CRISC_Examen_4

¿Cuál de las siguientes sería la MEJOR manera de ayudar a garantizar la eficacia de un control de prevención de pérdida de datos (DLP) que se ha implementado para evitar la pérdida de datos de tarjetas de crédito?

• Probar la transmisión de números de tarjetas de crédito

• Revisión de registros para detectar transferencias de datos no autorizadas

• Configuración del control DLP para bloquear números de tarjeta de crédito

• Prueba del proceso de control de cambios de reglas de DLP

¿Cuál de las siguientes opciones proporcionaría la MEJOR orientación a la hora de seleccionar un plan de tratamiento de riesgos adecuado?

• Presupuesto de mitigación de riesgos

• Análisis de Impacto en el Negocio

• Análisis costo-beneficio

• Retorno de la inversión

Una unidad de negocio está actualizando un registro de riesgos con los resultados de la evaluación de un proyecto clave. ¿Cuál de los siguientes es MÁS importante capturar en el registro?

• El equipo que realizó la evaluación de riesgos

• Un gerente de riesgos asignado para proporcionar supervisión

• Planes de acción para abordar escenarios de riesgo que requieren tratamiento

• La metodología utilizada para realizar la evaluación de riesgos

¿Cuál de los siguientes es el indicador MÁS útil para medir la eficiencia de un proceso de gestión de identidades y accesos?

• Número de tickets para el aprovisionamiento de nuevas cuentas

• Tiempo medio de aprovisionamiento de cuentas de usuario

• Volumen de restablecimiento de contraseña por mes

• Tiempo medio de bloqueo de la cuenta

Es MÁS apropiado que los cambios se promuevan a la producción después de que sean;

• Comunicado a la Dirección Empresarial

• Probado por dueños de negocios.

• aprobado por el dueño de la empresa.

• iniciada por usuarios empresariales.

Un profesional de riesgos ha identificado que el centro de datos secundario de la organización no proporciona redundancia para una aplicación crítica. ¿Quién debe tener la autoridad para aceptar el riesgo asociado?

• Director de Continuidad de Negocio

• Administrador de recuperación ante desastres

• Propietario de la aplicación empresarial

• Administrador del centro de datos

Un profesional de riesgos está desarrollando un conjunto de escenarios de riesgo de TI de abajo hacia arriba. El momento MÁS importante para involucrar a las partes interesadas del negocio es cuando:

• Actualización del registro de riesgos

• Documentar los escenarios de riesgo.

• Validación de los escenarios de riesgo

• Identificación de controles de mitigación de riesgos.

¿Cuál de las siguientes es la MEJOR manera de determinar la eficiencia continua de los procesos de control?

• Realizar evaluaciones de riesgos anuales.

• Entrevistar a los propietarios del proceso.

• Revise el registro de riesgos.

• Analice los indicadores clave de rendimiento (KPI).

¿Cuál de los siguientes aspectos de una autoevaluación de riesgos y controles de TI sería MÁS importante incluir en un informe a la alta dirección?

• Cambios en el diseño de los controles

• Una disminución en el número de controles clave

• Cambios en la propiedad del control

• Un aumento del riesgo residual

Una ventaja principal de involucrar a la gerencia empresarial en la evaluación y gestión del riesgo es que la gerencia:

• Comprende mejor la arquitectura del sistema.

• es más objetiva que la gestión de riesgos.

• puede equilibrar el riesgo técnico y el riesgo de negocio.

• puede tomar decisiones comerciales mejor informadas.