2026年信息系统监理师考试大数据安全试卷及答案

2026年信息系统监理师考试大数据安全试卷及答案一、单项选择题（每题1分，共20分）1.根据《中华人民共和国数据安全法》，数据处理者开展数据处理活动应当遵循的原则不包括下列哪一项？A.合法、正当、必要B.公开、透明、可追溯C.以数据共享为唯一导向D.保障数据安全，促进数据开发利用答案：C解析：《数据安全法》明确数据处理应当坚持"合法、正当、必要"原则，并鼓励数据依法合理有效利用，但"唯一导向"表述错误。2.在大数据平台架构中，承担分布式存储职责的核心组件是？A.MapReduceB.HDFSC.ZookeeperD.Flume答案：B解析：HDFS（Hadoop分布式文件系统）负责海量数据的分布式存储；MapReduce负责计算，Zookeeper负责协调，Flume负责日志采集。3.依据《信息安全技术大数据服务安全能力要求》（GB/T35274），大数据服务安全能力级别不包含？A.基础级B.增强级C.优秀级D.级答案：C（注：C项为干扰项，实际标准中无"优秀级"）解析：GB/T35274将大数据服务安全能力划分为基础级和增强级两个级别，不存在"优秀级"这一级别。4.对大数据系统中的敏感数据实施脱敏处理时，下列哪种方法属于不可逆脱敏？A.替换B.哈希C.加密D.随机化答案：B解析：哈希运算具有单向性，属于不可逆脱敏方法；替换、加密（有密钥时可还原）、随机化在一定条件下可逆或可控。5.在数据分级分类管理中，对个人信息中的生物识别信息、宗教信仰等信息，通常应划分为？A.一般个人信息B.敏感个人信息C.公开个人信息D.匿名化信息答案：B解析：根据《个人信息保护法》，生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息属于敏感个人信息。6.监理工程师在审查大数据平台安全设计方案时，发现系统未设置日志留存机制。根据《网络安全法》要求，网络日志的留存期限不得少于？A.1个月B.3个月C.6个月D.12个月答案：C解析：《网络安全法》第二十一条规定，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。7.下列不属于大数据安全风险评估基本要素的是？A.资产B.威胁C.脆弱性D.项目工期答案：D解析：风险评估三要素通常为资产、威胁、脆弱性，项目工期不属于安全风险评估要素。8.关于差分隐私技术，下列说法正确的是？A.差分隐私无法量化隐私保护程度B.差分隐私通过向查询结果中添加噪声实现隐私保护C.差分隐私仅适用于静态数据集D.差分隐私会完全消除数据可用性答案：B解析：差分隐私通过向查询结果中添加经过设计的随机噪声来实现隐私保护，并以预算ε量化隐私损失；其不仅适用于静态数据，也能用于动态数据流，且在设计合理时可兼顾可用性。9.在Hadoop生态中，负责集群资源管理与调度的组件是？A.KafkaB.YARNC.HiveD.Sqoop答案：B解析：YARN（YetAnotherResourceNegotiator）负责集群资源统一管理和作业调度，Kafka用于消息队列，Hive用于数据仓库，Sqoop用于数据迁移。10.监理单位在大数据安全测试阶段，发现系统存在SQL注入漏洞。该漏洞属于下列哪类安全风险？A.物理安全风险B.应用安全风险C.网络安全风险D.管理安全风险答案：B解析：SQL注入源于应用程序对用户输入过滤不严，属于应用安全风险。11.依据《信息安全等级保护管理办法》，大数据平台承载个人信息和非涉密业务数据，拟定为第三级保护对象，其测评周期为？A.每年至少测评一次B.每两年测评一次C.每三年测评一次D.无需测评答案：A解析：第三级信息系统要求每年至少进行一次等级测评；第二级每两年一次；第四级每半年一次。12.数据备份策略中，在固定时间点进行的完整数据拷贝称为？A.增量备份B.差异备份C.完全备份D.日志备份答案：C解析：完全备份（全量备份）是对指定数据对象进行完整拷贝；增量备份只备份自上次备份以来变化的数据；差异备份备份自上次全量备份以来变化的数据。13.监理工程师审核数据安全管理制度时，下列哪项制度不属于大数据安全管理必备制度？A.数据分类分级管理制度B.数据安全事件应急预案C.数据分析算法性能优化制度D.数据访问授权与审批制度答案：C解析：算法性能优化制度属于技术效率管理范畴，与数据安全管理制度体系无直接关联。14.在数据加密机制中，RSA算法属于？A.对称加密算法B.非对称加密算法C.哈希算法D.流密码算法答案：B解析：RSA基于大整数因子分解难题，使用公钥与私钥，属于非对称加密算法。对称加密的典型代表为AES、DES。15.大数据环境中，防止数据在采集、传输、存储、使用、共享等环节被未授权篡改，主要依赖于下列哪项安全属性？A.机密性B.完整性C.可用性D.抗抵赖性答案：B解析：完整性指数据未经授权不得改变，即对抗篡改攻击；机密性侧重防泄露，可用性侧重保障访问。16.下列选项中，不属于个人信息匿名化处理要求的是？A.不可识别特定自然人B.不可复原C.处理后信息可任意共享D.匿名化后的信息不属于个人信息答案：C解析：匿名化处理后的信息不再属于个人信息，但仍需遵循法律法规对数据流通的合规要求，并非"可任意共享"。17.监理实施大数据平台安全验收时，应重点核查的内容不包括？A.安全设备部署与策略配置B.数据加密与脱敏措施落实情况C.项目团队成员薪资水平D.安全管理制度与培训记录答案：C解析：安全验收核查范围主要包括技术措施和管理措施，团队成员薪资不属于验收范围。18.隐私保护计算技术中，实现"数据可用不可见"的典型技术是？A.数据镜像B.联邦学习C.数据压缩D.索引优化答案：B解析：联邦学习通过在不共享原始数据的前提下协作训练模型，是实现"数据可用不可见"的典型隐私计算技术。19.监理工程师在巡检时发现大数据节点操作系统存在高危漏洞，正确的处理流程是？A.督促运维方立即打补丁并验证B.要求业务系统即刻下线C.忽略漏洞等待定期维护D.仅记录在案不采取行动答案：A解析：发现高危漏洞应在做好风险评估和应急预案的前提下及时修补，并验证修补后系统功能与安全性不受影响。20.数据安全事件发生后，按照应急预案进行处置的首要步骤是？A.删除相关日志B.断开网络连接C.报告事件并启动应急响应D.联系媒体发布声明答案：C解析：数据安全事件处置应先按预案报告并启动应急响应，再实施遏制、根除、恢复等措施，同时保护现场证据。二、多项选择题（每题2分，共20分；少选得1分，多选、错选不得分）1.依据《数据安全法》，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。下列属于数据安全审查重点的情形有？A.数据处理活动影响国家安全B.数据处理活动影响公共利益C.数据处理活动影响公民个人隐私D.数据处理活动影响国家经济安全答案：ABD解析：数据安全审查主要针对影响或可能影响国家安全、公共利益、经济安全的数据处理活动。个人隐私保护属于个人信息保护范畴，不属于国家安全审查的直接对象。2.大数据平台常见的安全威胁包括？A.恶意代码攻击B.内部人员越权访问C.数据跨境违规传输D.分布式拒绝服务攻击答案：ABCD解析：上述选项均属于大数据平台面临的实际安全威胁，覆盖外部攻击、内部风险与合规风险。3.下列属于数据脱敏常用算法的有？A.替换B.重排C.掩码D.泛化答案：ABCD解析：替换、重排、掩码、泛化均为常见数据脱敏算法；此外还包括加密、哈希、随机化等。4.监理单位对大数据安全设计方案进行审核时，应关注的内容包括？A.安全需求是否覆盖大数据全生命周期B.安全技术措施是否符合等级保护要求C.安全设计是否与业务架构匹配D.项目预算是否全部用于安全设备采购答案：ABC解析：安全设计审核关注需求覆盖、合规性与架构匹配度；预算分配不是技术方案审核的核心内容。5.下列技术中，可用于大数据环境下的访问控制的有？A.基于角色的访问控制（RBAC）B.基于属性的访问控制（ABAC）C.基于标签的访问控制（LBAC）D.基于密码的访问控制（PBAC）答案：ABC解析：RBAC、ABAC、LBAC均为主流大数据访问控制模型。PBAC不是通用访问控制模型术语。6.大数据安全事件应急预案中，应急响应阶段通常包括？A.事件检测与上报B.事件遏制与处置C.系统恢复与验证D.事后溯源与总结答案：ABCD解析：应急响应全流程通常涵盖准备、检测与上报、遏制、根除、恢复、总结改进等环节，四个选项均正确。7.关于大数据环境下个人信息保护，下列说法正确的有？A.收集个人信息应取得个人同意B.敏感个人信息处理需单独同意C.个人信息处理者可任意向第三方提供个人信息D.提供个人信息给第三方需履行告知义务答案：ABD解析：《个人信息保护法》规定向第三方提供个人信息应告知并取得同意，不得任意共享，C选项错误。8.监理人员检查大数据平台日志审计系统时，应确认的要点有？A.日志记录是否完整覆盖关键操作B.日志是否具备防篡改能力C.日志留存时间是否满足法规要求D.日志格式是否统一答案：ABCD解析：日志审计核查要点包括完整性、防篡改、合规留存、格式规范性等，四个选项均为必查项。9.下列属于大数据安全监测范围的有？A.用户异常访问行为B.数据批量导出操作C.系统CPU使用率波动D.非工作时间的数据操作答案：ABCD解析：大数据安全监测既包括安全事件类指标，也包括业务异常行为与系统运行异常指标，上述选项均可作为监测对象。10.大数据平台建设监理实施细则中，安全监理的内容应包括？A.安全实施方案审核B.安全设备到货验货C.安全测试见证D.安全整改督促答案：ABCD解析：安全监理覆盖设计、实施、测试、整改全过程，四个选项均为安全监理的典型工作内容。三、判断题（每题1分，共10分）1.数据安全治理中，数据分类是分级的前提，先分类后分级。答案：正确2.大数据平台的加密存储仅需对敏感字段加密，无需考虑密钥管理。答案：错误解析：加密存储必须配套完善的密钥管理机制（密钥生成、分发、轮换、销毁），否则加密措施将失去意义。3.匿名化处理后的信息可以认定为个人信息。答案：错误解析：《个人信息保护法》规定匿名化后的信息不属于个人信息。4.监理单位可以代替建设单位制定数据安全管理制度。答案：错误解析：监理单位负责审核、督促，数据安全管理制度应由建设单位或承建单位制定，监理提供咨询建议。5.联邦学习可以在不交换原始数据的前提下协同训练模型。答案：正确6.大数据中心应建立数据容灾备份机制，但容灾备份不属于数据安全等级保护的内容。答案：错误解析：数据备份与容灾恢复是等级保护安全管理制度和技术措施的重要组成部分。7.数据安全风险评估只需在系统建设初期开展一次。答案：错误解析：风险评估应在系统建设运行全生命周期内定期开展，并随业务变化、威胁变化及时复评。8.在数据安全事件处置过程中，可以因应急处置需要而暂时停用系统，必要时可采取隔离措施。答案：正确9.数据脱敏后的数据一定可以完全还原。答案：错误解析：不同脱敏算法可逆性不同，如哈希脱敏不可逆；即使可逆脱敏也需要密钥或映射表支持。10.监理单位发现承建单位存在数据安全隐患时，应立即要求整改并跟踪验证。答案：正确四、简答题（每题5分，共20分）1.简述大数据环境中数据安全风险的主要特点。答案：(1)数据规模大、价值密度低，风险影响面广；(2)数据来源多样、流转复杂，安全边界模糊；(3)数据生命周期环节多，风险分布广；(4)新型攻击手段不断出现，传统安全措施难以完全覆盖；(5)数据共享与开放需求与安全保护之间存在矛盾。2.简述数据分级分类的基本流程。答案：(1)数据资产梳理与盘点，形成数据资产清单；(2)制定数据分类分级标准与规则；(3)对数据资产进行分类，确定数据类别；(4)依据敏感程度和影响程度确定数据级别；(5)评审、批准分级结果并发布执行；(6)动态更新维护分级分类结果。3.简述监理单位在大数据安全测试阶段的主要工作。答案：(1)审核测试方案与用例，确认覆盖安全功能、漏洞扫描、渗透测试等内容；(2)见证测试过程，记录测试结果；(3)审查测试发现的问题清单；(4)督促承建单位整改并复测验证；(5)出具安全测试监理意见。4.简述大数据安全事件应急预案应包括的主要内容。答案：(1)应急组织与职责分工；(2)事件分级与响应流程；(3)事件监测、报告与通报机制；(4)应急处置措施与操作步骤；(5)系统恢复与业务连续性保障；(6)应急演练计划与总结改进要求。五、案例分析题（每题15分，共30分）案例一某市政务大数据平台建设进入试运行阶段，承建单位提交了数据安全自测报告。监理工程师在审查中发现以下情况：（1）平台存储了公民身份证号码、手机号码等个人信息，但未对存储数据实施加密；（2）运维人员可通过个人账号直接查询全量公民个人敏感信息，无审批流程；（3）系统日志中未记录数据批量导出操作日志；（4）平台未制定数据安全事件应急预案。问题：1.请指出上述情况分别违反了哪些数据安全要求？（6分）2.针对上述问题，监理单位应如何督促承建单位整改？（9分）答案：1.违规情况分析：-（1）未对敏感个人信息存储加密，违反了《数据安全法》《个人信息保护法》关于对敏感个人信息采取加密等安全措施的要求，也不符合等级保护第三级系统的数据保密性要求。-（2）无审批流程即查询全量敏感信息，违反了数据访问控制与最小授权原则，访问行为缺少审批和管控。-（3）未记录批量导出操作日志，违反《网络安全法》的日志留存要求，无法实现安全审计与追溯。-（4）未制定数据安全事件应急预案，不符合《数据安全法》第二十五条关于建立应急处置机制的要求。2.监理整改督促措施：（1）签发监理工程师通知单，要求承建单位限期整改，明确整改内容与期限；（2）要求承建单位制定数据加密方案，对敏感字段采用国密算法（如SM4）加密存储，并完善密钥管理体系；（3）建立数据访问审批机制，实施最小权限原则，对全量敏感数据查询实行双人审批，并结合水印技术追溯泄露源头；（4）完善日志审计系统，确保关键操作（查询、导出、修改、删除）日志完整记录，留存不少于6个月，并部署日志防篡改措施；（5）督促承建单位编制数据安全事件应急预案，并组织应急演练；（6）整改完成后审查整改报告，复核验证整改效果，必要时组织回归测试；整改合格后方可同意进入下一阶段。解析：本题重点考查监理工程师对大数据安全合规性问题的识别与整改督促能力。答题时应注意将问题逐一对应法律法规条款，同时从监理工作方法（通知、审核、验证）角度组织整改措施。案例二某大型电商企业拟建设大数据分析平台，用于用户行为分析与精准营销。该平台将汇聚用户注册信息、浏览记录、交易记录、位置信息等数据。监理单位在开工前审查承建单位提交的数据安全实施方案，发现如下问题：（1）方案中未明确用户个人信息的采集范围与使用目的；（2）平台拟将用户浏览记录原始数据直接提供给第三方合作公司用于建模分析；（3）方案未设计隐私保护计