Análisis de Riesgos de Ciberseguridad — 20 preguntas

01. Rellena los huecos sobre el análisis CUALITATIVO de riesgos relacionando cada fragmento con la palabra adecuada. Utiliza escalas ___ (1–5) o relativas (Bajo, Medio, Alto). Método ___, para análisis rápidos. Riesgo = ___ (T→V) × impacto. Riesgo = probabilidad (T→V) × ___. Beneficio: ___ de realizar. Limitación: ___ un análisis coste-beneficio (ACB).

02. Relaciona los conceptos con los fragmentos que completan las definiciones del documento. Un ACTIVO es ___ se trata de proteger. Un IMPACTO es la ___ sobre el activo derivada de materializarse una amenaza. Una VULNERABILIDAD es la materialización de una ___ del activo. Una AMENAZA es ___ se trata de proteger. Una SALVAGUARDA es una ___ del activo.

03. Las dimensiones de valoración permiten valorar las consecuencias sobre un activo. Relaciona los tres huecos del triángulo de seguridad de la imagen con la dimensión correspondiente. Vértice superior (hueco blanco). Vértice inferior izquierdo (hueco azul). Vértice inferior derecho (hueco gris).

04. Ordena los ocho HITOS del ciclo de vida de una vulnerabilidad: une cada hito con el evento correspondiente. Se utiliza el orden del modelo presentado en la asignatura. Hito 1. Hito 2. Hito 3. Hito 4. Hito 5. Hito 6. Hito 7. Hito 8.

05. Indica LA ÚLTIMA AFIRMACIÓN VERDADERA sobre los aspectos necesarios para realizar un Análisis Dinámico de Riesgos (DRA). Número/tipo de activos variable en el tiempo. Vulnerabilidades Zero-Days y nuevas amenazas. Evolución de las actuales amenazas. El factor tiempo. Todas las anteriores respuestas son VERDADERAS. NS/NC.

06. Según el modelo conceptual MAGERIT de la imagen, indica si es VERDADERA o FALSA: «Las salvaguardas actúan sobre la probabilidad de la amenaza o sobre el valor del activo para llevarlos del nivel RESIDUAL al POTENCIAL». Verdadero. Falso.

07. Indica la afirmación FALSA sobre la Categoría de Seguridad de un sistema de acuerdo con el ENS. Determina el equilibrio entre la información que maneja y los servicios que presta con el esfuerzo de seguridad requerido. Se establecen 3 niveles: BAJO, MEDIO, ALTO. Se obtiene de la valoración del impacto de los incidentes sobre alguna de las dimensiones de seguridad (D, A, I, C, T). Un sistema de categoría ALTA exige que TODAS sus dimensiones de seguridad sean de categoría ALTA.

08. Relaciona las tareas del Método de Análisis de Riesgos (MAR) de MAGERIT con los productos que se obtienen al completarlas. MAR.1 — Caracterización de activos. MAR.2 — Caracterización de amenazas. MAR.3 — Caracterización de salvaguardas. MAR.4 — Estimación del estado de riesgo.

09. De acuerdo con el enfoque ISO 27000 del temario, ¿en QUÉ FASE del ciclo PDCA asociado a un SGSI se realiza el análisis y la planificación de la gestión de riesgos?. PLAN. DO. ACT. CHECK.

10. Empareja cada letra del nemónico DREAD con el factor correspondiente, usando las descripciones de la tabla original. D (1.ª): ¿qué malo sería un ataque?. R: ¿qué fácil es reproducir el ataque?. E: ¿cuánto trabajo lleva lanzar el ataque?. A: ¿cuántas personas se verán afectadas?. D (2.ª): ¿qué fácil es descubrir la amenaza?.

11. Una PYME adquiere 10 PCs con licencias perpetuas de antivirus. El valor de cada PC, incluida su licencia, es 1.000 €. Según la tabla: FE con antivirus = 10 %; ARO de infección por virus = 50 % (una vez cada 2 años). Calcula la ALE TOTAL de los 10 PCs, en euros por año. 50 € al año. 500 € al año. 1.000 € al año. 5.000 € al año.

12. Indica la RESPUESTA FALSA sobre el riesgo en ciberseguridad. El riesgo indica lo que les podría pasar a los activos si no se protegieran adecuadamente (MAGERIT). Puede reducirse desde un valor RESIDUAL al POTENCIAL. El riesgo es la estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando impactos. Es la intersección entre el activo, las amenazas y las vulnerabilidades.

13. En PILAR, ¿en qué momentos pueden calcularse el RIESGO POTENCIAL y el RIESGO RESIDUAL de un sistema de información?. Riesgo potencial tras analizar activos; riesgo residual tras analizar amenazas. Riesgo potencial tras analizar salvaguardas; riesgo residual tras analizar activos. Riesgo potencial tras analizar salvaguardas; riesgo residual tras analizar amenazas. Riesgo potencial tras analizar amenazas; riesgo residual tras analizar salvaguardas.

14. Empareja cada categoría STRIDE con la dimensión o propiedad de seguridad asociada. E — Elevation of Privilege. D — Denial of Service. I — Information Disclosure. S — Spoofing. T — Tampering. R — Repudiation.

15. En la evaluación del riesgo se comparan riesgo potencial, riesgo con salvaguardas (residual) y riesgo aceptable. Indica la afirmación FALSA. [Enunciado aclarado: el PDF usa «valor» de forma ambigua, confundiendo la reducción lograda con el riesgo residual.]. Si el riesgo RESIDUAL supera el ACEPTABLE, hay que aumentar la eficacia de las salvaguardas. Si la diferencia riesgo POTENCIAL − riesgo CON SALVAGUARDAS es 0, eso demuestra que las salvaguardas son adecuadas y no hay que modificar su eficacia. Si el riesgo RESIDUAL es inferior al ACEPTABLE, se puede valorar disminuir las salvaguardas, siempre que se mantenga dentro del umbral aceptable y se cumplan las obligaciones aplicables. NS/NC.

16. Relaciona las zonas del mapa de color de riesgos con las acciones de tratamiento del riesgo residual que muestra el ejercicio. Zona 1 — probabilidad +++ / impacto +++. Zona 2 — probabilidad ++ / impacto ++. Zona 3 — probabilidad + / impacto +. Zona 4 — probabilidad + / impacto +++.

17. Indica la respuesta FALSA sobre los árboles de ataque como mecanismo formal de modelado de amenazas. Cada ataque se representa mediante un árbol. Existen tres tipos de nodos intermedios para representar la ruta del ataque: AND, OR y XOR. El objetivo del ataque se sitúa en el nodo raíz del árbol. Las formas de lograr el ataque se representan mediante los nodos hoja.

18. Ordena los pasos del modelado de amenazas OWASP tal como aparecen en la asignatura. El ejercicio empieza en el PASO 0 y termina en el PASO 5. Paso 0. Paso 1. Paso 2. Paso 3. Paso 4. Paso 5.

19. La imagen representa los procesos de gestión de riesgos de seguridad de la información de ISO 27005 empleados en el temario. Relaciona los seis huecos, de arriba abajo, con su nombre. 1 — Hueco blanco superior. 2 — Hueco azul claro, dentro del análisis. 3 — Hueco gris, dentro del análisis. 4 — Hueco morado. 5 — Hueco azul inferior. 6 — Hueco amarillo final.

20. Dado el DFD del ejercicio, relaciona cada hueco con la amenaza STRIDE que corresponde entre las opciones de su color. Se elige una amenaza por hueco; no se afirma que sea la única aplicable al elemento. Browser — hueco blanco (opciones: Spoofing / Elevation of Privilege / Repudiation). Web Request — hueco azul (opciones: Tampering / Spoofing / Repudiation). Web App Query Results — hueco gris (opciones: Information Disclosure / Elevation of Privilege / Denial of Service). Database — hueco morado (opciones: Denial of Service / Repudiation / Spoofing).