2026年政务数据安全防护试题及答案

2026年政务数据安全防护试题及答案一、单项选择题（每题1分，共20分）1.《中华人民共和国数据安全法》自（）起施行。A.2021年6月10日B.2021年7月1日C.2021年9月1日D.2022年1月1日2.政务数据分类分级保护制度的直接法律依据是（）。A.网络安全法B.数据安全法C.个人信息保护法D.保守国家秘密法3.政务信息系统之间共享数据的总体要求是（）。A.以不共享为原则、共享为例外B.以共享为原则、不共享为例外C.以公开为原则、保密为例外D.以保密为原则、公开为例外4.政务部门在处理个人信息前，除法律、行政法规另有规定外，应当取得个人的（）。A.书面授权B.同意C.审批D.登记5.下列哪项属于敏感个人信息？A.手机号码B.行踪轨迹C.学历信息D.婚姻状况6.政务信息系统宜采用的身份鉴别方式是（）。A.仅静态口令B.多因素认证C.明文传输口令D.同一账号多人共用7.按岗位职责分工设置数据访问权限，最常采用的模型是（）。A.自主访问控制B.强制访问控制C.基于角色的访问控制D.基于口令的控制8.保障政务数据在传输过程中不被窃听、篡改，应主要采用（）。A.数据脱敏B.传输加密C.访问控制D.日志审计9.容灾指标中，RPO（恢复点目标）是指（）。A.灾难发生后恢复系统所需的时间B.可容忍的最大数据丢失量C.备份数据需要存放的最短时长D.从灾备站点到生产站点的距离10.政务数据安全风险评估宜由（）实施，以保证结果客观、独立。A.数据使用部门自行开展B.系统开发商的运维团队C.具备相应能力的第三方专业机构D.上级主管部门内设安全小组11.政务部门采购云服务时，应与云服务商明确约定（）。A.双方的安全责任边界B.服务商对外提供数据的权限C.服务商可以自由使用数据D.只需口头约定安全事项12.发现政务数据存在被窃取、泄露风险时，应当（）。A.等待检查发现后再处理B.立即采取补救措施并按规定报告C.自行修复且无需报告D.先删除涉事数据13.对外提供含身份证号的数据集前，较为稳妥的处理方式是（）。A.直接提供B.匿名化处理C.加密后连密钥一并提供D.仅截取生日后八位14.异地容灾备份主要用于（）。A.提升业务系统的运行速度B.抵御区域性灾难造成的数据丢失C.减少磁盘占用空间D.替代本地每日备份15.政务云平台中，不同单位租户之间的数据隔离主要依靠（）。A.统一账号管理B.网络隔离与访问控制C.共享数据库实例D.相互开放安全组接口16.依据网络安全法，网络运行日志留存时间不得少于（）。A.3个月B.6个月C.9个月D.12个月17.为降低数据库被“拖库”后的数据泄露风险，应当（）。A.对数据库用户名加密存储B.对敏感字段加密存储C.对数据库口令明文保存D.对全部字段不加密18.需要保留数据间关联关系以便进行业务测试时，宜采用的脱敏方式是（）。A.随机替换B.掩码遮蔽C.一致性脱敏D.直接删除字段19.政务数据向境外提供前，依法应当（）。A.经本单位信息中心同意即可B.进行数据出境安全评估C.与接收方签订保密协议即可D.只需完成技术加密20.政务数据安全的第一责任主体通常应当是（）。A.采集和产生该数据的政务部门B.系统运维外包公司C.政务云服务商D.终端设备供应商二、多项选择题（每题2分，共20分）1.下列哪些属于政务数据安全防护的重点数据？A.涉及国家安全利益的重要数据B.自然人的个人信息C.政务部门履职中掌握的商业秘密D.已公开发布的政府公报2.开展政务数据分类分级时，通常应综合考虑（）。A.数据的重要程度B.数据泄露或篡改后造成的影响程度C.行业领域数据分类分级标准D.数据文件的存储格式3.下列属于身份认证因素的有（）。A.用户所知，如密码B.用户所有，如智能卡C.用户固有，如指纹D.用户所在网络位置4.访问控制措施落地时，应遵循（）。A.最小权限原则B.职责分离原则C.默认拒绝原则D.权限长期不变原则5.政务数据生命周期安全防护涵盖下列哪些环节？A.采集与产生B.存储与传输C.使用与加工D.提供、公开、删除与销毁6.下列关于数据脱敏的说法，正确的有（）。A.脱敏可用于测试、共享、外包开发等场景B.达到匿名化标准的数据不再属于个人信息C.静态脱敏和动态脱敏是常见的脱敏类型D.脱敏可以完全取代加密措施7.政务数据安全管理制度应包括（）。A.数据分类分级管理制度B.账号权限管理制度C.数据安全事件应急预案D.数据共享审批制度8.政务数据共享一般分为（）。A.无条件共享B.有偿共享C.有条件共享D.不予共享9.网络安全等级保护“一个中心、三重防护”中包含（）。A.安全管理中心B.安全通信网络C.安全区域边界D.安全计算环境10.使用政务云时，下列做法正确的有（）。A.与云服务商签订安全责任协议B.明确数据所有权归政务部门C.允许云服务商对客户数据进行商业利用D.定期对云上系统开展安全评估三、判断题（每题1分，共10分）1.政务数据安全防护仅采取技术手段即可，不需要管理制度。2.数据分类分级是开展政务数据安全保护的基础性工作。3.所有政务部门工作人员都可以访问本部门全部数据。4.政务数据经脱敏后即可对外发布，无需进行安全评估。5.政务数据本地备份即可满足容灾要求，不必建设异地灾备。6.个人发现政务部门收集与其无关的个人信息，有权要求删除。7.商用密码应用是政务信息系统安全防护的重要措施。8.政务数据安全事件处置结束后，无需进行原因分析和总结复盘。9.经批准的政务数据共享接收方，可将数据自行转交其他第三方使用。10.日志审计记录在保存期内不得擅自删除或篡改。四、简答题（每题5分，共20分）1.简述政务数据分类分级的基本流程。2.简述政务数据共享交换过程中的安全控制要点。3.简述政务数据安全事件应急处置的主要步骤。4.简述最小权限原则在政务数据访问中的具体要求。五、案例分析题（每题15分，共30分）1.某市政务服务中心将政务数据平台运维工作外包给甲科技公司。甲公司运维工程师小张为便于日常调试，将后台数据库管理员账号密码截图发送至个人微信，并申请为该账号开通全库查询、修改和导出权限。某日，小张手机丢失，微信聊天记录被还原，数据库账号密码泄露。攻击者利用该账号远程登录数据库，下载了包含大量个人信息和办事记录的备份文件，并在互联网上传播。请回答：（1）从管理与技术角度，指出本案例中存在的政务数据安全违规问题。（2）提出针对性的整改措施。2.某市医保部门与某商业保险公司合作，将参保人员的就诊记录（含疾病诊断、用药清单、身份证号）以电子邮件方式提供给保险公司对接人员，未签署数据共享协议，未进行脱敏处理，也未征得参保人员同意。保险公司接收数据后，将数据用于商业健康保险的精准营销，并将部分数据提供给关联健康管理公司用于开发商业产品。审计机构发现上述情况后，认为相关行为涉嫌违规。参考答案与解析一、单项选择题1.答案：C解析：该法于2021年6月10日通过，自2021年9月1日起施行，注意区分“通过日期”与“施行日期”。2.答案：B解析：《数据安全法》确立了数据分类分级保护制度，并要求各地区、各部门制定重要数据目录。3.答案：B解析：政务信息资源共享坚持“以共享为原则、不共享为例外”，这是政务数据共享的基本导向。4.答案：B解析：个人信息保护法确立了“告知—同意”为核心的合法性基础，同意不限于书面形式。5.答案：B解析：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息等。6.答案：B解析：多因素认证将口令、令牌、生物特征等组合使用，能有效降低口令泄露带来的非授权访问风险。7.答案：C解析：基于角色的访问控制（RBAC）将权限授予角色，用户通过承担岗位角色获得相应权限，适合职责清晰的政务组织。8.答案：B解析：传输加密（如TLS、IPsec）可保证数据传输的机密性和完整性。9.答案：B解析：RPO衡量数据丢失量，RTO衡量恢复时间，两者含义不同。10.答案：C解析：第三方评估机构独立于数据处理者和系统建设单位，能够减少利益冲突，提高评估结论的客观性。11.答案：A解析：政务云场景必须明确数据所有权、管理权和安全责任边界，防止出现安全责任真空。12.答案：B解析：数据安全法要求发现数据安全风险时立即采取处置措施，并按照规定及时告知用户和报告主管部门。13.答案：B解析：达到匿名化标准后信息不再属于个人信息，可降低共享泄露风险；加密后仍可还原，截取字段仍可能被重识别。14.答案：B解析：本地备份无法应对地震、火灾等区域性灾难，异地容灾可保障重要数据在灾难后恢复。15.答案：B解析：云平台通过虚拟网络隔离、安全组、防火墙、访问控制策略等实现租户间数据隔离。16.答案：B解析：网络安全法规定网络日志留存不少于6个月，这是网络安全等级保护测评和监督检查中的常见核查点。17.答案：B解析：对身份证号、手机号等敏感字段加密存储，即使数据库文件被窃取，也难以直接读取其中的敏感数据。18.答案：C解析：一致性脱敏将同一个数据映射为相同的脱敏值，从而保留表间、字段间的关联关系。19.答案：B解析：向境外提供重要数据和个人信息，应当按照国家数据出境安全管理制度进行安全评估。20.答案：A解析：政务数据安全管理遵循“谁采集、谁负责，谁产生、谁负责”的原则，政务部门是第一责任主体。二、多项选择题1.答案：ABC解析：政府公报属于主动公开信息，不属于需要重点防护的数据；涉及国家安全、商业秘密和个人信息的数据均需重点防护。2.答案：ABC解析：分类分级主要依据数据的重要性和敏感性，存储格式不构成分类分级依据。3.答案：ABC解析：网络位置不属于独立的认证因素，不能单独作为身份认证依据。4.答案：ABC解析：权限应随岗位变化定期复核调整，不能长期固定不变。5.答案：ABCD解析：数据安全防护应覆盖数据全生命周期，既包括采集、存储、使用等处理环节，也包括公开后的管理以及最后的删除销毁。6.答案：ABC解析：脱敏与加密功能不同，脱敏可用于开发测试等场景，但无法替代加密在数据保护中的作用。7.答案：ABCD解析：完整的安全制度体系应覆盖数据分类、权限管理、共享审批、应急处置等关键环节。8.答案：ACD解析：政务信息资源共享类型分为无条件共享、有条件共享和不予共享三类，不以营利为目的。9.答案：ABCD解析：“一个中心”指安全管理中心，“三重防护”指安全通信网络、安全区域边界、安全计算环境。10.答案：ABD解析：云服务商未经政务部门授权，不得对客户数据进行商业利用或对外提供。三、判断题1.答案：错误2.答案：正确3.答案：错误4.答案：错误解析：脱敏处理不能完全消除重识别风险，对外发布前还应结合数据规模、字段组合、发布场景等开展安全评估。5.答案：错误解析：本地备份无法应对机房火灾、断电等区域性灾难，重要政务数据应按要求建设异地容灾。6.答案：正确解析：个人信息保护法赋予个人删除权，对于超出必要范围收集的个人信息，个人有权要求删除。7.答案：正确8.答案：错误9.答案：错误10.答案：正确四、简答题1.答案：（1）全面梳理数据资源，形成数据资产清单；（2）分析数据所承载业务的重要性和公共属性；（3）依据法律、法规及行业标准确定数据的敏感程度和影响范围；（4）划分数据类别和级别，编制分类分级目录；（5）对分类分级目录实行动态管理，在业务调整或安全形势变化时及时复核更新。2.答案：（1）事前审批，明确共享数据范围、用途、接收方和使用期限；（2）身份鉴别与授权，对共享双方进行认证，按最小权限分配访问权；（3）传输安全，使用加密通道传输并校验数据完整性；（4）数据处置，对敏感数据实施脱敏、匿名化或加密；（5）行为审计，对共享调用、数据下载等操作全程记录，确保可追溯。3.答案：（1）发现与报告：发现疑似事件后立即采取隔离、停机等止损措施，并按规定向上级和主管部门报告；（2）研判与定级：组织技术力量评估事件影响范围、严重程度和发展态势；（3）处置与恢复：封存证据，排查漏洞，清除隐患，逐步恢复业务；（4）总结与改进：复盘事件原因，追查责任，完善应急预案和安全防护措施。4.答案：（1）任何账号只授予完成本职工作所需的最小数据访问权限；（2）新增权限须经过申请和审批，默认不授予；（3）定期开展权限复查，及时调整或回收离职、转岗人员的权限；（4）对高权限账号的操作进行审计和双人监督，防止权限滥用。五、案例分析题1.答案：（1）主要违规问题：①外包运维人员安全管理不到位，未签订保密协议，也未开展安全培训；②违反最小权限原则，运维账号拥有全库查询、修改、导出权限，权限明显过大；③高权限账号密码未妥善保管，通过截图发送至个人微信，属于违规对外传输工作凭证；④缺乏运维操作审计和异常行为告警，攻击者远程批量下载数据时未能及时发现和阻断；⑤数据库数据未采取加密存储、数据防泄漏等技术防护措施，导致被“拖库”后数据可直接使用。（2）整改措施：①与外包公司签订保密协议并开展背景审查，明确安全责任，定期开展数据安全培训；②调整账号权限，按岗位职责最小化授权，删除不必要的高权限公共账号，敏感操作实行双人审批；③严禁将工作账号和密码发送至个人设备，统一使用堡垒机或安全运维通道，对登录和操作全程录像、审计；④部署数据库审计和数据防泄漏系统，对异常登录、批量导出等行为实时告警；⑤对身份证号、联系电话等敏感字段加密存储，重要数据定期异地备份；⑥事件发生后及时上报主管部门，通知受影响个人，开展漏洞修复和应急预案演练。解析：本题重点考查政务系统外包运