CISM ESPAÑOL JOORGE

Question 1

Una institución financiera planea asignar recursos de seguridad de la información a cada una de sus divisiones comerciales. ¿En qué áreas deberían centrarse las actividades de seguridad?
A. Áreas donde se aplican requisitos regulatorios estrictos
B. Áreas que requieren el objetivo de tiempo de recuperación más corto
C. Áreas que pueden maximizar el retorno de la inversión en seguridad
D. Áreas donde la probabilidad y el impacto de las amenazas son mayores

Answer 1

Es una pregunta complicada de responder argumentando las respuestas.
D es la respuesta correcta
A. Si bien los requisitos regulatorios deben ser considerados, puede haber otras áreas donde la amenaza y el impacto al negocio sea mayor. Un Incumplimiento regulatorio … suele ser multa, incluso cierre de empresa, pero ¿habrá amenazas mas importantes para el negocio?
B. El RTO es muy importante desde una perspectiva de Continuidad de Negocio, pero solo ilustra una parte del FrameWork de seguridad. El cumplimiento regulatorio tambien tiene iniciativas sobre el RTO.
C. Aplicar seguridad solo a la linea de negocio mas rentable NO garantiza la supervivencia de la empresa ante un ataque.
D. Las actividades de seguridad deben focalizarse en las áreas donde las amenazas, la probabilidad y el impacto son mayores… que para eso hacemos un AARR y un BIA

https://engage.isaca.org/discussion/cism-qotd-wednesday-31th-january-2024

Question 2

¿Cuál de las siguientes es la consideración MÁS importante al realizar una evaluación de riesgos?
A. El equipo Ejecutivo apoya los esfuerzos de mitigación de riesgos.
B. Se han calculado las expectativas de pérdida anual para activos críticos.
C. Los activos han sido identificados y valorados adecuadamente.
D. Se comprenden los motivos, medios y oportunidades del ataque.

Answer 2

C es la respuesta correcta
A.- el apoyo de la direccion general es importante, pero no es relevante al realizar una evaluacion de riesgos, excepto en la medida que la falta de apoyo pueda suponer un riesgo.
B.- La expectativa de perdida anual de los activos críticos se usará en el AARR pero primero deberemos identificar esos activos.
C.- La identificación y valoración de activos proporciona la base esencial para los esfuerzos de evaluación de riesgos. Sin saber que existe un activo y su valor para la empresa, no se pueden determinar el riesgo y el impacto.
D.- Comprender los motivos, los medios y las oportunidades de ataque es parte de la identificación de riesgos, pero deben considerarse en el contexto de los activos identificados y valorados.

https://engage.isaca.org/discussion/cism-qotd-monday-29th-january-2024

Question 3

¿En qué momento debería ocurrir una evaluación de riesgos de un nuevo proceso para determinar los controles apropiados? Debería ocurrir:
A. Sólo al principio y al final del nuevo proceso.
B. durante todo el ciclo de vida del proceso.
C. inmediatamente después de que se apruebe el caso de negocio del proceso.
D. antes de aprobar las especificaciones para el nuevo proceso.

Answer 3

Hace 20 años …. 2.000 aprox… la seguridad se implementaba al finalizar un proyecto. Desde entonces se ha estado cambiando para que la seguridad no sea una actividad PUNTUAL … sino una actividad continua y constante durante toda la ejecución del proyecto.

B es la respuesta correcta
A. Cambios de riesgo en diversas etapas del ciclo de vida. Si la evaluación se realiza sólo al principio y al final del proceso, se pasarán por alto cuestiones importantes.
B. Se debe realizar una evaluación de riesgos durante todo el ciclo de vida de un proceso nuevo o modificado. Esto permite comprender cómo la implementación de un control temprano afectará las necesidades de control posteriores.
C. El momento de las evaluaciones debe ocurrir en cada etapa del ciclo de vida independientemente del proceso. Tambien cuando se apruebe el caso de uso, así como todas las fases.
D. Las leyes y regulaciones no son relevantes sobre cuándo se debe evaluar el riesgo.

https://engage.isaca.org/discussion/cism-qotd-tuesday-30th-january-2024

Question 4

Después de una evaluación de riesgos, se determina que el costo de mitigar el riesgo es mucho mayor que el beneficio que se obtendrá. El gerente de seguridad de la información debe recomendar a la gerencia empresarial que el riesgo sea:
A. Transferido.
B. Tratado.
C. Aceptado.
D. Terminado.

Answer 4

C es la respuesta correcta
A. Transferir el riesgo tiene un beneficio limitado si el costo del control es mayor que el costo potencial del riesgo que se manifiesta.
B. Tratar el riesgo tiene un beneficio limitado si el costo del control es mayor que el costo del riesgo que se explota.
C. Cuando el costo del control sea mayor que el costo del riesgo, se debe aceptar el riesgo.
D. Si el valor de la actividad es mayor que el costo potencial del compromiso, entonces terminar la actividad no sería el consejo apropiado.

https://engage.isaca.org/discussion/cism-qotd-thursday-1st-february-2024

Question 5

¿La aceptación del riesgo es un componente de cuál de los siguientes?
A. Evaluación de riesgos
B. Mitigación de riesgos
C. Identificación de riesgos
D. Vigilancia de riesgos

Answer 5

B es la respuesta correcta
A. La evaluación de riesgos incluye la identificación y el análisis para determinar la probabilidad y las posibles consecuencias de un compromiso, que no es cuando se debe considerar la aceptación del riesgo o la mitigación requerida.
B. **Si después de la evaluación de riesgos un riesgo es inaceptable, la aceptabilidad se determina siguiendo los esfuerzos de mitigación del riesgo. **
C. La identificación de riesgos es el proceso de evaluación que identifica el riesgo viable mediante el desarrollo de una serie de escenarios de riesgo potenciales.
D. El seguimiento no está relacionado con la aceptación del riesgo.

https://engage.isaca.org/discussion/cism-qotd-monday-5th-february-2024

Question 6

Los programas de gestión de riesgos están diseñados para reducir el riesgo de:
A. un nivel que es demasiado pequeño para ser mensurable.
B. el punto en el que el beneficio excede el gasto.
C. un nivel que la empresa esté dispuesta a aceptar.
D. una tasa de rendimiento que iguala el costo actual del capital.

Answer 6

C es la respuesta correcta.
A. Reducir el riesgo a un nivel demasiado pequeño para medirlo no es práctico y, a menudo, tiene un costo prohibitivo.
B. Dependiendo de la preferencia de riesgo de una empresa, puede optar o no por mitigar el riesgo hasta el punto en que el beneficio iguale o supere el gasto.
C. El riesgo debe reducirse a un nivel que una empresa esté dispuesta a aceptar.
D. Vincular el riesgo a una tasa de rendimiento específica ignora los aspectos cualitativos del riesgo que también deben considerarse.

https://engage.isaca.org/discussion/cism-qotd-tuesday-6th-february-2024

Question 7

La decisión de si un riesgo de TI se ha reducido a un nivel aceptable debe determinarse mediante:
A. Requisitos organizativos.
B. Requisitos de los sistemas de información.
C. Requisitos de seguridad de la información.
D. Normas internacionales.

Answer 7

A es la respuesta correcta.
A. Los requisitos organizacionales deben determinar cuándo un riesgo se ha reducido a un nivel aceptable.
B. La aceptabilidad de un riesgo es, en última instancia, una decisión de la gestión, que puede o no ser coherente con los requisitos de los sistemas de información.
C. La aceptabilidad de un riesgo es, en última instancia, una decisión de la gestión, que puede o no ser coherente con los requisitos de seguridad de la información.
D. Debido a que cada empresa es única, los estándares internacionales pueden no representar la mejor solución para empresas específicas y son principalmente una guía.

https://engage.isaca.org/discussion/cism-qotd-wednesday-7th-february-2024

Question 8

¿Cuál es una expectativa razonable de un programa de gestión de riesgos?
A. Elimina todo riesgo inherente.
B. Mantiene el riesgo residual en un nivel aceptable.
C. Implementa controles preventivos para cada amenaza.
D. Reduce el riesgo de control a cero.

Answer 8

**B es la respuesta correcta. **
A. La gestión de riesgos no pretende eliminar todos los riesgos identificados porque puede no ser rentable.
B. El objetivo de la gestión de riesgos es garantizar que todo el riesgo residual se mantenga en un nivel aceptable para el negocio.
C. La gestión de riesgos no pretende implementar controles para cada amenaza porque no todas las amenazas plantean un riesgo y no sería rentable.
D. El riesgo de control es el riesgo de que un control no sea efectivo; es un componente del programa pero es poco probable que se reduzca a cero.

https://engage.isaca.org/discussion/cism-qotd-thursday-8th-february-2024

Question 9

¿Cuál de los siguientes será MÁS importante para calcular el retorno de la inversión en seguridad de la información con precisión?
A. Exclusión del riesgo cualitativo por la exactitud de las cifras calculadas.
B. Establecer procesos para asegurar reducciones de costos.
C. Medir los valores monetarios de manera consistente.
D. Tratar la inversión en seguridad como un centro de ganancias.

Answer 9

C…
Medir constantemente los valores monetarios es crucial para calcular con precisión el ROI. Implica asignar valores financieros a los costos asociados con la implementación y el mantenimiento de medidas de seguridad de la información, así como cuantificar las pérdidas monetarias potenciales que podrían ocurrir en ausencia de esas medidas. Al medir constantemente los valores monetarios, las organizaciones pueden comparar los costos de las inversiones en seguridad con los beneficios o ahorros potenciales que brindan.
C es la respuesta correcta. Por favor lea a continuación las explicaciones.
A. Si algo es un factor de riesgo importante, se debe intentar cuantificarlo aunque no sea muy preciso.
B. Establecer procesos para garantizar reducciones de costos no es relevante para calcular el retorno de la inversión (ROI).
C. Debe haber coherencia en las métricas para obtener resultados razonablemente precisos y consistentes. Al evaluar el riesgo de seguridad, no es una buena idea excluir simplemente el riesgo cualitativo debido a las dificultades de medición.
D. El hecho de que la inversión en seguridad se trate como un centro de ganancias no afecta los cálculos del ROI.

https://engage.isaca.org/discussion/cism-qotd-monday-12th-february-2024

Question 10

Quien debe ser asignado como propietario de los datos confidenciales de los clientes que son utilizados unicamente por el departamento de ventas y almacenados en una base de datos central?
A. El departamento de ventas
B. El administrador de la base de datos
C. El director de informacion
D. El jefe del departamento de ventas

Answer 10

Respuesta:D
Explanation:
D. El jefe del departamento comercial.

El jefe del departamento de ventas es directamente responsable del uso de los datos dentro de su departamento y normalmente esta mas familiarizado con las necesidades y requisitos especificos del equipo de ventas. Tienen un gran interes en garantizar la confidencialidad, la integridad y el uso adecuado de los datos por parte de los miembros de su equipo. al asignar la propiedad de los datos al jefe del departamento de ventas, pueden establecer y hacer cumplir controles de acceso a los datos adecuados, implementar las medidas de seguridad necesarias y supervisar el cumplimiento de las normas de proteccion de datos pertinentes dentro de su departamento.
##Footnote
QOTD 25th de Marzo 2024

Question 11

La razon PRINCIPaL para que la alta direccion revise los incidentes de seguridad de la informacion es:
A. garantizar que se implementaron acciones correctivas adecuadas.
B. demostrar el compromiso de la direccion con el proceso de seguridad de la informacion.
C. evaluar el proceso de respuesta a incidentes para detectar deficiencias.
D. evaluar la capacidad del equipo de seguridad.

Answer 11

ANSWER:a
Explanation:
A. aunque el equipo de seguridad y el equipo de respuesta a incidentes tomaron algunas acciones correctivas, la revision de la gerencia establecera si es necesario tomar otras acciones correctivas. En ocasiones, esto dara como resultado mejoras en las politicas de seguridad de la informacion.
OJO solo llegan incidentes GORDOS … pensar en ejemplos donde se requiera de una respuesta de Direccion General a la prensa-Clientes-partes interesadas que es una respuesta de la dirección general….

B. La gerencia no revisara los incidentes de seguridad de la informacion simplemente para demostrar el compromiso de la gerenciA.

C. La gerencia no realizara una revision para detectar fallas, como examinar el proceso de respuesta a incidentes en busca de deficiencias.

D. La administracion no realizara una revision para detectar fallas, como evaluar la capacidad del equipo de seguridad.

Question 12

Q3
Que actividad BEST ayuda a garantizar que el personal contratado no obtenga acceso no autorizado a informacion confidencial?
A. Establecer cuentas para caducar.
B. Evite otorgar roles de administracion del sistema.
C. asegurese de que pasen con exito las verificaciones de antecedentes.
D. asegurese de que su acceso sea aprobado por el propietario de los datos.

Answer 12

ANSWER:B
Explanation:
A. Establecer una fecha de vencimiento es un elemento positivo, pero no impedira que el personal contratado obtenga acceso a informacion confidencial.
B. El personal contratado no debe recibir tareas laborales que les proporcionen usuarios avanzados u otras funciones administrativas que luego podrian usar para otorgar acceso a archivos confidenciales.
C. Requerir verificaciones de antecedentes es un elemento positivo, pero no impedira que el personal contratado obtenga acceso a informacion confidencial.
D. Hacer que el propietario de los datos apruebe el acceso es un enfoque marginalmente efectivo para limitar el acceso a informacion confidencial.

Question 13

Q4 Durante la revision de seguridad de los servidores de la organizacion, se descubrio que todos los ID de usuario podian acceder a un servidor de archivos que contenia datos confidenciales de recursos humanos (RRHH). Cual es el PRIMER paso que debe realizar el responsable de seguridad?
A. Copie archivos de muestra como pruebA.
B. Eliminar los privilegios de acceso a la carpeta que contiene los datos.
C. Informar de esta situacion al titular de los datos.
D. Capacitar al equipo de RR.HH. sobre el control adecuado de los permisos de archivos.

Answer 13

ANSWER:C
Explanation:
La respuesta A. es irrelevante ya que no existe ningun requisito forense establecido.
Todas las demas respuestas son relevantes, pero el PRIMER paso es C. Informar esta situacion al propietario de los datos.
Luego, el propietario de los datos identificara los requisitos para: B. Eliminar los privilegios de acceso a la carpeta que contiene los datos.
Luego podemos pasar a D. Capacitar al equipo de recursos humanos para controlar adecuadamente los permisos de archivos.
OJO si quitas los permisos (B) es posible que estés afectando al negocio ya que era el comportamiento deseado por RRHH… no era un error… era una feature… por eso informar al titular VERIFICA QUE LA INCIDENCIA DETECTADA ES REAL… que tambien puede ser que estemos equivocados y no sea un ERROR

Question 14

Q5
Cual de las siguientes tecnologias es probablemente la MaS util para contrarrestar amenazas persistentes avanzadas APT - APA?
A. Sistema de deteccion de intrusiones basado en anomalias
B. Sistema de gestion de eventos e informacion de seguridad (SIEM)
C. Herramientas automatizadas de escaneo de vulnerabilidades
D. Sistema integrado de gestion de red

Answer 14

ANSWER:B
Explanation:
B. Sistema de gestion de eventos e informacion de seguridad.SIEM en ingles
Los sistemas de gestion de eventos e informacion de seguridad recopilan y analizan datos de registro de varios dispositivos de red y seguridad, proporcionando monitoreo y correlacion de eventos en tiempo real.

Question 15

Q6
Cual de las siguientes opciones representaria una violacion de la cadena de custodia cuando una cinta de respaldo ha sido identificada como evidencia en una investigacion de fraude? La cinta era:
A. puesto bajo custodia de investigadores encargados de hacer cumplir la ley.
B. conservado en la biblioteca de cintas en espera de un analisis mas detallado.
C. sellado en un sobre firmado y encerrado en una caja fuerte bajo doble control.
D. entregado a investigadores independientes autorizados.

Answer 15

ANSWER:B
Explanation:
A. No es inusual que se envien pruebas a los investigadores encargados de hacer cumplir la ley y se implementaran los controles adecuados.
B. No estoy seguro de quien es la biblioteca de cintas y, en todo caso, habra una persona responsable de los datos para garantizar que no haya contaminacion de la evidenciA.
C. Esto establece un nivel de custodia en cadena y control dual que garantiza que la caja fuerte no se abrira sin que ambas partes esten alli.
D. Esto no es una violacion ya que se otorga autorizacion y se mantiene una cadena de custodiA.
La respuesta para mi es B.

Question 16

Q7
Cual de los siguientes informa MEJOR a la alta direccion sobre la eficacia general del programa de seguridad de la informacion de la empresa?
A. Informe de analisis de deficiencias/Brechas
B. Estadisticas de incidentes
C. Indicadores clave de riesgo KRI
D. Indicadores clave de desempeno KPI

Answer 16

ANSWER:D
Explanation:
A. El analisis de brechas muestra el estado actual versus el estado deseado y no comunica mucho sobre la efectividad general del programa de seguridad de la informacion de la empresA.
B. Las estadisticas de incidentes no son relevantes; hay mas en el programa de seguridad de la informacion que incidentes.
C. Los KRI estan ahi para medir el riesgo.
D. Los KPI son una medida de eficiencia y eficacia del programA.
Sin embargo, los KPI y los KRI estan relacionados de alguna manerA.

Question 17

Q8
En una investigacion forense, cual de los siguientes seria el factor MaS importante?
A. Funcionamiento de un proceso solido de gestion de incidentes
B. Identificacion de areas de responsabilidad
C. Participacion de las fuerzas del orden
D. Experiencia en recursos

Answer 17

ANSWER:D
Explanation:
D. Conocimiento de los recursos.
Experiencia de los recursos, se refiere al conocimiento, habilidades y experiencia de las personas involucradas en la realizacion de la investigacion. Las investigaciones forenses a menudo requieren experiencia especializada en diversos dominios, como informatica forense, finanzas forenses o psicologia forense, segun la naturaleza del caso. Los recursos capacitados y conocedores pueden recopilar y analizar evidencia de manera efectiva, interpretar hallazgos y presentar informacion precisa en un tribunal de justiciA.

Question 18

Q9
Cual de las siguientes capacidades es MaS importante para un proceso eficaz de gestion de incidentes? La capacidad de la empresa para:
A. detectar el incidente.
B. responder al incidente.
C. clasificar el incidente.
D. registrar el incidente.

Answer 18

ANSWER:A
Explanation:
**A. detectar el incidente. El orden es
* Planificacion - Preparacion
* Deteccion y Reporte
* Priorizacion-Clasificacion
* Análisis y Respuesta **

B. responder al incidente.
C. clasificar el incidente.
D. registrar el incidente.

LIBRO pagina 258 de Ed 16

Question 19

Q10
Se prefiere PRINCIPaLMENTE el uso de cifrado de clave publica con el fin de proporcionar claves de cifrado para un gran numero de personas porque:
A. El cifrado de clave publica es computacionalmente mas eficiente.
B. escalar es menos problematico que usar una clave simetricA.
C. El cifrado de clave publica es menos costoso de mantener que las claves simetricas para grupos pequenos.
D. El cifrado de clave publica proporciona una mayor seguridad de cifrado que las opciones de clave secretA.

Answer 19

NO FIABLE LA RESPUESTA ::: REPASAR

ANSWER:B
Explanation:
B. escalar es menos problematico que usar una clave simetricA. Necesito leer mas sobre el uso de claves publicas, pero puedo recordar que uno de los beneficios del uso de infraestructura de clave publica para entornos grandes fue que el escalado fue mas facil.

Question 20

Q11
al intentar la recuperacion de datos de un archivo especifico durante el analisis forense, un investigador seria desafiadoMaScuando:
A. todos los archivos en el directorio han sido eliminados.
B. la tabla de particiones en el disco ha sido eliminadA.
C. el contenido del archivo ha sido sobrescrito.
D. se ha realizado el formato de disco de alto nivel

Answer 20

ANSWER:C
Explanation:
A. todos los archivos en el directorio han sido eliminados. [No] El archivo todavia existe inalterado en el disco. La eliminacion solo elimina las entradas en la Tabla de asignacion de archivos (como una tabla de contenido en un libro) o equivalente.

Question 21

Q12
El factor que es MAS es probable que resulte en la identificacion de incidentes de seguridad es:
A. procesos efectivos de comunicacion e informes.
B. politicas claras que detallen los niveles de gravedad de incidentes.
C. capacidades del sistema de deteccion de intrusos.
D. capacitacion en concienciación de seguridad.

Answer 21

ANSWER:D
Explanation:
Con a habla de tener un procesamiento efectivo de comunicacion e informes, que es un gran conductor para obtener la informacion cuando se sospecha una violacion, pero tambien necesita personal que tenga seguridad conciencia para poder detectar y luego reportar el incidente.

asi que primero para mi es obtener la conciencia en su lugar, entonces las personas pueden comunicarse e informar de manera efectivA. La respuesta final es D

Question 22

Q13
Cual de los siguientes elementos es MaS importante al desarrollar una estrategia de seguridad de la informacion?
A. Objetivos definidos
B. Plazos de entrega
C. adopcion de un marco de control
D. Politicas completas

Answer 22

ANSWER:a
Explanation:
A. Sin objetivos definidos, la estrategia y el plan de seguridad de la informacion para alcanzar los objetivos no pueden desarrollarse, por lo que los objetivos definidos son el elemento mas importante.
los objetivos pueden venir de los objetivos empresariales
Tambien pueden venir del AARR de la empresa –> es incluso mas importantes …
… y deben estar orientados a lo que la empresa diga.
…

B. Los plazos de entrega son importantes pero no criticos en el proceso de desarrollo del documento de estrategiA.
C. La adopcion de un marco de control no es critica antes de desarrollar una estrategia de seguridad de la informacion.
D. Las politicas se desarrollan durante y despues de la implementacion de la estrategia; no son requisitos previos para desarrollar la estrategia de seguridad de la informacion.

Question 23

Q14
Cual de los siguientes es el MaS resultado importante de una estrategia de seguridad de la informacion?
A. Politicas y estandares consistentes
B. asegurar que el riesgo residual este en un nivel aceptable
C. Una mejora en el panorama de amenazas
D. Controles consistentes con los estandares internacionales

Answer 23

ANSWER:B
Explanation:
A. La consistencia del diseno de documentos facilita el mantenimiento, mientras que la consistencia del contenido del documento en todas las unidades y entidades asegura que los documentos se apliquen de manera uniforme; La coherencia no garantiza la alineacion con los objetivos comerciales.
B. El riesgo residual es el riesgo restante despues de que la administracion haya implementado una respuesta o tratamiento de riesgo. Un objetivo importante de una estrategia de seguridad es implementar controles rentables que garanticen que el riesgo residual permanezca dentro de los niveles aceptables de riesgo y tolerancia de la empresA.
C. La mayoria de las amenazas no pueden verse afectadas por la politica; sin embargo, la probabilidad de riesgo y el impacto pueden verse afectados.
D. Los controles estandar pueden o no ser relevantes para un objetivo comercial en particular.

Question 24

Q15
los MaS La forma util de describir los objetivos en la estrategia de seguridad de la informacion es a traves de:
A. atributos y caracteristicas del estado deseado.
B. objetivos generales de control del programa de seguridad.
C. mapear los sistemas de TI a procesos empresariales clave.
D. calculo de las expectativas de perdida anual.

Answer 24

ANSWER:a
Explanation:
A. La estrategia de seguridad generalmente cubrira una amplia variedad de problemas, procesos, tecnologias y resultados que se pueden describir mejor mediante un conjunto de caracteristicas y atributos deseados.
B. Los objetivos de control son una funcion de determinacion de riesgo aceptable y una parte del desarrollo de la estrategia, pero el estado deseado de la funcion de seguridad de la informacion es una mejor herramientA.
C. El mapeo de TI a procesos comerciales clave debe ocurrir como una parte de la implementacion de la estrategia, pero es una actividad operativa y no una forma de describir los objetivos de la estrategiA.
D. El calculo de las expectativas de perdida anual no es una forma de describir los objetivos en la estrategia de seguridad de la informacion.

Question 25

Q16
al configurar un esquema de clasificacion de informacion, el papel del propietario de la informacion es:
A. garantizar que todos los datos de un sistema de informacion esten protegidos de acuerdo con la politica de clasificacion.
B. determinar la clasificacion de la informacion a traves del alcance de la responsabilidad del propietario de la informacion.
C. identifique toda la informacion que requiere respaldo de acuerdo con su criticidad y clasificacion.
D. delegar la clasificacion de la informacion a los custodios de la informacion responsables.

Answer 25

ANSWER:B
Explanation:
A. El propietario del sistema de informacion es responsable de proteger los datos en un sistema de informacion de acuerdo con la politica de seguridad de la informacion y el mandato y la clasificacion de la informacion. La clasificacion se habria establecido antes.

B. El propietario de la informacion debe determinar la clasificacion de la informacion en el ambito de responsabilidad del rol y asegurarse de que la informacion se clasifique de manera consistente.

C. La identificacion de toda la informacion que requiere respaldo de acuerdo con la clasificacion ocurrira despues de que se haya configurado el esquema de clasificacion de informacion. asegurar la copia de seguridad de los datos es el papel del custodio de la informacion y el grupo de operaciones.

D. El propietario de la informacion puede delegar la clasificacion a otro gerente responsable, sin embargo, este no es el papel recomendado en la configuracion del esquema de clasificacion.

Question 26

Q17
Los programas de gestion de riesgos estan disenados para reducir el riesgo a:
A. un nivel que es demasiado pequeno para ser medible.
B. el punto en el que el beneficio excede el gasto.
C. un nivel que la empresa esta dispuesta a aceptar.
D. una tasa de rendimiento que iguala el costo actual del capital.

Answer 26

ANSWER:C
Explanation:
A. Reducir el riesgo a un nivel demasiado pequeno para medir no es practico y, a menudo, es prohibitivo.
B. Dependiendo de la preferencia de riesgo de una empresa, puede o no optar por perseguir la mitigacion de riesgos hasta el punto en que el beneficio es igual o superior al gasto.
C. El riesgo debe reducirse a un nivel que una empresa este dispuesta a aceptar.
D. Vincular el riesgo a una tasa de rendimiento especifica ignora los aspectos cualitativos del riesgo que tambien deben considerarse.

Question 27

Q18
Cual es una expectativa razonable de tener un programa de gestion de riesgos?
A. Elimina todo riesgo inherente.
B. Mantiene el riesgo residual a un nivel aceptable.
C. Implementa controles preventivos para cada amenazA.
D. Reduce el riesgo de control a cero.

Answer 27

ANSWER:B
Explanation:
A. La gestion de riesgos no pretende eliminar todos los riesgos identificados porque puede no ser rentable.
B. El objetivo de la gestion de riesgos es garantizar que todo el riesgo residual se mantenga en un nivel aceptable para la empresA.
C. La gestion de riesgos no pretende implementar controles para cada amenaza porque no todas las amenazas representan un riesgo, y no seria rentable.
D. El riesgo de control es el riesgo de que un control no sea efectivo; es un componente del programa, pero es poco probable que se reduzca a cero.

Question 28

Q19
Despues de una evaluacion de riesgos, se determina que el costo para mitigar el riesgo es mucho mayor que el beneficio que se derivarA. El gerente de seguridad de la informacion debe recomendar a la administracion empresarial que el riesgo sea:
A. transferido.
B. tratado.
C. aceptado.
D. terminado.

Answer 28

ANSWER:C
Explanation:
A. Transferir el riesgo es de beneficio limitado si el costo del control es mayor que el costo potencial de la manifestacion del riesgo.
B. El tratamiento del riesgo es de beneficio limitado si el costo del control es mayor que el costo del riesgo que se explotA.
C. Cuando el costo del control es mayor que el costo del riesgo, el riesgo debe ser aceptado.
D. Si el valor de la actividad es mayor que el costo potencial de compromiso, entonces terminar la actividad no seria el consejo apropiado.

Question 29

Q20
los MaS El papel apropiado para la alta gerencia en el apoyo a la seguridad de la informacion es:
A. evaluacion de proveedores que ofrecen productos de seguridad.
B. evaluacion del riesgo para la empresA.
C. aprobacion de declaraciones de politicas y financiacion.
D. desarrollar estandares suficientes para lograr un riesgo aceptable.

Answer 29

ANSWER:C
Explanation:
A. La evaluacion de los proveedores es responsabilidad del gerente de seguridad de la informacion; sin embargo, este no es un rol de la alta gerencia en el apoyo a la seguridad de la informacion. La alta gerencia puede estar involucrada en la evaluacion de proveedores en algunas empresas, pero su funcion principal es establecer la direccion comercial, la supervision y la gobernanza de la empresA.
B. La evaluacion del riesgo es responsabilidad del gerente de seguridad de la informacion y este no es un rol para la alta gerencia en el apoyo a la seguridad de la informacion.
C. Las politicas son una declaracion de intencion y direccion de la alta gerencia que debe ser aprobada por la alta gerenciA. Tambien debe proporcionar fondos suficientes para lograr los objetivos de seguridad de la informacion de la empresA. Este es el papel mas apropiado para la alta gerencia en el apoyo a la seguridad de la informacion.
D. El desarrollo de estandares que cumplan con la intencion de la politica es tipicamente una funcion del gerente de seguridad de la informacion y esto no es un papel para la alta gerencia en el apoyo a la seguridad de la informacion.

Question 30

Una unidad de negocios tiene la intención de implementar una nueva tecnología de una manera que viole los estándares de seguridad de la información existentes. ¿Qué acción inmediata debe tomar un gerente de seguridad de la información?
A. Hacer cumplir el estándar de seguridad existente.
B. Cambiar el estándar para permitir la implementación.
C. Realizar un análisis de riesgos para cuantificar el riesgo.
D. Realizar investigaciones para proponer el uso de una mejor tecnología.

Answer 30

PIENSA EN UN CASO REAL… Marketing se quiere montar un website “por su cuenta y riesgo” para gestion de clientes al que tengan acceso clientes.
¿Prohibir? … piensa que es posible que Marketing esté siguiendo los objetivos de negocio … NO PODEMOS PROHIBIR los OBJETIVOS DE NEGOCIO. No debemos ser el “Departamento del NO”.
=====
C es la respuesta correcta.
Justificación
A. Hacer cumplir las normas existentes es una buena práctica; sin embargo, los estándares deben examinarse continuamente a la luz de las nuevas tecnologías y el riesgo que presentan y los requisitos comerciales.
B. Las normas no deben cambiarse sin una evaluación de riesgos adecuada.
C. La resolución de conflictos de este tipo debe basarse en un sólido análisis de riesgos de los costos y beneficios de permitir o no una excepción al estándar. Nunca se debe tomar una decisión general sin realizar dicho análisis.
D. No sería trabajo del gerente de seguridad investigar tecnologías alternativas.

https://engage.isaca.org/discussion/cism-qotd-monday-1st-april-2024

Question 31

Para mejorar la precisión, ¿cuál de las siguientes es la acción MÁS importante a tener en cuenta para tener en cuenta la naturaleza subjetiva de la evaluación de riesgos?

A. Capacitar o calibrar al evaluador.
B. Utilice únicamente enfoques estandarizados.
C. Garantizar la imparcialidad del evaluador.
D. Utilice múltiples métodos de análisis.

Answer 31

PREVIO … un <> en su Primer AARR … ¿la opcion B, C ó D serían correctas? Yo consiedero que NO.

Y UN VETERANO con +10 años … mejora la precision del AARR con las opciones B,C, ó D??… minimamente, todo ayuda,

Creo que un VETERANO tiene mas precisión que un NOVATO aunque el Novato use B enfoques estandarizados, C sea imparcial, D utiliza multiples métodos de análisis.

A es la respuesta correcta.
Justificación
A. Los estudios demuestran que capacitar o calibrar al evaluador mejora la precisión y reduce la subjetividad de las evaluaciones de riesgos.
B. Un enfoque estandarizado es menos eficaz para prevenir la sobreestimación del riesgo.
C. La imparcialidad del evaluador es importante pero no compensa la tendencia a sobreestimar el riesgo.
D. Múltiples métodos de análisis pueden contribuir a la precisión, pero capacitar a los evaluadores de riesgos es el más eficaz.

Dominio 2 Gestión de riesgos de seguridad de la información Subdominio de conocimiento 2A3 Evaluación y análisis de riesgos

Question 32

Se han completado una evaluación de riesgos y un análisis de impacto Negocio (BIA) para una compra importante propuesta y un nuevo proceso para una empresa. Existe desacuerdo entre el gerente de seguridad de la información y el gerente del departamento del negocio quien será el responsable de evaluar los resultados y el riesgo identificado. ¿Cuál de los siguientes sería el MEJOR enfoque del gerente de seguridad de la información?

A. Aceptación de la decisión del gerente del departamento sobre el riesgo para la empresa.
B. Aceptación de la decisión del gerente de seguridad de la información sobre el riesgo para la sociedad
C. Revisión de la evaluación de riesgos con la dirección ejecutiva para obtener aportes finales
D. Crear una nueva evaluación de riesgos y BIA para resolver el desacuerdo

Answer 32

C es la respuesta correcta. Justificación
A. Este no es el mejor enfoque, ya que es probable que el gerente comercial se centre en hacer el negocio en lugar de gestionar el riesgo que representa para la empresa.
B. El gerente de seguridad de la información típico se centra en el riesgo y puede sobreestimarlo al considerar los peores escenarios en lugar de los eventos más probables.
C. La dirección ejecutiva estará en la mejor posición para considerar el panorama general y las compensaciones entre seguridad y funcionalidad para toda la empresa.
D. No hay indicios de que las evaluaciones sean inadecuadas o defectuosas de alguna manera; por lo tanto, no se justifica repetir el ejercicio.

Question 33

Las políticas de seguridad de la información de una empresa requieren que toda la información confidencial esté cifrada mientras se comunica con entidades externas. Una agencia reguladora insistió en que un informe de cumplimiento debe enviarse sin cifrado. El gerente de seguridad de la información debe:

A. Ampliar el programa de concientización sobre seguridad de la información para incluir a los empleados de la autoridad reguladora.
B. Enviar el informe sin cifrado bajo la autoridad de la agencia reguladora.
C. Iniciar un proceso de excepción para enviar el informe sin cifrado.
D. Negarse a enviar el informe sin cifrar.

Answer 33

La respuesta correcta es C
A. Aunque esta elección puede no ser posible, el gerente de seguridad de la información puede discutir y comprender el motivo para insistir en un informe no cifrado y tratar de convencer a la autoridad reguladora.

B. Si el gerente de seguridad de la información decide ignorar la solicitud de la autoridad reguladora (lo que puede no ser posible en muchas partes del mundo), es necesario que se realice una evaluación comparativa de riesgos.

C. El gerente de seguridad de la información debe evaluar primero el riesgo de enviar el informe a la autoridad reguladora sin cifrado. El gerente de seguridad de la información puede considerar canales de comunicación alternativos que abordarán el riesgo y preverán la excepción.

D. La política de seguridad de la información establece que la información confidencial debe ser encriptada cuando se envíe a entidades externas. El papel del gerente de seguridad de la información es encontrar una manera dentro de la política para completar la tarea. La mejor manera de hacerlo es iniciar una excepción.

Question 34

Los objetivos de control están MÁS estrechamente alineados con:
A. tolerancia al riesgo.
B. criticidad.
C. apetito por el riesgo.
D. sensibilidad.

Answer 34

Pista:: COBIT …https://es.wikipedia.org/wiki/Objetivos_de_control_para_la_informaci%C3%B3n_y_tecnolog%C3%ADas_relacionadas

C es la respuesta correcta.
Justificación
A. La tolerancia al riesgo es el nivel aceptable de desviación del riesgo aceptable y no se ve directamente afectada por los objetivos de control.
B. La criticidad es la importancia para el negocio y es una de las consideraciones cuando se establecen objetivos de control además del impacto potencial, la exposición, el costo y la viabilidad de posibles controles. Sin embargo, la criticidad juega un papel menor en las relaciones entre riesgo y control. La criticidad es más una necesidad para el negocio que un control para reducir el riesgo para el medio ambiente.
**C. El apetito por el riesgo es la cantidad de riesgo, en un nivel amplio, que una entidad está dispuesta a aceptar en el cumplimiento de su misión. Los objetivos de control se establecen de manera que los controles puedan diseñarse sobre esa base. **
D. La sensibilidad es el impacto potencial de la divulgación no autorizada, que es una de las consideraciones en los objetivos de control pero no es un control en sí mismo. La sensibilidad crea riesgo, que se compara con los controles establecidos para reducir ese riesgo, pero la sensibilidad es un marcador de identificación o clasificación de datos para un control y no define un riesgo aceptable.

Los objetivos de control se refieren a las metas u objetivos específicos que una organización pretende alcanzar mediante la implementación de medidas de control. Estos objetivos se derivan del apetito de riesgo de la organización, que es el nivel de riesgo que está dispuesta a aceptar en la consecución de sus objetivos estratégicos.

Question 35

¿Cuál de las siguientes técnicas incluiría PRINCIPALMENTE los métodos y prácticas destinados a revelar la intención y el alcance de un ciberataque contra una empresa?

Which of the following techniques would PRIMARILY include the methods and practices aimed to unveil the intention and extent of a cyberattack against an enterprise?

A. Vulnerability assessment
B. Red team exercise
C. Post-incident review
D. Forensic analysis

A. Evaluación de la vulnerabilidad
B. Ejercicio del equipo rojo
C. Revisión posterior al incidente DFIR
D. Análisis forense

Answer 35

¡Buen trabajo a todos con sus respuestas! D es la respuesta correcta. A. Una evaluación de vulnerabilidad identifica las debilidades del sistema, no la intención ni el alcance de un incidente.
B. Un ejercicio del equipo rojo es una réplica de un ataque en un entorno controlado. Sin embargo, no ayudaría a determinar el impacto de un ataque en curso.
C. La revisión posterior al incidente es el último paso en una respuesta a un incidente y es más probable que revele lecciones aprendidas que revelar la intención y el alcance de un ciberataque.
D. El análisis forense desempeña un papel vital en la investigación de un ciberataque. Incluye analizar la intrusión y resumir los hallazgos. Otras opciones, como la evaluación de vulnerabilidades, la revisión posterior al incidente y los ejercicios del equipo rojo, ayudan a prevenir un ciberataque, pero no son útiles después.

https://engage.isaca.org/discussion/cism-qotd-monday-13th-may-2024

Question 36

Una vez definido el objetivo de realizar una revisión de seguridad, el SIGUIENTE paso para el gerente de seguridad de la información es determinar:

A. Restricciones.
B. Enfoque.
C. Alcance.
D. Resultados.

Answer 36

C es la respuesta correcta.
Justificación
A. Se deben determinar restricciones para comprender los límites de la revisión, pero este no es el siguiente paso
B. El enfoque debe definirse después del alcance y las limitaciones.
C. Los resultados son los últimos después del alcance, las limitaciones y el enfoque.

Question 37

Un gerente de seguridad de la información que revisa el acceso de los usuarios a una aplicación empresarial crítica para garantizar que los usuarios tengan derechos alineados con sus responsabilidades laborales observa muchos casos de acceso excesivo. ¿Cuál de las siguientes personas sería el contacto PRIMARIO para informar sobre este riesgo?
A. Propietario de la aplicación
B. Administrador de usuarios
C. Responsable de seguridad
D. Administrador de base de datos

Answer 37

A es la respuesta correcta.
Justificación
A. Se debe informar al propietario de la aplicación sobre cualquier riesgo potencial para tomar las decisiones adecuadas.
B. El administrador de usuarios es responsable del acceso a la aplicación; sin embargo, el propietario de la aplicación es el contacto principal en este caso.
C. No se informará inmediatamente a seguridad sobre este riesgo a menos que así lo determine el propietario de la aplicación.
D. El administrador de la base de datos es responsable de revocar el acceso si así lo determina el propietario de la aplicación.

Question 38

¿Cuál es el atributo MÁS esencial de un indicador clave de riesgo (KRI) eficaz? El KRI:

A. es preciso y confiable.
B. proporciona métricas cuantitativas.
C. indica la acción requerida.
D. es predictivo de un evento de riesgo.

PISTA –> Pag 126 manual español PUNTO 2.6.2

Answer 38

D es la respuesta correcta. Justificación
A. Los indicadores clave de riesgo (KRI) generalmente señalan el riesgo en desarrollo, pero no indican cuál es el riesgo real. Esta opción no es un atributo esencial ya que los KRI no son precisos ni confiables.
B. Los KRI normalmente no proporcionan métricas cuantitativas sobre el riesgo.
C. Los KRI no indicarán que se requiere ninguna acción en particular aparte de investigar más a fondo.
D. El atributo más esencial es que un KRI debe ser predictivo e indicar que un riesgo se está desarrollando o cambiando para mostrar que se necesita una investigación para determinar la naturaleza y el alcance de un riesgo.

Question 39

Nombra SEIS beneficios/Resultados de la GOBERNANZA

Answer 39

ACRÓNIMO: AE-GR-EV-OR-MD-I

El objetivo de la gobernanza es desarrollar y gestionar un programa de seguridad que logre estos resultados:
1.Alineación estratégica: alinear los requisitos de seguridad con los requisitos empresariales, respalda la estrategia y los objetivos comerciales.
2.Gestión de riesgos: gestionar el riesgo a un nivel aceptable
3.Entrega de valor: las inversiones en seguridad deben gestionarse para optimizar el apoyo a los objetivos comerciales y ofrecer un valor claro a la organización; deben existir estándares y prácticas claras, líneas de base y mejoras continuas del programa;
4.Optimización de recursos: arquitecturas y procesos de seguridad de documentos. Se deben desarrollar arquitecturas de seguridad para definir y utilizar infraestructuras para lograr los objetivos de seguridad de manera eficiente. Esto promueve el reconocimiento de las necesidades de recursos.
5.Medición del desempeño: seguimiento e informes para garantizar que se alcancen los objetivos, es decir, métricas.
6.Integración del proceso de aseguramiento: integrar todas las funciones con la seguridad

¿Qué tan bien sabías esto? puntua BAJO para que te vuelva a salir la pregunta.

Question 40

¿Cuál de las siguientes opciones justifica MEJOR un programa de seguridad de la información?
A. El impacto en los activos críticos de TI
B. Un caso de negocio detallado
C. Aprobación del comité directivo
D. Aceptación del usuario

PISTA: Mira esta otra traduccion de la pregunta…
Cual de las siguientes opciones nos sirve para JUSTIFICAR MEJOR un programa de Seguridad de la Informacion?

Answer 40

Al pone JUSTIFICAR … estamos justificando ante la Alta direccion

A- NO puede ser … el impacto en IT no tiene por qué tener una trazabilidad “facil” hacia los objetivos de negocio que se incumplirían.

B–> un caso de negocio justifica … ya que incluye supuestos en los cuales los objetivos empresariales se ven comprometidos

C- NO … es lo que buscamos que nos lo apruebe el comité directivo, pero tenemos que justificar esa INVERSION (no GASTO, INVERSION)

D- NO… la aceptación del usuario NO justifica una inversión en un programa de seguridad de la informacion. No está trazado con respecto a los objetivos empresariales.

B es la respuesta correcta
A. El impacto en los activos de TI es un componente importante pero por sí solo es insuficiente para justificar el programa de seguridad de la información.

B. **Un caso de negocios (Business Case) ** contiene documentación de la justificación para realizar una inversión comercial, utilizada tanto para respaldar una decisión comercial sobre si se debe proceder con la inversión como una herramienta operativa para respaldar la gestión de la inversión a lo largo de su ciclo de vida económico completo. Un caso de negocio proporcionará la justificación del programa de seguridad de la información al demostrar los beneficios de su implementación.

C. La aprobación del comité directivo valida la justificación contenida en el caso de negocio.

D La aceptación del usuario es muy relevante durante el ciclo de vida del desarrollo del sistema; sin embargo, no es aconsejable confiar en la aceptación del usuario como justificación para un programa de seguridad, particularmente porque la seguridad y el rendimiento a menudo chocan.

https://engage.isaca.org/discussion/cism-qotd-wednesday-22nd-may-2024

https://engage.isaca.org/discussion/cism-qotd-wednesday-22nd-may-2024#bmec0edace-a96b-4255-bd18-49b1f0631e98

Question 41

¿Cuál es el beneficio PRINCIPAL de tener un plan de comunicación actualizado cuando ocurre un incidente?

A. Proporciona orientación sobre cómo y qué comunicar a las autoridades reguladoras.
B. Orienta al personal sobre cuándo invocar el plan de continuidad del negocio.
C. Permite al personal saber qué se debe comunicar a las partes interesadas.
D. Proporciona las plantillas necesarias para la comunicación de incidentes.

Answer 41

C es la respuesta correcta
Por favor vea a continuación las razones
A. La orientación detallada sobre la comunicación con las autoridades reguladoras es solo uno de los muchos tipos relevantes de información documentada en el plan de comunicación. Si no está claro quién debe comunicar qué, a quién y cómo, el plan es ineficaz.
B. La invocación del plan de continuidad del negocio (BCP) de la empresa puede o no estar documentado en el plan de comunicación.
C. Uno de los objetivos principales de un plan de comunicación es informar a los miembros del personal sobre sus funciones y responsabilidades, incluido a quién contactar y cómo comunicarse con ellos durante un incidente. Mantener el plan de comunicación actualizado garantizará que esta información esté actualizada en caso de que ocurra un incidente.
D. Las plantillas para la comunicación de incidentes son solo una de las muchas piezas de información relevantes documentadas en el plan de comunicación. Sin embargo, no son útiles si no está claro quién debe usar las plantillas y cuándo.

https://engage.isaca.org/discussion/cism-qotd-thursday-15th-may-2024

Question 42

¿Cuál de las siguientes acciones se debe realizar PRIMERO después de un ataque de denegación de servicio (DoS)?

A. Restaurar servidores desde medios de respaldo almacenados fuera del sitio.
B. Realizar una evaluación para determinar el estado del sistema.
C. Realizar un análisis de impacto del corte.
D. Aislar la subred protegida.

Answer 42

B es la respuesta correcta. Por favor vea a continuación las razones
A. Es posible que los servidores no se hayan visto afectados, por lo que no es necesario en este momento reconstruir ningún servidor.
B. Se debe realizar una evaluación para determinar el estado general del sistema y si se produjo algún daño permanente.
C. Un análisis de impacto de la interrupción no proporcionará ningún beneficio inmediato.
D. El aislamiento de la subred filtrada se realiza a posteriori y no proporcionará ningún beneficio.

https://engage.isaca.org/discussion/cism-qotd-friday-17th-may-2024

Question 43

¿Cuál de las siguientes medidas es el elemento disuasorio MÁS eficaz contra el personal descontento que abusa de sus privilegios?

A. Estrategia de defensa en capas
B. Monitoreo del registro de auditoría del sistema
C. Política de uso aceptable firmada
D. Sistemas de alta disponibilidad

Answer 43

Sin confirmar C es DISUASORIO
Confirmado es c

C es la respuesta correcta.

Por favor vea a continuación las razones

R. Una estrategia de defensa por capas sólo impediría aquellas actividades que están fuera de los privilegios del usuario.

B. El monitoreo del registro de auditoría del sistema se realiza a posteriori y puede no ser efectivo.

C. Una política de uso aceptable firmada suele ser un elemento disuasorio eficaz contra actividades maliciosas debido al potencial declarado de terminación del empleo y/o acciones legales que se toman contra el individuo.

D. Los sistemas de alta disponibilidad no disuaden al personal de abusar de sus privilegios.

https://engage.isaca.org/discussion/cism-qotd-saturday-18th-may-2024-1

Question 44

¿Cuál es el atributo más importante de una buena métrica de seguridad de la información?
A. Tiene significado para el destinatario.
B. Es confiable y preciso.
C. Afecta la productividad.
D. Es escalable y rentable.

¿quien es primero … la gallina ó el huevo? … que es mas importante…

Answer 44

A es la respuesta correcta.
A. La información proporcionada por métricas que no son significativas para el destinatario tiene poco valor.
B. La confiabilidad y la precisión son criterios importantes para seleccionar métricas de seguridad de la información, pero primero se debe determinar que la información proporcionada ayuda a los destinatarios a realizar sus tareas.
C. El impacto en la productividad debe equilibrarse con la utilidad de la métrica; sin embargo, es una consideración válida.
D. La rentabilidad debe equilibrarse con la utilidad de la métrica; sin embargo, es una consideración válida. La escalabilidad de las métricas, en la mayoría de las situaciones, es más un criterio deseable que un criterio de selección.
https://engage.isaca.org/discussion/cism-qotd-tuesday-14th-may-2024

Question 45

¿Cuál de las siguientes técnicas incluiría PRINCIPALMENTE los métodos y prácticas destinados a revelar la intención y el alcance de un ciberataque contra una empresa?
A. Evaluación de la vulnerabilidad
B. Ejercicio del equipo rojo
C. Revisión posterior al incidente
D. Análisis forense

Answer 45

D es la respuesta correcta.
A. Una evaluación de vulnerabilidad identifica las debilidades del sistema, no la intención ni el alcance de un incidente.
B. Un ejercicio del equipo rojo es una réplica de un ataque en un entorno controlado. Sin embargo, no ayudaría a determinar el impacto de un ataque en curso.
C. La revisión posterior al incidente es el último paso en una respuesta a un incidente y es más probable que revele lecciones aprendidas que revelar la intención y el alcance de un ciberataque.
D. El análisis forense desempeña un papel vital en la investigación de un ciberataque. Incluye analizar la intrusión y resumir los hallazgos. Otras opciones, como la evaluación de vulnerabilidades, la revisión posterior al incidente y los ejercicios del equipo rojo, ayudan a prevenir un ciberataque, pero no son útiles después.

https://engage.isaca.org/discussion/cism-qotd-monday-13th-may-2024

Question 46

La empresa “PimPamPimpo” de Barcelona ha implementado un nuevo sistema de acceso a sus sistemas de IT. Ahora los usuarios deben poner usuario/contraseña y adicionalmente un PIN único para acceder a ciertos recursos.
¿como se denomima a este tipo de autenticación?

A) Autenticación Basada en Roles.
B) Autenticación Multimodal.
C) Autenticación de Dos Factores (2FA)
D) Autenticación de Un Factor (1FA)

Answer 46

¿TE PILLE? … ojo que es pregunta trampa.

Para tener DOBLE FACTOR deben ser de DOS factores de dos categorías distintas.
–> Algo que SÉ (usuario, contraseña, pin unico…)
–> Algo que TENGO (movil (SMS,app) , certificado,…)
–> Algo que ERES (huella)

Tanto el PIN, como el usuario y la contraseña son datos que SABEMOS … son todo datos que SABEMOS … luego es Autenticacion de UN FACTOR.

Respuesta D of Delta

Question 47

Un atacante logra acceder al CORE de nuestro sistema de atención a clientes y logra modificar el NOMBRE DEL USUARIO de un grupo de clientes de la plataforma. Los clientes al intentar loguearse reciben el mensaje Usuario Incorrecto.
En este escenario, el impacto a la empresa de este ciberataque es * principalmente * hacia:

A) La Autenticacion
B) La Integridad
C) La Autorizacion
D) La Disponibilidad

Answer 47

El proposito de la pregunta es pensar en el IMPACTO FINAL.

Se produce una INDISPONIBILIDAD del sistema. Ese es el impacto que tiene en la empresa.

No pregunta la vulnerabilidad que aprobechó el atacante ni si cambio la integridad de los datos. Pregunta por el impacto final hacia el negocio. ¿QUE SUFRE EL NEGOCIO?
Fallo de DISPONIBILIDAD (a parte del miedo de tener el sistema bulnerable y que pueda volver a pasar)

Question 48

Se completó una evaluación de riesgos y un análisis de impacto comercial (BIA) para una compra importante propuesta y un nuevo proceso para una organización. Existe desacuerdo entre el gerente de seguridad de la información y el gerente del departamento comercial quien será el responsable de evaluar los resultados y el riesgo identificado. ¿Cuál de los siguientes sería el MEJOR enfoque del gerente de seguridad de la información?

A: Aceptación de la decisión del gerente comercial sobre el riesgo para la sociedad
B: Aceptación de la decisión del gerente de seguridad de la información sobre el riesgo para la corporación
C: Revisión de la evaluación de riesgos con la dirección ejecutiva para obtener aportes finales
D: Crear una nueva evaluación de riesgos y BIA para resolver el desacuerdo

Answer 48

C –> ¡Correcto! La dirección ejecutiva estará en la mejor posición para considerar el panorama general y las compensaciones entre seguridad y funcionalidad en toda la organización.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 49

¿Quién es responsable de garantizar que la información esté categorizada y que se tomen medidas de protección específicas?
Who is accountable for ensuring that information is categorized and that specific protective measures are taken?

A: El oficial de seguridad. Security Owner
B: Alta dirección
C: El usuario final
D: El custodio. The custodian

Answer 49

A INCORRECTA El oficial de seguridad apoya e implementa la seguridad de la información para lograr los objetivos de la alta dirección.
B CORRECTA –>Se delega la administración rutinaria de todos los aspectos de la seguridad, pero la alta dirección debe conservar la responsabilidad general.
C INCORRECTA El usuario final no realiza categorización.
D INCORRECTA El custodio apoya e implementa medidas de seguridad de la información según lo indicado.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 50

La comunicación anormal del servidor desde dentro de la organización hacia partes externas puede monitorearse para:

A: registrar el rastro de amenazas persistentes avanzadas (APT)
B: evaluar la resiliencia del proceso de las operaciones del servidor
C: verificar la eficacia de un sistema de detección de intrusos
D: apoyar un marco de no repudio en el comercio electrónico

Answer 50

A –> La característica más importante de los ataques dirigidos, como se ve en las amenazas persistentes avanzadas, es que el malware envía información en secreto a un servidor de comando y control. Por lo tanto, la supervisión de las comunicaciones salientes del servidor que no siguen rutas predefinidas será el mejor control para detectar dichos eventos de seguridad.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 51

¿Cuál de los siguientes métodos de autenticación impide la repetición de la autenticación?
A: Implementación de hash de contraseña
B: Mecanismo de desafío/respuesta
C: Uso de cifrado de privacidad equivalente por cable
D: Autenticación básica del Protocolo de transferencia de hipertexto

Answer 51

B –> CORRECTA Un mecanismo de desafío/respuesta evita ataques de repetición enviando un desafío aleatorio diferente en cada evento de autenticación. La respuesta está ligada a ese desafío.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 52

Las actividades de gestión de riesgos relacionadas con TI son MÁS efectivas cuando:
A: tratado como un proceso distinto
B: realizado por el departamento de TI
C: integrado dentro de los procesos de negocio
D: comunicado a todos los empleados

Answer 52

C –> Correcta La TI es un facilitador de las actividades comerciales y, para ser eficaz, debe integrarse en los procesos comerciales.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 53

¿Cuál de las siguientes es la MEJOR manera de detectar un intruso que penetra con éxito en una red antes de que se inflija un daño significativo?
A: Realice pruebas de penetración periódicas
B: Establecer líneas de base mínimas de seguridad
C: Implementar la configuración predeterminada del proveedor
D: Instalar un honeypot en la red

Answer 53

D –> Los Honeypots alejan a los piratas informáticos de los sistemas y archivos confidenciales. Debido a que los honeypots son monitoreados de cerca, es más probable que se detecte la intrusión antes de que se inflija un daño significativo.

Question 54

¿Cuál de las siguientes presenta la MAYOR amenaza a la seguridad de un sistema de planificación de recursos empresariales (ERP)?
A: Los informes ad hoc del usuario no se registran
B: El tráfico de red se realiza a través de un único conmutador switch.
C: No se han aplicado los parches de seguridad del sistema operativo
D: La seguridad de la base de datos tiene como valor predeterminado la configuración de ERP

Answer 54

C CORRECTA –> El hecho de que no se hayan aplicado parches de seguridad del sistema operativo es una debilidad grave.
D –> INCORRECTA La seguridad de la base de datos que se ajusta de forma predeterminada a la configuración del sistema de planificación de recursos empresariales no es tan importante.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 55

8.-En un escenario de ingeniería social, ¿cuál de las siguientes opciones reducirá MÁS la posibilidad de que un individuo no autorizado obtenga acceso a los recursos informáticos?
A: Implementación de enmascaramiento de contraseñas en pantalla
B: Llevar a cabo programas periódicos de concientización sobre la seguridad
C: Aumentar la frecuencia de cambios de contraseña
D: Exigir que las contraseñas se mantengan estrictamente confidenciales

Answer 55

B –> La mejor manera de mitigar la ingeniería social es mediante la capacitación periódica en materia de seguridad para los usuarios que puedan ser el objetivo de tal intento.

ISACA Free CISM Practice Quiz
https://www.isaca.org/credentialing/cism/cism-practice-quiz

Question 56

La revisión posterior a un incidente de seguridad reveló que había un proceso que no fue monitoreado. Como resultado, se ha implementado la funcionalidad de monitoreo. ¿Cuál de las siguientes cosas se puede esperar MEJOR de esta remediación?

A: Reducción de la duración total del incidente
B: Aumento de la tolerancia al riesgo
C: Mejora en identificación
D: Facilitación de la escalada

Answer 56

C –>Correcta Cuando no se monitorea un proceso clave, esa falta de monitoreo puede llevar a que una vulnerabilidad de seguridad o una amenaza no se descubra, lo que resulta en un incidente de seguridad. Una vez que se implemente un monitoreo consistente, mejorará la identificación de vulnerabilidades y amenazas.
¡¡¡ De aqui aprendermos la palabra MONITORIZAR no solo es KPI … tambien es poner en un SIEM un Servidor ó hacer un análisis de vulnerabilidades periódico !!!

B –> INCORRECTO La tolerancia al riesgo es una determinación hecha por la alta dirección con base en los resultados de un análisis de riesgos y la cantidad de riesgo que la alta dirección cree que la organización puede gestionar de forma eficaz. La tolerancia al riesgo no cambiará a partir de la implementación de un proceso de seguimiento.

Question 57

Para determinar cómo ocurrió una violación de seguridad en la red corporativa, un gerente de seguridad examina los registros de varios dispositivos. ¿Cuál de los siguientes facilita MEJOR la ​​correlación y revisión de estos registros?

A: servidor de base de datos
B: servidor de nombres de dominio
C: servidor de hora
D: servidor proxy

Answer 57

C Correcta Para reconstruir con precisión el curso de los acontecimientos se necesita una referencia temporal, y ésta la proporciona el servidor horario.

D INCORRECTA El servidor proxy no ayudaría en la correlación y revisión de los registros.

Question 58

Una institución financiera planea asignar recursos de seguridad de la información a cada una de sus divisiones comerciales. ¿En qué áreas deberían centrarse las actividades de seguridad?
A. Áreas donde se aplican requisitos regulatorios estrictos
B. Áreas que requieren el objetivo de tiempo de recuperación más corto
C. Áreas que pueden maximizar el retorno de la inversión en seguridad
D. Áreas donde la probabilidad y el impacto de las amenazas son mayores

Answer 58

Es una pregunta complicada de responder es importante LEER el argumentando de TODAS las respuestas.
D es la respuesta correcta
A. Si bien los requisitos regulatorios deben ser considerados, puede haber otras áreas donde la amenaza y el impacto al negocio sea mayor. Un Incumplimiento regulatorio … suele ser multa, incluso cierre de empresa, pero ¿habrá amenazas mas importantes para el negocio?… en determinadas ocasiones una multa puede ser “mejor” que otras opciones (que pueden implicar un cierre del negocio)
B. El RTO es muy importante desde una perspectiva de Continuidad de Negocio, pero solo ilustra una parte del FrameWork de seguridad. El cumplimiento regulatorio tambien tiene iniciativas sobre el RTO.
C. Aplicar seguridad solo a la linea de negocio mas rentable NO garantiza la supervivencia de la empresa ante un ataque.
D. Las actividades de seguridad deben focalizarse en las áreas donde las amenazas, la probabilidad y el impacto son mayores… que para eso hacemos un AARR y un BIA

https://engage.isaca.org/discussion/cism-qotd-wednesday-31th-january-2024

Question 59

Un centro de operaciones de seguridad detectó un intento de inyección de lenguaje de consulta estructurado pero no pudo determinar si tuvo éxito.
¿Cuál de los siguientes recursos debería abordar el gerente de seguridad de la información para evaluar el posible impacto?

A.Equipo de soporte de aplicaciones
B.Propietario del proceso de negocio
C.Equipo de gestión de red
D. Administrador del sistema

Answer 59

La inyección de lenguaje de consulta estructurado (SQL) es un ataque basado en aplicaciones. Debido a que el centro de operaciones de seguridad detectó un intento de inyección SQL y no pudo determinar si tuvo éxito, el gerente de seguridad de la información debe comunicarse con el grupo de soporte de aplicaciones que tiene acceso a los datos para identificar el impacto.

El propietario del proceso empresarial puede ayudar al grupo de soporte de aplicaciones a determinar el impacto general, una vez que se haya determinado si el ataque ha tenido éxito.

Dado que la inyección SQL es un ataque basado en aplicaciones, el equipo de administración de la red no es el mejor recurso para evaluar el posible impacto.

El administrador del sistema no es el mejor recurso para evaluar el posible impacto, pero puede ayudar al equipo de soporte de aplicaciones y con las actividades de respuesta a incidentes, en caso de que el ataque haya tenido éxito.

BD Preguntas 2024 Reunion 5 junio 2024

Question 60

Las decisiones relativas a la seguridad de la información están MEJOR respaldadas por:

A. Análisis estadístico.
B. Asesoramiento de expertos.
C. Evaluación comparativa.
D. Métricas efectivas.

Answer 60

A.- Un análisis estadístico de las métricas puede resultar útil, pero sólo si las métricas subyacentes son sólidas.
B.- El asesoramiento de expertos puede resultar útil, pero las métricas eficaces son una mejor indicación.
C.- Por lo general, otras empresas solo brindarían alguna orientación, pero las decisiones deben basarse en métricas efectivas.
D.- Las métricas efectivas son esenciales para proporcionar la información necesaria para tomar decisiones. Las métricas son una entidad cuantificable que permite medir el logro de una meta de proceso.

BD Preguntas 2024 REunión 5 Junio 2024

Question 61

¿Cuál de las siguientes tecnologías se utiliza para garantizar que un individuo que se conecta a una red interna corporativa a través de Internet no sea un intruso disfrazado de usuario autorizado?

A. Sistema de detección de intrusiones
B. Filtrado de paquetes de direcciones IP
C. Autenticación de dos factores
D. Firma digital incorporada

Answer 61

C es la respuesta correcta.
Justificación:

A.- Se puede utilizar un sistema de detección de intrusiones para detectar un ataque externo, pero no ayudaría a autenticar a un usuario que intenta conectarse.

B .- El filtrado de paquetes de direcciones IP protegería contra la suplantación de una dirección interna pero no proporcionaría una autenticación sólida.

C.- La autenticación de dos factores proporciona un mecanismo de seguridad adicional al que proporcionan las contraseñas únicamente. Esto lo utilizan con frecuencia los usuarios móviles que necesitan establecer conectividad a una red corporativa.

D.- Las firmas digitales garantizan que la información transmitida pueda atribuirse al remitente designado.

BD Preguntas 2024 REunión 5 Junio 2024

Question 62

El gerente de seguridad de la información (information security manager) se dio cuenta de que la adquisición propuesta de una nueva aplicación de TI cambiará los niveles de riesgo para la función comercial. El PRIMER curso de acción es:

A. Informar los cambios en los niveles de riesgo al jefe de la función de negocio (report the changes in risk levels to the business function head).
B. Detener la adquisición hasta implementar controles mitigantes.
C. Diseñar e implementar proactivamente controles para mitigar el riesgo.
D. Contratar a un tercero para reevaluar el riesgo.

Atentoa a la traducción

Answer 62

SIN RESPUESTA … (to be continued)

Question 63

Un gerente de seguridad de la información que revisa el acceso de los usuarios a una aplicación empresarial crítica para garantizar que los usuarios tengan derechos alineados con sus responsabilidades laborales observa muchos casos de acceso excesivo. ¿Cuál de las siguientes personas sería el contacto PRIMARIO para informar sobre este riesgo?

A.Propietario de la aplicación
B.Administrador de usuarios
C. Gerente de seguridad
D. Administrador de base de datos

Answer 63

A es la respuesta correcta.
Justificación

Se debe informar al propietario de la aplicación sobre cualquier riesgo potencial para tomar las decisiones adecuadas. Es posible que sea una funcion deseada por el propietario imprescindible para su área… si lo quitamos sin preguntar podemos estar haciendo que no logre sus objetivos de negocio… Nosotros iriamos CONTRA el negocio y eso NO PUEDE SER.

El administrador de usuarios es responsable del acceso a la aplicación; sin embargo, el propietario de la aplicación es el contacto principal en este caso.

La seguridad no sería informada inmediatamente de este riesgo a menos que así lo determine el propietario de la aplicación.

El administrador de la base de datos es responsable de revocar el acceso si así lo determina el propietario de la aplicación.

Question 64

¿Cuál de las siguientes es la MEJOR manera de borrar información confidencial almacenada en cintas magnéticas?

A.Realizar un formateo de bajo nivel
B.Reescritura con ceros
C.Quemándolos
D.Desmagnetizarlos

Answer 64

La mejor manera de borrar la informacion no es la manera que mejor impida una recuperacion de los datos … la mejor manera de que no se pueda nunca recuperar los datos seguro que es QUEMAR la cinta.

D es la respuesta correcta.
Justificación
Realizar un formateo de bajo nivel puede ser adecuado, pero es un proceso lento y, con las herramientas adecuadas, aún se pueden recuperar los datos.

Reescribir con ceros no sobrescribirá la información ubicada en el espacio libre del disco. (ademas se necesitan 30 formateos a bajo nivel para impedir su recuperacion “actualmente”)

La quema destruye las cintas y no permite su reutilización. Luego NO es la mejora forma.

Desmagnetizar las cintas magnéticas eliminaría rápidamente toda la información porque los dominios magnéticos están completamente codificados y no permitirían su reutilización.

Question 65

La MONITORIZACION ha señalado un incumplimiento de seguridad. ¿Cuál es la acción MÁS apropiada?

A. Validar el incumplimiento.
B. Escalar el incumplimiento a la gerencia.
C. Actualizar el registro de riesgos.
D. Afinar el umbral del indicador clave de riesgo.

“monitoreo” se entiende el proceso de monitorizacion de los sistemas …

Answer 65

TO BE CONTINUED…
Repasate el tema de gestion de incidentes … ¿qué es lo primerico que se hace cuando se levanta un incidente de seguridad? … pues eso.
Posiblemente sea A –> VALIDAR.

Question 67

¿Cuál de los siguientes debería utilizar PRINCIPALMENTE un gerente de seguridad de la información al proponer la implementación de una solución de seguridad?
A. Informe de evaluación de riesgos
B. Informe de evaluación técnica
C. Caso de negocio
D. Necesidades presupuestarias

Answer 67

**C es la respuesta correcta. **
Pero es IMPORTANTE leer bien el por qué NO es A/B/D… ya que nos ilustra sobre el contenido un BS (Business Case)
OJO que nombra “informes” no un AARR, solo el informe de resumen/conclusiones del AARR.

Justificación
A. El informe de evaluación de riesgos proporciona la justificación del caso de negocio para implementar una solución de seguridad particular. –> El AARR es PARTE del Business Case.

B. El informe de evaluación técnica proporciona información complementaria para el caso de negocio.–> Tambien es PARTE del BC

C. El gerente de seguridad de la información debe tener conocimiento del desarrollo de casos de negocios para ilustrar los costos y beneficios, o la propuesta de valor, de la solución de seguridad

D. Los requisitos presupuestarios proporcionan parte de la información requerida en el caso de negocio. –> Es PARTE del BC.

https://engage.isaca.org/discussion/cism-qotd-thursday-23rd-may-2024

Domain 1 Information Security Governance
Knowledge Subdomain 1B3 Strategic Planning (e.g., budgets, resources, business case)

Question 68

Obtener apoyo de la alta dirección para establecer un sitio cálido se puede lograr MEJOR mediante:
A. establecer una evaluación periódica de riesgos.
B. promover requisitos regulatorios.
C. desarrollar un caso de negocio.
D. desarrollar métricas efectivas.

Answer 68

Otra pregunta sobre los Business Case… ¿por qué? … porque en el libro no se explican correctamente … es un conocimiento que se obtiene de Q&A.

C es la respuesta correcta.
Justificación
A. Se debe realizar una evaluación de riesgos para elaborar un caso de negocios para obtener apoyo de la gerencia, pero la evaluación de riesgos por sí sola no será efectiva.
B. Informar a la gerencia sobre los requisitos regulatorios puede ayudar a obtener apoyo para las iniciativas, pero dado que muchas empresas no cumplen con las regulaciones, es poco probable que sea suficiente.
**C. Un caso de negocio completo, incluido un análisis de costo-beneficio, será más persuasivo para la gerencia. **
D. Unas buenas métricas que garanticen que las iniciativas cumplen con los objetivos de la organización serán útiles, pero probablemente no sean suficientes para obtener el apoyo de la dirección.

https://engage.isaca.org/discussion/cism-qotd-friday-24th-may-2024

Domain 1 Information Security Governance
Knowledge Subdomain 1B3 Strategic Planning (e.g., budgets, resources, business case)

Question 69

3 - Information Security Program

¿Cuál de las siguientes medidas es el elemento disuasorio MÁS eficaz contra el personal descontento que abusa de sus privilegios?
A. Estrategia de defensa en capas
B. Monitoreo del registro de auditoría del sistema
C. Política de uso aceptable firmada
D. Sistemas de alta disponibilidad

Answer 69

C es la respuesta correcta. Por favor vea a continuación las razones
A. Una estrategia de defensa por capas sólo impediría aquellas actividades que están fuera de los privilegios del usuario.
B. El monitoreo del registro de auditoría del sistema se realiza a posteriori y puede no ser efectivo.
**C. Una política de uso aceptable firmada suele ser un elemento disuasivo eficaz contra actividades maliciosas debido al potencial declarado de terminación del empleo y/o acciones legales que se toman contra el individuo. **
D. Los sistemas de alta disponibilidad no disuaden al personal de abusar de sus privilegios.

https://engage.isaca.org/discussion/cism-qotd-saturday-18th-may-2024-1

Question 70

Las tecnologías de seguridad deben seleccionarse PRIMARIAMENTE en función de:

A. Capacidad para mitigar el riesgo empresarial.
B. Evaluaciones en publicaciones comerciales.
C. Uso de tecnologías nuevas y emergentes.
D. Beneficios en comparación con sus costos.

Answer 70

SORPRESA !!! .
Lee bien el motivo por el cual NO ES LA A
LO LEISTE MUY DEPRISA!!! … ¿qué tal si lo lees mas despacio??
(a-pabajo la respuesta correcta).
.
..
.
.
.
.
.
.
.
.
.
.
.
..

**D es la respuesta correcta. **
Justificación
A. Un criterio de evaluación regular para la selección adecuada de cualquier tecnología de seguridad es su capacidad para reducir o eliminar de manera rentable el riesgo comercial.
B. Es posible que las evaluaciones de publicaciones comerciales no proporcionen toda la información sobre las capacidades de la tecnología y pueden estar escritas por patrocinadores o personas influyentes.
C. Si bien las tecnologías nuevas o emergentes pueden ofrecer beneficios potenciales, no han sido probadas en el tiempo, lo que reduce su aceptabilidad como base de selección primaria.
D. Las inversiones en tecnologías de seguridad deben basarse en su valor global en relación con su costo; el valor puede demostrarse en términos de mitigación de riesgos.

https://engage.isaca.org/discussion/cism-qotd-tuesday-21st-may-2024

Question 71

Los niveles de madurez son un enfoque para determinar en qué medida se han implementado prácticas sólidas en una empresa en función de los resultados. Otro enfoque que se ha desarrollado para lograr esencialmente el mismo resultado es:

A. Controla las declaraciones de aplicabilidad.
B. Rendimiento y capacidades del proceso.
C. Evaluación probabilística del riesgo.
D. Análisis factorial de riesgo de la información.

Answer 71

B es la respuesta correcta.
Justificación
A. Una declaración de aplicabilidad de controles identifica qué controles de riesgo se aplican pero no está directamente relacionada con las evaluaciones de desempeño o madurez.
B. El enfoque de capacidades y desempeño del proceso proporciona una perspectiva más detallada de los niveles de madurez y sirve esencialmente al mismo propósito.
C. La evaluación probabilística del riesgo proporciona resultados cuantitativos de probabilidad y magnitud del riesgo; no está relacionado con la evaluación del desempeño o las capacidades.
D. El análisis factorial del riesgo de la información es un enfoque para evaluar el riesgo que no aborda el desempeño.

https://engage.isaca.org/discussion/cism-qotd-monday-20th-may-2024

Question 72

El gerente de seguridad de la información debe abordar las leyes y regulaciones:
A. En la medida en que afecten a la empresa.
B. Mediante la implementación de estándares internacionales.
C. Desarrollando políticas que aborden los requisitos.
D. Garantizar que las directrices cumplan con los requisitos.

Answer 72

A es la respuesta correcta. Justificación
A. Los requisitos legales y regulatorios deben evaluarse en función del alcance y la naturaleza de la aplicación, la probabilidad de medidas de aplicación y sanciones, y el impacto del incumplimiento o del cumplimiento parcial en comparación con los costos del cumplimiento.
B. Es posible que las normas internacionales no aborden los requisitos legales en cuestión.
C. Las políticas no deben abordar regulaciones particulares porque las regulaciones están sujetas a cambios. Las políticas solo deben abordar la necesidad de evaluar los requisitos regulatorios y abordarlos adecuadamente en función del riesgo y el impacto.
D. Las directrices normalmente no abordarían las regulaciones, aunque las normas pueden abordar las regulaciones basadas en la determinación por parte de la administración del nivel apropiado de cumplimiento.

Question 73

4.- Gestion de incidentes

¿Qué acción debería tomar primero el gerente de seguridad de la información cuando el equipo del centro de operaciones de seguridad (SOC) lo alerta sobre un posible incidente de ciberseguridad?
A. Contener y erradicar el incidente
B. Iniciar el análisis del incidente
C. Reunir y manejar pruebas
D. Realizar la erradicación y recuperación de incidentes.

https://www.isaca.org/resources/isaca-journal/issues/2021/volume-5/the-evolution-of-security-operations-and-strategies-for-building-an-effective-soc

Answer 73

B es la respuesta correcta.

A La contención y erradicación del incidente ocurriría sólo después de que el incidente sea validado.
**B. El primer paso en la respuesta a un incidente es confirmar que el incidente es válido. Esto se haría mediante el análisis de incidentes. **
C. La recopilación de pruebas, la erradicación y la contención se producen después de que se confirma el incidente.
D. La recuperación, la recopilación de pruebas, la erradicación y la contención se producen después de que se confirma el incidente.

ANALIZAR el incidente implica VERIFICAR que realmente es un incidente.

https://engage.isaca.org/discussion/cism-qotd-monday-10th-june-2024

Question 74

Al implementar una solución de computación en la nube que proporcionará software como servicio (SaaS) a la empresa, ¿Cuál es la MAYOR preocupación para el gerente de seguridad de la información?
A. La posibilidad de divulgación de datos sensibles en tránsito o almacenamiento
B. La falta de regulaciones claras con respecto al almacenamiento de datos con un tercero
C. La capacitación de los usuarios para acceder adecuadamente a la nueva tecnología
D. El riesgo de falla de la red y la pérdida resultante de disponibilidad de la aplicación.

No podemos asumir que los datos sean críticos

https://www.isaca.org/resources/news-and-trends/isaca-now-blog/2022/cloud-computing-what-it-auditors-should-really-know#:~:text=With%20cloud%20computing%2C%20there%20are,as%20a%20Service%20(IaaS).

Answer 74

MUCHO DEBATE … A – D … no podemos asumir que los datos sean crítivos … luego la respuesta correcta es la D of Delta
D es la respuesta correcta

A. La divulgación de datos confidenciales es una preocupación principal del gerente de seguridad de la información. El escenario NO indica que hay datos sensibles implicados lo cual hace que NO sea la MAYOR preocupación.

B. Muchas jurisdicciones tienen regulaciones sobre la privacidad de los datos. La preocupación del gerente de seguridad de la información es el cumplimiento de esas regulaciones, no la falta de regulaciones.

C. La capacitación sobre cómo utilizar el software como servicio (SaaS) no es diferente de la necesidad de capacitación requerida para soluciones más tradicionales. En la mayoría de los casos, el uso de SaaS es bastante simple y requiere una tecnología mínima, pero en ningún caso está dentro del alcance de la responsabilidad del gerente de seguridad de la información.

D. La pérdida de disponibilidad de las aplicaciones como resultado de una falla de la red es un riesgo inherente asociado con SaaS y la empresa debe tenerlo en cuenta como parte de la decisión de pasar a la computación en la nube, pero esta es una decisión comercial más que una preocupación principal. del gerente de seguridad de la información.

https://engage.isaca.org/discussion/cism-qotd-tuesday-11th-june-2024

Question 75

3 - Programa de Seguridad de la Información

¿Cuál de las siguientes es la MAYOR preocupación de seguridad cuando se almacena un registro de incidentes en el servidor de la base de datos de producción?
A. La información de registro puede perderse cuando el servidor de la base de datos falla.
B. El administrador de la base de datos puede alterar la información de registro.
C. La capacidad para manejar grandes transacciones puede verse comprometida.
D. Es posible que se escriba información confidencial en el archivo de registro sin darse cuenta.

https://www.isaca.org/resources/isaca-journal/issues/2017/volume-6/the-practical-aspect-challenges-of-security-log-management

Answer 75

Sí, el riesgo número uno es que el DBA pueda manipular los registros registrados. Por tanto, B es la respuesta correcta.
A. Lo más probable es que se realice una copia de seguridad de los datos de producción y de los datos de registro al mismo tiempo. Por lo tanto, es posible restaurar tanto los datos de producción como los datos de registro basándose en el mismo punto de recuperación.

B. Existe la posibilidad de que se cometa fraude porque el administrador puede manipular el servidor de la base de datos. El administrador puede alterar las transacciones de la base de datos y luego borrar el registro. Es mejor que el registro se administre en un entorno separado de la base de datos de producción para que sirva como un control de detección útil.

C. La capacidad de procesamiento de transacciones puede o no degradarse como resultado de la activación del registro. No se proporciona información suficiente para afirmar la degradación del proceso.

D. Puede haber un caso en el que información confidencial se escriba inadvertidamente en un registro. Esto se debe a un error de diseño en la aplicación o al sistema de base de datos y no al hecho de que la base de datos de producción y el registro estén en el mismo servidor.

https://engage.isaca.org/discussion/cism-qotd-friday-7th-june-2024