WorksheetsSimulador 3
Total questions: 40
Worksheet time: 40mins
¿Cuál es la relación entre datos e información?
Los datos son información estructurada.
La información es el significado y el valor asignado a una colección de datos
Los datos son información sin fundamento
La información es la unidad mínima de datos
Un pirata informático consigue acceso a un servidor web y consigue ver un archivo de dicho servidor que contiene los números de tarjetas de crédito.
¿Cuál de los principios de Confidencialidad, Integridad, Disponibilidad (CID) del archivo de tarjetas de crédito se incumplió?
La disponibilidad
La confidencialidad
La integridad
La seguridad
En la recepción de la empresa en la que usted trabaja hay una impresora de red. Muchos empleados no recogen sus documentos impresos inmediatamente y los dejan en la impresora.
¿Cuáles son las consecuencias de esta situación?
Ya no se puede garantizar la integridad de la información.
Ya no se puede garantizar la disponibilidad de la información.
Ya no se puede garantizar la confidencialidad de la información.
Ya no se puede garantizar la completitud de la información.
Un análisis de riesgos bien realizado proporciona una gran cantidad de información útil.
¿Cuál no es uno de los objetivos de un análisis de riesgos?
Identificar activos de información y su valor
Determinar el coste de las amenazas
Establecer un equilibrio entre los costes de un incidente y los costes de una medida de seguridad
Determinar vulnerabilidades y amenazas relevantes
"Hace un par de años puso en marcha su empresa, la cual ha pasado de 1 a 20 empleados. La información de su empresa es cada vez más valiosa y atrás han quedado los días en los que podía controlarlo todo usted solo. Es consciente de que debe tomar medidas pero, ¿cuáles? Usted contrata a un consultor que le aconseja comenzar con un análisis de riesgo cualitativo.
¿Qué es un análisis de riesgo cualitativo?"
Este análisis obedece a un cálculo de probabilidad estadística para calcular la pérdida exacta causada por el daño.
Este análisis se basa en escenarios y situaciones, y genera una visión subjetiva de las posibles amenazas.
Este análisis obedece a la confidencialidad para determinar el daño.
Este análisis corresponde a la estimación de pérdidas tras calcular la probabilidad de daños.
Usted es el propietario de una empresa de mensajería. Ha llevado a cabo un análisis de riesgo y ahora desea determinar su estrategia en materia de riesgos. Usted ha decidido tomar medidas para los grandes riesgos, pero no para los pequeños riesgos.
¿Cómo se llama esta estrategia en materia de riesgos?"
Asumir riesgos
Evitar riesgos
Riesgo neutro
Transferir riesgos
La información presenta varios aspectos relacionados con la confiabilidad, la cual se ve amenazada constantemente. Son ejemplos de amenazas para la confiabilidad: un cable suelto, la alteración de información por accidente, el uso de datos con fines personales o la falsificación de los datos.
¿Cuál de los siguientes ejemplos es una amenaza para la integridad?
Un cable suelto
Una alteración accidental de los datos
Un uso privado de los datos
Un pendrive pasa un virus a la red.
¿De qué manera se describe mejor el objetivo de la política de seguridad de la información?
Una política de seguridad de la información documenta el análisis de los riesgos y la búsqueda de contramedidas.
Una política de seguridad de la información proporciona indicaciones y soporte técnico a la Dirección de la empresa que se encarga de la seguridad de la información.
Una política de seguridad de la información presenta un plan de seguridad concreto proporcionando los datos necesarios.
Una política de seguridad de la información ofrece una visión sobre las amenazas y las posibles consecuencias.
"Se comunica a un empleado del departamento de soporte técnico un incidente de seguridad relacionado con un servidor web. Su colega cuenta con más experiencia en servidores web, así que le pasa el caso a ella.
¿Qué término describe este traspaso?"
Escalado funcional
Escalado jerárquico
Escalado urgente
Escalado anormal
"Una trabajadora de una empresa de seguros descubre que la fecha de validez de una política se ha modificado sin su conocimiento. Ya que ella es la única persona autorizada para hacerlo, informa de este incidente al Departamento de Soporte Técnico. El trabajador del Departamento de Soporte Técnico registra la información siguiente en relación con este incidente:
• fecha y hora.
• descripción del incidente.
• posibles consecuencias del incidente
¿Cuál es la información más importante que falta aquí en relación con el incidente?"
El nombre de la persona que informa sobre el incidente.
El nombre del paquete de software.
El número del PC.
Una lista de personas a las que se informó sobre el incidente.
¿Qué medida es de carácter preventivo?
Instalar un sistema de registro que permita reconocer los cambios de un sistema.
Cerrar todo el tráfico de Internet cuando un pirata informático consigue acceso a los sistemas de la empresa.
Colocar la información confidencial en una caja fuerte.
Retirar el pendrive infectado de la red
¿Cuál es el propósito de clasificar la información?
Crear un manual acerca de cómo manejar dispositivos móviles
Clasificar la información según su confidencialidad
Clasificar la información según su disponibilidad
Colocar etiquetas, lo que hace que la información sea más fácil de reconocer
Colocar etiquetas, lo que hace que la información sea más fácil de reconocer
El autor del documento
El administrador del documento
El propietario del documento
El responsable del propietario del documento
Se requiere una autenticación fuerte para acceder a zonas altamente protegidas.
¿Qué se comprueba cuando tenemos que mostrar un pase de acceso?
Algo que usted es
Algo que usted posee
Algo que usted sabe
Ninguna de las opciones
¿Qué amenaza puede presentarse como resultado de la ausencia de una medida física de protección en un centro de datos?
Que un usuario pueda ver los archivos que pertenecen a otro usuario debido a fallos en permisos de software.
Que un servidor se apague a causa de un sobrecalentamiento por falta de un sistema de refrigeración adecuado.
Que un malware se instale en el sistema debido a vulnerabilidades en el sistema operativo.
Los piratas informáticos pueden acceder a la red debido a la ausencia de un firewall robusto.
¿Qué medida de seguridad es una medida técnica?
Asignar información a un propietario
El cifrado de archivos
Crear una política que defina lo que se permite y no se permite en los mensajes de correo electrónico
Guardar las contraseñas de gestión del sistema en una caja fuerte
Las copias de seguridad del servidor central se guardan en una sala cerrada con llave junto al servidor.
¿Qué riesgos corre la organización?
Si el servidor se bloquea, se requerirá mucho tiempo para que vuelva a estar operativo
En caso de que se produzca un incendio será imposible restaurar el sistema a su estado anterior.
Que nadie es responsable de las copias de seguridad.
Que personas no autorizadas tienen fácil acceso a las copias de seguridad.
Dentro de una organización, el responsable de seguridad detecta que un puesto de trabajo de un empleado está infectado con software malintencionado. El software malintencionado se instaló debido a un ataque de suplantación de identidad.
¿Qué acción es la más beneficiosa para prevenir estos incidentes en el futuro?
Implantar tecnología MAC
Comenzar un programa de concienciación en materia de seguridad
Actualizar las restricciones del cortafuegos
Actualizar las firmas del filtro del correo basura
Usted trabaja en el Departamento de TI de una empresa de tamaño medio en la que información confidencial ha caído en manos equivocadas varias veces. Esto ha dañado la imagen de la empresa y le han pedido que proponga medidas organizativas de seguridad para los ordenadores portátiles de su empresa.
¿Cuál sería el primer paso que debería realizar?
Formular una política de uso relativa a los dispositivos móviles (PDA, ordenadores portátiles, teléfonos inteligentes, memorias USB).
Designar personal de seguridad.
Cifrar los discos duros de los ordenadores portátiles y las memorias USB.
Establecer una política de control de acceso.
¿Cómo se llama el sistema que garantiza la coherencia de la seguridad de la información de la organización?
Sistema de gestión de la seguridad de la información (SGSI)
Rootkit
Normas de seguridad de información especial para el gobierno
Sistema de gestión de calidad de la información
¿Cómo se denomina al acto de «establecer si la identidad de una persona es la correcta»?
Autenticación
Autorización
Identificación
Asignación de derechos
¿Por qué es necesario mantener un plan de recuperación de desastres actualizado y comprobarlo con frecuencia?
Para tener siempre acceso a las copias de seguridad recientes que están situadas fuera de la oficina.
Para poder hacer frente a los fallos que ocurren a diario.
Porque, de lo contrario, en el caso de una interrupción de gran alcance, las medidas tomadas y los procedimientos planificados en caso de incidentes pueden no ser los adecuados o haber quedado obsoletos.
Porque lo requiere la legislación sobre la protección de datos personales.
¿Sobre qué legislación puede una persona solicitar la inspección de los datos que se han registrado sobre él o ella?
Ley sobre registros públicos
Ley sobre la protección de datos personales
Ley sobre delincuencia informática
Ley de Transparencia y Acceso a la Información Pública del Gobierno
¿Cuál es la regulación relacionada con la seguridad de la información que puede imponerse a todas las organizaciones?
Derechos de propiedad intelectual
ISO/IEC 27001:2022
ISO/IEC 27002:2005
Legislación sobre la protección de datos personales.
Usted es el propietario de su empresa y ha contratado a algunas personas que mientras esperan para atender a un cliente pueden llevar a cabo otras tareas. Sin embargo, usted nota que este tiempo lo usan para enviar y leer mensajes personales, así como para navegar por Internet. En términos legales, ¿de qué modo puede regularse mejor el uso de Internet y los servicios de correo electrónico?
Instalar una aplicación que haga que no se pueda acceder a determinados sitios web y filtre los archivos adjuntos de los mensajes de correo electrónico
Crear un código de conducta para el uso de Internet y del correo electrónico en el que se establezcan los derechos y las obligaciones del empleado y del personal
Implantar normas de privacidad
Instalar un antivirus
¿En qué condiciones se le permite a la empresa comprobar si los servicios de Internet y de correo electrónico del lugar de trabajo se están utilizando con fines privados?
Se le permite si se informa al empleado después de cada comprobación.
Se le permite si los empleados son conscientes de que esto puede ocurrir.
Se le permite si también hay instalado un cortafuegos.
Se le permite si existe un sindicato de empleados en la empresa
¿Qué es el impacto?
La consecuencia (daño) que se presentaría cuando la amenaza explota la vulnerabilidad.
Impacto final expresado en término matemático.
La cantidad de veces posible que una amenaza puede explotar una vulnerabilidad en un periodo de tiempo.
Un agente o evento que puede explotar una vulnerabilidad.
¿Cuál es el enfoque del análisis de riesgos?
Detección de todos los activos.
Detección y mitigación de los riesgos.
Análisis de riesgos basado en activos.
Análisis de riesgos basado en servicios.
¿Quién es responsable de establecer una política de seguridad de la información en la empresa?
Todos los empleados
El Director de T.I
La Alta dirección
El gestor de seguridad informática
• Dirigir y apoyar a las personas involucradas en el ISMS.
• Promover la importancia del ISMS.
• Promover la mejora continua en la organización.
Hacen parte de?
Conocer las necesidades y expectativas de las partes interesadas
Liderazgo y compromiso.
Las acciones para tratar los riesgos y oportunidades
La planificación y control operacional
Caso No 1:
La organización establece intercambio de información con el organismo supervisor, esta información es enviada por medio electrónico, la organización definió una excelente política de intercambio de información y por lo tanto no fue necesario definir el procedimiento de intercambio de información
Cumple
No cumple
¿Qué debe contener el formato de programa de auditoría?
Objetivo, alcance, clase de auditoría, criterio principal de auditoría, equipo auditor, recursos, cronograma
Objetivo, alcance, clase de auditoría, criterio principal de auditoría
Objetivo, alcance, clase de auditoría
Ninguna de las anteriores
Si una organización descubre una no conformidad, ¿qué acciones son apropiadas de acuerdo con la norma?
Reaccionar ante la no conformidad y tomar acciones para controlarla y corregirla.
Ignorar la no conformidad si se considera menor.
Evaluar la necesidad de acciones para eliminar sus causas.
Esperar a que alguien externo ofrezca una solución.
La mejor definición de auditoria es:
Proceso sistemático, independiente que tiene como único fin determinar en qué medida se cumplen los criterios de auditoría y qué acciones pueden ser necesarias para mejorar el desempeño.
Proceso sistemático, independiente y documentado que tiene como objetivo obtener evidencias relevantes y confiables sobre un área o actividad de la organización, para luego evaluarlas de manera objetiva y determinar en qué medida se cumplen los criterios de auditoría establecidos.
Proceso sistemático e independiente que se lleva a cabo para obtener información relevante y confiable sobre un área o actividad de la organización, con el fin de evaluarla de manera objetiva y determinar en qué medida se cumplen los criterios de auditoría.
Proceso sistemático, independiente y documentado que tiene como objetivo obtener evidencias relevantes sobre un área o actividad de la organización, para luego evaluarlas de manera objetiva y determinar los costos y beneficios asociados a esa área o actividad.
El término que define un hallazgo de auditoría es:
Incumplimiento de políticas
Conclusiones finales de la auditoría
Resultados de la evaluación de la evidencia recopilada durante la auditoría, frente a los criterios de auditoria
Mejoras identificadas
Defina alcance:
Extensión y límites de una auditoría.
El alcance de la auditoría incluye generalmente una descripción de las ubicaciones físicas, proveedores, costos, las unidades organizacionales, actividades y procesos, así como el período de tiempo cubierto.
Extensión y límites de una auditoría
El alcance de la auditoría incluye generalmente una descripción de las ubicaciones físicas, las unidades organizacionales, actividades y procesos, así como el periodo de tiempo cubierto
Extensión y límites de una auditoría
El alcance de la auditoría incluye generalmente una descripción de las ubicaciones físicas, pero no de las unidades organizacionales, actividades y procesos
Ninguna de las anteriores
Una empresa ha establecido contratos y Acuerdos de Nivel de Servicio (ANS) al SGSI con terceros, por ejemplo para servicios de mantenimiento de UPS en el centro de datos, la administración de Firewall, gestión de ingreso y salida del personal.
El responsable indica que se han definido muy bien los contratos y los ANS, por lo tanto no ha sido necesario realizar auditorías a intervalos regulares.
No cumple
Cumple
La empresa "TechSecure" detectó una no conformidad en su sistema de gestión de seguridad de la información. En una reunión, el equipo propuso varias acciones:
• Acción A: Ignorar la no conformidad ya que parece ser un incidente aislado.
• Acción B: Realizar una revisión inmediata de la no conformidad, determinar sus causas y verificar si existen no conformidades similares.
• Acción C: Esperar a recibir feedback de los clientes para decidir qué hacer.
• Acción D: Organizar una capacitación general para todos los empleados, sin investigar la no conformidad en detalle.
Según la norma descrita, ¿cuál de estas acciones sería la más apropiada para TechSecure?
Acción A
Acción B
Acción C
Acción D
Un nuevo director de TI ha sido nombrado en una empresa. Para alinear las prácticas de seguridad de la información con el documento proporcionado, ¿cuál de las siguientes acciones debería asegurarse de implementar la alta dirección?
Restringir el acceso al sistema de gestión de seguridad de la información solo a la alta dirección.
Asegurarse de que el director de TI tenga la responsabilidad y autoridad para informar sobre el desempeño del sistema de gestión de seguridad de la información a la alta dirección.
Delegar todas las decisiones de seguridad de la información únicamente al director de TI sin supervisión.
Asegurarse de que el director de TI siga solo las normativas internacionales sin considerar las necesidades específicas de la organización.
La organización incluyó en el programa de auditorías la realización de auditorías de segunda parte para el sistema de gestión de la seguridad de la información, e incluyó en su presupuesto para el siguiente año la asignación de recursos para ejecutar estas auditorías en un período de seis meses.
La organización está decidiendo a quien designa como responsable de esta actividad
No cumple
Cumple
