2025年信息系统安全专家｜医疗健康数据隐私与访问权限控制专题试卷及解析.docxVIP

2025年信息系统安全专家｜医疗健康数据隐私与访问权限控制专题试卷及解析

适用：CISP、数据安全工程师、医院信息安全、等保、医疗数据合规考核

满分：100分|时长：90分钟

法规依据：《个人信息保护法》《数据安全法》《网络安全法》《医疗卫生机构网络安全管理办法》、电子病历规范、最小权限、零信任、访问控制模型

一、单项选择题（每题2分，共30分）

1.按照《个人信息保护法》，患者病历、病史、基因检测结果属于（）

A.一般个人信息B.敏感个人信息C.公开信息D.匿名信息

?答案：B

解析：医疗健康信息属于敏感个人信息，处理需要单独同意，风险更高、管控更严。

2.医疗HIS、EMR系统权限管控最核心的基本原则是（）

A.权限最大化B.最小必要（最小权限）C.方便运维优先D.集中超级管理员

?答案：B

解析：最小必要原则——仅授予完成岗位工作所必需的最低访问权限，是医疗数据访问控制的首要原则。

3.RBAC基于角色的访问控制，核心是通过（）来分配权限

A.直接给用户授权B.角色绑定权限，用户分配角色C.按访问时间授权D.按IP地址授权

?答案：B

解析：RBAC=用户—角色—权限；权限挂在角色上，用户加入角色获得权限，适合医院岗位管理（医生、护士、行政、运维）。

4.医生只能查