Examen Auditor SGSI - ISO/IEC 27001:2022

¿Cuál es el objetivo principal de la ISO/IEC 27001:2022?

• Proteger la información confidencial de los empleados

• Implementar un Sistema de Gestión de la Seguridad de la Información (SGSI)

• Cumplir con las normativas de privacidad a nivel mundial

• Auditar sistemas de información de terceros

¿Cuál es el papel de la "Declaración de Aplicabilidad" en ISO/IEC 27001:2022?

• Definir qué controles del anexo A son aplicables y justificar los no aplicables

• Verificar la implementación correcta de los controles

• Establecer los niveles de seguridad mínimos permitidos
  

• Describir los resultados de las auditorías internas

¿Cuál de los siguientes es un control nuevo añadido en la ISO/IEC 27001:2022?

• Protección de la información durante su transmisión

• Control de acceso basado en roles

• Requisitos de ciberseguridad para servicios en la nube

• Monitorización y registro de accesos físicos a instalaciones

En el proceso de auditoría interna según ISO/IEC 27001:2022, ¿cuál es la principal responsabilidad del auditor?

• Detectar todas las no conformidades

• Realizar recomendaciones para mejorar los sistemas
  

• Verificar la conformidad del SGSI con los requisitos establecidos
  

• Supervisar la implementación de las mejoras propuestas

¿Qué documento es obligatorio para el cumplimiento de ISO/IEC 27001:2022?

• Registro de activos

• Declaración de Aplicabilidad

• Política de acceso a sistemas

• Procedimiento de auditoría interna

¿Qué significa el término "Contexto de la organización" en ISO/IEC 27001:2022?

• La definición de las partes interesadas y su influencia en el SGSI

• El entorno económico en el que opera la organización

• Los activos tecnológicos que utiliza la organización

• Los competidores directos y su impacto en el negocio

Durante la auditoría interna de una empresa de software, el auditor descubre que la organización ha identificado varios riesgos relacionados con la seguridad de la información, pero no han documentado un plan de tratamiento de riesgos formal. El equipo de seguridad argumenta que están gestionando los riesgos "de manera informal", aunque sin registros o evidencia concreta de cómo se están mitigando.

• No conformidad, ya que la norma requiere la documentación de un plan de tratamiento de riesgos

• Observación, ya que los riesgos están identificados, pero la falta de documentación no genera un impacto inmediato

• Oportunidad de mejora, ya que mejorar la formalización del proceso fortalecería el SGSI

En una auditoría interna de una organización de servicios financieros, el auditor observa que los controles de acceso para un sistema crítico no han sido completamente actualizados. Algunos antiguos empleados todavía tienen acceso al sistema, aunque no se ha reportado ningún incidente de seguridad. La empresa tiene un proceso de revisión de accesos, pero este no se ejecuta de manera constante.

• No conformidad, porque la falta de actualización de accesos representa un incumplimiento de los controles de seguridad
  

• Observación, ya que no ha habido incidentes, pero el proceso de revisión de accesos debería ser más riguroso
  

• Oportunidad de mejora, porque implementar revisiones más frecuentes fortalecería la seguridad

En una empresa de tecnología, el auditor verifica que los procesos de respaldo de datos se realizan de manera regular, pero de forma manual. Esto requiere una supervisión constante del personal y puede llevar a errores humanos. Aunque hasta el momento no ha habido problemas, el equipo considera automatizar este proceso en el futuro.

• No conformidad, porque el respaldo de datos debe automatizarse según la norma

• Observación, ya que el proceso actual de respaldo es efectivo pero tiene margen de mejora

• Oportunidad de mejora, ya que la automatización del proceso reduciría la dependencia del personal y los errores humanos

En una organización del sector salud, el auditor observa que, aunque el SGSI está implementado, no se han programado revisiones regulares del mismo. El equipo de gestión explica que, debido a la carga de trabajo, la revisión ha sido pospuesta indefinidamente. Sin embargo, el SGSI ha estado funcionando correctamente hasta la fecha.

• No conformidad, porque la norma requiere revisiones periódicas del SGSI para asegurar su eficacia
  

• Observación, ya que el SGSI está funcionando, pero la falta de revisiones regulares puede ser problemática a largo plazo
  

• Oportunidad de mejora, para implementar un cronograma de revisiones más consistente en el futuro