NEW
Font size
WorksheetsISO 27001_Clase_#5_C_Preparación Examen AUDITOR LIDER
Total questions: 40
Worksheet time: 2hrs 31mins
La capacidad del Líder del equipo auditor para informar de las conclusiones de la auditoría de acuerdo con el programa de auditoría.
De acuerdo al párrafo anterior, indique la competencia que debería tener el Auditor Líder:
A. Principios de Auditoria
B. Gestión de un Programa de Auditoria
C. Inicio de la Auditoria
D. Preparación de las actividades de Auditoria
E. Realización de las actividades de Auditoria
F. Preparación y distribución del informe de Auditoria
G. Finalización de la Auditoria
H. Seguimiento de la Auditoria
1. Solo A
2. Solo C
3. Solo E
4. Solo F
5. Opciones B,D, G y H
La capacidad de comprender y explicar la implementación de uno o varios programas de auditoria de la Norma Internacional ISO/IEC-27001.
De acuerdo al párrafo anterior, indique la competencia que debería tener el Auditor Líder:
A. Principios de Auditoria
B. Gestión de un Programa de Auditoria
C. Inicio de la Auditoria
D. Preparación de las actividades de Auditoria
E. Realización de las actividades de Auditoria
F. Preparación y distribución del informe de Auditoria
G. Finalización de la Auditoria
H. Seguimiento de la Auditoria
1. Solo A
2. Solo B
3. Solo C
4. Solo D
5. Opciones E,F,G y H
Cuándo se pregunta si la Alta Dirección de la Organización es estable, aprueba y apoya los recursos para el Sistema Gestión de Seguridad de la Información, se hace referencia al numeral:
A. 4.1 Conocimiento de la organización y su contexto.
B. 5.1 Liderazgo y Compromiso
C. 5.2 Política
D. 5.3 Roles, Responsabilidades y Autoridades en la Organización
E. 6.1 Acciones para Tratar Riesgos y Oportunidades
La política es aprobada por la dirección hace referencia al numeral:
A. 4.1 Conocimiento de la organización y su contexto.
B. 5.1 Liderazgo y Compromiso
C. 5.2 Política
D. 5.3 Roles, Responsabilidades y Autoridades en la Organización
E. Ninguna de las anteriores
Indique el numeral de la Norma Internacional ISO/IEC 27001 que se utilizaría para la siguiente pregunta:
¿Existe uno o varios procesos que permitan apreciar los riesgos en la Seguridad de la Información antes de que se realicen cambios en el SGSI?
A. 7.4 Comunicación
B. 8.1 Control Operacional
C. 8.2 Análisis de riesgos de la Seguridad de la Información
D. 9.1 Seguimiento y medición
E. Ninguna de las anteriores
El programa de auditoría para determinar los recursos que faculten que las auditorías se ejecuten de forma eficaz y eficiente en un periodo de tiempo determinado, no debe tener en cuenta la siguiente información:
A. Objetivos del Programa de Auditoría / Alcance del Programa de Auditoria / Riesgos del programa de auditoría
B. Cronograma de las Auditorias / Tipos de auditoría (Internas o Externas) / Criterios de auditoría
C. Métodos de auditoría a emplear / Criterios para seleccionar al equipo auditor / Información documentada.
D. Solo opciones A y B
E. Ninguna de las anteriores
La implementación del programa de auditoría regularmente no necesariamente debería seguirse y medirse, de manera continua, para asegurarse de que se han alcanzado sus objetivos. Con el objetivo de el programa de auditoría se revise para identificar si existen necesidades de posible cambios y oportunidades para la mejora continua de la organización.
A. Falso
B. Verdadero
Indique cual o cuales son los Incumplimientos más frecuentes en las organizaciones:
A. Documentación encontrada
B. Competencias de recurso humano evaluada
C. Controles implementados adecuados
D. Conformidades por auditorías internas con cierre eficaz
E. Ninguna de las anteriores
Indique cual o cuales son los cumplimientos más frecuentes en las organizaciones:
A. Acciones correctivas con revisión de la dirección
B. Eficiencia en metodología de análisis de riesgo
C. Cumplimiento de procedimientos
D. Existencia de evidencia objetiva
E. Todas las anteriores
Indique el numeral de la Norma Internacional ISO/IEC 27001 que se utilizaría para la siguiente pregunta:
¿La política de seguridad de la información y las políticas de temas específicos deberían ser definidas,
aprobadas por la dirección, publicadas, comunicadas y reconocidas por el personal y las partes
interesadas pertinentes y revisadas a intervalos planificados y si se producen cambios significativos?
A. 5.1 Políticas de seguridad de la información
B. 5.2 Roles y responsabilidades en materia de seguridad de la información.
C. 5.1.a Políticas de seguridad de la información
D. Ninguna de las anteriores
Indique la siguiente imagen a que corresponde:
A) Programa de Auditoria
B) Plan de Auditoria
C) Alcance del SGSI
D) Declaración de Aplicabilidad (SoA)
E) Ninguna de las anteriores
Indique la siguiente imagen a que corresponde:
A) Plan de Auditoria
B) Alcance del SGSI
C) Programa de Auditoria
D) Declaración de Aplicabilidad (SoA)
E) Ninguna de las anteriores
Indique la siguiente imagen a que corresponde:
A) Programa de Auditoria
B) Plan de Auditoria
C) Lista de verificación
D) Declaración de Aplicabilidad (SoA)
E) Ninguna de las anteriores
La compañía ITSERVICES lo ha contratado a usted con el objetivo de poder identificar la MEJOR clausula que puede aplicar para el siguiente escenario:
La organización debe definir y efectuar un proceso de tratamiento de riesgos de seguridad de la información para que pueda seleccionar las opciones adecuadas de tratamiento de riesgos de seguridad de la información teniendo en cuenta los resultados de la apreciación de riesgos; con el fin de determinar todos los controles que sean necesarios para implementar la(s) opción(es) elegida(s) de tratamiento de riesgos de seguridad de la información; y de este modo comparar los controles determinados por la organizacion con los del anexo A de la ISO 27001 y comprobar que no se han omitido controles necesarios, para posteriormente elaborar una “Declaración de Aplicabilidad” que contenga los controles necesarios y la justificación de las inclusiones, estén implementadas o no, y la justificación de las exclusiones de los controles del anexo A; para poder formular un plan de tratamiento de riesgos de seguridad de la información; y de este modo obtener la aprobación del plan de tratamiento de riesgos de la seguridad de la información y la aceptación de los riesgos residuales de seguridad de la información por parte de los dueños de los riesgos. Es por eso que se recomienda que la organización debe conservar información documentada sobre el proceso de tratamiento de riesgos de seguridad de la información.
A) 6.1.2 Valoración de riesgos de seguridad de la información
B) 6.1.2 a,b,c Valoración de riesgos de seguridad de la información
C) 6.1.3 Tratamiento de riesgos de seguridad de la información
D) 6.1.4 Gestión de riesgos de seguridad de la información
E) Ninguna de la anteriores
Indique cual de los siguientes numerales de la Norma ISO 27001 son obligatorios:
A) inventarlo de información y otros activos asociados - 5.9.1
B) Uso aceptable de la información y otros activos asociados - 5.11.1
C) Control de acceso - 5.15.1
D) Alcance del SGSI. 4.3
E) Todas las anteriores
Indique cual de los siguientes numerales de la Norma ISO 27001 son obligatorios:
A) Resultados de las auditorías internas 9.2
B) Resultados de la revisión de la gestión 9.6
C) Resultados de las acciones correctivas 10.4
D) Registros de entrenamiento, habilidades, experiencia y calificaciones 7.5
E) Todas las anteriores
Si usted desarrolla el rol de Auditor Líder, cual de las siguientes actividades podría ejecutar
A. Planificar las auditorias y gestionar el programa de auditoria
B. Revisar la documentación de los papeles de trabajo
C. Realizar auditorias en sitio y de forma remota
D. Redactar Informes de Auditoria / Liderar el equipo de auditoria
E. Todas las anteriores
El cliente de la auditoría debería asegurarse de que los objetivos del programa de auditoría se han establecido para dirigir la planificación y realización de auditorías y debería asegurarse de que el programa de auditoría se ha implementado eficazmente.
Estos objetivos pueden basarse en las siguientes consideraciones
a) las necesidades y expectativas de las partes interesadas pertinentes, tanto externas como internas;
b) las características y los requisitos de los procesos, productos, servicios y proyectos, y cualquier cambio en ellos;
c) los requisitos del sistema de gestión;
d) la necesidad de evaluar a los proveedores externos;
e) Todas las anteriores
Una auditoría puede realizarse con relación a una serie de criterios de auditoría, de manera separada o combinada incluyendo, pero sin limitarse a:
A) Los requisitos definidos en una o más normas de sistemas de gestión.
B) Las políticas y los requisitos especificados por las partes interesadas pertinentes.
C) Los requisitos legales y reglamentarios;
D) Uno o más procesos del sistema de gestión definidos por la organización o por otras partes;
E) Todas las anteriores
Descripción de las actividades y de los detalles acordados de una auditoría:
A) Criterios de auditoría
B) Alcance de la auditoría
C) Plan de auditoría
D) Auditoria
El programa de auditoría debería incluir la información e identificar los recursos que permitan que las auditorías se realicen de forma eficaz y eficiente dentro de los periodos de tiempo especificados. Esta información debería incluir lo siguiente:
a) objetivos para el programa de auditoría, riesgos y oportunidades asociados con el programa de auditoría y las acciones para abordarlos;
b) alcance (extensión, límites, ubicaciones) de cada auditoría dentro del programa de auditoría;
d) calendario (número/duración/frecuencia) de las auditorías;
e) criterios de auditoría, tipos de auditoría, tales como internas o externas;
f) Todas las anteriores
¿Las personas responsables de la gestión del programa de auditoría deberían asegurase de que se mantiene la integridad de la auditoría y de que no se ejerce una influencia indebida sobre la auditoría?
Verdadero
Falso
¿Debería darse prioridad de auditoría a la asignación de recursos y métodos para los asuntos de un sistema de gestión con los riesgos inherentes más altos y con los niveles de desempeño más bajos?
Falso
Verdadero
Las personas responsables de la gestión del programa de auditoría deberían tener la competencia necesaria para gestionar el programa y sus riesgos y oportunidades y las cuestiones externas e internas asociadas de forma eficaz y eficiente, incluyendo conocimientos sobre:
a) Los principios, métodos y procesos de auditoría
b) Las normas de sistemas de gestión, otras normas pertinentes y documentos de referencia/orientación;
c) La información relativa al auditado y a su contexto (por ejemplo, las cuestiones externas/internas, las partes interesadas pertinentes y sus necesidades y expectativas, las actividades de negocio, los productos, servicios y procesos del auditado);
d) Los requisitos legales y reglamentarios aplicables y otros requisitos pertinentes a las actividades de negocio del auditado.
e) Todas las anteriores
Al determinar los recursos para el programa de auditoría, las personas responsables de la gestión del programa de auditoría deberían considerar:
A) Los recursos financieros y de tiempo necesarios para desarrollar, implementar, gestionar y mejorar las actividades de auditoría junto con los métodos de auditoria.
B) La disponibilidad individual y global de auditores y expertos técnicos que tengan la competencia apropiada para los objetivos particulares del programa de auditoría;
C) La extensión del programa de auditoría y los riesgos y oportunidades relacionados con el programa de auditoría, el tiempo y costos de transporte, alojamiento y otras necesidades de la auditoría;
D) El impacto de las diferentes zonas horarias, la disponibilidad de tecnologías de la información y las comunicaciones, la disponibilidad de las herramientas, la tecnología y los equipos requeridos, la disponibilidad de la información documentada necesaria, según lo determine el establecimiento del programa de auditoría
E) Todas las anteriores
Las personas responsables de la gestión del programa de auditoría deberían asegurar la evaluación de:
a) El cumplimiento de los calendarios y el logro de los objetivos del programa de auditoría;
b) El desempeño de los miembros del equipo auditor, incluyendo el líder del equipo auditor y los expertos técnicos;
c) La capacidad de los equipos auditores para implementar el plan de auditoría;
d) La retroalimentación de los clientes de la auditoría, de los auditados, de los auditores, de los expertos técnicos y de otras partes pertinentes;, la suficiencia y adecuación de la información documentada en todo el proceso de auditoría.
e) Todas las anteriores
Algunos factores pueden indicar la necesidad de modificar el programa de auditoría. Estos pueden incluir cambios en:
A) Los hallazgos de la auditoría, el nivel demostrado de eficacia y la madurez del sistema de gestión del auditado.
B) La eficacia del programa de auditoría, el alcance de la auditoría o el alcance del programa de auditoría, el sistema de gestión del auditado.
C) Las normas, y otros requisitos con los que la organización está comprometida, los proveedores externos;
D) Los conflictos de interés identificados y los requisitos del cliente de la auditoría.
E) Todas las anteriores
Las personas responsables de la gestión del programa de auditoría deberían asegurar lo siguiente:
La revisión de la implementación global del programa de auditoría.
La identificación de áreas y oportunidades para la mejora.
La aplicación de cambios al programa de auditoría, si es necesario;
La revisión del desarrollo profesional continuo de los auditores.
Todas las anteriores
En la determinación del alcance del sistema de gestión de seguridad de la información se identificó que la organización no determino los límites y la aplicabilidad del sistema de gestión de seguridad de la información
para establecer su alcance en relación a:
Cuando se determina este alcance, la organización debe considerar:
- Las cuestiones externas e internas referidas en el apartado 4.1.
Se puede decir que es una no conformidad en relación
Clausula 4.2 a
Clausula 4.3 a
Clausula 4.2 a
Clausula 4.3 b
Ninguna de las anteriores
¿La organización no debe establecer, implementar, mantener y mejorar de manera continúa un sistema de gestión de seguridad de la información, de acuerdo con los requisitos de esta norma internacional?
Falso
Verdadero
La alta dirección debe demostrar liderazgo y compromiso con respecto al sistema de gestión de seguridad de la información. Sin embargo durante la auditoria se observo que no se esta comunicando la importancia de una gestión de la seguridad de la información eficaz y conforme con los requisitos del sistema de gestión de seguridad de la información.
La anterior no conformidad hace referencia a la clausula:
Clausula 5.1 a
Clausula 5.2 b
Clausula 5.1 d
Clausula 5.1 f
Clausula 5.2 d
En la auditoria se observó que la alta dirección establece una política de seguridad de la información, sin embargo no se evidenció que este disponible como información documentada.
Lo anterior es una no conformidad de:
Clausula 5.1 b
Clausula 5.1 c
Clausula 5.1 d
Clausula 5.1 e
Ninguna de las anteriores
En el enunciado: La organización debe planificar las acciones para tratar los riesgos y oportunidades; y la manera de integrar e implementar las acciones en los procesos del sistema de gestión de seguridad de la información, para evaluar la eficacia de estas acciones.
Lo anterior hace referencia a la clausula:
A) 6.1.1 Consideraciones generales
B) 6.1.2 Apreciación de riesgos de seguridad de la información
C) 6.1.3 Tratamiento de los riesgos de seguridad de la información
D) Ninguna de las anteriores
La organización debe determinar y proporcionar los recursos necesarios para el establecimiento, implementación, mantenimiento y mejora continua del sistema de gestión de seguridad de la información.
El anterior enunciado hace referencia a la clausula:
Clausula 7.2
Clausula 7.1
Clausula 7.4
Clausula 7.3
Clausula 7.5
La organización debe planificar, implementar y controlar los procesos necesarios para cumplir los requisitos de seguridad de la información y para implementar las acciones determinadas en el apartado 6.1. La organización debe implementar también planes para alcanzar los objetivos de seguridad de la información determinados en el apartado 6.2.
El anterior enunciado hace referencia a la clausula:
Clausula 6.1
Clausula 6.2
Clausula 6.3
Clausula 6.4
Ninguna de las anteriores
La organización no debe conservar información documentada de los resultados del tratamiento de los riesgos de seguridad de información.
Verdadero
Falso
La organización debe evaluar el desempeño de la seguridad de la información y la eficacia del sistema de gestión de seguridad de la información. Sin embargo, se observó que la organización no esta determina quién debe hacer el seguimiento y la medición.
La anterior situación es una no conformidad de la cláusula:
Cláusula 9.1 a
Cláusula 9.1 b
Cláusula 9.1 c
Cláusula 9.1 d
Cláusula 9.1 e
La organización debe llevar a cabo auditorias internas a intervalos planificados, para proporcionar información acerca de si el sistema de gestión de seguridad de la información. Sin embargo, se observó que para cada auditoría, no se definen los criterios y el alcance.
Lo anterior es una no conformidad de la clausula:
Clausula 9.2.2
Clausula 9.2.2 a
Clausula 9.2 a
Clausula 9.2.2 c
Clausula 9.2 d
¿La alta dirección debe revisar el sistema de gestión de seguridad de la información de la organización a intervalos planificados, para asegurarse de su conveniencia, adecuación y eficacia?
Verdadero
Falso
La organización debe mejorar de manera continúa la conveniencia, adecuación y eficacia del sistema de gestión de seguridad de la información, hace referencia a la clausula:
Clausula 10.1
Clausula 10.1 a
Clausula 10.2.a.1
Clausula 11.1
Clausula 11.2
