2026年数据安全与信息保护能力考试试卷及答案

2026年数据安全与信息保护能力考试试卷及答案一、单项选择题（每题1分，共15题，15分）1.根据《中华人民共和国数据安全法》，数据安全工作应当坚持的首要原则是？A.分类分级保护B.数据依法使用C.安全与发展并重D.鼓励数据交易答案：C解析：《数据安全法》第四条规定，维护数据安全应当坚持安全与发展并重。分类分级是具体制度，不是首要原则。2.根据《中华人民共和国个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意，并制定专门的？A.个人信息处理规则B.未成年人隐私政策模板C.个人信息保密协议D.数据共享合同答案：A解析：《个人信息保护法》第三十一条明确规定，处理不满十四周岁未成年人个人信息，应当取得监护人同意，并制定专门的处理规则。3.根据《中华人民共和国数据安全法》，下列数据中属于国家核心数据的是？A.关系国家安全、国民经济命脉、重要民生、重大公共利益的数据B.企业一般业务数据C.敏感个人信息D.公开统计数据答案：A解析：《数据安全法》第二十一条规定，关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据。4.下列哪种情形不属于个人信息处理的合法基础？A.取得个人同意B.为履行法定职责所必需C.为牟取商业利益随意使用个人信息D.为应对突发公共卫生事件所必需答案：C解析：处理个人信息必须有合法基础，单纯为商业利益而任意使用不满足《个人信息保护法》第十三条规定的任何情形。5.处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。这体现了个人信息处理的哪项原则？A.公开透明原则B.准确原则C.目的限制原则D.保存期限原则答案：C解析：明确、合理的目的以及与目的直接相关，是目的限制原则的核心要求。6.下列哪种情形下，数据处理者应当申报数据出境安全评估？A.数据处理者向境外提供重要数据B.向境外提供一般经营数据C.向境外提供不满1万人且不含敏感的个人信息D.跨境电子商务中向境外提供普通消费记录答案：A解析：根据《数据出境安全评估办法》，向境外提供重要数据应当申报数据出境安全评估。提供少量非敏感个人信息的一般跨境场景，满足条件时可不申报。7.在数据全生命周期安全管理中，数据销毁环节的核心要求是？A.删除数据并确保不可恢复B.仅删除数据库逻辑记录C.将数据转移至备份介质D.格式化硬盘即可答案：A解析：数据销毁应使数据无法被恢复，避免物理或逻辑残留导致泄露。8.下列哪种加密算法属于非对称加密算法？A.AESB.RSAC.SM4D.ChaCha20答案：B9.根据GB/T35273《信息安全技术个人信息安全规范》，个人信息主体注销账户后，个人信息控制者应当在多少个工作日内删除其个人信息或做匿名化处理？A.10个工作日B.15个工作日C.30个工作日D.60个工作日答案：C解析：GB/T35273要求注销账户后及时处理个人信息，常见时限为30日或30个工作日，本题取30个工作日。10.在数据安全风险评估中，风险值常用的计算公式是？A.风险值RB.风险值RC.风险值RD.风险值R答案：A解析：风险值通常由资产价值（A）、威胁频率（T）和脆弱性严重程度（V）共同决定，即R=11.根据《中华人民共和国个人信息保护法》，向境外提供个人信息，除特定情形外，个人信息处理者应当取得个人的？A.单独同意B.一般同意C.书面同意D.默示同意答案：A12.数据安全管理中的最小权限原则是指？A.用户只能拥有完成其任务所需的最小权限B.系统管理员拥有所有权限C.所有用户权限相同D.权限划分后无需审计答案：A13.在数据分类分级中，“重要数据”通常是指？A.一旦泄露、篡改、破坏可能危害国家安全、公共利益的数据B.企业内部的一般客户清单C.向社会公开的统计数据D.个人已公开的联系方式答案：A解析：重要数据与核心数据不同，重要数据危害对象主要涉及国家安全、公共利益，但危害程度低于核心数据。14.下列哪项属于数据安全管理措施而非技术措施？A.数据加密B.访问控制C.员工安全培训D.数据防泄漏（DLP）系统答案：C15.根据《中华人民共和国个人信息保护法》，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当？A.立即采取补救措施，并通知履行个人信息保护职责的部门和个人B.在72小时内通知监管部门即可C.仅在公司内部通报D.自行处置，无需通知答案：A解析：《个人信息保护法》第五十七条规定，发生安全事件后应第一时间采取补救措施，并履行通知义务。二、多项选择题（每题2分，共10题，20分）1.根据《中华人民共和国数据安全法》，关于数据分类分级保护制度，下列说法正确的有？A.国家建立数据分类分级保护制度B.各地区、各部门可以确定本行业、本领域的重要数据目录C.建立数据风险评估机制是分类分级制度的核心内容D.对核心数据实行更加严格的管理制度答案：ABD解析：分类分级制度主要包括制定重要数据目录、确定核心数据目录等，风险评估不属于分类分级制度本身的组成部分。2.个人信息处理者处理个人信息应当遵循合法、正当、必要和诚信原则。下列做法符合该原则的有？A.收集与业务无直接关系的个人信息B.明示个人信息的处理目的、方式和范围C.超出约定范围使用个人信息D.不得以欺骗、误导方式诱导个人提供个人信息答案：BD3.关于匿名化与去标识化，下列说法正确的有？A.匿名化处理后的信息不再是个人信息B.去标识化后的信息仍属于个人信息C.匿名化要求个人信息无法识别特定自然人且不能复原D.匿名化是指在不借助额外信息的情况下无法识别特定自然人答案：ABC解析：选项D是去标识化的定义，匿名化还要求“不能复原”，故D错误。4.数据出境安全评估需要重点考量的因素包括？A.数据出境的种类、数量、范围B.数据出境的必要性C.境外接收方的数据安全保护能力D.出境数据可能对国家安全、公共利益产生的影响答案：ABCD5.下列属于数据安全管理措施的有？A.建立数据安全管理制度B.开展数据安全培训C.部署防火墙D.制定数据安全应急预案答案：ABD6.关于重要数据保护，下列说法正确的有？A.行业主管或监管部门可以制定重要数据目录B.重要数据处理者应当定期开展风险评估C.重要数据可以自由向境外提供，无需审批D.重要数据出境应当依法进行安全评估答案：ABD7.数据安全事件应急响应中，常见的处置措施包括？A.隔离受影响的系统B.保留日志和现场证据C.立即删除日志以保护隐私D.启动应急预案并按程序上报答案：ABD8.关于密码技术，下列说法正确的有？A.SM2属于非对称加密算法B.SM4的分组长度为128位C.对称加密算法常用RSAD.哈希算法可用于数据完整性校验答案：ABD解析：RSA属于非对称加密算法，因此C错误。9.根据《中华人民共和国网络安全法》，网络运营者收集、使用个人信息应当遵循的原则包括？A.合法B.正当C.必要D.无偿答案：ABC10.数据资产盘点工作通常包括的内容有？A.识别数据的存储位置B.确定数据所有者C.判定数据敏感级别D.梳理数据的访问权限答案：ABCD三、判断题（每题1分，共10题，10分）1.《中华人民共和国数据安全法》自2021年9月1日起施行。答案：正确2.匿名化后的数据完全不属于个人信息，因此组织可以不受任何限制地进行交易。答案：错误解析：匿名化数据虽不属于个人信息，但作为数据仍需遵守数据安全法及相关数据交易管理规定。3.个人信息处理者在取得个人同意后，可以根据业务发展需要无限期保存个人信息。答案：错误解析：保存期限应当为实现处理目的所必需的最短时间。4.数据分类分级应当根据数据的重要程度及一旦被篡改、破坏、泄露可能造成的危害程度进行。答案：正确5.公共数据向社会开放前，只要数据量大，就可以直接开放，无需进行脱敏处理。答案：错误解析：开放公共数据涉及个人信息、商业秘密时，必须进行脱敏或去标识化处理。6.漏洞扫描属于主动式安全检测手段。答案：正确7.数据备份时只需要备份数据本身，不需要备份元数据。答案：错误解析：元数据对于数据恢复、完整性校验和权限重建至关重要，应当一并备份。8.涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法经检测认证合格后方可销售。答案：正确9.数据安全风险评估只需要在系统上线前进行一次即可。答案：错误解析：风险评估应当定期开展，并在业务形态、数据类别、处理规模发生重大变化时重新评估。10.任何组织和个人有权对危害数据安全的行为向有关主管部门投诉、举报。答案：正确四、简答题（每题5分，共3题，15分）1.简述《中华人民共和国个人信息保护法》规定的个人信息处理者的一般义务（至少列出五项）。答案：(1)制定内部管理制度和操作规程，对个人信息实行分类管理；(2)采取相应的加密、去标识化等安全技术措施；(3)合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；(4)制定并组织实施个人信息安全事件应急预案；(5)定期对个人信息处理活动开展合规审计；(6)法律、行政法规规定的其他安全义务。2.简述数据分类分级的实施步骤。答案：(1)开展数据资产盘点，梳理数据资源清单；(2)制定或采用适用的分类分级标准与规则；(3)依据标准对数据进行分类和定级；(4)对分类分级结果进行审核、审批和发布；(5)根据不同级别实施差异化的安全保护措施，并实施动态更新。3.简述数据出境活动中，数据处理者应当满足的合规要求。答案：(1)识别出境数据是否涉及重要数据、个人信息及其规模、敏感程度；(2)按规定选择数据出境安全评估、个人信息保护认证或签订标准合同等方式；(3)涉及个人信息出境的，应当取得个人的单独同意；(4)与境外接收方通过合同明确数据保护义务和安全责任；(5)事前开展个人信息保护影响评估，并留存相关记录；(6)配合监管部门的监督检查，及时报告数据出境安全事件。五、案例分析题（每题20分，共2题，40分）1.某互联网公司A开发了一款移动应用，用户注册时强制收集身份证号、通讯录、精确地理位置，并在隐私政策中写明“用于优化推荐服务”。应用将用户通讯录上传至境外服务器，用于构建用户关系链，但未告知用户该信息将被出境。某日，公安机关发现A公司因未落实数据安全保护责任，导致用户数据被大规模泄露。请回答：（1）A公司在个人信息收集环节违反了《中华人民共和国个人信息保护法》的哪些规定？（2）A公司向境外提供个人信息应当满足哪些条件？其未履行哪些程序？（3）针对数据泄露事件，A公司应当采取哪些应急处置措施？（4）结合本案例，谈谈数据安全与信息保护的关系。答案：（1）A公司违反的规定包括：-违反合法、正当、必要、诚信原则，收集的通讯录、精确地理位置与“优化推荐服务”目的缺乏直接关联，构成超范围收集；-处理身份证号等敏感个人信息未取得个人单独同意；-未充分告知处理目的、方式和范围，侵害了用户的知情权；-未遵循最小必要原则，未将个人信息收集限于实现处理目的的最小范围。（2）向境外提供个人信息应当满足：-向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使权利的方式和程序等，并取得单独同意；-开展个人信息保护影响评估；-依法通过数据出境安全评估、个人信息保护认证或者签订标准合同等方式满足合规要求。本案中，A公司未告知用户信息会出境，未取得单独同意，未开展个人信息保护影响评估，也未履行数据出境安全评估或标准合同签约备案程序。（3）A公司应当采取的应急处置措施包括：-立即启动数据安全应急预案；-隔离受影响系统，阻断攻击或泄露渠道；-排查泄露原因和影响范围，保留日志和现场证据；-及时通知履行个人信息保护职责的部门和受影响的个人；-公开披露事件情况，提示用户采取降低风险措施；-配合公安机关调查，修复安全漏洞，防止事件扩大。（4）数据安全与信息保护的关系：数据安全是信息保护的基础。没有数据保密性、完整性、可用性的保障，个人信息权益就难以实现。信息保护则对数据全生命周期处理活动提出更高要求，推动数据安全措施落地。本案中A公司既缺乏数据安全防护，又违规收集和跨境提供用户信息，最终导致大规模泄露，说明数据安全与信息保护相互交织、不可偏废。解析：本题以移动应用超范围收集和违规出境为场景，综合考查《个人信息保护法》《数据安全法》的适用。第（1）问应关注“目的限制”和“最小必要”；第（2）问聚焦数据出境合规路径；第（3）问考查应急响应流程；第（4）问需要从制度、技术和权益保护相结合的角度作答。2.某政务部门委托第三方公司B建设“智慧健康平台”，平台汇聚了全市居民的健康医疗数据，包括病史、诊疗记录等。B公司中标后，在未获授权的情况下，将平台数据用于训练自己的AI模型，并向某医药企业出售脱敏后的部分数据以获取收益。请回答：（1）健康医疗数据在数据分类分级中通常属于哪类数据？为什么？（2）B公司的行为侵犯了哪些法律义务和个人合法权益？（3）政务部门作为数据委托方，应当如何做好数据安全监督？（4）针对此事件，提出数据安全治理的改进建议。答案：（1）健康医疗数据通常属于敏感个人信息，且汇聚后可能构成重要数据。原因是健康医疗数据一旦泄露，容易导致个人受到歧视或人身、财产权益受到危害，属于《个人信息保护法》规定的敏感个人信息。同时，当大量健康医疗数据汇聚形成城市级数据资源时，可能涉及公共利益和国家安全，应当依据数据分类分级规则判定为重要数据并实施重点保护。（2）B公司的行