CRISC_DOMINIO 2 - EVALUACIÓN DE RIESGOS DE TI

¿Cuál de las siguientes opciones utiliza escenarios de riesgo al momento de estimar la probabilidad y el impacto de un riesgo significativo para la organización?

• Una auditoría de TI

• Un análisis de brechas de seguridad

• Una evaluación de amenazas y vulnerabilidades

• Una evaluación de seguridad de TI

¿Cuál de las siguientes opciones tiene el impacto MÁS significativo en los modelos de gobierno de seguridad de información estándar?

• Cantidad de empleados

• Diferencias culturales entre ubicaciones físicas

• Complejidad de la estructura organizacional

• Cambios en los requisitos legislativos

¿Cuál de las siguientes opciones ofrece resultados integrales al momento de realizar un análisis de riesgo cualitativo?

• Una evaluación de vulnerabilidad

• Escenarios con amenazas e impactos

• El valor de los activos de información

• Pérdidas de productividad estimadas

¿Quién debería ser el responsable de riesgo a un sistema de TI que respalda un proceso de negocio crítico?

• La Gerencia/Ejecutivos de TI

• La alta Gerencia

• El departamento de gestión de riesgo

• Los usuarios del sistema

¿Cuál de los siguientes es el PRINCIPAL resultado de un análisis de impacto en el negocio (BIA)?

• Priorización de proyecto

• Criticidad de los procesos de negocio

• La causa raíz de riesgo de TI

• El riesgo de terceros proveedores

¿Cuál de las siguientes opciones es el insumo MÁS valioso para las medidas de respuesta al incidente?

• Análisis cualitativo de amenazas

• La pérdida anual esperada (ALE) total

• Una evaluación de vulnerabilidad

• Pruebas de penetración

¿Cuál de las siguientes opciones es la que MEJOR describe los roles y responsabilidades asociados con el riesgo de una unidad de negocio (BU) de la organización? El equipo de gestión de BU:

• es el propietario del plan de mitigación para el riesgo que pertenece a su BU, mientras que los miembros de la Junta Directiva son los responsables de identificar y evaluar el riesgo, así como también de informar sobre este riesgo al equipo de soporte correspondiente.

• es el propietario del riesgo y el responsable de identificar, evaluar y mitigar el riesgo, así como también de informar sobre ese riesgo al equipo de soporte correspondiente y al Directorio.

• posee las responsabilidades respectivas relacionadas con el riesgo, pero la responsabilidad definitiva por el trabajo diario de gestión de riesgo y logro de objetivos pertenece a los miembros del directorio.

• tiene responsabilidad definitiva por el trabajo diario de gestión de riesgo y logro de objetivos, y el riesgo pertenece a los miembros del directorio.

Las técnicas de evaluación de riesgo deben ser utilizadas por un profesional de riesgos para:

• maximizar el retorno sobre la inversión (ROI).

• suministrar documentación a auditores y entes reguladores.

• justificar la selección de estrategias de mitigación de riesgos.

• cuantificar el riesgo que, de otra manera, sería subjetivo.

¿Cuál de las siguientes evaluaciones del proceso de supervisión de riesgos de una organización ofrece la MEJOR información acerca de su alineación con prácticas líderes de la industria?

• Una evaluación de capacidad realizada por una organización externa

• Una autoevaluación de las capacidades

• Una comparación de capacidades independiente

• Una evaluación de auditoría interna de las capacidades

Las evaluaciones de riesgo deben repetirse a intervalos regulares porque:

• se pueden tratar las omisiones en evaluaciones previas.

• las evaluaciones periódicas permiten usar diversas metodologías.

• las amenazas al negocio cambian constantemente.

• ayudan a aumentar la conciencia de riesgo entre el personal.