Font size
WorksheetsDesarrollo Seguro
Total questions: 99
Worksheet time: 50mins
La razón PRINCIPAL para incorporar la seguridad en el ciclo de vida del desarrollo de software es proteger:
La divulgación no autorizada de información.
La marca corporativa y la reputación.
Contra los piratas informáticos que pretenden hacer un mal uso del software.
Los desarrolladores de lanzar software con defectos de seguridad.
La capacidad de recuperación del software para resistir ataques que intentan modificar o alterar datos de una manera no autorizada se denomina:
Confidencialidad.
Confidencialidad.
Integridad.
Disponibilidad.
Autorización.
La razón PRINCIPAL de por qué los aspectos de disponibilidad del software deben ser parte de las iniciativas de seguridad del software de la organización es:
Los problemas de software pueden causar tiempo de inactividad en la empresa.
Los desarrolladores deben estar capacitados en los procedimientos de continuidad del negocio.
A menudo se ignoran las pruebas de disponibilidad del software y los datos.
A los piratas informáticos les gusta realizar ataques de denegación de servicio (DoS) contra la organización.
5.Desarrollar el software para monitorear su funcionalidad e informar cuando el software está inactivo, y no puede brindar el servicio esperado a la empresa es una protección para asegurar:
Confidencialidad.
Integridad.
Disponibilidad.
Autenticación.
Cuando un cliente intenta iniciar sesión en su cuenta bancaria, se requiere que el cliente ingrese un nonce from the token device que el banco le entregó. ¿Cómo se le conoce a este tipo de autenticación?
Autenticación basada en la propiedad.
Autenticación de dos factores.
Autenticación basada en características.
Autenticación basada en conocimientos.
¿La autenticación de múltiples factores está más estrechamente relacionada con cuál de los siguientes principios de diseño de seguridad?
Separación de funciones.
Defensa en profundidad.
Mediación completa.
Diseño abierto.
Los registros de auditoría se pueden utilizar para todos los siguientes EXCEPTO:
Proporcionar información probatoria.
Asegurar que el usuario no pueda negar sus acciones.
Detectar las acciones que se llevaron a cabo.
Evitar que un usuario realice algunas operaciones no autorizadas.
Las organizaciones a menudo predeterminan el número aceptable de errores de usuario antes de registrarlos como violaciones de seguridad. Este número también se conoce como:
Nivel de recorte.
Error conocido.
Línea de base mínima de seguridad.
Máximo tiempo de inactividad tolerable.
Un principio de seguridad que mantiene la confidencialidad, integridad y disponibilidad del software, los datos, además de permitir una rápida recuperación al estado de operaciones normales cuando ocurren eventos inesperados es el principio de diseño de seguridad de:
Defensa en profundidad.
Economía de mecanismos.
Falla segura.
Aceptabilidad psicológica.
Exigir al usuario final que acepte una cláusula de exención de responsabilidad "TAL CUAL" antes de la instalación de su software es un ejemplo de riesgo:
Evitación.
Transferencia.
Aceptación.
Mitigación.
Un instrumento que se utiliza para comunicar y exigir metas, objetivos organizativos y de gestión a un alto nivel es un:
Estándar.
Política.
Línea de base.
Pauta.
El Modelo de madurez de capacidad de ingeniería de seguridad de sistemas (SSE-CMM®) es un estándar reconocido internacionalmente que publica pautas para:
Proporcionar métricas para medir el software y su comportamiento, y utilizar el software en un contexto de uso específico.
Evaluar las prácticas de ingeniería de seguridad y los procesos de gestión organizacional.
Apoyar a los organismos de acreditación y certificación que auditan y certifican los sistemas de gestión de seguridad de la información.
Asegurarse de que la identidad del personal que se alega se verifique adecuadamente.
¿Cuál de los siguientes es un marco que se puede utilizar para desarrollar una arquitectura de seguridad empresarial basada en riesgos, al determinar los requisitos de seguridad después de analizar las iniciativas comerciales?
Capability Maturity Model Integration (CMMI).
Sherwood Applied Business Security Architecture (SABSA).
Control Objectives for Information and related Technology (COBIT®).
Zachman Framework.
¿Cuál de las siguientes opciones es una consideración PRINCIPAL para el editor de software, al venderlo comercialmente listo para usar (COTS)?
Acuerdos de nivel de servicio (SLA).
Protección de la propiedad intelectual.
Costo de personalización.
Revisión del código para puertas traseras y caballos de Troya.
¿Cuál de las siguientes fórmulas puede determinarse la expectativa de pérdida única?
Tasa de ocurrencia anualizada (ARO) x Factor de exposición.
Probabilidad x Impacto.
Valor del activo x factor de exposición.
Tasa anualizada de ocurrencia (ARO) x valor del activo.
Implementar IPSec para asegurar la confidencialidad de los datos cuando se transmiten es un ejemplo de riesgo:
Evitación.
Transferencia.
Mitigación.
Aceptación.
18.El Estándar Federal de Procesamiento de Información (FIPS) que prescribe pautas para la autenticación biométrica es:
FIPS 140.
FIPS 186.
FIPS 197.
FIPS 201.
¿Cuál de los siguientes es un estándar de seguridad multifacético que se utiliza para regular las organizaciones que recopilan, procesan y / o almacenan datos de titulares de tarjetas como parte de sus operaciones comerciales?
FIPS 201.
PCI DSS.
ISO / IEC 15408.
NIST SP 800-64.
¿Cuál de los siguientes es el Estándar Federal de Procesamiento de Información (FIPS) actual que especifica un algoritmo criptográfico aprobado para garantizar la confidencialidad de los datos electrónicos?
Requisitos de seguridad para módulos criptográficos (FIPS 140).
Verificación de identidad personal (PIV) de empleados y contratistas federales (FIPS 201).
Estándar de encriptado avanzado (FIPS 197).
Estándar de firma digital (FIPS 186).
21.La organización que publica los diez riesgos de seguridad de aplicaciones web más críticos (Top Ten) es la:
Open Web Application Security Project (OWASP).
Computer Emergency Response Team (CERT).
Web Application Security Consortium (WASC).
Forums for Incident Response and Security Teams (FIRST)
El proceso de eliminar información privada de conjuntos de datos confidenciales se denomina:
Higienización.
Desmagnetización
Anonimización.
Formateo.
DOMINIO II
¿Cuál de los siguientes DEBE ser abordado por los requisitos de seguridad del software? Elige la mejor respuesta.
Tecnología utilizada en la construcción de la aplicación.
Metas y objetivos de la organización.
Requisitos de calidad del software.
Requisitos del auditor externo.
¿Cuál de los siguientes tipos de información está exento de los requisitos de confidencialidad?
Información del directorio.
Información de identificación personal (PII).
Datos del titular de la tarjeta del usuario.
Arquitectura de software y diagrama de red.
Los requisitos que se identifican para proteger contra la destrucción de información o del software en sí, se denominan comúnmente:
Requisitos de confidencialidad.
Requisitos de integridad.
Requisitos de disponibilidad.
Requisitos de autenticación.
La cantidad de tiempo durante el cual las operaciones comerciales deben restablecerse a los niveles de servicio que espera la empresa cuando hay una brecha de seguridad o un desastre se conoce como:
Recovery Time Objective (RTO).
Maximum Tolerable Downtime (MTD).
Mean Time Before Failure (MTBF).
Minimum Security Baseline (MSB).
El uso de las características físicas de un individuo, como patrones sanguíneos retinianos y huellas dactilares, para validar y verificar la identidad del usuario se denomina:
Autenticación biométrica.
Formularios de autenticación.
Autenticación implícita.
Autenticación integrada.
¿Cuál de las siguientes políticas es MÁS probable que incluya el siguiente requisito: "Todo software que procesa transacciones financieras debe utilizar más de un factor para verificar la identidad de la entidad que solicita el acceso"?
Autorización.
Autenticación.
Auditoría.
Disponibilidad.
Un medio de restringir el acceso a los objetos en función de la identidad de los sujetos y / o grupos a los que pertenecen según lo ordena el propietario del recurso solicitado, es la definición de:
Non-discretionary Access Control (NDAC).
Discretionary Access Control (DAC).
Mandatory Access Control (MAC).
Role based Access Control.
Los requisitos que cuando se implementan pueden ayudar a construir un historial de eventos que ocurrieron en el software se conocen como:
Requisitos de autenticación.
Requisitos de archivo.
Requisitos de rendición de cuentas.
Requisitos de autorización.
¿Cuál de las siguientes es la razón PRINCIPAL para que una aplicación sea susceptible a un ataque Man-in-the-Middle (MITM)?
Gestión inadecuada de sesiones.
Falta de auditoría.
Archivado inadecuado.
Falta de encriptado.
El proceso de obtener requisitos concretos de seguridad del software de las directivas y mandatos regulatorios y organizativos de alto nivel, en la fase de requisitos del SDLC también se conoce como:
Modelado de amenazas.
Descomposición de políticas.
Modelado sujeto-objeto.
Generación de casos de uso indebido.
El PRIMER paso en el proceso de obtención de necesidades de protección (PNE) es:
Involucrar al cliente.
Modelo de gestión de la información.
Identificar aplicaciones con privilegios mínimos.
Realizar modelos y análisis de amenazas.
Una Matriz de trazabilidad de requisitos (RTM) que incluye requisitos de seguridad se puede utilizar para todo lo siguiente, excepto:
Garantizar que no se produzca un deslizamiento del alcance.
Identificación de secciones de código privilegiadas.
Validar y comunicar los requisitos del usuario.
Determinación de la asignación de recursos.
Los mecanismos de comprobación de bits de paridad (parity bit) se pueden utilizar para todo lo siguiente, excepto:
Detección de errores.
Garantía de integridad.
Corrupción de mensajes.
Validación de entrada.
¿Cuál de las siguientes es una actividad que se puede realizar para aclarar los requisitos con los usuarios comerciales, utilizando diagramas que modelan el comportamiento esperado del software?
Modelado de amenazas.
Modelado de casos de uso.
Modelado de casos de uso indebido.
Modelado de datos.
¿Cuál de los siguientes es MENOS PROBABLE que se identifique mediante el modelado de casos de uso indebido?
Condiciones de carrera.
Malos actores.
Perspectiva del atacante.
Requisitos negativos.
La clasificación de datos es una actividad central que se lleva a cabo como parte de:
Ciclo de vida de la gestión de claves.
Gestión del ciclo de vida de la información.
Gestión de la configuración.
Problema de gestión.
Gestión de problemas ¿Los problemas de corrupción de datos de la granja web y los requisitos de encriptado de datos del titular de la tarjeta, deben capturarse como parte de:
Integridad.
Medio ambiente.
Internacional.
Adquisiciones.
Cuando el software se compra a un tercero en lugar de ser construido internamente, es imperativo contar con protección contractual y tener los requisitos de software explícitamente especificados en:
Acuerdos de nivel de servicio (SLA).
Acuerdos de confidencialidad (NDA).
Acuerdos de no competencia.
Plan de proyecto.
Cuando el software es capaz de resistir los ataques de un agente de amenazas y no violar la política de seguridad, ¿Cuál de los siguientes atributos de garantía de software se dice que exhibe?
Fiabilidad.
Resistencia/Resiliencia.
Recuperación.
Redundancia.
¿A cuál de los siguientes se les conoce a menudo que los bucles infinitos y las llamadas de memoria incorrectas provocan amenazas?
Disponibilidad.ilidad.
Autenticación.
Autorización.
Responsabilidad
¿Cuál de los siguientes se utiliza para comunicar y hacer cumplir los requisitos de disponibilidad de la empresa o cliente?
Acuerdo de no divulgación (NDA).
Contrato corporativo.
Acuerdos de nivel de servicio (SLA).
Modelo de amenazas.
Los requisitos de seguridad del software que se identifican para proteger contra la divulgación de datos a usuarios no autorizados se conocen también como:
Requisitos de integridad.
Requisitos de confidencialidad.
Requisitos de no repudio.
Requisitos de autorización.
¿En qué sección de la documentación de especificaciones de requisitos de software (SRS), deben identificarse los requisitos que garantizan la fiabilidad y evitan alteraciones?
Confidencialidad.
Disponibilidad.
Responsabilidad.
Integridad.
¿Cuál de los siguientes es un mecanismo encubierto que asegura la confidencialidad?
Cifrado.
Esteganografía.
Hash.
Enmascaramiento.
¿Se puede utilizar la validación de suma de comprobación para satisfacer cuál de los siguientes requisitos?
Confidencialidad.
Integridad.
Disponibilidad.
Autenticación.
Se puede utilizar una matriz de trazabilidad de requisitos (RTM) que incluye requisitos de seguridad para todos los siguientes, excepto:
Asegúrese de que no se produzca un deslizamiento del alcance.
Validar y comunicar los requisitos de los usuarios.
Determinar la asignación de recursos
Identificación de secciones de código privilegiado.
DOMINIO III
¿Durante qué fase del ciclo de vida del desarrollo de software (SDLC) se inicia el modelado de amenazas?
Análisis de requisitos.
Implementación.
Despliegue.
Diseño.
51.¿Cuáles son las listas de autoridad de certificación, autoridad de registro y revocación de certificados?
Estándar de encriptado avanzado (AES).
Esteganografía.
Infraestructura de clave pública (PKI).
Protocolo ligero de acceso a directorios (LDAP).
El uso de firmas digitales tiene la ventaja de proporcionar una de las siguientes, que nos es provista por el diseño con criptografía con llaves simétricas:
Velocidad de las operaciones criptográficas
No repudio
Aseguramiento de la confidencialidad
Intercambio de claves
Cuando las contraseñas se almacenan en la base de datos, la mejor defensa contra ataques de divulgación se puede lograr utilizando:
Cifrado.
Hashing.
Ofuscación.
Enmascaramiento.
Nicole es parte del rol de "autora" y también está incluida en el rol de "aprobador", lo que le permite aprobar sus propios artículos antes de que se publiquen en el sitio del blog de la empresa. Esto viola el principio de:
Privilegio mínimo.
Mecanismos menos comunes.
Separación de funciones.
Economía de mecanismos.
La razón principal para diseñar capacidades de inicio de sesión único (SSO) es:
Aumentar la seguridad de los mecanismos de autenticación.
Permitir la interoperabilidad entre redes inalámbricas y cableadas.
Simplificar la autenticación de usuarios.
Tener la capacidad de verificar cada solicitud de acceso.
Los activadores de la base de datos son PRINCIPALMENTE útiles para proporcionar ¿Cuál de las siguientes capacidades de aseguramiento del software de detección?
Disponibilidad.
Auditoría.
Archivado.
Autorización.
Durante un ejercicio de modelado de amenazas, se revisa la arquitectura del software para identificar:
Atacantes.
Impacto empresarial.
Activos críticos.
Puntos de entrada.
¿Un ataque Man-in-the-Middle (MITM) es PRINCIPALMENTE una expresión de qué tipo de las siguientes amenazas?
Spoofing.
Manipulación (Tampering).
Repudio.
Divulgación de información.
¿En qué capa del modelo de interconexión de sistemas abiertos (OSI) opera la tecnología IPSec que ayuda a la transmisión segura de información?
Transporte.
Red.
Sesión.
Aplicación.
Cuando la funcionalidad empresarial interna se abstrae en interfaces basadas en contratos orientados a servicios, se utiliza PRINCIPALMENTE para proporcionar:
Interoperabilidad.
Autenticación.
Autorización.
Facilidad de instalación.
¿En qué nivel del modelo de interconexión de sistemas abiertos (OSI) deben diseñarse los controles de seguridad para mitigar eficazmente los ataques de canal lateral?
Transporte.
Red.
Enlace de datos.
Físico.
¿Cuál de las siguientes arquitecturas de software es eficaz para distribuir la carga entre el cliente y el servidor, pero dado que incluye al cliente como parte de los vectores de amenaza, aumenta la superficie de ataque?
Software como servicio (SaaS).
Arquitectura orientada a servicios (SOA).
Aplicación de Internet enriquecida (RIA).
Arquitectura de red distribuida (DNA).
Al diseñar software para que funcione en un entorno informático móvil, el chip Trusted Platform Module (TPM) se puede utilizar para proporcionar ¿Cuál de los siguientes tipos de información?
Autorización.
Identificación.
Archivado.
Auditoría.
Cuando se juntan dos o más piezas triviales de información con el objetivo de obtener información sensible, ¿Qué tipo de ataque se denomina?
Inyección.
Inferencia.
Phishing.
Poli instanciación.
El funcionamiento interno y la estructura interna de las bases de datos back-end pueden protegerse contra la divulgación mediante:
Desencadenantes.
Normalización.
Vistas.
Cifrado.
Elija la MEJOR respuesta. Los ajustes configurables para el registro de excepciones, auditoría y gestión de credenciales deben ser parte de:
Vistas de la base de datos.
Interfaces de gestión de seguridad.
Archivos globales.
Manejo de excepciones.
El token que se utiliza PRINCIPALMENTE con fines de autenticación en una implementación de signo único (SSO) entre dos empresas diferentes es:
Kerberos.
Security Assert Markup Language (SAML).
Liberty Alliance ID-FF.
One Time password (OTP).
¿Las implementaciones de Syslog requieren qué mecanismos de protección de seguridad adicionales para mitigar los ataques de divulgación?
Generación e intercambio de identificadores de sesión únicos.
Seguridad de la capa de transporte.
Gestión de derechos digitales (DRM).
Prevención de pérdida de datos.
Los derechos y privilegios de un archivo se pueden otorgar de forma granular a cada cliente mediante cuál de las siguientes tecnologías.
Prevención de pérdida de datos (DLP).
Software como servicio (SaaS).
Control de flujo.
Gestión de derechos digitales (DRM).
¿Cuál de los siguientes se sabe que elude los mecanismos de protección de anillo en los sistemas operativos?
Falsificación de solicitud entre sitios (CSRF).
Coolboot.
Inyección SQL.
Rootkit.
71.Cuando el software se diseña utilizando la arquitectura Representational State Transfer (REST), ¿Cuál de las siguientes buenas prácticas de programación promueve?
Alta cohesión.
Cohesión baja.
Acoplamiento apretado.
Acoplamiento suelto.
¿Cuál de los siguientes componentes de la arquitectura Java es el principal responsable de garantizar la coherencia de tipos, la seguridad y garantizar que no haya instrucciones maliciosas en el código?
Recolector de basura.
Cargador de clases.
Verificador de código de bytes.
Gerente de seguridad de Java.
La principal preocupación de seguridad al implementar aplicaciones en la nube está relacionada con:
API inseguras.
Abuso de los recursos informáticos.
Fuga y / o pérdida de datos.
Acceso no autorizado.
La forma predominante de malware que infecta las aplicaciones móviles es:
Virus.
Ransomware.
Gusano.
Software espía.
La mayoría de los sistemas de control de supervisión y adquisición de datos (SCADA) son susceptibles a ataques de software porque:
No se implementaron inicialmente teniendo en cuenta la seguridad.
Los datos que recopilan son de clasificación de alto secreto.
Las habilidades de un hacker han aumentado significativamente.
Se han violado los firewalls que están instalados frente a estos dispositivos.
DOMINIO IV
Los desarrolladores de software escriben programas de software PRINCIPALMENTE para:
Crear nuevos productos.
Capturar cuota de mercado.
Resolver problemas comerciales/del negocio.
Mitigar las amenazas de los piratas informáticos.
El proceso de combinar funciones, variables y archivos de dependencia y bibliotecas necesarios para que la máquina ejecute el programa se denomina:
Compilación.
Interpretación.
Vinculación.
Instanciación.
¿Cuál de las siguientes opciones es una consideración importante para administrar la memoria y mitigar los ataques de desbordamiento al elegir un lenguaje de programación?
Localidad de referencia.
Tipo de seguridad.
Complejidad ciclomática.
Polimorfismo paramétrico.
El ensamblaje y el lenguaje de máquina son ejemplos de:
Lenguaje natural.
Lenguaje de muy alto nivel (VHLL).
Lenguaje de alto nivel (HLL).
Lenguaje de bajo nivel.
¿El uso de la autenticación multifactor es eficaz para mitigar cuál de los siguientes riesgos de seguridad de las aplicaciones?
Defectos de inyección.
Secuencias de comandos entre sitios (XSS).
Desbordamiento de búfer.
Hombre en el medio (MITM).
Los ataques de suplantación de identidad, como los ataques Man-in-the-Middle (MITM) en una aplicación de Internet, se pueden mitigar MEJOR utilizando:
Gestión de la configuración.
Gestión de sesiones.
Gestión de parches.
Gestión de excepciones.
La implementación de la prueba de Turing pública completamente automatizada para diferenciar a las computadoras y los humanos (CAPTCHA) es un medio de defensa contra:
Inyección SQL.
Secuencias de comandos entre sitios (XSS).
Falsificación de solicitudes entre sitios (CSRF).
Almacenamiento criptográfico inseguro.
Los resultados de una revisión de código indican que las operaciones criptográficas en el código utilizan el cifrado de Rijndael, ¿Cuál es la publicación original de cuál de los siguientes algoritmos?
Listado.
Estándar de cifrado de datos (DES).
Estándar de cifrado de datos triple (3DES).
Estándar de cifrado avanzado (AES).
¿Cuál de las siguientes tecnologías de capa de transporte puede mitigar MEJOR el secuestro de sesiones y los ataques de reproducción en una red de área local (LAN)?
Prevención de pérdida de datos (DLP).
Seguridad del protocolo de Internet (IPSec).
Capa de sockets seguros (SSL).
Gestión de derechos digitales (DRM).
¿Cuáles de las siguientes amenazas de seguridad del software pueden provocar mensajes de error detallados y excepciones no controladas?
Spoofing.
Manipulación.
Repudio.
Divulgación de información.
La firma de código puede proporcionar todo lo siguiente EXCEPTO:
Protección anti-manipulación.
Autenticidad del origen del código.
Permisos de tiempo de ejecución para el código.
Autenticación de usuarios.
Cuando un atacante usa mensajes de error retrasados entre sondas de consulta exitosas y no exitosas, ¿Está usando cuál de las siguientes técnicas de canal lateral para detectar vulnerabilidades de inyección?
Observación a distancia.
Arranque en frío.
Análisis de poder.
Timing.
Cuando el código no tiene permitido acceder a la memoria en ubicaciones arbitrarias que están fuera del rango del espacio de direcciones de la memoria que pertenecen a los campos expuestos públicamente del objeto, ¿Cuál de los siguientes tipos de código se denomina?
Código de objeto.
Escriba el código de seguridad.
Código ofuscado.
Código fuente.
Cuando los permisos de tiempo de ejecución del código se definen como atributos de seguridad en los metadatos del código, se denomina:
Seguridad de sintaxis imperativa.
Seguridad de sintaxis declarativa.
Firma de código.
Ofuscación de código.
Cuando un enfoque de todo o nada para la seguridad de acceso al código no es posible, las reglas y los permisos de negocio deben establecerse y administrar funciones y módulos en las líneas de código, de manera más granular, un programador puede aprovechar ¿Cuál de los siguientes?
Agilidad criptográfica.
Polimorfismo paramétrico.
Seguridad declarativa.
Seguridad imperativa.
Comprensión de cuál de los siguientes conceptos de programación es necesario para proteger contra ataques de desbordamiento de búfer por manipulación de memoria. Elige la mejor respuesta.
Manejo de errores.
Gestión de excepciones.
Localidad de referencia.
Genéricos.
El código de explotación intenta tomar el control de punteros colgantes que:
Son referencias a ubicaciones de memoria de objetos destruidos.
Es el código no funcional que se deja atrás en la fuente.
Es el código de carga útil que el atacante carga en la memoria para ejecutarlo.
Son referencias en ubicaciones de memoria que se utilizan antes de inicializarse.
¿Cuál de las siguientes es una característica de los sistemas operativos (SO) más recientes que dificulta que un atacante adivine la dirección de memoria del programa, ya que hace que la dirección de memoria sea diferente cada vez que se ejecuta el programa?
Prevención de ejecución de datos (DEP).
Protección de espacio ejecutable (ESP).
Aleatorización del diseño del espacio de direcciones (ASLR).
Controlador de excepciones de seguridad segura (/ SAFESEH).
Cuando el código fuente se vuelve oscuro usando programas especiales para dificultar la legibilidad del código cuando se divulga, el código también se conoce como:
Código objeto.
Código ofuscado.
Código cifrado.
Código hash.
¿La capacidad de rastrear la propiedad, los cambios en el código y las capacidades de reversión es posible debido a cuál de los siguientes procesos de administración de configuración?
Control de versiones.
Parcheo.
Registro de auditoría.
Control de cambios.
El beneficio PRINCIPAL de analizar estáticamente el código es que:
Se puede analizar el comportamiento del código en tiempo de ejecución.
Las fallas de la lógica empresarial son más fáciles de detectar.
El análisis se realiza en un entorno de producción o similar a la producción.
Los errores y las vulnerabilidades se pueden detectar más temprano en el ciclo de vida.
La protección criptográfica incluye todo lo siguiente EXCEPTO:
Cifrado de datos cuando se procesan.
Enmascaramiento de datos cuando se muestran.
Ocultación de datos dentro de otros objetos multimedia cuando se transmiten.
Hash de los datos cuando se almacenan.
Reemplazar el Número de cuenta principal (PAN) con símbolos aleatorios o pseudoaleatorios que son identificables de manera única y aún garantizan la privacidad también se conoce como
Fuzzing.
Tokenización.
Codificación.
Canonicalización.
¿Cuál de las siguientes es una implementación del principio de privilegio mínimo?
Sandboxing.
Tokenización.
Control de versiones.
Concurrencia.
¿Cuál de las siguientes opciones describe el propósito del modelado de amenazas (threat modeling)?
Enumere las amenazas al software
Definir los flujos de datos correctos y seguros en un programa
Comunicar información sobre amenazas y mitigación a todo el equipo de desarrollo
Comunicar los requisitos de las pruebas al equipo de pruebas.
Un modelo lineal para el desarrollo de software es el:
Scrum model
Spiral model
Waterfall model
Agile model
