22301 Pretest para el examen final

¿Cuál es el propósito principal de la norma ISO/IEC 22301:2019?. Regular los procedimientos de seguridad de la información. Especificar los requisitos para un sistema de gestión que asegure la continuidad del negocio. Establecer directrices para la gestión de recursos humanos. Normar las políticas ambientales de una organización. Definir los procedimientos para el control de calidad de productos.

Según la norma, ¿cuál de las siguientes declaraciones describe mejor un Sistema de Gestión de la Continuidad del Negocio (BCMS)?. Un conjunto de procedimientos para gestionar la seguridad física. Una estructura organizada que incluye políticas, responsabilidades, procesos y recursos para mantener la continuidad del negocio. Un documento único que especifica todos los riesgos potenciales. Un plan de emergencias único para toda la organización. Un sistema que solo se activa en caso de desastres naturales.

¿Cuál de los siguientes elementos NO se considera parte de los componentes de un BCMS, según la norma?. Políticas. Procesos y responsabilidades. Información documentada. Sistemas de gestión de calidad ISO 9001. Capacitación y competencias del personal.

La identificación y evaluación de riesgos en la organización, según la norma, debe ser: Un proceso informal que se realiza cada cinco años. Sistemático y documentado, incluyendo análisis de los riesgos de interrupción y su impacto potencial. Exclusivamente llevado a cabo por un equipo externo. Basado únicamente en la experiencia previa del personal. Solo si la organización tiene un presupuesto adecuado.

¿Qué papel desempeña la alta dirección en el sistema de gestión de continuidad según ISO 22301:2019?. Solo deben ser informados del sistema, pero no participar activamente. Deben demostrar liderazgo y compromiso, asegurando recursos y compatibilidad con la estrategia organizacional. Solo aprueban la política pero no intervienen en su implementación. Deberán coordinar únicamente en situaciones de crisis. Su participación es opcional y depende del tamaño de la organización.

¿Qué requisito especifica la norma respecto a la política de continuidad del negocio?. Debe ser confidencial y solo accesible a la alta dirección. Debe estar documentada, ser apropiada para su propósito y favorecer la mejora continua. No necesita ser formalmente establecida si la organización confía en sus procedimientos informales. Solo debe incluirse en el manual de calidad. Puede ser solo una declaración verbal de la dirección.

En la planificación del BCMS, ¿qué se debe hacer ante la necesidad de cambios?. Los cambios deben ser evitados para mantener la estabilidad. Se deben planificar y gestionar de manera controlada, considerando las consecuencias y recursos necesarios. Solo se deben considerar cambios en el manual de políticas. La planificación de cambios no forma parte del sistema. Solo los cambios relacionados con la tecnología son necesarios.

¿Cuál de las siguientes afirmaciones sobre los requisitos para la evaluación de riesgos es verdadera según la norma?. Es recomendable llevarla a cabo solo en caso de una interrupción severa. Debe ser realizada de manera sistemática, identificando riesgos y analizando su impacto y probabilidad. La evaluación de riesgos debe ser realizada solo por auditores externos. No es importante si se cuenta con experiencia en la organización. Solo se necesita si los recursos son abundantes.

¿Cuáles son las principales etapas en la implementación de estrategias de continuidad del negocio, según la norma?. Análisis del impacto del negocio, evaluación de riesgos, identificación de estrategias y recursos, implementación y pruebas. Eliminación de riesgos sin análisis del impacto. Solo la identificación de estrategias sin evaluación de recursos. Implementar planes de recuperación sin planificación previa. Realizar auditorías externas para definir estrategias.

¿Qué se requiere para la evaluación del desempeño del BCMS según la norma?. Solo una revisión anual por parte del gerente general. Seguimiento, medición, análisis y evaluación de los planes, procedimientos y capacidades implementadas. Solo realizar auditorías internas cada dos años. Basarse únicamente en la experiencia del personal durante una crisis. El desempeño no necesita ser evaluado formalmente.

¿Qué indica la norma acerca de la relación entre el BCMS y otros sistemas de gestión?. Es incompatible con otros sistemas de gestión. No se recomienda integrarlos, ya que puede complicar el cumplimiento. Sus elementos pueden alinearse o integrarse con otros sistemas de gestión, aunque no especifica requisitos para estos otros sistemas. Solo debe implementarse en aislamiento para ser efectivo. La norma exige que sea un sistema independiente.

¿Qué deben incluir los planes de continuidad del negocio según la norma?. Solo las actividades de recuperación cuando ocurra una interrupción. La estructura de respuesta, procedimientos de recuperación, comunicación y actividades de prueba. Únicamente las listas de recursos tecnológicos necesarios. Solo un documento de políticas sin procedimientos detallados. Planes genéricos que se aplican a todas las organizaciones sin personalización.

¿Cuál es una de las responsabilidades del equipo de auditoría interna según la norma?. Determinar la idoneidad, adecuación y eficacia del BCMS mediante auditorías planificadas. Implementar las acciones correctivas sin consultar a la dirección. Revisar únicamente los aspectos financieros del sistema. Realizar auditorías solo después de una emergencia significativa. Modificar el alcance del BCMS sin aprobación de la gerencia.

En relación con la mejora continua, ¿qué acción se espera según la norma?. Mejorar solo cuando haya quejas formales de clientes. Revisar y utilizar los resultados de auditorías, incidentes, revisiones y evaluaciones para identificar oportunidades de mejora. Solo realizar mejoras tras auditorías externas. La mejora continua no es un requisito de la norma. Mejorar solamente los aspectos técnicos, no los procesos administrativos.

¿Qué aspectos deben considerar las organizaciones al determinar el alcance del BCMS?. Solo los recursos tecnológicos y financieros. La misión, metas, obligaciones internas y externas, tamaño, y la naturaleza de sus actividades y procesos. Solo las unidades que tengan mayor inversión. Solo los procesos internos, excluyendo las partes interesadas. La ubicación geográfica sin considerar la complejidad del negocio.

¿Qué dice la norma respecto a los cambios en el BCMS?. Los cambios deben ser minimizados y solo realizados en caso de emergencia. Cuando la organización determina la necesidad de cambios, estos deben planificarse de manera controlada considerando impactos, recursos y responsabilidades. Solo se deben realizar cambios si autorizan los auditores externos. Los cambios no requieren planificación formal si son menores. La norma no especifica requisitos sobre cambios.

¿Cuál de los siguientes es un ejemplo de información documentada que la organización debe mantener?. La memoria RAM del servidor. La política de continuidad del negocio, los registros de auditorías y las evaluaciones de riesgo. La lista de empleados solo en formato oral. La información sobre proveedores sin registros formales. Los correos electrónicos internos sin registro formal.

En la evaluación de riesgos, ¿cuál es un enfoque recomendado según la norma?. Evaluar solo si los recursos son abundantes. Identificar, analizar y evaluar sistemáticamente los riesgos de interrupción asociados a las actividades priorizadas y apoyar recursos críticos. Considerar solo riesgos externos, ignorando los internos. La evaluación de riesgos solo se realiza después de una interrupción. Realizar evaluaciones únicamente de riesgos tecnológicos.

¿Qué acciones se deben tomar en caso de una no conformidad en la implementación del BCMS?. Reaccionar, tomar medidas correctivas, evaluar causas, aplicar acciones y revisar la eficacia, incluyendo cambios en el sistema si es necesario. Ignorar la no conformidad si no afecta la operación. Solo documentar la no conformidad sin tomar acciones correctivas. Esperar al próximo ciclo de auditoría para abordarla. La norma no especifica acciones específicas para las no conformidades.

¿Qué ejemplo de actividades se puede incluir en la planificación de respuesta a incidentes?. La indicación de que ninguna actividad se debe llevar a cabo hasta la recuperación total. La estructura de respuesta, comunicación oportuna, acciones de recuperación y pruebas de los planes. Solo los procedimientos para retirar recursos físicos. La evaluación del impacto financiero únicamente. La comunicación solo en crisis de nivel internacional.