2026年度专业资格认证考试试题（附答案）

2026年度专业资格认证考试试题（附答案）满分：100分考试时长：150分钟合格线：60分命题依据：《中华人民共和国数据安全法》《网络数据安全管理条例》《GB/T43697-2024数据安全治理能力成熟度模型》、2025年工信部《企业数据分类分级操作指引》第一部分客观题（共60分）一、单项选择题（共20题，每题1分，总计20分）1.根据2025年修订实施的《网络数据安全管理条例》，处理多少人以上个人信息的数据处理者，应当按照国家有关规定设立首席数据安全官（DPO）？A.50万B.100万C.200万D.500万2.按照《GB/T43697-2024数据安全治理能力成熟度模型》，组织已建立标准化、可量化的数据安全管控流程，且管控指标可监测、可溯源，对应的成熟度等级是？A.二级（规划级）B.三级（规范级）C.四级（量化级）D.五级（优化级）3.涉及核心数据的出境安全评估申请，省级行业主管部门应当在收到申请材料后多少个工作日内完成初审，出具初审意见后报送国家网信部门？A.5个B.10个C.15个D.20个4.数据全生命周期安全管控中，哪一环节的核心要求是落实“最小必要”权限配置，建立基于角色的访问控制（RBAC）与属性访问控制（ABAC）结合的授权机制？A.数据采集B.数据存储C.数据使用D.数据销毁5.下列不属于2025年工信部《企业数据分类分级操作指引》中明确的一般数据判定标准的是？A.公开后对个人合法权益无影响B.公开后对组织生产经营无影响C.泄露后可能引发局部区域公共秩序混乱D.公开后对公共利益无实质影响6.数据安全事件应急响应中，“遏制”环节的核心目标是？A.溯源攻击路径、定位事件根因B.采取隔离、限流等措施阻止事件影响扩散C.恢复受损系统与数据的正常可用性D.完成事件复盘、优化管控措施7.按照《个人信息保护法》2025年修正条款，处理敏感个人信息取得个人单独同意的，应当留存同意记录，留存期限不少于个人信息处理活动结束后多少年？A.1年B.3年C.5年D.10年8.下列哪项技术不属于数据使用环节的隐私增强技术（PETs）？A.差分隐私B.联邦学习C.同态加密D.静态数据脱敏9.数据资产盘点过程中，下列哪类资产不属于应当纳入盘点范围的核心资产？A.存储客户身份证信息的生产数据库B.支撑核心业务系统的API接口日志C.对外公开的企业产品宣传手册D.记录企业核心算法参数的配置文件10.重要数据处理者应当至少每多久开展一次全面的数据安全风险评估，评估报告报送同级网信部门和行业主管部门？A.6个月B.1年C.2年D.3年11.按照数据出境标准合同备案要求，数据处理者应当在标准合同生效之日起多少个工作日内，向所在地省级网信部门备案？A.10个B.15个C.20个D.30个12.数据销毁环节中，针对存储过核心数据的固态硬盘（SSD），下列哪种销毁方式不符合国家保密标准要求？A.多次覆写（不少于7次）B.物理粉碎（颗粒直径≤1mm）C.消磁处理D.高温熔融13.首席数据安全官（DPO）的核心职责不包括下列哪项？A.组织制定数据安全管理制度和操作规程B.直接决定核心数据的对外共享与开放C.组织开展数据安全风险监测与事件处置D.组织开展数据安全培训与考核14.下列关于数据分类分级的表述，错误的是？A.数据分类应当遵循“线分类法”，按照业务维度、管理维度逐层拆解B.数据分级应当就高不就低，当同一数据集包含不同级别数据时，按最高级别实施管控C.数据分类分级结果应当固定不变，不得根据业务场景变化调整D.涉及多个行业领域的数据，应当按照从严原则确定数据级别15.数据泄露通知制度要求，发生个人信息泄露事件，数据处理者应当在多少小时内将事件基本情况、影响范围、处置措施等告知履行个人信息保护职责的部门？A.24小时B.48小时C.72小时D.96小时16.下列哪项不属于数据安全治理绩效考核的核心量化指标？A.核心数据加密存储覆盖率B.数据访问权限异常响应时长C.数据安全培训人均学时D.年度信息类采购总金额17.联邦学习技术应用的核心价值是？A.在原始数据不出域的前提下实现多方数据联合建模B.提升数据传输过程中的加密强度C.实现静态存储数据的匿名化处理D.替代传统数据备份机制18.按照《关键信息基础设施安全保护条例》要求，关键信息基础设施运营者采购网络产品和服务可能影响国家安全的，应当通过什么流程？A.网络安全审查B.数据出境安全评估C.等保测评D.密码应用安全性评估19.数据访问的“四A”管控机制不包括下列哪项？A.认证（Authentication）B.账号（Account）C.授权（Authorization）D.审计（Audit）20.下列关于数据确权的表述，符合2025年《数据要素市场化配置改革实施方案》要求的是？A.企业对其加工形成的衍生数据不享有财产权益B.数据资源持有权、数据加工使用权、数据产品经营权可分置运行C.个人对其生成的个人信息享有绝对所有权，企业不得商业化使用D.公共数据的所有权归属运营公共服务的企业所有二、多项选择题（共15题，每题2分，总计30分，多选、少选、错选均不得分）1.按照《数据安全法》规定，国家建立数据分类分级保护制度，下列哪些数据属于重点保护范畴？A.核心数据B.重要数据C.一般数据D.公开数据2.数据全生命周期管控覆盖的环节包括？A.数据采集B.数据传输C.数据存储D.数据使用E.数据加工F.数据提供G.数据公开H.数据销毁3.下列属于重要数据判定维度的有？A.一旦泄露可能直接危害国家安全B.一旦泄露可能影响经济运行稳定C.一旦泄露可能引发大面积社会恐慌D.一旦泄露可能对企业经营造成100万元以下经济损失4.数据安全风险评估的核心内容包括？A.数据资产梳理与分级情况B.数据全生命周期管控措施有效性C.数据安全事件应急预案完备性D.数据安全组织架构与人员配置情况5.个人信息处理的合法基础包括？A.取得个人的同意B.为订立、履行个人作为一方当事人的合同所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件所必需6.下列技术中可用于数据传输安全防护的有？A.TLS1.3传输加密B.VPN专线传输C.数字签名校验D.数据库透明加密7.数据安全治理的核心组织架构角色包括？A.决策层（数据安全治理委员会）B.管理层（首席数据安全官、数据安全管理部门）C.执行层（各业务部门数据安全员、IT运维人员）D.监督层（内审、合规部门）8.下列情形中，数据处理者应当开展数据出境安全评估的有？A.出境数据中包含核心数据B.处理100万人以上个人信息的处理者向境外提供个人信息C.累计向境外提供10万人个人信息或者1万人敏感个人信息D.非关键信息基础设施运营者向境外提供1000条非敏感个人信息9.动态数据脱敏技术适用于下列哪些场景？A.生产环境运维人员实时访问生产库查询客户信息B.开发测试环境使用生产数据副本进行系统调试C.客服坐席实时查询用户联系方式时对中间4位号码做掩码处理D.数据分析师对导出的历史交易数据进行离线分析10.数据安全事件分级参考因素包括？A.数据泄露的级别（核心/重要/一般）B.影响用户的规模C.造成的经济损失金额D.对社会秩序、公共利益的影响程度11.下列属于公共数据开放范畴内的无条件开放类数据的有？A.城市公共交通站点线路信息B.政务服务办事指南信息C.常住人口的身份证号、住址信息D.统计部门公开的年度宏观经济数据12.数据访问权限的最小必要原则要求包括？A.权限分配与岗位职责匹配，不得超范围授权B.定期（至少每季度）开展权限复核，及时回收闲置权限C.特权账号（如数据库超级管理员）应当纳入堡垒机管控，全程操作留痕D.所有用户统一配置最高访问权限，提升业务处理效率13.下列关于数据备份的要求，符合重要数据保护规范的有？A.核心数据采用“三地三中心”备份架构B.重要数据备份频率不低于每日一次，备份介质异地存放C.定期（至少每半年）开展备份数据恢复演练，验证备份有效性D.备份数据无需加密存储，方便快速恢复14.企业开展数据要素流通交易时，应当落实的安全管控措施包括？A.对交易的数据产品开展合规性审核，确保不包含未授权的个人信息和重要数据B.对交易数据采取去标识化、匿名化处理，确保无法识别特定个人且不能复原C.与交易方签订数据安全协议，明确双方数据安全责任D.对交易后的数据流通过程开展持续监测，防范数据被滥用15.数据安全培训应当覆盖的人群包括？A.企业高管层B.数据安全专职管理人员C.业务部门一线员工D.第三方合作单位驻场人员三、判断题（共10题，每题1分，总计10分）1.核心数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益等，一旦泄露、篡改、损毁或者非法获取、非法利用，可能直接危害政治安全、国土安全、军事安全、经济安全等的数椐。（）2.个人信息处理者可以在未取得个人单独同意的情况下，将个人生物识别信息用于公共安全防控以外的商业场景。（）3.数据分类分级是数据安全治理的基础工作，所有安全管控措施都应当基于数据级别匹配对应防护要求。（）4.采用匿名化处理后的个人信息，因无法识别特定个人且不能复原，不属于个人信息范畴。（）5.数据处理者委托第三方处理数据的，第三方作为实际处理数据的主体，承担数据安全的主体责任。（）6.数据库透明加密（TDE）属于静态存储加密技术，不会影响数据库的正常读写性能和业务逻辑。（）7.关键信息基础设施运营者在中华人民共和国境内运营中收集和产生的重要数据和核心数据，确需向境外提供的，必须通过数据出境安全评估。（）8.数据安全应急预案应当至少每年开展一次实战演练，演练记录留存期限不少于3年。（）9.企业建设数据安全管理平台时，应当实现与业务系统、网络安全设备的日志打通，形成统一的安全监测与告警机制。（）10.公共数据属于国有资产，所有公共数据都应当无条件向社会开放，不得收取任何费用。（）第二部分主观题（共40分）四、简答题（共2题，每题10分，总计20分）1.简述2024版《数据安全治理能力成熟度模型》（GB/T43697-2024）定义的五级成熟度等级及每级的核心特征。2.简述企业开展数据资产盘点的核心流程及各阶段关键工作内容。五、案例分析题（共1题，总计20分）【案例背景】某省级商业银行（属于关键信息基础设施运营者）2026年计划推进两项重点工作：一是启动零售客户数据联合建模项目，与本地三家持牌消费金融公司合作构建智能风控模型，实现客户信用风险的联合预判；二是按照监管要求完成年度数据安全风险评估工作，排查现有数据安全管控短板。已知该行累计持有零售客户个人信息1200万条，其中包含身份证号、人脸信息、银行交易记录等敏感个人信息350万条，核心业务系统存储的客户交易数据被行业主管部门认定为重要数据。近期该行在内部安全检查中发现以下问题：（1）部分开发测试环境直接使用未脱敏的生产客户数据，存在测试人员批量导出客户信息的风险；（2）数据库超级管理员账号由3名运维人员共用，操作日志仅留存30天，且未配置异常操作告警规则；（3）与第三方合作机构的数据共享接口未配置流量监测机制，第三方存在超频率拉取客户数据的情况；（4）上一年度未开展数据安全应急演练，未针对数据泄露场景制定专项处置流程。请结合上述背景，回答以下问题：1.该行与消费金融公司开展联合建模时，若采用联邦学习技术架构，请说明该架构下需要落实的核心数据安全管控措施（8分）；2.针对本次年度数据安全风险评估，请列出核心评估维度，并对应上述检查发现的问题，提出可落地的整改方案（12分）。2026年度注册数据安全治理专业人员（CDSP）资格认证考试参考答案一、单项选择题参考答案1.B2.C3.A4.C5.C6.B7.B8.D9.C10.B11.A12.C13.B14.C15.C16.D17.A18.A19.B20.B*答案说明：第1题依据《网络数据安全管理条例》2025年修订版第二十七条；第3题依据《数据出境安全评估办法》2025年修正版第八条；第7题依据《个人信息保护法》2025年修正版第二十九条；第12题固态硬盘采用芯片存储，消磁无法有效清除数据，故C选项不符合要求；第20题依据2025年《数据要素市场化配置改革实施方案》中数据产权“三权分置”要求。二、多项选择题参考答案1.AB2.ABCDEFGH3.ABC4.ABCD5.ABCD6.ABC7.ABCD8.ABC9.AC10.ABCD11.ABD12.ABC13.ABC14.ABCD15.ABCD*答案说明：第3题中D选项造成100万元以下损失属于一般数据风险范畴；第9题中B、D选项属于静态脱敏适用场景；第13题备份数据需按照原数据级别采取加密等防护措施，故D选项错误。三、判断题参考答案1.√2.×3.√4.√5.×6.√7.√8.√9.√10.×*正确项说明：第2题处理生物识别信息等敏感个人信息需取得个人单独同意；第5题委托处理场景下，委托方承担数据安全主体责任，受托方按照委托合同约定承担相应责任；第10题公共数据分为无条件开放、有条件开放、不予开放三类，有条件开放类数据可按照成本补偿原则收取合理费用。四、简答题参考答案1.GB/T43697-2024定义的五级成熟度核心特征如下：（1）一级（初始级）：组织未建立统一的数据安全治理体系，数据安全管控被动、零散，仅在发生安全事件后开展临时处置，无标准化流程，管控效果依赖人员个人能力，存在极高安全风险；（2）二级（规划级）：组织初步建立数据安全管理组织架构，明确核心管理职责，针对核心数据、重要数据制定了基础管控流程，但流程未覆盖全业务场景，执行层面存在明显短板，管控措施可落地性不足；（3）三级（规范级）：组织建立覆盖数据全生命周期的标准化管控流程，形成完整的制度体系，数据分类分级工作全面完成，管控措施覆盖所有级别的数据，全员数据安全职责明确，日常管控可常态化执行；（4）四级（量化级）：组织建立数据安全管控量化指标体系，对全流程管控措施的有效性开展可监测、可溯源的量化考核，实现数据安全风险的动态识别与精准响应，管控效率显著提升；（5）五级（优化级）：组织建立数据安全治理持续优化机制，能够基于行业风险态势、业务发展需求、技术迭代情况动态调整管控策略，通过大数据分析、AI技术实现风险预判与前置防护，数据安全治理能力达到行业领先水平，能够支撑数据要素安全流通利用。2.数据资产盘点核心流程及关键工作如下：（1）盘点筹备阶段：成立由数据安全管理部门、业务部门、IT部门组成的专项盘点小组，明确盘点范围（覆盖所有业务系统、存储介质、接口、终端的数据资产），制定盘点规范与分类分级标准，开展盘点人员培训，配置自动化盘点工具；（2）资产发现阶段：通过自动化扫描工具结合人工台账梳理，全面识别所有数据资产，包括结构化数据（数据库、数据仓库数据）、非结构化数据（文档、图片、音视频）、接口数据（API、数据传输链路），明确每个资产的存储位置、责任部门、管理责任人；（3）信息补录阶段：对识别到的资产补全元数据信息，包括数据内容描述、数据规模、更新频率、涉及个人信息/重要数据/核心数据的属性、使用范围、共享情况等，形成初始数据资产台账；（4）分类分级阶段：按照国家及行业分类分级标准，对所有数据资产进行类别划分与级别判定，对重要数据、核心数据逐一标注，形成统一的分类分级目录，并同步到数据安全管控平台；（5）台账核验阶段：由业务部门、数据安全部门、合规部门联合对盘点结果进行交叉核验，确保资产无遗漏、分级无错判，对存在争议的资产组织专家评审确定级别；（6）动态更新阶段：建立数据资产台账动态更新机制，明确系统上线、业务变更、数据流转时的资产信息更新流程，至少每季度开展一次增量盘点，每年度开展一次全面复盘，确保台账与实际资产一致。五、案例分析题参考答案1.联邦学习架构下的核心安全管控措施：（1）原始数据管控：严格落实“数据不出域”要求，所有参与方的原始客户数据存储在本地，不得对外流出，各参与方本地部署联邦学习节点，节点之间仅传输模型加密后的中间参数，不得传输原始数据或可还原个人信息的特征值；（2）参数传输安全：对跨节点传输的模型参数采用国密SM2/SM4算法加密传输，加入差分隐私噪声防止参数反推原始数据，建立参数传输的签名校验机制，防范参数被篡改、窃取；（3）节点访问管控：对联邦学习节点配置严格的访问权限，各参与方仅能访问本方节点的数据与模型参数，不得越权访问其他节点资源，所有节点操作全程留痕，日志留存不少于6个月；（4）模型安全管控：训练完成的联合模型输出结果采取去标识化处理，不得输出可直接识别特定客户的敏感信息，定期对模型开展安全性检测，防范模型逆向攻击、成员推理攻击等风险，模型上线前通过合规部门审核；（5）合作方责任约束：与各合作方签订数据安全协议，明确各方安全责任，禁止合作方通过模型参数反推原始客户信息，对合作方