2025年信息系统安全专家业务连续性医疗行业数据保护专题试卷及解析.pdfVIP

2025年信息系统安全专家业务连续性医疗行业数据保护专题试卷及解析1

2025年信息系统安全专家业务连续性医疗行业数据保护专

题试卷及解析

2025年信息系统安全专家业务连续性医疗行业数据保护专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在医疗行业业务连续性规划中，RTO（恢复时间目标）和RPO（恢复点目标）

是两个关键指标。以下关于RPO的描述，哪项是正确的？

A、指系统或服务在灾难发生后必须恢复运行的最长时间

B、指可接受的数据丢失的最大时间间隔

C、指业务连续性计划的总体测试频率

D、指灾难恢复站点的地理位置要求

【答案】B

【解析】正确答案是B。RPO（RecoveryPointObjective）定义了组织可容忍的最大

数据丢失量，以时间单位表示，它决定了备份的频率。选项A描述的是RTO（Recovery

TimeObjective），即恢复服务所需的时间。选项C和D是业务连续性规划中的其他

要素，但与RPO定义无关。知识点：业务连续性管理中的核心指标。易错点：容易将

RTO和RPO的定义混淆，RTO关注“停机时间”，RPO关注“数据丢失量”。

2、根据《网络安全法》和相关法规，医疗行业在处理个人信息时，以下哪项活动

不需要单独取得个人的“明示同意”？

A、将患者病历数据用于学术研究，且已进行去标识化处理

B、向合作保险公司提供患者的诊断信息用于理赔审核

C、在医院官网公布某位知名人士的入院治疗信息

D、将患者联系方式提供给第三方医药公司进行药品推销

【答案】A

【解析】正确答案是A。根据《个人信息保护法》和《数据安全法》，当个人信息经

过“去标识化”处理，使其无法识别特定个人且不能复原时，不再属于个人信息，其处理

无需取得个人同意。选项B、C、D均涉及可识别到个人的敏感信息处理，且目的超出

诊疗所必需，必须取得信息主体的明示同意。知识点：个人信息处理的合法性基础，特

别是“同意”豁免的情形。易错点：混淆“匿名化”和“去标识化”，或误认为所有数据使用都

需要同意，忽略了法律规定的例外情况。

3、某医院的核心业务系统（HIS）发生数据损坏，导致门诊业务中断。在业务连续

性计划中，首先应启动哪个流程？

A、联系系统供应商进行远程修复

B、启动灾难恢复预案，切换至备用系统

C、评估事件影响，宣布进入灾难状态

2025年信息系统安全专家业务连续性医疗行业数据保护专题试卷及解析2

D、立即对损坏的数据库进行完整备份

【答案】C

【解析】正确答案是C。业务连续性计划的启动是一个决策过程。在发生中断事件

后，首要步骤是根据预案中的触发条件，由指定的决策团队评估事件的影响范围和严重

程度，并正式宣布进入灾难状态或应急响应模式。这是启动后续所有技术恢复和业务替

代流程的前提。选项A和B是技术层面的恢复动作，应在宣布灾难状态后按预案执行。

选项D是错误操作，应在故障分析后进行，防止覆盖证据。知识点：业务连续性计划

的启动流程和事件响应初期步骤。易错点：技术人员容易直接跳入技术修复环节，而忽

略了启动预案所必需的管理决策和沟通流程。

4、在医疗数据备份策略中，“321”原则是业界公认的最佳实践。以下哪项描述最准

确地体现了该原则？

A、3份副本，存储在2种不同介质上，其中1份离线

B、3份副本，存储在2个不同地点，其中1份加密

C、3份副本，存储在2种不同介质上，其中1份异地存放

D、3份副本，每周备份2次，保留1个月

【答案】C

【解析】正确答案是C。“321”备份原则指：至少保留3份数据副本（1份原始数据

+2份备份），将副本存储在至少2种不同的存储介质上（如磁盘和磁带），并且至少有

1份副本存放在异地。选项A的“1份离线”是异地存放的一种方式，但不如“异地”表述

准确。选项B和D的描述不符合该原则的标准定义。知识点：数据备份与恢复的核心

策略。易错点：对“321”