Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

Seguridad Informática (Primer Parcial) > Tema II > Flashcards

Tema II Flashcards

1
Q

¿Qué es una política de seguridad?

A

“Conjunto de leyes, reglas y prácticas que regulan cómo la información critica y sensitiva es administrada, protegida y distribuida”.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

¿Cómo es un modelo de política de SI?

A

Una presentación formal de la política de seguridad aplicada a los sistemas. Debe identificar un conjunto de reglas y prácticas que regulan como un sistema administra, protege y distribuye información sensible

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

¿Cuáles son los objetivos de un marco de referencia para la Seguridad de la información? (2)

A
  1. Asistir en el diseño de un programa de seguridad.
  2. Definen los controles necesarios para proporcionar seguridad a los sistemas de información.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Menciona algunos de los marcos de referencia vistos (3)

A
  1. COSO
  2. ITIL
  3. COBIT
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Características del Marco de Referencia COSO (4)

“The Committee of Soponsoring Organizations of the Treadway Commission”

A
  1. Se formó en 1985 con el apoyo de la National Commission on Fraudulent Fiancial Reporting
  2. Estudiaba factores que podían llevar a fraudes financieros
  3. COSO identifica 5 áreas de control interno necesario para cumplir con los reportes financieros y objetivos de divulgación.
  4. Es adoptado por empresas que buscan cumplimiento con Sarbanes-Oxley sección 404.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

¿Cuales son las áreas de control interno bajo el marco de referencia COSO? (5)

A
  1. Control Ambiental.- conjunto de estandares, procesos y estructuras que proporcionan la base para llevar a cabo los controles internos. Incluye la integridad y los valores éticos de la organización.
  2. Evaluación de Riesgos.- comprende un proceso iterativo y dinámico para identificar y evaluar los riesgos existentes para el logro de los objetivos.
  3. Control de Actividades.- son las acciones establecidas a través de políticas y procedimientos que ayudan a asegurar que las directivas gerenciales mitigan los riesgos encontrados en la evaluación.
  4. Información y Comunicación.- proceso iterativo de proporcionar, compartir y obtener la información necesaria, puede ser comunicación interna o externa.
  5. Monitoreo.- Evaluaciones de ejecución, para asegurarse de que los 5 componentes de control interno están presentes y funcionando
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

¿Cual es la completa composición de un modelo tipo COSO?

A

Cinco Áreas

  1. Control Ambiental.
  2. Evaluación de Riesgos.
  3. Control de Actividades
  4. Información y Comunicación.
  5. Monitoreo.-

Tres Categorías de objetivos

  1. Operaciones
  2. Reporte
  3. Cumplimiento

Cinco Componentes

  1. Nivel de Entidad
  2. División
  3. Unidad Operativa
  4. Función
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Menciona las características del marco ITIL

“IT Infrastructure Library”

A
  1. El mejor aceptado mundialmente para la gestión de Servicios de TI.
  2. Contiene un conjunto de mejores prácticas de distintas industrias para llevar a cabo una buena gestión de servicio de TI (IT Service Management)
  3. Inició como una publicación del gobierno Británico
  4. 34 libros entre 1989 y 1992.
  5. comprende 5 publicaciones 
    • Estrategia de Servicios
    • Diseño de Servicios
    • Transición de Servicios
    • Operación de Servicios
    • Mejora Continua.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

Define la publicación de Estrategia de Servicios del marco de referencia ITIL (4)

A
  1. Proporciona guía en cómo ver la gestión del servicio no solo como una capacidad organizacional si no como un activo estratégico.
  2. Identifica clientes, mercado potencial
  3. Analiza riesgos sobre el portafolio de servicios.
  4. Valida el correcto alineamiento de los objetivos de negocio con los de el ciclo de vida de TI.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Define la publicación de Diseño de Servicios del marco de referencia ITIL (2)

A
  1. Proporciona la guía para el diseño y el desarrollo de servicios y prácticas para la gestión de los mismos.
  2. Comprende métodos, y prácticas de diseño para convertir los objetivos de negocio en portafolio de servicios.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Define la publicación de Transición de Servicios del marco de referencia ITIL (2)

A
  1. Proporciona guía para el desarrollo y mejora de las capacidades para transicionar servicios nuevos o modificados a un ambiente en producción.
  2. Proporciona guía en cómo los requerimientos identificados en la estrategia de servicio y creados en diseño de servicio van a ser ejecutados de manera adecuada en la operación del servicio.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

Define la publicación de Operación de Servicios del marco de referencia ITIL (2)

A
  1. Contiene las prácticas en la gestión del día a día de la ejecución de servicios.
  2. Proporciona guía para lograr la efectividad y eficiencia en la entrega y soporte de los servicios para asegurar dar valor a el cliente.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Define la publicación de Mejora Contiua del marco de referencia ITIL (2)

A
  1. Proporciona la base para crear y mantener el valor para los clientes a través de un mejor diseño, transición y operación de servicios.
  2. Combina principios, prácticas y métodos de Gestión de Calidad.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Describe al Marco de Referencia COBIT a partir de su objetivo de negocio

A

El objetivo de negocio de COBIT consiste en unir los objetivos de negocio con los objetivos de TI, proporcionando métricas y modelos de madures para medir su logro e identificar las responsabilidades asociadas entre los dueños de los procesos de TI y los dueños del negocio.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Describe al Marco de Referencia COBIT a partir de su enfoque de procesos

A
  1. Es ilustrado por un modelo que subdivide la TI en 4 dominios y 34 procesos alineando las áreas responsables de planear, construir, ejecutar y monitorear una vista completa de TI.
  2. Los conceptos de arquitectura empresarial ayudan a identificar los recursos escenciales para el éxito de los procesos. (aplicaciones, información, infraestructura y gente.
  3. Finalmente proporciona la información que la compañía necesita para lograr sus objetivos , los recursos de TI que necesita administrar por un conjunto de procesos bien relacionados.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

¿Cuáles son los 4 dominio del marco COBIT?

A
  1. Planeación y organización
  2. Adquisición e implementación
  3. Entrega y Soporte
  4. Monitoreo.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Define riesgo

A

Posibilidad de pérdida

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Define Gestión de Riesgos

A

Técnica o profesión para evaluar, minimizar, y prevenir perdidas accidentales para el negocio.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

¿Cómo define la ISC2 a la gestión de riesgos? (2)

A
  1. Disciplina para vivir con la posibilidad de que eventos futuros puedan causar daños”.
  2. Reduce los riesgos definiendo y controlando las amenazas y vulnerabilidades..
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

¿Qué se evalúa durante la evaluación de riesgos?

A
  1. Amenazas a los activos.
  2. Vulnerabilidades presentes en el ambiente.
  3. Identificar la probabilidad de que una amenaza sea exitosa.
  4. El impacto dentro de la organización
  5. Contramedidas disponibles que puedan reducir la posibilidad de que un exploit pueda ser ejecutado de manera exitosa
  6. Riesgo Residual.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
21
Q

¿Con qué ayuda la gestión de riesgos a las organizaciones?

A
  1. Determinar las amenazas que la compañía enfrenta
  2. Analizar las vulnerabilidades para evaluar el nivel de la amenaza
  3. Determinar cómo manejar el riesgo
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
22
Q

Define Amenaza

A

Evento natural o causado por el hombre que puede ocasionar un impacto negativo en una organización

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
23
Q

Define Vulnerabilidad

A

Defecto, descuido u omisión que puede ser explotado para violar una política de seguridad de una compañía

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
24
Q

Define Controles

A

Mecanismo usado para restringir, regular o reducir las vulnerabilidades

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
25
Q

Define qué son los controles disuasivos

A

Aquellos diseñados para atender situaciones antes de su ocurrencia

Ej. prompt de un router advirtiendo de la privacidad de sí mismo

26
Q

Define qué es un control detectivo

A

Aquel que monitorea actividades con el fin de encontrar instancias las cuales no han tenido seguimiento y pueden con llevar a un riesgo para el usuario.

Primordialmente identifica cuando un error o irregulidaridad se da

27
Q

Define qué es un control preventivo

A

Es un tipo de observación e inspección que ayuda a evitar problemas antes de que aparezcan, protegiendo vulnerabilidades previo a ser explotada

28
Q

Define qué es un control correctivo

A

Tiene como propósito principal enmendar aquellos errores o desviaciones detectadas.

29
Q

¿Cuáles son las dos forma de cuantificar un valor?

A
  1. Evaluación cuantitativa
  2. Evaluación cualitativa
30
Q

Define la evaluación cuantitavia

A

Se pretende asignar un valor monetario a los elementos de la evaluación de riesgo, activos de información y a las amenazas encontradas en una evaluación de riesgos.

31
Q

¿Que elementos se cuantifican durante la evaluación de riesgos? (5)

A
  1. Valor del activo
  2. Impacto
  3. Frecuencia de la amenaza
  4. Efectividad de los controles
  5. Costo de los controles
32
Q

¿Qué se debe de calcular durante la evaluación cuantitativa?

A
  1. Single Loss Expectancy: La diferencia entre el valor original y el valor restante de un activo después de haber sido afectado, es decir, el costo de la pérdida de un activo
  2. Annualized Rate of Occurence (ARO): estimado de qué tan frecuentemente una amenaza llega a ser tener éxito en explotar una vulnerabilidad en un periodo determinado. Es decir, cuantas veces se puede esperar la pérdida en el periodo de un año.
  3. Annualized Loss Expectancy (ALE): Determina la magnitud del riesgo, es el resultado del estimado anual de la frecuencia de la amenaza (ARO) por la perdida del activo en cuestión (SLE).
33
Q

Formulario

SLE, ARO, ALE

A

SLE = Valor del activo ($) x Factor de exposición

Aro = probabilidad que es dada por el problema

ALE = SLE * ARO

34
Q

Define qué es la evaluación cualitativa

A

Establece una ponderación a que tan grave es la amenaza y que impacto tiene dentro de una organización

35
Q

¿Cuales son las tres clasificaciones en una evaluación cualitativa?

A
  1. Alto.- puede resultar en perdida de ganancia/bienestar entre la organización, clientes y/o empleados
  2. Medio.- puede resultar en daño para la organización o la reparación cuesta una cantidad ($) moderada
  3. Bajo.- Inconveniencia menor que puede ser tolerada por un periodo pequeño de tiempo
36
Q

¿Qué metodologías existen para que las empresas comprendan y evaluen los riesgos de TI?

A
  1. OCTAVE
  2. FRAP
  3. CRAMM
37
Q

Menciona algunas características de la metodología estandarizada OCTAVE (3)

” Operationally Critical Threat, Asset and Vulnerability Evaluation”

A
  1. Permite a las organizaciones, entender, evaluar y gestionar sus riesgos de seguridad de la información desde la perspectiva de la organización
  2. Es una metodología orientada a procesos para identificar, priorizar y gestionar los riesgos de seguridad de la información
  3. Permite que las unidades operacionales/de negocio y el área de sistemas trabajen juntos para gestionar las necesidades de seguridad de la información de una organización
38
Q

¿De qué les sirve OCTAVE a las Organizaciones? (5)

A
  1. Desarrollar evaluaciones de riesgo cualitativas basadas en tolerancia de riesgo operacional
  2. Identificar los activos que son críticos para la misión dela organización
  3. Identificar vulnerabilidades y amenazas que son críticos para los activos
  4. Determinar y evaluar las consecuencias para la organización si las amenazas son explotadas
  5. Iniciar las acciones correctivas para mitigar riesgos
39
Q

¿Cuál es el principal benedicio de la metodología OCTAVE?

A

Conectar las metas y objetivos organizacionales con las metas y objetivos de la seguridad de la información

40
Q

Define la metodología FRAP

“Facilitated Risk Analisys Process”

A

Proceso eficiente y disciplinario para asegurar que los riesgos relacionados a la seguridad de la información relacionados a las operaciones de negocio están considerados y documentados

41
Q

En qué consiste la metodología FRAP

A
  1. Analizar a la vez, un sistema, aplicación o segmento del negocio.
  2. Convocar a un grupo de personas del negocio y staff técnico para acordar los riesgos identificados
  3. El del negocio conoce la información relacionada a la operación y estrategia
  4. El staff técnico, conoce las vulnerabilidades y controles que existen.
42
Q

¿Qué fases tiene la metodología FRAP? (4)

A
  1. Pre-FRAP meeting.- se preara la agenda y los elementos a evaluar durante la sesión. Usualmente participan los gerentes, el líder de proyecto y un facilitador.
  2. FRAP Session.- se lleva a cabo la lluvia de ideas y se discuten los riesgos, controles y acciones a implementar.
  3. FRAP Analysis.- Análisis de la información generada y elaboración de minuta y reportes
  4. Post-FRAP.- se crea una sesión para comunicar los resultados.
43
Q

¿Qué se hace durante una sesión bajo la metodología FRAP (4)

A
  1. Se genera una lluvia de ideas sobre vulnerabilidades, amenazas, impactos al negocio (CIA)
  2. Se analizan los impactos al negocio y se categorizan de acuerdo al nivel de prioridad que se acuerda durante dicha sesión.
  3. Posteriormente se identifican los controles que se pueden implementar para reducir el riesgo enfocándose en los de mejor costo-beneficio.
  4. Se documentan los riesgos y prioridades y se acuerdan los controles a ser implementados.
44
Q

¿Cuáles son las 3 fases de la metodología CRAMM?

” Risk Analysis and Management Method”

A
  1. Establecimiento de Objetivos
  2. Evaluación de riesgos
  3. Identificación y establecimiento de medidas.
45
Q

Describe la etapa de Establecimiento de Objetivos de la metodología CRAMM

A
  1. Definir los límites del estudio
  2. Identificar y evaluar los activos físicos que son parte del sistema
  3. Determinar el valor de los datos a través de entrevistas con los usuarios y el impacto del negocio tras la pérdida, destrucción o divulgación de información.
  4. Identificar y evaluar los activos de software que son parte del sistema.
46
Q

Describe la etapa de Evaluación de Riesgos de la metodología CRAMM

A
47
Q

Define auditoría

A

Proceso Sistémico por el cual un equipo calificado obtiene y evalúa evidencia en relación a afirmaciones acerca de procesos con el propósito de formar una opinión y reportar el grado en el cual dicha afirmación es implementada.

48
Q

Define Auditoria de Sistemas de Información

A

Revisión y evaluación total o parcial de los sistemas de información automatizados relacionados a procesos manuales y las interfaces entre ellos.

49
Q

¿Qué se requiere para llevar a cabao una auditoría? (4)

A
  1. Planeación de las áreas que van a ser auditadas
  2. Evaluación de riesgos generales de cada área a ser auditada
  3. Desarrollar un programa de auditoria con objetivos y procedimientos
  4. Preparar la evidencia requerida por los auditores de SI
50
Q

¿Qué requiere un auditor para llevar a cabo su auditoria? (3)

A
  1. Evaluar las fortalezas y debilidades de los controles
  2. Analizar las evidencias proporcionadas y evaluar la postura actual VS la requerida por el marco legal a ser evaluado.
  3. Preparar el reporte con los hallazgos
51
Q

¿Cómo debe de ser el proceso de una auditoría según la ISACA?

(7)

A
  1. Definir alcance de la auditoria
  2. Elaborar los objetivos de la auditoría
  3. Identificar el criterio de auditoría
  4. Ejecutar los procedimientos de auditoría
  5. Revisar y evaluar la evidencia
  6. Generar las opiniones y conclusiones
  7. Reportar a la gerencia los puntos encontrados.
52
Q

¿Qué tipo de auditorias existen?

A
  1. Financiera
  2. Operativa
  3. Integral
  4. Administrativa
  5. Sistemas de Información
53
Q

Define una auditoría financiera

A

Evaluar qué tan correcto es el estado de resultados financiero de una compañía

54
Q

Define una auditoría operativa

A

Evaluar la estructura de controles internos en un área o proceso dado

55
Q

Define a una auditoría administrativa

A

Evalúa los problemas relacionados con la eficiencia en la productividad operacional.

56
Q

Define una auditoría de Sistema de Información

A

Evalúa la evidencia para determinar si los sistemas de información y recursos relacionados protegen los activos, mantienen la integridad, disponibilidad de datos y sistemas, consumen los recursos de manera adecuada y tienen los controles necesarios para soportar los objetivos de negocio.

57
Q

¿Qué se evalua en una auditoria de Sistemas de Información?

A
  1. Ambiente Físico.
  2. Administración de Sistemas
  3. Software de aplicaciones
  4. Seguridad en la Red
  5. Continuidad de Negocio
  6. Integridad de Datos
58
Q

Menciona algunas auditorías de Sistemas de Inf. especializadas

A
  1. SAS70
  2. PCI
  3. ISO27001
59
Q

¿Qué es una auditoría forense?

A
  • Descubrir, comunicar y dar seguimiento a fraudes y crímenes. Incluye el análisis de dispositivos electrónicos para la investigación de evidencias que lleven al correcto rastreo de un crimen ejecutado a través de medios electrónicos.
60
Q

¿Qué es una auditoría interna?

A

Es llevada a cabo por un grupo de trabajo de la organización con el objetivo de identificar y evaluar los el estado actual de los controles así como desarrollar el plan de acción para mitigar los riesgos encontrados.

61
Q

¿Qué es una auditoría externa?

A

Es llevada a cabo por un grupo de trabajo ajeno a la organización y que tiene la facultad, reconocimiento y habilidad para evaluar los controles actuales contra los definidos en estándares.

Seguridad Informática (Primer Parcial) (6 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions