Los protocolos de comunicación, conectores o elementos físicos, modelos de almacenamiento de datos, etc. son:

¿Qué tipo de estándares existen?

Estándares con gran aceptación en el mercado, establecidos normalmente por grupos de empresas y organizaciones, pero no reconocidos oficialmente:

Estándares definidos por organizaciones o grupos oficiales, es decir, en los que intervienen Estados con el compromiso de adoptarlos como de obligado cumplimiento:

Los archivos en formato pdf son un supuesto de:

Estándares que pueden ser conocidos sin restricción, están publicados y pueden ser gratuitos o no:

Algunos organismos cobran una cuota por acceder a sus estándares prohibiendo su distribución, aunque en la mayoría de los casos la utilización de este estándar no requiere el pago de un canon, son estándares:

Es la mayor asociación profesional para el avance de la innovación y la excelencia tecnológica:

Organización para la creación de estándares internacionales compuesta por diversas organizaciones nacionales de estandarización:

Es la Organización Internacional de Normalización:

Organización formada por organismos de estandarización de diversos países (ANSI en EEUU, DIN en Alemania, AENOR en España,...) y por un grupo de organizaciones observadoras, que no poseen capacidad de voto:

Organización más importante de las Naciones Unidas en lo que concierne a las tecnologías de la información que representa un foro global para los gobiernos:

Organización que coordina elusodelespectroradioeléctrico, promoviendo la cooperación internacional para estructuras de comunicación mundiales, estableciendo estándares mundiales para la asignación de órbitas de satélites, trabajando para mejorar las para la interconexión de un enorme rango de sistemas de comunicación, frente a problemas actuales, como el cambio climático y la seguridad en el ciberespacio:

Organización internacional abierta que tiene como objetivos contribuir a la ingeniería de Internet, actuando en diversas áreas, como transporte, encaminamiento y seguridad:

Entidad que regula las propuestas y los estándares de Internet, conocidos como RFC (Request For Comments) y con más autoridad para establecer modificaciones de los parámetros técnicos bajo los que funciona la red:

Organización sin ánimo de lucro encargada de supervisar el desarrollo de estándares que se aplican en los Estados Unidos de América:

Organización formada por representantes de las industrias más importantes del sector de las telecomunicaciones y quehadesarrolladonumerososestándaresanivelinternacionalrelacionados con el mundo de las redes en colaboración con ANSI y la antigua EIA:

Es una organización independiente sin ánimo de lucro reconocida por la Unión Europea como una organización de estándares europeos:

Es una organización privada sin ánimo de lucro cuya misión es fomentar la economía europea en el negocio global, el bienestar de los ciudadanos europeos y el medio ambiente, proporcionando una infraestructura eficiente a las partes interesadas para el desarrollo, el mantenimiento y la distribución de sistemas estándares coherentes y de especificaciones:

Organismo nacional de normalización que a través de sus Comités Técnicos de Normalización se encarga de la publicación de las normas UNE (Una Norma Española) y la adopción y aplicación de las normas europeas:

La definición de ciberseguridad de la UIT-T (Unión Internacional de Telecomunicaciones) se encuentra recogida en la norma técnica:

Norma que trata sobre los aspectos generales de la ciberseguridad:

Conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización y los usuarios en el ciberentorno:

Procesos y metodologías que se han diseñado para proteger los datos o la información sensible, de accesos no autorizados, uso fraudulento, publicado indebida, modificación, destrucción, o interrupción de su procesamiento:

Es el primer nivel de seguridad que se ha abordado tradicionalmente y concentra en restringir el acceso físico a los componentes informáticos del sistema o a las ubicaciones donde puede almacenarse la información sensible:

Estándares únicamente accesibles para los miembros de la empresa, grupo de empresas o entidad propietaria:

Segundo nivel de seguridad que se concentra en la protección de los datos que son transmitidos y en garantizar que no sufren ninguna alteración durante la transmisión:

Tercer nivel de seguridad que se concentra en la seguridad relacionada con los sistemas operativos, así como de los programas y aplicaciones, incluyendo las herramientas que se utilizan para garantizar la seguridad de la información:

La seguridad de la información, desde los inicios de la computación, se basa en los tres principios básicos del denominado modelo CIA de:

Según el ENS, a fin de poder determinar el impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas, y de poder establecer la categoría del sistema, se tendrán en cuenta las siguientes dimensiones de la seguridad:

Propiedad o característica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren:

Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos:

Propiedad o característica consistente en que el activo de información no ha sido alterado de manera no autorizada:

Propiedad o característica consistente en que la información ni se pone a disposición, ni se revela a individuos, entidades o procesos no autorizados:

Propiedad o característica consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad:

Siempre que se gestionan sistemas de información deben tenerse en cuenta como principio:

Representa la práctica ideal de que los datos deben ser accedidos solo por aquellos que los necesiten:

Consiste en aplicar una fórmula de mínimo acceso a la información de tal manera que elevar ese nivel suponga una operación planificada y programa dentro de la gestión de la seguridad en la organización:

Consiste en prevenir el avance de un ataque interponiendo una secuencia de barreras:

Familia de estándares que proporcionan un marco para el desarrollo de un programa, en el sentido de plan de seguridad, desde las primeras fases conceptuales hasta su madurez:

Es la especificación a alto nivel para la gestión de la seguridad de la información:

Se encarga de definir controles de seguridad generados como salida o resultado del análisis de riesgo realizado con ISO 27001:

Se concentra en proporcionar recomendaciones y buenas prácticas para implementar la gestión del ISMS definido en el ISO 27001, es decir, en cómo implementar el programa de seguridad:

Cubre las medidas para garantizar la efectividad de la implementación y se correspondería con una fase de "monitorización y evaluación" o "actualización" para el programa de seguridad:

Define el marco de gestión de los riesgos para la seguridad de la información que puede utilizarse para informar y analizar las decisiones tomadas según los controles definidos por el estándar ISO 27002:

Es un estándar que proporciona guías para las organizaciones profesionales que no necesitan tener una certificación claramente acreditada:

Aproximación sistemática para establecer, implementar, operar, monitorizar, revisar, mantener y mejorar la seguridad de la información en una organización para lograr los objetivos de negocio:

Proporciona un conjunto de publicaciones especiales para ayudar a la industria, el gobierno y las organizaciones académicas a seguir un conjunto de buenas prácticas relacionadas con distintas tecnologías:

Fue desarrollada para el gobierno de los Estados Unidos de América con el objetivo de especificar la seguridad a nivel de estructura y control de la organización, las líneas base para el desarrollo de controles de seguridad, los controles más habituales, los controles de seguridad en entornos externos, la verificación de controles de seguridad, la gestión de riesgos, la categorización de sistemas de la información y monitorización de los controles de seguridad:

Es el modelo de gobernanza más conocido y extendido para las organizaciones con sistemas de información:

Sistema que establecelapolíticadeseguridaddelainformacióndelaAdministraciónPúblicaenEspaña,conformealReal Decreto 3/2010:

Define los principios básicos de seguridad, los requisitos mínimos para proteger la información, categoriza los sistemas en nivel alto, medio o bajo, proporcionando un catálogo de 75 medidas de seguridad:

Metodología española para la gestión de riesgos para la seguridad de la información:

Alguna circunstancia, evento o persona que puede implicar riesgo para la información, los recursos, los usuarios o los datos:

Toda circunstancia, evento o persona que tiene el potencial de causar daño a un sistema en forma de robo, destrucción, divulgación, modificación de datos o denegación deservicio (DoS):

Métodos o maneras en que una amenaza se utiliza para atacar un sistema:

Son amenazas externas:

Son amenazas internas:

La interceptación de las comunicaciones o escuchas son:

La suplantación o spoofing supone una amenaza:

Las amenazas de gran envergadura, dirigidas por grandes organizaciones o grupos criminales de forma continua, con objetivos específicos, generalmente asociadas a técnicas de ataque con código malicioso se denominan:

Las amenazas que no siguen siempre un único vector de ataque, sino que pueden mutar y realizar cambios automatizados. De esta manera, eluden las herramientas de defensa de los sistemas de seguridad de la información de las organizaciones:

Amenaza típica que afecta a la disponibilidad de la información:

Amenaza que implica la monitorización pasiva de la información entre dos interlocutores:

Amenaza que consiste en interrumpir la comunicación, monitorizarla y retransmitir la misma con posibles cambios:

Amenaza que consiste en directamente confeccionar paquetes de datos sin relación alguna con el emisor y su trasmisión hacia el receptor:

Punto débil en algún elemento del sistema de información, como por ejemplo en el software, en la configuración del sistema, etc., a través del cual, si no se soluciona pronto, un intruso puede lograr acceso al equipo, aplicación o red y causar perjuicios:

Momento en el que la vulnerabilidad es conocida por el investigador de seguridad, pero aún no se ha hecho pública:

Se produce cuando un sistema está comprometido por un exploit desconocido que explota alguna de sus vulnerabilidades, siendo un exploit un script o programa, o una tecnología o incluso ciertos datos sensibles, que permiten a un atacante obtener ventaja de una vulnerabilidad:

Cualquier programa que ha sido creado con la intención de causar daño, robar datos o abusar de los recursos del sistema:

Son métodos comunes de ataque:

Conjunto de habilidades que permiten la exploración de brechas de seguridad, así como la publicación de contenidos en sitios web, robo de datos, etc., haciendo uso de exploits y vulnerabilidades:

El análisis SWOT (Strength, Weakness, Opportuuity y Threats, en español análisis DAFO) indica como principales puntos de análisis de una amenaza de seguridad:

Estrategia que se centra en reducir la probabilidad de ocurrencia del ataque cerca a cero o eliminarla completamente:

Sucede cuando se transfiere la gestión del riesgo a otra entidad, como una aseguradora o una proveedora de servicios, donde son ellos responsables al 100% del impacto que cause un ataque:

Estrategia que se centra en utilizar controles de seguridad para protegerse contra un riesgo hasta que el impacto del riesgo es minimizado hasta niveles aceptables por la organización:

Estrategia en la que la organización decide aceptar el nivel de riesgo actual sin realizar ninguna otra contramedida:

Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización:

Tipos tradicionales de activos:

Clasificación de los activos por el estándar español MAGERIT:

Facilita los procesos, tiene como objetivo beneficiar al conjunto de los ciudadanos e intenta garantizar sus derechos individuales:

Puede ser un script o programa, una tecnología o incluso ciertos datos sensibles, que permiten a un atacante obtener ventaja de una vulnerabilidad. Puede lograr obtener acceso no autorizado a un ordenador o a una red causando la denegación de un servicio, el robo de información sensible o causar algún daño temporal o permanente en la organización. En ocasiones no superan un par de líneas de código.

Fases en las que se realiza un ataque:

Investigará detalladamente lo que ha ocurrido una vez el ataque se haya consumido:

Controles que sirven como mecanismos de protección de los activos de nuestros sistemas:

Consiste en el alojamiento de un código malicioso en aplicaciones alojadas en la página web con la finalidad de obtener datos de los usuarios, bien para aprovecharse ocasionando un perjuicio, o bien para publicarlos:

Es un agujero de seguridad de las aplicaciones web que permite insertar un código javascript o similar redireccionando a otros sitios web que contiene malware encaminado a robar y apoderarse de datos. Se aprovecha de la confianza del usuario en el sitio web:

Introducción de un exploit o código malicioso de un sitio web en el que comandos no autorizados son transmitidos por un usuario, se conoce como enlace hostil, secuestro de sesión, etc. Es la otra cara de la moneda, porque se aprovecha de la confianza que un sitio web tiene en un concreto usuario:

¿Qué principio clasifica quién puede acceder a una información determinada?

¿Quién define así amenaza? Circunstancia, evento o persona que tiene el potencial de causar daño a un sistema en forma de robo, destrucción, divulgación, modificación de datos o denegación de servicio:

¿Quién define así amenaza? Componente que define la evaluación ponderada de un riesgo de seguridad:

¿Cuál es el fin que pretende garantizar la ciberseguridad?

Los dos principios básicos que deben tenerse en cuenta siempre que se gestionan sistemas de información son:

¿Por quienes están formados los organismos oficiales de estandarización, según el texto básico de referencia?

¿Cuál de los siguientes es un motivo que justifica la estandarización, según el texto básico recomendado?

Señale cuál de las siguientes NO es un ejemplo de una amenaza de Red externa:

Según el texto básico recomendado, ¿cuál de las siguientes cuestiones es de utilidad para averiguar el impacto de un ataque informático producido?

¿Cuál de las siguiente NO es una estrategia de respuesta ante un riesgo (según el texto básico de referencia):

Pedro se descarga en el ordenador del trabajo aplicaciones gratuitas de juego online. Esta conducta constituye, en relación con la seguridad de los sistemas informáticos de la empresa:

Indique cuál de las siguientes afirmaciones es falsa:

La probabilidad de un ataque se define como:

Indicar cual de las siguientes afirmaciones es verdadera.

I. El análisis de riesgo es la base de todo Sistema de gestión de la seguridad de la información (SGSI).

II. La probabilidad de un ataque se define como la posibilidad de que una amenaza o una vulnerabilidad puedan convertirse en un riesgo real y ser explotado.