Cuestionario Medio de Auditor Interno ISO 27001:2022

Según el capítulo 4 (Contexto de la organización), la organización debe determinar las cuestiones internas y externas que son pertinentes para su propósito y que afectan su capacidad para lograr los resultados previstos del SGSI. ¿Cuál de los siguientes es un ejemplo de una cuestión EXTERNA que debe ser considerada?

• La cultura organizacional
• Las capacidades tecnológicas actuales
• Las nuevas leyes y regulaciones en el país
• La competencia en el mercado (c y d)
• Ninguna de las anteriores

Answer explanation

d es correcta porque incluye tanto nuevas leyes como competencia, que son factores externos.

En el capítulo 5 (Liderazgo), una de las responsabilidades clave de la alta dirección es:

• Realizar auditorías internas mensuales
• Asegurarse de que las responsabilidades y autoridades para los roles relevantes sean asignadas y comunicadas
• Aprobar personalmente cada cambio en el SGSI
• Redactar todas las políticas de seguridad
• Todas las anteriores

Answer explanation

La alta dirección debe asignar y comunicar responsabilidades y autoridades, según la cláusula 5.3.

Al establecer los criterios para la evaluación de riesgos (cláusula 6.1.2), la organización debe definir:

• Los niveles de riesgo aceptable para la organización
• El método específico para calcular el riesgo financiero
• La marca de software a utilizar para la gestión de riesgos
• La frecuencia con la que se deben cambiar las contraseñas
• Ninguna de las anteriores

Answer explanation

Los criterios deben incluir los niveles de riesgo aceptable según 6.1.2 c).

El Anexo A, control A.5.7 (Amenazas) establece que la organización debe recopilar y evaluar información sobre amenazas. ¿Qué tipo de amenaza se relaciona directamente con este control?

• Un empleado descontento
• Una vulnerabilidad crítica no parcheada en un servidor
• Un nuevo tipo de ransomware activo en el sector
• Un incendio en el centro de datos
• Todas las anteriores son amenazas relevantes

Answer explanation

El control A.5.7 requiere recopilar información sobre amenazas, incluyendo todas las opciones listadas.

Durante una auditoría, usted encuentra que un riesgo identificado como "alto" no ha sido tratado. La organización justifica que ha decidido aceptar el riesgo. Como auditor, su acción inmediata debe ser:

• Cerrar la no conformidad, ya que la aceptación del riesgo es una opción válida
• Verificar que la decisión de aceptar el riesgo se tomó con la autoridad apropiada y está documentada de acuerdo con los criterios de aceptación de riesgos establecidos
• Emitir inmediatamente una no conformidad mayor
• Informar a la alta dirección que deben implementar un control inmediatamente
• a y b son correctas

Answer explanation

La aceptación del riesgo es válida solo si se sigue el proceso definido y está debidamente autorizada y documentada.

El control A.8.2 (Asignación de activos) requiere que los activos de información asociados con el SGSI sean:

• Eliminados de forma segura después de un año
• Identificados y se defina la responsabilidad de su propiedad
• Custodiados físicamente en todo momento
• Asegurados contra todo riesgo
• Ninguna de las anteriores

Answer explanation

A.8.2 requiere identificar los activos y asignar un propietario para cada uno.

Según la cláusula 7.4 (Comunicación), la organización debe determinar la necesidad de comunicaciones internas y externas relacionadas con el SGSI. ¿Qué debe incluirse en esta determinación?

• Qué comunicar
• Cuándo comunicar
• A quién comunicar
• Quién comunica
• Todas las anteriores

Answer explanation

La cláusula 7.4 requiere determinar qué, cuándo, a quién y quién comunica.

El control A.8.8 (Gestión de activos removibles) está diseñado principalmente para prevenir:

• El robo físico de los discos duros
• La pérdida de confidencialidad, integridad y disponibilidad de la información debido al uso no autorizado de medios removibles
• El desgaste prematuro de los puertos USB
• La instalación de software no autorizado
• a y b son correctas

Answer explanation

El objetivo principal es prevenir la pérdida de CID por el uso no autorizado de medios removibles.

En el contexto del control A.7.3 (Concienciación sobre la seguridad de la información), el personal que realiza trabajos bajo el control de la organización debe ser consciente de:

• Solo su salario y beneficios
• La política de seguridad de la información y su contribución a la eficacia del SGSI
• Los procedimientos para reportar incidentes de seguridad
• Las consecuencias de no cumplir con los requisitos de seguridad
• b, c y d son correctas

Answer explanation

A.7.3 requiere que el personal sea consciente de la política, procedimientos de reporte y consecuencias del incumplimiento.

Durante la revisión por la dirección (cláusula 9.3), la alta dirección debe revisar el SGSI para asegurar su idoneidad, adecuación y eficacia continua. ¿Cuál de los siguientes NO es una entrada típica para esta revisión?

• Resultados de auditorías internas
• El estado de acciones provenientes de revisiones por la dirección anteriores
• El menú del comedor de la empresa
• Cambios en las amenazas de seguridad de la información
• El desempeño del SGSI, incluyendo tendencias en incidentes

Answer explanation

El menú del comedor no es una entrada relevante para la revisión del SGSI según la cláusula 9.3.