Cuestionario Seguridad T1

Las Tecnologías de la Información (TI) han estado integradas en casi todos los aspectos de la actividad humana durante décadas. Verdadero. Falso.

La evolución de las TI ha traído consigo únicamente mayores capacidades, sin nuevos retos en materia de seguridad. Verdadero. Falso.

La información es considerada uno de los activos menos valiosos para una organización. Verdadero. Falso.

La seguridad de la información solía ser una preocupación exclusiva de entornos militares y financieros. Verdadero. Falso.

La seguridad debe entenderse como un producto que se adquiere e instala una sola vez. Verdadero. Falso.

Un sistema se considera seguro si su comportamiento se desvía de las especificaciones para las que fue diseñado. Verdadero. Falso.

Cuanto mayor es la complejidad de un sistema, menor es la probabilidad de que contenga fallos. Verdadero. Falso.

Los fallos que no afectan a la información son considerados peligrosos porque pueden ser explotados por terceros. Verdadero. Falso.

Un error tipográfico en la interfaz de usuario es un ejemplo de fallo que daña la información por sí mismo. Verdadero. Falso.

Un sistema de información seguro exige la ausencia total de fallos. Verdadero. Falso.

La probabilidad de un robo, manipulación o interrupción del servicio en un sistema seguro debe ser nula o estar por debajo de un límite tolerable. Verdadero. Falso.

Seguridad, usabilidad y funcionalidad son propiedades que rara vez entran en tensión durante el desarrollo de software. Verdadero. Falso.

Un cajero automático prioriza la funcionalidad sobre la seguridad y la usabilidad. Verdadero. Falso.

Existe una solución universal que maximiza simultáneamente la seguridad, la usabilidad y la funcionalidad de un sistema. Verdadero. Falso.

Las primeras medidas de seguridad suelen ser las más caras y menos efectivas. Verdadero. Falso.

La seguridad total es un objetivo alcanzable. Verdadero. Falso.

Es fundamental encontrar un compromiso entre el coste del sistema de seguridad y el nivel de protección deseado. Verdadero. Falso.

Activar actualizaciones automáticas y exigir contraseñas robustas son medidas de coste muy bajo para eliminar riesgos habituales. Verdadero. Falso.

La tríada CIA se refiere a Confidencialidad, Integridad y Accesibilidad. Verdadero. Falso.

La confidencialidad protege frente al acceso no autorizado a los datos. Verdadero. Falso.

La integridad garantiza que la información puede ser utilizada siempre que se necesite. Verdadero. Falso.

La disponibilidad protege frente a interrupciones del servicio causadas por fallos técnicos, ataques o desastres naturales. Verdadero. Falso.

Un sistema que protege la confidencialidad pero no la disponibilidad no cumple con los requisitos de seguridad. Verdadero. Falso.

La criptografía protege principalmente la disponibilidad y la integridad. Verdadero. Falso.

La autenticación verifica la identidad de los agentes que interactúan con el sistema. Verdadero. Falso.

El no repudio impide que un agente niegue haber realizado una acción. Verdadero. Falso.

Trazabilidad (o accountability) permite reconstruir el historial de accesos y operaciones sobre la información. Verdadero. Falso.

Daño es la acción de provocar un daño a un sistema de forma intencionada. Verdadero. Falso.

Un ataque presupone la existencia de un agente que explota vulnerabilidades para causar un perjuicio. Verdadero. Falso.

El riesgo se calcula como la suma de la magnitud del daño y la probabilidad de que ocurra. Verdadero. Falso.

Un daño de baja magnitud pero alta probabilidad puede suponer un riesgo mayor que un daño catastrófico pero improbable. Verdadero. Falso.

Evitar el riesgo implica aplicar controles que reduzcan la probabilidad o magnitud del daño. Verdadero. Falso.

Transferir el riesgo implica trasladar sus consecuencias a un tercero, como mediante un seguro. Verdadero. Falso.

Aceptar el riesgo es siempre una actitud irresponsable. Verdadero. Falso.

Script kiddies son atacantes con conocimientos muy avanzados. Verdadero. Falso.

El personal interno (insiders) representa una de las amenazas más fáciles de contrarrestar. Verdadero. Falso.

Los cibercriminales operan generalmente con ánimo de lucro. Verdadero. Falso.

Los hacktivistas buscan principalmente notoriedad pública a través de sus ataques. Verdadero. Falso.

Los actores estatales y APT (Advanced Persistent Threats) suelen tener recursos limitados. Verdadero. Falso.

Una amenaza se produce cuando hay una combinación de vulnerabilidades y agentes que pueden explotarlas. Verdadero. Falso.

Una vulnerabilidad es una acción que aprovecha una debilidad para causar daño. Verdadero. Falso.

Un exploit es la materialización práctica de una amenaza. Verdadero. Falso.

La clasificación clásica de amenazas incluye Interrupción, Interceptación, Modificación y Fabricación. Verdadero. Falso.

Un ataque contra la disponibilidad se clasifica como Interceptación. Verdadero. Falso.

La Fabricación es un ataque que altera un activo existente. Verdadero. Falso.

CVE (Common Vulnerabilities and Exposures) es un sistema para valorar la severidad de las vulnerabilidades. Verdadero. Falso.

CVSS permite medir de forma estandarizada la peligrosidad de una vulnerabilidad. Verdadero. Falso.

Una puntuación CVSS de 9.0-10.0 se considera de severidad Crítica. Verdadero. Falso.

Las vulnerabilidades de hardware como Meltdown y Spectre se deben a una implementación deficiente. Verdadero. Falso.

El análisis proactivo es una forma de detectar vulnerabilidades mediante el uso de sistemas trampa. Verdadero. Falso.

La ventana de exposición es el período en que un sistema está sujeto a una amenaza activa debido a una vulnerabilidad no corregida. Verdadero. Falso.

Los ataques de día cero (zero-day attacks) ocurren después de que se ha publicado un parche conocido. Verdadero. Falso.

En el ciclo de vida de la ventana de exposición, la aplicación del parche por parte de los administradores cierra la ventana. Verdadero. Falso.

La publicación inmediata (full disclosure) es la estrategia más utilizada en la industria actual. Verdadero. Falso.

La publicación responsable otorga un plazo al desarrollador para corregir la vulnerabilidad antes de hacerla pública. Verdadero. Falso.

La seguridad es un producto que se compra e instala, no un proceso continuo. Verdadero. Falso.

Un sistema es inherentemente seguro o inseguro en cualquier momento. Verdadero. Falso.

La estrategia correcta consiste en confiar en soluciones milagrosas para alcanzar la seguridad absoluta. Verdadero. Falso.

El principio de mínimo privilegio establece que cada agente debe tener solo los permisos estrictamente necesarios. Verdadero. Falso.

Defensa en profundidad implica confiar en una única barrera de protección. Verdadero. Falso.

Fallo seguro (fail-safe defaults) implica que, ante un error, el acceso debe ser permitido por defecto. Verdadero. Falso.

La economía de mecanismo busca que los mecanismos de seguridad sean lo más simples posible. Verdadero. Falso.

Mediación completa significa que algunas operaciones de acceso a recursos no necesitan comprobación. Verdadero. Falso.

El principio de Kerckhoffs, aplicado al diseño abierto, establece que la seguridad debe depender del secreto del diseño. Verdadero. Falso.

Las restricciones de seguridad a menudo hacen el desarrollo de software más caro y lento. Verdadero. Falso.

La competencia feroz en el mercado tecnológico prioriza la seguridad sobre la funcionalidad. Verdadero. Falso.

Las pruebas beta convencionales son eficaces para detectar la mayoría de las vulnerabilidades. Verdadero. Falso.

Los diseñadores y desarrolladores suelen tener una formación sólida y priorizan la seguridad informática. Verdadero. Falso.

La inversión en seguridad informática es desincentivada por el marketing, que es más efectivo a corto plazo. Verdadero. Falso.

El problema de las externalidades en seguridad significa que quien decide no invertir en seguridad soporta la mayor parte del coste de un incidente. Verdadero. Falso.

Si la seguridad es un proceso, debe estar presente solo en la fase de operación y mantenimiento de un sistema. Verdadero. Falso.

En la fase de diseño, se deben incorporar requisitos de seguridad y definir el modelo de amenazas. Verdadero. Falso.

En la fase de desarrollo e implantación, se deben seguir prácticas de programación insegura. Verdadero. Falso.

La definición de políticas de uso decide qué operaciones estarán permitidas y cuáles no. Verdadero. Falso.

La operación y mantenimiento implica solo la monitorización del sistema. Verdadero. Falso.

Es imprescindible tener previsto cómo enfrentarse a los problemas, ya que tarde o temprano se producirán incidentes. Verdadero. Falso.

Las políticas de copias de seguridad (backups) son importantes para recuperarse frente a pérdidas de datos. Verdadero. Falso.

El análisis de los registros (logs) del sistema no es útil para averiguar cómo se produjo un fallo. Verdadero. Falso.

La detección de eventos sospechosos ayuda a anticiparse a los fallos. Verdadero. Falso.

La regla 3-2-1 para copias de seguridad implica tener al menos 3 copias en 2 soportes distintos, con al menos 1 fuera de las instalaciones. Verdadero. Falso.

La pregunta clave es si se producirá un fallo de seguridad. Verdadero. Falso.