数据安全知识试题及答案

数据安全知识试题及答案一、单项选择题（每题2分，共20分）1.《中华人民共和国数据安全法》正式施行的时间是？A.2017年6月1日B.2020年1月1日C.2021年9月1日D.2022年1月1日答案：C解析：《数据安全法》于2021年6月10日表决通过，自2021年9月1日起施行。A为《网络安全法》的施行时间，B为《密码法》的施行时间。2.根据《数据安全法》，国家建立数据分类分级保护制度，下列哪类数据应当实行重点保护？A.一般数据B.重要数据C.公开数据D.衍生数据答案：B解析：《数据安全法》第二十一条规定，对列入重要数据目录的数据实行重点保护，对国家核心数据实行更加严格的管理制度。3.根据《个人信息保护法》，处理敏感个人信息应当满足下列哪项要求？A.取得个人同意即可，无须单独告知B.在隐私政策中概括说明即可C.取得个人的单独同意，并告知处理必要性及对个人权益的影响D.经企业内部数据安全委员会审批通过即可答案：C解析：《个人信息保护法》第二十九条要求，处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定。4.下列哪项措施最能降低勒索软件攻击造成的数据损失？A.安装单机杀毒软件B.建立定期离线备份机制C.设置终端屏幕锁定口令D.关闭系统防火墙答案：B解析：勒索软件通过加密在线数据实施勒索，离线备份可保证业务数据被加密后仍能恢复，从而最大限度降低损失。5.在开发测试等非生产环境中使用包含真实手机号、身份证号的数据时，最合适的安全措施是？A.数据加密B.数据脱敏C.数据压缩D.数据镜像答案：B解析：数据脱敏可在保持数据格式和可用性的前提下降低数据敏感度，更适用于开发测试场景；数据加密虽能保护数据，但会影响数据的可用性与处理效率。6.根据《个人信息保护法》，处理不满十四周岁未成年人的个人信息，应当取得下列哪类主体的同意？A.未成年人本人B.未成年人所在学校C.未成年人父母或者其他监护人D.未成年人所在社区答案：C7.关于最小权限原则在数据访问控制中的实践，下列做法正确的是？A.为方便协作，向全体员工开放核心数据库读写权限B.按岗位职责为员工分配完成工作所必需的最小数据权限C.所有管理员共用同一个高权限账号D.员工离职后保留其原有数据访问权限答案：B8.关键信息基础设施运营者确需向境外提供在境内运营中收集的个人信息时，应当采用下列哪种方式？A.自行开展风险分析后直接传输B.通过国家网信部门组织的安全评估C.经企业内部法务审核后直接传输D.向用户发送邮件告知后即可传输答案：B解析：《网络安全法》第三十七条和《个人信息保护法》第四十条均规定，关键信息基础设施运营者向境外提供个人信息和重要数据，应当依法通过国家网信部门组织的安全评估。9.AES-256算法属于下列哪一类密码技术？A.对称加密算法B.非对称加密算法C.哈希算法D.数字签名算法答案：A解析：AES是分组对称加密算法，加密与解密使用同一密钥；RSA、ECC属于非对称加密，SHA-256属于哈希算法。10.按照"3-2-1"备份原则，下列描述正确的是？A.保留3份数据副本，使用2种不同介质存储，其中1份存放在异地B.保留2份数据副本，使用3种不同介质存储，其中1份存放在异地C.保留3份数据副本，使用1种介质存储，分别存放在2个位置D.每天备份3次，使用2份介质，保留1个星期答案：A二、多项选择题（每题3分，共30分）1.根据《数据安全法》，下列属于国家数据安全工作基本制度的有？A.数据分类分级保护制度B.数据安全审查制度C.数据安全风险评估制度D.数据交易禁止制度答案：ABC解析：《数据安全法》确立了数据分类分级保护、数据安全审查、数据安全风险评估、数据安全应急处置、数据安全监管等核心制度。法律并未禁止数据交易，而是对数据交易中介服务机构设置了审核交易双方身份、留存交易记录等合规义务，故D错误。2.根据《个人信息保护法》，个人信息处理应当遵循的原则包括？A.告知—同意规则B.最小必要原则C.目的限制原则D.无限期保存原则答案：ABC解析：D错误。个人信息的保存期限应为实现处理目的所必需的最短时间，超过保存期限应当删除或者匿名化处理。3.下列选项中，属于常见数据安全威胁的有？A.内部人员违规导出敏感数据B.勒索软件加密业务数据C.SQL注入攻击导致数据泄露D.定期变更数据库口令答案：ABC解析：D属于安全防护措施，不属于数据安全威胁。4.数据全生命周期管理通常涵盖下列哪些环节？A.数据采集B.数据传输与存储C.数据使用与共享D.数据删除与销毁答案：ABCD解析：数据生命周期一般包括采集、传输、存储、使用、加工、共享、删除与销毁等环节，各环节均存在相应的安全风险，需要全流程管控。5.编制数据安全事件应急预案时，一般应包括下列哪些内容？A.应急组织架构与职责分工B.事件分级标准与响应流程C.具体的应急处置措施D.事后恢复、溯源与总结改进安排答案：ABCD解析：应急预案是数据安全事件响应的行动指南，上述四项均为预案的必备模块，此外还应有应急资源保障和演练安排。6.下列属于常用数据脱敏技术的有？A.数据替换（置换）B.数据泛化C.数据加密D.数据遮蔽（掩码）答案：ABD解析：常用脱敏技术包括替换、遮蔽、泛化、随机化等，目的是降低数据敏感度并保持可用性；数据加密属于密码保护技术，不属于脱敏技术，故C错误。7.开展数据安全风险评估时，通常包括下列哪些工作内容？A.识别并梳理数据资产，明确数据分类分级B.分析数据面临的威胁与存在的脆弱性C.评估安全事件发生的可能性及影响程度，判定风险等级D.提出风险处置建议并跟踪整改落实答案：ABCD解析：风险评估以数据资产识别为基础，通过威胁与脆弱性分析判定风险等级，并提出处置建议，上述选项构成完整的评估闭环。8.根据《网络安全法》第二十一条，网络运营者应当采取的安全保护措施包括？A.制定内部安全管理制度和操作规程，确定网络安全负责人B.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施C.采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存网络日志不少于六个月D.采取数据分类、重要数据备份和加密等措施答案：ABCD解析：上述四项直接对应《网络安全法》第二十一条规定的网络运营者安全保护义务，覆盖管理制度、技术措施、日志留存和数据保护等方面。9.关于密钥管理，下列做法正确的有？A.加密密钥与加密数据分开存储B.定期更换密钥，并安全销毁废弃密钥C.建立密钥备份与恢复机制D.将密钥明文保存在代码仓库中，便于维护答案：ABC解析：密钥明文写入代码仓库极易造成密钥泄露，属于严重违规，应使用密钥管理系统（KMS）统一管理，故D错误。10.数据导出到外部环境前，应当完成下列哪些安全检查？A.核实导出人员的数据访问权限并履行审批程序B.对敏感字段进行脱敏或者加密处理C.记录导出日志，便于事后审计追溯D.为方便操作，无须审批直接批量导出答案：ABC三、判断题（每题1分，共10分）1.《数据安全法》所称数据，是指任何以电子或者非电子形式对信息的记录。答案：正确解析：这是《数据安全法》第三条对数据作出的法定定义，范围覆盖电子数据与非电子数据。2.个人信息经过匿名化处理后，仍属于个人信息，继续适用《个人信息保护法》。答案：错误解析：匿名化处理后的信息无法识别或者关联到特定个人，不再属于个人信息，不属于《个人信息保护法》的适用范围。3.在数据分类分级工作中，只有重要数据需要定级，一般数据可以不定级。答案：错误解析：数据分类分级覆盖数据处理者掌握的全部数据，一般数据同样需要定级并实施相应的基础性保护。4.HTTPS协议通过TLS加密通信内容，能够有效防止传输数据被窃听者以明文方式获取。答案：正确5.数据备份的频率越高越好，无须考虑存储成本和恢复效率。答案：错误6.发生数据安全事件时，数据处理者应当立即采取处置措施，并按照规定及时告知用户、向有关主管部门报告。答案：正确7.原则上，网络运营者不得存储原始个人生物识别信息，确需存储时应使用不可逆的摘要信息代替。答案：正确解析：依据《信息安全技术个人信息安全规范》（GB/T35273-2020），个人生物识别信息原则上不应存储原始信息，确需存储时应采用不可逆技术处理后保存。8.数据销毁时，只需删除数据库中的记录即可，无须处理备份介质和日志中的残留数据。答案：错误9.公共数据开放应遵循"以开放为常态、不开放为例外"的原则。答案：正确10.数据安全风险评估只需在信息系统上线前开展一次，后续无须再次评估。答案：错误解析：《数据安全法》第三十条要求重要数据的处理者定期开展风险评估；同时，在数据处理目的、处理方式、数据类别发生重大变化时，也应当重新开展评估。四、简答题（每题5分，共20分）1.简述数据安全的定义，并列举数据处理者应当履行的主要数据安全保护义务。答案：数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。数据处理者应当履行的主要保护义务包括：（1）建立健全全流程数据安全管理制度，组织开展数据安全教育培训，落实数据安全保护责任；（2）按照数据分类分级要求，对列入目录的重要数据实行重点保护，对国家核心数据实行更加严格的管理制度；（3）采取加密、访问控制、脱敏、备份等必要的技术措施，防止数据泄露、篡改和丢失；（4）定期开展数据安全风险评估，并针对评估发现的风险采取处置措施；（5）发现数据安全缺陷、漏洞时立即采取补救措施，发生数据安全事件时立即处置，并按照规定及时告知用户、向有关主管部门报告。2.简述数据分类分级保护的基本流程。答案：（1）数据资产盘点：全面梳理数据源、数据库和数据项，摸清数据资产底数，形成数据资产清单；（2）数据分类：根据业务属性、数据主题和敏感程度，将数据划分为个人信息、业务数据、运营管理数据、技术数据等类别；（3）数据定级：综合考虑数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益以及个人、组织合法权益造成的危害程度，将数据划分为一般数据、重要数据、核心数据等级别；（4）分级保护：对不同级别数据制定差异化安全策略，对重要数据和核心数据实行重点保护、从严管理；（5）动态更新：定期复核数据分类分级结果，根据业务变化和数据敏感度变化及时调整。3.简述常用数据脱敏技术及其适用场景。答案：（1）替换（置换）：使用格式一致的虚构值替代真实数据，适用于开发测试环境；（2）遮蔽（掩码）：对敏感字段局部进行掩码显示，如将手机号显示为138**1234，适用于客服、展示等场景；（3）泛化：将精确值模糊化为范围或类别，如将精确年龄处理为年龄段，适用于统计分析；（4）随机化：在保持数据统计特征的前提下随机扰动数值，适用于数据建模和算法训练。上述技术主要应用于开发测试、数据共享、外包分析、报表展示等非生产场景，在不影响数据可用性的前提下降低数据敏感度。4.简述数据安全事件应急处置的基本流程。答案：（1）启动预案：立即启动数据安全事件应急预案，明确应急指挥与分工；（2）抑制事态：采取断网隔离、关停服务、冻结账号等措施，防止事件影响扩大；（3）分析研判：排查事件原因、传播途径和影响范围，评估事件危害等级；（4）报告告知：按照规定及时向有关主管部门报告，并及时告知可能受影响的用户；（5）恢复业务：修复安全漏洞，恢复受影响的数据和业务系统，尽快恢复正常运行；（6）整改总结：开展事件溯源和取证，消除安全隐患，完善管理制度和应急预案，防止类似事件再次发生。五、案例分析题（每题10分，共20分）1.某电商平台发生数据泄露事件，大量用户手机号、收货地址和订单记录被窃取。调查发现：①平台开发环境与生产环境共用一套数据库超级管理员账号，口令为"123456"且长期未更换，账号口令明文记录在内部开发文档中；②数据库服务器未开启访问审计日志，无法追溯数据的访问和导出行为；③公司没有制定数据安全管理制度，未开展过数据安全风险评估，也未编制数据安全事件应急预案。请回答：（1）结合相关法律法规，指出该公司存在的数据安全违规问题（至少三项）；（6分）（2）提出针对性的整改措施（至少四项）。（4分）答案：（1）该公司存在的主要违规问题包括：①使用弱口令并明文存储账号口令，开发与生产环境共用超级管理员账号，未落实访问控制和最小权限原则，未采取保障数据安全所必需的技术措施，违反《数据安全法》第二十七条和《网络安全法》第二十一条的规定；②未开启数据库访问审计日志，无法留存网络日志、追溯数据访问行为，违反《网络安全法》第二十一条关于留存网络日志不少于六个月的规定；③未建立健全全流程数据安全管理制度，未定期开展数据安全风险评估，未制定数据安全事件应急预案，违反《数据安全法》第二十七条、第三十条的规定；④对用户个人信息未采取必要的安全保护措施，导致大量个人信息泄露，违反《个人信息保护法》第五十一条关于个人信息处理者应当采取相应安全技术措施的规定。（2）针对性整改措施：①实行开发与生产环境隔离，撤销共用超级管理员账号，按最小权限原则为不同岗位配置独立账号，落实分级授权和审批机制；②启用强口令策略和多因素认证，严禁口令明文存储，并定期更换口令；③开启数据库审计日志并留存不少于六个月，部署入侵检测、数据防泄露等安全监测工具，实现数据访问行为全程可追溯；④建立数据分类分级管理制度，识别重要数据和个人信息，明确各环节安全管理责任人和操作规范；⑤编制数据安全事件应急预案并定期组织演练，常态化开展数据安全风险评估和安全教育培训。解析：本题考查数据安全事件中暴露的管理与技术缺陷，应围绕"访问控制与口令管理""审计日志留存""管理制度与风险评估"三条主线，逐项对应法律法规条款进行定性。整改措施应从"人防+技防+制度防"三个维度提出，并与违规问题一一对应，做到问题、依据、措施相衔接。2.某跨境物流公司在中国境内运营中收集了大量个人信息（包括姓名、身份证号、手机号、位置轨迹等），同时因业务管理需要汇总形成了一批涉及港口吞吐量和货运流向的统计数据。经主管部门认定，该批统计数据已列入重要数据目录。该公司拟将上述个人信息和统计数据一并传输至境外总部数据中心进行统一分析处理。请回答：（1）该公司向境外传输上述两类数据，分别应当满足哪些法律要求？（6分）（2）在实施数据出境前，该公司应当完成哪些合规程序？（4分）答案：（1）法律要求：①对个人信息（含身份证号、位置轨迹等