数据安全考试题及答案

数据安全考试题及答案一、单项选择题（每题1分，共20分）1.数据安全的三个核心目标是？A.保密性、完整性、可用性B.真实性、不可抵赖性、可追溯性C.安全性、可靠性、高效性D.完整性、一致性、时效性答案：A解析：数据安全的CIA三要素即保密性、完整性和可用性。选项D的"一致性、时效性"属于数据库事务与数据质量概念，不属于数据安全核心目标。2.《中华人民共和国数据安全法》自哪一年起施行？A.2020年B.2021年C.2022年D.2023年答案：B解析：《数据安全法》于2021年6月10日通过，自2021年9月1日起施行。与《个人信息保护法》（2021年11月1日施行）施行时间不同，注意区分。3.根据《数据安全法》，国家建立数据分类分级保护制度，对下列哪类数据实行更加严格的管理制度？A.一般数据B.重要数据C.个人数据D.企业数据答案：B解析：《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，对列入国家核心数据目录的数据实行更加严格的管理制度，对重要数据予以重点保护。4.在访问控制模型中，RBAC指的是？A.自主访问控制B.强制访问控制C.基于角色的访问控制D.基于属性的访问控制答案：C解析：RBAC（Role-BasedAccessControl）即基于角色的访问控制，通过角色将用户与权限解耦。DAC是自主访问控制，MAC是强制访问控制，ABAC是基于属性的访问控制。5.下列哪种不属于对称加密算法？A.AESB.DESC.RSAD.SM4答案：C解析：RSA是非对称加密算法，基于大整数分解难题。AES、DES、SM4（国密）均为对称加密算法。6.对数据进行脱敏处理的主要目的是？A.提高数据存储效率B.降低敏感数据泄露风险C.提升数据查询速度D.增加数据备份频率答案：B解析：数据脱敏通过对敏感字段进行变形、替换等处理，使数据在非生产环境下可用但不含真实敏感信息，从而降低泄露风险。7.个人信息保护法中，处理个人信息应当遵循的最小必要原则是指？A.只处理满足目的所需的最少个人信息B.只处理法律法规允许的个人信息C.只处理取得用户明示同意的个人信息D.只处理不超过1年的个人信息答案：A解析：最小必要原则要求收集个人信息应与处理目的直接相关，且为实现目的所必需的最小范围和数量。8.数据备份策略中，"3-2-1"原则的含义是？A.至少3份拷贝、2种不同介质、1份异地存放B.至少3份拷贝、2次定期校验、1次灾备演练C.每天备份3次、保留2个月、1份离线D.3小时内恢复、2小时内响应、1小时内告知答案：A解析：3-2-1备份原则指保留至少3份数据副本，存储于2种不同介质，其中1份存放于异地，以防本地灾难导致数据全部丢失。9.数据安全风险评估的首要步骤是？A.风险处置B.风险识别C.数据资产梳理D.制定应急预案答案：C解析：风险评估的前提是摸清数据资产底数，包括数据分布、数据量级、敏感级别、流转链路等，只有完成资产梳理才能有效开展后续识别与评价。10.下列哪项技术主要用于防止数据在传输过程中被窃取或篡改？A.数据脱敏B.传输加密（TLS/SSL）C.数据分类分级D.数据备份答案：B解析：TLS/SSL协议通过加密和完整性校验保护传输中的数据。脱敏、分类分级和备份均不直接作用于数据传输通道。11.根据《个人信息保护法》，处理敏感个人信息应当取得个人的？A.口头同意B.默示同意C.单独同意D.概括同意答案：C解析：《个人信息保护法》第二十九条规定，处理敏感个人信息应当取得个人的单独同意。法律还规定应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响。12.数据库加密技术中，应用透明加密（TDE）的主要优势是？A.无需修改应用程序即可实现对存储数据的加密B.加密强度高于列级加密C.支持所有数据库类型D.不影响数据库性能答案：A解析：TDE（TransparentDataEncryption）对上层应用透明，应用无需感知加密逻辑、无需改造，由数据库层自动完成数据加解密。它在某些场景下会有性能开销，且不同数据库实现方式存在差异。13.在零信任安全模型中，其核心思想是？A.边界防御为主，内外网隔离B.永不信任，持续验证C.一次认证，全网通行D.默认信任内网用户答案：B解析：零信任模型默认不信任网络内外的任何主体，对每次访问请求都进行身份验证、权限校验和行为分析，实现"永不信任，持续验证"。14.下列哪项不是数据水印技术的典型应用场景？A.数据泄露溯源B.防止数据越权下载C.版权保护D.数据完整性校验答案：B解析：数据水印常用于泄露溯源、版权保护与完整性验证。数据越权下载属于访问控制层面的问题，靠权限管控解决，而非水印。15.数据安全事件应急处置中，事件分级的主要依据是？A.事件造成的经济损失和社会影响B.事件发生的具体时间C.攻击者的技术水平D.事件是否涉及外部攻击答案：A解析：事件分级综合考量数据重要性、影响范围、损失程度等因素，经济损害和社会影响是核心判断维度。16.在数据全生命周期管理中，数据销毁环节的要求是？A.删除业务系统中的所有数据库记录B.确保数据不可恢复且介质被安全处理C.将数据迁移至离线存储设备D.将数据压缩后长期保存答案：B解析：数据销毁应保证数据彻底不可恢复，涉及存储介质的消磁、物理粉碎或采用符合标准的覆写删除手段，防止数据残留造成泄露。17.下列哪项关于API数据安全的风险描述是不准确的？A.未鉴权的API可能导致数据越权访问B.API传输的数据通常不加密C.API返回过多敏感字段会造成数据过度暴露D.限流措施缺失可能引发数据批量爬取答案：B解析：HTTPS协议下的API传输已加密，但常见风险包括鉴权缺失、越权访问、返回字段冗余、缺少限流与审计等。B项不是普遍性事实。18.数据安全合规中，GDPR的适用范围是？A.仅适用于欧盟境内的企业B.适用于所有处理欧盟境内数据主体个人数据的组织C.仅适用于政府部门D.仅适用于互联网企业答案：B解析：GDPR具有域外效力，只要处理欧盟境内数据主体的个人数据，无论处理者位于哪个国家或地区，均在适用范围内。19.下列哪项不是数据安全治理体系建设的核心内容？A.组织架构与责任分工B.制度规范与标准流程C.技术工具与平台建设D.数据价值最大化变现答案：D解析：数据安全治理聚焦于合规、风险与防护，核心包含组织、制度、技术、人员等方面。数据价值变现属于数据开发利用范畴，不是安全治理本身的核心。20.差分隐私技术的主要目的是？A.防止数据库被SQL注入攻击B.在发布统计数据时保护个体隐私C.提高数据加密的算法强度D.检测数据是否被篡改答案：B解析：差分隐私通过向查询结果引入受控噪声，使攻击者无法判断某个具体个体是否在数据集中，从而在发布统计信息的同时保护个体隐私。二、多项选择题（每题2分，共20分）1.数据分类分级的主要作用包括？A.明确数据保护优先级B.为差异化安全策略提供依据C.满足合规监管要求D.消除所有数据安全风险答案：A、B、C解析：分类分级能够指导组织确定保护重点、匹配相应防护措施并支撑合规义务，但任何措施都无法完全消除所有风险。2.下列属于个人敏感信息的有？A.生物识别信息B.宗教信仰信息C.银行账号D.通信记录和内容答案：A、B、C、D解析：《个人信息保护法》第二十八条明确将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为敏感个人信息，通信记录和内容也属于该范畴。3.下列属于非对称加密算法的有？A.ECCB.SM2C.3DESD.DSA答案：A、B、D解析：ECC、SM2、DSA均为非对称加密/签名算法。3DES是典型的对称加密算法。4.零信任架构的核心组件包括？A.身份与访问管理（IAM）B.微隔离C.持续风险评估D.物理防火墙答案：A、B、C解析：零信任的核心组件包括身份认证、权限管理、微隔离、持续信任评估等。物理防火墙是传统边界安全组件，不属于零信任特有架构。5.数据安全事件的应急响应流程通常包括？A.检测与报告B.遏制与消除C.恢复与溯源D.总结与改进答案：A、B、C、D解析：完整应急响应生命周期包括准备、检测、报告、遏制、根除、恢复和复盘改进各环节。6.敏感数据识别与发现的技术手段包括？A.正则表达式匹配B.机器学习分类模型C.数据血缘分析D.网络流量检测答案：A、B、C、D解析：敏感数据发现可综合使用正则匹配、自然语言处理与机器学习分类、数据血缘追踪以及流量分析等手段。7.数据跨境传输的合规要求通常包括？A.开展数据出境安全评估B.与境外接收方签订标准合同C.取得个人信息主体的单独同意D.无需任何审批直接传输答案：A、B、C解析：我国《数据出境安全评估办法》《个人信息出境标准合同办法》等规定，数据出境需通过安全评估、签订标准合同或获得保护认证，并满足告知同意要求。8.数据安全技术防护体系中，终端侧的数据防泄露措施包括？A.终端加密B.外设管控C.屏幕水印D.数据库审计答案：A、B、C解析：终端加密、USB外设管控、屏幕水印均属于终端数据防泄露（终端DLP）手段。数据库审计属于服务端数据安全措施。9.云环境下的数据安全责任分担，下列说法正确的有？A.云服务商负责云平台安全B.租户负责自己数据的安全与合规C.云上所有安全责任均由服务商承担D.租户需要管理自己应用的访问控制答案：A、B、D解析：云安全遵循"责任共担模型"，服务商保障云基础设施安全，租户负责自身数据、应用和配置的安全，C项违背这一模型。10.灾难恢复指标RTO和RPO的含义是？A.RTO是恢复时间目标B.RPO是恢复点目标C.RTO表示数据可丢失的最大量D.RPO表示数据可丢失的最大量答案：A、B、D解析：RTO（RecoveryTimeObjective）指业务中断到恢复所需的最长时间；RPO（RecoveryPointObjective）指可容忍的最大数据丢失量。C项将两者含义混淆。三、判断题（每题1分，共10分）1.数据安全的最终目标是完全杜绝一切数据安全事件的发生。答案：错误解析：绝对安全不存在，数据安全目标是控制风险在可接受范围内并具备快速响应和恢复能力。2.数据加密后，原始数据就无需再进行访问控制。答案：错误解析：加密和访问控制是互补措施。加密保护存储与传输，访问控制决定谁能拿到密钥和数据，二者缺一不可。3.《数据安全法》适用于在中华人民共和国境内开展的数据处理活动。答案：正确4.个人信息是指与已识别或可识别的自然人有关的各种信息，匿名化处理后的信息不属于个人信息。答案：正确解析：《个人信息保护法》第四条明确排除匿名化信息，因为其无法识别特定自然人。5.只要数据备份了，就一定能保证数据安全。答案：错误解析：备份主要解决可用性问题，无法对抗泄露、篡改、越权等安全威胁，还需加密、权限、审计等综合防护。6.对称加密的加密密钥和解密密钥相同。答案：正确7.数据脱敏必须是不可逆的，否则就没有任何意义。答案：错误解析：脱敏分为不可逆脱敏和可逆脱敏。可逆脱敏用于需要还原原始数据的场景，同样有应用价值。8.对企业来说，数据安全治理的主要驱动力是满足合规要求，因此只做"合规"层面的最低限度即可。答案：错误解析：合规是底线而非全部，良好的数据安全治理还能降低业务风险、保护企业声誉和竞争优势。9.员工使用个人U盘从公司拷贝数据不属于数据安全事件。答案：错误解析：员工未经授权拷贝公司数据属于数据泄露风险行为，可能构成数据安全事件。10.数据安全风险评估只需要做一次，后续无需再评估。答案：错误解析：业务变化、系统升级、威胁演进都要求定期或按需开展复评估，持续跟踪风险变化。四、简答题（每题5分，共20分）1.简述数据分类分级的基本步骤。答案：(1)梳理数据资产清单，摸清数据项分布与所属系统；(2)制定分类分级标准，明确级别定义与判定规则，通常依据数据重要性、敏感程度、影响对象等因素；(3)按标准对数据资产进行定级标注；(4)针对不同级别数据制定差异化安全策略，并落实相应的访问控制、加密、脱敏等措施；(5)建立动态更新机制，随业务变化定期复核调整级别。2.简述数据安全风险评估的主要步骤。答案：(1)确定评估范围与对象，明确评估边界；(2)数据资产识别与分类分级，梳理数据全生命周期环节；(3)威胁识别，分析内外部可能的安全威胁；(4)脆弱性识别，检查系统配置、权限管理、加密措施等薄弱点；(5)综合分析与风险计算，判断现有控制措施有效性并形成风险清单；(6)提出整改建议并编制评估报告。3.简述企业在收集个人信息时应履行的基本义务。答案：(1)遵循合法、正当、必要和诚信原则；(2)事先告知收集目的、方式、范围和保存期限，取得个人同意；(3)敏感个人信息需取得单独同意；(4)落实最小必要原则，不超范围收集；(5)采取加密、脱敏等技术和管理措施保障信息安全；(6)提供查询、更正、删除等权利实现渠道。4.简述数据备份与容灾的区别。答案：备份是将数据复制到其他介质或位置，主要解决数据丢失后的恢复问题，侧重数据的"可恢复性"；容灾是在备份基础上建立完整的冗余系统，接管生产业务，解决业务中断后的连续性，侧重业务的"可接管性"。备份是容灾的基础，容灾给业务提供了更高等级的连续性保障。五、案例分析题（每题15分，共30分）1.某电商平台发生数据泄露事件，经调查发现：-攻击者利用一个未鉴权的内部API接口批量获取了约2000万条用户订单数据，包含姓名、手机号、收货地址等信息；-该接口自上线以来未纳入数据资产清单，也未进行安全评估；-数据库日志显示，该接口存在长达3个月的异常高频访问，但安全团队未能及时发现。请分析该事件暴露了哪些数据安全管理问题，并提出相应的整改措施。答案：该事件暴露的问题包括：(1)数据资产梳理缺失：内部API未纳入数据资产清单，导致该接口游离于安全管理范围之外；(2)访问控制与鉴权机制薄弱：API未实施有效的身份认证和鉴权，攻击者可匿名调用；(3)敏感数据保护不力：接口返回大量未脱敏的个人信息字段，缺乏最小化返回机制；(4)安全监测与审计能力不足：异常高频访问持续3个月未被发现，数据安全监控和异常行为分析机制失效；(5)开发运维流程缺乏安全管控：接口上线前未经过安全评审、未纳入统一安全架构。整改措施：(1)全面梳理数据资产清单，所有API纳入台账管理，明确数据流向与责任部门；(2)统一实施身份认证、鉴权与接口访问控制，建立最小权限原则下的权限体系，对敏感接口增加额外的访问审批与频率限制；(3)对敏感字段实施脱敏处理，减少接口返回字段，遵循数据最小化原则；(4)完善日志审计与异常行为检测机制，利用UEBA与流量分析工具设置敏感数据访问的告警阈值，及时发现异常访问；(5)建立API上线安全评审和定期渗透测试机制，将安全要求嵌入开发运维全流程。解析：本题综合考察数据资产管理、访问控制、敏感数据防护