WorksheetsCRISC_DOMINIO 1 - IDENTIFICACIÓN DE RIESGOS DE TI
Total questions: 118
Worksheet time: 6hrs 57mins
¿Cuál de los siguientes factores es MÁS importante determinar a la hora de definir estrategias de gestión de riesgo?
Criterios de evaluación de riesgo
Complejidad de la arquitectura de TI
Un plan de recuperación en caso de desastres (DRP)
Objetivos organizacionales
¿Cuál de las siguientes opciones representa la información MÁS importante que ha de incluirse en un plan estratégico de evaluación de riesgo?
Requisitos del personal de gestión de riesgo
La declaración de objetivos fundamentales de la gestión de riesgo
Planes de inversión de mitigación de riesgos
El estado actual y el estado futuro deseado
La información que ya no es necesaria para el objetivo principal de la organización desde la perspectiva de la seguridad de información debe:
analizarse de acuerdo con la política de retención.
protegerse de acuerdo con la política de clasificación de información.
analizarse de acuerdo con la política de respaldo de información.
protegerse de acuerdo con el análisis 'de impacto en el negocio (BIA)
Una organización terceriza gran parte de su departamento de TI, y los servidores del proveedor están en otro país. ¿Cuál de las siguientes consideraciones acerca de la seguridad es la MÁS crítica?
Las notificaciones de violación de la seguridad pueden retrasarse por la diferencia horaria.
Deben instalarse sensores adicionales para detección de intrusos, lo que genera costes adicionales.
Es posible que la organización no pueda monitorear el cumplimiento con sus pautas internas de seguridad y privacidad.
Las leyes y regulaciones del país de origen pueden no aplicarse en el otro país.
Una organización desarrolló recientemente una tecnología innovadora que podría proporcionar una considerable ventaja competitiva. ¿Cuál de los siguientes elementos determina PRIMERO cómo debe protegerse esa información desde el interior de la organización?
La política de clasificación de datos
La política de uso aceptable
Las normas de cifrado
La política de control de acceso
Se detectó un malware que re direcciona a los usuarios de computadoras a páginas web creadas específicamente con fines fraudulentos. El malware cambia la configuración del servidor del sistema de nombres de dominio (domain name system, DNS) y re direcciona a los usuarios a páginas por los hackers. Lo que MEJOR describe este escenario es:
ataque intermediario (Man-in-the-middle attack, MITM).
ataque de phishing
ataque de pharming
ataque de ingeniería social.
¿Cuál es el método MÁS eficaz para evaluar el impacto potencial de los requisitos jurídicos, regulatorios y contractuales en los objetivos de negocio?
Un análisis de brechas orientado al cumplimiento.
Entrevistas con las partes interesadas en los procesos de negocio.
Un mapeo de los requisitos de cumplimiento de políticas y procedimientos.
Un análisis de impacto en el negocio (BIA) orientado al cumplimiento.
¿Cuál de las siguientes es la MEJOR manera de asegurar que se mantenga un registro de riesgos preciso a lo largo del tiempo?
Monitorear los indicadores clave de riesgo (KRI) y registrar las conclusiones en el registro de riesgos.
Publicar el registro de riesgos centralizadamente con funciones de flujo de trabajo que realicen encuestas periódicas entre los evaluadores de riesgos.
Distribuir el registro de riesgos entre los propietarios de los procesos de negocio para su análisis y actualización.
Asignar personal de auditoría a la realización de auditorías periódicas para mantener el registro de riesgos.
¿Cuál de los siguientes es el objetivo PRINCIPAL del programa de gestión de riesgo?
Mantener el riesgo residual a un nivel aceptable
Instaurar controles preventivos para todas las amenazas
Eliminar todo el riesgo inherente
Reducir el riesgo inherente a cero
La MEJOR manera de evaluar los riesgos de los sistemas de información es:
utilizar las pérdidas pasadas reales de la organización para determinar la exposición actual.
evaluar las estadísticas de pérdidas publicadas por empresas similares.
evaluar las amenazas asociadas con los activos de los sistemas de información y los proyectos de sistemas de información existentes.
evaluar los puntos débiles del control de los sistemas de información identificados en los informes de auditoría.
¿Cuál de estos es el requisito MÁS importante para establecer una infraestructura de seguridad de información para un nuevo sistema?
Realizar un análisis de impacto en el negocio
Tomar en cuenta los dispositivos personales en la política de seguridad
Basar la infraestructura de seguridad de información en una evaluación del riesgo
Promover la capacitación en seguridad de TI y la familiarización con ella
La preocupación PRINCIPAL del profesional de riesgo que evalúa una política formal de retención de datos consiste en:
la capacidad de almacenamiento.
las normas organizacionales en vigencia.
las buenas prácticas generalmente aceptadas en la industria.
los requisitos de negocio.
¿Cuál de las siguientes áreas es MÁS susceptible a la introducción de vulnerabilidades relacionadas con la seguridad de la información?
La gestión de cintas de respaldo
La gestión de bases de datos
La gestión de la configuración
La gestión de la respuesta a incidentes
¿Cuál de las siguientes razones es la MÁS importante para llevar a cabo programas para la toma de conciencia de seguridad en una organización?
Reducir el riesgo de un ataque de ingeniería social
Capacitar al personal en la respuesta a incidentes de seguridad
Informar a las unidades de negocio sobre la estrategia de seguridad
Tener la evidencia de los registros de capacitación para asegurar su cumplimiento
¿Cuál de los siguientes es el MAYOR riesgo de una política que no define adecuadamente a los propietarios de los datos y sistemas?
Pueden no implementarse las recomendaciones de auditorías.
Los usuarios pueden tener acceso no autorizado para originar, modificar o eliminar datos.
No hay coordinación de gestión de usuarios.
No puede establecerse una rendición de cuentas específica de los usuarios.
La falta de controles adecuados representa:
una vulnerabilidad.
un impacto.
un activo.
una amenaza.
El foco PRINCIPAL de gestionar el riesgo de negocios relacionado con TI es proteger:
la información.
el hardware.
las aplicaciones.
las bases de datos.
¿Cuál de los siguientes elementos brinda la MEJOR perspectiva de la gestión de riesgo?
Un equipo interdisciplinario
Un proveedor externo de evaluación de riesgo
El departamento de TI de la organización
El departamento de cumplimiento de la organización
¿Cuál de los siguientes enfoques de la política corporativa contribuye MÁS a la expansión de la organización hacia otras regiones en las que rigen leyes distintas?
Una política global que no contenga elementos que puedan cuestionarse a nivel local.
Una política global que se enmiende a nivel local para cumplir con las leyes correspondientes.
Una política global que cumpla con la ley que rige a la casa matriz y que deben seguir todos los empleados.
Políticas locales que se adapten a las leyes de cada región.
¿Cuál de los siguientes es el MEJOR indicador de que la capacitación en respuesta a incidentes es eficaz?
La reducción de los incidentes de seguridad que se informan al equipo de respuesta a incidentes
El aumento de los incidentes de seguridad que se informan al equipo de respuesta a incidentes
La reducción de la cantidad de claves restablecidas
El aumento de las vulnerabilidades del sistema que se identifican
¿Cuál de los siguientes factores tendrá el MAYOR impacto en el tipo de modelo de gobierno de seguridad de información que adopte la organización?
La cantidad de empleados
El presupuesto de la organización
La estructura de la organización
El tipo de tecnología que utilice la organización
Una organización se entera de una violación de la seguridad ocurrida en otra entidad que utiliza tecnología similar. La medida MÁS importante que debe tomar el profesional de riesgo es:
evaluar la probabilidad de que el mismo incidente ocurra en su organización.
discontinuar el uso de la tecnología vulnerable.
informar a la Alta Dirección de que la organización no se vio afectada.
recordar al personal que no ocurrieron violaciones similares a la seguridad.
¿Cuál de los siguientes es el MAYOR beneficio de una cultura de conciencia del riesgo?
Los problemas se escalan cuando se detecta una actividad sospechosa.
Los controles se verifican como medida preventiva ante cualquier problema.
Los empleados se comunican con sus pares para intercambiar información.
Los empleados están motivados para aprender sobre costes y beneficios.
El objetivo PRINCIPAL de la gestión de riesgo de TI es:
prevenir la pérdida de activos de TI.
presentar informes de gestión puntuales.
garantizar el cumplimiento de la regulación.
permitir que se tomen decisiones de negocios con conciencia del riesgo.
¿Cuál de las siguientes es la MEJOR técnica de identificación de riesgo para una organización que permite a sus empleados identificar el riesgo de manera anónima?
La técnica Delphi
Grupos pilotos aislados
Un análisis de fortalezas, debilidades, oportunidades y amenazas (FODA)
Un análisis de causa raíz
¿Quién DEBE dar la aprobación final del plan de gestión de riesgo de TI?
Los auditores de TI que llevan a cabo la evaluación de riesgo
Los propietarios de procesos de negocios
La alta Dirección
Los administradores de seguridad de TI
¿Cuál de las siguientes es la razón PRINCIPAL de que un profesional de riesgo determine el límite de seguridad antes de llevar a cabo una evaluación de riesgo?
Determinar qué leyes y regulaciones son aplicables
Determinar el alcance de la evaluación de riesgo
Determinar quiénes son los propietarios del sistema de negocio
Decidir si llevar a cabo una análisis cuantitativo o uno cualitativo
La MAYOR ventaja de realizar un análisis de impacto en el negocio (BIA) es que:
no es necesario actualizarlo porque el impacto siempre es el mismo.
fomenta la conciencia de continuidad en la organización.
puede realizarse utilizando solo estimaciones cualitativas.
elimina la necesidad de efectuar un análisis de riesgo.
La PRINCIPAL ventaja de crear y mantener un registro de riesgos es:
asegurar que se mantenga un inventario de riesgo potencial.
registrar todos los escenarios de riesgo considerados durante el proceso de identificación de riesgos.
recolectar datos similares sobre todos los riesgos identificados dentro de la organización.
realizar informes basados en diversos escenarios de riesgo.
¿Cuál de las siguientes herramientas es la MÁS eficaz para evaluar el riesgo de negocio?
Un análisis de caso de uso
Un análisis de Caso de negocio
Escenarios de riesgo
Un plan de riesgo
El directorio de una compañía incipiente de un año de antigüedad le ha pedido al director de información (CIO) que cree todas las políticas y los procedimientos de TI de la organización. ¿Cuál de tales políticas y procedimientos debe crear PRIMERO el CIO?
El plan estratégico de TI
El esquema de clasificación de datos
El documento de arquitectura de la información
El plan de infraestructura de la tecnología
¿Con qué proceso de gestión de riesgo comienza la preparación de un registro de riesgos?
Planeamiento de respuesta al riesgo
Control y supervisión de riesgo
Planeamiento de gestión de riesgo
Identificación de riesgo
Un análisis de impacto en el negocio (BIA) se usa PRINCIPALMENTE para:
estimar los recursos necesarios para reanudar la-actividad y volver las operaciones normales luego de una interrupción.
evaluar el impacto de una interrupción en la capacidad de la organización para operar a través del tiempo.
calcular la probabilidad y el impacto de las amenazas conocidas en funciones específicas.
evaluar los requisitos de negocio de alto nivel.
¿Cuál de los siguientes elementos brinda el MAYOR nivel de concienciación sobre seguridad de la información?
Descripciones de tareas
Un manual de seguridad
Capacitación sobre seguridad
Un diagrama organizacional
¿Cuál de las siguientes es la MAYOR preocupación para el oficial responsable de seguridad de información (CISO) con respecto a las interconexiones con sistemas externos a la organización?
Las exigencias para cumplir con los requisitos de seguridad contractuales de ambas partes
La incertidumbre de que el otro sistema esté dispomble cuando sea necesario
La capacidad de llevar a cabo evaluaciones de riesgo en el otro sistema
Garantizar que la comunicación entre los dos sistemas esté encriptada a través del túnel de la red privada virtual (VPN)
El directorio de una compañía incipiente de un año de antigüedad le ha pedido al director de información (CIO) que cree todas las políticas y los procedimientos de TI de la organización, que serán gestionados y aprobados por el comité directivo de TI. Este comité tomará todas las decisiones relacionadas con TI que afecten a la organización, incluso las concernientes al presupuesto de tecnología. ¿Qué tipo de estructura de TI tiene la organización?
Basada en proyectos
Centralizada
Descentralizado
Divisional
¿Qué tipo de estructura de TI tiene la organización?
Basada en proyectos
Centralizada
Descentralizado
Divisional
¿Cuál de las siguientes es la PRINCIPAL preocupación cuando a dos o más miembros del personal se les permite usar la misma cuenta genérica?
Segregación de tareas
Incapacidad para cambiar la contraseña
Repudio
Incapacidad para rastrear las actividades de la cuenta
¿Cuál de las siguientes es una consideración PRINCIPAL al momento de desarrollar un programa de concienciación del riesgo de TI?
Por qué TI es el propietario del riesgo de tecnología
Cómo el riesgo de tecnología puede impactar el área de trabajo de cada asistente
Cómo los propietarios de procesos de negocio pueden transferir el riesgo de tecnología
Por qué el riesgo de tecnología es más dificil de gestionar comparado con otros riesgos
¿Cuál de los siguientes es el MEJOR enfoque al momento de realizar una campaña de concienciación de riesgo de TI?
Proporcionar detalles técnicos sobre las ocasiones para aprovechar vulnerabilidades.
Proveer mensajes comunes adaptados a diferentes grupos.
Dirigirse a los administradores del sistema y al personal de la mesa de ayuda.
Dirigirse a la alta Dirección y a los propietarios de procesos de negocio.
Lo MÁS importante es que el apetito al riesgo esté alineado con los objetivos de negocio para asegurar que:
los recursos se dirijan a áreas de baja tolerancia al riesgo.
los riesgos graves sean identificados y eliminados.
la TI y los objetivos de negocio estén alineados.
la estrategia de riesgo sea adecuadamente comunicada.
Los escenarios de riesgo permiten desarrollar el proceso de evaluación de riesgo porque:
abarcan un amplio rango de riesgos potenciales.
minimizan la necesidad de utilizar técnicas de análisis de riesgo cuantitativas.
separan al riesgo de TI del riesgo de negocio para facilitar un análisis de riesgo.
ayudan a estimar la frecuencia y el impacto del riesgo.
¿Quién es responsable de rendir cuentas por el riesgo de negocio relacionado con TI?
El director de información (CIO)
El director financiero (CFO)
Los usuarios de los servicios de Ti del negocio
El arquitecto en jefe
¿Cuál de los siguientes datos incluidos en el registro de riesgos es el que MÁS ayuda en el desarrollo de escenarios de riesgo adecuados? Una lista de:
amenazas potenciales a los activos.
riesgo residual en los activos individuales.
riesgo aceptado.
incidentes de seguridad.
¿Cuál de los siguientes enunciados sobre el riesgo de TI es verdadero?
El riesgo de TI no puede evaluarse ni medirse cualitativamente.
El riesgo de TI debe calcularse aparte del riesgo de negocios.
La gestión de riesgo de TI es responsabilidad del departamento de TI.
El riesgo de TI existe ya sea que la organización pueda o no detectarlo y reconocerlo.
¿Cuál de los siguientes factores es el MÁS importante al seleccionar una metodología de gestión de riesgo adecuada?
Cultura de riesgo
Análisis de contramedidas
Análisis de coste-beneficio
Estrategia de transferencia de riesgo
¿Cuál de las siguientes opciones es la MEJOR para determinar el cumplimiento con el apetito al riesgo de la organización?
El equilibrio entre los controles preventivos y los controles de detección
El nivel de riesgo inherente y de riesgo aceptable
El nivel de riesgo residual y de riesgo aceptable
El equilibrio entre las contramedidas y los controles preventivos
¿Qué acciones es la MEJOR para optimizar la toma de decisiones relacionada con el riesgo?
Mantener un registro de riesgos documentado de todos los riesgos posibles
Impartir capacitación sobre concienciación de riesgo que esté en línea con la cultura de riesgo
Mantener políticas y procedimientos de seguridad actualizados
Asignar responsabilidades sobre el riesgo al departamento en su totalidad
El PRIMER paso para identificar y evaluar el riesgo de TI es:
confirmar el nivel de tolerancia al riesgo de la organización.
identificar las amenazas y vulnerabilidades.
reunir información sobre el entorno actual y futuro.
revisar los informes de incidentes pasados y las actividades de respuesta.
¿Cuál de los siguientes resultados de un contrato de externalización para procesos secundarios es la MAYOR preocupación para la Dirección de una organización?
El coste total de propiedad (TCO) excede las proyecciones.
Se perdió la experiencia en los Sistemas de información internos.
Los empleados del proveedor fueron desleales con el cliente corporativo.
El proveedor subcontrató el procesamiento de datos sensibles.
¿Cuál de las siguientes acciones es la MÁS importante para una gestión de riesgo eficaz?
Asignación de propietarios de riesgo para el riesgo identificado
Garantía de cumplimiento de los requisitos regulatorios
Integración de la gestión de riesgo a los procesos operativos
Implementación de una estrategia para evitar el riesgo
¿En cuál de los siguientes factores debería basarse PRINCIPALMENTE la creación de los escenarios de riesgo?
El input de la alta Dirección
Incidentes de seguridad previos
Amenazas que enfrenta la organización
Resultados de los análisis de riesgo
¿Cuál de las siguientes situaciones da lugar a una evaluación de riesgo específica que se realizará antes del evento anual?
Se contrata a un nuevo director de información (CIO).
La alta gerencia ajusta el apetito al riesgo.
El riesgo cambia frecuentemente.
Se agrega un nuevo sistema al entorno.
Una organización expandió sus operaciones a Europa, Asia y Latinoamérica. La organización tiene una única versión del manual de empleados en varios idiomas que fue actualizado por última vez hace tres años. ¿Cuál de las siguientes es la MAYOR preocupación?
El manual puede no haber sido traducido correctamente en todos los idiomas.
El manual puede no incluir las políticas más nuevas.
El manual puede incluir políticas que ya no están vigentes.
El manual puede violar leyes y regulaciones locales.
Al solicitar información sobre un e-discovery, una organización descubrió que su proveedor de correo electrónico alojado en la nube no había sido contratado para realizar un backup de los mensajes, aunque la política dc retención de correo electrónico de la organización establece explícitamente que todos los correos electrónicos deben guardarse por tres años. ¿Cuál de las siguientes habría sido la MEJOR opción para proteger a la organización de esta situación?
Proporcionar la política de retención de registros desde el principio
Validar las políticas de la organización en el contrato del proveedor
Proporcionar al contratista la política de retención de correos electrónicos desde el principio
Hacer un Backup de los datos de la red interna de la organización todas las noches
¿Cuál de los siguientes es el MEJOR indicador de un programa de gestión de riesgo de información eficaz?
La política de seguridad se difunda ampliamente.
Se tenga en cuenta el riesgo antes de tomar todas las decisiones.
Los procedimientos de seguridad se actualizan anualmente.
Las evaluaciones dc riesgo se llevan a cabo anualmente.
¿Cuál de las siguientes opciones es la MÁS importante al tener en cuenta el apetito al riesgo de una organización?
La capacidad de la organización de absorber las pérdidas
La definición de responsabilidades para la gestión de riesgo
La línea de negocio y el riesgo típico de la industria
La cultura y la predisposición hacia la toma de riesgo
El propósito PRINCIPAL dc adoptar un marco de gestión de riesgo para toda la organización es:
permitir la flexibilidad para ajustar la estrategia de respuesta al riesgo en toda la organización.
centralizar la responsabilidad por el mantenimiento del programa de respuesta al riesgo.
permitir una estrategia consistente para la respuesta al riesgo en toda la organización.
evitar costes más elevados por estrategias de auditoría y reducción del riesgo en toda la organización.
Al hacer una revisión de los proyectos de TI de una organización, se descubre que los proyectos frecuentemente exceden el tiempo y el presupuesto previstos en casi un 10%. En dicha revisión, la Dirección advierte al profesional de riesgos que una desviación del 15% es aceptable. Esto es un ejemplo de:
evitar el riesgo.
tolerancia al riesgo.
aceptación del riesgo.
mitigación del nesgo.
Cuando una organización en sus inicios (start-up) se hace popular, repentinamente se vuelve el blanco de los hackers. Esto se considera:
una vulnerabilidad emergente.
un evento de vulnerabilidad.
una amenaza emergente.
un factor de riesgo ambiental.
¿Cuál de los siguientes es un riesgo GRAVE asociado al uso de herramientas de gobierno, riesgo y cumplimiento (GRC)?
Interpretación errónea dcl resultado del panel de control
Mecanismo de autenticación deficiente
Obsolescencia del contenido
Integración compleja de los diversos requisitos
La PRINCIPAL razón por la que un equipo de evaluación de riesgo externo revisa la documentación antes de comenzar dicha evaluación es obtener una comprensión cabal de:
Las Tecnologías utilizadas.
Las brechas en la documentación.
los procesos de negocio de la organización.
el plan de evaluación de riesgo.
Una compañía incipiente dedicada al desarrollo de software ha sufrido una inundación, y el seguro no cubre los daños porque la prima está vencida. En relación a la gestión de riesgo, la prima vencida se considera:
un riesgo.
una vulnerabilidad.
una amenaza.
una negligencia.
¿Cuál de los siguientes enunciados es el que MEJOR describe el valor de un registro de riesgos?
El registro de riesgos captura el inventario de riesgos.
El registro de riesgos conduce el plan de respuesta al riesgo.
El registro de riesgos es una herramienta de información de riesgos.
El registro de riesgos enumera el riesgo interno y riesgo externo.
En última instancia, la responsabilidad sobre el riesgo le corresponde a:
el director de riesgo (CRO).
el director de cumplimiento.
el director financiero (CFO).
el directorio.
¿Cuál es el PRINCIPAL objetivo de la identificación de riesgo?
Detectar posibles amenazas que puedan afectar el negocio
Garantizar que se gestionen los factores de riesgo y las causas raíz
Permitir la revisión de los indicadores clave de desempeño (KPI)
Proporcionar valores de impacto cualitativo a las partes interesadas
¿Cuál de los siguientes ejemplos de riesgo debe abordarse durante el diseño de aplicaciones?
Falta de recursos calificados
El riesgo de migración a un nuevo sistema
Especificaciones técnicas incompletas
Riesgo de terceros proveedores
Si el riesgo se identificó, pero aún no fue mitigado, la organización debería:
registrar y mitigar el riesgo grave y dejar de lado el riesgo de bajo nivel.
lograr el compromiso de la Gerencia/Ejecutivos para mitigar todos los riesgos identificados dentro de un lapso de tiempo razonable.
documentar todos los riesgos en cl registro correspondiente y mantener el estado de las acciones correctivas.
llevar a cabo una evaluación de riesgo anual, pero dejar de lado las evaluaciones previas a fin de evitar un riesgo sesgado.
Al momento de desarrollar los escenarios de riesgo de TI con un enfoque descendente, el factor MÁS importante que debe identificarse es:
el entorno del sistema de información.
los objetivos de negocio.
los escenarios dc riesgo hipotéticos.
los escenarios de riesgo externos.
Una organización tercerizó varias funciones de negocio en una compañía que se encuentra en país, que incluyen el desarrollo de TI, y soporte y hosting de datos ¿Cuál es la consideración MÁS importante que debe examinar el profesional de riesgo en relación con la disposición de tercerizaciones?
¿Se implementaron políticas y procedimientos para manejar las excepciones de seguridad?
¿El proveedor tercerizado cumple los términos de los acuerdos de niveles de servicio (S LA)?
¿El programa de seguridad del proveedor tercerizado se basa en una norma internacional?
¿Los controles de seguridad específicos se exigen en el contrato o acuerdo de externalización?
El PRINCIPAL propósito de crear y mantener un registro de riesgos es:
asegurarse de que todos los activos tengan un riesgo residual bajo.
definir la metodología de evaluación de riesgo.
documentar todos los riesgos identificados.
estudiar los diversos escenarios de riesgo incluidos en el panorama de amenazas.
¿Cuál de las siguientes actividades proporciona la MEJOR base para establecer la propiedad del riesgo?
Documentar las interdependencias entre departamentos
Trazar el riesgo identificado en el proceso de negocio específico
Consultar las matrices RACI disponibles
Distribuir el riesgo equitativamente entre todos los propietarios de activos
¿Cuál de los siguientes tipos de riesgo es alto para proyectos que afectan a múltiples áreas de negocio?
Riesgo de control
Riesgo inherente
Riesgo de cumplimiento
Riesgo residual
Para ser eficaz, la gestión de riesgo debe aplicarse a:
aquellos elementos identificados por una evaluación de riesgo.
toda área que exceda los niveles de riesgo aceptables.
todas las actividades de la organización.
solo aquellas áreas que tengan un impacto potencial.
El desarrollo de una política de seguridad de la información debe basarse PRINCIPALMENTE en:
las vulnerabilidades.
las amenazas.
los activos.
los impactos.
¿Cuál de las siguientes vulnerabilidades es la MÁS seria y permite que los atacantes accedan a los datos a través de una aplicación web?
No hay verificaciones de validación en los campos de ingreso de datos.
Las reglas de contraseñas no garantizan suficiente complejidad para estas.
La gestión de logs de transacciones de aplicaciones es deficiente.
La apli
Poco después de realizar la evaluación y revisión anual de las políticas corporativas, un profesional de riesgo se entera de que una nueva ley podría afectar los requisitos de seguridad para el sistema de recursos humanos. El profesional de riesgo debe:
A. analizar qué sistemas y procesos relacionados con la tecnología pueden verse afectados.
B. asegurar que se efectúen los ajustes necesarios durante el siguiente ciclo de evaluación.
C. iniciar una revisión ad hoc de la política corporativa.
D. notificar al custodio del sistema para efectuar cambios.
¿Cuál de las siguientes opciones es la que MEJOR describe la información necesaria para cada riesgo en un registro de riesgos?
A. Varios escenarios de riesgo con su fecha, descripción, impacto, probabilidad, calificación de riesgo, acción de mitigación y propietario
B. Varios escenarios de riesgo con su fecha, descripción, calificación de riesgo, coste de corrección, plan de comunicación y propietario
C. Varios escenarios de riesgo con su fecha, descripción, impacto, coste de corrección y propietario
D. Varias actividades dirigidas al planeamiento de la gestión de riesgo
79. ¿Cuál de las siguientes combinaciones de factores ayuda a cuantificar el riesgo?
A. Probabilidad y consecuencia
B. Impacto y amenaza
C. Amenaza y exposición
D. Sensibilidad y exposición
80. ¿Cuál de los siguientes requisitos DEBE cumplirse durante las iniciales del desarrollo del programa de gestión de riesgo?
A. Obtener el respaldo y la autorización de la Dirección.
B. Establecer políticas y normas de seguridad.
C. Establecer un comité de gestión que supervisa el programa.
D. Definir un contexto y un propósito para el programa.
81. La probabilidad de que haya un ataque a la organización depende PRINCIPALMENTE de:
A. la habilidad y motivación del potencial atacante.
B. la frecuencia con la que se revisa los sistemas de seguimiento.
C. la capacidad de responder con rapidez ante cualquier incidente.
D. la efectividad de los controles
¿Cuál de las siguientes opciones es la parte MÁS importante de un contrato de externalización?
A. El derecho a auditar al proveedor tercerizado
B. Las disposiciones para evaluar el cumplimiento del proveedor
C. Los procedimientos para procesar la notificación de incidentes
D. Los requisitos para cifrar los datos del host.
Los factores externos MÁS importantes que deben considerarse en una evaluación de riesgo son:
A. las nuevas tecnologías y herramientas de seguridad propuestas.
B. la cantidad de virus y otros malwares en desarrollo.
C. las estadísticas internacionales de criminalidad y la agitación política.
D. la cadena de suministro y las condiciones del mercado.
84. El gerente de ventas de una compañía de reforma de viviendas desea expandir los servicios disponibles en la página web de la organización para incluir el envío de nuestras promocionales gratuitas de sus productos a clientes potenciales. ¿Cuál es la MAYOR preocupación que debería tener el profesional de riesgos?
A. ¿Hay problemas de privacidad de los datos relacionados con el almacenamiento de datos de clientes?
B. ¿Hay problemas relacionados con la protección de datos de pagos o tarjetas de crédito?
C. ¿El sistema puede ser utilizado de manera indebida de manera que una persona pueda obtener múltiples muestras?
D. ¿El sitio web tiene capacidad para manejar el volumen de tráfico esperado?
85. ¿Con cuál de los siguientes factores es MÁS probable que la alta Dirección tenga el mayor nivel de tolerancia al momento de trasladarlo a una nube pública?
A. El procesamiento de tarjetas de crédito
B. El área de investigación y desarrollo
C. El sistema financiero heredado
D. El sistema de correo electrónico corporativo
86. ¿Cuál de los siguientes ítems es el MAS importante a considerar en relación con un perfil de riesgo?
A. Un resumen de los eventos de pérdida de la región
B. El riesgo agregado para la organización
C. Una descripción del riesgo crítico
D. Un análisis de los eventos de pérdida históricos
87. ¿Cuál de los siguientes factores determina el nivel aceptable de riesgo residual en una organización?
A. El criterio de la Dirección
B. Los requisitos regulatorios
C. Los resultados de la evaluación de riesgo
D. Las conclusiones de la auditoría interna
88. ¿Cuál de los siguientes entornos normalmente representa el MAYOR riesgo para la seguridad de la organización?
A. Un almacén de datos de la organización (Data Warehouse)
B. Un cluster de servidores web con balanceo de carga
C. Un switch de datos gestionado centralmente
D. Un servidor de archivos gestionado localmente
89. El riesgo total de negocio con respecto a una amenaza en particular puede expresarse como:
A. la magnitud del impacto en caso de que la fuente de una amenaza aproveche exitosamente la vulnerabilidad.
B. la probabilidad de que una fuente de amenaza determinada aproveche exitosamente una vulnerabilidad determinada.
C. el producto de la probabilidad y magnitud del impacto si una amenaza aprovecha una vulnerabilidad.
D. el juicio colectivo del equipo de evaluación de riesgo.
¿Cuál de los siguientes es el MEJOR enfoque al momento de desarrollar escenarios de riesgo para una organización?
A. El enfoque descendente para organizaciones de capital intensivo
B. El enfoque descendente, porque así se logra una aceptación automática
C. El enfoque ascendente para organizaciones sindicalizadas
D. Los enfoques descendente y ascendente, porque se complementan
¿Cuál de los siguientes documentos es el que MEJOR identifica un riesgo de cumplimiento de la organización y las acciones correctivas en curso para cumplir estos requisitos regulatorios?
A. Un informe de auditoría interna
B. Un registro de riesgos
C. Un informe de auditoría externa
D. Un informe de evaluación de riesgo
La clasificación de la información es responsabilidad del:
A. director de seguridad de la información.
B. propietario de la información.
C. auditor de sistemas de información.
D. custodio de la información.
De acuerdo con las buenas prácticas, ¿Cuál de las siguientes alternativas se usa PRINCIPALMENTE para detectar vulnerabilidades en los sistemas abiertos a Internet?
A. Pruebas de penetración
B. Sistemas de prevención de intrusiones (IPS)
C. Sistemas antivirus
D. Sistemas de filtrado de spam
94. ¿Cuál de los siguientes modelos de utilización de computación en la nube es el MÁS apropiado para un programa de investigación en colaboración entre universidades?
A. Un modelo privado de implementación en la nube.
B. Un modelo comunitario de implementación en la nube.
C. Un modelo público de implementación en la nube
D. Un modelo híbrido de Implementación en la nube.
¿Cuál es el objetivo FUNDAMENTAL del gobierno de riesgo?
A. La realización de beneficios
B. La optimización del riesgo
C. La optimización de recursos
D. La creación de valor
¿Cuál de los siguientes ítems captura el nivel de tolerancia al riesgo, las calificaciones de riesgo, los proyectos relacionados, las partes interesadas afectadas, los detalles de evaluación y los propietarios del riesgo?
A. El registro de riesgos
B. El perfil de riesgo
C. Los factores de riesgo
D. El plan de acción ante riesgos
¿Cuál de los siguientes principios de seguridad de la información es la MAYOR prioridad de una red social?
A. Integridad
B. Confidencialidad
C. Disponibilidad
D. No repudio
¿Cuál de las siguientes vulnerabilidades harían a una aplicación del tipo Web MÁS susceptible a un ataque de inyección de lenguaje de consulta estructurado (SQL injection)?
A. Almacenamiento criptográfico inseguro
B. Identificadores de sesión deficientes
C. Manejo de errores o excepciones de falla en apertura
D. Validación de input inadecuada
¿Cuál de las siguientes alternativas implica la MAYOR amenaza para un proyecto?
A. Falta de evaluación una vez completado el proyecto
B. Falta de pruebas unitarias
C. Pérdida de oportunidades a partir de las lecciones aprendidas.
D. Interpretación incorrecta de los requisitos de negocio.
100. ¿Cuál de las siguientes opciones representa el MAYOR riesgo para una organización que recientemente contrató los servicios de un proveedor de la nube?
A. Las instalaciones primarias del proveedor de la nube está en las inmediaciones de la del suscriptor.
B. El acuerdo de nivel de servicio (SLA) es ambiguo.
C. No se obtuvieron referencias de otros clientes.
D. Para auditar al proveedor se requiere de una firma de auditoría de terceras partes.
¿Cuál de las siguientes alternativas debe determinar el plan de TI?
A. La planificación estratégica y los requisitos de negocio.
B. La tecnología y los procedimientos operativos.
C. El cumplimiento de las leyes y regulaciones.
D. Los planes de proyectos y los requisitos de las partes interesadas.
102. ¿Cuál de los siguientes resultados es MÁS probable en una organización con un gran apetito al riesgo y una baja tolerancia al riesgo?
A. Se preferirá un proyecto de alto riesgo antes que uno de bajo riesgo y se completará a pesar de que se superen los costes previstos.
B. Se preferirá un proyecto de alto riesgo antes que uno de bajo riesgo y se lo abandonará por superar los costes previstos.
C. Se preferirá un proyecto de bajo riesgo antes que uno de alto riesgo y se lo abandonará por superar los costes previstos.
D. Se preferirá un proyecto de bajo riesgo antes que uno de alto riesgo y se lo completará a pesar de los costes previstos.
¿En qué fase del ciclo de vida del desarrollo de sistemas (SDLC) debe PRIMERO involucrarse el profesional de riesgos?
A. Análisis
B. Diseño
C. Planificación
D. Implementación
¿Cuál de los siguientes controles puede utilizarse para reducir el alcance potencial del impacto asociado con un hacker malicioso que Obtiene acceso a una cuenta de administrador?
A. Autenticación multifactorial
B. Registro de auditoría
C. Menor privilegio
D. Política de contraseñas
¿Cuál de los siguientes enfoques de desarrollo de escenarios de riesgo presenta a la organización escenarios aplicables al riesgo identificado?
A. Un enfoque ascendente basado en escenarios genéricos
B. Un enfoque ascendente que enfatice los eventos de amenazas
C. Un enfoque descendente basado en la magnitud de las pérdidas
D. Un enfoque descendente determinado por los objetivos del negocio
TI planea reemplazar la red de área local (LAN) alámbrica por una infraestructura inalámbrica para responder al incremento en el uso de dispositivos móviles en la organización. ¿Eso elevará el riesgo de cuál de los siguientes tipos de ataques?
A. Wardriving
B. Rastreo de puertos
C. Malware en dispositivos móviles
D. Ataques de falseamiento de IP (spoofing)
¿Cuál de las siguientes alternativas, es MÁS Probable que haga que un proyecto exceda su presupuesto?
A. Pruebas
B. Alteración del alcance (Scope Creep)
C. Pérdida del patrocinio
D. Control de calidad
¿Cuál de las siguientes alternativas es la MEJOR respuesta al sesgo potencial en la elaboración de escenarios de riesgo?
A. Utilizar datos históricos representativos y significativos
B. Asegurar la participación de un equipo amplio de expertos funcionales
C. Establecer un proceso de escalado bien definido
D. Integrar técnicas cuantitativas de análisis de riesgo
¿A cuál de los siguientes documentos se refiere una organización para determinar la propiedad intelectual (IP) de una aplicación creada por un tercero administrador de servicios en el marco de su trabajo para la organización?
A. Acuerdo de nivel de servicio (SLA)
B. Declaración de trabajo (SOW)
C. Acuerdo de nivel operativo (OLA)
D. Acuerdo de no divulgación (NDA)
El MAYOR riesgo que implica la falta de planificación estratégica es:
A. una mayor cantidad de violaciones de licencias.
B. una mayor cantidad de sistemas obsoletos.
C. una supervisión inadecuada de las inversiones de TI.
D. los problemas actuales y pasados irresueltos.
¿Qué debe hacerse PRIMERO al momento de establecer el marco de riesgo de TI de una organización?
A. Definir a los propietarios y a los responsables de rendir cuentas del riesgo
B. Articular el apetito al riesgo financiero de la organización
C. Asignar a los propietarios del control para los sistemas de información críticos
D. Respaldar una de riesgo que especifique las tolerancias al riesgo
¿Cuál de las siguientes amenazas es la MÁS difícil de detectar?
A. Virus
B. Bots
C. Rootkits
D. Worms (gusanos informáticos)
El PRIMER paso al momento de evaluar un riesgo de TI estratégico es:
A. hacer un resumen del riesgo del proyecto de TI.
B. comprender la estrategia organizativa de los altos ejecutivos.
C. establecer la estrategia de la arquitectura de la organización (EA).
D. revisar los informes de incidentes de TI derivados de la prestación de servicios.
El rol PRINCIPAL de un profesional de riesgos es:
A. evaluar y decidir técnicas de mitigación eficaces.
B. implementar y monitorear los controles.
C. proporcionar un gobierno del riesgo.
D. brindar asesoramiento y recomendar respuestas al riesgo.
¿Cuál de los siguientes ataques se producen PRINCIPALMENTE porque el input del usuario no se valida adecuadamente?
A. Ofuscación del localizador uniforme de recursos (URL)
B. Acceso a directorios
C. Scripting en sitios cruzados (XSS)
D. Robo de sesión
La MEJOR forma de identificar el riesgo relacionado con el proyecto, que puede amenazar la concreción exitosa de un proyecto de desarrollo de software, es a través del:
A. gerente del proyecto.
B. patrocinador del proyecto.
C. comité directivo del proyecto.
D. equipo de aseguramiento de calidad (QA).
Cuál de los siguientes aspectos es el MÁS importante para un proceso eficaz de gestión de riesgo de TI?
A. Abordar la gestión del riesgo de seguridad de la información
B. Abordar la gestión del riesgo regulatorio
C. Alinearse con la gestión del riesgo financiero
D. Alinearse con la gestión del riesgo de la organización (ERM)
¿Cuál de los siguientes enunciados es un escenario de riesgo?
A. La contraseña para configurar el sistema de backup de grabaciones se establece por defecto con la del proveedor.
B. Un programa que procesa registros no incluye la validación de los datos ingresados.
C. La capacidad dedicada para el procesamiento de sistemas de la organización excede el uso máximo proyectado, lo que resulta en el desperdicio de recursos de infraestructura.
D. Atacantes investigan los medios de comunicación sociales en busca de información que pueda utilizarse en ataques de ingeniería social.
