2026年数据安全技术应用与风险评估考试试卷及答案

2026年数据安全技术应用与风险评估考试试卷及答案一、单项选择题（每题1分，共20分）1.《中华人民共和国数据安全法》自（）起施行。A.2021年6月10日B.2021年9月1日C.2021年11月1日D.2022年1月1日答案：B解析：数据安全法于2021年6月10日通过，自2021年9月1日起施行。2.数据分类分级保护制度中，对国民经济和社会发展可能造成特别严重影响的数据属于（）。A.一般数据B.重要数据C.核心数据D.敏感数据答案：C解析：关系国家安全、国民经济命脉、重要民生、重大公共利益的数据通常属于核心数据，应实行更严格的管理。3.数据安全管理“三同步”原则通常是指（）。A.同步规划、同步建设、同步运行B.同步研发、同步测试、同步上线C.同步采集、同步存储、同步使用D.同步评估、同步审计、同步整改答案：A4.某系统资产价值100万元，暴露系数EF=0.5，该风险年发生概率AA.10万元B.20万元C.50万元D.100万元答案：A解析：SLE=5.下列密码算法中，属于非对称密码算法的是（）。A.AESB.SM4C.RSAD.SHA-256答案：C解析：AES、SM4为对称密码算法，SHA-256为哈希算法，RSA为典型非对称密码算法。6.个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言向个人告知，并取得（）。A.本人的同意B.法定代表人的同意C.所在单位的同意D.监管机构的批准答案：A7.关于HTTPS与HTTP，下列说法正确的是（）。A.HTTPS与HTTP都是明文传输B.HTTPS使用TLS/SSL协议提供加密和身份认证C.HTTPS只加密URL，不加密正文D.HTTPS可以防止所有网络攻击答案：B8.下列数据中，通常应被认定为“重要数据”的是（）。A.企业公开宣传资料B.某省人口健康统计汇总数据C.单个用户手机号码D.员工生日信息答案：B解析：重要数据一般不涉及单一个人信息，而是可能危害国家安全、公共利益或社会稳定的数据。9.数据脱敏中的“不可逆脱敏”通常使用（）实现。A.加盐哈希函数B.对称加密C.可逆置换D.数字水印答案：A解析：加盐哈希难以还原原文，适合密码口令等场景；可逆置换属于可逆脱敏。10.在访问控制模型中，根据主体属性、资源属性和环境条件动态计算访问权限的是（）。A.DACB.MACC.ABACD.RBAC答案：C11.STRIDE威胁建模模型中，“S”表示（）。A.欺骗（Spoofing）B.篡改（Tampering）C.抵赖（Repudiation）D.信息泄露（InformationDisclosure）答案：A12.“3-2-1”备份策略的含义是（）。A.3份数据、2种不同介质、1份异地备份B.3次备份、2次恢复、1次验证C.3天增量、2周全量、1月归档D.3台存储、2个网络、1套容灾答案：A13.数据安全风险评估中的残余风险通常是指（）。A.实施安全措施后仍然存在的风险B.尚未识别的风险C.被完全消除的风险D.风险接受前的固有风险答案：A14.对于敏感个人信息，个人信息处理者应当取得个人的（）。A.口头同意B.匿名同意C.单独同意D.推定同意答案：C15.下列措施中，不能直接降低数据泄露风险的是（）。A.对备份数据加密B.对敏感数据字段脱敏C.提高客服电话接通率D.实施最小权限访问答案：C16.企业发现数据安全漏洞后，最优先采取的措施是（）。A.立即对外发布漏洞细节B.及时修复漏洞并评估影响C.等待厂商补丁D.向媒体说明答案：B17.下列措施中，最能体现“纵深防御”思想的是（）。A.部署单一防火墙B.在终端、网络、应用、数据多个层面部署防护措施C.只对数据库加密D.只做备份而不验证恢复能力答案：B18.下列不属于数据生命周期安全关键环节的是（）。A.数据采集B.数据传输C.数据销毁D.数据备份答案：D解析：数据生命周期通常包括采集、存储、使用、加工、传输、提供、公开、删除等环节，数据备份属于安全保证措施。19.开展数据安全风险评估时，第一步通常应是（）。A.威胁建模B.风险计算C.数据资产识别与分类分级D.安全整改答案：C20.下列不属于数据安全风险评估常用方法的是（）。A.文件查阅B.人员访谈C.工具扫描D.绩效排名答案：D二、多项选择题（每题2分，共20分）1.下列选项中，属于《中华人民共和国数据安全法》确立的基础制度或机制的有（）。A.数据分类分级保护制度B.数据安全审查制度C.数据出境安全评估制度D.工业产品生产许可证制度E.数据安全应急处置机制答案：A、B、C、E解析：数据安全法确立了分类分级、安全审查、数据出境管理、应急处置等制度，D项不属于该法确立的制度。2.数据泄露事件发生后，应急处置工作通常包括（）。A.立即启动应急预案B.封存现场与证据C.评估危害范围并通知受影响方D.隐瞒事件以减少舆情E.按照要求向主管部门报告答案：A、B、C、E解析：隐瞒数据泄露事件既不符合合规要求，也会导致危害扩大，不属于正确处置措施。3.以下属于常见数据脱敏方法的有（）。A.泛化B.抑制C.置换D.随机化E.全文明文化答案：A、B、C、D解析：全文明文化等同于不脱敏，会直接造成敏感信息暴露。4.在数据安全风险评估中，识别威胁时常用的威胁类型包括（）。A.外部恶意攻击B.内部人员违规操作C.硬件故障D.自然灾害E.用户满意度答案：A、B、C、D5.根据《个人信息保护法》，在下列哪些情形下，个人信息处理者可以无需取得个人同意处理个人信息？（）A.为订立或者履行个人作为一方当事人的合同所必需B.依法为履行法定职责或者法定义务所必需C.为公共利益实施新闻报道在合理范围内处理个人信息D.为提升商品利润而进行市场推广E.为应对突发公共卫生事件所必需答案：A、B、C、E解析：市场推广不属于法定无需同意的情形，处理个人信息仍需取得同意或具备其他合法基础。6.下列属于数据安全技术措施的有（）。A.数据库审计B.数据加密C.数据防泄露DLPD.安全态势感知平台E.员工入职辞退流程答案：A、B、C、D7.下列关于数据出境安全管理的说法，正确的有（）。A.向境外提供重要数据的，应当依法开展数据出境安全评估B.向境外提供达到国家网信部门规定数量的个人信息，应当依法采取数据出境安全评估、个人信息保护认证或标准合同等机制C.数据出境风险自评估是开展数据出境安全评估前的重要环节D.获得数据出境安全评估通过后，无需再关注数据出境目的、范围、方式等是否发生变化E.只要对数据进行了加密，就可以不经任何评估向境外提供个人信息答案：A、B、C解析：D项错误，数据出境目的、范围、方式等发生实质变化时，应重新开展评估；加密不能替代出境合规程序。8.下列关于零信任数据安全理念的表述，正确的有（）。A.默认不信任内部网络B.每次访问均需验证身份和权限C.细粒度权限控制D.一旦通过认证即永久可信E.只适用于云环境答案：A、B、C9.在数据安全风险计算中，风险值通常与哪些因素有关？（）A.资产价值B.威胁发生可能性C.脆弱性严重程度D.现有控制措施有效性E.员工职称答案：A、B、C、D10.关于数据分类分级，下列做法正确的有（）。A.对不同类别和等级的数据实施相应的安全保护措施B.重要数据可与其他数据不加区分别存储C.核心数据应实行更严格的管理制度D.分类分级应定期复核并动态调整E.分类分级只在系统上线时开展一次答案：A、C、D解析：B项错误，重要数据通常应隔离存储并强化访问控制；E项错误，数据分类分级应随业务变化动态更新。三、判断题（每题1分，共10分）1.数据安全风险可以完全消除，因此风险评估的目标是使残余风险为零。答案：错误解析：风险难以完全消除，评估目标是识别和管控残余风险，并将其控制在可接受范围内。2.数据脱敏后的数据在任何场景下都不需要保护。答案：错误3.对数据进行加密存储是保护数据机密性的有效措施，但不能防止内部合法用户越权访问。答案：正确4.数据安全风险等级通常由威胁发生的可能性和影响程度共同决定。答案：正确5.定期开展数据安全教育和培训是降低人员因素风险的重要手段。答案：正确6.核心数据、重要数据和一般数据应当采用相同的安全保护策略。答案：错误解析：数据安全法实行分类分级保护，不同级别数据应匹配差异化安全策略。7.日志审计记录存储时间越长越好，可以不考虑存储成本和个人信息保护要求。答案：错误8.数据备份的主要目的是保证业务连续性，因此备份数据本身无需安全保护。答案：错误解析：备份数据可能包含敏感信息，同样需要加密、访问控制和定期恢复验证。9.个人信息处理者委托第三方处理个人信息时，应当对受托人进行监督。答案：正确10.企业开展数据安全风险评估后，若风险已经处置完毕，则无需再关注新出现的数据安全威胁。答案：错误四、简答题（每题5分，共20分）1.简述数据安全风险评估的一般流程。答案：（1）确定评估范围、边界和目标；（2）识别数据资产并进行分类分级；（3）识别威胁源和威胁方式；（4）识别脆弱性和现有安全控制措施；（5）分析安全事件发生的可能性及影响程度；（6）计算风险值并评价风险等级；（7）提出风险处置建议，形成风险评估报告。2.简述数据加密技术的两种基本类型，并各举一个典型算法。答案：（1）对称加密：加密和解密使用相同密钥，典型算法有AES、SM4；（2）非对称加密：使用公钥和私钥组成密钥对，公钥加密、私钥解密，典型算法有RSA、SM2。3.简述数据生命周期中“使用”环节常见的安全风险和控制措施。答案：常见风险包括：越权访问、账号滥用、违规导出、屏幕拍照截屏、敏感数据违规打印等。控制措施包括：实施最小权限访问控制、敏感数据动态脱敏、数据水印溯源、操作审计与异常行为分析、禁止违规复制和导出等。4.简述数据分类分级对数据安全风险评估的意义。答案：（1）明确保护重点，优先识别核心数据和重要数据；（2）为差异化风险评估和分级防护提供依据；（3）帮助匹配法律法规中的合规要求，如数据出境评估、重点保护义务等；（4）提高风险处置的优先级和资源投入的针对性。五、案例分析题（每题15分，共30分）案例一某医疗机构的核心业务系统存储了大量患者电子病历数据，其中包含姓名、身份证号、就诊记录等个人信息，部分健康档案已被认定为重要数据。系统为内部人员和第三方运维厂商开放访问权限，部分账号长期未清理。在一次渗透测试中，测试人员利用某研发账号弱口令进入内网，再通过运维跳板机访问数据库，导出了约5000条病历信息。问题：（1）从数据安全风险评估角度，指出本次事件涉及的资产、脆弱性、威胁源和影响对象。（6分）（2）若该风险可能性评分L=3（中），影响评分I=（3）提出至少5项针对性整改措施。（5分）答案：（1）-资产：患者电子病历、个人健康信息、数据库系统、备份文件、运维跳板机；-脆弱性：弱口令、研发账号可进入内网、访问控制不严、账号长期未清理、运维权限过大；-威胁源：外部渗透测试人员、内部越权人员、第三方运维人员；-影响对象：患者个人合法权益、医院业务连续性、医疗机构声誉和社会公共利益。（2）根据风险计算公式：R该风险值处于中风险区间，虽不构成最高严重等级，但仍可能造成较大数据泄露影响，应当制定整改计划，限期落实管控措施，并对残余风险进行持续监测。（3）-清理长期不用的僵尸账号，实行账号实名制管理；-实施最小权限访问控制，关闭研发账号对生产数据的默认访问权限；-禁止使用弱口令，全面推行多因素认证；-数据库访问必须审批授权，并部署数据库审计和异常行为告警；-备份数据加密存储，并单独设置访问控制；-对第三方运维人员提供的数据进行脱敏，并签订保密协议；-定期开展数据安全培训、渗透测试和应急演练。案例二某跨境电商企业拟将境内运营中收集的客户订单数据共享给境外合作方，用于产品质量分析。订单数据包含手机号、收货地址等个人信息，不包含身份证号。该企业已完成数据分类分级，认为相关数据属于一般数据。问题：（1）该场景中的数据出境是否需要进行数据出境安全评估？请结合法律依据说明。（6分）（2）如果企业先对订单数据进行匿名化、去标识化或加密处理，对其出境合规义务有何不同影响？（5分）（3）请提出该企业数据出境前应完成的管理和技术工作。（4分）答案：（1）不一定会直接触发强制数据出境安全评估，但必须依法完成数据出境合规程序。订单数据包含手机号、收货地址等个人信息，即使企业自行认定为