2026年征信信息安全管理与合规考试试题及答案

2026年征信信息安全管理与合规考试试题及答案一、单项选择题（每题1分，共20分）1.《征信业管理条例》自2013年3月15日起施行，其制定依据是（）。A.《中华人民共和国宪法》B.《中华人民共和国中国人民银行法》C.《中华人民共和国民法典》D.《中华人民共和国数据安全法》答案：B解析：《征信业管理条例》第一条明确，其制定依据是《中华人民共和国中国人民银行法》等有关法律、行政法规。2.从事个人征信业务，应当依法取得（）颁发的个人征信业务经营许可证。A.国务院B.中国人民银行C.国家金融监督管理总局D.国家发展和改革委员会答案：B3.征信机构采集个人信息，应当经信息主体（）同意。A.口头B.书面C.明示D.默示答案：C解析：《个人信息保护法》要求处理个人信息应取得个人"同意"（明示授权）；《征信业管理条例》亦规定采集个人信息须经信息主体本人同意，且以明示方式作出。4.征信机构对个人不良信息的保存期限，自不良行为或者事件终止之日起为（）年；超过该期限的，应当予以删除。A.3B.5C.7D.永久答案：B5.信息主体认为征信机构采集、保存、提供的信息存在错误、遗漏的，有权向征信机构或者信息提供者提出（）。A.申诉B.异议C.诉讼D.举报答案：B6.征信机构或者信息提供者收到异议后，应当自收到异议之日起（）日内进行核查和处理，并将结果书面答复异议人。A.5B.10C.20D.30答案：C解析：《征信业管理条例》第二十五条规定，异议核查处理期限为收到异议之日起20日内，书面答复异议人。7.信息提供者向征信机构提供个人不良信息，应当事先告知信息主体本人。但是，依照法律、行政法规规定（）的除外。A.可以省略B.公开的信息C.该信息已对外披露D.不需要告知答案：B解析：《征信业管理条例》第十五条规定例外情形为"依照法律、行政法规规定公开的信息"。8.未经个人信息主体同意，征信机构不得采集的信息不包括（）。A.收入B.存款C.有价证券D.不动产信息答案：D解析：条例第十四条禁止采集的信息包括收入、存款、有价证券、商业保险、不动产信息等，但明确告知信息主体提供该信息可能产生的不利后果并取得其书面同意的除外。本题问"不包括"，D项不动产属于可经书面同意采集的财产信息，不在绝对禁止之列。9.向征信机构查询个人信息的，应当取得信息主体本人的（）。A.口头同意B.书面同意C.明示同意D.默示同意答案：C解析：《征信业管理条例》第十八条规定，向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途。此处法律强制的是"书面形式"，2013年后人行相关规范进一步强调"明示同意"。本题按法规原文选书面同意更准确。答案（修订）：B《征信业管理条例》第十八条原文明确要求"书面同意并约定用途"。后出台的《征信业务管理办法》沿袭此要求。10.征信机构不得采集的个人信息中，不包括（）。A.宗教信仰B.基因信息C.指纹信息D.学历信息答案：D解析：《征信业管理条例》第十四条禁止采集宗教信仰、基因、指纹、血型、疾病等个人信息；学历属于教育背景信息，在取得同意的前提下可以采集。11.《个人信用信息基础数据库管理暂行办法》规定，商业银行越权查询个人信用报告，由中国人民银行责令改正，并可处以（）罚款。A.1万元以上3万元以下B.1万元以上5万元以下C.2万元以上5万元以下D.3万元以上10万元以下答案：A解析：《个人信用信息基础数据库管理暂行办法》第四十条规定，越权查询、违规查询的，由中国人民银行责令改正，并处1万元以上3万元以下罚款。12.商业银行管理员用户、数据上报用户和查询用户的创建及维护，应当由（）负责。A.商业银行信贷部门B.商业银行科技部门C.商业银行内设的征信管理部门或指定部门D.中国人民银行征信中心答案：C13.企业信用报告和个人信用报告在查询管理上的主要区别是（）。A.企业信用报告无需授权即可查询B.查询企业信用报告应当取得企业法定代表人本人书面同意C.个人信用报告查询无需授权D.两者查询规则完全相同答案：B14.信息使用者应当按照（）使用个人信息，不得违反约定用途。A.自身的业务需要B.与个人信息主体约定的用途C.征信机构的建议D.监管部门的指导意见答案：B15.金融信用信息基础数据库运行机构对征信信息主体的个人信息的安全保护责任包括（）。A.仅需确保数据存储安全B.建立健全信息安全管理制度，保障信息不被泄露、篡改、毁损C.仅在发生泄密事件后才整改D.无需对信息使用者进行监督答案：B16.发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人，通知时间要求是（）。A.立即B.24小时内C.48小时内D.72小时内答案：A解析：《个人信息保护法》第五十七条规定"应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人"，未设置缓冲期。17.《个人信息保护法》规定，处理个人信息达到国家网信部门规定数量的个人信息处理者，应当指定（），负责对个人信息处理活动以及采取的保护措施等进行监督。A.安全负责人B.个人信息保护负责人C.合规总监D.外部审计师答案：B18.向境外提供个人征信信息，应当（）。A.经信息主体口头同意后直接提供B.依法通过国家网信部门组织的安全评估C.由征信机构自行决定D.经中国人民银行征信中心审批后即可答案：B解析：个人征信信息属于个人信息出境管理范围，须依据《个人信息保护法》《数据出境安全评估办法》履行安全评估等法定程序，不能仅凭主体同意或内部审批。19.征信从业人员在查询个人信用报告后，以下做法正确的是（）。A.因工作需要与同事讨论客户信用信息B.将查询结果保存在个人移动介质中C.在授权范围内用于约定业务并妥善保管相关材料D.将客户信用信息发送至外部数据公司用于风控建模答案：C20.根据《征信业务管理办法》，征信机构应当取得企业征信业务备案的，若未按规定办理备案，中国人民银行分支机构可处以（）。A.警告并罚款3万元以下B.罚款5万元以上10万元以下C.责令限期改正，逾期不改正的处2万元以上20万元以下罚款D.吊销营业执照答案：C二、多项选择题（每题2分，共20分）1.下列属于《个人信息保护法》规定的个人信息处理基本原则的有（）。A.合法、正当、必要和诚信原则B.目的明确原则C.最小范围原则D.公开透明原则E.权责一致原则答案：ABCDE解析：上述五项均属《个人信息保护法》第五条至第九条确立的基本原则，征信业务处理个人信息同样须遵循。2.征信机构、金融信用信息基础数据库运行机构及其工作人员不得（）信息主体的个人信息。A.非法提供B.非法采集C.非法使用D.篡改E.毁损答案：ABCDE3.下列哪些情形属于违反《征信业管理条例》规定，对个人造成损失的，应当依法承担民事责任？（）A.征信机构采集禁止采集的个人信息B.未经同意查询个人信息C.信息使用者违反约定用途使用个人信息D.征信机构未按规定删除超过保存期限的不良信息E.信息提供者未按规定告知信息主体不良信息报送事项答案：ABCDE解析：上述行为均侵害信息主体合法权益，构成侵权，依据条例第四十四条及相关民事法律规定应承担民事责任。4.商业银行查询个人信用报告时，以下哪些情形属于合规查询？（）A.审核个人贷款申请B.审核个人贷记卡（信用卡）申请C.对已发放的个人信贷进行贷后风险管理D.受理法人或其他组织作为保证人的担保业务查询担保人信用报告E.在未经授权的情况下查询潜在营销客户信用报告答案：ABCD解析：E项"未经授权用于营销"属于违规查询。商业银行查询个人信用报告必须基于信贷业务相关用途并取得授权，不得用于市场营销。5.征信信息安全管理的"四类用户"包括（）。A.管理员用户B.查询用户C.报送用户D.异议处理用户E.审计用户答案：ABCD解析：人行征信系统用户体系通常指管理员用户、数据上报用户、查询用户、异议处理用户四类，均由专人负责并设置权限。6.依据《个人信息保护法》，处理个人信息前，个人信息处理者应当以显著方式、清晰易懂的语言真实、准确、完整地告知信息主体下列哪些事项？（）A.个人信息处理者的名称和联系方式B.处理个人信息的目的、方式C.处理的个人信息种类、保存期限D.个人行使法定权利的方式和程序E.全部业务合作方的内部管理架构答案：ABCD解析：告知事项包括处理者身份与联系方式、目的与方式、信息种类与保存期限、权利行使方式等，E项不属于法定告知内容。7.征信机构应当采取下列哪些技术措施确保征信系统安全运行？（）A.数据加密传输B.访问控制与身份鉴别C.操作日志记录D.数据备份与恢复机制E.网络安全等级保护答案：ABCDE8.下列哪些主体属于《征信业管理条例》规定的"信息提供者"？（）A.商业银行B.小额贷款公司C.融资性担保公司D.电信运营商E.从事信用信息采集、整理、保存的征信机构答案：ABCD解析：信息提供者指向征信机构提供信息的单位和个人，通常是信贷机构及其他掌握信用信息的机构；征信机构本身是"征信机构"角色，而非信息提供者。9.个人信用信息基础数据库中用于标识信息主体身份的信息包括（）。A.姓名B.证件类型与证件号码C.工作单位D.婚姻状况E.联系方式答案：ABCDE解析：上述均为信用报告中用于识别个人身份的基本信息要素，但需注意工作单位、婚姻状况、联系方式等在采集时须依法取得授权。10.信息使用者发生征信信息泄露事件后，正确的处置措施包括（）。A.立即删除相关数据并修改访问权限B.及时向中国人民银行及其分支机构报告C.对事件进行内部调查，评估影响范围D.按要求通知受影响的个人信息主体E.隐瞒事件直至监管机构约谈答案：ABCD三、判断题（每题1分，共20分）1.征信机构采集个人收入信息，只要信息主体口头同意即可采集。答案：错误解析：条例规定须"明确告知信息主体提供该信息可能产生的不利后果，并取得其书面同意"方可采集。2.金融信用信息基础数据库查询个人信用报告，可以由第三人持信息主体身份证件复印件代办查询。答案：错误解析：个人信用报告查询原则上须由信息主体本人办理，委托他人代办须提供经过公证的授权委托书。3.不良信息保存期限届满后，征信机构应当主动删除，无需信息主体另行申请。答案：正确4.商业银行查询用户可以将自己的用户代码和密码提供给客户经理用于业务查询。答案：错误解析：查询用户实行"一人一号、专人专用"，禁止转借或共用。5.企业征信机构在开展企业征信业务前，无须向中国人民银行备案。答案：错误解析：设立企业征信机构应当向中国人民银行或其分支机构办理备案。6.征信机构应当对个人信息操作行为进行记录，记录保存时间自操作之日起不少于5年。答案：正确解析：《征信业务管理办法》要求对个人信用信息的查询、修改、删除等操作留痕，日志保存不少于5年。7.信息提供者违反规定向征信机构提供非依法公开的个人不良信息，未事先告知信息主体的，由中国人民银行责令改正，情节严重的可处以罚款。答案：正确8.金融信用信息基础数据库用户管理规定中，查询用户的权限可以由管理员用户根据业务需要随时扩大，无需审批记录。答案：错误解析：用户权限变更须履行审批程序并留痕，不得随意扩大查询权限。9.商业银行在贷后风险管理中可以不经信息主体授权查询其信用报告。答案：正确解析：依据《个人信用信息基础数据库管理暂行办法》，贷后风险管理属于允许查询的用途之一，但仍须在授权书载明的业务范围之内。10.征信从业人员离岗后，应当在1个月内完成用户代码注销。答案：错误解析：从业人员调离、离岗的，应立即注销其用户，不应设1个月缓冲期。11.《个人信息保护法》仅适用于个人信息处理者，不适用于国家机关处理个人信息的活动。答案：错误解析：该法明确规定国家机关处理个人信息的活动同样适用，并在专门章节作出规定。12.向征信机构提供个人不良信息时，信息提供者可以通过公告方式一次性告知所有信息主体，无需逐一告知。答案：错误解析：条例要求"事先告知信息主体本人"，公告方式不满足"告知本人"的法定要求。13.异议处理期间，征信机构可以暂停对外提供该异议信息的查询服务。答案：正确解析：异议处理期间，相关信息应标注异议状态，防止因信息争议造成进一步损害。14.征信机构、信息提供者和信息使用者可以通过合同约定方式免除自身因信息安全责任造成损失后的赔偿责任。答案：错误解析：涉及个人信息保护的法定义务和责任不得通过合同约定排除，此类约定无效。15.人民银行分支机构可以对辖内征信机构的征信信息安全情况进行现场检查。答案：正确16.个人征信业务中，征信机构可以将收集的个人信息用于与征信业务不相关的产品营销。答案：错误解析：个人信息处理应遵循目的限制原则，不得超出约定用途使用。17.数据出境安全评估结果的有效期为2年，有效期届满需要继续向境外提供个人征信信息的，应当重新申请评估。答案：正确18.征信机构有重大信息安全风险的，中国人民银行可以约谈其法定代表人或者主要负责人。答案：正确19.信息主体对征信机构作出的异议处理结果不满意，只能向人民法院提起诉讼，不能向人民银行投诉。答案：错误解析：信息主体可以向所在地中国人民银行分支机构投诉，也可以直接起诉。20.企业征信机构备案后即可从事个人征信业务，无需另行申请个人征信业务许可证。答案：错误解析：企业征信备案与个人征信许可为两类不同资质，从事个人征信业务必须单独取得许可。四、简答题（每题10分，共20分）1.简述征信机构在个人征信业务中应当履行的信息安全保护义务。答案：（1）建立信息安全管理制度，明确岗位职责与人员管理要求。（2）采取必要的技术措施，包括身份鉴别、访问控制、数据加密、日志审计、数据备份等，保障征信系统安全运行。（3）定期开展信息安全风险评估、安全审计和应急演练，及时处置安全漏洞和事件。（4）对个人信息的采集、保存、加工、对外提供等全流程落实最小必要原则和目的限制原则。（5）发生或者可能发生信息泄露、篡改、丢失时，立即采取补救措施，按规定向监管部门报告并通知信息主体。（6）确保操作日志保存不少于5年，配合监管部门的检查与调查。解析：答题应从制度、技术、流程、应急四个维度展开，结合《征信业管理条例》《征信业务管理办法》《个人信息保护法》交叉考察。2.商业银行查询个人信用报告时，应遵守哪些合规要求？答案：（1）用途合规：仅限于审核信贷业务申请、贷后风险管理、异议核查等法定用途，不得用于其他目的。（2）授权合规：查询个人信用报告前须取得信息主体本人书面授权，授权应明确查询用途和使用范围。（3）用户管理合规：管理员用户、查询用户等实行专人专用、权限分离，用户代码不得转借、共用。（4）查询留痕：完整记录查询操作，保留授权资料备查，日志保存期限符合规定。（5）信息安全：查询获取的信息仅限约定用途使用，不得违规保存、复制、传播或对外提供。（6）人员管理：经办人员须经过征信业务培训并签署保密承诺，离岗及时注销权限。五、综合分析题（20分）某商业银行客户经理张某为完成信用卡营销指标，利用职务便利获取本行125名客户的身份证复印件，在客户未签署授权书的情况下，通过同事李某的查询用户代码批量登录个人信用信息基础数据库查询信用报告，并将部分报告信息提供给第三方信用卡代办中介用于确认客户资质。事后，该行在内部审计中发现多笔查询操作缺乏授权资料。请回答问题：（1）本案例中存在哪些违法违规行为？（10分）（2）依据相关法律法规，张某、李某及该商业银行分别可能承担哪些法律责任？（10