Cuestionario de Ciberseguridad y Desarrollo Seguro

AI✦

¿Qué es un exploit?. Un fragmento de código con el fin de aprovechar un error o vulnerabilidad. Una herramienta de diagnóstico de software. Un tipo de cifrado de datos. Un proceso de auditoría de seguridad.

¿Cuál es la tarea que se lleva a cabo en la fase de diseño del SDLC para abordar la seguridad?. Validar versiones, consistencia y calidad. Crear el modelo de amenazas. Realizar pruebas de penetración. Implementar parches de seguridad.

¿Qué acción incluye la actividad de auditoría de configuraciones?. Validar versiones, consistencia y calidad. Ejecutar pruebas de estrés. Desarrollar nuevos módulos. Documentar el código fuente.

Después de un evento inesperado que detuvo el sistema, ¿qué métrica mide el tiempo y nivel de servicio dentro del cual debe restaurarse un proceso de negocio?. MTBF (Mean Time Between Failures). RTO (Recovery Time Objective). SLA (Service Level Agreement). RPO (Recovery Point Objective).

Gracias a este tipo de requerimientos se puede investigar qué pasó en un sistema y detectar anomalías. ¿De qué tipo de requerimientos se trata?. Requerimientos de seguimiento. Requerimientos funcionales. Requerimientos no funcionales. Requerimientos de rendimiento.

Un usuario aplica pasos indebidos en un punto de venta y logra un descuento del 100%. ¿Qué agente de amenaza representa?. Amenaza interna maliciosa. Actor de amenaza externo. Descubridor accidental. Cibercriminal.

¿Qué se recomienda al realizar validación de entradas para evitar ataques de inyección?. Validar solo en el cliente. Validar solo en el servidor. No validar las entradas. Validar tanto en cliente como servidor.

¿Qué tipo de malware recopila información sensible del usuario, como números de tarjetas de crédito?. Ransomware. Spyware. Virus. Troyano.

¿Cuál es el objetivo principal del modelado de amenazas en el desarrollo seguro de software?. Identificar y mitigar posibles riesgos antes de la implementación. Optimizar el rendimiento de la aplicación. Diseñar la interfaz de usuario. Documentar el código fuente.

¿Qué técnica ayuda a transformar datos peligrosos en una forma inocua?. Validación de entradas. Sanitización de entradas. Ofuscación de código. Cifrado de datos.

¿Qué debe hacerse con las claves de cifrado?. Guardarlas en texto plano en el código. Almacenarlas en un archivo de configuración accesible. Compartirlas públicamente para facilitar el acceso. Manejar las claves de acuerdo con las directrices de mejores prácticas.

¿Cómo se debe manejar una sesión una vez que el usuario cierra la ventana del navegador?. Mantener la sesión activa por defecto. Cerrar la sesión de forma explícita si el usuario lo solicita. Abandonar la sesión explícitamente. Guardar la sesión para reanudarla automáticamente.

¿Qué técnica derivada de un ataque de fuerza bruta utiliza listas predefinidas para adivinar credenciales?. Ataque de diccionario. Ataque de fuerza bruta puro. Ataque de denegación de servicio. Ataque de intermediario.

¿Qué es fundamental en un diseño seguro?. Diseñar la interfaz de usuario primero. Centrarse solo en la funcionalidad. Modelado de amenazas y evaluación constante. Implementar todas las características posibles.

Con el fin de prevenir la amenaza de errores de registro y supervisión de seguridad, se implementan bitácoras y SIEM/SOAR. ¿Esto impedirá la materialización de la amenaza?. Verdadero. Falso. Depende del proveedor. Solo parcialmente.

Considerando una aplicación cliente-servidor, la lógica del negocio debe mantenerse en el lado del servidor. ¿Qué principio cumple esto?. Mínima exposición. Máxima compartición. Exposición total. Redundancia.

Un desarrollador sube código sin revisión rigurosa y se insertan instrucciones dañinas que se ejecutan más tarde. ¿Qué amenaza es?. Ataque de denegación de servicio. Inyección SQL. Bombas lógicas. Phishing.

Con MFA y control centralizado de acceso, ¿qué vulnerabilidad crítica en aplicaciones web se previene?. Falsificación de solicitudes del lado del servidor (SSRF). Inyección SQL. Cross-Site Scripting (XSS). Control de acceso roto (Broken Access Control).

Un atacante se aprovecha de un punto de entrada no validado y realiza una inyección XSS. ¿Qué vulnerabilidad es?. Falsificación de identidad. Validación de entrada insuficiente. Denegación de servicio. Inyección de código.

Una tienda de alimentos quiere que los usuarios escaneen códigos de barras con la cámara del teléfono. ¿Qué tipo de desarrollo es más adecuado?. Web. Híbrido. Progresivo (PWA). Nativo.

Un desarrollador web migra una aplicación a un entorno móvil, pero el dispositivo tiene baja memoria. ¿Qué debería hacer?. Ignorar el problema de memoria. Desarrollar una aplicación de escritorio. Aumentar la memoria del dispositivo. Rediseñar para incluir solo funciones esenciales.

Un desarrollador quiere que una app funcione con muchos usuarios sin afectar el rendimiento. ¿Cuál es la mejor solución?. Usar un dispositivo más potente. Limitar el número de usuarios concurrentes. Usar procesamiento en la nube. Optimizar el código de la aplicación.

¿Cuál es el propósito del estándar de seguridad de aplicaciones móviles de OWASP?. Desarrollar aplicaciones móviles únicamente. Proveer directrices para desarrollar aplicaciones móviles seguras. Auditar la seguridad de aplicaciones de escritorio. Establecer estándares de hardware para móviles.

¿Qué medida ayuda a prevenir ataques de control de acceso en aplicaciones móviles?. Permitir acceso a todos los usuarios. Implementar el principio de privilegio mínimo en la asignación de permisos. Desactivar la autenticación. Compartir credenciales entre usuarios.

¿Cómo se puede reducir la superficie de ataque de una API?. Aumentar el número de endpoints disponibles. Permitir acceso irrestricto. Limitar el número de solicitudes a la API. Exponer toda la información de la base de datos.

¿Cómo previene una API Gateway la sobrecarga de servicios?. Permitiendo todas las solicitudes entrantes. Enviando todas las solicitudes directamente al backend. Limitando el número de solicitudes entrantes. Desactivando la validación de solicitudes.

Una API permite solicitudes sin límite y provoca DoS. ¿Qué vulnerabilidad está siendo explotada?. Inyección de código. Autenticación rota. Validación insuficiente. Consumo de recursos sin restricción.

¿Qué ocurre si la autorización en una API no se gestiona adecuadamente?. Los clientes no podrán acceder a la API. La API funcionará más rápido. Los clientes de la API podrían tener acceso a datos que no deberían estar a su disposición. La API se cerrará automáticamente.

Implementar límites, cuotas y monitoreo de uso de recursos, ¿qué amenaza mitiga?. Inyección SQL. Cross-Site Scripting (XSS). Consumo de recursos sin restricciones. Falsificación de identidad.

Sin limitaciones, los atacantes pueden saturar APIs enviando múltiples solicitudes, causando latencia y caídas. ¿Qué categoría de amenaza es?. Ataque de intermediario. Robo de credenciales. Consumo de recursos sin restricciones. Ingeniería social.

Un equipo detecta un acceso no autorizado a la consola de gestión en la nube. ¿Qué deben hacer inmediatamente?. Ignorar el acceso. Cambiar la contraseña del usuario. Controlar y monitorear estrictamente el acceso a la consola. Reiniciar todos los servicios en la nube.

Un equipo DevOps detecta una vulnerabilidad en su aplicación mientras está en producción. ¿Qué herramienta deben usar para abordarla rápido?. Herramientas de pruebas estáticas de seguridad de aplicaciones (SAST). Herramientas de pruebas de seguridad de aplicaciones de caja negra. Herramientas de análisis de código fuente. Herramientas de pruebas dinámicas de seguridad de aplicaciones (DAST).

Un equipo usa herramientas de automatización en la nube. ¿Qué deberían proteger para evitar ataques?. Solo las contraseñas de los desarrolladores. Los scripts de automatización y las herramientas de aprovisionamiento. Las bases de datos de los usuarios. El código fuente de la aplicación.

Un contenedor tiene un puerto innecesario expuesto. ¿Qué medida deben tomar?. Abrir todos los puertos. Ignorar el puerto expuesto. Reemplazar el contenedor. Cerrar o restringir el acceso al puerto.

En un pipeline DevSecOps, ¿qué herramientas se usan en la fase de construcción para detectar fallos en el código antes de implementar?. Herramientas de pruebas dinámicas (DAST). Herramientas de pruebas de penetración. Herramientas de prueba estática de aplicaciones (SAST). Herramientas de escaneo de vulnerabilidades.

Un equipo de TI detecta muchos errores demasiado tarde en el ciclo de desarrollo. ¿Qué proceso deben adoptar?. Desarrollo en cascada. Prototipado rápido. Pruebas manuales intensivas. Implementar pruebas automáticas durante el desarrollo (Continuous Testing).

Una empresa usa una plataforma de gestión de consentimiento para almacenar permisos de usuarios. ¿Qué beneficio tiene?. Aumenta el costo de cumplimiento. Ayuda a las organizaciones a gestionar el consentimiento de forma segura y conforme a las regulaciones. Reduce la necesidad de seguridad de datos. Dificulta la recopilación de datos.

Una app de IA solicita consentimiento y ofrece un panel de control para modificar o revocar permisos. ¿Qué buena práctica aplica?. Panel de control de acceso. Panel de control de rendimiento. Panel de control de privacidad. Panel de control de configuración.

¿Qué herramientas recomienda OWASP para proporcionar explicaciones comprensibles de decisiones en modelos de IA?. SQL y NoSQL. Docker y Kubernetes. LIME o SHAP. Python y Java.

¿Qué práctica ayuda a corregir errores y detectar sesgos en resultados de modelos de IA?. Ignorar los resultados. Trazabilidad y auditorías de decisiones. Entrenamiento con datos limitados. Desarrollo sin pruebas.

Un sistema de IA para detectar fraudes muestra muchos falsos negativos. Se descubre que los datos de entrenamiento fueron manipulados. ¿Qué vulnerabilidad sufrió el modelo?. Sobreajuste (Overfitting). Subajuste (Underfitting). Envenenamiento de datos. Deriva de concepto (Concept Drift).

Una organización desarrolla un modelo de IA para predecir comportamiento delictivo con perfiles demográficos. ¿Por qué puede ser ilegal según la Ley Europea de IA?. Es muy eficiente. Reduce costos. Involucra un alto riesgo para los derechos humanos y la equidad social. Es una tecnología innovadora.

Una aplicación solicita al usuario autenticación con dos factores (conocimiento + posesión/biometría). ¿Qué se logra con estas medidas?. Autenticación débil. Autenticación de un factor. Autenticación fuerte. Autenticación anónima.

¿Cuál de los siguientes no es un tipo de control de seguridad mencionado?. Control preventivo. Control detectivo. Control correctivo. Control de hardware especializado.

¿Qué es muy importante para una buena seguridad de la información?. La capacitación y concientización del personal. Ignorar las políticas de seguridad. Utilizar contraseñas débiles. Compartir información sensible libremente.

¿Cómo se mide el “Descubrimiento” en el modelo DREAD?. Por la dificultad de su explotación. Por el impacto financiero. Por la facilidad de su identificación. Por el tiempo de recuperación.

¿En qué categoría del modelo DREAD se evalúan las dificultades necesarias para explotar una amenaza?. Daño (Damage). Descubrimiento (Discovery). Explorabilidad (Exploitability). Remediación (Remediation).

Al cifrar datos sensibles con cifrado asimétrico, ¿qué llave se mantiene en secreto?. La llave pública. Ambas llaves. Ninguna llave. Llave privada.

¿Qué ataque de base de datos implica la inserción de cadenas arbitrarias en consultas?. Ataque de fuerza bruta. Cross-Site Scripting (XSS). Ataque de intermediario. Ataque de inyección SQL/NoSQL.

¿Qué principio establece que el acceso debe ser permitido solo a usuarios específicos?. Principio de máxima autorización. Principio de acceso abierto. Principio de mínimo privilegio. Principio de acceso total.

¿Qué técnica de prueba altera datos existentes de forma aleatoria?. Pruebas unitarias. Fuzzing mutado. Pruebas de integración. Pruebas de rendimiento.

En una arquitectura de N capas, las capas profundas no validan meticulosamente las solicitudes, confiando en las capas previas. ¿Qué amenaza puede generarse?. Falsificación de solicitudes del lado del servidor (SSRF). Cross-Site Scripting (XSS). Inyección SQL. Denegación de servicio (DoS).

Con el fin de prevenir la amenaza de SSRF, decides realizar un inventario de versiones de componentes e inspección de código estático. ¿Esto lo impide?. Verdadero. Falso. Depende del tipo de SSRF. Solo parcialmente.

Un desarrollador debe crear una aplicación sencilla que solo muestre información estática. ¿Qué tipo de aplicación es más eficiente?. Aplicación móvil nativa. Aplicación web. Aplicación de escritorio. Aplicación híbrida.

Un atacante explota un cifrado débil en una app móvil para acceder a datos. ¿Qué vulnerabilidad corresponde?. Validación insuficiente. Criptografía insuficiente. Control de acceso roto. Inyección de código.

¿Qué tipo de ataques se previenen con validación y desinfección de entradas no confiables?. Ataque de intermediario. Denegación de servicio (DoS). Inyección de código malicioso como SQL Injection o XSS. Suplantación de identidad.

¿Por qué es importante realizar pruebas de seguridad en aplicaciones móviles?. Para aumentar el tiempo de desarrollo. Para identificar y corregir vulnerabilidades antes del despliegue. Para asegurar que la aplicación no tenga errores funcionales. Para hacer la aplicación más lenta.

¿Qué vulnerabilidad puede explotarse si una app móvil valida mal las entradas?. Exposición de datos confidenciales. Inyección de código malicioso como SQL Injection o XSS. Fuga de información. Denegación de servicio.

Un atacante inyecta malware en una app móvil, la firma con un certificado válido y la publica en la tienda. ¿Qué amenaza es?. Ingeniería social. Falsificación de identidad. Seguridad inadecuada de la cadena de suministro. Denegación de servicio.

¿Qué errores deben evitarse en los registros de error de una API?. Registrar solo el código de estado HTTP. Mostrar información detallada sobre el servidor y la base de datos. No registrar ningún error. Registrar solo errores críticos.

¿Cómo garantiza un servidor API que un consumidor tenga permisos para acceder a un recurso?. Permitiendo el acceso a todos los consumidores. Verificando la clave API del consumidor. No verificando permisos. Confiar en la buena fe del consumidor.

Un desarrollador configuró una API de forma que cualquier usuario puede acceder a datos sin autorización. ¿Qué vulnerabilidad existe?. Inyección SQL. Falsificación de identidad. Autorización de objeto rota. Cross-Site Scripting (XSS).

¿Qué ocurre si la autorización en una API no se gestiona adecuadamente?. La API dejará de funcionar. Los clientes de la API podrían tener acceso a datos que no deberían estar a su disposición. La API se volverá más segura. Solo los administradores podrán acceder.

El uso de múltiples versiones de API, exposición de APIs de desarrollo y políticas de control incorrectas son ejemplos de qué vulnerabilidad. Inyección SQL. Control de acceso roto. Gestión inadecuada del inventario. Cross-Site Scripting (XSS).

Implementar validación y filtrado de URLs y monitoreo del lado del servidor, ¿a qué tipo de amenaza corresponde?. Ataque de diccionario. Inyección SQL. Falsificación de solicitudes del lado del servidor (SSRF). Cross-Site Scripting (XSS).

Un equipo realiza cambios frecuentes en contenedores sin monitoreo. ¿Qué problema puede surgir?. Mejora en la seguridad. Disminución de la velocidad de despliegue. La introducción de vulnerabilidades no identificadas. Reducción de costos.

Un equipo decide usar contenedores sin cifrado. ¿Cuál es el riesgo?. Mejora en el rendimiento. Exposición de datos confidenciales y acceso no autorizado. Mayor seguridad para los datos. Menor consumo de recursos.

Durante el uso de un contenedor, el tráfico de red no está bien controlado. ¿Cuál es la principal preocupación?. Mejora en la velocidad de la red. Mayor eficiencia en el uso de recursos. Posible fuga de datos y accesos no autorizados. Reducción de la latencia.

Un equipo detecta una vulnerabilidad en un contenedor. ¿Qué debe hacerse primero?. Ignorar la vulnerabilidad. Reconstruir el contenedor completamente. Asegurar que la imagen base provenga de una fuente confiable. Desplegar el contenedor en un entorno de prueba.

Un equipo de desarrollo necesita aumentar la velocidad de despliegue y asegurar pruebas automáticas. ¿Qué práctica DevOps deben implementar?. Despliegue manual. Integración continua (CI). Pruebas manuales. Ciclo de desarrollo en cascada.

Durante la implementación de un contenedor, un miembro intenta acceder a imágenes sin usar controles de acceso. ¿Cuál es el riesgo?. Exposición de vulnerabilidades conocidas. Mejora en la seguridad. Reducción de la latencia. Mayor velocidad de despliegue.

Una empresa utiliza una plataforma de gestión de consentimiento para almacenar y gestionar permisos de usuarios. ¿Qué beneficio tiene?. Reduce la protección de datos. Aumenta el riesgo de incumplimiento. Ayuda a las organizaciones a gestionar el consentimiento de forma segura y conforme a las regulaciones. Complica la auditoría.

¿En qué medida es importante automatizar el registro y almacenamiento de consentimientos para empresas que manejan datos personales en IA?. Es irrelevante. Es útil pero no esencial. Es fundamental para garantizar la trazabilidad y cumplir con las leyes de privacidad como el GDPR. Solo es importante para auditorías externas.

Una empresa nota que un modelo de IA presenta sesgos en sus predicciones. Según OWASP, ¿qué deberían realizar?. Ignorar los sesgos. Probar el modelo con conjuntos de datos balanceados. Eliminar los datos. Usar más datos de un solo tipo.

¿En qué tipo de ataque los servidores de empresas se ven afectados y la información es extraída?. Ataque de denegación de servicio. Ataque de phishing. Exfiltración de datos / Brecha de seguridad (ataques de intrusión). Ataque de intermediario.

¿Qué etapa del SDLC se centra en asegurar que el software cumpla con los requisitos especificados?. Diseño. Análisis. Implementación. Pruebas.

Un sistema de e-commerce almacena claves de licencia dentro de los binarios. ¿Qué riesgo existe?. Que no se puedan utilizar las claves. Que sean reveladas por depuración y desmontaje. Que las claves caduquen rápidamente. Que las claves sean demasiado complejas.

Un riesgo identificado tiene bajo impacto y baja probabilidad, y la empresa decide no aplicar controles. ¿Qué estrategia usó?. Mitigar. Transferir. Aceptar. Evitar.

El equipo de desarrollo crea un sistema que solo guarda logs con fecha y acción, pero sin identificar usuario. ¿Qué requisito se incumple?. Confidencialidad. Seguimiento. Disponibilidad. Integridad.

Un cliente solicita usar la nube pública para su aplicación, sin definir medidas de acceso a datos sensibles. ¿Qué principio se compromete?. Integridad. Disponibilidad. Privacidad. Confidencialidad.

Un empleado recibe un correo muy convincente que parece de su jefe pidiéndole credenciales. ¿Qué tipo de ataque es?. Phishing genérico. Spear phishing. Ataque de intermediario. Ransomware.

Un atacante logra infiltrarse en la base de datos de una empresa y accede a datos personales de clientes. La clave de cifrado estaba en el mismo servidor que los datos. ¿Cuál fue la falla más grave?. Falta de copias de seguridad. Mala gestión de claves criptográficas. Uso de cifrado débil. No implementar autenticación.

Durante una prueba dinámica (DAST), se detecta que un módulo falla al interactuar con procesos del sistema operativo. ¿Qué tipo de entorno es necesario para reproducir esto de forma controlada?. Un entorno de desarrollo simple. Un entorno de producción real. Un entorno simulado que refleje el de producción. Un entorno de pruebas unitarias.

¿Qué metodología de modelado de amenazas se realiza en la fase de diseño agrupando y clasificando amenazas en seis categorías?. PASTA. STRIDE. DREAD. OCTAVE.

Selecciona el enunciado que mejor describe una configuración de seguridad incorrecta. Utilizar contraseñas fuertes. Mantener claves por defecto. Implementar autenticación de dos factores. Actualizar el software regularmente.

¿Qué amenaza ocurre cuando un atacante usa un identificador de sesión válido de otro usuario?. Inyección SQL. Secuestro de sesión (Session Hijacking). Cross-Site Scripting (XSS). Denegación de servicio (DoS).

¿Qué cabecera HTTP ayuda a prevenir ataques de clickjacking?. Content-Security-Policy. X-Frame-Options. Strict-Transport-Security. Access-Control-Allow-Origin.

Implementar autenticación centralizada con MFA y control por roles ayuda a prevenir qué vulnerabilidad crítica en aplicaciones web. Inyección SQL. Cross-Site Scripting (XSS). Control de acceso roto. Denegación de servicio (DoS).

¿Cuál es el objetivo principal de aplicar técnicas de análisis anti dinámico en una aplicación?. Detectar vulnerabilidades en el código fuente antes de la ejecución. La detección, inspección y alteración del código o procesos internos mientras está en ejecución. Automatizar las pruebas de regresión. Optimizar el rendimiento de la red.

Si una aplicación móvil implementa componentes WebView sin controles de seguridad, ¿qué vulnerabilidad podría presentarse?. Inyección SQL. Exposición accidental de datos confidenciales. Denegación de servicio (DoS). Cross-Site Scripting (XSS).

Un atacante explota un acceso directo de la API para ejecutar comandos maliciosos en el servidor Back-End. ¿Qué vulnerabilidad está siendo explotada?. Control de acceso roto. Falsificación de solicitudes del lado del servidor (SSRF). Validación insuficiente. Cross-Site Scripting (XSS).

Un atacante obtiene acceso no autorizado a un servidor Back-End aprovechando una mala configuración de seguridad en la aplicación móvil. ¿A qué vulnerabilidad corresponde?. Validación insuficiente. Configuración incorrecta de seguridad. Cross-Site Scripting (XSS). Inyección SQL.

Una aplicación gubernamental para la gestión de documentos clasificados debe garantizar que la información no pueda ser extraída incluso si el dispositivo es robado. ¿Cuál sería la combinación más efectiva?. Cifrado de archivos y contraseña simple. Cifrado completo del dispositivo, almacenamiento seguro en enclaves de hardware y borrado remoto. Almacenamiento en la nube sin cifrado. Contraseña compleja pero sin cifrado.

¿Qué categorías específicas de datos deben protegerse cuando existe acceso no restringido a flujos de negocio sensibles en una API?. Solo datos públicos. Incluir datos confidenciales cuya exposición podría generar daños significativos. Datos de uso de la API. Metadatos de la API.

Ocurre cuando las API procesan solicitudes con URLs controladas por el usuario y recuperan recursos remotos sin validación. ¿Qué vulnerabilidad es?. Inyección SQL. Cross-Site Scripting (XSS). Control de acceso roto. Falsificación de solicitudes del lado del servidor (SSRF).

¿Qué clases de errores o exposiciones deben prevenirse en los registros de error de una API?. Incluir información detallada sobre el servidor o la base de datos. Mostrar solo códigos de error genéricos. No registrar errores. Registrar solo información pública.

En un escenario donde una organización ofrece servicios críticos vía API pública y privada, ¿cuál estrategia es la más efectiva?. Monitoreo básico y revisiones anuales. Registro y monitoreo seguro, con validaciones estrictas, monitoreo en tiempo real y revisiones periódicas. Solo validaciones estrictas. Revisión de código cada seis meses.

Una empresa expone una API a terceros y detecta intentos de explotación. ¿Qué buena práctica debe aplicarse para mitigar el riesgo sin afectar a desarrolladores externos?. Desactivar la API temporalmente. Registro y monitoreo seguro, con validaciones estrictas y revisiones periódicas. Limitar el acceso a desarrolladores internos. Bloquear todas las solicitudes de terceros.

En el contexto de un equipo de desarrollo que administra infraestructura, ¿qué beneficio clave aporta la Infraestructura como Código (IaC)?. Aumentar la complejidad de la gestión. Crear configuraciones auditables y controladas por versiones. Depender exclusivamente de procesos manuales. Reducir la seguridad de la infraestructura.

En un equipo de operaciones, al detectar un problema que puede afectar la disponibilidad del servicio, ¿qué debe hacerse?. Investigar el problema a fondo antes de hacer nada. Resolver el problema de manera inmediata. Notificar a los usuarios y esperar. Documentar el problema sin actuar.

En un entorno DevOps con contenedores, ¿cuál es la práctica recomendada para actualizar imágenes de manera segura y eficiente?. Actualizar imágenes manualmente según sea necesario. Ignorar las actualizaciones de imágenes base. Automatizar la actualización de las imágenes base y revisar las vulnerabilidades. Utilizar imágenes de fuentes no confiables.

En un despliegue de producción, el equipo debe garantizar responsabilidad compartida en seguridad sin interrumpir el servicio. ¿Qué medida aplicar prioritariamente?. Implementar una solución integral con monitoreo continuo, validación automatizada y procedimientos documentados. Ignorar la seguridad para no interrumpir el servicio. Delegar toda la responsabilidad a un solo equipo. Realizar auditorías de seguridad solo después de incidentes.

Durante una revisión post-mortem, se identificó una mala gestión de vulnerabilidades en dependencias. ¿Qué acción previene que ocurra de nuevo?. Implementar una solución integral con monitoreo continuo, validación automatizada y procedimientos de respuesta documentados. Ignorar las dependencias. Realizar revisiones solo después de incidentes graves. Depender únicamente de la documentación.

Un desarrollador entrena un modelo de IA para detectar fraudes usando datos de un solo país. ¿Qué riesgo implica?. Reduce el sesgo. Aumenta la precisión global. Puede aumentar el sesgo y afectar la equidad. Mejora la generalización.

¿Cómo pueden las pruebas de caja blanca ayudar a mejorar un modelo de IA?. Revelan vulnerabilidades explotables. Permiten entender cómo el modelo llega a sus decisiones. Aseguran la privacidad de los datos. Optimizan el rendimiento del modelo.

Un equipo introduce ejemplos adversariales durante el entrenamiento para mejorar la resistencia del modelo. ¿Qué técnica es esta?. Regresión lineal. Defensa adversarial (adversarial training). Clustering. Árboles de decisión.

Un desarrollador entrena un modelo con todos los datos de clientes sin verificar su relevancia. ¿Qué principio se viola?. Principio de disponibilidad. Principio de minimización de datos. Principio de integridad. Principio de acceso abierto.