Font size
WorksheetsCRISC_DOMINIO 3 - MITIGACIÓN Y RESPUESTA AL RIESGO
Total questions: 161
Worksheet time: 9hrs 29mins
Debido a su importancia para el negocio, la organización desea implementar rápidamente una solución técnica que se desvíe de las políticas de la empresa. El profesional de riesgos debe hacer lo siguiente:
recomendar no implementar esa solución porque viola las políticas de la empresa.
recomendar una revisión de la política actual.
realizar una evaluación de riesgo y, de acuerdo con el resultado, permitir o no permitir la implementación.
recomendar una evaluación de riesgo y la implementación posterior únicamente si se acepta el riesgo residual.
Cuando propone la implementación de una actividad de mitigación del riesgo específica, el profesional de riesgos utiliza PRINCIPALMENTE:
un informe de evaluación técnica
un caso de negocios
un informe de evaluación de vulnerabilidad
requisitos presupuestarios
Los programas de gestión de riesgo están diseñados para reducir el riesgo al siguiente nivel:
al punto en el que el beneficio supera el coste.
a un nivel que sea tan pequeño que no se puede medir.
a una tasa de rentabilidad que sea equivalente al coste de capital actual.
a un nivel que la organización esté dispuesta a aceptar.
¿Qué se necesita para determinar si un riesgo se redujo a un nivel aceptable?
Requisitos del SI
Requisitos de seguridad de la información
Normas internacionales
Requisitos de la organización
¿Cuál de las siguientes opciones es la manera MÁS eficaz de tratar un riesgo del estilo de un desastre natural que tiene una probabilidad baja y un alto nivel de impacto?
Eliminar el riesgo.
Aceptar el riesgo.
Transferir el riesgo.
Implementar contramedidas.
Un informe de respuesta al riesgo incluye recomendaciones para su:
aceptación
evaluación
valuación
cuantificación
¿Cuál de los siguientes riesgos se minimiza cuando se logra el riesgo aceptable?
Riesgo transferido
Riesgo de control.
Riesgo residual
Riesgo inherente.
Una institución financiera mundial ha decidido no tomar más medidas con respecto a la vulnerabilidad de denegación de servicio (DoS) que encontró el equipo de evaluación de riesgo. ¿Cuál es la razón MÁS probable para que hayan tomado esta decisión?
Las contramedidas necesarias son demasiado difíciles de implementar.
Hay suficientes protecciones implementadas para prevenir este riesgo.
No se conoce la probabilidad de este riesgo.
El coste de las contramedidas supera el valor del activo y la pérdida posible.
¿Qué información es MÁS pertinente para incluir en un análisis de coste-beneficio de un sistema de autenticación de dos factores?
El presupuesto aprobado del proyecto
La frecuencia de incidentes
La pérdida anual esperada (ALE) por los incidentes
El coste total de propiedad (TCO)
En el proceso de gestión de riesgo, el análisis de coste-beneficio se realiza PRINCIPALMENTE:
como parte de una evaluación de riesgo inicial
como parte de la planificación de respuesta al riesgo
durante una valoración de activos de información
cuando se calcula el seguro para la transferencia del riesgo
Durante un ejercicio de gestión de riesgo, se realizó un análisis del riesgo identificado y se identificaron mitigaciones. ¿Qué opción refleja MEJOR el riesgo residual?
El riesgo que quedó después de la implementación de controles nuevos o mejorados.
El riesgo mitigado gracias a la implementación de controles nuevos o mejorados.
El riesgo identificado antes de la implementación de controles nuevos o mejorados.
El riesgo clasificado como alto después de la implementación de controles nuevos o mejorados.
¿Cuál de las siguientes opciones protegerá MEJOR a la organización contra el riesgo financiero?
¿Cuál de las siguientes opciones protegerá MEJOR a la organización contra el riesgo financiero?
Contratar un seguro contra el riesgo.
Actualizar el registro de riesgos de
Mejorar la capacitación del personal en el área del riesgo.
Tercerizar el proceso.
Después de completar una evaluación de riesgo, se determina que el coste de mitigar el riesgo es mucho mayor que el beneficio a obtener. El profesional de riesgos debe recomendar a la Gerencia de negocio:
tratar el riesgo
cancelar el riesgo
aceptar el riesgo
transferir el riesgo
¿Cuál es una razón PRINCIPAL para iniciar un proceso de excepción para una política?
El riesgo está justificado por el beneficio.
Es difícil cumplir con la política.
Demasiado trabajo en operaciones y no hay tiempo para cumplir con la política.
Puede causar molestias a los usuarios al principio.
Un profesional de riesgos recibe un mensaje tarde a la noche en el cual le informan que un equipo de TI esencial se entregará varios días más tarde debido a una inundación. Por suerte, existe un acuerdo recíproco con otra empresa para el reemplazo hasta que llegue el equipo. Esto es un ejemplo de:
transferencia.
evitar.
aceptación.
mitigación.
¿Cuál de las siguientes opciones seria de MEJOR ayuda para que una organización seleccione la respuesta al riesgo adecuada?
El grado de cambio en el entorno de riesgo.
Un análisis del riesgo que se puede transferir si no se elimina.
La probabilidad y el impacto de varios escenarios de riesgo.
Un análisis de costes y beneficios del control.
¿Cuál de las siguientes opciones genera el MEJOR retorno sobre la inversión (ROI) en seguridad?
Utilizar la protección de seguridad máxima en todos los activos de información.
Concentrarse en los activos de información más importantes y luego determinar cuál será la protección.
Utilizar la protección mínima en todos los activos de información.
Invertir únicamente después de que se informe un incidente para justificar la inversión.
Durante el simulacro de incendios, las puertas designadas se abrieron como estaba previsto para permitir a los empleados abandonar el edificio más rápido. Alguien observa que esta práctica permite que la entrada de personal no autorizado a las instalaciones pase inadvertida. ¿Cuál es la MEJOR manera de alterar el proceso?
Impedir que las puertas designadas se abran automáticamente en caso de incendio.
Incluir a la policía local para que vigile las puertas en caso de incendio.
Indicar al departamento a cargo de las instalaciones que vigile las puertas y pedir al personal que muestre su identificación cuando sale del edificio.
Asignar un personal designado para vigilar las puertas cuando suena la alarma.
Durante una evaluación de riesgo interdepartamental trimestral, el centro de operaciones de TI muestra un fuerte aumento de ataques de malware. ¿Cuál de las siguientes recomendaciones a la empresa es la MÁS adecuada?
Contratar un nuevo proveedor de software antimalware porque la solución actual parece inefectiva.
Cancelar la conexión a Internet para impedir a los empleados visitar páginas web infectadas.
Incluir la cantidad de ataques de malware en la métrica de desempeño de cada empleado.
Aumentar la capacitación de concienciación para los empleados, que incluya las funciones y responsabilidades del usuario final.
En una situación en la que el coste del antimalware supere la pérdida esperada con la amenaza de malware, ¿cuál es la respuesta al riesgo MÁS viable?
Eliminación del riesgo
Aceptación del riesgo
Transferencia del riesgo
Mitigación del riesgo
¿A respuesta al riesgo MÁS viable?
Eliminación del riesgo
Aceptación del riesgo
Transferencia del riesgo
Mitigación del riesgo
¿Cuál de las siguientes es una conducta de evitar el riesgo?
No tomar medidas contra el riesgo.
Tercerizar el proceso relacionado.
Contratar un seguro contra un caso específico.
Salir del proceso que da origen al riesgo.
¿Cuál de los siguientes elementos es el MÁS importante para determinar qué medidas de seguridad implementar para un Sistema de Información SI crítico?
La cantidad de amenazas que tiene el sistema.
El nivel de riesgo aceptable para la organización.
La cantidad de vulnerabilidades en el sistema.
El presupuesto de seguridad existente.
Un Director de la Seguridad de Información (CISO) ha recomendado varios controles, como antimalware, para proteger los SI de la organización. ¿Qué método de manejar el riesgo está recomendando el CISO?
Transferir el riesgo
Mitigar el riesgo
Aceptar el riesgo
Evitar el riesgo
La MEJOR manera de obtener el compromiso y el respaldo de la alta Dirección para inversiones en seguridad de información es mediante un caso de negocios que:
explica el riesgo técnico que corre la organización
incluye las buenas prácticas de la industria relacionadas con la seguridad de información
detalla ataques exitosos contra un competidor
relaciona un riesgo de seguridad con las metas de negocio de la organización
El riesgo aceptable para una organización se logra cuando:
Se minimiza el riesgo transferido
Se minimiza el riesgo de control
Se minimiza el riesgo inherente
El riesgo residual está dentro de los niveles de tolerancia
Un empleado que se encarga de la adquisición de productos nota que los modelos de impresoras nuevos ofrecidos por el vendedor almacenan una copia de todos los documentos impresos en un disco duro integrado. Si se tiene en cuenta el riesgo de revelar datos confidenciales de manera no intencional, el empleado debería:
Proceder con la orden y configurar las impresoras para que eliminen automáticamente todos los datos almacenados en los discos luego de cada impresión.
Notificar al gerente de seguridad para que realice una evaluación de riesgo para los equipos nuevos.
Buscar otro vendedor que ofrezca impresoras sin discos duros integrados.
Comprar impresoras con discos duros integrados y notificar al personal que deberán eliminar los datos al desmantelar las impresoras.
¿Cuál de las siguientes situaciones se trata MEJOR transfiriendo el riesgo?
Un sistema de extinción de incendios en la sala de computación
La amenaza de sabotaje de un empleado descontento
La posibilidad de perder un disco extraíble USB
Un edificio ubicado en una llanura inundable cada 100 años.
El director de información (CIO) de una empresa acaba de recibir este año el informe de auditoría de seguridad de TI. El informe muestra numerosos hallazgos de vulnerabilidades abiertas en sistemas de información críticos y no empresariales. El CIO informó al director ejecutivo (CEO) y al consejo de directores sobre las conclusiones y expresó su preocupación por el impacto en la empresa. Se le informó de que no hay suficientes fondos para mitigar todas las conclusiones del informe. ¿Qué debe mitigar el Gerente de Información (CIO) para responder a los problemas detectados en el informe de la auditoría de seguridad de TI?
Los hallazgos más críticos en los sistemas fundamentales y no fundamentales para el negocio.
Primero, todas las vulnerabilidades en los SI fundamentales para el negocio.
Primero, los hallazgos que cueste menos dinero mitigar para ahorrar fondos.
Primero, los hallazgos que cuestan más dinero mitigar y dejar el resto para cuando se consigan más fondos.
El director de información (CIO) de una empresa acaba de recibir este año el informe de auditoría de seguridad de TI. El informe muestra numerosos hallazgos de vulnerabilidades abiertas en sistemas de información críticos y no empresariales. El CIO informó al director ejecutivo (CEO) y al consejo de directores sobre las conclusiones y expresó su preocupación por el impacto en la empresa. Se le informó de que no hay suficientes fondos para mitigar todas las conclusiones del informe. Asumiendo que el Gerente de Información (CIO) no puede abordar todos los problemas, ¿cómo debe lidiar con los problemas que quedan después de gastar los fondos disponibles?
Crear un plan de acciones e hitos para las vulnerabilidades no resueltas.
Cerrar los Sistemas de Información SI con vulnerabilidades no resueltas.
Rechazar el riesgo en las vulnerabilidades no resueltas.
Implementar controles compensadores en los sistemas con vulnerabilidades no resueltas.
¿Cuál de las siguientes situaciones es MÁS probable que indique que el almacén de datos (Data Warehouse) de Clientes debe seguir siendo propio en lugar de tercerizarlo en el exterior?
Los costes de telecomunicaciones pueden ser mucho más altos el primer año.
Las leyes de privacidad impiden un flujo de información transfronterizo.
La diferencia horaria podría impedir la comunicación entre los equipos de TI.
El desarrollo de software puede requerir especificaciones más detalladas.
¿Cuál de los siguientes factores es el MÁS importante a la hora de diseñar los controles de Sistemas de Información (SI) en un entorno complejo?
Las metodologías de desarrollo
La escalabilidad de la solución
Las interfaces de la plataforma técnica
Los requisitos de las partes interesadas
¿Qué debe hacer una organización global que está sujeta a las normas de varias jurisdicciones gubernamentales con distintos requisitos?
Asegurarse de que todas las sucursales cumplan con los requisitos agregados de todas las jurisdicciones gubernamentales.
Asegurarse de que todas las sucursales cumplan con un conjunto generalmente aceptado de las buenas prácticas de la industria.
Establecer normas mínimas que incorporen los requisitos que tengan en común todas las jurisdicciones.
Establecer normas mínimas para todas las sucursales y agregar normas complementarias cuando sea necesario.
La persona a cargo de asegurar que la información esté clasificada es:
el gerente de seguridad
el grupo de tecnología
el propietario de los datos
la alta Dirección
Cuando se transmite información personal a través de las redes, se DEBEN aplicar controles adecuados para:
encriptar la información personal
obtener el consentimiento para transferir información personal
asegurar la privacidad de información personal
la gestión de cambios
¿Cuál de los siguientes procedimientos aborda MEJOR el riesgo de fuga de datos?
Procedimientos de respuesta ante incidentes
Procedimientos de copias de respaldo de archivos
Políticas de uso aceptable.
Controles de integridad de la base de datos
¿Cuál de los siguientes dispositivos se debe colocar dentro de una zona desmilitarizada (DMZ)?
Un servidor de autenticación
Un relé de correo
Un firewall
Un router
¿Cuál es la mejor manera de minimizar el acceso al sistema para los contratistas y otros usuarios temporales cuando ya no se requiere?
Registrar todo el uso de la cuenta y enviar el registro al gerente.
Establecer fechas de caducidad automáticas predeterminadas.
Asegurar que todas las personas firmen un acuerdo de seguridad.
Exigir a los gerentes que envíen notificaciones de seguridad por correo electrónico cuando se va el usuario
¿Cuál de las siguientes opciones proporciona MEJOR la integridad del mensaje, la autenticación de la identidad del remitente y el no repudio?
Criptografía simétrica
Hashing de mensajes
Código de autenticación de mensaje
Infraestructura de clave pública (public key infrastructure, PKI)
¿Cuál de los siguientes métodos prevendrá MEJOR los ataques a la seguridad externa?
Asegurar y analizar los registros de acceso al sistema.
Traducción de dirección de red
Averiguación de antecedentes de los empleados temporales.
Dirección de IP estática.
¿Cuál de los siguientes controles es el MEJOR para asegurar los datos en un disco extraíble USB?
Exigir autenticación cuando se usa un dispositivo USB.
Prohibir a los empleados que copien datos a dispositivos USB.
Encriptar los dispositivos USB.
Limitar el uso de dispositivos USB.
Cuando se configura un sistema de control de acceso biométrico que protege un centro de datos de nivel alto de seguridad, el nivel de sensibilidad del sistema se debe fijar:
una tasa de error equivalente (lower equal error rate, EER) más baja.
una tasa de falsa aceptación (false acceptance rate, FAR) más alta.
una tasa de falso rechazo (false reject rate, FRR) más alta.
exactamente a la tasa de error de cruce (crossover error rate, CER)
¿Cuál de las siguientes medidas es la MÁS eficaz para proteger los datos guardados en dispositivos informáticos móviles?
Protección de los datos que se transmiten
Encriptado de datos almacenados
Contraseña de encendido
Control de acceso biométrico
¿Cuál de los siguientes métodos' es MÁS útil para administrar la gestión de despliegues cada vez más complejos?
Desarrollo de políticas
Arquitectura de seguridad
Respaldo de la alta Dirección
Método basado en las normas
¿Quiénes deben escribir y mantener los planes de continuidad de negocio (BCP)?
Las funciones de seguridad de información y tecnología de la información.
Los representantes de todas las unidades funcionales.
La función de gestión de riesgo.
Los directores ejecutivos.
¿Cuál de los siguientes controles está diseñado para prevenir violaciones en la segregación de tareas (SoD)?
Activar pistas de auditoría de TI
Implementar autenticación en dos sentidos
Informar las violaciones en el registro de acceso
Implementar el acceso basado en la función
Los procedimientos de copias de respaldo y de restauración del sistema pueden ser MEJOR clasificados como:
Controles técnicos
Controles de detección
Controles correctivos
Controles disuasivos
¿Cuál de las siguientes etapas del ciclo de vida de desarrollo del sistema (SDLC) es la MÁS adecuada para incorporar controles internos?
Desarrollo
Prueba
Implementación
Diseño
Una organización ha externalizado el procesamiento de información del personal a un proveedor y ocurre una violación regulatoria durante el procesamiento. ¿Quién tendrá la responsabilidad jurídica?
El proveedor, porque tiene la responsabilidad operativa
La organización, porque posee los datos
La organización y el proveedor
El proveedor, porque no cumplió con el contrato
¿Quién otorga la autorización formal para el acceso del usuario?
El administrador de la base de datos
El propietario de los datos
El propietario del proceso
El custodio de los datos
A fin de determinar el nivel de protección requerido para asegurar la información de identificación personal, el profesional de riesgos debe PRINCIPALMENTE tener en cuenta
La fuente de información
El coste de información
La sensibilidad de la información
La validez de información
Las evaluaciones de riesgo son MÁS eficaces en una organización de desarrollo de software cuando se realizan:
antes de que comience el desarrollo del sistema.
durante la implementación del sistema.
durante cada etapa del ciclo de vida de desarrollo del sistema (SDLC)
antes de desarrollar un caso de negocio.
Las tecnologías de seguridad debe basarse PRINCIPALMENTE en la selección de:
La valuación en publicaciones de seguridad.
El cumplimiento de las normas de la industria.
La, capacidad de mitigar el riesgo en los objetivos de la organización.
El coste comparado con el presupuesto de TI de la organización.
¿Cuál de los siguientes grupos sería MÁS eficaz para administrar y ejecutar el programa de riesgo de una organización?
La Dirección intermedia
La alta Dirección
Los empleados de atención directa
El equipo de respuesta a incidentes
La autenticación sólida es:
una técnica de autenticación aprobada formalmente por una organización de estandarización.
el uso simultáneo de varias técnicas de autenticación (por ejemplo, la contraseña y la tarjeta de acceso).
un sistema de autenticación que usa la criptografía.
un sistema de autenticación que usa datos biométricos para identificar a una persona (por ejemplo, las huellas dactilares).
El Director de una compañía fundada hace un año pidió a su director de información (CIO) que elaborara todas las políticas y procedimientos de TI de la organización, que el comité directivo de TI administrará y aprobará. El comité directivo de TI tomará todas las decisiones de TI de la organización, incluidas las relacionadas con el presupuesto para tecnología. El comité directivo de TI estará MEJOR representado por:
miembros de la Junta Directiva.
miembros de un nivel alto del departamento de TI.
expertos en TI externos a la organización.
miembros clave de todos los departamentos.
Los procedimientos de seguridad de información deben:
actualizarse cada vez que se lanza una nueva versión del software.
destacar la importancia del gobierno de la seguridad.
definir los límites de conducta permitidos.
describir los lineamientos de la seguridad para cada plataforma.
La MEJOR manera de reducir los esfuerzos de administración de seguridad es con:
listas de control de acceso (ACL).
controles de acceso discrecionales (DAC).
controles de acceso obligatorios (MAC).
controles de acceso basado en roles (RBAC).
¿Cuál de los siguientes métodos es MEJOR para poner en práctica cuando hay un código malicioso de un ataque dirigido o "spear phishing" en la red y al departamento financiero le preocupa que el análisis de la red retrase el trabajo y demore el informe del trimestre?
Indicar al sector de finanzas que termine el informe de fin de trimestre y luego realizar el análisis de toda la red.
Bloquear todo el tráfico saliente para impedir la comunicación saliente con el host que espera la orden.
Analizar los dispositivos de la red que no sean necesarios para el informe financiero y luego analizar los dispositivos esenciales para el sector financiero por la noche.
Realizar una encuesta al personal y pedir al personal que informen si se en
¿Cuál de las siguientes opciones es la MEJOR para asegurar que se tomen medidas correctivas después de realizar una evaluación de riesgo?
Realizar una revisión de seguimiento.
Entrevistar a los empleados a cargo de la implementación de las medidas correctivas.
Garantizar que un ejecutivo de la organización documente qué medida correctiva se tomó.
Realizar un informe mensual y verificar que se haya tomado la medida correctiva.
¿Cuál de las siguientes opciones es MEJOR para asegurar que se realice la mitigación adecuada en las vulnerabilidades identificadas en los sistemas de información?
Presentar el análisis de la causa raíz a la Dirección de la organización
Implementar el software necesario para los puntos de acción
Incorporar los hallazgos en el informe anual a los accionistas
Asignar planes de acción con plazos determinados al personal responsable
¿Cuál de las siguientes opciones es MEJOR para asegurar que las deficiencias en el control de los sistemas de información se reparen correctamente?
Un plan de mitigación del riesgo
Reevaluación del riesgo
Reevaluación del riesgo de control
Análisis de contramedidas
¿Qué función organizativa rinde cuentas por las políticas, pautas y normas sobre riesgos?
Operaciones
TI
Dirección
Departamento Jurídico
El plan de acción frente al riesgo DEBE incluir una resolución adecuada, una fecha de finalización y:
personal responsable.
factores de mitigación.
probabilidad de materialización.
coste total.
¿En cuál de los siguientes debe centrarse la respuesta al riesgo?
En la destrucción de equipos de computación obsoletos
En el robo de un teléfono inteligente en una oficina
En el saneamiento y la reutilización de una memoria flash
En que un empleado borró un archivo
¿Cuál de las siguientes opciones de respuestas a los riesgos es MÁS probable que aumente la responsabilidad de la organización?
Aceptación del riesgo
Reducción del riesgo
Transferencia del riesgo
Evitar el riesgo
¿Cuál de las siguientes es la MEJOR razón por la cual una organización puede decidir no reducir un riesgo identificado?
No hay un requisito regulatorio de reducir el riesgo.
El riesgo inherente del proceso de negocio relacionado es bajo.
La posible ganancia supera el riesgo.
El coste de reducir el riesgo supera el presupuesto.
Una organización decide abordar el riesgo asociado con un proyecto de TI extemalizando parte de las actividades de TI a un tercero especializado. En relación con el proyecto en sí, este es un ejemplo de:
transferencia de riesgo.
evitar el riesgo.
aceptación del riesgo.
mitigación del riesgo.
¿Cuál de las siguientes es la MEJOR manera de brindar una respuesta rentable al riesgo?
Priorizar y tratar el riesgo de acuerdo con la estrategia de gestión de riesgo
Mitigar el riesgo de acuerdo con la probabilidad del riesgo y la magnitud del impacto
Realizar un análisis de contramedidas por cada uno de los controles utilizados
Seleccionar controles con un coste cero o cerca de cero
¿Cuál de las siguientes opciones es MÁS útil en la elaboración del perfil de riesgo?
La presencia de controles preventivos y de detección
Riesgo inherente y riesgo de no detección
Análisis de coste-beneficio de los controles
Probabilidad e impacto del riesgo
¿Cuál de las siguientes opciones es MEJOR como fundamento para recomendar un dispositivo de prevención de fuga de datos (DLP) como control de seguridad?
Punto de comparación con pares en el desarrollo de la DLP
Un caso de negocios de DLP para proteger los datos
Un informe de valuación de soluciones de DLP populares
El escenario de DLP en el registro de riesgos
¿Cuál de las siguientes opciones es MEJOR para que la gestión de continuidad de negocio cumpla con las expectativas de las partes interesadas?
Priorizar las aplicaciones según su importancia para el negocio.
Asegurarse de que los respaldos de datos estén disponibles para restaurar.
Divulgar la declaración de la estrategia de gestión de crisis.
Pedir a una parte independiente que realice la evaluación de riesgo.
Cuando el riesgo relacionado con un proceso de negocio específico es mayor que la posible oportunidad, la MEJOR respuesta al riesgo es:
transferir el riesgo.
aceptar el riesgo.
mitigar el riesgo.
evitar el riesgo.
¿Cuál de las siguientes opciones debe usar la Gerencia/Ejecutivos para asignar recursos para la respuesta al riesgo?
Reportes de hallazgos de auditoría
Resultados de la prueba de penetración
Resultados del análisis de riesgo
Resultados de la prueba de vulnerabilidad
¿Cuál de las siguientes opciones identifica MEJOR los cambios en el perfil de riesgo de una organización?
El registro de riesgos
La clasificación de riesgos
Los cambios en los umbrales de los indicadores de riesgo
Las actualizaciones en el inventario de control
¿Cuál de las siguientes opciones identifica MEJOR los controles que tratan el riesgo relacionado con la computación en la nube ('cloud computing')?
Encriptado de datos, aislamiento de clientes, gestión de cambios controlada
Encriptado de datos, personalización de la plantilla de la aplicación, creación e importación de widgets personalizados
Selección de tecnología de estándares abiertos, encriptado de datos, aislamiento de clientes
Aislamiento de clientes, gestión de cambios controlada, creación e importación de widgets personalizados
Antes de lanzar un parche de seguridad de un sistema operativo en producción, según las prácticas principales, el parche:
debe aplicarse simultáneamente a todos los sistemas.
se debe comprar a un proveedor aprobado.
se debe probar en un entorno de prueba en preproducción.
debe estar aprobado por las partes interesadas de negocio.
¿Cuál de las siguientes opciones sirve para asegurarse de que el coste esté justificado cuando se selecciona un control de TI?
La inversión está dentro del presupuesto.
Se refleja en la probabilidad del riesgo y su impacto.
El valor neto actualizado (NPV) es alto.
Se usa tecnología de código abierto ('open source').
El propósito PRINCIPAL de proporcionar pistas de auditoría integradas en las aplicaciones es:
la compatibilidad con el descubrimiento electrónico ('e-discovery').
recolectar información de los auditores.
permitir la detección y solución de problemas.
establecer la rendición de cuentas.
¿Cuál de las siguientes opciones protege MEJOR la confidencialidad de los datos transmitidos por una red?
A. Los datos se encapsulan en paquetes de datos con encabezados de autenticación.
B. Se adjunta una traición de resumen ("hash") digital a todos los mensajes que se envían por la red.
C. Los dispositivos de red se refuerzan de conformidad con las normas corporativas
D. Se usan cables de fibra óptica en vez de cables de cobre.
¿Cuál de los siguientes riesgos asociados con el manejo de datos de tarjetas de crédito a través de una aplicación de red es MÁS importante?
A. Mostrar los primeros seis dígitos y los últimos cuatro dígitos de la tarjeta de crédito, de modo que queda expuesta información confidencial.
B. Permitir la transmisión de datos de la tarjeta de crédito por Internet a través de un canal no seguro, como el protocolo Secure Sockets Layer (SSL) o el protocolo Transport Layer Security (TLS).
C. No almacenar los datos de la tarjeta de crédito en un área segura segregada de la zona desmilitarizada (DMZ).
D. Instalar los dispositivos de red con la configuración de acceso predeterminada no activada o no operable.
¿Cuál de las siguientes consideraciones es MÁS importante a la hora de elaborar una política de retención de registros?
A. Borrar, lo más rápido que sea viable, todos los datos que no son obligatorios.
B. Retener los datos solo el tiempo necesario para el negocio o los requisitos regulatorios.
C. Guardar los datos para asegurar que estén disponibles en el futuro.
D. Archivar datos viejos sin encriptación lo más rápido que sea viable.
Una organización está implementando controles para proteger su lista de precios de productos para que no la vean personas no autorizadas. Los requisitos de control interno van a provenir de:
A. el equipo de gestión de riesgo.
B. la auditoría interna.
C. la Dirección de TI.
D. los propietarios del proceso.
¿Cuál de las siguientes opciones es MÁS importante a la hora de mitigar o administrar el riesgo?
A. Los resultados de la evaluación de vulnerabilidades
B. Un análisis de impacto en el negocio (BIA)
C. El nivel de tolerancia al riesgo
D. Un marco de controles de seguridad
El beneficio PRINCIPAL de la clasificación de información es que sirve para:
A. determinar cómo se puede seguir rotulando la información.
B. establecer matrices de control de acceso.
C. determinar el nivel de tolerancia al riesgo.
D. seleccionar medidas de seguridad proporcionales al riesgo.
¿Qué tipo de coste incurrido se usa cuando se aprovecha el cableado de redes existente para un proyecto de TI?
A. Coste indirecto
B. Coste de infraestructura
C. Coste del proyecto
D. Coste de mantenimiento
Una organización está aplicando controles para proteger su lista de precios de productos para que no la vean empleados no autorizados. Estos controles internos incluirán:
A. identificación y autenticación.
B. autenticación y autorización.
C. segregación de tareas (SoD) y autorización.
D. disponibilidad y confidencialidad.
Durante una evaluación de riesgo de la puesta en marcha de una compañía con una práctica de "traiga su propio dispositivo" (bring your own device, BYOD), un profesional de riesgos nota que un administrador de base de datos (DBA) minimiza la página web de una red social en su dispositivo personal antes de realizar una búsqueda de números de cuenta de tarjeta de crédito en la aplicación en la nube de un tercero. El profesional de riesgos debe recomendar que la organización:
A. elabore y utilice una política de uso aceptable para BYOD.
B. coloque un escritorio virtual en cada dispositivo móvil.
C. ponga en la lista negra a las páginas web de redes sociales para los dispositivos dentro de la zona desmilitarizada (DMZ).
D. proporcione un DBA con capacitación para concienti7ar a los usuarios.
88. Los controles son más eficaces cuando están diseñados para reducir:
A. las amenazas.
B. la probabilidad.
C. la incertidumbre.
D. las vulnerabilidades.
En una empresa grande, los administradores del sistema pueden lanzar parches fundamentales en Producción sin probarlos. ¿Cuál de las siguientes opciones mitiga MEJOR el riesgo de problemas de interoperabilidad?
A. Asegurar que se implemente un plan de restauración del sistema confiable.
B. Probar el parche primero en los sistemas menos fundamentales.
C. Permitir que las actualizaciones se realicen únicamente fuera del horario de oficina.
D. Asegurar que el director de seguridad de información (CISO) apruebe los parches.
¿Cuál de las siguientes opciones mitiga MEJOR el riesgo de control?
A. El monitoreo continuo
B. Un programa eficaz de concienciación sobre seguridad
C. Procedimientos eficaces de gestión de cambios
D. El respaldo de la alta Gerencia para la implementación del control
Durante la revisión de la causa raíz de un incidente reciente se descubre que el departamento de TI no está haciendo el seguimiento de ninguna métrica. ¿Cuál de las siguientes opciones debe recomendar el profesional de riesgos a la Dirección para reducir el riesgo?
A. Un nuevo sistema de soporte técnico
B. Gestión de cambios
C. Gestión de problemas
D. Nuevos informes para hacer un seguimiento de los problemas
Comprar un seguro es una forma de:
A. Evitar el riesgo.
B. Mitigación del riesgo.
C. Aceptación de riesgo.
D. Transferencia de riesgo.
¿Cuál es la información PRINCIPAL que usa una organización para seleccionar y priorizar las respuestas al riesgo?
A. Un análisis de coste-beneficio de las opciones disponibles de mitigación del riesgo
B. El nivel de riesgo aceptable por el apetito al riesgo
C. La posibilidad de transferir o eliminar el riesgo
D. La cantidad de controles necesarios para reducir el riesgo
Las partes interesadas del negocio y los encargados de tomar las decisiones que revisan la eficacia de las respuestas a los riesgos de TI PRINCIPALMENTE verificarán si:
A. Los controles de TI eliminan el riesgo en cuestión.
B. Los controles de TI se monitorean continuamente.
C. Los controles de TI logran los objetivos deseados.
D. Los indicadores de riesgo de TI se documentan formalmente.
Una evaluación de riesgo detecta un riesgo para la organización que supera el nivel de aceptación del riesgo definido por la alta Dirección. ¿Cuál es la MEJOR manera de tratar este riesgo?
A. Asegurar que el riesgo vuelva rápidamente dentro de los límites aceptables, independientemente del costo.
B. Recomendar controles de mitigación si el coste o el beneficio justifican los controles.
C. Recomendar a la alta Dirección que revise el nivel de aceptación del riesgo.
D. Asegurar que se realicen los cálculos de riesgo a fin de revalidar los controles.
¿Cuál de las siguientes acciones es MEJOR cuando se ha identificado un riesgo crítico y los recursos para mitigarlo no están a disposición de inmediato?
A. Registrar el riesgo en el registro de riesgos y revisarlo con la alta Dirección regularmente.
B. Capturar el riesgo en el registro de riesgos una vez que los recursos estén disponibles para tratar el riesgo.
C. Escalar el informe de riesgos a la alta Dirección a fin de obtener los recursos necesarios para mitigar el riesgo.
D. Revisar el nivel de riesgo con la alta Dirección y determinar si los cálculos de riesgo son correctos.
¿Cuál de las siguientes combinaciones de factores es la consideración MAS importante a la hora de priorizar el desarrollo de controles y contramedidas?
A. Probabilidad e impacto
B. Impacto y exposición
C. Criticidad y confidencialidad
D. Valor y clasificación
¿Durante qué etapa del proceso general de gestión de riesgo se realiza PRINCIPALMENTE el análisis de coste- beneficio?
A. Durante la evaluación de riesgo inicial
B. Durante la clasificación de activos de información
C. Durante la definición del perfil de riesgo
D. Durante la selección de respuesta al riesgo
¿Cuál de los siguientes métodos es MÁS útil para abordar las vulnerabilidades considerables del sistema que se descubrieron durante un análisis de la red?
A. Se deben mitigar todas las vulnerabilidades importantes oportunamente.
B. El tratamiento se debe basar en la amenaza, el impacto y el coste.
C. Se deben implementar controles compensadores para las vulnerabilidades más importantes.
D. Se deben proponer opciones de mitigación para que apruebe la Dirección.
¿Cuál es la MEJOR respuesta al riesgo para los escenarios de riesgo en los que la probabilidad es baja y el impacto financiero es alto?
A. Transferir el riesgo a un tercero.
B. Aceptar el coste alto de la protección.
C. Implementar controles de detección
D. Implementar controles compensadores.
Frente a muchos riesgos, la priorización de las opciones de tratamiento será MÁS eficaz cuando se basa en:
A. La existencia de amenazas y vulnerabilidades identificadas.
B. La probabilidad de que ocurra el incidente y el impacto subsecuente.
C. Los resultados de los análisis de vulnerabilidades y exposición.
D. La exposición de los activos corporativos y el riesgo operacional.
¿Cuál de las siguientes actividades es un ejemplo de compartir del riesgo?
A. Trasladar una función a otro departamento
B. Vender un producto o servicio a otra empresa
C. Emplear firewalls redundantes
D. Contratar a un tercero
¿Cuál de los siguientes parámetros de selección de respuesta al riesgo causa una disminución en la magnitud de un evento?
A. La eficiencia de la respuesta
B. El coste de la respuesta
C. La eficacia de la respuesta
D. La capacidad de implementar la respuesta
¿Quién otorga la autorización formal para que el usuario acceda a un archivo protegido?
A. El propietario del proceso
B. El administrador del sistema
C. El propietario de los datos
D. El gerente de seguridad
Un caso de negocio desarrollado para respaldar los esfuerzos de mitigación del riesgo para un proyecto de desarrollo de aplicación complejo se debe retener hasta:
A. La aprobación del proyecto.
B. La aceptación de la aplicación por parte del usuario.
C. La implementación de la aplicación.
D. El fin de la vida de la aplicación.
¿Cuál de las siguientes herramientas ayuda a la Dirección a determinar si un proyecto debe continuar de acuerdo con el alcance, el cronograma y el coste?, Análisis de:
A. Método de valor ganado
B. Puntos de función
C. Gráfico de Gantt
D. Técnicas de revisión y evaluación del programa (PERT)
Una organización ha implementado hace poco una política corporativa de “traiga su propio dispositivo” (bring your own device, BYOD) para reducir el riesgo de fuga de datos. ¿Cuál de los siguientes métodos es MEJOR para que la política sea eficaz?
A. Obtener la aceptación firmada de los usuarios en la política BYOD
B. Informar a los usuarios sobre las prácticas aceptables y no aceptables
C. Solicitar a los usuarios que lean la política BYOD y todas las actualizaciones que se realicen en el futuro
D. Definir claramente las medidas disciplinarias en caso de incumplimiento
¿En qué fases del ciclo de vida de desarrollo del sistema (SDLC) se debe definir el proceso para corregir los entregables a fin de prevenir el riesgo de alteraciones del alcance (“scope creep”)?
A. Factibilidad
B. Desarrollo
C. Aceptación del usuario
D. Diseño
¿Cuál de los siguientes recursos tiene el MAYOR riesgo de falla mientras se implementa una solución de seguridad?
A. Hardware de seguridad
B. Personal de seguridad
C. Procesos de seguridad
D. Software de seguridad
Debido a los cambios en el entorno de TI, se ha modificado el plan de recuperación ante desastres de una gran organización. ¿Cuál es el MAYOR beneficio de probar el plan nuevo?
A. Asegurar que el plan esté completo
B. Asegurar que el equipo esté capacitado
C. Asegurar que se hayan identificado todos los activos
D. Asegurar que se haya verificado la evaluación de riesgo
El administrador de la base de datos ha decidido desactivar algunos controles de normalización en la base de datos para ofrecer a los usuarios un mayor desempeño en las consultas. Lo MÁS probable es que esto aumente el riesgo de:
A. Pérdida de pistas de auditoría.
B. Índices duplicados.
C. Redundancia de datos.
D. Acceso no autorizado a los datos.
¿Qué control se centra directamente en la prevención del riesgo de confabulación?
A. Control de acceso obligatorio
B. Principio del menor privilegio
C. Control de acceso discrecional
D. Rotación de trabajo obligatoria
¿Cuál es el propósito de la acreditación de un sistema?
A. Asegurar que se haya identificado el riesgo asociado con la implementación y que un directivo lo haya aceptado explícitamente
B. Revisar todos los controles técnicos y no técnicos para asegurarse de que se haya reducido el riesgo de seguridad a los niveles aceptables
C. Asegurar que los cambios en los controles de seguridad estén correctamente autorizados, probados y documentados
D. Requerir la capacitación y la certificación del personal que tendrá la responsabilidad de trabajar con un sistema.
¿Cuál es la MEJOR manera para que una organización asegure que los desarrolladores no tengan acceso a implementar cambios en las aplicaciones de producción?
A. La organización debe asegurar que el equipo de desarrollo no tenga acceso al código ejecutable.
B. La organización debe tener segregación de funciones entre el desarrollo de la aplicación y operaciones.
C. Se debe hacer cumplir el ciclo de vida de desarrollo del sistema (SDLC) de la organización de modo que sea obligatoria la segregación de funciones.
D. Se debe hacer cumplir el proceso de gestión de cambios de la organización para todos los cambios, excepto los de emergencia.
¿De qué manera la organización puede prevenir el procesamiento duplicado de una transacción?
A. Encriptando la transacción para prevenir el copiado
B. Comparando los hash valúes de cada transacción
C. No permitiendo que se realicen dos transacciones idénticas dentro de un período determinado
D. No permitiendo que se realice más de una transacción por cuenta por inicio de sesión.
El objetivo PRINCIPAL de certificar un sistema antes de la implementación es:
A. Proteger la organización contra inconvenientes por el lanzamiento de un sistema de calidad inferior.
B. Revisar los controles del sistema para asegurar que estén configurados correctamente.
C. Probar el sistema integrado para detectar inconvenientes en el flujo ascendente (“upstream”) o descendente (“downstream”).
D. Asegurar que el sistema cumpla con los requisitos de seguridad específicos al momento de la prueba.
117. ¿Cuál de las siguientes opciones es una función PRINCIPAL, del propietario del sistema durante el proceso de acreditación? El propietario del sistema:
A. Revisa y aprueba el plan de seguridad que respalda el sistema.
B. Selecciona y documenta los controles de seguridad para el sistema.
C. Evalúa los controles de seguridad de acuerdo con los procedimientos de evaluación.
D. Determina si el riesgo para el negocio es aceptable.
¿Cuál de los siguientes controles compensadores debe implementar la Gerencia/Ejecutivos cuando existe un conflicto de segregación de funciones porque una organización tiene un departamento de TI pequeño?
A. Análisis independiente de incidentes de TI
B. Revisión de facultades
C. Revisión independiente de los logs/registros de auditoría
D. Controles más ajustados en la provisión de usuarios
La MEJOR manera de asegurar que el control de los sistemas de información sea adecuado y eficaz es verificar:
A. Que el control esté funcionando tal como fue diseñado.
B. Que se esté mitigando el riesgo asociado con el control.
C. Que no se haya eludido el control.
D. La frecuencia con la que se revisan los logs/registros de control.
¿Cuál de los siguientes controles de sistemas de información es la MEJOR manera de detectar malware?
A. Revisar los cambios en el tamaño de los archivos
B. Revisar los cambios a nivel administrativo
C. Revisar los logs/registros de auditoría
D. Revisar los logs/registros de incidentes
La política de seguridad de una organización es un ejemplo de:
A. Control operativo
B. Control de gestión
C. Control técnico
D. Control correctivo
¿Cuál es la MEJOR medida para tomar cuando se ha implementado un control a fin de mitigar un riesgo previamente identificado?
A. Actualizar el registro de riesgos para mostrar que el riesgo se ha mitigado.
B. Programar una nueva revisión de riesgos para asegurar que no haya ningún riesgo nuevo presente.
C. Probar el control para asegurar que el riesgo se haya mitigado correctamente.
D. Verificar las pruebas realizadas por el equipo de implementación y cerrar el riesgo.
¿Cuál es la MEJOR herramienta para documentar el estado de la mitigación del riesgo y de la propiedad del riesgo?
A. Planes de acción de riesgos
B. Escenarios de riesgo
C. Documentos de análisis de impacto en el negocio (BIA)
D. Un registro de riesgos
¿Cuál de las siguientes es la responsabilidad PRINCIPAL de los propietarios de los datos?
A. Detección de intrusos
B. Controles antivirus
C. Cambios en los derechos de los usuarios
D. Seguridad de la plataforma
Cuando se usa un método formal para responder a un incidente relacionado con la seguridad, ¿Cuál de las siguientes opciones ofrece el MAYOR beneficio desde una perspectiva jurídica?
A. Demostrar el cumplimiento de los requisitos de la auditoría reglamentaria
B. Demostrar el cumplimiento de los requisitos de protección de datos corporativos
C. Demostrar que se actúa con el debido cuidado
D. Trabajar con agencias policiales
Cuál de los siguientes procesos es FUNDAMENTAL para decidir cómo priorizar las medidas en un plan de continuidad de negocio (BCP)?
A. Evaluación de riesgo
B. Evaluación de vulnerabilidades
C. Un análisis de impacto en el negocio (BIA)
D. Mapeo del proceso de negocio
El punto de partida MÁS eficaz para determinar si un sistema de TI sigue cumpliendo las metas de negocio de la organización es realizar entrevistas con:
A. los Directores ejecutivos.
B. los Gerentes/Ejecutivos de TI.
C. los propietarios del proceso de negocio.
D. los auditores externos.
Para la mitigación de riesgo, lo MÁS importante es:
A. eliminar las amenazas y vulnerabilidades
B. reducir las probabilidades de que ocurran riesgos
C. reducir el riesgo a un coste aceptable
D. reducir el riesgo inherente a cero
El coste de mitigar un riesgo no debe superar:
A. el beneficio esperado a obtener.
B. la pérdida anual esperada (ALE).
C. el valor del activo físico.
D. el coste de explotar la debilidad.
Durante la fase inicial del ciclo de vida de desarrollo del sistema (SDLC), el profesional de riesgo explicó cómo asegurar el sistema propuesto. El equipo del proyecto elaboró una lista de requisitos que se usarán para diseñar el sistema. ¿Cuál de las siguientes opciones se DEBE realizar antes de pasar a la fase de diseño del sistema?
A. La Gerencia/Ejecutivos acepta el riesgo asociado con el sistema propuesto y los controles.
B. Se documentan los distintos escenarios de prueba que se usarán para probar los controles.
C. Se aumenta el presupuesto del proyecto para incluir costes adicionales de seguridad.
D. Se compran los equipos y el software para cumplir con los requisitos de seguridad.
¿Cuál de los siguientes resultados de la evaluación de riesgo es MÁS adecuado para ayudar a justificar un programa de seguridad de información para la organización?
A. Un inventario de riesgos que pueden afectar a la organización
B. Amenazas documentadas para la organización
C. Evaluación de las consecuencias
D. Una lista de controles adecuados para tratar el riesgo
¿Cuál de las siguientes estrategias es MÁS conveniente a la hora de desarrollar las opciones de mitigación del riesgo asociadas con la falta de servicios de TI disponibles debido a un desastre natural?
A. Asumir los peores escenarios de incidentes.
B. Buscar lugares de bajo coste como sitios alternativos.
C. Llevar a cabo un programa de concienciación centrada en los desastres naturales.
D. Delegar la autoridad en distintos niveles.
¿Cuál es el objetivo PRINCIPAL de realizar una revisión de pares antes de implementar cambios en la configuración del firewall?
A. Ayudar a detectar actividades fraudulentas o inadecuadas
B. Reducir la necesidad de pruebas técnicas adicionales porque ya se han analizado los cambios
C. Facilitar la transferencia del conocimiento del personal mediante el análisis del trabajo del personal con más antigüedad.
D. Ayudar a detectar errores en el cambio propuesto antes de la implementación
Es MEJOR comunicar los resultados agregados de las actividades de monitoreo continuo al:
A. Propietario del riesgo.
B. Personal técnico.
C. Departamento de auditoría.
D. Gerente de seguridad de la información.
Un gerente de operaciones asigna la responsabilidad del monitoreo de indicadores clave de riesgo (KRI) al personal de línea. ¿Cuál de las siguientes opciones es MÁS eficaz para verificar el esfuerzo?
A. Se debe hacer una revisión independiente de los resultados informados.
B. El personal de línea debe completar una capacitación en gestión de riesgo.
C. La Dirección de riesgo debe determinar el umbral.
D. Los indicadores deben tener beneficios que superen los costes.
Una implementación de controles eficaz se correlaciona PRINCIPALMENTE con la disminución:
A. del riesgo residual.
B. de las entradas en el registro de riesgos.
C. de los informes de riesgo
D. de la tolerancia al riesgo.
¿Cuál de las siguientes actividades es la MAS importante en relación con las pruebas del plan de continuidad de TI?
A. Una prueba basada en prioridades de recuperación definidas
B. Una prueba limitada a la recuperación de la infraestructura de TI
C. Una prueba que pueda realizarse en cualquier momento
D. Ejercicios de mesa redonda, donde realizar pruebas no es factible
Lo MÁS probable es que la implementación de controles injustificados ocasione:
A. Un aumento del riesgo residual relacionado con los controles.
B. Una disminución del riesgo residual relacionado con los controles.
C. Un monitoreo ineficaz de los controles relacionados.
D. Un retomo más bajo sobre la inversión de TI.
¿Cuál de las siguientes respuestas al riesgo eximen a la organización de asumir la propiedad del riesgo?
A. Mitigar
B. Evitar
C. Transferir
D. Aceptar
¿Cuál de los siguientes controles es el que MEJOR disminuye el riesgo residual que puede derivar de la divulgación accidental de archivos confidenciales almacenados en una laptop?
A. Realizar un backup de los archivos confidenciales en un servidor remoto.
B. Instalar un programa para cifrar una partición en particular.
C. Proporcionar capacitación para concientizar al personal sobre cómo identificar y cifrar archivos.
D. Copiar todos los archivos cifrados en una unidad de bus de serie universal (USB)
¿Cuál de los siguientes controles es el que MEJOR disminuye el riesgo residual que puede derivar de la divulgación accidental de archivos confidenciales almacenados en una laptop?
A. Realizar un backup de los archivos confidenciales en un servidor remoto.
B. Instalar un programa para cifrar una partición en particular.
C. Proporcionar capacitación para concientizar al personal sobre cómo identificar y cifrar archivos.
D. Copiar todos los archivos cifrados en una unidad de bus de serie universal (USB)
¿Por qué es importante que los gerentes/ejecutivos del negocio establezcan requisitos en lugar de hacer solicitudes al área de TI para productos específicos?
A. Para garantizar que se le asigne la misma consideración al desarrollo del software.
B. Para garantizar que se implemente una solución que cumpla con los objetivos del negocio.
C. Para reducir el potencial de conflictos de intereses por parte de los gerentes/ejecutivos del negocio.
D. Para reducir el coste de mantenimiento asociado con el software obsoleto.
Una compañía ha decidido realizar backups semanalmente. ¿Cuál de las siguientes opciones es la que MEJOR describe el enfoque de respuesta al riesgo utilizado por la Gerencia/ejecutivos?
A. Se ha aceptado todo riesgo residual derivado de la realización de backups semanales.
B. El riesgo de perder datos fue mitigado hasta el nivel más bajo posible.
C. El control es ineficaz porque toda pérdida de datos debe minimizarse.
D. El riesgo inherente de la pérdida de datos no se mitigó adecuadamente.
¿Cuál de las técnicas de monitoreo de riesgo automatizado es la que MEJOR monitorea el riesgo en un sistema de aplicación de host sin interrumpir el procesamiento regular?
A. Alertas de monitoreo
B. Instalaciones de prueba integradas
C. Simulación continua e intermitente
D. Un archivo de revisión de auditoría de control de sistemas
¿Cuál de las siguientes categorías de controles de seguridad de la información aborda una deficiencia o debilidad en la estructura de control de una organización?
A. Correctivos
B. Preventivos
C. Compensatorios
D. Directivos
¿Cuál es la PRINCIPAL razón por la que una organización establecería controles de segregación de tareas (SoD)?
A. Restringir el nivel de acceso de los usuarios al mínimo requerido para efectuar sus tareas.
B. Garantizar que las transacciones que violen la política corporativa sean registradas para su revisión.
C. Restringir el trabajo de los usuarios a aquellos sistemas que reflejen sus áreas de experiencia.
D. Garantizar que toda actividad fraudulenta que se produzca generalmente sea el resultado de una colusión.
¿Cuál de los siguientes controles de seguridad de datos es el que MEJOR protege la confidencialidad de los datos almacenados en medios de backup que se encuentran en tránsito hacia las instalaciones de almacenamiento de un tercero?
A. Totales hash (hash totals)
B. Mensajeros asegurados
C. Embalaje a prueba de alteraciones
D. Cifrado
¿Cuál de las siguientes técnicas asociadas con el análisis de riesgo tiene el MAYOR impacto en la decisión de implementar un control?
A. Análisis de coste-beneficio
B. Período de repago
C. Análisis de causa raíz
D. Valor neto actualizado (NPV)
¿Cuál de las siguientes prácticas de control relacionadas con la arquitectura de sistemas de información incluyen establecer y mantener una línea de base para los sistemas desarrollados internamente?
A. Gestión de liberación de versiones
B. Gestión de la configuración
C. Gestión de cambios
D. Gestión de activos
¿Cuál de las siguientes opciones es el MEJOR criterio para seleccionar productos tecnológicos para la implementación de controles? El producto:
A. Es fácil de usar y está respaldado por los manuales del sistema.
B. Tiene una función incorporada de pistas de auditoría.
C. Aborda el riesgo de negocio a costes aceptables.
D. Tiene una amplia base instalada en todo el mundo.
¿Cuál de las siguientes opciones es el MEJOR enfoque para la respuesta al riesgo de la organización?
A. Mitigar el riesgo sobre la base de la frecuencia de ocurrencia.
B. Realizar un análisis de contramedidas para los controles implementados.
C. Seleccionar los controles basándose en la facilidad de la implementación.
D. Mitigar el riesgo de acuerdo con la secuencia de prioridades de riesgo.
Cuando un proceso en particular ya no necesita datos, estos deben ser:
A. Cifrados y archivados.
B. Manejados según lo estipulado en la política.
C. Manejados según lo estipulado por la ley.
D. Destruidos de manera segura.
¿Cuál de las siguientes respuestas al riesgo es la MEJOR para una organización cuyos productos y servicios están altamente regulados?
A. Mitigar el riesgo
B. Aceptar el riesgo
C. Transferir el riesgo
D. Evitar el riesgo
La PRINCIPAL consideración al momento de seleccionar una técnica de respuesta al riesgo es:
A. La cobertura de todos los riesgos identificados.
B. La disponibilidad de recursos.
C. Las metas y los objetivos de la organización.
D. Las normas y mejores prácticas de la industria.
¿Cuál de las siguientes prácticas de control de sistemas de información (SI) sería la MÁS eficaz contra las amenazas internas a la información confidencial almacenadas dentro de una aplicación?
A. Cifrado de datos sólido
B. Control de acceso basado en roles (RBAC)
C. Acceso basado en certificados digitales.
D. Acuerdos de confidencialidad firmados
La minimización de puntos de falla individuales de un desastre natural extendido puede controlarse:
A. Implementando sistemas redundantes y aplicaciones en el sitio.
B. Utilizando cámaras ignífugas para conservar datos de backup en el sitio.
C. preparando documentos de planes de recuperación en caso de desastres y continuidad del negocio en caso de desastres identificados.
D. asignando recursos por ubicación geográfica.
¿Cuál de los siguientes controles protege la integridad de los registros de eventos de un sistema de registro autónomo?
A. Los usuarios deben estar autenticados para obtener acceso de lectura a los registros de eventos.
B. El sistema de registro de eventos está configurado para un sistema espejado en un centro de datos remoto.
C. Los cambios en el sistema de registro de eventos se administran mediante un control dual.
D. Los registros de eventos se escriben directamente en una unidad de red compartida.
¿Cuál de los siguientes controles de seguridad de la información indica una determinada conducta especificando lo que está permitido o no?
A. Gerenciales
B. De detección
C. Correctivos
D. Preventivos
Si una organización no tiene implementada una política formal sobre dispositivos personales en el lugar de trabajo, ¿Cuál de las siguientes opciones debería recomendar el profesional de riesgos?
A. Introducir la funcionalidad de borrado remoto en los dispositivos personales en el lugar de trabajo.
B. Implementar un proceso de excepciones basado en aprobaciones adecuadas.
C. Actualizar los procedimientos de respuesta ante incidentes para que contemplen los dispositivos personales.
D. Crear y mantener un inventario de dispositivos personales en uso.
