2026年数据安全培训考试题有答案

2026年数据安全培训考试题有答案一、单项选择题（共20题，每题1.5分，总计30分。每题只有1个正确答案，错选、不选均不得分）1.根据《中华人民共和国数据安全法》《网络数据安全管理条例》要求，开展数据分类分级保护工作的第一责任主体是（）A.行业主管部门B.数据处理者C.国家网信部门D.公安机关2.根据GB/T43697-2024《数据安全技术数据分类分级规则》，我国数据安全级别从低到高划分为5个层级，其中关系国家安全、国民经济命脉、重要民生、重大公共利益，一旦遭到泄露、篡改、破坏会对国家安全造成特别严重危害的数据属于（）A.重要数据B.敏感数据C.核心数据D.内部数据3.在日常工作中使用生成式人工智能工具提升效率时，下列行为符合数据安全管理要求的是（）A.将未脱敏的1000条客户身份证号、手机号信息输入公有大模型，要求其生成客户营销短信模板B.将公司自主研发的核心产品源代码、技术参数文档输入公有大模型，要求其优化代码逻辑C.使用经公司信息安全部门评估通过的私有化部署大模型，对经过脱敏处理的内部工作材料进行内容优化D.使用个人注册的公有大模型账号，上传公司尚未公开的年度财报数据，要求其生成业绩解读PPT框架4.根据《中华人民共和国个人信息保护法》，下列信息中不属于敏感个人信息的是（）A.个人的人脸、指纹等生物识别信息B.个人的病历、诊疗记录等医疗健康信息C.个人的银行卡号、交易记录等金融账户信息D.个人在企业公开渠道公示的职务、办公联系电话信息5.根据《数据出境安全评估办法》，下列数据出境场景中，不需要向国家网信部门申报数据出境安全评估的是（）A.关键信息基础设施运营者向境外合作方提供其运营过程中收集的个人信息B.某电商平台累计注册用户1200万人，其向境外总部同步平台用户的订单信息C.某外贸企业自上年1月1日起，累计向境外供应商提供4.2万名非敏感客户的订单收货信息，不涉及重要数据D.某科研机构向境外合作方传输其在研究过程中采集的1.2万名受访者的基因检测信息（敏感个人信息）6.根据《网络数据安全管理条例》要求，网络数据处理者发生重要数据安全事件，或者发生超过100万人个人信息泄露、篡改、丢失事件的，应当在事件发生后（）内，向设区的市级以上网信、公安部门报告事件基本情况和已采取的处置措施。A.1小时B.8小时C.24小时D.48小时7.数据安全管理中的“最小权限原则”指的是（）A.为所有员工开通全系统的管理员权限，方便跨岗位协作B.按照员工的岗位职责授予其完成工作所必需的最小数据访问权限，权限范围随岗位变动动态调整C.为了降低管理成本，给同一部门的员工开通相同的权限D.新员工入职3个月内不授予任何数据访问权限8.下列关于办公移动存储介质（U盘、移动硬盘等）使用的行为，符合安全要求的是（）A.在外部展会、会议上捡到的U盘，拿回公司插入办公电脑查杀病毒后使用B.将存储有客户敏感信息的U盘带回家中，接入个人电脑拷贝工作文件C.使用公司统一采购、加密登记的专用移动存储介质存储内部数据，使用前经过病毒查杀，不随意转借他人D.为了方便传输文件，个人U盘长期插在办公电脑上不拔出9.为防范勒索病毒攻击导致的数据不可逆丢失，按照数据备份“3-2-1原则”，下列做法正确的是（）A.将所有数据只存在公司业务服务器上，不做额外备份B.保存3份数据副本，使用2种不同的存储介质，其中1份备份存放在异地离线环境C.将数据备份在同一机房的3台服务器上，防止单台服务器损坏D.将所有数据同步上传到个人云盘，方便随时调取10.根据个人信息保护相关要求，处理不满（）周岁未成年人的个人信息，应当取得未成年人父母或者其他监护人的单独同意，并制定专门的个人信息处理规则。A.12B.14C.16D.1811.下列办公场景中的行为，不存在数据泄露风险的是（）A.离开工位时不锁定电脑屏幕，桌面上摆放着打印好的客户敏感信息清单B.收到主题为“工资补贴发放通知”的陌生邮件，不核实发件人身份就点击邮件中的链接，输入个人账号密码C.远程办公时，使用公司指定的VPN通道接入内网，通过公司加密的文件传输系统传递工作文件，不连接无安全验证的公共WiFi处理敏感数据D.将涉及公司核心商业秘密的项目资料拍照发到私人微信群，和朋友讨论工作内容12.对存储过核心敏感数据的硬盘进行报废处理时，下列做法符合数据安全要求的是（）A.删除硬盘中的文件后，作为二手物品出售B.对硬盘进行快速格式化后，丢弃到普通垃圾桶C.按照公司数据销毁管理规范，对硬盘进行消磁、物理粉碎等不可逆销毁处理，留存销毁记录D.将硬盘借给其他部门临时存储非敏感文件13.根据个人信息处理的“最小必要”原则，企业在收集用户个人信息时，下列做法正确的是（）A.外卖平台在用户注册时，强制要求用户开放通讯录权限、位置信息持续授权，否则无法使用点餐功能B.在线文档工具收集用户编辑的文档内容，用于向用户提供文档存储、编辑服务，不收集与服务无关的个人隐私信息C.健身APP在用户使用时，强制要求读取用户的短信记录、相册、通话记录，否则无法使用基础的运动记录功能D.电商平台收集用户的婚姻状况、收入水平、宗教信仰等与电商交易无关的信息，用于用户画像构建14.第三方合作机构需要接入公司业务系统获取部分数据开展合作时，下列做法错误的是（）A.对第三方机构的数据安全能力进行评估，确认其具备相应的数据安全保护能力B.签订正式的数据安全协议，明确数据使用范围、安全保护责任、违约追责条款C.按照最小必要原则向第三方提供数据，对敏感数据进行脱敏处理，对第三方的数据访问行为进行全程审计D.为了合作方便，直接向第三方开放全量数据访问权限，不设置访问期限和操作限制15.下列关于数据安全管理责任的说法，错误的是（）A.数据安全是企业信息安全部门的专属责任，和普通业务岗位员工无关B.企业主要负责人是本单位数据安全的第一责任人C.每个岗位的员工对其工作中接触、处理的数据安全负有直接责任D.企业应当建立全流程的数据安全管理制度，覆盖数据采集、传输、存储、使用、加工、提供、公开、销毁全生命周期16.根据《互联网信息服务深度合成管理规定》，使用深度合成技术生成的新闻信息、虚拟人物形象等内容，应当（），避免误导公众。A.在显著位置添加合规标识B.不标注任何来源信息C.伪装成真实的现场拍摄内容传播D.删除所有和内容生成相关的记录17.下列账号管理行为，符合数据安全要求的是（）A.为了方便团队共用业务系统账号，把账号密码写在办公室的白板上B.个人账号设置包含大小写字母、数字、特殊字符的强密码，每90天更换一次，不转借他人使用C.员工离职后，不注销其业务系统账号，保留权限供其他同事使用D.所有系统账号都设置为相同的密码，方便记忆18.企业在处理敏感个人信息时，不需要履行下列哪项义务（）A.取得个人的单独同意，向个人告知处理敏感个人信息的必要性以及对个人权益的影响B.采取比普通个人信息更严格的加密、访问控制等安全保护措施C.事前开展个人信息保护影响评估，留存评估记录D.通过短信、电话等方式向个人推送商业广告19.下列数据传输行为，存在数据泄露风险的是（）A.通过公司内部加密的OA系统传输内部审批文件B.通过银行提供的专线系统传输客户交易清算数据C.将涉及全国用户的核心敏感数据通过未加密的个人微信、QQ发送给外部合作方D.通过经过安全认证的加密邮件系统传输工作材料20.根据《中华人民共和国刑法》相关规定，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成（），将被依法追究刑事责任。A.侵犯公民个人信息罪B.盗窃罪C.诈骗罪D.职务侵占罪二、多项选择题（共15题，每题2分，总计30分。每题有2个及以上正确答案，多选、少选、错选、不选均不得分）1.日常工作中，下列属于数据安全违规行为的有（）A.未经审批，将公司客户信息、核心技术文档下载拷贝到个人手机、私人网盘存储B.私自搭建翻墙VPN，访问境外非法网站传输内部工作数据C.将工作账号转借外部人员使用，允许外部人员远程接入公司内网D.在公开社交媒体、朋友圈发布包含公司未公开经营数据、商业秘密的内容2.根据数据分类分级管理要求，数据级别实行动态调整机制，当出现下列哪些情形时，应当及时对数据级别进行重新评定（）A.数据的使用场景、覆盖范围发生重大变化，泄露后可能造成的危害程度明显改变B.国家、行业相关数据安全保护的法规、标准发生更新，对数据保护提出新的要求C.数据经过脱敏、去标识化处理后，可识别度明显降低，泄露后的危害程度下降D.数据存储的服务器硬件进行了升级3.企业员工使用生成式AI工具开展工作时，禁止的行为包括（）A.输入涉及国家秘密、工作秘密、商业秘密的内容B.输入未脱敏的客户敏感个人信息、核心经营数据C.利用生成式AI制作、传播虚假信息、违法违规内容D.使用公司统一部署的私有化AI工具生成工作汇报框架4.根据我国数据出境相关管理规定，数据处理者向境外提供数据的合法路径包括（）A.通过国家网信部门组织的数据出境安全评估B.按照规定与境外接收方订立个人信息出境标准合同，并向省级网信部门备案C.通过国家网信部门认可的个人信息保护认证D.不经任何审批，直接将核心数据传输到境外服务器存储5.根据《个人信息保护法》，处理个人信息的合法基础包括（）A.取得个人的明确同意B.为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需C.为履行法定职责或者法定义务所必需D.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需6.当工作中发现数据安全异常情况，疑似发生数据泄露事件时，下列做法正确的有（）A.第一时间采取必要的止损措施，比如撤回误发的信息、冻结被盗账号，防止风险扩大B.保护事件现场，留存操作日志、系统记录等证据，不擅自删除相关记录C.第一时间向本单位数据安全管理部门、直接上级如实上报事件情况，不隐瞒、迟报D.为了避免被追责，私自篡改系统日志，删除相关操作记录，隐瞒事件真相7.敏感个人信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害，下列属于敏感个人信息的有（）A.生物识别、宗教信仰、特定身份信息B.医疗健康、金融账户、行踪轨迹信息C.不满十四周岁未成年人的个人信息D.个人在企业官网公开的办公电话信息8.根据《网络数据安全管理条例》，下列数据中属于重要数据范畴的有（）A.省级及以上能源、交通、水利等关键信息基础设施运营者掌握的，一旦泄露可能危害国家安全、公共利益的生产调度、核心运行数据B.金融机构掌握的涉及全国性金融市场稳定的核心交易清算数据C.省级以上卫生健康部门掌握的大规模人群健康医疗、传染病监测汇总数据D.企业内部公开的员工食堂菜单、节假日放假通知等公开信息9.企业员工在数据安全方面应当履行的义务包括（）A.主动参加单位组织的数据安全培训，学习数据安全管理制度和操作规范B.严格遵守岗位数据安全职责，不越权访问、下载、传播超出工作范围的数据C.发现数据安全风险、漏洞或者违规行为时，及时向数据安全管理部门上报D.妥善保管个人办公账号、认证介质，不转借他人使用10.数据安全保护覆盖数据全生命周期，下列属于数据全生命周期管理环节的有（）A.数据采集、数据传输B.数据存储、数据使用C.数据加工、数据提供D.数据公开、数据销毁11.下列行为中，可能触犯刑法、需要承担刑事责任的有（）A.非法出售公民个人信息超过5000条，获利金额较大B.采用技术手段非法侵入企业核心业务系统，窃取企业核心技术数据卖给竞争对手C.故意传播勒索病毒，导致企业核心业务系统瘫痪、数据被加密，造成重大经济损失D.为境外情报机构非法提供涉及国家安全的核心数据12.远程办公场景下，下列存在数据安全风险的行为有（）A.连接没有密码验证的公共WiFi，登录公司业务系统处理客户敏感数据B.使用个人电脑处理核心敏感数据，个人电脑没有安装安全防护软件，存在病毒漏洞C.将敏感工作文件发送到个人微信、个人邮箱，方便在家办公时查阅D.使用公司配发的安全办公终端，通过公司VPN接入内网开展工作，不随意打开陌生文件13.关于数据访问权限管理，下列做法正确的有（）A.员工岗位调整时，及时调整其数据访问权限，回收不再需要的权限B.定期对全系统的账号权限进行审计，清理冗余账号、超范围权限C.对核心数据的访问行为进行全程日志记录，定期审计异常操作（比如批量下载、非工作时间访问）D.为了提高工作效率，给临时实习人员开通全量核心数据的访问权限14.下列关于自动化决策的说法，符合法律要求的有（）A.利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇（即“大数据杀熟”）B.通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式C.通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定D.为了提高营销精准度，可以根据用户的消费能力数据，对同一商品向不同用户设置差异巨大的不合理价格，不告知用户差别化定价的规则15.数据存储过程中，下列符合安全要求的做法有（）A.对存储敏感个人信息、重要数据的数据库开启加密功能，不明文存储用户身份证号、银行卡号等敏感信息B.定期对存储的数据进行备份，定期测试备份数据的可用性，确保发生故障时可以快速恢复C.对存储核心数据的系统设置严格的访问控制策略，仅允许授权人员通过可信路径访问D.将核心敏感数据存储在员工个人电脑上，不做任何访问限制三、判断题（共10题，每题1分，总计10分。正确选√，错误选×）1.为了方便工作联系，可以将工作中收集到的客户手机号、家庭住址等信息随意分享给第三方销售机构，不需要取得客户同意。（）2.数据分类分级工作不是一劳永逸的，应当根据数据使用场景、危害程度变化、法规标准更新等情况实行动态调整。（）3.使用公有大模型处理工作内容时，只要不输入公司核心机密，普通的客户信息、内部经营数据都可以随意输入，不会存在泄露风险。（）4.发生数据泄露事件后，为了避免被单位追责，可以先删除电脑上的操作日志、销毁相关记录，再向单位报告。（）5.个人信息处理者在取得用户同意后，可以无限制收集和服务无关的用户个人信息，不需要遵循最小必要原则。（）6.处理不满14周岁未成年人的个人信息，必须取得未成年人父母或者其他监护人的单独同意，且要采取最严格的保护措施。（）7.为了防范勒索病毒攻击，企业应当按照规范建立离线备份机制，确保核心数据在遭受攻击后可以恢复，不能仅依赖在线备份。（）8.和合作单位开展业务合作时，只要对方口头承诺不泄露数据，就不需要签订数据安全协议，可以直接向对方提供所需的全部数据。（）9.员工离职时，不仅要交还办公电脑、门禁卡等实物，还要及时注销其所有业务系统的访问权限，避免权限残留导致的数据泄露风险。（）10.国家核心数据原则上不得出境，确需出境的应当经过国家有关部门的严格审批，采取最严格的安全保护措施。（）四、简答题（共3题，每题10分，总计30分）1.请结合自身所在岗位的日常工作场景，简述日常工作中防范数据泄露需要落实哪些具体措施。2.根据《数据安全法》《个人信息保护法》《网络数据安全管理条例》等法规要求，简述企业处理个人信息应当遵循的核心原则。3.当你在工作中发现疑似数据泄露事件（如误将敏感信息发到外部群、办公U盘遗失、账号出现异常登录、电脑疑似感染病毒）时，应当按照什么流程规范处置？参考答案一、单项选择题答案及解析1.B解析：根据《网络数据安全管理条例》，数据处理者是数据安全保护的第一责任主体，应当建立健全全流程数据安全管理制度，落实数据分类分级、安全防护、风险监测、事件处置等责任。2.C解析：根据GB/T43697-2024《数据安全技术数据分类分级规则》，数据安全级别从低到高分为1级（公开级）、2级（内部级）、3级（敏感级）、4级（重要级）、5级（核心级），核心数据是最高保护级别的数据，一旦泄露将对国家安全造成特别严重危害，实行最严格的管理。3.C解析：使用公有大模型输入未脱敏的客户信息、核心技术参数、未公开经营数据，可能导致数据被大模型训练采集、泄露，给企业造成损失；使用经过安全评估的私有化部署大模型，对处理内容进行脱敏，是符合安全要求的行为。4.D解析：个人已经公开的职务、办公电话信息，泄露不会对个人人格尊严、人身财产安全造成危害，不属于敏感个人信息范畴。5.C解析：根据《数据出境安全评估办法》，需要申报数据出境安全评估的情形包括：向境外提供重要数据；关键信息基础设施运营者和处理100万人以上个人信息的处理者向境外提供个人信息；自上年1月1日起累计向境外提供10万人以上个人信息或者1万人以上敏感个人信息。选项C中累计提供4.2万名非敏感个人信息，未达到申报阈值，不需要申报安全评估。6.B解析：根据《网络数据安全管理条例》第五十四条，发生重要数据安全事件或者100万人以上个人信息泄露的，应当在8小时内报告事件基本情况，24小时内报告事件处置进展。7.B解析：最小权限原则是数据访问控制的核心原则，即仅授予员工完成本职工作所必需的最小权限，权限随岗位变动动态调整，避免过度授权带来的风险。8.C解析：来源不明的U盘可能携带病毒，接入办公电脑可能导致内网被攻击；存储敏感信息的U盘接入个人电脑、长期插在办公设备上，都可能导致数据泄露；使用公司统一加密、登记的移动存储介质，是符合安全要求的做法。9.B解析：“3-2-1”备份原则是行业通用的防数据丢失最佳实践，即保存3份数据副本、使用2种不同存储介质、1份异地离线备份，可有效防范勒索病毒、机房故障等导致的数据丢失。10.B解析：根据《个人信息保护法》，处理不满14周岁未成年人个人信息的，属于处理敏感个人信息，应当取得监护人的单独同意，并制定专门的处理规则。11.C解析：离座不锁屏、随意点击陌生邮件链接、在私人微信群传播核心商业秘密，都存在极大的数据泄露风险；使用公司指定VPN和加密传输通道、不使用无安全保障的公共WiFi处理敏感数据，是符合安全要求的行为。12.C解析：普通删除、快速格式化操作无法彻底清除硬盘数据，可能被专业工具恢复，导致敏感数据泄露；对存储核心数据的介质进行消磁、物理粉碎等不可逆销毁，留存销毁记录，是符合规范的做法。13.B解析：最小必要原则要求收集个人信息限于实现产品/服务功能的最小范围，不得强制收集与服务无关的个人信息，不得过度收集。14.D解析：向第三方提供数据前必须开展安全评估、签订安全协议，按照最小必要原则授权，对访问行为进行审计，不得直接开放全量数据权限。15.A解析：数据安全是“全员责任”，不仅是信息安全部门的责任，每个岗位的员工都是数据安全的责任主体，对岗位接触的数据安全负责。16.A解析：根据《互联网信息服务深度合成管理规定》，深度合成内容应当在显著位置添加合规标识，保障公众知情权，防止虚假信息传播。17.B解析：共用账号、不及时注销离职人员账号、所有系统使用相同密码，都是账号管理的高风险行为；设置强密码、定期更换、不转借账号，是符合安全要求的做法。18.D解析：处理敏感个人信息需要履行单独告知同意、严格保护、开展个人信息保护影响评估等义务，未经用户同意推送商业广告属于违规行为，不属于必须履行的义务。19.C解析：通过未加密的公共即时通讯工具传输核心敏感数据，存在数据被窃听、泄露的风险，应当使用企业指定的加密传输通道。20.A解析：根据《中华人民共和国刑法》第二百五十三条之一，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，构成侵犯公民个人信息罪，依法承担刑事责任。二、多项选择题答案1.ABCD2.ABC3.ABC4.ABC5.ABCD6.ABC7.ABC8.ABC9.ABCD10.ABCD11.ABCD12.ABC13.ABC14.ABC15.ABC三、判断题答案1.×2.√3.×4.×5.×6.√7.√8.×9.√10.√四、简答题参考答案1.（10分，结合岗位实际作答，覆盖核心要点即可得分）（1）终端与介质管理：使用公司统一配发的办公终端，安装并保持安全防护软件正常运行，不擅自关闭防火墙、终端检测与响应系统；不安装来源不明的破解软件、恶意软件；移动存储介质使用前必须查杀病毒，使用公司统一登记的加密介质存储敏感数据，不随意转借、丢弃存储介质，不使用来源不明的移动介质接入办公网络；私人设备接入办公网络需经过审批，不私自将敏感数据拷贝到私人设备。（2）账号与权限管理：妥善保管个人账号密码，设置强密码并定期更换，不转借、共用账号；严格按照岗位职责申请数据访问权限，不越权访问、下载超出工作范围的数据；岗位变动、离职时及时配合回收权限，不保留无业务需要的访问权限。（3）数据全流程操作规范：采集数据时遵循最小必要原则，不收集与工作无关的信息；传输敏感数据时使用公司指定的加密通道，不使用公共即时通讯工具、个人网盘传输核心敏感数据；存储敏感数据时开启加密功能，不明文存储身份证号、银行卡号等敏感信息；使用数据时严格遵守审批范围，不私自复制、留存、篡改数据；销毁数据时按照规范流程执行，对核心数据存储介质进行不可逆销毁。（4）新场景风险防范：使用生成式AI工具时严格遵守公司规范，不将涉密信息、未脱敏的客户信息、商业秘密、核心技术数据输入公有大模型，优先使用公司经过安全评估的私有化AI工具，输入内容提前脱