2026年数据安全治理数据安全风险评估试卷及答案

2026年数据安全治理数据安全风险评估试卷及答案一、单项选择题（每题1.5分，共30分）1.《中华人民共和国数据安全法》自哪一年起施行？A.2019年9月1日B.2020年9月1日C.2021年9月1日D.2022年1月1日答案：C解析：《数据安全法》于2021年6月10日通过，自2021年9月1日起施行。2.数据安全风险评估的核心目标是？A.消除所有数据安全威胁B.识别、分析并评价数据安全风险，为风险处置提供依据C.仅满足主管部门合规检查要求D.发现系统漏洞并进行渗透测试答案：B3.在数据分类分级中，数据的敏感程度主要取决于？A.数据体量大小B.数据遭受泄露、篡改、丢失后造成的危害程度C.数据结构复杂度D.数据存储介质的类型答案：B解析：数据分类分级的基本依据是数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益或者个人、组织合法权益造成的危害程度。4.数据安全治理中，负责确定治理战略、安全目标和总体方针的组织层级应属于？A.执行层B.决策层C.管理层D.监督层答案：B解析：决策层确定治理方向和战略目标，管理层负责统筹推进和制度落地，执行层负责具体安全操作，监督层负责审计和评价。5.在GB/T20984信息安全风险评估标准中，风险的基本要素不包括？A.资产B.威胁C.脆弱性D.合规性答案：D解析：风险计算围绕资产、威胁、脆弱性以及已有安全措施展开，合规性是评估依据而非风险要素。6.某数据资产属于重要数据，具有高保密性要求，一旦泄露将造成重大社会影响。在资产价值五级赋值中，该资产的典型赋值应为？A.1B.2C.3D.5答案：D解析：资产价值从保密性、完整性、可用性三个维度综合评定，重要数据且保密要求极高时，资产价值应赋最高等级5。7.数据安全风险评估中，威胁识别的主要对象是？A.数据文件的存储格式B.可能导致数据安全事件的威胁源及威胁行为C.数据加工算法的实现逻辑D.数据生命周期各阶段使用的运维工具答案：B8.数据安全风险值的计算可采用R=A×T×V，当资产价值A=A.9B.12C.24D.27答案：C解析：R=9.根据《数据安全法》，国家数据安全风险预警发布机制由什么机构统筹协调？A.县级以上人民政府B.国家数据安全工作协调机制C.省级大数据管理局D.数据安全行业协会答案：B解析：《数据安全法》第二十二条规定，国家数据安全工作协调机制统筹协调有关部门，加强对数据安全风险信息的获取、分析、研判和预警工作。10.下列哪类数据通常最应被认定为“重要数据”？A.个人身高、体重等基础信息B.企业公开发布的年度宣传材料C.企业内部员工工资明细D.未公开的国民经济运行核心数据答案：D解析：重要数据指不涉及国家秘密，但可能危害国家安全、公共利益、经济安全等信息。未公开的国民经济核心数据一旦泄露可能影响公众利益，符合重要数据的特征。11.下列情形中，不属于数据出境行为的是？A.向境外机构提供境内收集的数据B.境外机构通过网络远程访问境内存储的数据C.将境内数据备份存储于境外服务器D.在中国境内不同城市机房之间同步数据答案：D解析：境内机房之间的数据同步未跨越国境，不属于数据出境；A、B、C均构成数据出境或向境外提供数据。12.数据安全风险评估完成后，对残余风险的管理责任最终应由哪一方承担？A.风险评估机构B.数据处理者C.数据安全监管部门D.第三方技术供应商答案：B解析：数据处理者对数据安全承担主体责任，对评估后仍然残留的风险，应决定是否进一步处置或接受，并对其后果负责。13.用于衡量组织数据安全能力成熟程度、指导数据安全治理持续改进的常用模型是？A.PDCA循环模型B.DSMM数据安全能力成熟度模型C.ITIL服务管理模型D.COSO风险管理框架答案：B14.下列措施中，属于数据安全技术措施的是？A.修订数据安全管理制度B.开展全员数据安全意识培训C.部署数据加密与动态脱敏系统D.与员工签订保密协议答案：C15.数据安全风险评估报告中，不属于必备内容的是？A.评估目的和评估范围B.数据安全风险等级和风险清单C.风险处置优先级建议D.数据存储硬件供应商的详细型号答案：D16.发生数据安全事件后，应急处置的首要目标是？A.立即关闭所有信息系统B.控制事态扩大、降低损失并尽快恢复业务C.第一时间向媒体公开事件细节D.直接追究违规人员法律责任答案：B17.在数据安全治理中，通过明确岗位职责、签订责任书等方式使每位人员对数据安全负责，体现的是？A.集中式安全托管B.全员安全责任制C.外部审计替代机制D.安全外包模式答案：B18.数据分类分级中，对“核心数据”应采取的关键处置原则是？A.在脱敏后按普通数据处理B.脱离业务流程独立管理C.实施最高级别保护和最严格的访问管控D.仅保存加密摘要并删除原始数据答案：C19.下列哪项不属于数据安全风险评估的输入资料？A.数据资产清单B.威胁情报C.已有安全控制措施D.员工个人薪资水平答案：D20.依据《个人信息保护法》，处理敏感个人信息应当取得？A.个人信息主体的口头同意B.个人信息主体的单独同意C.涉及业务部门的集体同意D.个人信息主体的概括同意答案：B解析：处理敏感个人信息应当取得个人的单独同意，并同时满足具有特定目的和充分必要性、告知处理必要性及对个人权益影响等法定条件。二、多项选择题（每题3分，共15分）1.数据安全治理的实施要素通常包括？A.组织架构B.制度流程C.技术平台D.人员能力E.资源保障答案：ABCDE解析：组织架构提供决策和执行基础，制度流程规范数据生命周期安全，技术平台提供技术支撑，人员能力保证安全要求落地，资源保障确保治理工作持续投入，五者缺一不可。2.数据安全风险评估的基本步骤包括？A.确定评估范围和边界B.数据资产识别与赋值C.威胁与脆弱性识别D.风险计算与风险评价E.提出风险处置建议并编制报告答案：ABCDE解析：风险评估是一个系统性过程，范围界定是起点，资产、威胁、脆弱性三者是风险分析的基础，最终通过风险计算和评价形成处置建议与评估报告。3.下列属于数据安全风险表现的有？A.数据泄露B.数据篡改C.数据滥用D.数据丢失E.数据共享答案：ABCD解析：数据泄露、篡改、滥用和丢失分别影响数据的保密性、完整性、正当使用性和可用性；数据共享本身是中性业务行为，不直接等同于安全风险。4.数据分类分级工作应遵循的原则包括？A.合法合规B.与数据安全风险程度相适配C.可执行、可落地D.分级结果一经确定永久不变E.仅以数据商业价值作为唯一依据答案：ABC解析：数据分类分级要依据法律法规和业务影响，同时应便于实施；数据和业务环境会变化，分级结果需要动态调整，因此D错误；分类分级需综合考虑合规要求、敏感程度和安全风险，不能只依据商业价值，E错误。5.数据安全风险处置策略通常包括？A.风险规避B.风险降低C.风险转移D.风险接受E.风险无视答案：ABCD解析：风险规避通过改变业务或技术方案避免风险；风险降低通过减少威胁或脆弱性实现；风险转移通过保险、合同等方式转移分担；风险接受是针对低等级残余风险的有意决策。E选项不符合风险管理要求。三、判断题（每题1分，共10分）1.数据安全风险评估的根本目的是彻底消除所有数据安全风险。答案：错误2.《数据安全法》明确要求建立数据分类分级保护制度。答案：正确3.在风险计算中，资产价值、威胁发生频率和脆弱性严重程度的赋值越高，风险值越高。答案：正确4.组织只有在发生重大数据安全事件后，才需要开展数据安全风险评估。答案：错误5.数据安全治理中，只要部署了足够先进的安全技术产品，就可以完全替代制度建设和管理流程。答案：错误6.个人信息经过匿名化处理后，无法识别特定自然人的，不再属于个人信息。答案：正确7.数据安全风险评估范围仅需覆盖数据库服务器，不需要覆盖人员、制度和业务流程。答案：错误8.重要数据出境前，应当按照国家相关规定进行数据出境安全评估。答案：正确9.数据安全风险值可以采用定性、定量或两者相结合的方式进行表达。答案：正确10.数据安全风险评估报告中提出的处置建议应当具有针对性和可操作性。答案：正确四、简答题（每题10分，共20分）1.简述数据安全风险评估的主要步骤及各步骤的核心任务。答案：（1）确定评估范围和边界。明确评估的组织范围、业务范围和数据资产边界，界定评估对象与评估目标。（2）数据资产识别。梳理数据资产清单，识别数据分类分级、存放位置、生命周期环节和数据量，并从保密性、完整性、可用性三个维度进行资产赋值。（3）威胁识别。识别可能导致数据安全事件的威胁源和威胁行为，如外部攻击、内部违规操作、系统故障、自然灾害等，并评估威胁发生的可能性。（4）脆弱性识别。从技术和管理两方面识别可能被威胁利用的脆弱点，包括安全制度缺失、访问控制缺陷、系统漏洞、运维流程不足等。（5）已有安全措施确认。梳理组织已部署的安全策略、技术控制手段和保障机制，分析其对风险的实际缓解作用。（6）风险计算与分析。综合资产价值、威胁发生频率、脆弱性严重程度和已有安全措施，计算风险值，判断风险等级。（7）风险评价。依据国家安全法律法规、行业标准和组织风险承受能力，对风险等级进行比较和评价，确定可接受风险与优先处置风险。（8）编制风险评估报告。汇总评估过程与发现，明确风险清单、风险等级，提出风险处置建议，形成正式报告。2.简述数据分类分级在数据安全治理中的基础性作用。答案：（1）明确保护对象。通过分类分级，判断哪些数据是重要数据、核心数据或敏感个人信息，确定重点保护范围。（2）提供差异化防护依据。根据不同级别数据的安全需求，实施差异化的访问控制、加密、脱敏、审计和备份策略，避免过度保护或保护不足。（3）支撑风险评估。数据分类分级为资产价值判断和威胁、脆弱性影响分析提供基础，帮助评估机构对高风险数据优先开展风险排查。（4）满足合规要求。落实《数据安全法》《个人信息保护法》等法律法规关于分类分级和数据保护的要求，便于接受监督检查。（5）指导数据流通。在数据共享、开放和出境的场景中，依据数据级别确定允许的业务用途、共享范围和风险控制条件，保障数据依法有序流动。五、综合分析题（共25分）某地方政务数据中心为核心的信息系统汇集了城市居民不动产登记数据、人口健康数据和交通运行数据。为提升政务服务水平，该中心计划将工程建设领域相关的无居民个人信息的交通运行数据委托给一家私营科技公司进行加工分析，并将加工后的统计结果发送至境外合作伙伴用于科研合作。假设你是本次数据安全风险评估工作的负责人，请回答：（1）该场景中至少存在哪些数据安全风险？请列出不少于6点。（2）针对数据出境环节，应重点评估哪些要素？（3）根据风险评估结果，提出至少4条风险处置建议。答案：（1）主要数据安全风险1.多源数据汇聚后扩大了攻击面，一旦系统被突破，可能导致不动产、人口健康和交通数据批量泄露。2.交通运行数据未经分类分级即委托外部公司加工，可能被超授权范围使用或二次转卖。3.委托加工过程中，私营科技公司内部安全管理能力不足，可能导致数据泄露、数据滥用或数据留存失控。4.加工结果中可能残留原始数据或可利用的敏感信息，因去标识化不充分形成新的泄露风险。5.数据出境未经安全评估，可能危害国家安全和公共利益，存在法律合规风险。6.内部权限管理不严，运维人员或业务人员可越权访问、导出敏感数据。7.缺乏针对委托加工和数据出境场景的数据安全事件应急预案，事件发生后难以快速控制和恢复。8.安全意识培训不足，相关人员可能违反操作规程，造成人为数据安全事件。（2）数据出境环节的评估重点1.数据性质和类型。评估出境数据是否包含重要数据、核心数据或个人信息，统计结果是否属于可出境数据。2.出境的必要性和合理性。分析该科研合作是否确需向境外提供数据、是否可在境内完成同等处理。3.境外接收方情况。评估接收方所在国家或地区的数据安全环境、接收方组织性质、数据安全能力、真实用途和使用方式。4.数据处理协议与保障措施。审查是否约定了数据用途限制、保存期限、再转交给第三方的限制、安全保护义务和责任承担机制。5.出境安全影响。评估数据出境后对国家安全、公共利益和公民合法权益可能造成的影响。6.法律合规性。判断数据处理行为是否符合《数据安全法》《个人信息保护法》以及国家数据出境安全评估有关要求。（3）风险处置建议1.对交通运行数据开展分类分级，并在委托加工和出境前进行脱敏处理，确保不含个人信息、重要数据和可通过关联分析恢复身份的信息。2.立即停