.6级二、多项选择题（每题2分，共20分）1.根据《中华人民共和国数据安全法》，所称“数据”包括（）。A.任何以电子形式对信息的记录B.任何以非电子形式对信息的记录C.仅指涉及国家安全的重要数据D.仅指个人信息2.常见的数据脱敏技术包括（）。A.掩码B.替换C.随机化D.泛化3.根据《中华人民共和国个人信息保护法》，下列属于敏感个人信息的有（）。A.宗教信仰B.特定身份C.行踪轨迹D.电子邮箱地址4.信息安全的“CIA三元组”通常包括（）。A.机密性B.完整性C.可用性D.真实性5.下列属于数据安全管理措施的有（）。A.建立数据分级分类制度B.开展全员数据安全意识培训C.与重要岗位人员签订保密协议D.对数据库文件进行加密存储6.制定数据备份方案时，应重点考虑（）。A.RPO（恢复点目标）B.RTO（恢复时间目标）C.备份窗口D.服务器品牌7.密钥管理的生命周期通常包括（）。A.密钥生成B.密钥分发C.密钥轮换D.密钥销毁8.根据《中华人民共和国个人信息保护法》，个人信息跨境提供应当具备的合法情形包括（）。A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.与境外接收方签订标准合同并依法备案D.仅取得本人同意即可自由出境9.数据安全应急预案通常应包括（）。A.应急组织与职责分工B.事件监测与报告流程C.事件分级标准D.事后恢复与复盘要求10.下列属于零信任安全基本原则的有（）。A.永不信任，始终验证B.最小权限访问C.假设网络已沦陷D.只依赖静态口令进行身份认证三、判断题（每题1分，共10分）1.只要把数据存放在内部服务器中，就不会发生数据泄露。2.个人信息处理者不得过度收集个人信息。3.对数据进行了加密，就可以完全取消访问控制措施。4.重要数据的定义和范围完全由企业自行决定，无需向有关主管部门申报。5.数据安全风险评估应当定期开展，当数据安全风险因素发生变化时，应及时重新评估。6.数据脱敏后的一定不再属于个人信息。7.收到包含恶意附件的钓鱼邮件，只要不点击附件，就一定不会对系统造成危害。8.对数据实施异地容灾备份，可以有效应对数据中心区域性灾难导致的数据丢失风险。9.对于第三级网络系统，运营者应当每年至少开展一次等级保护测评。10.数据安全管理仅是安全技术部门的责任，业务部门无需参与。四、简答题（每题5分，共20分）1.简述数据分类分级的基本流程。2.简述数据备份“3-2-1”策略的含义。3.根据《中华人民共和国数据安全法》，列举至少四项数据安全核心制度。4.根据《中华人民共和国个人信息保护法》，个人信息处理者在处理个人信息前应当向个人告知哪些内容？五、案例分析题（每题15分，共30分）1.某电商平台发生用户数据泄露事件，初查发现：数据库使用统一弱口令，运维账号root可从公网直接远程登录；生产数据库与测试数据库共用同一账号、同一密码；系统日志仅保留20天，且未开启数据库审计日志。请指出该场景中存在的安全隐患，并给出整改建议。2.某跨国企业总部位于欧洲，其中国子公司被认定为关键信息基础设施运营者。该子公司拟将在我国境内收集的员工个人信息（含身份证号码）传输至境外总部，用于统一人事管理。该企业负责人认为：“员工已经签署同意书，因此可直接向境外传输。”参考答案与解析一、单项选择题1.答案：B2.答案：A解析：《数据安全法》第二十一条规定，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。3.答案：A4.答案：A解析：AES-256是对称加密算法，可加密静态数据；MD5、SHA-1是哈希算法；Base64仅是一种编码，不具备机密性保护能力。5.答案：C6.答案：A7.答案：B解析：《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。8.答案：A9.答案：C解析：数据生命周期一般包括采集、存储、使用、加工、传输、提供、公开、销毁等环节；“交易”不属于标准生命周期阶段。10.答案：C11.答案：B12.答案：B13.答案：A14.答案：B解析：硬件安全密钥基于公钥密码和挑战-响应机制，能够有效抵御钓鱼攻击；短信验证码和密保问题均存在被劫持或社工获取的风险。15.答案：C16.答案：B17.答案：C18.答案：B解析：第三级网络系统每年至少测评1次；第四级网络系统每半年至少测评1次，即每年至少2次。19.答案：B20.答案：C二、多项选择题1.答案：A、B解析：法律对数据的定义是“任何以电子或者非电子形式对信息的记录”，并不局限于重要数据或个人隐私信息。2.答案：A、B、C、D解析：掩码、替换、随机化、泛化都是常见脱敏方式，可根据数据特征和业务需求组合使用。3.答案：A、B、C解析：敏感个人信息包括宗教信息、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息等。电子邮箱地址一般不属于敏感个人信息。4.答案：A、B、C5.答案：A、B、C解析：D属于技术防护措施，不属于管理措施。6.答案：A、B、C解析：RPO决定允许丢失的数据量，RTO决定允许中断的时间，备份窗口影响备份策略安排；服务器品牌与备份能力设计无直接关系。7.答案：A、B、C、D8.答案：A、B、C解析：个人信息出境必须符合法定路径；本人同意是必要前提之一，但不能替代安全评估、认证或标准合同等法定条件，更不能单独作为出境依据。9.答案：A、B、C、D10.答案：A、B、C解析：零信任的核心是打破默认信任，强调持续验证、最小权限和被攻击假设；静态口令虽可用于认证，但不能作为零信任架构的唯一控制措施。三、判断题1.答案：错误解析：内部网络同样存在越权访问、恶意软件、内部人员泄露、弱口令被破解等风险。2.答案：正确3.答案：错误解析：加密保护的是数据机密性，访问控制决定谁能访问数据，两者互为补充，不能互相替代。4.答案：错误解析：重要数据目录由国家数据安全工作协调机制统筹有关部门制定，地方、行业主管部门也会结合实际情况确定本地区、本行业的重要数据具体目录。5.答案：正确6.答案：错误解析：脱敏可能是可逆的或弱化的，只有达到“匿名化”标准，即无法识别特定个人且不能复原的信息，才不再属于个人信息。7.答案：错误解析：邮件中的恶意链接也可能导致中招；部分攻击还可利用邮件预览漏洞触发，不能简单以“不点击附件”作为唯一防护手段。8.答案：正确9.答案：正确10.答案：错误四、简答题1.答案：（1）数据资产盘点：梳理数据源、数据类型、数据量、存储位置及责任人；（2）数据分类：按业务领域、数据主体、数据用途等维度进行归类；（3）数据分级：结合数据一旦遭到篡改、破坏、泄露或非法利用后可能造成的危害程度，确定数据级别；（4）形成数据目录并评审发布：编制数据分类分级清单，经业务、安全、法务等评审后生效实施；（5）动态更新：当数据资产、业务场景或安全要求发生变化时，及时调整分类分级结果。2.答案：至少保留3份数据副本（1份生产数据+2份备份数据），使用2种不同的存储介质（如磁盘、磁带、云存储），其中1份存储在异地。这样可以在硬件故障、误操作、勒索攻击或区域性灾难发生时，最大限度降低数据丢失风险。3.答案：（1）数据分类分级保护制度；（2）重要数据保护与目录管理制度；（3）数据安全审查制度；（4）数据安全风险评估制度；（5）数据安全应急处置制度；（6）数据出境安全管理制度。4.答案：（1）个人信息处理者的名称或者姓名和联系方式；（2）处理目的、处理方式、处理的个人信息种类及保存期限；（3）个人行使法定权利的方式和程序；（4）法律、行政法规规定应当告知的其他事项；（5）向第三方提供或公开个人信息的，还应当告知接收方的名称、联系方式、处理目的、处理方式和个人信息种类；处理敏感个人信息的，还应当告知处理敏感个人信息的必要性以及对个人权益的影响。五、案例分析题1.答案：（1）主要安全隐患：•弱口令、root公网远程登录：攻击者容易通过暴力破解获得超级管理员权限，直接访问或窃取全部用户数据；•生产与测试环境共用账号密码：违反环境隔离与最小权限原则，测试人员可能越权访问生产数据，且难以追溯具体操作者；•日志保留期过短、缺少审计日志：事件发生后无法还原攻击路径和操作行为，也不满足网络日志留存不少于6个月的法定要求。（2）整改建议：•禁用root远程登录，数据库账户使用高强度口令并定期轮换，启用多因素认证；同时在防火墙或安全组层面限制数据库仅允许受信任IP和运维跳板机访问；•将生产环境与测试环境严格隔离，配置独立账号和独立权限；生产数据库账号遵循最小权限原则，按岗位职责分配只读、修改或管理权限；•开启数据库审计功能，记录登录、查询、修改、删除、导出等关键操作，日志集中存储并防止篡改，保留期限不少于6个月；•对重要敏感字段实施加密存储和动态脱敏，定期开展渗透测试与数据安全风险评估，建立数据泄露应急响应和通报机制。解析：本题重点考查数据安全中的访问控制、环境隔离、审计留痕和纵深防御。弱口令与公网暴露属于高风险漏洞，环境混用破坏职责分离，日志缺失则影响安全事件追溯，因此整改需从身份认证、权限管理、审计